Чаты поддержки и мессенджеры: правила обработки ПДн

Клиенты пишут в чат на сайте, в мессенджеры и соцсети, присылают фото паспортов, номера карт и медицинские справки. Сотрудники отвечают с личных телефонов и пересылают переписки коллегам. Каждый такой диалог — обработка персональных данных, и у неё те же требования: цель, основание, защита, срок хранения. Ниже правила, которые делают канал безопасным и законным без потери удобства для клиентов.

Оговорка. Статья не юридическая консультация. Принципы сверены по статьям 5, 9, 18 и 21 152-ФЗ (база «Гарант»); закон меняется, проверяйте действующую редакцию: 152-ФЗ. Вопросы использования зарубежных мессенджеров как каналов связи с клиентами и ограничений на их использование в отдельных отраслях согласуйте с юристом.

Какие данные допустимы в чате

Данные	Правило
Имя, контакт для связи, номер заказа	Допустимо, нужны для обращения
Паспорт, СНИЛС, документы	Не запрашивать в открытых чатах; использовать защищённую форму или личный кабинет, если это действительно нужно по процессу
Данные банковских карт, CVV, коды из SMS	Запрещено запрашивать и принимать; клиента нужно прямо предупредить
Сведения о здоровье, биометрия	Особые категории, требуют основания и защиты, в общий чат не принимаются: биометрия и особые данные
Пароли	Никогда не запрашивать и не принимать

В начале диалога разместите короткое предупреждение: «Не отправляйте в чат номера карт, пароли и коды из SMS». Если клиент всё же прислал, сотрудник удаляет сообщение (где возможно) и не сохраняет данные в заметках.

Основание и информирование

Обращение клиента с вопросом — основание для ответа (исполнение договора или ответ на запрос), но цель и политику нужно раскрыть: ссылка на политику в виджете чата и в профиле мессенджера: сайт и ПДн.
Если вы используете переписку для рекламы или рассылок, нужно отдельное предварительное согласие: рассылки и ПДн.
Если данные клиента получены из внешнего источника (например, из чата партнёра), информируйте его по части 3 статьи 18: кто вы, цель и основание, источник, права.

Идентификация клиента

Прежде чем сообщать данные о заказе, договоре или платежах, убедитесь, что пишет сам клиент. Используйте вопросы, ответ на которые знает только он (номер заказа и контрольные данные), код подтверждения на номер, закреплённый за ним, или перевод в личный кабинет. Не называйте полные данные клиента в ответ на просьбу «подтвердите мои данные»: просите клиента прислать их и сверяйте. Утечки через чат поддержки часто происходят из-за мошенников, которые представляются клиентом, поэтому правила идентификации должны быть письменными.

Где вести переписку

Канал	Подходит для	Замечания
Корпоративная система поддержки (helpdesk, чат на сайте)	Основные обращения	Переписка хранится у вас или у подрядчика по договору поручения, доступ по ролям
Корпоративный аккаунт в мессенджере, привязанный к системе поддержки	Удобный канал для клиентов	Входы через общую службу, не с личных телефонов; сообщения попадают в систему
Личный телефон сотрудника	Не подходит	Данные уходят из-под контроля; при уходе сотрудника переписка остаётся у него: BYOD и мобильные устройства
Социальные сети	Первичный контакт	Перенесите диалог в защищённый канал при первой необходимости передать данные

Хранение и срок

Переписки хранятся в системе поддержки, а не в личных чатах, почте и заметках сотрудников.
Определите срок хранения: достаточный для разбора жалоб и споров, но не бессрочный; после срока автоматическое удаление или обезличивание: уничтожение ПДн.
Вложения (фото документов, скриншоты) хранятся отдельно с ограниченным доступом и более коротким сроком.
Резервные копии системы поддержки включаются в общий процесс копирования и уничтожения.

Доступ сотрудников

Каждый оператор работает под своей учётной записью, общие учётные записи запрещены; MFA на входе.
Роли: оператор видит только свои и назначенные диалоги, руководитель — статистику, ограниченный круг — архив.
Журналируются просмотры и выгрузки диалогов: журналы ИСПДн.
Отзыв доступа при увольнении в день события: отзыв прав при увольнении.
Запрет копирования диалогов в личные мессенджеры и облака; обучение сотрудников: осведомлённость.

Подрядчики и облачные сервисы чатов

Сервис чата или колл-центр на аутсорсе обрабатывает данные клиентов по вашему поручению: договор с условиями части 3 статьи 6, проверка места хранения, обязанность уведомлять об утечках: поручение обработки, облачные сервисы. Если сервис за границей, оцените трансграничную передачу и локализацию баз данных. Отдельно проверьте, не использует ли сервис сообщения клиентов для обучения моделей или аналитики: ИИ и персональные данные.

Защита канала от мошенников

Оформите официальный аккаунт и опубликуйте на сайте ссылки на него, чтобы клиенты отличали подделки.
Предупредите клиентов, что сотрудники никогда не просят коды и пароли.
Предусмотрите процедуру реагирования на подделку аккаунта компании.
Защитите учётные записи, из которых ведутся каналы (MFA, ограничение числа администраторов).

Инциденты

Отправка данных не тому клиенту, потеря устройства с чатами и компрометация учётной записи оператора — инциденты с ПДн. Сотрудник сообщает ответственному сразу; при утечке действуют сроки уведомления регулятора: как уведомить Роскомнадзор.

Диагностика

Симптом	Причина и что делать
Сотрудники ведут клиентов в личных мессенджерах	Нет удобного корпоративного канала. Подключите корпоративные аккаунты к системе поддержки, запретите личные каналы правилами
В архиве чатов хранятся фото паспортов без ограничений	Нет правил по вложениям. Ограничьте приём документов, настройте автоудаление вложений и права
Мошенники получают данные клиентов у оператора	Нет идентификации. Введите письменный порядок проверки личности и обучите операторов
Не удаётся найти и удалить переписку клиента по запросу	Данные разбросаны по каналам. Централизуйте хранение и учитывайте каналы в журнале обращений: запросы субъектов

Где это в моделях

Материал продолжает раздел «Регуляторика ПДн» и относится к направлению «Безопасность данных» (материалы направления, самопроверка оператора ПДн, карта зрелости). Каналы связи входят в перечень процессов и систем обработки ПДн, проверяемый при контроле.

Как проверить

Список каналов общения с клиентами составлен, для каждого определены место хранения, подрядчик и ответственный.
Операторы работают из системы поддержки под личными учётными записями с MFA, личные мессенджеры не используются.
Определены порядок идентификации клиента, запрет на приём карт и паролей и порядок работы с документами.
Срок хранения переписок и вложений настроен, ответ на запрос субъекта охватывает все каналы.

Источники

Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», статьи 5, 6, 9, 18, 21: КонсультантПлюс, Гарант. Проверяйте действующую редакцию.
Размеры штрафов: штрафы за нарушения с ПДн.