Передача персональных данных через мессенджеры

В чем заключается опасность при направлении и получении персональных данных через мессенджеры

Когда пользователи гуглят «можно ли скидывать паспортные данные в ватсапе» или «можно ли пересылать паспортные данные по ватсапу», они, как правило, думают о том, что их сообщение будет перехвачено. Это распространенное, но ошибочное представление об угрозе.

WhatsApp и Telegram действительно используют сквозное шифрование. Это означает, что перехватить скан паспорта прямо в процессе передачи по сети практически невозможно, так как сообщение зашифровано от отправителя до получателя. Перехват трафика «на лету» — это задача для спецслужб с огромными ресурсами.

Настоящая опасность возникает на конечных точках, то есть на устройствах отправителя и получателя:

1. Человек фотографирует паспорт и отправляет его в мессенджере работодателю, риелтору или в банк.
2. Фото автоматически сохраняется в галерею телефона получателя, поскольку эта функция включена по умолчанию в большинстве мессенджеров.
3. Галерея синхронизируется с облачным хранилищем (например, Google Drive, iCloud или Яндекс Диском). Резервные копии нередко хранятся без должного шифрования.
4. Аккаунт получателя взламывают (через фишинг, утечку пароля или социальную инженерию).
5. Злоумышленник получает полный архив медиафайлов, включая вашу фотографию (скан) паспорта.
6. Документ продается в даркнете или сразу используется: мошенники могут оформить микрозаем в МФО, зарегистрировать фиктивную SIM-карту или открыть счет на ваше имя.

Таким образом, паспорт может оказаться за пределами чата лишь потому, что фото хранилось на незащищенном устройстве другого человека. Это влечет серьезные последствия как для физического лица, так и для компании, которая получила персональные данные через мессенджер.

Для юридического лица такая утечка предполагает возможную ответственность по КоАП РФ. Если данные клиента утекли с личного устройства сотрудника, которому они были направлены по рабочим вопросам, отвечает за это компания как оператор персональных данных — по 152-ФЗ она обязана обеспечивать защиту данных на всех этапах обработки, включая передачу, а обычный мессенджер этому требованию не соответствует.

Возможные последствия: штраф по ст. 13.11 КоАП РФ, обязанность уведомить Роскомнадзор об утечке, иски от пострадавших о компенсации морального вреда, внеплановая проверка и репутационные потери.

Поэтому для передачи персональных данных рекомендуется использовать только корпоративные мессенджеры и сервисы с регламентированным доступом сотрудников и установленные исключительно на определенных, согласованных компанией устройствах. Личные мессенджеры сотрудников для этих целей использоваться не должны.

Можно ли пересылать паспортные данные по электронной почте

Многие организации считают электронную почту более надежным каналом, чем мессенджер, и получают сканы паспорта по email. Однако электронная почта не настолько безопасна, как может показаться.

Стандартная электронная почта в большинстве случаев не обеспечивает сквозного шифрования. Письмо может проходить через несколько промежуточных серверов в открытом виде. Кроме того:

• Письмо с паспортными данными годами хранится на серверах почтового провайдера.
• При взломе почтового ящика (что происходит регулярно из-за слабых паролей) злоумышленник мгновенно получает весь архив переписки.
• Письма легко «индексируются», и поэтому злоумышленник может автоматически найти все вложения с документами за секунды.

Следовательно, передача персональных данных по электронной почте не менее опасна, чем через мессенджеры. Разница лишь в том, что риск растянут во времени, поскольку документ дольше хранится на почте.

Можно ли пересылать паспортные данные по ватсапу и опасно ли отправлять фото паспорта

Физическое лицо, отправляя свой паспорт в мессенджере, рискует только своими данными. Компания, запрашивающая этот скан, рискует получением штрафа и проверкой Роскомнадзора.

Здесь принципиально важно разграничить два случая.

1. Если физическое лицо отправляет паспортные данные через мессенджер — это его личный выбор и личный риск. Закон прямо этого не запрещает, хотя с точки зрения безопасности такое поведение крайне нежелательно.
2. Если организация получает скан паспорта или иные персональные данные клиента через мессенджер, она автоматически становится оператором персональных данных, и на нее распространяется особое правовое регулирование.

152-ФЗ «О персональных данных», часть 5 статьи 18 обязывает операторов осуществлять запись, систематизацию, накопление и хранение персональных данных с использованием баз данных, находящихся в РФ.

149-ФЗ «Об информации». Согласно части 8 статьи 10 ФЗ-149, использование иностранных мессенджеров для предоставления информации, содержащей персональные данные граждан РФ, запрещено при предоставлении государственных и муниципальных услуг, при выполнении государственного или муниципального задания, а также при реализации товаров, работ, услуг, имущественных прав следующими операторами:

• государственными компаниями;
• государственными и муниципальными унитарными предприятиями;
• публично-правовыми компаниями;
• хозяйственными обществами, в уставном капитале которых доля участия РФ, субъекта РФ, муниципального образования в совокупности превышает 50%;
• кредитными организациями;
• некредитными финансовыми организациями, которые осуществляют установленные виды деятельности;
• субъектами национальной платежной системы.

Роскомнадзор издал перечень запрещенных мессенджеров, куда были включены Discord, Snapchat, Skype, Microsoft Teams, Threema, Viber, WhatsApp, WeChat и Telegram.

Таким образом, в некоторых случаях законом или Роскомнадзором напрямую предусмотрен запрет на использование иностранных мессенджеров для сбора персональных данных. Не исключено, что в будущем законодательный запрет из 149-ФЗ распространится на хозяйственные общества и на индивидуальных предпринимателей.

Какой канал для передачи персональных данных использовать бизнесу

Существует множество каналов для передачи персональных данных. Наиболее безопасными считаются защищенные корпоративные мессенджеры.

Наши эксперты подготовили сравнение каналов передачи персональных данных:

Обращаем внимание: безусловно, ни один из каналов для передачи информации нельзя считать полностью защищенным от утечек. Однако корпоративный защищенный мессенджер в данный момент является одним из наиболее безопасных (технически и юридически) каналов для передачи информации.

Что изменилось с июня 2025 года для бизнеса

В соответствии с ФЗ-41, организации должны использовать только российское ПО для коммуникации с пользователями и клиентами.

С июня 2025 года в России действует Федеральный закон от 01.04.2025 № 41-ФЗ. Согласно его положениям, организации обязаны использовать только российское программное обеспечение для коммуникации с пользователями и клиентами. Информирование пользователей и направление рассылок тоже должно производиться только с помощью российского ПО.

В законе не указано, какие конкретно иностранные мессенджеры нельзя использовать. Рекомендуем опираться на перечень Роскомнадзора от 2023 года: в этот перечень входят девять иностранных мессенджеров, в частности, Discord, Snapchat, Skype, Microsoft Teams, Threema, Viber, WhatsApp, WeChat и Telegram.

Статья 15 ФЗ-41 запрещает использовать иностранные мессенджеры некоторым категориям лиц. Наши юристы подготовили перечень организаций, которым в соответствии с законом нельзя использовать иностранные мессенджеры, и примеры таких организаций.

Таким образом, если организация не входит в указанный выше перечень и не относится к перечню из части 8 статьи 10 ФЗ-149, она формально может использовать мессенджеры для получения персональных данных.

Какая ответственность предусмотрена за использование иностранных мессенджеров

В настоящий момент за незаконное использование иностранных мессенджеров установлена административная ответственность.

Статья 13.11.2 КоАП РФ устанавливает административную ответственность за незаконное использование иностранных информационных систем и программ (включая мессенджеры) для обмена сообщениями. Штраф для юридических лиц в настоящий момент составляет от 100 000 рублей до 700 000 рублей.

Уже формируется практика по привлечению организаций к ответственности: так, в 2025 году суд впервые привлек к ответственности банк за использование иностранного мессенджера для передачи персональных данных гражданина. Банк был оштрафован на 200 000 рублей.

Что делать бизнесу и владельцам сайтов

Наши юристы рекомендуют соблюдать следующие правила:

1. Если ваша компания входит в перечень из ч. 8 ст. 10 ФЗ-149 или из ст. 15 ФЗ-41, используйте российские мессенджеры для рассылок, коммуникации и уведомлений клиентов. Даже если же ваша компания не входит в указанные перечни, рекомендуется подготовиться к переходу на отечественные мессенджеры или иные отечественные аналоги, обеспечивающие необходимый уровень защиты.
2. Регулярно проверяйте, сколько пользователей из РФ в сутки взаимодействует с вашим сайтом, платформой или сервисом.
3. Подготовьте политику конфиденциальности в отношении обработки персональных данных, согласия на обработку персональных данных и иные документы с целью соблюдения законодательства о персональных данных.
4. Если вы входите в перечень, установленный ФЗ-149, рекомендуется уничтожить персональные данные российских граждан, полученные через иностранные мессенджеры, входящие в перечень РКН (Письмо Минцифры России от 28.06.2023 № П25-1-05-200-202259 «О направлении информации, содержащей персональные данные, с использованием иностранных мессенджеров»).

Как отправить фото паспорта безопасно

Иногда отправка паспортных данных неизбежна. В таком случае рекомендуем воспользоваться следующими методами защиты.

Способ 1: Водяной знак на скане паспорта

Это самый надежный способ защитить документ от нецелевого использования. Даже если скан попадет к мошеннику, он, вероятнее всего, не сможет воспользоваться им в другой организации.

Инструкция:

1. Откройте любой графический редактор (стандартный редактор фото в iOS/Android, Snapseed или аналог).
2. Поверх фотографии паспорта напишите полупрозрачный текст примерно следующего содержания: «Предоставлено только для [Название компании] [Дата] [Цель предоставления].
3. Отправляйте только такую версию скана.

Такое фото сможет несколько снизить риск использования фотографии вашего паспорта, если она попадет в руки злоумышленников.

Способ 2: Режим однократного просмотра в WhatsApp

Если отправка через WhatsApp или иной мессенджер неизбежна, попробуйте использовать функцию «Однократный просмотр». В этом режиме фото или видео исчезает сразу после просмотра получателем и не сохраняется в его галерею.

Получатель не сможет сделать скриншот в WhatsApp (приложение, по общему правилу, блокирует такие попытки), но теоретически может снять экран на другой телефон. Поэтому рекомендуем сочетать «Однократный просмотр» с водяным знаком.

Способ 3: Секретный чат в Telegram с таймером

В Telegram используйте «Секретный чат», поскольку он использует E2EE и не хранит сообщения на серверах. Установите таймер самоуничтожения на 1 минуту: получатель увидит документ, но через минуту он исчезнет с обоих устройств.

Вместо итога

Политика обработки ПДн — обязательный документ, но не единственный. Помимо нее компании необходимы форма согласия на обработку ПДн, внутренние локальные акты, регламентирующие работу с персональными данными, и технические меры защиты каналов передачи. Если ваша компания собирает персональные данные клиентов и вы не уверены, соответствует ли действующий порядок требованиям 152-ФЗ, 149-ФЗ и поправкам 2025 года — обратитесь за консультацией. Аудит обработки персональных данных и разработка необходимой документации помогут избежать штрафов и претензий со стороны регулятора. Начать работу с нашими юристами можно с бесплатной консультации.

Поделиться в социальных сетях:

Людмила Шадрина

Управляющий партнер

10 лет опыта

более 300 выигранных дел

Автор статьи

137 публикаций на сайте

Подробнее о специалисте