Понятие персональных данных по 152-ФЗ: что это и как применять
По закону персональные данные это любая информация, относящаяся к прямо или косвенно определенному либо определяемому физическому лицу. Сюда включают связки имени и номера телефона, историю заказов, личные корпоративные email-адреса и записи клиентских разговоров, позволяющие однозначно идентифицировать конкретного человека. Российский закон о защите персональных данных строго регламентирует работу с такими сведениями: компании обязаны получать согласия отдельным документом, использовать отечественные серверы для обезличивания и уведомлять надзорные органы.
Когда нужно применять нормы 152-ФЗ
Любая коммуникация с клиентами подпадает под действие законодательства, если общение направлено на реализацию товаров или исполнение трудовых обязанностей. Нормы применяются при фиксации звонков, ведении клиентских баз и загрузке информации в CRM-системы. Закон дифференцирует ситуации: если покупатель звонит сам для оформления заказа, обработка его контактных реквизитов законна без отдельного согласия, так как сбор направлен на заключение договора.
Строгие правила действуют при внедрении нейросетей. Чтобы безопасно внедрить искусственный интеллект в бизнес для контроля качества, входящий материал должен обрабатываться в российском контуре. Перед отправкой текстов во внешние языковые модели из них вычищаются все чувствительные сведения — обезличивание происходит на серверах в РФ, а не на стороне поставщика модели. Это позволяет легально разбирать переписки без участия менеджера и связывать готовый результат с карточкой клиента уже внутри защищенного контура компании.
Когда не нужно применять нормы (исключения)
Требования законодательства не распространяются на обезличенные реквизиты юридических лиц и технические идентификаторы, по которым невозможно установить конкретного человека. Например, корпоративный адрес электронной почты вида info@company.ru не относится к защищаемой информации.
Изолированный номер телефона также не признается персональными данными, если у оператора связи или компании нет дополнительных сведений для идентификации абонента. Запись голоса для контроля качества или фиксации условий сделки считается данными общего типа, а не биометрией, при условии, что компания не применяет специализированное программное обеспечение для автоматического распознавания голоса и установления личности. В этих случаях сложная процедура сбора согласий и уведомления Роскомнадзора не требуется.
Ошибки при сборе контактов из открытых источников
Распространенное заблуждение бизнеса — считать правомерным сбор контактов физических лиц с сайтов бесплатных объявлений и их последующую загрузку в системы автодозвона. Законодатель полностью исключил понятие «общедоступные персональные данные», заменив его институтом сведений, разрешенных субъектом для распространения.
Публикация объявления о продаже автомобиля или квартиры не означает, что человек дал согласие на внесение его телефонного номера в сторонние базы и обзвон с рекламой. Даже если вы используете бот для Авито для автоматизации ответов, выгружать номера из профилей пользователей для холодных продаж незаконно. Рекламные сообщения требуют отдельного согласия, оформленного самостоятельным документом, а не спрятанного текстом в пользовательском соглашении.
Чек-лист: классификация рабочих контактов
- Номер телефона без привязки к ФИО: технический идентификатор, не защищается законом, если нет дополнительных сведений для идентификации.
- Номер телефона вместе с ФИО или историей заказов: данные общего характера, прямая идентификация лица.
- Общий корпоративный ящик (info@, sales@): обезличенный реквизит компании, не подпадает под защиту.
- Личный рабочий email (ivanov@): косвенный идентификатор физического лица, защищается законом при сопоставлении с должностью.
- Голосовая запись звонка: данные общего типа, не являются биометрией без использования систем распознавания личности.
Частые вопросы
Можно ли пересылать клиентские базы в зарубежных мессенджерах?
Нет. При компрометации переписки компания подпадает под санкции за утечку сведений (штраф до 15 000 000 рублей). Для финансовых структур пересылка в зарубежных мессенджерах влечет отдельный штраф до 700 000 рублей.
Нужно ли согласие, если клиент сам позвонил сделать заказ?
Отдельное согласие на обработку не требуется, поскольку сбор информации направлен на заключение или исполнение договора по инициативе самого гражданина.
Как легально использовать зарубежные нейросети для анализа диалогов?
Тексты необходимо обезличивать на российских серверах до отправки во внешние модели. Если планируется передача необезличенных материалов зарубежным поставщикам, требуется собрать отдельное согласие на трансграничную передачу данных.