ФЗ-152 и голосовые боты: что нужно знать бизнесу о согласии на ПДн

Почему голосовой бот подпадает под ФЗ-152

ФЗ-152 «О персональных данных» регулирует любую обработку данных, по которым можно идентифицировать физическое лицо. Телефон — это ПДн. Имя клиента — ПДн. Комбинация имени и даты записи — ПДн. Любая запись разговора с клиентом, где звучат эти данные — это обработка ПДн.

Когда ваш бизнес использует голосового бота, вы становитесь оператором ПДн (вы решаете, какие данные обрабатывать и для чего). Провайдер бота — это процессор ПДн (обрабатывает данные по вашему поручению). Между вами должен быть заключён договор поручения на обработку ПДн по ст. 6 ч. 3 ФЗ-152.

На практике это означает: вы отвечаете перед Роскомнадзором за всё, что делает бот с данными ваших клиентов. Если провайдер хранит записи в США — штраф получаете вы. Если у вас нет согласий — штраф получаете вы. Ответственность нельзя переложить формально, только через грамотный договор.

Как собрать согласие на обработку ПДн голосом

Основное требование ФЗ-152 — явное и осознанное согласие субъекта на обработку его данных. Для голосового канала это означает: бот должен устно запросить согласие в начале разговора и получить устное «да».

Стандартный скрипт согласия: «Здравствуйте! Я голосовой помощник клиники [название]. Для записи вас на приём мне потребуются ваше имя и номер телефона. Согласны ли вы на обработку этих данных в целях записи и информирования о визите?». Клиент должен сказать «да» (или синоним — «согласен», «ок», «продолжайте»). Только после этого бот переходит к основному разговору.

Критично: запись согласия с таймкодом должна сохраняться в вашей системе минимум 3 года после прекращения отношений с клиентом. Это юридический документ. При проверке Роскомнадзора вы предъявляете аудио-запись с моментом согласия. Без записи — штраф, даже если реально согласие было.

Где должны храниться данные: только в РФ

С 2015 года (ФЗ-242) данные российских граждан должны первично обрабатываться и храниться на серверах в РФ. Это требование касается в том числе записей разговоров с голосовым ботом и транскриптов.

Проверьте у своего провайдера:

• Где физически находятся серверы? Должны быть на территории РФ (Москва, Санкт-Петербург, регионы). Требуйте документ — обычно это выписка из ЦОД или соглашение об уровне обслуживания с российским хостинг-провайдером.
• Как данные передаются? TLS-шифрование на всём пути — от SIP до базы. Без исключений. Особенно это касается промежуточных интеграций — если провайдер посылает транскрипты в Google для распознавания, данные уже утекли за границу.
• Как шифруются в покое? Промышленное шифрование (AES-256 или сертифицированные российские алгоритмы) обязательно для чувствительных полей: имена, телефоны, медданные, финансовая информация. Без шифрования в покое утечка равна компрометации.
• Кто имеет доступ? Должен быть журнал доступов. Инженер поддержки провайдера, открывший вашу запись разговора, должен оставить след в логах.

Особые категории ПДн: медицина, дети, биометрия

ФЗ-152 отдельно регулирует обработку специальных категорий: медицинские данные, расовая/национальная принадлежность, политические взгляды, религия, биометрия. Для них стандартное согласие недостаточно — нужно письменное согласие в чёткой форме.

На практике для голосового бота это значит: если вы медицинская клиника, бот не должен собирать информацию о диагнозе или симптомах голосом без специальной процедуры. Максимум — информирование клиента о подготовке к процедуре (не натощак ли перед УЗИ) и фиксация факта записи на приём к конкретному врачу.

Для несовершеннолетних согласие даёт законный представитель (родитель). Бот при записи ребёнка должен это уточнить: «Я правильно понимаю, что вы — родитель и даёте согласие за ребёнка?». Это тоже фиксируется записью.

Биометрию (голосовые слепки, которые позволяют идентифицировать клиента по голосу) нельзя обрабатывать без отдельного согласия по форме, утверждённой приказом ФСБ. На практике голосовые боты в российском бизнесе пока не используют биометрию — только распознавание речи без запоминания голосового профиля. Если ваш провайдер предлагает «голосовую биометрию» — уточните юридическое оформление.

Реестр российского ПО и импортозамещение

Для государственных организаций, медицинских учреждений и управляющих компаний (МУП, ГУП) с 2020 года обязательно использование ПО из реестра российского программного обеспечения (приказ Минцифры).

Проверить провайдера на reestr.minsvyaz.gov.ru — там есть поиск по названию. Включение в реестр означает: (1) ПО разработано российскими юрлицами; (2) исходный код в собственности или бессрочной лицензии; (3) техподдержка из РФ; (4) данные обрабатываются в РФ; (5) нет зарубежных встроенных компонентов с ключевым функционалом.

Для частного бизнеса это не обязательно, но полезно: провайдер из реестра прошёл дополнительную проверку, менее подвержен санкционным рискам, готов к госзакупкам если вы масштабируетесь в B2G.

Штрафы за нарушения и реальные проверки

С 2024 года действуют новые повышенные штрафы по ст. 13.11 КоАП:

• Обработка без согласия: до 300 000 ₽ для юрлиц (первое нарушение), до 500 000 ₽ при повторном.
• Нарушение хранения в РФ: до 6 млн ₽, до 18 млн при повторном.
• Утечка данных (с 2024): 3-5 млн ₽ при первой утечке, 10-18 млн при повторной + уголовная ответственность для должностных лиц.
• Неполучение согласия на публикацию: до 700 000 ₽.
• Несоблюдение формы письменного согласия для спец. категорий: до 500 000 ₽.

Роскомнадзор проводит проверки в двух режимах: плановые (раз в 3 года по графику) и внеплановые (по жалобе клиента или по инициативе при утечке). Самая частая причина внеплановой проверки — жалоба клиента, не получившего отказ на удаление своих данных. Имейте отлаженный процесс удаления по запросу клиента (срок — 30 дней с момента обращения).

Чек-лист соответствия ФЗ-152 при использовании голосового бота

1. Уведомление Роскомнадзора. Ваша организация должна быть в реестре операторов ПДн. Подача — бесплатная, через Госуслуги, срок рассмотрения — до 30 дней. Проверьте, что Роскомнадзор включил вас в реестр — это видно в открытом реестре pd.rkn.gov.ru.
2. Согласие в начале каждого звонка. Скрипт бота должен запрашивать согласие на обработку ПДн. Запись согласия сохраняется минимум 3 года.
3. Договор поручения с провайдером. По ст. 6 ч. 3 ФЗ-152. В договоре указано: какие данные обрабатываются, в каких целях, на какой срок, где хранятся, требования к безопасности.
4. Данные в РФ. Получите от провайдера подтверждение — выписку из ЦОД, соглашение с хостингом, сертификат соответствия ФСТЭК. Храните документы в сейфе до следующей проверки.
5. Процесс удаления по запросу клиента. Клиент вправе требовать удаления своих ПДн. Срок исполнения — 30 дней с момента получения запроса. Обеспечьте технический процесс: кнопка в CRM, запрос через форму, удаление всех записей включая аудио.
6. Политика конфиденциальности на сайте. По ст. 18.1 ФЗ-152. На сайте публикуете страницу /privacy/ с описанием: какие ПДн собираете, для чего, кому передаёте, сколько храните. Ссылка на политику — в футере каждой страницы.
7. Назначенный ответственный за ПДн. Для организаций от 15 сотрудников или с большим объёмом данных. Это конкретный человек в приказе — обычно руководитель службы безопасности или IT-директор.