Ошибки в обработке пользовательской информации могут обернуться не только репутационными рисками, но и серьезными штрафами. Чтобы бизнесу и экспертам безопасно работать с чат-ботами, нужно разбираться в правилах и соблюдать закон.
С мая 2025 года вступают в силу новые изменения в законодательстве о персональных данных.
Данные изменения касаются всех юридических лиц (далее – ЮЛ), индивидуальных предпринимателей (далее – ИП), самозанятых и физических лиц, которые обрабатывают ПДн не в личных целях (под персональными данными понимается любая информация о человеке, например: ФИО).
Что такое персональные данные?
Для начала давайте разберёмся в определениях, затем обсудим штрафы, а потом поговорим о том, какие документы нужно размещать на сайте и в боте.
Персональные данные (ПДн) — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту персональных данных). Это определение даёт ст. 3 ФЗ 152-ФЗ «О персональных данных».
Другими словами, данные, которые относятся к конкретному человеку и позволяют его идентифицировать. Если с помощью этой информации можно установить личность человека — это персональные данные:
- Имя, фамилия, отчество
- Номер телефона
- Паспортные данные
- Банковские данные
- ИНН
- СНИЛС
- Cookies
- Ник в социальной сети
Собирает, обрабатывает и хранит информацию оператор персональных данных. Им может быть компания или физлицо, которые ведут коммерческую деятельность, работают с поставщиками, нанимают персонал и т. д.
Проверить, является ли компания оператором ПДн, можно на официальном сайте Роскомнадзора. Оператор должен защищать данные от утечки и использовать их только для тех целей, на которые дал согласие пользователь.
Вы оператор персональных данных, если:
- Заключаете договор с клиентом
- Собираете формы обратной связи
- Собираете клиентскую базу
- Нанимаете сотрудников
- Заключаете договоры с подрядчиками
- Собираете аналитику на сайте (cookies)
Каждый, кто работает с персональными данными, должен до начала обработки информации сообщить об этом Роскомнадзору. Об этом говорится в статье 22 Федерального закона № 152-ФЗ «О персональных данных».
Уведомление в Роскомнадзор нужно подавать по форме. Можно отправить через Госуслуги или в бумажном виде Почтой России. Ещё можно уведомить через сайт Роскомнадзора, но понадобится усиленная квалифицированная электронная подпись.
Трансграничная передача ПДн — когда оператор передаёт персональные данные в другую страну с разрешения Роскомнадзора.
К трансграничной передаче относится:
- Использование любых инструментов Google, иностранных облачных сервисов;
- Переписка с иностранными компаниями с помощью корпоративной почты и др.
Какие штрафы за нарушение закона с 30 мая 2025 года
Штраф за обработку ПДн без оснований или если согласие взяли на одну цель, а обработка по другой цели:
Увеличены штрафы по части 1 статьи 13.11 «Обработка персональных данных в случаях, не предусмотренных законодательством Российской Федерации в области персональных данных, либо обработка персональных данных, несовместимая с целями сбора персональных данных»:
- на физлиц — от 10 000 до 15 000 ₽;
- на должностных лиц — от 50 000 до 100 000 ₽;
- на юрлиц — от 150 000 до 300 000 ₽.
В связи с изложенным, рекомендуем:
- Определить, когда и зачем нужны ПДн.
- Проверить локальные акты по персональным данным, чтобы в них четко были прописаны цели обработки ПДн. И данные в локальных актах совпадали с данными, указанными в Уведомлении в РКН и фактической деятельностью.
- Проверить наличие правовых оснований обработки ПДн по каждой цели.
- Правильное оформление и наличие Согласий.
- Проверить документы на наличие формулировок «Бессрочная обработка ПДн» (не допускается!) и следить за сроками обработки ПДн, своевременно уничтожать ПДн.
За неподачу уведомления или несвоевременную подачу уведомления о включении в реестр операторов Роскомнадзора:
В КоАП РФ была добавлена новая часть 10 статьи 13.11 «Невыполнение или несвоевременное выполнение оператором обязанности по уведомлению уполномоченного органа о намерении осуществлять обработку персональных данных».
(Отсутствие поданного уведомления в Роскомнадзор)
- на физлиц от 5 000 до 10 000 ₽;
- на должностных лиц от 30 000 до 50 000 ₽;
- на юрлиц от 100 000 до 300 000 ₽.
Добавлена новая часть 11 статьи 13.11 КоАП РФ «Невыполнение или несвоевременное выполнение оператором обязанности по уведомлению уполномоченного органа в случае установления факта неправомерной или случайной передачи персональных данных, повлекшей нарушение прав субъектов персональных данных».
(Не уведомление контролирующего органа об утечке персданных)
Для того чтобы избежать штрафа, необходимо принять следующие меры:
- Оформить документы, в которых будут прописаны правила работы с персональными данными, действия в случае утечки. Этот документ называется «Приложение №6 Инструкция о порядке взаимодействия с Роскомнадзором».
- Ознакомить с документами сотрудников.
- Обязательно прописать, что ПДн нельзя передавать за пределы организации, если это не требуется каким-либо законодательством.
- На регулярной основе контролировать инциденты с ПДн.
Для пользователей сервиса «152DOC для 1С», в сервисе есть инструкция, в которой написано, что предпринять, чтобы уведомить Роскомнадзор об утечке.
Получить минимальный штраф или же снизить сумму штрафа поможет принятие мер по защите ПДн:
- Разработать внутренние локальные документы по ПДн, в которых будут прописаны все правила, обозначены доступы к ПДн, назначены ответственные лица и прочее.
- Установить необходимые средства защиты информации в зависимости от объемов информационных систем.
- Провести аудит по работе с ПДн, избавиться от лишних перс. данных. Уничтожить ненужные таблицы, файлы, копии, содержащие ПДн.
Подписаться на RX-Loyalty в социальных сетях
Если произошла утечка ПДн и оператор не уведомил об этом Роскомнадзор (или несвоевременно уведомил):
- на физлиц — от 50 000 до 100 000 ₽;
- на должностных лиц — от 400 000 до 800 000 ₽;
- на юрлиц — от 1 000 000 до 3 000 000 ₽.
Если произошла утечка ПДн от 1000 до 10 000 субъектов и (или) от 100 000 до 1 000 000 идентификаторов*:
- на физлиц — от 200 000 до 300 000 ₽;
- на должностных лиц — от 300 000 до 500 000 ₽;
- на юрлиц — от 5 000 000 до 10 000 000 ₽.
Если произошла утечка ПДн более 100 000 субъектов и (или) более 1 000 000 идентификаторов*:
- на физлиц — от 300 000 до 400 000 ₽;
- на должностных лиц — от 400 000 до 600 000 ₽;
- на юрлиц — от 10 000 000 до 15 000 000 ₽.
Повторная утечка ПДн субъектов и (или) более 1 000 000 идентификаторов*:
- на физлиц — от 400 000 до 600 000 ₽;
- на должностных лиц — от 800 000 до 1 200 000 ₽;
- на юрлиц — от 1 до 3% общей суммы выручки за календарный год, который предшествует году нарушения.
Избежать утечек сложно, но непринятие достаточных мер повлечет за собой максимальное наказание.
ИП отвечает, как юрлицо.
*Идентификатор — уникальное обозначение сведений о физлице в системе оператора ПДн, которое относится к этому лицу.
Какие документы нужно разместить на сайте и в боте
Политика конфиденциальности составляется на основе закона о персональных данных. Из документа должно быть понятно, для каких целей собирается ПДн. Прописываются список ПДн, права пользователей и контакты оператора.
Согласие на обработку ПДн — это право предпринимателя начать собирать, обрабатывать и хранить информацию о пользователях.
- Не нужно брать отдельно согласие, если ПДн нужны для заключения и исполнения договора. Например, если компания заключает договор с самозанятым на какие-либо услуги или работодатель подписывает трудовой договор с сотрудником.
- Не нужно брать отдельное согласие, если предприниматель собирает в бот своих клиентов, а с ними уже есть договоры.
- Если это новые пользователи из разных каналов, то согласие нужно.
Оферта — не нужна, если проводите опросы или через бот рассылаете уведомления о мероприятиях.
Что нужно размещать в чат-ботах?
Если чат-бот никак не связан с сайтом, то нужно разместить в нём ссылку на политику конфиденциальности и взять согласие на сбор и обработку ПДн.
Можно отправлять пользователям такое сообщение:
«Продолжая пользоваться чат-ботом, вы даёте своё согласие на обработку ПДн. С политикой конфиденциальности можете ознакомиться по ссылке».
Разместить документ с политикой нужно на русских облаках, например, на Яндекс.Диске.
Если чат-бот со сложным интерфейсом, например, имеет генеративный функционал, то нужно разместить пользовательское соглашение или ссылку на него. В соглашении указать, что можно делать в этом боте.
Согласие на обработку ПДн нужно обязательно спрашивать в чат-боте или только перед оплатой?
Оплата в чат-боте не связана с обработкой ПДн.
Если вы собираете, обрабатываете или храните данные, нужно в первом сообщении в боте взять согласие, дать ссылки на политику конфиденциальности и пользовательское соглашение.
У пользователей будет больше доверия, если вы расскажете, какие конкретно данные вы собираете.
Можно ли отправлять данные человека (имя, аккаунт, почта и т. д.) в Google-таблицу?
Лучше работать с российскими инструментами, так как использование любых инструментов Google считается трансграничной передачей ПДн. Чтобы всё было законно, нужно получить разрешение Роскомнадзора.
Сервис «152DOC для 1С»
Сформировать полный пакет локально-нормативных актов для исполнения требований 152-ФЗ помогает сервис «152DOC для 1С». Сервис «152DOC для 1С» — конструктор ОРД. Позволяет сформировать полный пакет ОРД в рамках требований Роскомнадзора. Формы документов ОБНОВЛЯЮТСЯ, как только происходят изменения в законодательстве.
Локально-нормативные акты необходимы для:
- Исполнения требований законодательства
- Правильного описания процессов по работе с персональными данными внутри компании и обучения сотрудников
- Успешного прохождения проверок со стороны органов контроля, таких как Роскомнадзор, ФСБ и пр.
Сервис 152DOC позволяет:
- Проверить клиента в реестре операторов
- Проверить, что у вашего клиента сайт находится на территории РФ
- Проверить наличие cookies и метрических программ на сайте клиента (упреждающий баннер: Документ Политика, Документ Согласия, должно быть отражено, что на сайте есть cookies и/или метрические программы)
- Проверить формы сбора персональных данных
Что такое форма сбора персональных данных:
- заявки на консультации
- сбор обратной связи и отзывов
- подписка на рассылки
- запись на консультации и т. д.
Под каждой формой сбора персональных данных должно быть:
- Согласие и поле, в котором Субъект персональных данных поставит отметку о Согласии
- Политика и поле, в котором Субъект персональных данных поставит отметку об ознакомлении с Политикой
Проверьте оформление Согласия, оно должно содержать поля в соответствии с требованием законодательства:
- Сведения об операторе (официальное наименование/ФИО ИП, реквизиты)
- Законную, однозначную, конкретную цель обработки ПДн; цель однородная и объемы собираемых данных не отличаются
- Перечень обрабатываемых ПДн
- Перечень действий с ПДн
- Сведения о лицах, которым будут переданы ПДн (в случае передачи перечислить все третьи лица)
- Срок действия согласия (не может быть бессрочным)
Документ Политика должен располагаться в «подвале» сайта или под каждой формой сбора ПДн.
Требования к содержанию Политики:
- Информация об операторе (наименование или ФИО, ИНН), его контактная информация
- Цели обработки ПДн
- Категории и перечень обрабатываемых ПДн в разрезе целей, субъекты ПДн в разрезе целей, способы, сроки их обработки и хранения, порядок уничтожения ПДн при достижении целей их обработки или при наступлении иных законных оснований
- Правовые основания обработки ПДн
- Перечень мер, принимаемых оператором и направленных на обеспечение выполнения оператором обязанностей, предусмотренных федеральным законом «О ПДн»
- Информация о передаче оператором ПДн третьим лицам с указанием правового основания, цели, состава передаваемых ПДн
- Информация о метрических программах и cookies
- Способ отзыва ПДн
Оформление фотографий на сайте:
Персональные данные опубликованы на сайте при наличии правовых оснований в соответствии с ч.1 ст.6 и ст. 10.1 152 ФЗ. Субъектами установлены условия и запреты на обработку неограниченным кругом лиц опубликованных персональных данных.
Проверьте, что под фото или в подвале сайта опубликована информация об условиях обработки и о наличии запретов и условий на обработку неограниченным кругом лиц персональных данных, разрешенных субъектом персональных данных для распространения.
Примеры:
«ПДн опубликованы на сайте при наличии правовых оснований в соответствии с ч 1 ст 6 и ст 10 1 152 ФЗ. Субъектами установлены запреты на обработку неограниченным кругом лиц опубликованных персональных данных»
«Персональные данные распространяются с разрешения субъекта для цели. Условия и запреты субъекта на обработку таких данных любыми лицами установлены следующие: [……..]»
Хотите настроить программу лояльности в полном соответствии с 152-ФЗ?
Оставьте заявку ниже — мы поможем настроить сбор и обработку персональных данных в рамках закона на платформе RX-Loyalty.
Думаете, как внедрить систему лояльность в ваш бизнес?
