Новости

Штрафы за утечку персональных данных выросли: что проверить, если клиентам отвечает ИИ-агент

Михаил МозгСобытие: март 2026Разбор опубликован: 28 сентября 20262 минуты чтения

Переписка агента с клиентами это персональные данные: имена, телефоны, иногда адреса и заказы. С 30 мая 2025 года по закону 420-ФЗ за утечку персональных данных компании грозят штрафы в миллионы рублей. В марте 2026 года арбитражные суды рассмотрели первые такие дела: по данным Гаранта, микропредприятию суд снизил штраф до 400 000 ₽, а компании с первым нарушением заменил штраф предупреждением. Ниже цифры из обзора КонсультантПлюс и что проверить в работе ИИ-агента, чтобы он не стал источником утечки.

Содержание

Цифры штрафов
Где ИИ-агент может стать источником утечки
Что делаем мы
Пять вопросов подрядчику
Что дальше

Цифры штрафов

Утечка данных от 1 000 до 10 000 человек: 3–5 млн ₽; от 10 000 до 100 000: 5–10 млн ₽; более 100 000: 10–15 млн ₽. Специальные категории 10–15 млн ₽, биометрия 15–20 млн ₽. Повторная утечка: 1–3% годовой выручки, не меньше 20–25 млн ₽ и до 500 млн ₽. Если не уведомить Роскомнадзор об утечке или уведомить с опозданием (первое уведомление в течение 24 часов, итоги расследования в течение 72 часов): 1–3 млн ₽ для компании. Если не подать уведомление о намерении обрабатывать персональные данные: 100–300 тысяч ₽. Скидку 50% за оплату в течение 20 дней на штрафы по статье 13.11 КоАП больше не дают.

Где ИИ-агент может стать источником утечки

Переписка уходит в иностранный сервис, где обрабатывается текст сообщений. У агента учетная запись с полными правами в CRM. Данные хранятся у подрядчика по подписке и остаются там после расторжения. Нет документов: политики, согласия, договора с подрядчиком об обработке по поручению.

Что делаем мы

Персональные данные обрабатываем на серверах в России по 152-ФЗ. У агента отдельная учетная запись с правами только на его процесс. После внедрения система, данные и доступы у клиента. Это не снимает с вас обязанности оператора данных, но снижает риск утечки через агента.

Пять вопросов подрядчику

Где физически хранятся данные и переписка. Через какие внешние сервисы проходит текст сообщений. Какие права у агента в CRM и 1С. Что с данными при расторжении. Есть ли документы об обработке по поручению. Это не юридическая консультация: документы проверяет юрист.

Коротко

Штрафы за утечку персональных данных выросли до миллионов рублей. Переписка агента это персональные данные, поэтому проверьте три вещи: данные хранятся в базах в России (этого требует 152-ФЗ), у агента минимальные права, с подрядчиком заключено поручение на обработку данных.

Вопросы и ответы

Кто отвечает за утечку, если данные ушли через подрядчика?

По 152-ФЗ перед клиентом за действия подрядчика отвечает оператор данных, то есть компания, которая поручила ему обработку. Подрядчик отвечает перед оператором. Если подрядчик иностранный, перед клиентом отвечают оба.

Какой штраф за первую утечку персональных данных?

По 420-ФЗ с 30 мая 2025 года от 3 млн ₽ при утечке данных 1 000 и более человек и до 15 млн ₽ при утечке данных более 100 000 человек. Повторная утечка 1–3% выручки, минимум 20–25 млн ₽.

Что проверить у ИИ-агента?

Где хранится переписка, через какие сервисы проходит текст сообщений, какие права у агента в CRM, что с данными при расторжении и есть ли документы об обработке по поручению.

Источники и даты

Федеральный закон 420-ФЗ от 30.11.2024, в силе с 30 мая 2025 года: штрафы за утечку 3–15 млн ₽ в зависимости от объема, повторные 1–3% годовой выручки, минимум 20–25 млн ₽, максимум 500 млн ₽.