Персональные данные в нейросети: что требует 152-ФЗ

Персональные данные по п. 1 ст. 3 152-ФЗ это любая информация о прямо или косвенно определяемом человеке. В юридических документах их много: стороны и подписанты договора, работники в трудовом споре, должники, наследники, свидетели.

Обработка по п. 3 ст. 3 это любое действие с такими данными, автоматизированное или нет: сбор, запись, хранение, извлечение, использование, передача. Загрузка договора в нейросеть подходит сразу под несколько действий, ответ модели с теми же именами под еще одно.

Тест для юриста перед загрузкой:

1. В тексте есть человек, которого можно узнать по имени, должности, адресу или номеру документа.

2. Текст уходит за пределы систем фирмы или клиента: в чужое облако или на зарубежный сервер.

3. С тем, кто получает текст, нет договора об обработке по поручению.

Если верны первые два пункта, это обработка с передачей. Если верен и третий, передача идет без поручения, которого требует ч. 3 ст. 6 152-ФЗ. Первый пункт снимает обезличивание документов до отправки.

Ч. 5 ст. 18 152-ФЗ требует, чтобы сбор и хранение персональных данных граждан России шли в базах на территории России. Зарубежный сервис не может быть первой базой, куда попадают сведения о доверителе.

Отсюда порядок: сначала документы попадают в системы фирмы в России, и только потом часть из них может уйти дальше по правилам трансграничной передачи. За нарушение локализации по ч. 8 ст. 13.11 КоАП юрлицу грозит штраф до 6 млн руб.

У зарубежных сервисов есть и второй вопрос: договор об обработке по поручению с российской фирмой заключают не все, а без него передача не укладывается в ч. 3 ст. 6. Условия и доступность крупных сервисов в России разобраны на странице о законе и данных раздела «Суверенный ИИ».

Трансграничная передача по п. 11 ст. 3 152-ФЗ это передача персональных данных на территорию иностранного государства органу власти, физическому или юридическому лицу. Документ, отправленный в сервис с серверами за рубежом, под это определение попадает.

С 1 марта 2023 года оператор до начала такой передачи подает уведомление в Роскомнадзор (ч. 3 ст. 12 152-ФЗ). Уведомление подается до передачи, а не после первого запроса юриста в чат.

Что проверить в фирме:

1. Пользуются ли юристы зарубежными ИИ-сервисами с документами клиентов, в том числе с личных аккаунтов.

2. Подано ли уведомление и указаны ли в нем страны и получатели.

3. Совпадает ли фактическая передача с политикой обработки персональных данных фирмы.

Как подать уведомление и что в нем указать, в материале о трансграничной передаче данных.

После 420-ФЗ штраф по ст. 13.11 КоАП зависит от того, что именно нарушено. Для юрлица в редакции от 4 августа 2026 года:

1. Обработка без письменного согласия там, где оно нужно: 300 000-700 000 руб. (ч. 2).

2. Нарушение локализации: до 6 млн руб. (ч. 8).

3. Роскомнадзор не уведомлен об утечке: 1-3 млн руб. (ч. 11).

4. Утечка: 3-5 млн, 5-10 млн или 10-15 млн руб. в зависимости от числа субъектов (ч. 12-14).

5. Повторная утечка: 1-3% выручки, но не меньше 20 млн и не больше 500 млн руб. (ч. 15).

Ч. 10 добавляет штраф 100 000-300 000 руб. за то, что оператор не уведомил Роскомнадзор о намерении обрабатывать персональные данные. Фирме, которая еще не подала такое уведомление, стоит начать с него.

За рубежом штрафуют и поставщиков: 20 декабря 2024 года итальянский регулятор персональных данных оштрафовал OpenAI на 15 млн евро за обработку данных при обучении ChatGPT. Первые дела российских судов разобраны в статье о штрафах за персональные данные.

Законная схема для фирмы складывается из пяти шагов, и ни один из них не требует отказа от ИИ.

1. Для каждого потока документов определить, кто оператор и на каком основании идет обработка.

2. Держать документы и модель в России: на сервере фирмы или в российском облаке. Трансграничной передачи тогда нет, а требование ч. 5 ст. 18 выполнено.

3. С подрядчиком, который настраивает или обслуживает ИИ, заключить договор с поручением по ч. 3 ст. 6: перечень данных, действия, цели, конфиденциальность, требования к защите.

4. Обезличивать документы, если они уходят во внешний сервис, и описать это в политике обработки персональных данных.

5. Обновить политику и уведомление Роскомнадзора, если ИИ меняет состав действий с данными или круг получателей.

Как это устроено в наших внедрениях, в блоке «Как мы защищаем данные» ниже и на странице о безопасности данных.