Вопрос о согласие на обработку и трансграничную передачу данных для необязательной ИИ-проверки. В файле подробные вопросы
Уважаемый Денис,
да, в описанной Вами ситуации согласие на обработку персональных данных для необязательной ИИ-проверки я рекомендую получать до передачи письменного ответа или голосовой записи во внешний ИИ-сервис.
При этом отсутствие имени и email не означает, что передаваемые сведения перестают быть персональными данными. Псевдонимный идентификатор, текст ответа и особенно голосовая запись могут быть связаны с конкретным пользователем, поэтому применяются требования Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных».
Сам проект согласия в целом составлен в правильном направлении, но требует доработки. В частности, необходимо:
1. конкретизировать операции с персональными данными и сроки их хранения;
2. прямо указать, что голос не используется для биометрической идентификации пользователя;
3. определить фактических иностранных получателей, страны обработки и договорную сторону OpenAI;
4. проверить фактические сроки хранения данных в используемом API-проекте;
5. обеспечить выполнение требований о локализации персональных данных в РФ;
6. до начала трансграничной передачи выполнить процедуру, предусмотренную ст. 12 Закона № 152-ФЗ, включая уведомление Роскомнадзора.
Отдельное согласие именно на голосовую запись не требуется, если голос используется только для учебной проверки речи и не применяется для установления личности пользователя.
Объединить в одном документе согласие на обработку и трансграничную передачу допустимо. Но такое согласие должно быть самостоятельным и не заменяет обязанностей оператора перед Роскомнадзором.
Электронное подтверждение через личный кабинет также допустимо. Главное — чтобы оператор мог доказать факт предоставления согласия: необходимо сохранять пользователя, дату и время, версию текста согласия, локаль и сведения об отзыве.
Вывод:
Использовать такой механизм можно, но перед запуском текст согласия и фактическую техническую схему передачи данных желательно привести в полное соответствие с требованиями Закона № 152-ФЗ.
Если потребуется, можете обратиться ко мне в чат. Могу отдельно проверить и отредактировать текст согласия, а также определить, какие именно уведомления и документы необходимо оформить до запуска ИИ-проверки.
Уважаемый Денис, здравствуйте!
Посмотрела Вашу запись из блокнотика с вопросами (согласие). Это что, ИИ писал Вам согласие))?
Есть недочеты существенные, если что)
Сам текст согласия составлен почти корректно и содержит необходимые элементы, предусмотренные статьей 9 Федерального закона № 152-ФЗ «О персональных данных»: указаны оператор, цель обработки, перечень данных, а также порядок отзыва согласия.
www.consultant.ru/document/cons_doc_LAW_61801/6c94959bc017ac80140621762d2ac59f6006b08c/
Главный «камень преткновения» для вашей модели — это трансграничная передача.
В силу прямого указания закона, в частности, частей 3 и 4 статьи 12 Федерального закона № 152-ФЗ, вы как оператор до начала любой передачи данных за пределы РФ (включая отправку запросов к OpenAI через сервер в Финляндии) обязаны направить в Роскомнадзор отдельное уведомление о намерении осуществлять такую передачу.
3. Оператор до начала осуществления деятельности по трансграничной передаче персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять трансграничную передачу персональных данных. Указанное уведомление направляется отдельно от уведомления о намерении осуществлять обработку персональных данных, предусмотренного статьей 22 настоящего Федерального закона.
www.consultant.ru/document/cons_doc_LAW_61801/e4ebbe1780de623c7cf32a59ca82a7bb523a25dd/
Это отдельный документ, который направляется независимо от уведомления о начале обработки данных.
В уведомлении, помимо прочего, должен быть указан конкретный перечень иностранных государств, на территорию которых планируется передача.
Ваш текущий проект согласия говорит о передаче «в иностранные государства», но не конкретизирует их перечень, а это требование закона.
Более того, Вы должны получить от иностранного получателя сведения о принимаемых мерах по защите данных и о правовом регулировании той страны, где он находится.
Без этого уведомление не будет принято, и Вы не сможете законно начать передачу.
Обратите внимание на Приказ Роскомнадзора от 05.08.2022 N 128 " Об утверждении перечня государств..."
https://normativ.kontur.ru/document?moduleId=1&documentId=431811
Далее — про голосовую запись
Вы указываете, что это не является биометрической идентификацией.
Нет, это не так.
Закон в статье 11 относит к биометрическим данным сведения, которые характеризуют физиологические особенности человека и используются для его идентификации.
1. Сведения, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность (биометрические персональные данные) и которые используются оператором для установления личности субъекта персональных данных, могут обрабатываться только при наличии согласия в письменной форме субъекта персональных данных, за исключением случаев, предусмотренных частью 2 настоящей статьи.
www.consultant.ru/document/cons_doc_LAW_61801/7336c78762a98b5f4f698b8c3800dca1111acc16/
Поскольку Вы не идентифицируете личность, это действительно обработка иного типа.
Но я бы советовала в финальной редакции сделать акцент на том, что запись используется исключительно для «автоматической проверки и транскрипции речевого ответа» в целях оценки, и что анализатор не устанавливает личность.
Хотя прямое согласие на биометрию в вашем случае не требуется, избыточность в этом вопросе не помешает.
Что касается вашего вопроса об уведомлениях — то, помимо уведомления о трансграничной передаче, Вы обязаны также уведомить Роскомнадзор о начале обработки данных (статья 22).
Оператор до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять обработку персональных данных, за исключением случаев, предусмотренных частью 2 настоящей статьи.
www.consultant.ru/document/cons_doc_LAW_61801/d996966e22e1320c9de1ab82d9f6be12c3d9d765/
В вашем проекте нет реквизитов такого уведомления, а в части 4 статьи 12 прямо указано, что в уведомлении о трансграничной передаче Вы обязаны ссылаться на дату и номер ранее направленного уведомления.
Поэтому в согласии я бы рекомендовала добавить ссылку на то, что оператор направил эти уведомления в установленном законом порядке, и указать их реквизиты (обычно это ссылка на Приказ РКН о внесении Вас в реестр операторов).
С уважением, Дарья
Здравствуйте!
До начала любой передачи данных оператор обязан направить в Роскомнадзор отдельное уведомление о намерении осуществлять трансграничную передачу (ч. 3 ст. 12 № 152-ФЗ).
Это уведомление подаётся отдельно от уведомления о начале обработки (ст. 22).
В уведомлении необходимо указать конкретный перечень иностранных государств, куда планируется передача. Формулировка «в иностранные государства» без конкретики недостаточна — это прямое нарушение ч. 4 ст. 12.
Вам нужно указать все страны, где находятся OpenAI и его субобработчики (США и др.), а также получить от них сведения о принимаемых мерах защиты данных.
Ст. 11 № 152-ФЗ относит к биометрическим данным сведения, на основании которых можно установить личность и которые используются для идентификации.
Помимо уведомления о трансграничной передаче, оператор обязан уведомить Роскомнадзор о начале обработки персональных данных (ст. 22).
В уведомлении о трансграничной передаче нужно ссылаться на дату и номер ранее поданного уведомления об обработке.
