Можно ли тогда вообще использовать зарубежную нейросеть?
Я самозанятый (НПД), планирую со временем стать ИП. Хочу продавать малому бизнесу чат-ботов для сообщений сообщества ВКонтакте (позже — MAX и Telegram). Клиенты — в основном мастера-одиночки, большинство самозанятые: массажисты, мастера эпиляции и ресниц, маникюр; реже ИП (небольшие студии) и ООО.
Как это работает. Бот отвечает покупателям мастера в его сообществе ВКонтакте: цены, услуги, подготовка к процедуре, свободное время, запись. Отвечает от имени мастера, но на прямой вопрос «вы бот?» честно говорит, что это помощник. Саму запись мастер подтверждает сам, в той же переписке ВКонтакте. Отдельной базы клиентов с именами и телефонами я не веду.
Где что находится. Программа бота работает на моём сервере, который я арендую в России. На нём хранится журнал переписки (60 дней — чтобы разбирать ошибки бота и улучшать его). Тексты ответов пишет нейросеть зарубежной компании (Google или Anthropic, США). Доступ к ней я покупаю у российского посредника (ООО/ИП в РФ, оплата в рублях) или через свой сервер в Казахстане. Перед отправкой в нейросеть моя программа заменяет в тексте имена, фамилии, телефоны, почты и ники метками («[ИМЯ_1]», «[ТЕЛ_1]»). Таблица соответствия хранится только на российском сервере. Нейросеть получает текст вида «[ИМЯ_1] спрашивает, можно ли на шугаринг при диабете», без данных, по которым можно понять, кто пишет. Имя из профиля ВКонтакте в нейросеть не передаётся.
Как я хочу оформить отношения (по образцу крупных российских сервисов, например Suvvy). Мастер — оператор персональных данных своих покупателей. Я — лицо, обрабатывающее данные по его поручению (ч. 3 ст. 6 152-ФЗ); поручение — приложение к публичной оферте. Мастер письменно выбирает, какой нейросетью пользуется бот (зарубежной с заменой данных метками или российской). Я готовлю мастеру политику обработки данных, текст согласия и черновик уведомления в Роскомнадзор. Оплата — разовая за настройку и ежемесячная за сопровождение (в неё входит определённое число ответов бота).
Вопросы:
1. Если в зарубежную нейросеть уходит текст, где имена, телефоны и ники заменены метками, а таблица соответствия хранится только в России, — является ли это трансграничной передачей персональных данных (ст. 12 152-ФЗ)? Нужно ли тогда мастеру уведомление о трансграничной передаче? Меняется ли ответ, если в тексте остаётся диагноз («у меня диабет») или косвенная примета («работаю главбухом в администрации», в небольшом городе)?
2. Если трансграничной передачей это всё-таки считается: какие страны указывать в уведомлении, когда запрос идёт через российского посредника или через мой сервер в Казахстане к компании в США? Достаточно ли написать в поручении и политике мастера общей фразой: «текст после обезличивания передаётся поставщику модели ИИ (США) через сетевой узел исполнителя в Казахстане, без хранения»? Входит ли Казахстан в новый перечень стран Роскомнадзора (приказ № 253, с 30.10.2026)?
3. Нужно ли отдельное согласие покупателя на переписку и запись, или достаточно основания «заключение договора по инициативе самого человека» (п. 5 ч. 1 ст. 6)? Достаточно ли в первом ответе бота строки со ссылкой на политику обработки данных?
4. Покупательницы сами пишут о здоровье («беременна», «аллергия», «грыжа»), хотя бот об этом не спрашивает. Как правильно получить согласие на такие данные в переписке ВКонтакте? Подойдёт ли кнопка «Согласна» со ссылкой на отдельный текст согласия, учитывая требование с 01.09.2025 оформлять согласие отдельно от других документов? Что делать с тем, что человек написал до нажатия?
5. Один из будущих клиентов — студия электроэпиляции. Если эта услуга у неё оказывается по медицинской лицензии, распространяется ли на переписку с её клиентками врачебная тайна (323-ФЗ)? Что это меняет для меня как обработчика? Можно ли тогда вообще использовать зарубежную нейросеть?
6. У того же клиента есть детская депиляция: за ребёнка пишет мама. Чьё согласие нужно и на что?
7. Мастер-самозанятый ведёт переписку с клиентами в ВКонтакте — обязан ли он подавать уведомление в Роскомнадзор как оператор? Если мастер отказывается его подавать и письменно подтверждает, что понимает риск, — защищает ли это меня как обработчика?
Для обычного обращения покупателя за услугой отдельное согласие на каждую операцию с персональными данными не обязательно, если обработка действительно необходима для заключения договора по инициативе покупателя или его исполнения.
Основание предусмотрено пунктом 5 части 1 статьи 6 Федерального закона № 152-ФЗ:
Однако необходимо разграничить обычную обработку мастером и поручение обработки вашему сервису.
По той же норме:
Такое согласие требуется, если федеральным законом не предусмотрено иное. Поэтому одного договорного основания для записи недостаточно, чтобы автоматически считать согласованным привлечение вашего сервиса к обработке.
Ссылка на политику в первом ответе бота полезна для информирования, но сама по себе не заменяет юридически необходимого согласия. Более надёжная схема предусматривает отдельное волеизъявление покупателя в отношении поручения обработки стороннему исполнителю, когда оно требуется.
В интерфейсе также следует сообщать, что отвечает автоматизированный помощник мастера. Это исключит неопределённость относительно характера взаимодействия.
Сведения о беременности, диагнозе, заболеваниях и аллергии, относящиеся к определённому покупателю, обычно являются специальной категорией персональных данных.
По частям 1 и 2 статьи 10 Федерального закона № 152-ФЗ:
Закон предусматривает и другие исключения, но обычная предварительная запись на косметическую процедуру сама по себе не означает их применимости. В частности, исключение для медицинских целей имеет дополнительные условия относительно лица, профессионально занимающегося медицинской деятельностью.
Кнопка «Согласна» возможна как элемент оформления согласия, но её недостаточно просто снабдить ссылкой на текст. Для письменного согласия в электронной форме необходимо обеспечить юридически действительную электронную подпись, идентификацию подписанта и обязательные реквизиты согласия.
По частям 1 и 4 статьи 9 Федерального закона № 152-ФЗ:
Простая электронная подпись может применяться при соблюдении статей 6 и 9 Федерального закона № 63-ФЗ, включая необходимые правила идентификации подписанта и признания электронной подписи. Обычное нажатие кнопки в ВКонтакте без соответствующего правового механизма не гарантирует соблюдения письменной формы.
Если покупатель сообщил сведения о здоровье до получения согласия, последующее нажатие кнопки не легализует автоматически уже совершённые операции обработки.
Для такой ситуации лучше предусмотреть следующий сценарий: бот обнаруживает сведения о здоровье, не отправляет их зарубежной модели, прекращает автоматическую обработку медицинского содержания и предлагает предусмотренный законом способ дальнейшего взаимодействия. Если законного основания для сохранения таких сведений нет, они не должны оставаться в журнале на общих условиях. Само поступление сообщения необходимо технически отделить от дальнейшего использования, хранения и передачи.
Самый безопасный вариант для массового продукта — вообще не обрабатывать через нейросеть индивидуальные медицинские сведения. Вопросы о противопоказаниях передавать мастеру или медицинскому работнику.
Если студия оказывает услугу в рамках лицензированной медицинской деятельности, переписка, связанная с обращением за медицинской помощью, может содержать сведения, составляющие врачебную тайну. Для этого необязательно, чтобы уже состоялся приём или была оформлена медицинская карта.
По частям 1–3 статьи 13 Федерального закона № 323-ФЗ:
Не любое сообщение студии автоматически является врачебной тайной: обычный вопрос о стоимости, например, нужно оценивать с учётом его содержания и связи с медицинской помощью.
Для вас как исполнителя это означает необходимость специальных условий конфиденциальности, ограничения доступа, защиты медицинских сведений и определения порядка их уничтожения. Договор обработки персональных данных сам по себе не является универсальным разрешением на разглашение врачебной тайны. При необходимости раскрытия её сторонним лицам требуется самостоятельное законное основание.
Прямого общего запрета на использование зарубежной нейросети для медицинской организации эта норма не устанавливает. Однако передача сведений, составляющих врачебную тайну, иностранному ИИ-поставщику без надлежащего основания создаёт дополнительные правовые риски. Замена имени меткой не устраняет их автоматически.
Для студии, работающей по медицинской лицензии, целесообразно использовать бота только для административных задач: предоставления общих сведений, стоимости, расписания и передачи заявки сотруднику. Индивидуальные медицинские вопросы следует исключить из внешних ИИ-запросов.