Правовые аспекты обработки персональных данных в онлайн-сервисе с нейросетью по 152-ФЗ

Здравствуйте! Вы можете работать как самозанятый и обрабатывать персональные данные по поручению клиентов. Обязанности необходимо разделить между вами и клиентами в зависимости от того, кто определяет цели и состав обработки.

1. Обязанности ваших клиентов как операторов персональных данных:

• Определить законные основания обработки данных поставщиков и покупателей.
• Обеспечить надлежащее оформление поручения на обработку персональных данных.
• Подать необходимые уведомления в Роскомнадзор, включая отдельное уведомление о трансграничной передаче, если данные направляются в США.
• Обеспечить соблюдение прав субъектов персональных данных и законность привлечения обработчиков.

Согласно ч. 3 ст. 6 Федерального закона № 152-ФЗ:

Оператор вправе поручить обработку персональных данных другому лицу с согласия субъекта персональных данных, если иное не предусмотрено федеральным законом, на основании заключаемого с этим лицом договора.

2. Ваши обязанности как исполнителя поручения:

• Закрепить в оферте условия обработки, категории данных, цели, операции и меры защиты.
• Согласовать с клиентами привлечение хостинга и поставщиков нейросетей.
• Обеспечить конфиденциальность, безопасность, ограничение доступа и удаление данных в установленных случаях.
• Проверить условия GigaChat и Яндекса относительно обработки данных третьих лиц, хранения запросов и использования их для обучения моделей.
• Обеспечить, чтобы иностранным нейросетям передавались только сведения, не позволяющие идентифицировать физических лиц, если трансграничная передача персональных данных не оформлена надлежащим образом.

3. Ваши обязанности как самостоятельного оператора:

• Подготовить политику обработки персональных данных пользователей сервиса.
• Определить правовые основания обработки регистрационных и контактных данных.
• Подать уведомление Роскомнадзора, если отсутствуют предусмотренные законом исключения.
• Организовать необходимые правовые, организационные и технические меры защиты персональных данных.

4. Что сделать до запуска:

Оформить оферту с поручением на обработку персональных данных, проверить договоры с подрядчиками, определить порядок трансграничной передачи и подготовить необходимые уведомления. Если реальные персональные данные уже используются при бесплатном тестировании, требования закона действуют независимо от отсутствия платящих клиентов.

Передача в США документов с персональными данными требует отдельной правовой проверки. Замена реквизитов метками достаточна лишь при невозможности идентификации человека по переданным сведениям. Нахождение серверов в России не освобождает от остальных требований 152-ФЗ.

Пришлите черновик политики и сведения о выбранных API. По ним можно проверить распределение обязанностей и определить необходимые изменения в документах.

Доброго времени!

По общему правилу оператор — тот, кто определяет цели, состав обрабатываемых персональных данных и действия с ними.

В вашей модели это, скорее всего, ваш клиент — юрлицо или ИП, который загружает накладные и определяет, какие данные и зачем обрабатываются. Ваш сервис выступает лицом, обрабатывающим ПДн по поручению оператора на основании ч. 3 ст. 6 152-ФЗ.

Но есть важное исключение: если вы также собираете собственные данные пользователей — e-mail, телефон, ФИО администратора, данные для аккаунта, биллинга, поддержки, — по этим данным вы самостоятельный оператор.

Практически безопасная конструкция: «клиент — оператор в отношении данных из документов; сервис — оператор в отношении учётных данных пользователя и обработчик по поручению в отношении содержимого загруженных документов».

Если в запросе к зарубежной модели есть ПДн — ФИО, ИНН, телефон, адрес ИП-поставщика, — это трансграничная передача ПДн в США. США не входит в перечень стран, обеспечивающих адекватную защиту, поэтому действует запретительный/разрешительный порядок: до передачи оператор подаёт в Роскомнадзор отдельное уведомление о трансграничной передаче, ждёт окончания срока рассмотрения и не вправе начинать передачу до получения возможности её осуществить.

Практический вывод: зарубежные модели допустимы только после оформления уведомления клиентом, договора поручения с посредником и подтверждения, что сервис не запрещает такую передачу. До этого безопаснее передавать за рубеж только обезличенные данные.

Если за рубеж уходит только таблица товаров — наименование, количество, цена, единица измерения, код товара, — а ФИО, ИНН, телефон и адрес заменены метками и восстанавливаются на российском сервере, то в самой передаваемой выборке, как правило, нет персональных данных.

Следовательно, нет и трансграничной передачи ПДн, и уведомление по ст. 12 152-ФЗ для этой операции не требуется.

Использование только российских нейросетей существенно снижает риски, но само по себе не заменяет соблюдение 152-ФЗ. Для данных покупателей — ФИО, телефоны, даты рождения — нужны законное основание обработки, поручение от клиента-оператора, минимизация состава данных и защита. Даты рождения не относятся к специальным категориям, но являются ПДн.

Самозанятый может быть обработчиком ПДн по поручению оператора: 152-ФЗ не требует, чтобы обработчиком была организация. Но как только у вас появляются платные клиенты и вы системно обрабатываете ПДн в интересах бизнеса, вам нужен полноценный комплект документов и мер.

Здравствуйте, Давид! Коллеги верно отметили, что российское размещение сервера само по себе не решает все вопросы по 152-ФЗ. Дополню важным для Вашей схемы: заменять реквизиты нужно до первого обращения к иностранному обработчику. Если исходную накладную сначала отправляют за рубеж для распознавания, а метки подставляют уже в полученный текст, исходные персональные данные уже переданы. Проверять нужно весь запрос, включая файл, распознанный текст, метаданные и журналы посредника. По статье 3 закона персональные данные позволяют определить человека и косвенно. Поэтому по одному описанию «ФИО заменяем меткой» нельзя подтвердить отсутствие персональных данных в отправляемом наборе. Начните со схемы движения данных: где выполняется распознавание, что получает посредник, что уходит поставщику модели и где хранится таблица соответствий. Для проверки достаточно искусственного примера накладной и запроса, без реальных данных поставщиков. Это позволит выбрать архитектуру до переделки оферты и политики. Условия конкретных API GigaChat и Яндекса нужно смотреть отдельно — общая политика сервиса не заменяет проверку выбранного тарифа и договора. Если сочтёте нужным, могу платно подготовить заключение по Вашей схеме: риски каждого маршрута, необходимые изменения документов и перечень действий до запуска. Для начала нужны схема, ссылки на API и черновик политики; стоимость согласуется до начала работы.