Персональные данные и ИИ-операторы: что делать бизнесу в 2025–2026 годах

В FINLEO мы используем AI-оператора Notos для обзвона клиентов, квалификации и автоматизации. И каждый день нам задают один и тот же вопрос: «А как быть с персональными данными? Это вообще законно?»

Ответ: да, законно. Но с 2025 года правила стали строже. Штрафы выросли, требования к согласию ужесточились, а хранить данные клиентов теперь можно только в России.

В этом материале — 8 ключевых вопросов и ответов о том, как работать с персональными данными при использовании AI-операторов. Информация актуальна на 2025–2026 годы с учётом последних поправок в 152-ФЗ.

Вопрос 1: Кто такой оператор персональных данных и касается ли это меня?

Ответ: Оператор — это любая организация или ИП, которые самостоятельно или совместно с другими лицами организуют и (или) осуществляют обработку персональных данных.

Если вы:

• ведёте CRM с именами и телефонами клиентов;
• записываете телефонные разговоры;
• используете AI-оператора, который звонит клиентам;
• собираете данные через формы на сайте —

вы оператор. Исключений для малого бизнеса нет. Даже самозанятые обязаны соблюдать 152-ФЗ.

Вопрос 2: Какое согласие на обработку данных теперь нужно и как его оформить?

Ответ: С 1 сентября 2025 года вступили в силу новые требования к согласию:

• Согласие должно быть информированным, конкретным, предметным и сознательным.
• Оно должно быть оформлено отдельным документом — нельзя включать его в договор, оферту, пользовательское соглашение или любой другой документ.
• В согласии нужно указать конкретные цели обработки данных.
• Если данные обрабатываются с использованием искусственного интеллекта — это тоже нужно указать.
• Согласия, полученные до 1 сентября 2025 года, продолжают действовать и переоформления не требуют.

Вопрос 3: Нужно ли уведомлять Роскомнадзор о том, что я работаю с персональными данными?

Ответ: Да. С 30 мая 2025 года все операторы — включая ИП и самозанятых — обязаны подать уведомление в Роскомнадзор о начале обработки персональных данных.

Уведомление подаётся до начала обработки. За его отсутствие — штраф до 300 000 ₽. Это обязательное требование, которое нельзя игнорировать.

Вопрос 4: Где можно хранить персональные данные клиентов?

Ответ: Только на территории России. С 1 июля 2025 года действует императивная норма о локализации: первичный сбор, запись, систематизация, накопление и хранение данных должны производиться исключительно с использованием баз данных, размещённых на территории РФ.

Это касается:

• CRM-систем;
• облачных сервисов;
• сторонних виджетов и форм на сайте;
• любых инструментов, где хранятся данные клиентов.

Если вы используете иностранные облачные сервисы — убедитесь, что данные физически хранятся в России.

Вопрос 5: Можно ли записывать телефонные разговоры с клиентами?

Ответ: Да, но только с их согласия. Голосовая запись разговора относится к биометрическим персональным данным. Согласно статье 11 152-ФЗ, обработка биометрических данных допускается только с письменного согласия субъекта.

Запись разговора без согласия — прямое нарушение закона. При использовании AI-оператора Notos мы всегда фиксируем факт согласия на запись и храним его вместе с записью разговора.

Вопрос 6: Можно ли использовать ИИ для обработки персональных данных?

Ответ: Можно, но с соблюдением всех требований 152-ФЗ. Использование ИИ-сервисов и нейросетей в работе с персональными данными полностью подпадает под действие закона.

Ключевые моменты:

• Оператор остаётся оператором при любом ИИ-инструменте — ответственность за данные не снимается.
• В согласии на обработку данных нужно указать, что информация обрабатывается в том числе с использованием ИИ.
• Передача персональных данных в ИИ-сервис без письменного согласия — нарушение, даже если сотрудник сделал это по незнанию.
• Обезличенные данные можно обрабатывать без согласия для целей обучения ИИ, но только если обезличивание исключает возможность прямой идентификации.

Совет юриста: используйте ИИ только для обработки данных, на которые у вас есть согласие. И убедитесь, что ваш ИИ-провайдер хранит данные в России.

Вопрос 7: Можно ли передавать персональные данные третьим лицам, например, ИИ-провайдеру?

Ответ: Да, но только с согласия субъекта персональных данных. Согласно статье 7 152-ФЗ, операторы и иные лица, получившие доступ к персональным данным, обязаны не раскрывать их третьим лицам без согласия.

Если вы передаёте данные ИИ-сервису для обработки:

• Получите письменное согласие клиента.
• Укажите в согласии, что данные будут переданы третьему лицу (ИИ-провайдеру).
• Убедитесь, что провайдер соблюдает 152-ФЗ и хранит данные в России.

Исключение — обезличенные данные, которые не позволяют идентифицировать человека.

Вопрос 8: Какие штрафы грозят за нарушения и что будет в 2026 году?

Ответ: С 2025 года штрафы за нарушения в сфере персональных данных кратно повышены:

• За неподачу уведомления в Роскомнадзор — до 300 000 ₽.
• За обработку данных без согласия, неправильное хранение или утечку — суммы могут быть значительно выше, вплоть до уголовной ответственности.

Роскомнадзор усиливает надзорную деятельность, особенно в отношении сайтов операторов.

Что будет в 2026 году: с 1 сентября 2026 года вступает в силу законопроект «Антифрод-2» — комплексное изменение правил обработки персональных данных. Ожидается дальнейшее ужесточение контроля за деятельностью операторов и повышение уровня защиты данных.

Как FINLEO и Notos решают вопросы с персональными данными

Мы понимаем, что работа с персональными данными — это зона высокой ответственности. Поэтому в FINLEO мы:

• Всегда получаем согласие на обработку и запись разговора.
• Храним данные только в России — все серверы локализованы.
• Используем ИИ законно — с указанием этого в согласии.
• Обезличиваем данные там, где это возможно.
• Не передаём данные третьим лицам без явного согласия клиента.

Notos спроектирован с учётом требований 152-ФЗ. Это не просто «робот для звонков», а инструмент, который помогает бизнесу работать законно и безопасно.

Хотите автоматизировать звонки, но боитесь нарушить 152-ФЗ?

FINLEO и Notos уже решили все вопросы с персональными данными. Мы поможем вам настроить законную работу с клиентской базой: согласия, запись звонков, хранение в России — всё под контролем.