Данные покупателя · 152-ФЗ и 572-ФЗ
Данные от ИИ-агента: три проверки перед обработкой
Взаимодополняющие проверки.
Данные от ИИ-агента не освобождают продавца от проверки целей, правовых оснований и своей роли в обработке.
Определите цель и необходимый объём
Для продажи, доставки и расчётов продавец определяет собственные цели обработки. Состав сведений должен соответствовать этим целям; для сроков хранения нужно правовое обоснование.
Проверьте основание для каждой цели
Исполнение договора с покупателем может быть основанием только в пределах необходимой обработки. Дополнительные цели не получают это основание автоматически.
Разделите роли продавца и сервиса
Внешний оператор агента может самостоятельно определять цели обработки или действовать по поручению. Роль устанавливают отдельно для каждой цели и операции; обычного договора на доступ к программе недостаточно для оформления поручения.
Учтите получение не от субъекта
Если сведения передал внешний сервис, проверьте обязанности при получении данных не от самого покупателя и применимость исключений, в том числе связанных с исполнением договора.
Не считайте передачу данных агентом ни доказательством нарушения, ни подтверждением законности: проверьте конкретную модель обработки.
Что проверить до запуска обмена данными
Редакционный ориентир: зафиксируйте цели обработки, перечень необходимых данных, основания, роли участников и сроки хранения. Если сервис действует по поручению, проверьте содержание поручения по ч. 3 ст. 6 152-ФЗ. Этот список помогает организовать проверку, но не является установленной законом формой документа.
Локализация при сборе и трансграничная передача — две отдельные процедуры. Соблюдение условий одной не означает выполнение требований другой.
Проверьте базы при сборе данных
При сборе персональных данных граждан РФ запрещены запись, систематизация, накопление, хранение, уточнение и извлечение с использованием баз за пределами России. Важны гражданство субъекта и обстоятельства сбора.
Проверьте исключения из запрета
Исключения к правилу локализации отсылают к этим пунктам ст. 6. Исполнение договора по п. 5 ч. 1 ст. 6 в перечень исключений не входит.
Отдельно оцените передачу за рубеж
До начала трансграничной передачи направляют специальное уведомление Роскомнадзору и выполняют предварительные обязанности, включая получение необходимых сведений об иностранном получателе. Учитывают страну получателя и действующие ограничения.
Не подменяйте проверку копированием
Копия в российской базе не подтверждает законность предшествующей или параллельной зарубежной обработки. Уведомление Роскомнадзора не отменяет локализацию и не даёт безусловного разрешения на любую передачу.
Первичной записи в России и отправки уведомления недостаточно, чтобы считать любое зарубежное хранение допустимым.
Что выяснить о зарубежном ИИ-сервисе
Редакционный ориентир: установите, кто собирает сведения, где расположены базы, какие операции выполняет сервис и действует ли он по поручению. Отдельно определите иностранных получателей, правовое основание передачи и применимые ограничения. Письмо Минцифры от 12 мая 2025 года носит разъяснительный характер и не заменяет закон.
Использование ИИ не означает автоматического применения ст. 16 152-ФЗ. Для биометрических сценариев также проверяют цель и специальный режим.
Проверьте признаки решения
Норма относится к решениям на основании исключительно автоматизированной обработки персональных данных, которые порождают юридические последствия либо иначе затрагивают права и законные интересы субъекта. Нужны все эти признаки.
Обеспечьте основание и возражение
Если норма применима, основанием служит письменное согласие либо федеральный закон с мерами защиты прав субъекта. Нужно разъяснить порядок и последствия решения, предоставить возможность возразить и соблюдать процедуру рассмотрения возражения.
Разделите биометрию и согласие на покупку
Если лицо используют для установления личности и применим режим биометрических данных, основание определяют по ст. 11 152-ФЗ. По общему правилу требуется письменное согласие с учётом законных исключений. Оно не заменяет подтверждение условий покупки; дополнительно проверяют применимость 572-ФЗ.
Проверьте систему и хранение
В системах, подпадающих под ст. 15 572-ФЗ, действуют специальные ограничения. Использованные для аутентификации биометрические данные можно хранить только для рассмотрения обращений субъекта и не более 10 суток. Статья 16 устанавливает требования к соответствующим системам и организациям.
Правило «не более 10 суток» не является общим сроком для любых биометрических данных: оно относится к указанному в ст. 15 572-ФЗ сценарию.
Что определить для журнала доказательств
Редакционный ориентир: разделите идентификацию и аутентификацию, исходное изображение, вектор и результат проверки. Состав доказательств и сроки хранения определите до запуска. Хранение изображения вместе с журналом «на случай спора» требует основания и соблюдения применимых сроков; согласие субъекта не снимает специальных ограничений 572-ФЗ.