Передавать в нейросеть документы с ФИО, телефонами, резюме, обращениями и записями разговоров без предварительной проверки нельзя. Компания должна определить законную цель, основание обработки, получателя данных, расположение серверов и условия хранения запросов. Для публичного сервиса безопасное правило простое: сначала надежно обезличить текст, а при невозможности - не загружать его.
Почему загрузка текста в нейросеть считается обработкой данных
Персональными являются любые сведения, по которым человека можно определить прямо или косвенно. Это не только паспортные данные. Под действие закона могут попадать имя, номер телефона, электронная почта, должность, зарплата, резюме, адрес доставки, содержание жалобы и запись разговора.
Когда сотрудник вставляет такой текст в окно нейросети, сведения передаются владельцу сервиса и автоматически обрабатываются. Система может сохранить запрос, направить его на серверы подрядчиков, включить в журналы безопасности или использовать для улучшения модели.
Особенно опасно загружать медицинские документы, сведения о здоровье, национальности, религиозных взглядах и судимости. Фотография лица или запись голоса признается биометрией, если используется для установления личности.
Даже после удаления ФИО человек иногда определяется по должности, адресу, номеру договора и обстоятельствам события. Поэтому замена имени инициалами еще не гарантирует обезличивание.
Кроме персональных данных документ может содержать сведения о сделках, ценах, клиентах и технологиях. Порядок их защиты дополнительно разобран в материале о режиме коммерческой тайны, NDA и ответственности сотрудников.
Всегда ли нужно согласие человека
Согласие требуется не при любой обработке. Например, компания вправе использовать сведения клиента, необходимые для исполнения заключенного с ним договора. Работодатель может вести кадровый и бухгалтерский учет на основании закона и трудовых отношений.
Однако первоначальное основание не разрешает использовать информацию для любой новой цели. Если сведения передаются внешней нейросети для подготовки рекламы, оценки поведения, обучения модели или внутреннего эксперимента, такую цель придется обосновать отдельно.
Передача данных стороннему сервису обычно оформляется как поручение обработки. В договоре с владельцем нейросети должны быть определены цели, перечень данных, операции, меры безопасности, конфиденциальность и порядок сообщения об инцидентах. В предусмотренных законом случаях потребуется согласие субъекта.
Для работников правило строже. Работодатель не должен передавать их данные третьему лицу без письменного согласия, если передача прямо не предусмотрена законом. Общей фразы из кадровой анкеты о передаче сведений «любым третьим лицам» может оказаться недостаточно.
Подробно основания и содержание документа разобраны в статье о том, когда нужно согласие на обработку персональных данных.
Важно! Этот документ можно скачать в КонсультантПлюс
Скачать в КонсультантПлюсБесплатный доступ к документуЭто общий образец, который нужно дополнить под использование нейросети. Укажите юридическое лицо - владельца сервиса, конкретную цель, категории передаваемых сведений, выполняемые операции, срок обработки и порядок отзыва. Отдельно пропишите, допускается ли хранение запросов, использование данных для обучения модели и передача за пределы России.
Согласие не устраняет нарушение локализации, не заменяет договор с подрядчиком и не освобождает компанию от мер информационной безопасности.
Что проверить в условиях нейросервиса
Название приложения или корпоративный тариф сами по себе ничего не гарантируют. Компания должна выяснить, какое юридическое лицо получает запросы и в какой стране оно зарегистрировано.
Проверьте:
- Где находятся основные и резервные серверы.
- Сколько времени сохраняются запросы и ответы.
- Используются ли данные для обучения общей модели.
- Можно ли отключить хранение истории.
- Имеют ли доступ к запросам сотрудники и субподрядчики.
- Как удаляются сведения после прекращения договора.
- В какой срок сервис сообщает об инциденте.
- Можно ли получить документы о принятых мерах защиты.
Если поставщик не раскрывает местонахождение баз, порядок удаления и список получателей, передавать ему реальные данные работников и клиентов рискованно. Надпись «данные защищены» не заменяет юридических условий.
Особенно опасны бесплатные публичные аккаунты. Они обычно оформлены на самого сотрудника, не позволяют компании управлять историей запросов и не содержат согласованного поручения обработки.
Если сервис использует запросы для собственных исследований или обучения общей модели, он может выйти за рамки обычного технического подрядчика. Тогда компании потребуется отдельное основание для такой обработки и прозрачное информирование людей.
Локализация и иностранная нейросеть
При сборе персональных данных российских граждан их запись, систематизация, накопление, хранение, обновление и извлечение должны выполняться с использованием российских баз данных.
Локализация не означает автоматический запрет любой последующей передачи за рубеж. Но схема, при которой анкета клиента сразу поступает в иностранную нейросеть и впервые сохраняется там, создает прямой риск нарушения.
Если запрос уходит иностранному юридическому лицу или обрабатывается за пределами России, дополнительно проверяются правила трансграничной передачи. До ее начала оператор должен собрать сведения об иностранном получателе и направить отдельное уведомление в Роскомнадзор.
Для отдельных государств передача не начинается сразу после отправки формы. Необходимо дождаться истечения установленного срока, в течение которого ведомство может ограничить или запретить операцию.
Использование нейросети может изменить цели, способы обработки, адреса баз и сведения о трансграничной передаче. Поэтому нужно проверить ранее поданное уведомление Роскомнадзора об обработке персональных данных и при необходимости обновить запись в реестре.
Как компании законно внедрить нейросеть
Сначала определите конкретные рабочие задачи. Формулировка «повышение эффективности» слишком широка. Лучше отдельно описать подготовку обезличенных шаблонов, классификацию обращений, проверку орфографии или поиск по внутренней базе.
Затем установите, какие сведения действительно нужны системе. Для редактирования письма обычно не требуются ФИО клиента, телефон, номер договора и адрес. Их можно заменить условными обозначениями до отправки.
После этого действуйте последовательно:
- Проведите инвентаризацию задач и данных, попадающих в запросы.
- Разделите сведения на общие, специальные, биометрические и конфиденциальные.
- Определите законное основание для каждой цели обработки.
- Проверьте поставщика, серверы, хранение, обучение модели и субподрядчиков.
- Заключите договор с обязательными условиями поручения обработки.
- Проверьте локализацию и необходимость трансграничного уведомления.
- Ограничьте доступ, включите журналирование и запретите личные аккаунты.
- Проведите тестирование только на синтетических или обезличенных данных.
Правила работы лучше закрепить отдельным разделом положения о персональных данных. Для введения документа можно адаптировать приказ об утверждении Положения о работе с персональными данными.
Организация также должна определить сотрудника, который контролирует внедрение. Для оформления подойдет приказ о назначении ответственного за обработку персональных данных.
Доступ к корпоративной нейросети следует предоставлять только тем, кому он нужен по должности. При изменении состава пользователей пригодится приказ о внесении изменений в перечень лиц, имеющих доступ к персональным данным.
Работников нужно ознакомить с запретами под подпись. В правилах указывают разрешенные сервисы, запрещенные категории информации, способ обезличивания и порядок сообщения об ошибочной загрузке.
Похожий подход к целям обработки, локальному акту и ознакомлению работников применяется при организации видеонаблюдения на рабочем месте.
Для клиентских сервисов дополнительно проверьте публичные документы. Полезные формулировки и различия между согласием и информированием приведены в инструкции о политике обработки персональных данных на сайте.
Что делать, если данные уже загрузили
Сначала прекратите доступ к спорному запросу. Удалите диалог, отключите общую ссылку, запросите у поставщика удаление копий и проверьте, не использовались ли сведения для обучения модели.
Одновременно сохраните журналы и установите:
- кто загрузил информацию;
- какие данные переданы;
- какому сервису и юридическому лицу;
- где находятся серверы;
- кто мог получить доступ;
- сохраняется ли запрос после удаления;
- можно ли восстановить или распространить сведения.
Не следует сразу увольнять сотрудника или уничтожать следы события. Сначала проводится внутреннее расследование, оценивается тяжесть последствий и проверяется наличие утвержденных правил.
Если нужны комиссия и документальное расследование, можно адаптировать приказ о создании комиссии по факту разглашения тайны. В приказе укажите, что комиссия проверяет неправомерную передачу персональных данных через нейросервис.
Ошибочная загрузка не всегда автоматически признается утечкой, о которой нужно сообщать государству. Обязанность возникает при неправомерной или случайной передаче либо доступе, повлекших нарушение прав субъектов.
При наличии признаков инцидента первичное уведомление Роскомнадзора направляется в течение 24 часов, а результаты внутреннего расследования - в течение 72 часов. Полный порядок разобран в статье о том, что делать компании при утечке персональных данных.
Что может потребовать работник или клиент
Человек вправе запросить у компании сведения о целях и способах обработки, получателях данных, сроках хранения и факте трансграничной передачи. Ответ по запросу должен быть предоставлен в установленный законом срок.
Если обработка основана на согласии, его можно отозвать. Для этого подойдет отзыв согласия на обработку персональных данных. Отзыв не всегда требует удаления всей информации: оператор может продолжить обработку при наличии другого законного основания.
При незаконной передаче можно потребовать прекратить обработку, заблокировать или удалить сведения. Для обращения в Роскомнадзор предусмотрена жалоба на обработку персональных данных.
Если информация стала доступна посторонним, подойдет жалоба на утечку персональных данных. К ней следует приложить скриншоты, ответы компании, уведомления сервиса и другие подтверждения.
Работник также может обратиться в трудовую инспекцию, если работодатель нарушил правила передачи кадровых сведений или не ознакомил персонал с локальными актами.
Через суд можно потребовать прекратить незаконную обработку, удалить информацию, возместить доказанные убытки и компенсировать моральный вред. Для требований, вытекающих из трудовых отношений, работник освобожден от госпошлины.
Закон о защите прав потребителей, неустойка и штраф 50 процентов автоматически не применяются. Нужно отдельно установить, связано ли нарушение с платной услугой для личных нужд и какое требование исполнитель отказался удовлетворить.
Какие штрафы грозят компании
За нарушение локализации организации может грозить штраф от 1 до 6 миллионов рублей, а за повторное нарушение - от 6 до 18 миллионов рублей.
Непредставление уведомления об инциденте наказывается отдельно. Для юридических лиц штраф составляет от 1 до 3 миллионов рублей.
За крупные утечки установлены штрафы от 3 до 15 миллионов рублей в зависимости от количества людей и идентификаторов. Утечка специальных категорий данных может стоить от 10 до 15 миллионов рублей, биометрических - от 15 до 20 миллионов рублей.
При повторных утечках возможно оборотное наказание от 1 до 3 процентов выручки. Минимальная сумма для организации составляет десятки миллионов рублей.
Передача сведений одного работника или клиента не подпадает под количественные составы крупных утечек автоматически. Но остаются риски наказания за незаконную обработку, неправильное согласие, нарушение локализации и неисполнение требований субъекта.
Ответственность компании не исчезает из-за того, что запрос отправил рядовой сотрудник. Оператор обязан заранее установить правила, ограничить доступ, обучить персонал и применять технические меры защиты.
FAQ: персональные данные работников и клиентов в нейросети
Можно ли вставить в публичную нейросеть письмо клиента?
Только после надежного удаления сведений, позволяющих определить человека. ФИО, контакты, номер договора, адрес и уникальные обстоятельства лучше заменить условными данными.
Достаточно ли убрать фамилию работника?
Не всегда. Человек может определяться по должности, подразделению, размеру зарплаты, дате события и другим деталям. Нужно оценивать весь текст целиком.
Разрешает ли обычное кадровое согласие загрузку данных в нейросеть?
Не обязательно. В документе должны быть понятны цель обработки, передаваемые сведения и получатель. Общая фраза о любых третьих лицах может не охватывать новый нейросервис.
Нужно ли уведомлять Роскомнадзор об иностранной нейросети?
Если происходит трансграничная передача персональных данных, до ее начала направляется отдельное уведомление. Также может потребоваться изменение сведений в общем реестре операторов.
Считается ли ошибочная загрузка утечкой?
Не в каждом случае. Нужно установить, произошла ли неправомерная или случайная передача либо доступ и были ли нарушены права людей. Проверку и фиксацию события следует начать немедленно.