Невидимые риски персональных данных: соблюдаем закон и строим доверие. Дмитрий Чеботарев

Казалось бы, алгоритм соблюдения закона о персональных данных (ПДн) предельно ясен: нужно зарегистрироваться оператором в Роскомнадзоре (РКН), обеспечить требуемые технические меры защиты ПДн, разработать документацию (благо шаблонов в сети множество) и назначить ответственного. Однако на практике постоянно возникают ситуации, выходящие за рамки шаблонных инструкций, и как в них действовать компаниям не всегда понятно.

Возьмем, к примеру, ситуацию, когда кандидат присылает резюме на почту вашего HR. Технически это уже обработка персональных данных — письмо проходит через почтовый сервер, попадает на рабочий компьютер, отображается на экране. При этом явного согласия вы еще не получили.

По сути, обработка начинается до формального получения согласия. Однако регуляторы, включая Роскомнадзор, признают, что при получении сообщения избежать такой обработки невозможно, и ситуация не всегда является нарушением. Т.е. получение персональных данных, хоть и технически является их обработкой, но не является обработкой данных без согласия субъекта ПДн. Ключевой аргумент здесь — это инициатива самого пользователя в предоставлении своих данных. Однако, чтобы соблюсти букву закона, необходимо сразу ответным письмом запросить согласие субъекта на обработку его ПДн, и не использовать их для выполнения других целей (например, для рекламных рассылок или пересылки другим компаниям), пока оно не получено. Существует прецедент, когда организация была оштрафована за включение адреса электронной почты клиента, приславшего запрос на возврат товара, в маркетинговую рассылку. И сейчас, с ужесточением правил, число таких случаев может увеличиться.

Сложнее, когда на корпоративную почту приходят данные без контекста или даже чужие персональные данные. Например, человек присылает скан паспорта без пояснений или пишет: «Мой друг, Лукашин Е. М. (Москва, 3-я ул. Строителей д.25. кв.12, тел. 4546021) рекомендовал к вам обратиться». В этот момент компания сталкивается с проблемой: формально это обработка персональных данных без согласия и письмо с персональными данными третьего лица без его согласия уже получено.

Оптимальное решение — немедленно прекратить обработку ПДн и безвозвратно удалить письмо из всех систем. Если это невозможно (например, из-за корпоративных правил переписки), доступ к письму следует заблокировать, оставив его только для ответственного за защиту данных. Главное — не сохранять эти сведения в базах, не пересылать и не использовать вообще ни для каких целей. Алгоритм действий в подобных нестандартных случаях должен быть четко определен во внутренних регламентах по работе с ПДн компании.

Особую сложность представляет использование ПДн для решения задач, связанных с применением искусственного интеллекта. Если использование ИИ для анализа данных (например, кредитного скоринга) еще можно предусмотреть в согласии клиента, то с дообучением возникает серьезная проблема.

Допустим, компания дообучает свою ИИ-модель на данных первой группы клиентов. Процесс сложный и ресурсоемкий. Потом модель совершенствуется, дообучаясь на данных второй, третьей, десятой групп. А затем клиент из первой группы вдруг отзывает согласие и требует удалить свои ПДн. Что делать? Уничтожить всю модель, в обучение которой были вложены значительные средства? Вряд ли компания на это пойдет. Добавить в согласие пункт о невозможности удаления данных, ставших «неотъемлемой частью параметров модели»? Очень рискованно и спорно как с юридической, так и с этической точек зрения.

Чтобы не оказаться в такой ситуации, лучше изначально исключить такой риск — не использовать ПДн клиентов для обучения ИИ-моделей, использовать синтетические данные или вовсе исключать все ПДн из обучающих выборок. Это вполне приемлемое решение: я не могу представить себе юридически корректную бизнес-задачу, которая требовала бы обучать модели строго на реальных данных людей.

Если же без реальных сведений о клиентах вам не обойтись, важно заранее предупреждать пользователей о таком использовании данных и давать им возможность отказаться, а работу ИИ с персональными данными правильно выстраивать с применением технологийтипа RAG (Retrieval-Augmented Generation), которые соединяют языковую модель с внешней базой знаний. Применение RAG позволяет безвозвратно удалить любые данные из внешней базы знаний (где и правильно хранить ПДн).

Еще одна сложная история — трансграничная передача персональных данных. Учитывая ужесточение регулирования и рост штрафов, разумнее всего минимизировать использование зарубежных сервисов для обработки ПДн и пользоваться только российскими. Но тут, конечно, каждая компания должна сама взвешивать риски. Если взаимодействия с иностранными сервисами не избежать, периодически необходимо проводить внешний аудит всех процессов, связанных с использованием и обработкой персональных данных.

Соблюдение юридических тонкостей — это только основа. Настоящее доверие клиентов строится на прозрачности и честности компании. Просто опубликовать «Политику в отношении обработки персональных данных» в открытом доступе недостаточно — ее мало кто читает. Гораздо важнее сразу объяснять пользователям, как именно будут использоваться их данные.

Например, «Ваши контакты будут использоваться только для ответа на запрос» или «Мы отправим вам уведомление о статусе заказа». Еще лучше — дать клиенту самому возможность настроить параметры использования ПДн: например, отказаться от маркетинговых рассылок, но оставить важные уведомления. Такое только повысит доверие к вам со стороны клиента.

Четко информируйте пользователей о сборе cookies, использовании аналитических сервисов (Яндекс.Метрика и т.п.) и используйте данные строго в рамках тех целей, о которых заявлено при сборе. И, наконец, будьте честны сами с собой — не создавайте скрытых архивов «на всякий пожарный». Если поступил запрос на удаление ПДн, удаляйте данные полностью и безвозвратно. Компании, которые не только выполняют формальные требования, но и выстраивают прозрачные отношения с клиентами, получают реальное конкурентное преимущество — доверие клиентов. А оно в цифровую эпоху ценится особенно высоко.