Ответ нейросети:
Здравствуйте! Отвечаю на ваши вопросы с учетом российского законодательства (данные на июнь 2024).
---
1. Документы и согласия для чат-бота с обработкой фотографий пользователей
a) Необходимые документы и согласия:
-
Политика обработки персональных данных (ПД): Обязательна, должна быть размещена на сайте/в приложении, подробно описывать цели, способы, перечень ПД, права пользователя.
-
Согласие на обработку ПД: Обязательно отдельное и информированное согласие пользователя. Оно должно быть выражено явно (например, галочка или кнопка «Согласен» под текстом согласия).
-
Согласие на обработку биометрических ПД: Фотография лица — биометрические данные (позиция Роскомнадзора). Согласно ч. 4 ст. 11 ФЗ-152 «О персональных данных», требуется
письменное согласие пользователя на обработку биометрических ПД. Подписывать бумажно не обязательно — можно электронно, но с усиленной квалифицированной электронной подписью (УКЭП), что для конечного пользователя практически невозможно в массовом сервисе.
На практике: Многие сервисы используют простое электронное согласие (галочка, кнопка), хотя это формально не соответствует «письменной форме» по ФЗ-152. Это юридический риск.
b) Рекомендации:
-
Реализуйте отдельное согласие для ПД и биометрических ПД. В тексте согласия прямо укажите, что пользователь разрешает обработку фотографий для целей ИИ-стилиста, и что это — обработка биометрических ПД (ссылка на ФЗ-152).
-
Поясните, что предоставление фото добровольно, и без фото сервис не работает.
-
Добавьте чек-бокс «Согласен на обработку биометрических ПД» под формой загрузки фото.
-
Оформить письменное согласие в электронной форме через УКЭП — нереалистично, но «просто» электронное согласие (галочка) — распространенная практика, однако с юридическим риском. Роскомнадзор формально требует УКЭП.
c) Итог:
Для минимизации рисков — максимально подробно информируйте пользователя и получите отдельное явное согласие на обработку биометрических ПД. Но остаётся риск претензий со стороны РКН из-за отсутствия УКЭП.
---
2. Трансграничная передача и уведомление в Роскомнадзор
a) Обязанности:
-
Самозанятый — оператор персональных данных: Если вы определяете цели и средства обработки ПД, вы — оператор (ст. 3 ФЗ-152).
-
Трансграничная передача: Если данные передаются зарубежной ИИ-системе, это трансграничная передача ПД (в т.ч. биометрических).
-
Уведомление в РКН: До начала обработки необходимо уведомить РКН о намерении осуществлять трансграничную передачу ПД (ст. 12 ФЗ-152; приказ РКН № 91 от 12.07.2022).
-
Ограничения: С 1 марта 2023 года действует фактический запрет на передачу ПД в большинство «недружественных стран», если у них нет адекватной защиты ПД (Постановление Правительства РФ № 32 от 31.01.2023 и последующие разъяснения РКН).
b) Риски:
-
РКН может отказать в трансграничной передаче, если страна не обеспечивает «адекватную защиту» (например, США, большинство европейских стран в списке «недружественных»).
-
Работает много ИИ-стилистов с зарубежными сервисами, но это не означает их законность. Это — «серая» зона, и при жалобе или проверке можно получить штраф или предписание о прекращении обработки.
c) Альтернативы и рекомендации:
-
Минимизируйте объем передаваемых данных — не храните фото, не идентифицируйте пользователей.
-
Используйте нейросети с размещением в РФ (если возможно).
-
Если передача за рубеж неизбежна — уведомьте РКН и получите согласие пользователя на трансграничную передачу (отдельный пункт в согласии).
-
Укажите четко страны передачи и цели в согласии и политике.
-
Рассмотрите возможность предоставления сервиса только лицам, согласным на такие условия.
---
Ваш кейс:
-
Рискованно, если используете зарубежные нейросети (особенно если они размещены в «недружественных» странах), особенно с фото людей.
-
Формально — невозможность обеспечить «адекватную защиту» и необходимость письменного согласия с УКЭП делают такой сервис уязвимым для претензий РКН.
-
На практике — многие работают, но есть риск штрафов и блокировок.
---
Резюме:
1.
Нужны политика и отдельные согласия на обработку ПД и биометрических ПД (желательно с галочкой, но это не освобождает от риска).
2.
Для трансграничной передачи — уведомление в РКН, обоснование целей, согласие пользователя; но если серверы в недружественных странах — РКН, скорее всего, не одобрит.
3.
Риски есть. Много кто работает, но это не освобождает от возможных последствий.
Рекомендую рассмотреть хранение и обработку фото только на территории РФ и использовать российские решения, если хотите минимизировать риски.
Если останутся вопросы — пишите!