Политика для голосовых ассистентов

Первый шаг — классификация данных. Голосовой ассистент потенциально обрабатывает несколько категорий ПДн одновременно.

Голосовая запись как биометрия. По ст. 11 ФЗ-152 биометрические ПДн — это физиологические и биологические характеристики, на основании которых можно установить личность. Роспатент и суды квалифицируют голос как биометрический параметр, если ассистент использует его для идентификации конкретного человека. Если голос записывается только для распознавания команды, без верификации личности, — это спорный вопрос, который нужно закрыть в политике явным образом.

Иные данные, которые типично собирает ассистент: имя и контактные данные пользователя при регистрации, история запросов, данные об устройстве (IP, тип устройства), данные о местоположении, если включена геолокация.

Итог классификации фиксируется в таблице категорий ПДн — этот документ станет основой для политики и уведомления РКН.

Политика конфиденциальности для голосового ассистента — это публичный документ, доступный пользователям до начала использования сервиса. Требования к содержанию установлены ч. 2 ст. 18.1 ФЗ-152.

Обязательные разделы политики:

• Наименование и реквизиты оператора ПДн.
• Цели обработки каждой категории данных (голос — для чего именно: идентификация, распознавание команд, улучшение модели).
• Правовые основания обработки по ст. 6 ФЗ-152 для каждой цели.
• Перечень третьих лиц, которым передаются данные (облачные провайдеры, разработчики модели).
• Порядок хранения и сроки уничтожения ПДн.
• Права субъектов и порядок их реализации (запрос, отзыв согласия, уничтожение).
• Способ связи с ответственным по ст. 22.1 ФЗ-152.

Если ассистент использует голос для идентификации — в политику включается отдельный раздел о биометрических ПДн с указанием на требование письменного согласия по ст. 11 ФЗ-152.

Типовой шаблон политики из интернета не подходит без адаптации: он не учитывает специфику голосовых данных, конкретную архитектуру обработки и фактических подрядчиков. Политика должна описывать реальную обработку, а не желаемую.

С 01.09.2025 согласие на обработку ПДн оформляется отдельным документом — его нельзя включать в текст договора, оферты, пользовательского соглашения или политики конфиденциальности (ч. 1 ст. 9 ФЗ-152 в редакции ФЗ-156 от 24.06.2025). Это требование напрямую касается голосовых ассистентов: чекбокс «принимаю условия использования» в составе оферты больше не считается действительным согласием на обработку ПДн.

Обязательные реквизиты согласия по ст. 9 ФЗ-152:

• ФИО субъекта и контактные данные.
• Наименование и адрес оператора.
• Цель обработки.
• Конкретный перечень обрабатываемых ПДн.
• Перечень действий с ПДн.
• Срок действия согласия или условие его действия.
• Способ отзыва согласия.

Для голосовых данных, квалифицированных как биометрия, согласие должно быть письменным (собственноручная подпись или квалифицированная электронная подпись). Для иных категорий допустимо электронное согласие через отдельный интерфейс.

Согласия, полученные до 01.09.2025, переоформлять не требуется — ФЗ-156 обратной силы не имеет. Новых пользователей регистрировать нужно уже по новым требованиям.

Оператор обязан уведомить РКН о намерении обрабатывать ПДн до начала обработки (ст. 22 ФЗ-152). Уведомление подаётся через портал pd.rkn.gov.ru с использованием учётной записи ЕСИА или УКЭП по форме Приказа РКН №180 от 28.10.2022.

В уведомлении указываются: категории ПДн, цели, правовые основания, категории субъектов, меры защиты, сведения об ответственном по ст. 22.1, информация о трансграничной передаче (если применимо), срок обработки.

Если голосовой сервис уже работает, а уведомление не подавалось — нарушение по ч. 10 ст. 13.11 КоАП (штраф 100 000–300 000 ₽). После подачи уведомления оператор включается в реестр операторов в течение 30 дней.

При изменении сведений — подаётся уведомление об изменении в том же порядке. Запуск новой функциональности ассистента, меняющей состав обрабатываемых ПДн, — основание для обновления уведомления.

Оператор-юридическое лицо обязан назначить лицо, ответственное за организацию обработки ПДн (ст. 22.1 ФЗ-152). Требования к квалификации установлены ч. 4 ст. 22.1: наличие юридического или технического образования либо опыт работы в сфере защиты информации.

Ответственный по ст. 22.1 — это не DPO в европейском понимании, но функции пересекаются: приём запросов субъектов, взаимодействие с РКН, контроль исполнения политики, ведение журнала обращений субъектов.

Для голосового сервиса с биометрией нагрузка на ответственного выше: он должен контролировать соблюдение требований ст. 11 ФЗ-152 и реагировать на запросы об уничтожении биометрических данных в срок 7 рабочих дней. Срок ответа на запрос субъекта об информации об обработке — 10 рабочих дней по ст. 20 ФЗ-152, с возможностью продления ещё на 5 рабочих дней при уведомлении субъекта.

Если штатного специалиста нет — допустимо DPO-аутсорсинговое обслуживание. Внешний ответственный принимает на себя функцию по ст. 22.1 на основании договора и доверенности.

Большинство коммерческих голосовых ассистентов используют инфраструктуру за пределами России: облачные платформы AWS, Google Cloud, Microsoft Azure, а также модели распознавания речи от зарубежных разработчиков. Передача данных на зарубежные серверы — трансграничная передача по ст. 12 ФЗ-152.

До передачи данных в страну, которая не включена в перечень стран с адекватной защитой ПДн (перечень ведёт РКН), оператор обязан подать соответствующее уведомление в РКН. Кроме того, по ч. 5 ст. 18 ФЗ-152 первичная запись, систематизация, накопление, хранение и уточнение ПДн граждан РФ должны осуществляться в базах данных на территории России.

Практический алгоритм для юриста: составить реестр всех зарубежных подрядчиков и субподрядчиков, проверить каждую страну по актуальному перечню РКН, оформить поручение на обработку с подрядчиком, подать уведомление о трансграничной передаче, обеспечить первичную локализацию на российских серверах.