Нужно ли согласие перед загрузкой документов в иностранный ИИ?

Объясним простыми словами, нужно ли согласие на трансграничную передачу перед загрузкой документов в иностранный ИИ-сервис. Покажем, какие обстоятельства меняют ответ и как выбрать безопасный вариант без лишних документов.

Civius, юридическая компания Елена Соколова, юрист

Короткий ответ

Сначала проверьте, есть ли в документе персональные данные и получает ли их иностранное лицо на территории другого государства. Если надежного основания без согласия нет, до загрузки потребуется согласие, соответствующее статье 9 Закона №152-ФЗ (ст. 6 и ст. 9 Закона №152-ФЗ). Согласие не заменяет проверку конфиденциальности, условий ИИ-сервиса, локализации и уведомления о трансграничной передаче.

Что проверить до загрузки

Определите, чьи данные содержатся в файле. Рабочий доступ сотрудника к документу сам по себе не разрешает передавать сведения клиента, кандидата, контрагента или коллеги стороннему сервису. Удаление части полей не всегда обезличивает документ: данные остаются персональными, если человека можно определить по оставшимся сведениям и доступной дополнительной информации. По закону обезличивание должно исключать такое определение без дополнительной информации (п. 9 ст. 3 и ч. 5 ст. 5 Закона №152-ФЗ).

Проверьте, какое юридическое лицо получает материалы, из каких стран возможен доступ, используются ли загрузки для обучения, сколько они хранятся и как удаляются.

До начала деятельности по трансграничной передаче оператор направляет отдельное уведомление по статье 12, а до его подачи получает предусмотренные сведения о получателе и мерах защиты (ч. 3-5 ст. 12 Закона №152-ФЗ). После уведомления передачу в государство из перечня стран с адекватной защитой можно начать, пока Роскомнадзор ее не ограничил или не запретил. Для государства вне перечня по общему правилу нужно дождаться истечения десяти рабочих дней, отведенных на решение Роскомнадзора; исключение предусмотрено для защиты жизни, здоровья и иных жизненно важных интересов (ч. 9-11 ст. 12 Закона №152-ФЗ). При сборе данных граждан России, в том числе через интернет, запись, систематизация, накопление, хранение, уточнение и извлечение должны выполняться с использованием российских баз данных, кроме прямо перечисленных законом случаев (ч. 5 ст. 18 Закона №152-ФЗ). Если поставщик не раскрывает получателей и страны, согласие нельзя надежно составить «про запас».

Если нужно применить ответ к Вашей ситуации или документам, Подготовить согласие на трансграничную передачу данных: юрист проверит вводные и учтёт обстоятельства, которые короткий ответ не охватывает.