Сижу в зуме на созвоне курса, сокурсники делятся достижениями. Доходит очередь до девушки-психолога, и она вся светится - ну короче расцвела как роза на помойке: приём заявок через бота, анкеты через бота, переписка с клиентами через бота. Всё крутится само, руки свободны. В чате поздравления. А меня ёкнуло, и ёкнуло нехорошо.
Ёкнуло не на пустом месте. Я прямо с созвона, не дожидаясь конца, пишу своему МиниМы - это мой ИИ-партнёр, который тащит на себе мои проекты. Вот кусок переписки как есть:
Я: Партнёр, я вот щас только с созвона курса, там выступала девушка-психолог, у неё стек ботов по психологии, и тут меня ёкнуло. Мы у Лизы-мультиагентки выключали агента-доктора - именно потому, что по 152-ФЗ персональные данные в сфере медицины относятся к спецкатегориям, и там них#яшеньки не отделаться чекбоксом согласия, нужно письменное разрешение... Внимание, вопрос: сгоняй в инет и выясни мне - а попадают ли психологи под эту спецкатегорию?
Через пару минут он вернулся из интернета:
МиниМы: Вопрос правильный и денежный - от ответа зависит, можно ли психологу-ботоводу жить на чекбоксе. Вердикт короткий и однозначный: ДА, психологи попадают. Твоё чутьё верное. [...] Девушка-психолог с ботами, скорее всего, живёт на чекбоксе и не знает, что сидит на 700-тысячной мине.
Дальше разложу его разбор по полочкам - что в законе и почему именно бот превращает уютную практику в мину.
Закону плевать на твой диплом
Полез проверять, надеялся, что пронесёт. Не пронесло.
Спецкатегория считается по СОДЕРЖАНИЮ данных, а не по корочке того, кто их собирает. Статья 10 152-ФЗ говорит про «состояние здоровья», и психическое туда входит целиком. Врач, психолог без меддиплома, коуч с двухнедельных курсов - разницы ноль. Клиент написал боту про депрессию, панические атаки или что пьёт антидепрессанты, и всё: у тебя на руках спецкатегория персональных данных.
А клиент психолога пишет это ВСЕГДА. Он ровно за этим и пришёл.
Чекбокс тут не работает
На обычные персданные - имя, телефон, почта - галочки хватает. На спецкатегории не хватает. Статья 9 часть 4: согласие в письменной форме. Собственноручная подпись или квалифицированная электронная, полный состав реквизитов. Галочка «согласен с политикой конфиденциальности» в этой истории весит ровно ноль.
С 1 сентября 2025 стало ещё жёстче: согласие должно быть ОТДЕЛЬНЫМ документом. Подшить его мелким шрифтом в пользовательское соглашение больше нельзя.
Считаем мину
С 30 мая 2025 штрафы подняли. Раскладка для юрлица, у ИП рядом:
- обработка спецкатегорий без нормального согласия - до 300-500 тысяч;
- не подал в РКН уведомление, что ты оператор персданных - ещё сверху. И наказывают именно за ОТСУТСТВИЕ уведомления, а не за то, что подал поздно;
- поймали второй раз - вилка едет вверх;
- утекли данные - там уже миллионы: для спецкатегорий до 15 миллионов, а при повторе включаются оборотные штрафы.
Складываешь всё в столбик, и «мина на 700 тысяч» начинает выглядеть оптимистично.
Бот делает хуже, а не лучше
Вот тут самое сочное. Пока психолог говорит с клиентом голосом, данные о здоровье живут у неё в голове. Голова под 152-ФЗ не подпадает.
Бот подпадает. Бот ПИШЕТ. Каждый диалог ложится в базу и лежит там. Значит, оператор хранит спецкатегорию системно, а не «записал в блокнотик». Это полноценная обработка со всем комплектом: согласия, уведомление РКН, защита, локализация.
И отдельный привет маркетологам. Каждый доморощенный, диванный, мамкин продажник - да хоть мефедрованная гадалка с марафона желаний - все поголовно натасканы «выискивать боли клиента», чтоб вкуснее укусить карман. Так вот сюрприз: в нише здоровья «боль клиента» - это буквально и есть спецкатегория персональных данных. Анкета «расскажите, что вас беспокоит» - не маркетинг, а сбор данных о здоровье конвейером. И дырявая воронка из тырнета с инструкцией «как поднять средний чек на болЯх клиента» клиенту орёт: наклонися букваЙ зю, я лЯбовь... тибе ванзю. А оператору та же воронка орёт протокол об административном правонарушении.
И вишенка. Если мозг бота - зарубежная нейросеть, а у девяти ботоводов из десяти именно так, то каждое сообщение клиента улетает на зарубежный сервер. Это трансграничная передача спецкатегории персональных данных. Отдельная песня, отдельное уведомление РКН, отдельная ответственность.
Девушка с курса, скорее всего, живёт на чекбоксе и про эти статьи слышит впервые. И таких на курсах по ботам не единицы, а пачки: психологи, нутрициологи, тренеры по здоровью, все, кто вытаскивает через бота хоть слово про самочувствие клиента.
Узнал себя - вот порядок действий
- Честно ответь: ты собираешь данные о здоровье? Если клиенты пишут боту про самочувствие, диагнозы, состояния - собираешь, не выкручивайся.
- Чекбокс в мусор. Делай нормальное письменное согласие отдельным документом.
- Подай уведомление в РКН, если ещё нет.
- Выясни, куда физически уходят и где лежат переписки. Ушли за границу - у тебя трансгран, и чинится он не бумагой.
- Или перестрой бота так, чтобы данные о здоровье в него вообще не попадали.
Четвёртый и пятый пункты - это уже инженерия, а не юристы. Мы такое собираем: контур, где персданные остаются в РФ, а наружу уходит только обезличенное. Как оно устроено внутри - распишу отдельно, если тема зайдёт.
Своего агента-доктора мы выключили не от трусости. Просто посчитали мину до того, как на неё наступить, а не после.
