Штраф до 18 млн рублей за повторное нарушение локализации данных

Загрузка договора в нейросеть — это технически простая операция, но с юридической точки зрения она может означать передачу персональных данных третьим лицам, а иногда и за пределы Российской Федерации. Договор часто содержит паспортные данные, телефоны, адреса и банковские реквизиты физических лиц. Если компания использует для анализа таких документов зарубежный ИИ, она вступает в правовые отношения с иностранным оператором, что требует соблюдения 152-ФЗ.

Согласно статье 3 закона, обработка данных понимается широко: это не только сохранение, но и запись, извлечение и передача. Статья 12 устанавливает правила трансграничной передачи. Здесь важно понимать: российское законодательство не запрещает передавать данные за границу полностью, но и не дает права делать это свободно. Для таких операций требуется направить в Роскомнадзор уведомление с указанием стран, правовых оснований и категорий данных. Для стран без адекватной защиты прав субъектов действуют дополнительные ограничения, и до завершения процедуры передача может быть запрещена. Согласие клиента не снимает с компании обязанности пройти эту процедуру.

Отдельно стоит упомянуть требование о локализации из части 5 статьи 18. Сбор и первичная обработка данных граждан РФ должны происходить на российских серверах. Наличие локального хранилища не дает права свободно пересылать данные за рубеж, равно как и разрешение на трансграничную передачу не отменяет обязанность собирать данные в России. Это два разных правовых требования. Например, у OpenAI в списке регионов хранения данных (Европа, США, Япония и другие) России нет. Использование европейского сервера не приравнивается к локализации в РФ.

Кроме персональных данных в нейросети попадают другие виды охраняемой информации. В договоры могут входить коммерческие тайны: условия сделок, финансовые модели. Если установлен режим охраны по 98-ФЗ, передача в сторонний сервис создает риск нарушения. Для юристов актуален 63-ФЗ: статья 8 защищает адвокатскую тайну, и любые материалы дела подпадают под это ограничение. Также в чат могут случайно попасть кадровые документы, расчётные ведомости и материалы государственных учреждений с ограниченным доступом.

Ответственность за ошибки в этой сфере серьезна. Статья 13.11 КоАП РФ содержит штрафы за нарушение локализации данных. Для юридических лиц сумма составляет от 1 000 000 до 6 000 000 рублей. Если нарушение повторное, штраф вырастает до 6 000 000 - 18 000 000 рублей. За непредставление уведомления об обработке (часть 10) компания заплатит от 100 000 до 300 000 рублей. Конкретный штраф зависит от того, какой именно состав правонарушения установит надзорное ведомство, но риски для бизнеса очевидны.

Использование зарубежных нейросетей не означает автоматического нарушения, но предприниматель должен четко понимать: где лежат данные, кто их обрабатывает и по каким правилам. Обычный пользовательский аккаунт нельзя рассматривать как защищенную корпоративную систему. Технологическая мощь инструмента не гарантирует юридической безопасности. Для работы с чувствительными документами требуются специальные меры и анализ рисков на основе российских правовых стандартов.