152-ФЗ простыми словами для малого бизнеса

Закон о персональных данных (152-ФЗ) касается почти любого бизнеса, который хранит имена, телефоны или почты клиентов — то есть почти всех. Но вокруг него много путаницы, особенно когда в разговор добавляется ИИ.

Что закон требует в общих чертах

Если вы обрабатываете персональные данные граждан РФ, закон требует, чтобы запись, систематизация и хранение этих данных при первичном сборе происходили на серверах, физически находящихся в России. Дальше — требования к защите данных: от кого их защищать, как оформить согласие на обработку, что делать при утечке.

Это общая картина, не юридическая консультация — для вашего конкретного случая (какие данные, в каком объёме, с какой целью) правильные ответы даёт юрист, а не статья в интернете.

Частый миф: «поставили ИИ на свой сервер — теперь всё законно»

Нет. Это только часть картины. Своя инфраструктура закрывает техническую сторону: данные и модель физически не уходят во внешние облака, это снижает конкретные риски (утечка через иностранный сервис, передача данных за периметр страны). Но формальное юридическое заключение о соответствии 152-ФЗ — отдельная история: согласия на обработку, политика конфиденциальности, регистрация оператора персональных данных, модель угроз. Это работа юриста, не инженера.

Подрядчик, который говорит «мы развернули ИИ у вас на сервере, теперь вы полностью соответствуете закону» — либо упрощает, либо не разбирается в вопросе.

Как эти две части разделяем мы

Мы даём техническую экспертизу: устанавливаем и настраиваем нейросеть на вашем оборудовании так, чтобы данные не покидали инфраструктуру компании ни на одном этапе. Формальное юридическое заключение о соответствии — отдельная услуга с привлечением юриста, и границы ответственности фиксируем в договоре, а не оставляем на словах.

Когда об этом вообще стоит думать

Не каждому микробизнесу нужен немедленный разговор о собственной инфраструктуре. Вопрос становится актуальным, когда: вы работаете с чувствительными данными в заметном объёме (медицина, финансы, персональные данные большого числа клиентов), у вас уже были вопросы от партнёров или проверяющих про хранение данных, или вы сознательно не хотите, чтобы коммерческие данные уходили во внешние облачные ИИ-сервисы.

Если ничего из этого не про вас — скорее всего, обычный облачный сервис с адекватной политикой обработки данных вполне подходит, и переплачивать за свою инфраструктуру рано.

Какие вопросы задать подрядчику

Независимо от того, с кем вы работаете: где физически будут храниться данные? Уходит ли что-то во внешние сервисы, и если да — что именно? Кто даёт юридическое заключение о соответствии — вы сами или отдельный специалист? Что написано в договоре про границы ответственности?

Честный подрядчик ответит на все четыре вопроса конкретно, а не общими фразами про «безопасность» и «надёжность».