Как оформить персональные данные, если на сайте работает чат-бот

Чат-бот на сайте собирает имя, телефон и историю переписки посетителя, а значит подпадает под 152-ФЗ так же, как форма обратной связи. Разбираемся, кто отвечает за эти данные и что нужно оформить владельцу сайта.

Чат-бот на сайте компании спрашивает имя и номер телефона посетителя, чтобы передать заявку менеджеру. С момента первого сообщения бот собирает персональные данные так же, как форма обратной связи или анкета на выставке. Разница в том, что чат-виджет обычно работает через стороннего разработчика, и владелец сайта об этом договоре часто не задумывается.

Что считается персональными данными в переписке с ботом

Имя, телефон и email — прямые идентификаторы человека. Их бот получает в первых же сообщениях, если посетитель хочет получить консультацию или оставить заявку. История переписки, IP-адрес и данные устройства сами по себе идентификаторами не считаются. Но в связке с именем и телефоном они становятся частью того же набора персональных данных и подпадают под общий режим защиты.

Голосовой помощник работает похожим образом. Он записывает голос, распознаёт команды и часто сохраняет запись разговора. Пока запись используют только для распознавания речи и не хранят как образец для идентификации человека по голосу, это обычные персональные данные. Если запись голоса хранят отдельно и используют, чтобы узнавать конкретного человека, требования строже. Тогда нужны письменное согласие и отдельный набор мер защиты для биометрических персональных данных по статье 11 152-ФЗ.

Кто отвечает за данные, которые видит виджет

Большинство чат-виджетов, включая Jivo, Talk-me и собственных ботов на базе мессенджеров, устроены одинаково. Посетитель пишет сообщение на сайте компании, а сообщение уходит на серверы разработчика виджета. Формально сайт компании остаётся оператором персональных данных, потому что именно он определяет, зачем собирают данные и что с ними делают. Разработчик виджета в этой схеме — обработчик, которому оператор поручил обработку.

Отсюда вытекает обязанность подписать с разработчиком виджета договор поручения на обработку персональных данных. В договоре фиксируют, какие данные передают, для чего, где их хранят и как удаляют. Без такого договора компания отвечает за действия виджета так, будто обрабатывала данные сама, включая случаи утечки на стороне подрядчика.

Что сделать на сайте

Хватит нескольких действий.

1. Разместить рядом с окном чата ссылку на политику обработки персональных данных и чек-бокс согласия, который посетитель отмечает перед первым сообщением.
2. Проверить у разработчика виджета, где физически хранятся данные. Сервер должен находиться в России, если посетители сайта тоже из России.
3. Подписать с разработчиком виджета договор поручения на обработку персональных данных.
4. Дополнить политику обработки персональных данных пунктом про чат-виджет и голосового помощника, где указать, какие данные собирают, зачем и как долго хранят.
5. Настроить срок хранения переписки и порядок её удаления. Держать историю чатов вечно не нужно.

Авто-аудит сайта — проверка на нарушения 152-ФЗ

Когда нужно отдельное согласие

Согласие на обработку персональных данных, которое посетитель уже дал где-то на сайте, не всегда покрывает переписку с ботом. Если чат-виджет собирает данные для отдельной цели, например передаёт заявку менеджеру или пересылает данные в CRM стороннего сервиса, безопаснее оформить отдельное согласие именно на этот случай. В нём указывают цель обработки, состав данных и обработчика, которому данные передают. Такое согласие должно быть конкретным, информированным и осознанным, а не общей фразой в подвале сайта. Это требование статьи 9 152-ФЗ.

Пошаговый гайд «Как подать уведомление в Роскомнадзор» — что вписать в каждое поле формы, с примерами под вашу сферу, 990 ₽. Открыть гайд

Частые вопросы

Нужно ли отдельное согласие на обработку данных в чат-боте, если на сайте уже есть политика конфиденциальности?

Общей политики недостаточно, если чат-бот собирает данные для отдельной цели, например передаёт заявку менеджеру или пересылает данные в CRM стороннего сервиса. Разместите рядом с окном чата чек-бокс с согласием и укажите в политике, что данные обрабатывает конкретный виджет.

Что делать, если чат-виджет — сторонний сервис вроде Jivo или Talk-me?

Запросить у поставщика виджета данные о месте хранения информации и подписать договор поручения на обработку персональных данных. Без этого договора компания отвечает за утечку данных на стороне подрядчика как за собственную.

Голосовой помощник записывает голос — это биометрия?

Если запись используют только для распознавания команд и не хранят как отдельный идентификатор человека, это обычные персональные данные. Если запись голоса сохраняют, чтобы узнавать конкретного человека, требования строже. Нужны письменное согласие и меры защиты для биометрических данных.

Нужно ли уведомлять Роскомнадзор о чат-боте на сайте?

Отдельного уведомления именно про чат-бот не нужно, если компания уже подала общее уведомление о деятельности как оператор персональных данных. Если компания ещё не в реестре операторов, самое время это проверить и заодно учесть чат-бот в общей практике обработки персональных данных.