Чат-бот в нише здоровья: где заканчивается чекбокс и начинается штраф

Суть проблемы

Данные о здоровье - специальная категория персональных данных (ст. 10 152-ФЗ). Требования к ним выше, чем к обычным, и главное здесь: категорию определяет содержание данных, а не профессия оператора.

Медицинская лицензия картину не меняет. Психолог без меддиплома, консультант по питанию, тренер: как только клиент рассказывает про тревожность, диагноз, приём препаратов или самочувствие, оператор уже обрабатывает спецкатегорию. В консультационных нишах клиент рассказывает это всегда - на этом построена сама работа.

Почему чекбокс не работает

Обычные персданные закрываются согласием по галочке. Специальные категории требуют письменной формы (ст. 9 ч. 4 152-ФЗ): собственноручная подпись или квалифицированная электронная подпись, полный состав реквизитов.

С 1 сентября 2025 добавилось ещё одно требование: согласие оформляется отдельным документом. Зашить его в пользовательское соглашение или политику сайта нельзя.

Галочка на лендинге не закрывает ни одного из этих пунктов.

Чем бот отличается от личной консультации

После устной консультации массива данных не остаётся. После бота остаётся: каждая переписка пишется в базу. Для закона это системное хранение и обработка спецкатегории со всеми обязанностями оператора - надлежащее согласие, уведомление Роскомнадзора, защита данных, локализация баз на территории РФ.

Второй пласт риска - архитектура. Зарубежная нейросеть в основе бота означает, что переписка клиента уходит на серверы за пределами РФ. Это трансграничная передача специальной категории персональных данных, со своими требованиями и своей ответственностью. В типовых сборках «из конструктора» этот момент не учитывают почти никогда.

Цена вопроса

С 30 мая 2025 административная ответственность ужесточена (ст. 13.11 КоАП РФ):

• обработка персональных данных без согласия в требуемой форме - для юрлиц от 300 до 500 тысяч рублей, для ИП сопоставимо;
• работа без уведомления Роскомнадзора - отдельный штраф;
• повторное нарушение - кратный рост вилки;
• утечка специальных категорий - от единиц до 15 миллионов, при повторной утечке - оборотный штраф до 3% выручки.

Совокупный риск типового «бота на чекбоксе» в нише здоровья стартует от полумиллиона и растёт с каждым незакрытым требованием закона.

Как это лечится

Путей два, и они не заменяют друг друга.

Юридический: письменные согласия по форме, уведомление РКН, регламенты обработки. Он закрывает бумажную часть, но не архитектурную - если персональные данные физически проходят через зарубежную нейросеть, никакая пачка согласий это в один шаг не легализует.

Инженерный - наша специализация. Автоматизация строится так, что персональные данные в нейросеть не попадают вообще: не принимаются ею и не обрабатываются. Имена, контакты, анкеты, переписка живут на российской инфраструктуре и дальше неё не уходят. Модель работает со своей частью задачи, в которой персональных данных нет - и восстановить из неё личность клиента невозможно, потому что личности там не было с самого начала. Клиент при этом общается с тем же умным ботом и разницы не видит.

Такие контуры мы собирали на живых проектах: гейт данных в РФ, жёсткое разделение «что хранится» и «что видит модель» - модель не видит ничего. Задача решаемая, но решается она архитектурой, а не галочкой.

Что предлагаем

Аудит и доработка ИИ-автоматизации под 152-ФЗ:

• Аудит текущего бота: какие данные собираются, где хранятся, куда передаются, что из этого спецкатегория.
• Карта рисков с цифрами: какие требования закона не закрыты и во что это может обойтись.
• Доработка архитектуры: локализация данных в РФ, контур обезличивания перед внешними нейросетями, корректные формы согласий.
• Сопровождение: уведомление РКН, регламенты, проверка после внедрения.

На выходе автоматизация работает как раньше, но перестаёт быть миной. Начинать разумно с аудита: он показывает реальную картину за несколько дней и не обязывает заказывать доработку у нас.