С 30 мая вступил в силу 420-ФЗ, который переписал статью 13.11 КоАП. Обработка персональных данных без основания или не в тех целях теперь стоит юрлицу 150–300 тыс. рублей, должностному лицу — 50–100 тыс. Повторное нарушение — 300–500 тыс. и 100–200 тыс. соответственно. Цифра «20 тысяч рублей», которая до сих пор гуляет по статьям про нейросети и 152-ФЗ, — это верхняя планка для должностного лица по старой редакции кодекса. К компании она отношения не имеет.
Договор поставки между двумя ООО выглядит как документ без персональных данных. Это не так. В нём есть ФИО подписанта и его должность, часто — ФИО того, кто действует по доверенности. У ИП — паспорт, адрес регистрации и ИНН, который Роскомнадзор считает персональными данными физического лица. В реквизитах — телефон и почта менеджера. В накладных и актах — водители и экспедиторы. Обычный договор на перевозку содержит данные четырёх человек. То, что фамилия директора есть в ЕГРЮЛ, статус персональных данных не снимает: открытость источника не делает данные общедоступными в смысле закона.
| Состав правонарушения | Штраф для юрлица | Штраф для должностного лица |
|---|---|---|
| ч. 1 — обработка без основания или не в тех целях | 150–300 тыс. руб. | 50–100 тыс. руб. |
| ч. 1.1 — то же повторно | 300–500 тыс. руб. | 100–200 тыс. руб. |
| ч. 10 — не уведомил РКН о начале обработки | 100–300 тыс. руб. | 30–50 тыс. руб. |
| ч. 8 — хранение данных россиян вне России | 1–6 млн руб. | 100–200 тыс. руб. |
| ч. 12–14 — утечка (от 1 тыс. до 100+ тыс. человек) | 3–15 млн руб. | 200–600 тыс. руб. |
| ч. 15 — повторная утечка | 1–3% годовой выручки, не менее 20 млн руб. | 0,8–1,2 млн руб. |
Дальше — ключевой момент, который почти нигде не проговаривают. Данные подписанта вы вправе обрабатывать без его согласия для исполнения договора — это пункт 5 части 1 статьи 6 закона 152-ФЗ. Но «проверить договор через сторонний сервис» — цель другая. Обработка, несовместимая с целью сбора, — это ровно формулировка части 1 статьи 13.11. Юрлицу 150–300 тыс. рублей. Отдельно — часть 10: уведомление Роскомнадзора о том, что вы вообще обрабатываете персональные данные. С сентября 2022 года исключений для малого бизнеса почти не осталось, а в реестре операторов, по наблюдениям практикующих юристов, малых компаний почти нет. Это отдельные 100–300 тыс. рублей, и они не зависят от нейросети — просто всплывут вместе с ней.
Штраф 20 тыс. рублей за «нейросеть и 152-ФЗ» — устаревшая цифра: это верхняя планка для должностного лица по старой редакции КоАП.
Почему это не утечка. Утечка в терминах закона — части 12–18 статьи 13.11 — это неправомерная передача данных тысяч людей: от тысячи субъектов начинается первая ступень, штраф 3–15 млн рублей. Один договор, даже сто договоров за месяц, до неё не дотягивают. Тот, кто пугает «пятнадцатью миллионами за ChatGPT», либо не читал статью, либо продаёт что-то. Что реально применимо — скучнее и вероятнее: часть 1 и часть 10.
И третье, про что не пишут почти нигде. Статья 12 закона 152-ФЗ: трансграничная передача — это любая передача персональных данных на территорию другого государства иностранному лицу. Достаточно предоставить доступ; физически «отправлять файл» не требуется. Юристы по персональным данным давно относят к трансграничной передаче Google Analytics, Notion, Slack, AWS — любой иностранный сервис, куда попадают данные. ChatGPT, Claude, Gemini, DeepSeek в этом ряду ничем не отличаются. С 1 марта 2023 года до начала такой передачи нужно подать в Роскомнадзор отдельное уведомление — не то, что о начале обработки, а второе, о намерении передавать за рубеж. Для стран из перечня с «адекватной защитой» — Беларусь, Казахстан, Армения, Китай и другие по списку регулятора — передавать можно сразу после подачи. США и Евросоюз в перечне нет. Для них — ждать десять рабочих дней.
Практический вывод для компании, которая хочет проверить договор через ИИ, выглядит так. Первое: обезличить документ перед вставкой — убрать ФИО, паспортные данные, телефоны, ИНН физлиц. Второе: проверить, подано ли уведомление в Роскомнадзор о начале обработки персональных данных. Третье: если работа с иностранным сервисом нужна регулярно, подать отдельное уведомление о трансграничной передаче и дождаться истечения срока. Четвёртое: зафиксировать основание и цель обработки — «проверка договора через сторонний сервис» в качестве цели не подходит, потому что не совпадает с целью сбора данных для исполнения договора.
Сама по себе нейросеть юридически не инструмент вроде Word или калькулятора. Это иностранный контрагент со своей юрисдикцией, своими условиями и своими судебными делами, в которых ваши данные — вещественное доказательство. Вопрос «что мне будет за нейросеть» задаётся не той стороне: спрашивать нужно себя — на каком основании и куда ушли данные конкретных людей из конкретного договора.
