152-ФЗ и записи звонков: что обязана сделать компания
Материал носит информационный характер и не заменяет консультацию юриста. Перед применением формулировок проверьте их с юристом вашей компании.
Короткий ответ
Федеральный закон № 152-ФЗ «О персональных данных» распространяется на записи разговоров с клиентами, потому что голос, имя и содержание разговора — персональные данные. Компания, которая их записывает и хранит, выступает оператором персональных данных и обязана соблюдать требования закона: иметь основание для обработки, определённую цель, уведомлять субъекта данных и соблюдать сроки хранения.
Что говорит закон
Нормы, которые применяются
152-ФЗ определяет обработку персональных данных широко — включая сбор, хранение, использование и уничтожение. Запись разговора — это сбор и хранение; прослушивание для оценки качества — использование. Всё это подпадает под закон независимо от того, использует компания программное обеспечение собственной разработки или сторонний сервис.
Как это трактуется на практике
Для целей контроля качества обслуживания основанием обработки обычно служит согласие субъекта данных, полученное в форме уведомления о записи разговора с продолжением разговора после этого уведомления (конклюдентное согласие). Для иных целей — например, для использования записи в маркетинговых материалах — нужно отдельное явное согласие.
Что обязана сделать компания
- Определить и задокументировать цель обработки — контроль качества, обучение сотрудников, разбор спорных ситуаций.
- Уведомлять о записи разговора в начале звонка.
- Опубликовать политику обработки персональных данных, доступную клиентам.
- Установить и соблюдать срок хранения записей.
- Назначить ответственного за обработку персональных данных внутри компании.
- Проверить необходимость направления уведомления в Роскомнадзор как оператора персональных данных.
- Обеспечить техническую защиту хранимых записей от несанкционированного доступа.
- Оформить поручение на обработку, если записи передаются подрядчику (например, сервису речевой аналитики).
Формулировки и документы
Уведомление о записи разговора должно предшествовать содержательной части беседы: «Разговор записывается в целях контроля качества обслуживания» — до того, как оператор начинает обсуждать вопрос клиента.
Политика обработки персональных данных должна содержать: перечень обрабатываемых данных (включая аудиозаписи), цели обработки, сроки хранения, права субъекта данных и порядок их реализации, контакты ответственного за обработку.
Риски и ответственность
Нарушения 152-ФЗ влекут административную ответственность: от предупреждения до штрафа, размер которого для юридических лиц может быть существенным при повторных нарушениях или обработке без надлежащего основания. Отдельный риск — утечка записей: если аудио или расшифровки со сведениями о клиентах становятся доступны посторонним, это отдельное, более серьёзное нарушение.
Как снизить риск технически
- Ограничить доступ к архиву записей ролевой моделью: не весь отдел, а конкретные ответственные.
- Установить автоматическое удаление по истечении срока хранения вместо ручного контроля.
- Рассмотреть локальную обработку данных — при анализе записей на собственном сервере компании (без передачи стороннему облаку) снижается число точек, где данные могут утечь. Подробнее — «Локальная обработка звонков как способ снизить риски».
- Вести журнал доступа к записям: кто и когда прослушивал конкретный разговор.
Чек-лист соответствия
- [ ] Определена и задокументирована цель обработки записей.
- [ ] Клиент уведомляется о записи до начала содержательного разговора.
- [ ] Политика обработки персональных данных опубликована и содержит сведения об аудиозаписях.
- [ ] Установлен и соблюдается срок хранения.
- [ ] Назначен ответственный за обработку персональных данных.
- [ ] Проверена необходимость уведомления Роскомнадзора.
- [ ] С подрядчиками, обрабатывающими записи, оформлены поручения на обработку.
- [ ] Настроено разграничение доступа к архиву.
Частые вопросы
Отличаются ли требования для B2B и B2C звонков? Закон формально применяется к персональным данным физических лиц независимо от того, представляет собеседник компанию или обращается как частное лицо — если в разговоре звучат имя, голос и контактные данные конкретного человека, требования применяются.
Нужно ли уведомлять Роскомнадзор об обработке записей? Зависит от масштаба и характера обработки — этот вопрос стоит решать с юристом, поскольку есть исключения из обязанности уведомления, применимость которых зависит от специфики бизнеса.
Как долго можно хранить записи разговоров? Закон не устанавливает единый срок — компания определяет его сама исходя из цели обработки и не хранит данные дольше, чем это необходимо для этой цели. Подробнее — «Сколько хранить записи разговоров».
Автор: редакция Auditka AI. Требуется проверка практикующим юристом до публикации.