Как хранить записи встреч по 152-ФЗ

Как только вы записали разговор, у вас появились персональные данные всех, кто говорил. Ниже — что из этого следует на практике. Это ориентир, а не юридическая консультация: решения по своей компании принимайте с юристом.

Запись — это персональные данные

В разговоре звучат имена, должности, контакты, обстоятельства сделок. По закону это сведения, относящиеся к конкретным людям, а значит их обработка регулируется 152-ФЗ.

Отдельно стоит различать две вещи. Сама запись голоса — персональные данные. А вот **узнавание человека по голосу** — уже биометрия, и у неё режим строже: письменное согласие каждого. Поэтому подписывать говорящих вручную можно свободно, а автоматически определять, кто это, по образцу голоса — только после отдельной юридической проработки.

Участников надо предупреждать

Записывать разговор скрытно нельзя. Практический минимум: сказать вслух в начале встречи и не выключать эту фразу из привычки, даже когда все свои.

Если запись ведёт сервис, у которого есть видимый участник или значок записи, это работает само. Если запись идёт с телефона, предупреждение остаётся на человеке.

Где лежат данные

Для данных российских граждан действует требование о размещении баз на территории России. Отправка персональных данных за рубеж — отдельная процедура: уведомление Роскомнадзора, оценка получателя, сведения от него самого.

Это касается не только хранения, но и обработки. Если сервис распознаёт речь российской моделью, а разбирает текст зарубежной, за границу уезжает расшифровка — а в ней те же имена и условия. Вопрос «где обрабатывается» стоит задавать поставщику прямо, и лучше письменно.

Кто за что отвечает

Когда компания пользуется сервисом протоколирования, ролей две. Компания — оператор: она решает, зачем записывает, и отвечает за основания. Сервис — обработчик по поручению: он делает только то, что поручено.

Из этого следует практическое: убедиться, что у поставщика это разделение написано в документах. Если в его политике про поручение ничего нет, отвечать за всё будете вы.

Сколько хранить

Закон не называет срок в днях. Он говорит другое: данные хранятся не дольше, чем нужно для цели, и уничтожаются по её достижении.

На практике это значит, что у записей должен быть срок жизни, и он должен исполняться сам. «Удалим, когда вспомним» не работает: архив растёт, а вместе с ним растёт объём того, что может утечь.

Разумная настройка — удалять записи через заданное время, а расшифровку и итоги хранить дольше: в тексте меньше данных, чем в голосе, а пользы от него больше.

• Задать срок хранения записей и сделать удаление автоматическим
• Уметь удалить всё по запросу человека, а не только по своей инициативе
• Ограничить, кто из сотрудников видит чужие записи
• Вести журнал: кто и когда обращался к данным

Что придётся сделать компании

Если вы обрабатываете персональные данные, об этом нужно уведомить Роскомнадзор — и сделать это **до** начала обработки, а не после. Исключений для «у нас маленькая компания» нет.

Понадобятся и документы: политика обработки персональных данных и согласие. Согласие оформляется отдельно от прочих документов: галочка «принимаю условия и согласие» не годится, это два разных действия.

И отдельно — порядок на случай утечки. Закон даёт сутки на уведомление об инциденте и трое суток на результаты расследования. Такие сроки нельзя выдержать, если о происшествии узнают случайно, поэтому нужен хотя бы простейший сигнал: кто-то выгрузил необычно много данных — пришло оповещение.

Как с этим устроен Recap

Данные лежат на сервере в России, обработка идёт там же. Согласие оформлено отдельным документом, а не пунктом в общих условиях. Записи удаляются по сроку автоматически, а не по напоминанию.

И отдельное обещание, которое мы держим: записи не используются для обучения моделей. Это не юридическое требование, а причина, по которой компания вообще может доверить сервису свои переговоры.