Что такое автоматизированная обработка персональных данных и кого она касается
Автоматизированная обработка персональных данных - это ситуация, когда решение о человеке принимает не сотрудник, а алгоритм: банк одобряет или отклоняет заявку на кредит по скоринговой модели, HR-система отсеивает резюме по ключевым словам, маркетплейс блокирует аккаунт за подозрительную активность, а сервис подписки меняет цену в зависимости от поведения пользователя. Формально это законная и повсеместная практика: без автоматической обработки данных не работает ни одна CRM, ни одна рекламная система, ни один сайт с формой заявки. Но как только на основе такой обработки принимается итоговое решение, которое влияет на права человека, включается отдельное правило закона о персональных данных - и его нарушение встречается на практике куда чаще, чем кажется владельцам сайтов и сервисов.
Тема касается не только банков и бюро кредитных историй. Автоматизированные решения без участия человека сегодня принимают HR-tech платформы при отборе кандидатов, интернет-магазины и маркетплейсы при блокировке заказов и аккаунтов, страховые компании при расчете премии, сервисы доставки при оценке надежности клиента, а с распространением нейросетей - практически любой сайт, который встраивает ИИ-модуль для скоринга заявок, персонализации цен или автоматического ответа на обращения. Если на сайте или в CRM работает алгоритм, который сам решает судьбу заявки, договора или доступа к услуге, - компания подпадает под действие этого правила независимо от отрасли и масштаба бизнеса.
Игнорирование грозит не абстрактной ответственностью за нарушение закона вообще, а конкретными последствиями: жалоба человека, которому отказали без объяснений, обращение в Роскомнадзор, требование пересмотреть решение вручную, а при системном нарушении - штраф наряду с другими нарушениями обработки персональных данных, которые инспектор обычно находит на сайте попутно. Отдельно стоит учитывать репутационный риск: отказ без объяснения причин, тем более сгенерированный алгоритмом, вызывает у клиентов раздражение сильнее, чем отказ живого сотрудника, потому что выглядит как произвол системы, с которой невозможно поговорить.
Об этой норме вспоминают реже, чем о согласии на обработку данных или про куки, потому что она регулирует не сам факт сбора данных, а то, что происходит дальше - какое решение принимается на основе уже собранных данных. Именно поэтому ее часто упускают из виду даже те компании, которые в остальном подошли к обработке персональных данных ответственно: политика есть, согласия оформлены, а отдельного согласия на автоматизированное решение и рабочего канала для возражений нет.
Принятие решений на основании автоматизированной обработки: что запрещает статья 16
Ключевая норма закона о персональных данных - статья 16 Федерального закона от 27.07.2006 N 152-ФЗ О персональных данных. Она регулирует именно принятие решений на основании автоматизированной обработки, а не саму обработку как таковую. Разница принципиальная: собирать данные, анализировать поведение и даже строить модель поведения человека закон разрешает на общих основаниях, как и любую другую обработку персональных данных. Запрещено другое - принимать решение исключительно на основе такой обработки, если оно порождает для человека юридические последствия или иначе существенно затрагивает его права и законные интересы, без участия человека со стороны оператора и без отдельного согласия субъекта именно на такой порядок принятия решения.
Из запрета есть два исключения. Первое - письменное согласие субъекта персональных данных на то, что решение о нем будет принято именно так, без участия человека. Это согласие должно быть отдельным: общая формулировка о том, что компания обрабатывает данные в целях оказания услуг, такое согласие не заменяет, потому что человек должен понимать и осознанно принять именно факт автоматического принятия решения о нем. Второе исключение - случаи, прямо предусмотренные другими федеральными законами, которые одновременно устанавливают меры защиты прав человека в такой ситуации. Если нет ни того, ни другого, а решение принимает алгоритм без всякого участия сотрудника, оператор нарушает закон, даже если сам алгоритм работает технически исправно и не допускает ошибок.
На практике это касается не только финальной точки отказал или одобрил. Формулировка иначе затрагивает права и законные интересы толкуется широко: сюда попадает автоматическое повышение цены для конкретного пользователя, приоритетность показа объявления, автоматическая блокировка личного кабинета, автоматический расчет тарифа страховки или доставки. Если в перечисленных случаях за решением алгоритма не стоит ни один сотрудник, который может пересмотреть его по существу, - формально это тот самый случай, который регулирует статья 16.
Юридические последствия в смысле статьи 16 - это не обязательно суд или штраф для самого человека. Сюда попадает любое изменение его правового положения: отказ в заключении договора, изменение его условий, ограничение доступа к услуге, ухудшение условий по сравнению с другими клиентами. Автоматический отказ в открытии счета, автоматическое повышение процентной ставки по кредиту, автоматическое исключение из программы лояльности - все это подпадает под определение, даже если для конкретного человека сумма спора невелика.
Профилирование персональных данных: обработка - это еще не решение
Профилирование персональных данных - это сбор и анализ информации о человеке для построения его модели: интересов, платежеспособности, поведения, вероятности покупки или риска мошенничества. Сюда относится ретаргетинг и look-alike аудитории в рекламе, персонализированные рекомендации товаров, скоринговые модели в банках, аналитика поведения на сайте через счетчики посещаемости. Само по себе профилирование - обычная обработка персональных данных, которая подчиняется общим правилам закона: должно быть законное основание, должна быть политика обработки, данные нельзя собирать сверх заявленной цели. Ничего специфического для профилирования как отдельной категории закон не вводит - в этом смысле оно ничем не отличается от любого другого сбора и анализа данных. Подробнее о законных основаниях такой обработки в рекламе можно прочитать в материале про ретаргетинг и look-alike аудитории.
Профилирование становится проблемой ровно в тот момент, когда его результат без участия человека превращается в решение с юридическими последствиями. Пока алгоритм просто выбирает, какую рекламу показать конкретному человеку, - это профилирование в чистом виде, и вопрос лишь в том, законно ли вообще собраны данные для него. Но как только на основе того же профиля алгоритм сам принимает решение - отказать в скидке, показать более высокую цену, не пропустить заявку дальше по воронке без участия менеджера, - это уже принятие решения на основании автоматизированной обработки в смысле статьи 16, и профилирования как законного основания для сбора данных здесь недостаточно.
Скоринг персональных данных: где алгоритм решает судьбу заявки
Скоринг персональных данных - частный случай автоматизированного решения, самый заметный и самый регулируемый на практике. Банки и микрофинансовые организации годами строят скоринговые модели, которые оценивают заявку на кредит по десяткам параметров и выдают вердикт без участия кредитного специалиста. Банк России отдельно обращает внимание финансовых организаций на прозрачность таких моделей и право клиента получить объяснение отказа, а не только сухую цифру скоринга. Похожий принцип, хотя и в другой юрисдикции, закреплен в европейском регулировании: право не быть объектом решения, основанного исключительно на автоматизированной обработке, включая профилирование, предусмотрено статьей 22 европейского регламента о защите персональных данных, и российский подход в этой части идейно к нему близок.
За пределами банковского сектора скоринг встречается чаще, чем кажется: HR-tech сервисы присваивают резюме балл соответствия вакансии и автоматически отклоняют кандидатов с низким баллом - подробнее о том, как это делать без нарушений, в материале про HR-tech и сайты вакансий. Сервисы доставки и каршеринга оценивают надежность клиента по истории заказов и автоматически ограничивают доступ, страховые калькуляторы на сайте выдают персональный тариф на основании данных о человеке без участия андеррайтера. Во всех этих случаях стоит один и тот же вопрос: если человек не согласен с результатом, есть ли у него реальная возможность обратиться к сотруднику, который посмотрит его случай отдельно от алгоритма, или последнее слово всегда остается за моделью.
Автоматизированное решение или обычная обработка: таблица для проверки
Чтобы быстро понять, подпадает ли конкретный процесс под действие статьи 16, полезно свести типичные ситуации в таблицу и сверяться с ней при запуске нового алгоритма или сервиса на сайте.
| Ситуация | Это решение по статье 16 | Что нужно оператору |
|---|---|---|
| Скоринг заявки на кредит или заем с автоматическим отказом | Да, если решение принято без сотрудника | Согласие субъекта на такой порядок и разъяснение до заявки, возможность подать возражение после отказа |
| Автоматический отсев резюме по ключевым словам без просмотра человеком | Да | Разъяснение кандидату и канал для возражения, желательно ручная проверка пограничных случаев |
| Персонализированная цена или скидка на основе профиля пользователя | Да, если меняет условия сделки для конкретного человека | Согласие или основание из отдельного закона, прозрачный порядок пересмотра |
| Автоблокировка личного кабинета или заказа по признакам мошенничества | Да | Канал обращения к сотруднику и рассмотрение возражения по существу |
| Показ рекламы конкретному человеку на основе ретаргетинга | Нет, это профилирование без итогового решения | Законное основание для обработки данных и корректная работа счетчиков |
| Рекомендации похожих товаров в интернет-магазине | Нет, юридических последствий для человека не возникает | Общие требования к обработке данных, отдельного согласия не требуется |
Что обязан сделать оператор при автоматизированной обработке персональных данных
Если в компании есть хотя бы один процесс, где алгоритм принимает решение о человеке без участия сотрудника и это решение затрагивает его права, оператор обязан выполнить несколько условий, а не просто добавить фразу про обработку данных в политику конфиденциальности.
- Определить, какие процессы в компании подпадают под действие статьи 16: скоринг, автоотказы, автоблокировки, персонализированное ценообразование, любые другие решения, которые алгоритм принимает без сотрудника.
- Для каждого такого процесса получить отдельное согласие субъекта именно на принятие решения без участия человека - не общей формулировкой из политики, а отдельным пунктом с понятной формулировкой.
- Разъяснить субъекту до принятия решения, как работает автоматизированная обработка в общих чертах и какие юридические последствия возможны - без раскрытия коммерческой тайны алгоритма, но по существу: какие данные используются, какой результат возможен.
- Организовать канал, через который человек может подать возражение против принятого решения - форма на сайте, отдельный адрес почты, раздел в личном кабинете. Формальная ссылка на общую почту компании не работает, если письма реально никто не читает.
- Назначить сотрудника или отдел, который рассматривает такие возражения по существу и имеет полномочия пересмотреть решение алгоритма, а не просто переслать вопрос в техподдержку.
- Вести учет обращений с возражениями и ответов на них - это тот журнал, который в первую очередь спросит инспектор при проверке, если увидит на сайте автоматизированный сервис принятия решений.
- Проверить, что серверная часть формы или сервиса действительно исполняет эти правила, а не только текст политики их описывает - это частая точка расхождения между документами и тем, как работает сайт на самом деле.
Список выше не формальность для галочки: каждый пункт закрывает конкретную претензию, которую можно предъявить компании отдельно - от отсутствия согласия до канала обратной связи, который существует только на бумаге.
Автоматизированная обработка персональных данных в ИИ-сервисах
Тема стала заметно актуальнее с тех пор, как бизнес массово встраивает в сайты и CRM генеративные модели и ML-алгоритмы: чат-боты, которые сами отвечают отказом на заявку, рекомендательные системы, которые решают, какому клиенту показать более выгодное предложение, а какому нет, ИИ-модули для предварительного отбора резюме или заявок на услугу. Формально для закона неважно, написан алгоритм на классических правилах, обучен на статистике или представляет собой нейросеть - статья 16 говорит о принятии решения на основании исключительно автоматизированной обработки персональных данных вообще, безотносительно к технологии внутри. Разница лишь в том, что объяснить логику классической скоринговой формулы обычно проще, чем логику нейросетевой модели, а обязанность разъяснить субъекту порядок принятия решения при этом никуда не исчезает.
Похожая логика применима и к биометрическим сервисам: если распознавание лица на входе автоматически решает, пускать человека или нет, без возможности обратиться к сотруднику на месте, - вопрос уже не только в законности сбора самой биометрии, о чем подробно рассказано в материале про распознавание лиц и Face ID, но и в том же принятии решения без участия человека.
Отдельная сложность ИИ-сервисов в том, что решение нередко принимается в несколько этапов через разных подрядчиков: данные собирает один сервис, скоринг считает другой, а решение выводится на сайте заказчика. С точки зрения субъекта персональных данных это не освобождает оператора от обязанностей по статье 16 - для него все равно отвечает тот, чей сайт или сервис принял решение и довел его до человека. Если решение формирует сторонний ИИ-сервис по договору поручения, в договор стоит закладывать обязанность подрядчика предоставлять объяснение логики решения по запросу заказчика - иначе оператор просто не сможет разъяснить субъекту порядок принятия решения, потому что сам его не знает.
Типичные ошибки бизнеса при внедрении автоматизированных решений
На практике запрет статьи 16 нарушают не потому, что решили сэкономить на юристе, а потому, что просто не заметили момент, когда обычная автоматизация превратилась в решение с юридическими последствиями. Несколько повторяющихся ошибок встречаются почти в каждом втором сервисе, где работает скоринг или автоотбор.
- Согласие на автоматизированную обработку спрятано внутри общей политики обработки персональных данных и не выделено отдельным пунктом - субъект физически не может понять, на что именно он соглашается.
- Форма или сервис вообще не спрашивает согласия на такой порядок принятия решения, потому что команда разработки не связывала техническую задачу построить скоринг с юридическим требованием статьи 16.
- Канал для возражений существует только в тексте политики: адрес указан, но письма на него не читает никто, либо ответ приходит формальный без разбора конкретного случая.
- Объяснение логики решения сводится к фразе решение принято автоматически на основании внутренних правил - это не разъяснение порядка принятия решения, а его отсутствие.
- Возражение субъекта рассматривает тот же алгоритм или бот, который принял исходное решение, без реального участия сотрудника, способного его пересмотреть.
- Подрядчик, который считает скоринг по договору поручения, не обязан по договору объяснять логику модели, и заказчик физически не может выполнить требование закона перед своим клиентом.
- Данные для автоматизированного решения собираются с нарушением общих требований закона - без нужного основания или с превышением заявленной цели, и тогда проблема с решением по статье 16 оказывается уже не единственной.
Каждая из этих ошибок по отдельности выглядит незначительной технической деталью, но при проверке или жалобе субъекта они складываются в одну и ту же картину: у компании есть алгоритм, который решает судьбу человека, и нет ни одного элемента защиты его прав, предусмотренного законом.
Чем грозит нарушение статьи 16 на практике
Отдельного специального штрафа именно за нарушение статьи 16 закон не выделяет - ответственность наступает по общим нормам об административных нарушениях в области персональных данных, и на практике инспектор редко находит только одно нарушение. Если алгоритм принимает решения без разъяснения и без канала для возражений, велика вероятность, что рядом обнаружатся и другие проблемы: от неточной политики обработки до отсутствия уведомления в реестре операторов. Совокупность нарушений на одном сайте расценивается серьезнее, чем единичный случай, а при утечке данных, которые использовались для автоматизированного решения, в игру вступают уже оборотные штрафы, о размере которых можно прочитать в материале про оборотные штрафы по ФЗ-152 в 2026 году.
Есть и другой риск, менее формальный, но не менее ощутимый - жалоба самого человека. Если клиенту отказали в кредите, не взяли на работу или заблокировали аккаунт без объяснений, а на запрос он получает только автоматический ответ, следующий шаг многих - обращение в Роскомнадзор или публичный отзыв о компании. Отсутствие внятного канала для возражения превращает частный случай в публичный, и тогда разбираться приходится не только с одним недовольным клиентом, но и с репутационными последствиями для всей компании.
Как проверить свои алгоритмы и решения на соответствие закону
Начать стоит с инвентаризации: выписать все процессы в компании, где решение о человеке принимает алгоритм без участия сотрудника, - от скоринга и автоотказов до персонализированных цен и автоблокировок. По каждому пункту проверить три вещи: есть ли отдельное согласие или основание из другого федерального закона, разъяснен ли субъекту порядок принятия решения до того, как оно принято, и работает ли на самом деле канал для возражений, а не только на бумаге в политике конфиденциальности.
Дальше имеет смысл сверить эти процессы с остальными требованиями закона, потому что статья 16 редко существует в вакууме: если на сайте уже есть форма с согласием, скоринг или автоблокировка аккаунта, стоит заодно проверить и остальные точки, которые обычно смотрит инспектор при проверке. Подробный разбор таких точек по всему сайту, а не только применительно к автоматизированным решениям, есть в материале про аудит сайта на соответствие ФЗ-152.
Если в компании уже работает алгоритм, который решает судьбу заявки, резюме или заказа, стоит один раз пройтись по нему с этим списком, а не ждать, пока вопрос задаст Роскомнадзор или недовольный клиент. 152fzpro.ru проводит аудит сайтов и сервисов на соответствие закону о персональных данных и помогает привести в порядок документы и формы, включая случаи с автоматизированной обработкой и профилированием, без обещаний того, чего сайт не гарантирует, но с понятным списком того, что конкретно нужно поправить.
