Когда запись звонков — это обработка персональных данных
Запись разговора клиента с сотрудником компании становится обработкой персональных данных в момент, когда в записи фиксируются сведения, позволяющие идентифицировать человека. Имя, номер телефона, тема обращения, голос — всё это персональные данные по смыслу 152-ФЗ.
Без законного основания — согласия субъекта данных или договора — записывать и хранить такие сведения нельзя. Обработка без законных оснований или несовместимо с целями сбора создаёт риск.
Проверить, создаёт ли текущая практика записи звонков риски, можно через сопоставление цели обработки, формулировки предупреждения и содержания политики обработки персональных данных.
Какое согласие нужно для записи разговоров
Устное согласие на запись разговора допускается законом, если факт его получения фиксируется в самой записи. Типичная схема: в начале звонка оператор сообщает, что разговор записывается для контроля качества, и просит клиента подтвердить согласие или продолжить разговор. Продолжение разговора после предупреждения считается согласием.
Формулировка предупреждения должна включать цель записи, основание обработки и указание, где клиент может ознакомиться с политикой обработки данных. Фраза «звонок записывается» без уточнения цели и прав субъекта создаёт риск при проверке.
Политика обработки персональных данных должна быть опубликована на сайте и содержать информацию о том, какие данные обрабатываются, для каких целей, как долго хранятся и куда обращаться за удалением.
Где хранить записи звонков: требование о локализации
Персональные данные граждан России должны записываться и храниться на серверах, расположенных на территории РФ. Это требование распространяется и на записи разговоров, если в них содержатся данные клиентов из России.
Если компания использует облачную телефонию или CRM-систему, необходимо проверить, где физически размещены серверы провайдера. Хранение записей только на иностранных серверах без дублирования в России создаёт риск по требованию локализации. В договоре с провайдером должно быть указано расположение дата-центров и порядок обработки данных.
Если планируется трансграничная передача данных, необходимо уведомить Роскомнадзор до начала передачи. Выбирая провайдера телефонии, стоит запросить документы, подтверждающие соответствие требованиям 152-ФЗ, и убедиться, что данные хранятся на территории России.
Как долго хранить записи и когда их удалять
Срок хранения записей звонков определяется целью обработки и должен быть указан в политике обработки персональных данных и в тексте согласия. Если цель — контроль качества и обучение сотрудников, срок может составлять от нескольких месяцев до года. Если запись нужна для разрешения спора — до истечения срока исковой давности.
Когда цель обработки достигнута или отпала, записи подлежат удалению. Субъект данных вправе отозвать согласие на обработку — после этого запись должна быть удалена, если нет других законных оснований для её хранения (например, требование закона или судебный процесс).
Хранение записей «на всякий случай» без указания конкретной цели и срока в политике создаёт риск при проверке. Рекомендуется настроить автоматическое удаление записей по истечении срока, указанного в политике.
Как защитить записи разговоров от утечки
Оператор персональных данных обязан обеспечить конфиденциальность записей: ограничить доступ к ним, использовать шифрование при передаче и хранении, вести журнал действий с данными. Стандартные настройки CRM или платформы телефонии могут не соответствовать этим требованиям.
Необходимо проверить, настроены ли роли доступа к записям (доступ только у сотрудников, которым это необходимо для работы), включено ли шифрование каналов связи и хранилища, ведутся ли логи доступа к записям. Если записи доступны всем сотрудникам компании или хранятся в открытом виде, это создаёт риск утечки.
При утечке персональных данных оператор обязан уведомить Роскомнадзор — несвоевременное уведомление влечёт ответственность. Утечка данных влечёт серьёзные последствия: в зависимости от числа субъектов и идентификаторов последствия могут быть существенными.
Что проверить в практике записи звонков
- 01Предупреждение о записи. В начале звонка клиент слышит предупреждение с указанием цели записи, основания обработки и ссылки на политику. Продолжение разговора фиксируется как согласие.
- 02Политика обработки данных. На сайте опубликована политика, в которой указано, что записываются звонки, для каких целей, как долго хранятся и куда обращаться за удалением.
- 03Расположение серверов. Записи звонков хранятся на серверах в России. Если используется облачная телефония, в договоре с провайдером указано расположение дата-центров.
- 04Ограничение доступа. Доступ к записям имеют только сотрудники, которым это необходимо для работы. Настроены роли и права в CRM или платформе телефонии.
- 05Срок хранения и удаление. В политике указан конкретный срок хранения записей. Настроено автоматическое удаление записей по истечении этого срока.
- 06Шифрование и логи. Записи передаются и хранятся в зашифрованном виде. Ведётся журнал доступа к записям, чтобы отследить, кто и когда их прослушивал.
- 07Уведомление Роскомнадзора. Проверьте, подавалось ли уведомление Роскомнадзору о намерении обрабатывать персональные данные — это обязанность оператора.
Что говорит закон
ч. 1 ст. 13.11 КоАП РФ
Обработка персональных данных без законных оснований или несовместимо с целями сбора — штраф для юрлиц от 150 000 до 300 000 ₽.
Первоисточникч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточникч. 8 ст. 13.11 КоАП РФ
Нарушение требования хранить персональные данные граждан РФ в базах на территории России — штраф для юрлиц от 1 до 6 млн ₽.
Первоисточникч. 11 ст. 13.11 КоАП РФ
Не уведомлён или уведомлён с опозданием Роскомнадзор об утечке персональных данных — штраф для юрлиц от 1 до 3 млн ₽.
Первоисточник
Частые вопросы
Можно ли записывать звонки без согласия клиента?
Нет. Запись голоса и данных клиента — это обработка персональных данных, для которой требуется законное основание: согласие субъекта или договор. Без предупреждения и согласия записывать нельзя.
Достаточно ли фразы «звонок записывается для контроля качества»?
Эта фраза неполная. В предупреждении должна быть указана цель записи, основание обработки (согласие или договор) и ссылка на политику, где клиент может узнать свои права и сроки хранения данных.
Нужно ли уведомлять Роскомнадзор, если записываем звонки?
Это обязанность оператора персональных данных. Провайдер телефонии, который хранит и обрабатывает записи по вашему поручению, не освобождает вас от обязанностей оператора. Проверьте, подавалось ли уведомление.
Что делать, если облачная телефония хранит записи за рубежом?
Проверьте договор с провайдером: данные граждан России должны записываться и храниться на серверах в РФ. Если дублирования нет, это создаёт риск по требованию локализации. Смените провайдера или обеспечьте хранение в России.
Как долго можно хранить записи звонков клиентов?
Срок определяется целью обработки и должен быть указан в политике и согласии. Когда цель достигнута, записи удаляются. Хранение без срока создаёт риск при проверке.
Обязательно ли удалять запись по запросу клиента?
Если клиент отозвал согласие на обработку данных, запись должна быть удалена, если нет других законных оснований для её хранения (например, судебный спор или требование закона).
Какие меры защиты записей звонков обязательны?
Ограничение доступа по ролям, шифрование при передаче и хранении, ведение журнала доступа к записям. Стандартные настройки CRM часто не соответствуют требованиям — проверьте конфигурацию.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.