Запись телефонных разговоров и 152-ФЗ: что нужно компании

Ссылки ниже ведут на действующий текст Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных». Это не юридическое заключение, а карта: что говорит закон и что спросить у юриста.

Запись голоса — это персональные данные?

Закон определяет персональные данные очень широко: это «любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу» (ст. 3, п. 1).

Запись звонка в CRM почти никогда не бывает анонимной. К ней привязан номер телефона, в разговоре звучат имя, адрес доставки, сумма заказа. По такой записи человека можно определить — значит, это персональные данные. А запись, хранение, прослушивание и удаление — это их обработка: закон считает обработкой любое действие с персональными данными, с автоматизацией или без (ст. 3, п. 3).

Компания, которая решает, зачем и как записывать, — оператор (ст. 3, п. 2). Все обязанности ниже — её.

Когда голос становится биометрией

Биометрия — это не любой голос на записи. В ст. 11, ч. 1 два условия сразу: сведения характеризуют физиологические и биологические особенности человека, по которым можно установить личность, и они «используются оператором для установления личности субъекта персональных данных».

На практике это значит:

• Отдел продаж записывает звонки для контроля качества. Голос никто не использует, чтобы узнать, кто звонит, — это обычные персональные данные.
• Банк пускает клиента в личный кабинет по голосовому отпечатку. Голос используется для установления личности — это биометрия.

Для биометрии правило строже: обработка только с согласия в письменной форме, кроме случаев из ч. 2 той же статьи (оборона, безопасность, правосудие и другие). Если вы планируете опознавать клиентов по голосу — это отдельный проект с юристом.

Второй особый случай — клиники. Сведения о состоянии здоровья относятся к специальным категориям персональных данных, их обработка по общему правилу запрещена, кроме случаев из ч. 2 — например, при письменном согласии (ст. 10). Разговор пациента с регистратурой о симптомах может затрагивать такие сведения.

На каком основании записывать

Согласие — не единственное основание. В ст. 6, ч. 1 их несколько. Для звонков обычно обсуждают три:

• Согласие субъекта (п. 1).
• Исполнение договора с человеком или заключение договора по его инициативе (п. 5). Клиент сам позвонил оформить заказ — вопрос к юристу, подходит ли это основание к записи.
• Права и законные интересы оператора (п. 7) — с оговоркой, что при этом не нарушаются права и свободы человека.

Если опираетесь на согласие, у него есть требования. Оно должно быть «конкретным, предметным, информированным, сознательным и однозначным», дано в форме, которая позволяет подтвердить факт получения, и оформлено отдельно от иных документов, которые человек подтверждает или подписывает (ст. 9, ч. 1, в редакции закона № 156-ФЗ от 24.06.2025). Согласие можно отозвать (ч. 2), а доказывать, что оно было, должен оператор (ч. 3).

Как это ложится на телефонный разговор — фраза автоответчика, галочка в форме заявки или иначе, — зависит от основания и процесса. Этот вопрос стоит задать юристу до запуска.

Нужно ли предупреждать о записи

В 152-ФЗ нет отдельной нормы «произнесите фразу о записи». Но есть несколько норм, из-за которых предупреждение — разумная практика:

• согласие должно быть информированным (ст. 9);
• человек вправе узнать цели, основания, сроки обработки и кто, кроме сотрудников оператора, имеет доступ к его данным (ст. 14, ч. 7);
• оператор обязан опубликовать или иным образом обеспечить неограниченный доступ к своей политике обработки персональных данных (ст. 18.1, ч. 2).

Короткая фраза в начале звонка плюс ссылка на политику на сайте — понятный человеку способ выполнить эти требования. Формулировку лучше согласовать с юристом.

Сколько хранить записи

Закон не называет число месяцев. Он задаёт принцип: хранить не дольше, чем этого требуют цели обработки (ст. 5, ч. 7). Цели должны быть конкретными и заранее определёнными (ч. 2), а объём данных — соответствовать им (ч. 5).

Когда цель достигнута, обработку нужно прекратить, а данные уничтожить в срок не более 30 дней — с оговорками, которые перечислены в самой норме (ст. 21, ч. 4). При отзыве согласия — тоже не более 30 дней с даты отзыва (ч. 5).

Практический вывод: срок хранения записей — это ваше решение, но его надо записать. «Храним, пока место на диске есть» — не цель.

Где хранить: локализация

При сборе персональных данных граждан России запись, систематизация, накопление, хранение, уточнение и извлечение с использованием баз данных за пределами России не допускаются — кроме исключений, перечисленных в самой норме (ст. 18, ч. 5).

Проверьте не только свою АТС, но и всю цепочку: где лежат записи у оператора телефонии, где работает CRM, куда уходят файлы на расшифровку.

Кто из сотрудников может слушать

Все, кто получил доступ к персональным данным, обязаны не раскрывать их третьим лицам без согласия человека, если иное не предусмотрено законом (ст. 7). Поэтому купленные и «партнёрские» базы номеров так рискованны для обзвона: как проверить базу по источнику номера, мы разобрали в статье о холодных звонках с ИИ.

Среди мер защиты закон прямо называет правила доступа к персональным данным и регистрацию и учёт всех действий с ними (ст. 19, ч. 2). Отдельно закон требует назначить ответственного за организацию обработки и ознакомить сотрудников с правилами (ст. 18.1, ч. 1).

Простой тест: если завтра клиент спросит «кто слушал мой звонок», сможете ли вы ответить?

Если записи ведёт подрядчик

Телефония, речевая аналитика, ИИ-сотрудник — всё это обработка по поручению. Оператор вправе поручить её другому лицу с согласия человека, если иное не предусмотрено федеральным законом, на основании договора; исполнитель обязан соблюдать принципы закона и конфиденциальность (ст. 6, ч. 3). При этом перед человеком за действия подрядчика отвечает оператор, то есть вы (ч. 5).

Клиент просит запись или удалить её

Человек вправе получить сведения об обработке своих данных и потребовать уточнить, заблокировать или уничтожить их, если они неполные, устаревшие, неточные, незаконно полученные или не нужны для заявленной цели (ст. 14, ч. 1).

Сроки ответа (ст. 20):

• сообщить о наличии данных и дать ознакомиться — 10 рабочих дней с даты запроса, можно продлить ещё на 5 с мотивированным уведомлением (ч. 1);
• отказ — только письменный и мотивированный, в те же сроки (ч. 2);
• исправить неточные данные или уничтожить незаконно полученные либо ненужные — не более 7 рабочих дней после подтверждения (ч. 3).

И последнее: до начала обработки оператор обязан уведомить уполномоченный орган по защите прав субъектов персональных данных (ст. 22, ч. 1). Исключений в ч. 2 теперь мало, так что уведомление стоит проверить.

Сводная таблица

Как это устроено в КАРАДЕСК

КАРАДЕСК записывает и разбирает звонки в нескольких продуктах: ИИ-менеджер записывает и расшифровывает разговоры, Аналитика разбирает звонки отдела продаж по критериям. Поэтому правила обработки заданы заранее:

• обработка персональных данных строится по 152-ФЗ, размещение — в России;
• роли, основания и сроки хранения фиксируются в паспорте подключения до работы с реальными данными;
• данные каждой компании отделены: чужие не читаются ни через API, ни через выгрузку, ни по ссылке;
• по каждому действию в журнале видно, кто, когда и с каким результатом его выполнил.

Решение, на каком основании записывать и что говорить клиенту, остаётся за вами как за оператором. Для клиник, которые подключают Аналитику врачей, КАРАДЕСК помогает подготовить формулировки и порядок согласия пациента на запись приёма. Как разбор записей помогает находить потерянные сделки, — в статье о речевой аналитике; для клиник, где запись приёма требует согласия пациента, — в статье об анализе консультаций врачей.