Транскрибация звонков и 152-ФЗ: почему зарубежные сервисы — риск

В пятницу юрист написал в общий чат одну строку: «Пилот на зарубежном ASR уже льёт боевые номера. Куда уезжает аудио?» Рядом — скрин API-ключа и список очередей из АТС.

Команда думала, что тестирует качество текста. По факту уже шла обработка персональных данных за рубежом. Для бизнеса в России запись переговоров почти всегда содержит ПДн и попадает под 152-ФЗ. Материал — ориентир, не замена консультации юриста.

Что содержится в записи звонка?

Даже «просто аудио» — это не нейтральный файл. В типичном звонке продаж или поддержки есть имя, телефон, адрес, номер договора, паспортные или платёжные сведения, состояние здоровья, жалобы, имена коллег. После распознавания речи эти данные живут ещё и в тексте: транскрипт, summary, задачи, голосовые профили.

Что требует 152-ФЗ в связке с транскрибацией?

Закон не запрещает облачную обработку сам по себе. Он требует, чтобы оператор понимал цели, категории данных, место обработки, меры защиты и условия поручения. Для речевой аналитики критичны несколько точек.

• ЛокализацияПри сборе ПДн граждан РФ база данных, через которую ведётся учёт, должна находиться в России (с оговорками закона). Практически это означает: хранение и основная обработка — в дата-центрах на территории РФ, если иное не согласовано отдельно.
• Поручение обработчикуПередача аудио подрядчику оформляется договором поручения: цели, перечень действий, меры защиты, порядок удаления и инцидентов.
• Трансграничная передачаОтправка записей на серверы за рубежом — отдельный правовой режим. Нужны основания, оценка страны-получателя и соблюдение ограничений по «ненадёжным» юрисдикциям.
• Права субъектовЗапросы на уточнение, блокирование, удаление должны быть исполнимы. Если запись «растворилась» в чужом облаке без SLA на удаление — вы не сможете ответить субъекту в срок.

Почему зарубежные сервисы — плохой выбор для РФ?

Популярные западные Speech/ASR API удобны по качеству и документации. Но для российского оператора ПДн они создают несколько системных проблем сразу. На практике пилот «на 20 файлах» за 2–3 дня часто превращается в боевой поток без DPIA — и остановить его уже сложнее, чем начать.

Какие риски бьют по бизнесу на практике?

1. Претензии РКН и субъектов: утечка или неправомерная трансграничная передача — штрафы и предписания, репутационный удар.
2. Срыв сделок с крупными заказчиками: ИБ и юристы банка/ритейла/госсектора всё чаще требуют подтверждение размещения в РФ и договор поручения.
3. Невозможность удалить данные «по кнопке»: субъект попросил стереть запись — а у зарубежного API нет гарантированного purge в вашем SLA.
4. Зависимость от валютной оплаты и доступности сервиса: вчера работало, сегодня — 403 или отказ биллинга.
5. Смешение контуров: тестовый аккаунт на иностранном ASR постепенно становится боевым — без DPIA и без учёта в реестре обработки.

Как выбрать сервис под 152-ФЗ?

Короткий фильтр для закупки и ИБ — чтобы отсечь заведомо неподходящие варианты до пилота.

• Дата-центры в РФПисьменно: регион размещения, отсутствие обязательной репликации за рубеж для вашего тарифа.
• Договор порученияЕсть шаблон DPA/поручения: цели, срок, удаление, инциденты, субобработчики.
• Меры защитыШифрование в покое и при передаче, изоляция аккаунтов, журналы доступа, 2FA.
• Запрет на обучение чужих моделейВаши звонки не должны становиться топливом для публичной модели без отдельного согласия.
• Управление жизненным цикломAPI или кабинет: удаление записи и производных (транскрипт, summary, voiceprint) по запросу.
• Выделенный контурДля чувствительных отраслей — возможность on-prem / изолированного VPC, а не только multi-tenant SaaS.

Чек-лист перехода с зарубежного ASR

1. Составьте список источников: АТС, записи встреч, загрузки из кабинета, API-интеграции.
2. Проверьте договор текущего провайдера: регион, retention, обучение моделей, право на удаление.
3. Согласуйте с юристом: нужны ли обновление уведомления в РКН, поручение, согласия/иные основания для субъектов.
4. Поднимите пилот на российском контуре на выборке звонков: качество, латентность, стоимость минуты.
5. Переведите прод-потоки, отзовите ключи зарубежного API, запросите подтверждение удаления остатков.
6. Зафиксируйте регламент: кто имеет доступ к записям, срок хранения, порядок ответа субъекту ПДн.

Частые вопросы

Как проверить контур на своих звонках?

Составьте список источников аудио (АТС, загрузки, API). Для каждого ответьте письменно: регион обработки, поручение, срок удаления записи и производных. Если ответа нет в договоре — пилот уже в серой зоне. Затем на 10–20 своих файлах сравните качество в российском контуре и только потом отзовите зарубежные ключи.

Проба на своих файлах: быстрый старт. Ставки: тарифы. Варианты изоляции: облако / контур / свои серверы. Про голос как биометрию: голосовой отпечаток и 152-ФЗ.