Обезличивание персональных данных по приказу 140: что важно владельцу клиники
Обезличивание персональных данных по приказу 140 — это обработка данных так, чтобы без дополнительной информации нельзя было определить, о каком конкретном человеке идёт речь. Приказ Роскомнадзора № 140 устанавливает требования к такому обезличиванию и применяется с 1 сентября 2025 года. Для ветеринарной клиники это не абстрактная бюрократия, а рабочий инструмент: обезличенные данные можно передавать на обработку внешним сервисам — например, языковым моделям, на которых работают чат-боты, — заметно снижая правовые риски. Схема простая: перед тем как текст сообщения клиента уходит в ИИ, из него убираются ФИО, телефоны и адреса; модель видит только обезличенный текст, а настоящие контакты остаются в контуре клиники на серверах в России. По нашим данным, около 40% обращений в клиники приходит вне рабочих часов — переписку всё чаще ведёт бот с ИИ, поэтому вопрос «что именно видит модель» встаёт у каждого владельца. Разбираться в технических деталях приказа вам не нужно — достаточно убедиться, что подрядчик реализовал обезличивание, и зафиксировать это в договоре.
Что такое обезличивание простыми словами?
Из данных убирают всё, что позволяет опознать конкретного человека. Было: «Анна Петрова, +7 916 123-45-67, просит перенести приём Барсика». Стало: «[ИМЯ], [ТЕЛЕФОН], просит перенести приём Барсика». Смысл сообщения сохранился, а человека по нему уже не найти — если нет доступа к таблице соответствий, которая хранится отдельно.
Важный нюанс: персональные данные — это данные владельцев животных, а не самих питомцев. Кличка и диагноз Барсика законом не охраняются, а вот телефон его хозяйки — да. Базовые обязанности клиники — согласия, уведомление РКН — мы разобрали в статье 152-ФЗ для ветклиники, здесь их не повторяем.
Зачем обезличивание клинике?
Приказ даёт бизнесу легальный механизм передавать данные на обработку внешним сервисам с меньшими рисками. Для клиники это актуально в трёх случаях:
- Чат-бот с ИИ. Языковая модель обрабатывает переписку с клиентами — текст уходит за пределы клиники.
- Аналитика. Отчёты по обращениям не требуют реальных имён и телефонов.
- Настройка и тесты. Отладка сервисов на реальных диалогах без реальных контактов.
Честно: если ваш бот работает без ИИ вообще — жёсткое кнопочное меню, никакой языковой модели, — тема обезличивания перед ИИ вас не касается: маскировать просто нечего.
Как это устроено в чат-боте?
Разберём на примере 24VetChat. Перед тем как сообщение клиента уходит в языковую модель GigaChat, из текста маскируются ФИО, телефоны и адреса. Модель отвечает на обезличенный текст, а исходные контакты остаются в контуре клиники — на серверах в России (Timeweb Cloud, Москва).
| Что видит языковая модель | Что остаётся в контуре клиники |
|---|---|
| Обезличенный текст сообщения | ФИО владельца |
| Вопрос про услуги, цены, часы работы | Телефон и адрес |
| Кличка и симптомы питомца | История записей и контакты в CRM |
Что спросить у своего SaaS-подрядчика — уже работающего или будущего:
- Уходят ли сообщения клиентов во внешнюю языковую модель и в какую юрисдикцию?
- Маскируются ли ФИО, телефоны и адреса до отправки в модель?
- Где хранятся исходные данные и подписывается ли договор поручения (DPA)?
Если подрядчик отвечает уверенно и письменно — хорошо. Если «мы об этом не думали» — повод насторожиться: перед клиентами и Роскомнадзором отвечает клиника как оператор, а не сервис.
Посмотреть, как маскирование работает вживую, можно за неделю: попробовать 7 дней бесплатно — настройка занимает около 15 минут.
Частые вопросы
Когда применяется приказ РКН № 140 и надо ли его читать целиком?
Приказ Роскомнадзора № 140 применяется с 1 сентября 2025 года и устанавливает требования к обезличиванию персональных данных — обработке, после которой без дополнительной информации нельзя определить, к какому человеку относятся данные. Владельцу клиники изучать текст приказа целиком не нужно: это задача подрядчика, который делает ваш чат-бот или CRM. На практике важно одно — если сервис передаёт данные клиентов внешним системам, в том числе языковым моделям, он должен обезличивать их до передачи. Попросите подрядчика подтвердить это письменно и зафиксируйте обязанность в договоре поручения на обработку персональных данных.
Являются ли данные питомца персональными данными?
Нет. Персональные данные по 152-ФЗ относятся к людям, поэтому кличка, порода и история болезни Барсика сами по себе персональными данными не являются. Но клиника обрабатывает данные владельцев животных — ФИО, телефон, адрес, историю визитов, — а это уже полноценные персональные данные со всеми требованиями закона: основаниями обработки, согласиями и уведомлением Роскомнадзора. На практике данные питомца и владельца почти всегда идут в связке: в одной анкете, одной переписке, одной карточке CRM. Поэтому процессы стоит строить так, как будто вы работаете с персональными данными всегда — это проще и надёжнее, чем каждый раз разбирать, где чьи данные.
Что спросить у подрядчика чат-бота про обезличивание?
Задайте четыре вопроса. Первый: уходят ли сообщения клиентов во внешнюю языковую модель и в какой юрисдикции она работает. Второй: маскируются ли ФИО, телефоны и адреса до отправки текста в модель. Третий: где физически хранятся исходные данные — они должны оставаться на серверах в России. Четвёртый: подписывается ли договор поручения на обработку персональных данных и кто указан оператором. Для примера, в 24VetChat ответы такие: модель — GigaChat в российской юрисдикции, контакты маскируются до отправки, данные хранятся в РФ, DPA подписывается с каждой клиникой, а экспорт диалогов и контактов делается по запросу в течение трёх рабочих дней.