«А это вообще безопасно — доверять данные пациентов какому-то боту?» — один из первых вопросов, который задают владельцы клиник и салонов, когда речь заходит об автоматизации. Опасение понятное: телефоны, имена, истории визитов, иногда деликатная медицинская информация. Утечка таких данных — это и репутационный удар, и реальные штрафы по закону.
Разберёмся честно и по существу: что требует закон о персональных данных, какие риски реальны, где данные утекают на самом деле и может ли ИИ-администратор быть не менее, а порой и более безопасным, чем живой сотрудник. Сразу оговоримся: это обзор для бизнеса, а не юридическая консультация — конкретные детали всегда сверяйте с актуальной редакцией закона и профильным специалистом.
Сразу дадим короткий ответ на вынесенный в заголовок вопрос, а дальше разберём его подробно. Доверять ИИ данные клиентов можно — при одном условии: решение должно соблюдать закон и хранить данные защищённо. Само по себе слово «искусственный интеллект» не делает обработку данных ни более, ни менее законной. Значение имеет то, как именно устроена работа с информацией, где она хранится и кто к ней имеет доступ. Именно эти вещи мы и будем проверять.
И ещё одно важное уточнение: безопасность зависит не от того, «человек или робот», а от того, как устроена работа с данными. Грамотно настроенный ИИ-администратор Syntera24, например, работает с обращениями в защищённом контуре, а не в личном телефоне сотрудника — и в этом смысле даёт больше контроля, а не меньше. Но обо всём по порядку.
Почему вопрос данных в медицине и бьюти особенно острый
Сфера услуг, особенно медицина и косметология, работает с чувствительной информацией. Это не просто «телефон для записи»: это сведения о здоровье, процедурах, иногда — о диагнозах и особенностях, которые человек не хотел бы афишировать.
Закон относит данные о здоровье к специальной категории персональных данных с повышенными требованиями к защите. А значит, любой бизнес, который записывает пациентов и хранит их контакты и историю, автоматически становится оператором персональных данных со всеми вытекающими обязанностями. И неважно, ведёте вы запись в тетради, в мессенджере или через ИИ — ответственность за данные лежит на бизнесе.
Добавьте к этому фактор доверия клиента. Человек, который приходит на деликатную процедуру, рассчитывает на конфиденциальность не меньше, чем на качество услуги. Одна история про «слитую» базу или болтливого администратора — и репутация салона страдает сильнее, чем от любого штрафа. В сфере, где всё держится на личном доверии и рекомендациях, безопасность данных — это часть самого продукта, а не скучная формальность «для галочки». Поэтому относиться к ней стоит серьёзно вне зависимости от того, какие инструменты вы используете.
Что вообще считается персональными данными в салоне и клинике
Многие владельцы недооценивают масштаб, думая, что персональные данные — это что-то про паспорта и банковские карты. На деле под закон попадает почти всё, что вы собираете о клиенте.
- Имя и фамилия — уже персональные данные, даже без других сведений.
- Телефон и email — основное, что есть у любого салона и клиники.
- История визитов и процедур — какие услуги получал клиент и когда.
- Сведения о здоровье — диагнозы, противопоказания, особенности. Это специальная категория с самыми строгими требованиями.
- Фотографии «до/после» — в косметологии и стоматологии это тоже персональные данные, причём чувствительные.
Получается, что обычная карточка клиента в косметологии или стоматологии — это уже набор персональных данных, часть которых относится к чувствительной категории. Поэтому требования закона касаются буквально каждого салона и кабинета, а не только крупных медцентров.
Что требует закон 152-ФЗ простыми словами
152-ФЗ делает любой салон или клинику оператором персональных данных — с обязанностями по их защите
Федеральный закон №152-ФЗ «О персональных данных» — основной документ, регулирующий работу с данными клиентов в России. Не углубляясь в юридические тонкости, вот его ключевые требования для бизнеса.
Согласие на обработку
Бизнес может обрабатывать персональные данные только с согласия клиента. Причём с 1 сентября 2025 года правила ужесточились: согласие на обработку персональных данных должно оформляться отдельно от других документов, а не «прятаться» строчкой в общем договоре или пользовательском соглашении. Клиент должен ясно понимать, на что соглашается.
На практике это значит, что простого «галочки внизу анкеты» недостаточно — нужна отдельная понятная форма согласия. Для салонов и клиник это важный момент: запись через сайт, мессенджер или по телефону должна сопровождаться корректным получением согласия. Хорошая новость в том, что современные системы автоматизации умеют встраивать этот шаг в процесс записи, чтобы согласие собиралось правильно и фиксировалось, а не оставалось на совести администратора, который «забыл спросить».
Хранение данных в России
Закон требует, чтобы персональные данные граждан России собирались и хранились на серверах, расположенных на территории РФ (требование локализации). Это значит, что инструмент, который вы используете для записи и хранения данных, должен размещать их в российском контуре, а не на зарубежных серверах.
Это, кстати, ещё один аргумент против ведения базы в зарубежных мессенджерах и сервисах: формально данные клиентов в таком случае могут храниться вне России, что само по себе нарушает требование локализации. Поэтому при выборе любого инструмента — от CRM до ИИ-администратора — вопрос «где физически лежат данные» должен стоять одним из первых.
Защита от утечек
Оператор обязан принимать меры для защиты данных от несанкционированного доступа и утечек: ограничивать доступ, шифровать, вести учёт. Если данные утекли — это нарушение, за которое отвечает бизнес, причём с 2025 года ответственность стала очень серьёзной.
Важно понимать: ответственность лежит на бизнесе как на операторе, даже если технически данные обрабатывает подрядчик или сервис. Поэтому нельзя просто «переложить» риск на поставщика и забыть. Зато можно выбрать такого поставщика, который сам соблюдает требования и помогает вам соответствовать закону — с договором, где чётко прописано, как обрабатываются и защищаются данные. Это снижает вашу нагрузку и риск, но не отменяет вашей роли оператора.
Сколько стоит ошибка: штрафы 2025–2026
С 30 мая 2025 года штрафы за утечки персональных данных кратно выросли — вплоть до оборотных
Это, пожалуй, главное, что должен знать каждый владелец бизнеса. Закон об ужесточении ответственности был подписан в конце 2024 года, а новые штрафы вступили в силу 30 мая 2025 года. Цифры стали серьёзными.
По данным правовых источников, для организаций штрафы за утечку персональных данных теперь составляют:
- от 3 до 5 млн рублей — при утечке данных 1 000–10 000 субъектов;
- от 5 до 10 млн рублей — при утечке 10 000–100 000 субъектов;
- от 15 до 20 млн рублей — при утечке более 100 000 субъектов или биометрических данных;
- за повторную утечку — оборотный штраф от 1% до 3% годовой выручки компании (минимум 20 млн, максимум 500 млн рублей).
Дополнительно: с 1 января 2026 года дела о нарушениях в области персональных данных по статье 13.11 КоАП рассматривают мировые судьи, а Роскомнадзор обещает массовые проверки и «полномасштабное применение» новых норм. Иными словами, тема перестала быть формальностью — за данные теперь реально и больно наказывают.
Стоит развеять опасное заблуждение «нас это не коснётся, мы маленькие». Раньше многие небольшие салоны и кабинеты действительно жили по принципу «авось пронесёт». Но ужесточение 2025–2026 годов и обещанные массовые проверки меняют картину: под удар попадает любой оператор данных, а не только крупные компании. Более того, штраф для небольшого бизнеса может оказаться фатальным — суммы исчисляются миллионами, и для маленькой клиники это вопрос выживания. Поэтому навести порядок в данных дешевле и безопаснее заранее, чем разбираться с последствиями после жалобы клиента или проверки.
На этом фоне вопрос «доверять ли данные ИИ» нужно переформулировать: важно не то, человек или система обрабатывает данные, а то, насколько защищён весь процесс. И вот здесь начинается самое интересное.
Где данные клиентов утекают на самом деле
Парадокс в том, что главный источник утечек в малом и среднем бизнесе — вовсе не «злые хакеры» и не технологии. Чаще всего данные утекают через людей и бытовую неаккуратность.
- Личные телефоны сотрудников. Администратор ведёт переписку с клиентами в своём личном WhatsApp. Он увольняется — и вся база контактов уходит вместе с ним, в его личном устройстве.
- Тетради и таблицы. Записи в бумажном журнале или в незащищённой Excel-таблице на рабочем компьютере, к которому имеют доступ все подряд.
- Скриншоты и пересылка. Сотрудники пересылают данные клиентов в общих чатах, делают скриншоты, отправляют коллегам «по-быстрому».
- Человеческий фактор. Болтливость, месть после увольнения, простая невнимательность — всё это каналы утечки, которые невозможно полностью проконтролировать у живого человека.
То есть реальная зона риска — это не «бот», а разрозненное, неконтролируемое хранение данных в личных устройствах и головах сотрудников. И именно здесь правильно внедрённая автоматизация может не ухудшить, а улучшить ситуацию.
Показательный пример из жизни сферы услуг: мастер или администратор уходит к конкуренту и «прихватывает» с собой клиентскую базу — телефоны, историю визитов, предпочтения. С точки зрения закона это утечка персональных данных, за которую отвечает бизнес. И защититься от неё запретами и уговорами почти невозможно, если данные физически лежат в личном телефоне сотрудника. А вот если они в защищённой системе с разграничением доступа — унести всю базу одним движением уже не получится. То есть автоматизация решает не только удобство, но и вполне конкретную проблему безопасности.
Может ли ИИ-администратор быть безопаснее живого сотрудника
В нормальной системе данные хранятся в защищённом контуре с контролем доступа — а не в личном телефоне администратора
Звучит контринтуитивно, но грамотно построенная система часто даёт больше контроля над данными, чем «ручной» процесс. Вот почему.
- Единый защищённый контур. Все обращения и данные хранятся в одной системе с контролем доступа и шифрованием, а не размазаны по личным телефонам и тетрадям.
- Данные не уходят с сотрудником. Когда администратор увольняется, база остаётся в системе бизнеса, а не «утекает» в его личном мессенджере.
- Журналирование доступа. Видно, кто и когда обращался к данным. У живого человека с тетрадью такого контроля нет в принципе.
- Меньше «ручных» каналов утечки. Нет необходимости пересылать данные в общих чатах и делать скриншоты — всё работает внутри системы.
Ключевое слово здесь — «грамотно построенная». ИИ-администратор безопаснее не «по волшебству», а тогда, когда поставщик соблюдает требования закона: хранит данные в России, шифрует их, ограничивает доступ и работает по согласию клиента. Поэтому весь вопрос доверия сводится к правильному выбору решения.
Есть и ещё один тонкий момент — предсказуемость. Живой человек может действовать из эмоций: обидеться, отомстить, проболтаться знакомому, унести базу к конкуренту. Система действует строго по заданным правилам и не имеет мотивов «слить» данные. Это не значит, что технологиям нужно доверять слепо, — но это значит, что у автоматизации нет той части рисков, которая связана с человеческими эмоциями и конфликтами. А именно эта часть в малом бизнесе часто и срабатывает.
На что смотреть при выборе: чек-лист безопасности
Чтобы автоматизация снижала риски, а не создавала новые, проверьте решение по этим пунктам перед внедрением.
- Где хранятся данные? Серверы должны быть в России — это требование закона о локализации.
- Есть ли шифрование? Данные должны передаваться и храниться в зашифрованном виде.
- Как устроено согласие клиента? Решение должно поддерживать корректный сбор согласия на обработку данных.
- Кто имеет доступ? Должно быть разграничение прав: не «все видят всё», а доступ по ролям.
- Что с данными при отключении? Уточните, как данные удаляются или выгружаются, если вы прекращаете пользоваться сервисом.
- Есть ли документы? Надёжный поставщик готов предоставить договор и документы, подтверждающие соответствие требованиям по защите данных.
Если поставщик уходит от этих вопросов или хранит данные «где-то за рубежом» — это красный флаг. Если отвечает чётко и предоставляет документы — с таким решением рисков меньше, чем с тетрадью и личным телефоном администратора.
Отдельно проговорите регламент на случай инцидента. Даже при хорошей защите важно понимать, что произойдёт, если что-то пойдёт не так: как поставщик уведомляет об инциденте, как быстро реагирует, кто за что отвечает. Ответственный сервис имеет внятный порядок действий и не прячет голову в песок. Это та зрелость, которой почти никогда нет у «ручного» процесса: когда данные ведёт администратор в личном телефоне, никакого регламента на случай утечки не существует в принципе — просто однажды обнаруживается, что база у конкурента. Наличие продуманных процедур безопасности — само по себе признак того, что поставщику можно доверять данные клиентов.
Как это устроено в Syntera
ИИ-администратор ведёт всю переписку и запись в единой системе, а не в личных устройствах сотрудников
На примере ИИ-администратора Syntera24 видно, как устроен безопасный подход: все обращения клиентов из разных каналов сходятся в единую систему, переписка и запись ведутся в рабочем контуре, а не в личном телефоне сотрудника, данные не «теряются» при смене персонала. Это снимает как раз те бытовые риски утечки, о которых мы говорили выше.
Конкретные технические и юридические детали — где именно хранятся данные, какие документы предоставляются — всегда стоит уточнять напрямую у поставщика перед внедрением. Это нормальная практика: надёжное решение на такие вопросы отвечает открыто.
Что делать бизнесу прямо сейчас
Несколько практических шагов, которые стоит сделать независимо от того, внедряете вы ИИ или нет.
- Наведите порядок в согласиях. Убедитесь, что собираете отдельное согласие на обработку персональных данных по новым правилам.
- Уберите данные из личных телефонов. Переведите переписку с клиентами из личных мессенджеров сотрудников в рабочую систему.
- Ограничьте доступ. Не должно быть так, что вся база открыта каждому сотруднику без разбора.
- Проверьте, где хранятся данные. Любой инструмент для записи и хранения должен размещать данные в России.
- Зафиксируйте ответственность. С поставщиками работайте по договору, где прописана обработка данных.
Эти шаги полезны сами по себе, независимо от автоматизации, — они снижают и юридический риск, и вероятность бытовой утечки. Но именно при переходе на нормальную систему многие из них закрываются «автоматически»: данные оказываются в едином защищённом контуре, доступ разграничивается, согласие собирается в процессе записи, а база перестаёт зависеть от конкретного сотрудника и его телефона. То есть наведение порядка в данных и внедрение ИИ-администратора удобно делать одним заходом — одно усиливает другое.
Три мифа о данных и автоматизации
Вокруг темы много страхов, которые мешают принять взвешенное решение. Разберём главные заблуждения.
Миф 1: «Бумажная тетрадь надёжнее любой программы»
Кажется, что данные «на бумаге, под рукой» безопаснее. На деле тетрадь легко потерять, сфотографировать, унести; к ней нет контроля доступа и журнала, кто в неё заглядывал; при пожаре или потере она исчезает безвозвратно. Бумага создаёт иллюзию контроля, но по факту защищена хуже, чем зашифрованная система с разграничением прав.
Миф 2: «Если я не использую программы, закон меня не касается»
Касается. Оператором персональных данных бизнес становится в момент, когда начинает их собирать, — неважно, в тетради, в Excel или в системе. Способ хранения не освобождает от ответственности, а отсутствие нормальной защиты только увеличивает риск штрафа при проверке или жалобе клиента.
Миф 3: «ИИ обязательно сольёт данные куда-то на сторону»
Это страх из общих разговоров про нейросети, а не про конкретные бизнес-решения. Корпоративный ИИ-администратор от ответственного поставщика работает в защищённом контуре по договору, хранит данные в России и не «отправляет их в открытый интернет». Важно проверять конкретного поставщика, а не переносить на него страхи из заголовков.
Часто задаваемые вопросы
Законно ли вообще доверять обработку данных клиентов ИИ-сервису?
Да, если сервис соблюдает требования закона: хранит данные граждан России в РФ, шифрует их, обеспечивает контроль доступа и корректный сбор согласия. Ответственность как оператора всё равно несёт бизнес, поэтому важно выбирать решение, которое помогает соблюдать 152-ФЗ, а не нарушает его.
Какие штрафы грозят за утечку персональных данных?
С 30 мая 2025 года для организаций — от 3 до 20 млн рублей в зависимости от объёма утечки, а за повторную утечку предусмотрен оборотный штраф от 1% до 3% годовой выручки (минимум 20 млн рублей). Поэтому защита данных — это не формальность, а реальный финансовый риск.
Где данные в безопасности — у живого администратора или в системе?
Чаще всего в правильно настроенной системе. Главные утечки в малом бизнесе происходят через личные телефоны и тетради сотрудников, а не через технологии. Единый защищённый контур с контролем доступа надёжнее, чем переписка в личном WhatsApp администратора.
Что будет с базой, если администратор уволится?
Если переписка велась в его личном телефоне — база уйдёт вместе с ним. Если данные в рабочей системе — они останутся у бизнеса. Это один из главных аргументов в пользу централизованного хранения вместо «ручного» ведения клиентов сотрудниками.
Нужно ли отдельное согласие клиента на обработку данных?
Да. С 1 сентября 2025 года согласие на обработку персональных данных должно оформляться отдельно от других документов. Клиент должен ясно понимать, на что соглашается, — «спрятать» согласие строчкой в общем договоре больше нельзя.
Как проверить, что ИИ-сервис безопасен?
Задайте поставщику вопросы из чек-листа: где хранятся данные (должны быть в России), есть ли шифрование и разграничение доступа, как собирается согласие, какие документы он предоставляет. Чёткие ответы и готовность работать по договору — признак надёжности.
Относятся ли фото «до/после» к персональным данным?
Да. Фотографии клиента, особенно в косметологии и стоматологии, — это персональные данные, а нередко и чувствительная информация о внешности и здоровье. Их нельзя публиковать и пересылать без отдельного согласия клиента, и хранить их нужно так же защищённо, как и остальные данные.
Что грозит, если вести запись клиентов в личном WhatsApp?
Это сразу несколько рисков: данные могут храниться вне России (нарушение локализации), нет контроля доступа, а при увольнении сотрудника база уходит вместе с ним. Формально бизнес остаётся ответственным оператором, но фактически не контролирует данные — это уязвимая и небезопасная схема.
Нужно ли согласие, если я просто записываю клиента по телефону?
Да, обработка персональных данных требует согласия независимо от канала записи. Способ получения согласия зависит от ситуации, но сам факт сбора имени и телефона уже делает вас оператором персональных данных. Конкретную форму лучше согласовать с профильным специалистом.
Подведём итог
Доверять ИИ персональные данные клиентов можно — но с тем же условием, что и любому другому инструменту: он должен соблюдать закон. 152-ФЗ требует согласия клиента, хранения данных в России и защиты от утечек, а штрафы с 2025 года стали по-настоящему серьёзными. При этом главный источник утечек в сфере услуг — не технологии, а личные телефоны и тетради сотрудников. Грамотно построенная система с защищённым контуром нередко даёт больше контроля над данными, чем «ручной» процесс.
Поэтому вопрос не в том, «бот или человек», а в том, насколько защищён весь процесс работы с данными. Выбирайте решение, которое хранит данные в России, шифрует их и работает по договору, — и тогда автоматизация станет не риском, а способом навести порядок в данных. Чтобы увидеть, как устроен безопасный подход на практике, можно протестировать ИИ-администратора Syntera24 и задать поставщику вопросы из нашего чек-листа.
Подойдите к этому не как к страху перед технологиями, а как к управлению риском. Сегодня данные в большинстве небольших салонов и клиник защищены хуже всего именно там, где их доверяют людям без контроля: личные телефоны, тетради, общие чаты. Перевод их в защищённый контур — это не «отдать данные роботу», а наоборот, забрать контроль себе и убрать самые уязвимые звенья. В мире, где штрафы измеряются миллионами, а доверие клиента — главный актив сервисного бизнеса, порядок в данных перестаёт быть опцией и становится обязательной частью нормальной работы.
