# 152-ФЗ: согласование обработки данных

Пошаговая подготовка к использованию Platform и Guardrail с персональными данными и официальные источники РФ.

Обновлено: 2026-11-02
Источник: https://docs.nevel.sh/legal/152-fz/


Nevel помогает организовать контролируемую обработку запросов, но решение о допустимости конкретного сценария принимается по его данным, участникам и настройкам. Для согласования юридическая служба, ИБ и ИТ определяют разрешённые операции, состав документов и приёмочные проверки.

## Сначала опишите процесс

Не согласовывайте «использование искусственного интеллекта вообще». Выберите операцию: например, подготовку ответа по обращению клиента, анализ договора или поиск по внутренним документам. Для неё заполните карточку.

| Поле | Вопрос для согласования |
| --- | --- |
| Цель | Для какого результата обрабатываются сведения |
| Люди | Чьи данные встречаются: сотрудники, клиенты, представители контрагентов |
| Состав | Какие конкретные поля и документы передаются |
| Основание | На каком основании выполняется каждая операция |
| Участники | Кто определяет цель, кто действует по поручению, кто получает данные |
| География | Где выполняются обработка, хранение и резервирование |
| Доступ | Какие пользователи, приложения и исполнители получают доступ |
| Сроки | Когда прекращается обработка и как очищаются все экземпляры |
| Проверка | Какие доказательства нужны перед запуском |

Сохраните карточку рядом со схемой [потоков данных](/security/data-flow/). При добавлении модели, подключения или нового типа документов обновляйте обе записи.

## Роли и основание обработки

Статья 3 определяет оператора через цели, состав данных и действия. Статья 6 устанавливает основания обработки и условия поручения другому лицу; согласие — одно из оснований. Статья 9 требует отдельного оформления согласия от иных подтверждаемых субъектом документов. [Официальный текст 152-ФЗ](https://ips.pravo.gov.ru/api/ips/legislation/document?baseid=None&hash=98490812b3409e2a8d78a11ca9010f434ea3d9250a11dbbdb78690cd5551bdd6).

Для внедрения составьте матрицу «участник — данные — операция — основание». Роли определяйте отдельно для содержимого рабочих документов, регистрации пользователей, расчётов и поддержки. Не считайте, что один договор автоматически описывает все эти процессы одинаково.

Если Nevel обрабатывает сведения по поручению заказчика, согласуйте поручение и доказательства исполнения до передачи данных. Для on-prem отдельно рассмотрите обслуживание и разрешённые модельные маршруты: доступ инженера, передача диагностического архива или вызов внешнего провайдера может добавить участника обработки. Размещение платформы у заказчика само по себе не определяет состав всех получателей.

## Локализация и внешние модели

Часть 5 статьи 18 ограничивает перечисленные в ней операции при сборе данных граждан РФ с использованием зарубежных баз, с установленными исключениями. Локализация и трансграничная передача оцениваются отдельно; статья 12 предусматривает предварительное уведомление о намерении такой передачи. [152-ФЗ](https://ips.pravo.gov.ru/api/ips/legislation/document?baseid=None&hash=98490812b3409e2a8d78a11ca9010f434ea3d9250a11dbbdb78690cd5551bdd6), [изменения № 23-ФЗ от 28.02.2025](https://publication.pravo.gov.ru/document/0001202502280034).

Практический порядок для внешнего модельного маршрута в облаке и on-prem:

1. Получите перечень сервисов, стран и обрабатываемых полей по каждому маршруту.
2. Разберите операции до модели: загрузку, распознавание, индексацию, диагностику и копирование.
3. Установите, остаются ли передаваемые сведения персональными после обработки Guardrail.
4. Проверьте актуальную редакцию правил передачи, статус страны, требования к уведомлению и возможные ограничения.
5. Разрешите маршрут только после фиксации решения ответственного лица.

Место установки платформы и маршрут модели фиксируются отдельно. В on-prem платформа находится в инфраструктуре заказчика, а политика может разрешать локальную модель, российский API, self-hosted модель Nevel на серверах РФ или глобального провайдера. Например, DeepSeek на серверах Nevel в РФ и внешний API модели с таким же названием имеют разные цепочки получателей. [Матрица размещения и маршрутов](/deployment/compare/) помогает описать конкретную конфигурацию.

Передача из инфраструктуры заказчика российскому получателю является выходом за её границу, но сам этот факт не устанавливает трансграничную передачу. География оценивается по фактическим обработчикам, площадкам и операциям всей цепочки, включая поддержку и резервирование. Страна регистрации бренда или адрес интерфейса не заменяет эту схему.

Для отдельного изолированного профиля подтвердите нахождение всех обработчиков в контуре и исключите внешнее переключение при сбое. Замена имён маркерами сама по себе не является основанием считать любой внешний вызов допустимым. Подробности — [Guardrail](/security/guardrail/).

### Изменения правил передачи с 26 июля 2026 года

Федеральный закон № 265-ФЗ изменил статью 12: при включении страны в перечень учитываются её регулирование и применяемые меры защиты, соответствующие положениям Конвенции. Из пункта 2 части 5 и частей 10–11 исключены положения, отдельно выделявшие участие государства в Конвенции. Поправка к статье 12 действует с 26 июля 2026 года — даты официального опубликования; отложенный срок для статьи 2 закона № 265-ФЗ к этой поправке не относится. [Официальная публикация № 265-ФЗ](http://publication.pravo.gov.ru/document/0001202607260024), [PDF: статья 1 на страницах 1–2, статья 7 на страницах 5–6](http://publication.pravo.gov.ru/file/pdf?eoNumber=0001202607260024).

При согласовании не используйте прежнее участие страны в Конвенции как самостоятельное достаточное условие для выбора порядка передачи. Проверьте действующий перечень Роскомнадзора, сведения о получателе и применимый порядок по актуальной статье 12. Проверка самой поправки не подтверждает актуальность конкретного списка стран или допустимость отдельного вызова модели.

## Маскирование не заменяет оценку передачи

В Guardrail идентификаторы заменяются масками, а соответствия позволяют восстановить разрешённый ответ. Это конкретный технический механизм уменьшения раскрытия. Для юридической оценки отдельно рассматриваются возможность определения человека по оставшемуся контексту, доступ к соответствиям, роли участников и требования к выбранному методу. Нельзя автоматически заключить ни что любая обратимая замена запрещена, ни что замена ФИО освобождает от всех требований к персональным данным.

Актуальные требования к методам обезличивания, включая введение идентификаторов, разобраны со ссылкой на официальный приказ Роскомнадзора № 140 в [мерах защиты РФ](/security/rf-controls/). При внешнем маршруте проверяется вся цепочка: для API через OpenRouter этот участник учитывается наряду с конечным провайдером. Использование своего ключа модели не меняет географию обработки и правовой статус содержания.

Техническая политика должна выражать конкретную границу запрета. Не используйте слово «внешний» одновременно для чужой инфраструктуры и другой страны.

| Правило для категории | Допустимое техническое решение |
| --- | --- |
| Только в инфраструктуре заказчика | Локальная обработка всеми затронутыми компонентами; при её недоступности — отказ. Российское облако тоже находится за этой границей |
| Только согласованные получатели и обработка в РФ | Проверенный маршрут к локальной модели, self-hosted Nevel в РФ или российскому провайдеру, если вся требуемая цепочка соответствует решению |
| Разрешён согласованный глобальный маршрут | Только указанная цепочка получателей после оценки применимых требований и фиксации решения; название модели не даёт общего разрешения |

Правило категории действует независимо от обнаружения конкретных сущностей детектором. Резервный маршрут заранее включается в разрешённый набор, повторно проверяется для данных и фиксируется в аудите. Скрытое переключение на другого получателя запрещено. Приёмка включает отказ основного маршрута и проверку того, что данные не уходят за разрешённую границу. Технические сценарии описаны в [Guardrail](/security/guardrail/) и [потоках данных](/security/data-flow/).

## Меры защиты и организационные документы

Для подготовки проекта используйте рабочую таблицу требований. Она связывает задачу с конкретным результатом, который можно проверить.

| Задача | Результат для комплекта внедрения |
| --- | --- |
| Классифицировать информацию | Перечень данных, субъектов и допустимых сценариев |
| Определить требования к системе | Заключение о применимых нормах и модель угроз |
| Ограничить доступ | Матрица ролей, процедура выдачи и отзыва, тесты изоляции |
| Управлять получателями | Реестр моделей, обработчиков и разрешённых маршрутов |
| Настроить эксплуатацию | Политики хранения, резервирования, удаления и реагирования |
| Работать с обращениями | Ответственный, регистрация запроса, поиск связанных данных |
| Подтвердить запуск | Протокол испытаний с конфигурацией и доказательствами |

Для информационных систем персональных данных при определении требований рассматривается [постановление Правительства РФ № 1119](https://minobrnauki.gov.ru/open_ministry/gossluzhba/entry/files/%D0%9F%D0%BE%D1%81%D1%82%D0%B0%D0%BD%D0%BE%D0%B2%D0%BB%D0%B5%D0%BD%D0%B8%D0%B5%20%D0%9F%D1%80%D0%B0%D0%B2%D0%B8%D1%82%D0%B5%D0%BB%D1%8C%D1%81%D1%82%D0%B2%D0%B0%20%D0%A0%D0%A4%20%D0%BE%D1%82%2001.11.2012%20N%201119%20%20%D0%9E%D0%B1%20%D1%83%D1%82%D0%B2%D0%B5.pdf). Для систем государственных органов, государственных унитарных предприятий и учреждений отдельно проверьте применимость [приказа ФСТЭК России от 11.04.2025 № 117](https://publication.pravo.gov.ru/document/0001202506170011). Приказ № 117 действует с 1 марта 2026 года вместо приказа № 17; оговорка о ранее выданных аттестатах и карта технических мер приведены в [разборе требований РФ](/security/rf-controls/). Уровень защищённости и необходимый набор мер нельзя назначать по одному названию продукта.

## Инциденты и обращения субъектов

При событии, подпадающем под часть 3.1 статьи 21, уведомление регулятора об инциденте направляется в течение 24 часов, о результатах внутреннего расследования — 72 часов; отсчёт связан с выявлением указанного в норме инцидента. [Статья 21 152-ФЗ](https://ips.pravo.gov.ru/api/ips/legislation/document?baseid=None&hash=98490812b3409e2a8d78a11ca9010f434ea3d9250a11dbbdb78690cd5551bdd6).

В договоре и инструкции поддержки согласуйте эскалацию так, чтобы у заказчика оставалось время на оценку и уведомление. Включите контакты, замещение, обязательные сведения, способ передачи доказательств и действия вне рабочего времени. Срок ответа технической поддержки нельзя автоматически считать допустимым сроком уведомления регулятора.

Для обращений субъектов подготовьте поиск по всем связанным данным, проверку полномочий заявителя, исполнителя и фиксацию результата. Процедуру удаления соедините с резервными копиями и внешними получателями. Требования к подтверждению уничтожения закреплены в [приказе Роскомнадзора № 179](https://publication.pravo.gov.ru/Document/View/0001202211290008); технический порядок описан в [хранении и удалении](/security/storage/).

## Итог согласования

Результат — разрешение на конкретный сценарий с указанными данными, маршрутами, настройками и ограничениями. К нему прикладывают договорный пакет, схему, матрицу доступа и протокол приёмки. Новые категории данных, зарубежный получатель или иной способ размещения требуют повторной оценки затронутой части.

## Нормативная база и область применения

Дата нормативной справки: 8 сентября 2026 года. Базовая ссылка ведёт на официальный сводный текст в состоянии на 1 сентября 2025 года; для статьи 12 дополнительно учитывается закон от 26.07.2026 № 265-ФЗ. Эта нормативная база не является полной действующей редакцией всех применимых актов. Перед согласованием внешней передачи нужны актуальные условия статьи 12, действующий перечень стран Роскомнадзора, последующие изменения закона и применимые подзаконные и отраслевые требования.

Официальные источники: [официальный текст 152-ФЗ](https://ips.pravo.gov.ru/api/ips/legislation/document?baseid=None&hash=98490812b3409e2a8d78a11ca9010f434ea3d9250a11dbbdb78690cd5551bdd6), [№ 23-ФЗ](https://publication.pravo.gov.ru/document/0001202502280034), [№ 156-ФЗ](https://publication.pravo.gov.ru/document/0001202506240021), [№ 265-ФЗ](http://publication.pravo.gov.ru/document/0001202607260024), [приказ ФСТЭК № 117](https://publication.pravo.gov.ru/document/0001202506170011), [приказ Роскомнадзора № 179](https://publication.pravo.gov.ru/Document/View/0001202211290008). Изменения, применимость к отрасли и итоговую редакцию комплекта проверяет согласующий юрист заказчика.