Необходимо учитывать, что трансграничная передача персональных данных (ПД) в некоторые страны запрещена законом. Кроме того, такая передача недопустима без предварительного уведомления Роскомнадзора (п. 3 ст. 12 Федерального закона от 27.07.2006 № 152-ФЗ (ред. от 26.07.2026) «О персональных данных»).
Так, например, в настоящее время запрещено размещать на сайтах компаний контактные данные WhatsApp и Telegram, даже если они используются как официальные каналы связи. Это связано с тем, что данные мессенджеры передают данные пользователей за границу и не имеют локализации серверов на территории РФ. Аналогичный риск существует и при использовании зарубежных ИИ-сервисов, которые также могут передавать данные за пределы России.
Кроме того, законодательством установлено требование о предварительной локализации данных: персональные данные должны быть первично записаны на серверах, расположенных в РФ, и только после этого могут быть переданы за границу (п. 5 ст. 18 Закона № 152-ФЗ).
Следует также учитывать, что передача ПД возможна не в любую страну. Перечень государств, в которые допускается трансграничная передача персональных данных, установлен приказом Роскомнадзора от 05.08.2022 № 128.
Помимо этого, для осуществления такой обработки потребуется получение письменного согласия физических лиц. Здесь возникает дополнительная сложность: объём собираемых персональных данных не должен превышать необходимый работодателю минимум.
Как уже отмечалось выше, сканирование и копирование паспорта целиком является нарушением, за которое предусмотрена ответственность. Допускается сбор только тех данных, которые необходимы для ведения кадрового учёта и выплаты заработной платы сотруднику или рассмотрения кандидата на должность.
При этом в согласии на обработку персональных данных необходимо чётко указать, какие именно лица и каким образом будут осуществлять обработку ПД. Применительно к использованию ИИ-систем выполнение этого требования представляется существенно затруднительным.