Руководитель среднего бизнеса подписал договор с колл-центром, не уточнив критический момент: где и как хранятся записи звонков клиентов. Казалось бы, техническая деталь, которую можно обсудить позже. Через три месяца пришла плановая проверка, и выяснилось, что все записи разговоров лежат на серверах за границей, без требуемых средств криптографической защиты информации.
Результат катастрофический: штраф на несколько миллионов рублей, угроза отзыва лицензии, потеря доверия ключевых клиентов. Проблема возникла из-за того, что никто не задал простые вопросы о СКЗИ и соответствии 152-ФЗ. Разбираем, какие вопросы нужно задать контакт-центру Wilstream или любому подрядчику перед подписанием договора.
Что такое СКЗИ и почему это касается колл-центра
СКЗИ — это средства криптографической защиты информации, которые обязаны использовать все операторы персональных данных в России. Любая запись телефонного разговора содержит ФИО клиентов, номера банковских карт, паспортные данные, адреса, реквизиты счетов. Согласно 152-ФЗ «О персональных данных», эта информация должна быть защищена с помощью сертифицированных криптографических средств.
Когда ваша компания передаёт обработку звонков аутсорсинговому колл-центру, он автоматически становится оператором персональных данных и обязан соблюдать все требования законодательства. Многие заказчики ошибочно полагают, что ответственность за защиту данных несёт только сам бизнес, а аутсорсер лишь предоставляет техническую услугу. На практике Роскомнадзор и ФСБ проверяют всю цепочку обработки. Если записи звонков хранятся у партнёра без должной защиты, штрафы получит заказчик услуги.
Минимальные требования к защите записей
Законодательство устанавливает четыре базовых требования. Шифрование в пути: все записи должны передаваться между серверами только в зашифрованном виде через TLS/SSL или отечественные аналоги. Шифрование на диске: файлы записей хранятся в зашифрованном хранилище с использованием алгоритмов, сертифицированных ФСТЭК России.
Ограничение доступа по ролям: каждое обращение к файлу записи фиксируется в защищённом журнале с указанием времени, пользователя и цели доступа. Безвозвратное уничтожение: регулярное удаление записей по истечении установленных сроков хранения с криптографическим стиранием. Простое удаление файлов недостаточно — требуется уничтожение информации на физическом уровне носителя.
Пять критических вопросов перед подписанием
Перед подписанием договора с аутсорсинговым колл-центром обязательно задайте пять ключевых вопросов о защите записей звонков. Каждый требует документального подтверждения: устных заверений недостаточно. Контакт-центр должен предоставить копии сертификатов, схемы защиты данных и регламенты работы с персональной информацией.
1. Где физически хранятся записи: в РФ или за границей? Российское законодательство требует, чтобы персональные данные граждан РФ обрабатывались и хранились на территории России. Если колл-центр использует облачные сервисы Amazon Web Services, Google Cloud или Microsoft Azure, расположенные за границей, это прямое нарушение закона. Требуйте точный адрес сервера и название дата-центра, где физически хранятся записи. Проверьте лицензии дата-центра на обработку персональных данных. Некоторые недобросовестные аутсорсеры заявляют о «российских серверах», но на деле используют виртуальные серверы зарубежных провайдеров.
2. Какой класс защиты используется и есть ли сертификат ФСТЭК? Для защиты персональных данных применяются четыре класса средств защиты по ГОСТ 28147-89, где первый класс даёт максимальную защиту. Сертификат ФСТЭК подтверждает, что криптографические средства соответствуют российским стандартам безопасности. Без такого сертификата использование СКЗИ считается нарушением требований регулятора. Контакт-центр обязан предоставить копию действующего сертификата с указанием типа криптографических алгоритмов. Проверьте срок действия документа и убедитесь, что сертификат выдан именно на ту организацию, с которой вы планируете заключить договор.
3. Кто имеет доступ к записям и как это контролируется? В аутсорсинговом колл-центре должен действовать строгий регламент доступа с разделением ролей между операторами, супервайзерами и IT-администраторами. Обычный оператор не должен иметь возможность прослушать запись разговора с клиентом другого оператора. Супервайзер получает доступ только к записям своей команды для целей контроля качества. Обязательное условие — наличие системы логирования всех обращений к записям с указанием пользователя, времени доступа и цели прослушивания. Журнал доступа должен храниться не менее трёх лет и предоставляться заказчику по первому требованию.
4. Сколько времени хранятся записи и какой процесс удаления? Российское законодательство устанавливает разные требования к срокам хранения в зависимости от сферы деятельности. Для финансовых организаций минимальный срок составляет 30 дней, для страховых компаний 90 дней. Максимальный период хранения не должен превышать трёх лет без специальных оснований. Контакт-центр должен настроить автоматическое удаление записей по истечении согласованного срока. Процесс должен включать не только удаление файлов из файловой системы, но и криптографическое стирание данных на физическом уровне носителя. Простая пометка файла как удалённого не соответствует требованиям безопасности — данные можно восстановить специальными средствами.
5. Есть ли договор на обработку ПДн (ДООПД) и что в нём указано? ДООПД это отдельный документ, подписываемый дополнительно к основному договору на оказание услуг. В нём должны быть чётко указаны цели обработки персональных данных, способы обработки, категории обрабатываемых данных и конкретные меры защиты. Без ДООПД сотрудничество с аутсорсером это нарушение 152-ФЗ. Особое внимание обратите на раздел об ответственности за утечку или компрометацию ПДн: в договоре должны быть прописаны конкретные размеры компенсации и порядок возмещения ущерба. Многие документы и лицензии контакт-центров содержат стандартные формулировки, но ДООПД всегда составляется индивидуально под конкретный проект.
Красные флаги: на что смотреть в ответах
При оценке ответов потенциального партнёра обращайте внимание на признаки ненадёжности. Первый красный флаг — уклончивые ответы или полное отсутствие документации по вопросам защиты персональных данных. Если колл-центр не может предоставить копии сертификатов ФСТЭК, схему защиты данных или регламенты доступа к записям, это свидетельствует о несоблюдении требований законодательства. Второй — неопределённые ответы о физическом расположении серверов с формулировками типа «данные защищены» или «используем современные технологии».
Третий красный флаг — расплывчатые формулировки в ДООПД без конкретных обязательств по защите данных. Если договор содержит фразы вроде «обязуется принимать меры по защите» без указания конкретных технических и организационных мер, это попытка уйти от ответственности. Четвёртый — отказ предоставить логи доступа к записям звонков или журналы аудита безопасности. Надёжный контакт-центр всегда готов показать прозрачную отчётность по всем операциям с персональными данными.
Особую осторожность проявляйте, если аутсорсер предлагает «решить все вопросы потом» или обещает «всё будет в порядке» без предоставления конкретных документов и процедур. Тревожный сигнал — отсутствие информации о регулярных аудитах безопасности и проверках соответствия 152-ФЗ. Если в договоре есть условие о том, что аутсорсер не несёт ответственности за утечку, немедленно отказывайтесь от такого партнёра.
Что должно быть в идеальном договоре
Идеальный договор с аутсорсинговым колл-центром должен содержать полную техническую документацию по защите персональных данных. Проверьте наличие реквизитов и номеров всех сертификатов ФСТЭК, которые использует подрядчик. Документ должен содержать точный адрес дата-центра в России, где будут храниться записи звонков, с указанием класса защиты и используемых алгоритмов шифрования. Обязательно включите в договор сроки хранения записей, специфичные для вашего сегмента бизнеса, и детальную процедуру удаления данных после завершения договора.
Договор должен закрепить четыре ключевых права заказчика. Аудит безопасности — возможность проведения плановых и внеплановых проверок силами собственных специалистов или привлечённых экспертов. Логи доступа к записям — получение журналов в режиме реального времени или по запросу с детализацией по пользователям, времени и целям обращения к данным. Уведомление об инцидентах — обязательство колл-центра сообщить заказчику о любых инцидентах информационной безопасности в течение 24 часов с момента обнаружения. Штрафные санкции — конкретные размеры штрафов за нарушение требований защиты ПДн, соизмеримые с возможными потерями от утечки.
Дополнительно договор должен предусматривать право заказчика на досрочное расторжение отношений в случае выявления нарушений в области защиты данных без компенсации затрат подрядчика на подготовку проекта.
Wilstream как пример надёжного партнёра
Контакт-центр Wilstream работает с полным соблюдением требований российского законодательства о защите персональных данных. Компания использует собственную IT-инфраструктуру, расположенную на территории России, что исключает риски, связанные с трансграничной передачей данных. Все серверы с записями звонков размещены в сертифицированных российских дата-центрах.
Wilstream предоставляет полную документацию по всем аспектам защиты персональных данных, включая сертификаты, схемы защиты и регламенты доступа. Как пишет компания на сайте: «Мы один из первых профессиональных аутсорсинговых контакт-центров России. Работая с 2002 года, мы накопили особенный опыт». Компания готова подписать ДООПД с конкретными обязательствами по защите ПДн и нести полную ответственность за соблюдение требований 152-ФЗ. По данным 2ГИС, Wilstream имеет рейтинг 5,0 из 5 баллов на основе 83 оценок клиентов. Мощность технической инфраструктуры позволяет обрабатывать до 2 000 000 звонков в день с соблюдением всех требований безопасности.
Главное
Защита записей звонков с помощью СКЗИ это не техническая формальность, а критически важное требование для любого бизнеса, работающего с персональными данными. Перед подписанием договора обязательно получите документальные подтверждения соответствия колл-центра требованиям 152-ФЗ и убедитесь в наличии всех необходимых сертификатов ФСТЭК.
Свяжитесь со специалистами Wilstream для проведения аудита вашего текущего аутсорсера или получите консультацию по требованиям к защите персональных данных в контакт-центрах.
Рассчитайте стоимость для вашего бизнеса
25 лет опыта, 3000+ операторов, собственные AI-решения. Запустите пилот за 3 дня в рамках договора.
Частые вопросы
Обязательно ли иметь СКЗИ для хранения записей звонков?
Да, это прямое требование 152-ФЗ для любого оператора персональных данных. Записи звонков содержат ПДн клиентов, поэтому колл-центр обязан использовать сертифицированные ФСТЭК средства криптографической защиты информации.
Может ли контакт-центр хранить записи в зарубежном облаке?
Нет, российское законодательство требует хранения персональных данных граждан РФ исключительно на территории России. Использование AWS, Google Cloud или других зарубежных сервисов это нарушение закона.
Какой срок хранения записей звонков установлен законом?
Сроки зависят от сферы деятельности: финансовые организации минимум 30 дней, страховые 90 дней. Максимальный срок без специальных оснований 3 года. После истечения срока записи должны быть безвозвратно уничтожены.
Что будет, если колл-центр нарушит требования по защите данных?
Штрафы получит заказчик услуг, а не только аутсорсер. По 152-ФЗ ответственность за обработку персональных данных лежит на операторе, передавшем базу подрядчику. В критических случаях возможна приостановка деятельности на срок до 90 суток.
Как проверить, что колл-центр соблюдает требования СКЗИ?
Запросите копии сертификатов ФСТЭК, документацию по схеме защиты данных, адрес российского дата-центра и образец ДООПД. Надёжный партнёр всегда предоставит полную документацию и согласится на аудит безопасности.
