воскресенье, 15 февраля 2026 г.

Арбитражная практика: Использование маскирующегося под человека робота-коллектора противоречит законодательству

Арбитражный суд Республики Саха (Якутия) в августе 2023 года вынес решение по делу №А58-4021/2023, в котором суд признал, что использование робота-коллектора в ходе взаимодействия по телефону по поводу просроченной задолженности, в ситуации, когда должник или третье лицо не подозревают, что диалог происходит не с человеком - сотрудником ПАО «Сбербанк», а с компьютерной программой, имеющей признаки искусственного интеллекта, - противоречит требованиям, установленным законодательством.

Суть спора

В Управление Федеральной службы судебных приставов (УФССП) по Республике Саха (Якутия) в январе 2023 года поступило обращение гражданки о противоправных действиях общества ПАО «Сбербанк», выразившихся в осуществлении с ней взаимодействия с нарушением установленных законом условий. 

Гражданка сообщила, что ей на телефонный номер поступают многочисленные звонки от ПАО «Сбербанк», направленные на возврат просроченной задолженности её матери.

По результатам сверки данных таблиц коммуникаций и детализации услуг оператора сотовой связи было установлено, что банк осуществлял взаимодействие с гражданкой в целях возврата просроченной задолженности с нарушением установленных законом условий взаимодействия.

Управление, рассмотрев материалы дела об административном правонарушении, вынесло постановление о признании общества ПАО «Сбербанк» виновным в совершении правонарушения, предусмотренного частью 1 статьи 14.57 Кодекса Российской Федерации об административных правонарушениях (КоАП), с назначением наказания в виде наложения административного штрафа в размере 100 тыс. рублей.

ПАО «Сбербанк», не согласившись с постановлением, обратилось с заявлением в арбитражный суд о признании незаконным и отмене постановления по делу об административном правонарушении.

Позиция Арбитражного суда Республики Саха (Якутия)

ПАО «Сбербанк» представил доводы о том, что нарушения требований Федеральный закон от 03 июля 2016 года № 230-ФЗ «О защите прав и законных интересов физических лиц при осуществлении деятельности по возврату просроченной задолженности и о внесении изменений в Федеральный закон «О микрофинансовой деятельности и микрофинансовых организациях» не было допущено, поскольку Сбербанк использовал в своей деятельности робота-коллектора, который, по мнению банка, является средством передачи голосовых уведомлений и, следовательно, относится к голосовым и иным сообщениям, передаваемым по сетям электросвязи. Также, по мнению банка, не является взаимодействием факт того, что абонент «бросил трубку», имелась «помеха связи», абонент «не ответил на звонок» (не доступен/заблокирован), «телефон не принадлежит клиенту» - следовательно, информация о просроченной задолженности не донесена, информационный обмен не состоялся.

По мнению суда, перечень способов взаимодействия с должником, законодательно закрепленный в законе №230-ФЗ, может быть дополнен другими способами, которые должник и кредитор (или лицо, действующее от его имени и в его интересах) определяют самостоятельно, но с их обязательным отражением в заключаемом между ними письменном соглашении.

В ходе взаимодействия по поводу просроченной задолженности по номеру телефона с использованием робота-коллектора должник или третье лицо не подозревают, что диалог происходит не с человеком, а с компьютерной программой, которая при этом выдает себя за человека, задает третьему лицу вопросы, на которые получает ответы, а также воспринимает произносимую в ответ речь, то есть ведет себя как человек.

Суд отметил, что использование названного метода взаимодействия с применением искусственного интеллекта не относится ни к одному из способов, установленных частью 1 статьи 4 закона №230-ФЗ, то есть является иным способом взаимодействия, для использования которого необходимо письменное соглашение, заключенное между должником и кредитором и/или лицом, действующим в его интересах.

При этом соглашения об использовании иного способа взаимодействии с должником, предусмотренного частью 2 статьи 4 Закона №230-ФЗ, подписано не было.

Таким образом, с учетом того, что законодателем четко конкретизированы способы взаимодействия кредитора с гражданами, в отсутствие соответствующего соглашения примененный ПАО Сбербанк способ взаимодействия с использованием робота-коллектора, направленный на возврат просроченной задолженности, противоречит требованиям, установленным частью 2 статьи 4 Закона №230-ФЗ.

Арбитражный суд отказал в удовлетворении требования ПАО «Сбербанк России».

Четвертый арбитражный апелляционный суд оставил без изменения решение Арбитражного суда Республики Саха (Якутия), а апелляционную жалобу - без
удовлетворения.

Арбитражный суд Восточно-Сибирского округа в январе 2024 года оставил без изменения решение Арбитражного суда Республики Саха (Якутия) и постановление Четвёртого арбитражного апелляционного суда по тому же делу, а кассационную жалобу - без удовлетворения.

Мой комментарий: Суд отметил, что использование робота, маскирующегося под человека, вводит абонента в заблуждение и нарушает его право на прозрачность коммуникаций. Данное судебное решение, в отсутствие иных прецедентов, является для банков сигналом о том, что им стоит задуматься о пересмотре практики использования роботов-коллекторов:

  • Необходимо исключить применение систем, имитирующих человеческое общение, без письменного согласия должника;

  • Если используется автоматизированное информирование, оно должно быть прозрачным: абонент должен сразу понимать, что общается с роботом, и иметь возможность отказаться от таких звонков.

В договоры с клиентами стоит включить пункты, разрешающие взаимодействие через автоматизированные системы (роботы, чат-боты и т.д.), с четким описанием их функционала.

Источник: Официальный сайт Верховного Суда Российской Федерации / Электронное правосудие по экономическим спорам
http://www.arbitr.ru/

суббота, 14 февраля 2026 г.

ИСО и МЭК: Начато публичное обсуждение проекта стандарта ISO/IEC DIS 27091 «Искусственный интеллект – Защита персональных данных»

В январе 2026 года сайт Международной организации по стандартизации (ИСО) сообщил о начале публичного обсуждения проекта нового стандарта ISO/IEC DIS 27091 «Кибербезопасность и защита неприкосновенности частной жизни (персональных данных) – Искусственный интеллект – Защита персональных данных» (Cybersecurity and Privacy - Artificial Intelligence - Privacy protection) объёмом 31 страница основного текста, см. https://www.iso.org/standard/56582.html и https://www.iso.org/obp/ui/en/#!iso:std:56582:en .

Над стандартом работает технический подкомитет ИСО/МЭК JTC1/SC27 «Информационная безопасность, кибербезопасность и защита неприкосновенности частной жизни» (Information security, cybersecurity and privacy protection). Я уже рассказывала о работе над этим документом здесь: https://rusrim.blogspot.com/2024/07/isoiec-27091.html 

В аннотации на документ отмечается:

«Настоящий документ содержит рекомендации для организаций по обработке рисков для неприкосновенности частной жизни (персональных данных), связанных с системами искусственного интеллекта (ИИ) и моделями машинного обучения (МО).

Приведенные в настоящем документе рекомендации помогают организациям выявлять риски для персональных данных на протяжении всего жизненного цикла систем ИИ и описывают механизмы для оценки последствий и для обработки таких рисков.

Данный документ применим в организациях любого типа и размера, включая государственные и частные компании, государственные учреждения и некоммерческие организации, которые разрабатывают или используют системы искусственного интеллекта.»

Содержание документа следующее:

Предисловие
Введение
1. Область применения
2. Нормативные ссылки
3. Термины и определения
4. Сокращения
5. Концепция анализа систем ИИ на предмет защиты персональных данных
6. Защита персональных данных для моделей ИИ
7. Защита персональных данных в жизненном цикле системы ИИ
Приложение A: Дополнительная информация для анализа систем ИИ на предмет защиты персональных данных
Приложение B: Шаблон для описания вариантов использования
Библиография

Источник: сайт ИСО
https://www.iso.org/standard/56582.html 
https://www.iso.org/obp/ui/en/#!iso:std:56582:en 





ИСО: Опубликована новая редакция стандарта ISO 14533-3:2025 усиленной электронной подписи для PDF-файлов PAdES, способствующей перепроверке в длительной перспективе

В октябре 2025 года года сайт Международной организации по стандартизации (ИСО) сообщил о публикации новой редакции стандарта ISO 14533-3:2025 «Процессы, элементы данных и документы в коммерции, промышленности и государственном управлении – Варианты электронных подписей для долговременного использования - Часть 3: Профили для усиленных электронных подписей для PDF-файлов (PAdES)» (Processes, data elements and documents in commerce, industry and administration - Long-term signature - Part 3: Profiles for PDF Advanced Electronic Signatures (PAdES)) объёмом 33 страницы, см. https://www.iso.org/standard/88298.html и https://www.iso.org/obp/ui/en/#!iso:std:88298:en .

Документ, подготовленный техническим комитетом ИСО TC154 «Процессы, элементы данных и документы в коммерции, промышленности и государственном управлении» (Processes, data elements and documents in commerce, industry and administration), заменил предыдущую редакцию ISO 14533-3:2017.

Во вводной части документа, в частности, отмечается:

«В настоящем документе специфицированы элементы, из числа используемых в усиленных электронных подписях для PDF-файлов (PAdES), которые обеспечивают возможность проверки усиленной электронной подписи в течение длительного периода времени.

Документ не содержит ни каких-либо новых технических спецификаций для самой усиленной электронной подписи, ни новых ограничений на использование уже существующих технических спецификаций усиленных электронных подписей.»

Стоит отметить, что оперативной поддержкой и развитием формата PAdES занимается Европейский институт телекоммуникационных стандартов (European Telecommunications Standards Institute, ETSI). Действующие стандарты ETSI, касающиеся формата PAdES, следующие:

  • ETSI EN 319 142-1 версия 1.2.1 (январь 2024 г.) «Электронные подписи и инфраструктуры – Электронные подписи PAdES. Часть 1: Основные элементы и базовые варианты подписей PAdES» (Electronic Signatures and Infrastructures (ESI); PAdES digital signatures; Part 1: Building blocks and PAdES baseline signatures) объёмом 24 страницы, см. https://www.etsi.org/deliver/etsi_en/319100_319199/31914201/01.02.01_60/en_31914201v010201p.pdf 

  • ETSI EN 319 142-2 версия 1.2.1 (июль 2025 г.) «Электронные подписи и инфраструктуры доверия – Усиленные электронные подписи PAdES - Часть 2: Расширенные варианты подписей PAdES» (Electronic Signatures and Trust Infrastructures (ESI); PAdES digital signatures; Part 2: Additional PAdES signatures profiles), объёмом 32 страницы, см. https://www.etsi.org/deliver/etsi_en/319100_319199/31914202/01.02.01_60/en_31914202v010201p.pdf 

Содержание стандарта следующее:

Предисловие
Введение
1. Область применения
2. Нормативные ссылки
3. Термины и определения
4. Сокращения
5. Требования
6. Профили подписей для долговременного использования
6.1. Определение и позиционирование профилей PAdES 
6.2. Уровни обязательности элементов профиля
6.3. Порядок выбора степени обязательности элементов профиля
6.4. Профиль PAdES-T
6.5. Профиль PAdES-A
6.6. Подписание PDF-файла несколькими подписями
Приложение A: Декларация поставщика о соответствии и её присоединение
Приложение B: Профиль для использования только отметки времени
Приложение C: Структура токена отметки времени
Приложение D: Применение PAdES с использованием усиленных электронных подписей, соответствующих синтаксису криптографических сообщений (CMS)
Приложение E: Примеры использования нескольких подписей
Библиография

Источник: сайт ИСО
https://www.iso.org/standard/88298.html 
https://www.iso.org/obp/ui/en/#!iso:std:88298:en 

пятница, 13 февраля 2026 г.

Управление рисками для архивов, часть 3-2

(Продолжение, предыдущую часть см. http://rusrim.blogspot.com/2026/02/3-1_12.html )

Выявление рисков

Цель выявления и чёткого описания рисков заключается в следующем (п.5.5):

  • Повышение уровня осведомленности и понимания связанных с документами рисков которые являются актуальными для организации;

  • Способствование планированию и реагированию на риски;

  • Совершенствование документных процессов, методов и средств контроля и управления документами, а также документных систем.

Формула описания риска (п.5.5) может включать следующие компоненты:

  • Подверженные риску документы, процессы и/или системы;

  • Источники риска и/или области неопределённости;

  • Событие;

  • Последствия источника риска и события.

Риски могут повлиять на управление документами следующим образом (п.7.1):

  • Воспрепятствовать либо способствовать сохранению ключевых характеристик документа (аутентичности, надёжности, целостности и пригодности к использованию);

  • Ослабить или усилить документные процессы, меры контроля и управления, и системы; 

  • Поставить под угрозу или способствовать защите надёжности, безопасности, исполнению установленных процедур, всестороннему охвату и систематическому характеру работы документных систем.

В Приложении B стандарта ISO 18128:2024 (см. также Приложение В в ГОСТ Р 57551-2017 – Н.Х.) приведен используемый для выявления рисков контрольный список областей определенности с указанием подлежащих анализу факторов, который имеет следующую структуру:

  • Области неопределенности - Внешний контекст (п. B.2)

  • Области неопределенности - Внутренний контекст (п. B.3)

  • Области неопределенности - Документные процессы (п. B.4)

    • Создание документов и развёртывание документных систем (п. B.4.2)

    • Использование и повторное использование документов и документных систем  (п. B.4.3)

    • Поддержание пригодности к использованию (п. B.4.4) 

    • Уничтожение/передача документов (п. B.4.5)

  • Области неопределенности – Меры и средства управления документами (п. B.5)

    • Метаданные (п. B.5.1)

    • Деловые классификационные схемы (п. B.5.2)

    • Правила доступа (кто, где, когда, при каких условиях может получить доступ?) и разрешения (что пользователь может делать после получения доступа - чтение, модификация, создание/добавление, удаление, управление и т.д.)) (п. B.5.3)

    • Нормативные документы, устанавливающие сроки хранения и действия по их истечении (п. B.5.4)

  • Области неопределенности – Документные системы

Анализ рисков

Рекомендуются следующие методы анализа рисков (п.8.2):

  • Анализ последствий для деловой деятельности (Business Impact Analysis, BIA)

  • Анализ влияния человеческого фактора (Human Reliability Analysis, HRA)

  • Анализ рисков по методу «галстук-бабочка» (Bow Tie Analysis)

Оценка величины рисков

Рекомендуются следующие методы (п.9.2):

  • ALARP (as low as reasonably practicable - минимальный практически приемлемый уровень риска), с определением недопустимых, допустимых или общепринятых рисков;

  • RCM (reliability-centered maintenance - техническое обслуживание, ориентированное на обеспечение надёжности) — действия, направленные на упреждающую оптимизацию систем;

  • Индексы риска – величина риска оценивается как произведение воздействия и вероятности;

  • Сопоставление затрат и выгод (cost-benefit analysis).

(Продолжение следует)

Богдан-Флорин Поповичи (Bogdan-Florin Popovici)

Источник: блог Богдана-Флорина Поповичи
https://bogdanpopovici2008.wordpress.com/2025/12/25/managementul-riscurilor-pentru-arhive-3/