Дайджест значимых событий и инициатив в области ПД

• Закон принимался как поправка о продлении сроков действия разрешительных документов на оружие в новых регионах (законопроект № 974777-8), но ко второму чтению был дополнен новой редакцией ст.15 Федерального закона «О федеральной службе безопасности» (через изменение п.7 ст.2 Федерального закона от 23.07.2025 № 239-ФЗ).
• Органы ФСБ вправе получать на безвозмездной основе копии баз данных (частей баз данных), принадлежащих организациям независимо от формы собственности и содержащих информацию, необходимую для выполнения возложенных на ФСБ обязанностей. Судебное решение не требуется: основанием служит предписание руководителя ФСБ, его заместителей или руководителя территориального органа ФСБ.
• Копии подлежат уничтожению по достижении целей их получения. Требования к форме и содержанию предписания, перечень уполномоченных должностных лиц, порядок получения и уничтожения копий определяет руководитель ФСБ. За неправомерное использование копий органы ФСБ и их должностные лица несут ответственность.
• Норма не применяется к базам данных, доступ к которым обеспечивается через оборудование и программные средства СОРМ, а получение копий не должно ограничивать не запрещенную законом экономическую деятельность организаций. Отдельно закреплено право ФСБ получать от госорганов и государственных внебюджетных фондов информационные системы и базы данных, в том числе путем удаленного доступа (с 01.01.2026).
• В контексте инфоприватности: передача копий баз данных по предписанию ФСБ становится самостоятельным случаем обработки ПД без согласия субъектов в силу обязанности оператора (п.2 ч.1 ст.6 152-ФЗ), который целесообразно отразить в политике обработки ПД и в учете передач ПД; обязанность по защите ПД до момента передачи копии сохраняется за оператором.

Пунктом «б» части 12 статьи 1 Закона предусмотрено, что дела по нарушениям ст.13.11 КоАП больше не будут рассматриваться судьями арбитражных судов, как это было с 30.05.2025 согласно 420-ФЗ.

• Законом создается перечень физических лиц, отказавшихся от участия в азартных играх, который ведется единым регулятором азартных игр. На организаторов азартных игр и некоторых иных лиц накладывается обязанность проверять наличие информации о физическом лице в этом перечне и отказывать в участии в азартных играх, доступу к личному кабинету на сайте организатора азартных игр, либо совершать иные указанные в законе действия. Среди прочего, предусмотрен запрет на направление лицам, включенным в перечень, рекламы организаторами азартных игр или лицами, действующими по их поручению. Для внесения и исключения записей в/из перечень(-ня) человек должен подать заявление с приложенным согласием на обработку персональных данных (СОПД). Формы СОПД, представляемых вместе с заявлениями на внесение/исключение записей, должны быть разработаны ФНС по согласованию с РКН до 29 марта 2026 г.

P.S. В связи с принятием закона в Каталог ПД добавлен новый п.105 «сведения об участии (отказе от участия) в азартных играх».

Закон предусматривает обязательную государственную геномную регистрацию для отдельных категорий граждан. Среди них - военные-контрактники, граждане, пребывающие в добровольческих формированиях, и сотрудники органов внутренних дел. В документе отмечается, что данные граждан будут храниться до достижения ими возраста 100 лет.

• Внесены изменения в статьи 2 и 3 Закона РФ «О праве граждан Российской Федерации на свободу передвижения, выбор места пребывания и жительства в пределах Российской Федерации». Документ устанавливает новый механизм взаимодействия физических и юридических лиц при поиске граждан через органы МВД.
• До принятия закона органы внутренних дел отказывали в удовлетворении подавляющего большинства запросов о предоставлении контактных данных граждан в связи со строгими требованиями законодательства о защите ПД, запрещающими передачу сведений без согласия субъекта.
• Внедряется процедура оповещения искомого лица, при которой МВД выступает посредником, не раскрывая ПД заявителю:

1. 1Заявитель направляет запрос в территориальный орган МВД (в т.ч. через ЕПГУ), указывая свои контактные данные и причину обращения.
2. 2Орган МВД устанавливает адрес пребывания/жительства искомого лица и направляет ему почтовое уведомление с контактами инициатора.
3. 3Искомое лицо самостоятельно принимает решение о целесообразности обратной связи. Право гражданина на неприкосновенность частной жизни сохраняется в полном объеме.

• В тексте закона официально закреплены и конкретизированы понятия «адресно-справочная информация» и «адресно-справочная работа».

• Президент РФ подписал закон о совершенствовании избирательного законодательства, предусматривающий, в том числе, запрет на использование в агитационных материалах сгенерированных искусственным интеллектом изображений людей.
• Изменения внесены в законы «Об основных гарантиях избирательных прав и права на участие в референдуме граждан Российской Федерации» и «О выборах депутатов Государственной думы Федерального собрания Российской Федерации».
• Устанавливается запрет на использование в агитационных материалах изображений и голоса людей, в том числе вымышленных и умерших, созданных с применением ИИ. Генерация с помощью нейросетей изображений и голоса допускается только в отношении кандидатов и лиц, давших согласие на использование своих изображений.
• Допускается использование в предвыборной агитации фотографий и голоса граждан РФ старше 18 лет с их письменного согласия. Ранее в агитации разрешалось использовать фотографии только самих кандидатов, в том числе в окружении неопределенного круга лиц. Использовать в агитации изображение или голос лица, аффилированного с иностранным агентом, можно будет только с соответствующим указанием.

• Передача генетических данных россиян за границу ограничена для обеспечения их сохранности и защиты. Действие закона о государственном регулировании в области генно-инженерной деятельности распространено на сферу обращения генетических данных человека.
• Передача генетических данных за рубеж допускается исключительно в целях оказания медицинской помощи российским гражданам, разработки для них лекарств и биомедицинских продуктов, а также в рамках международного сотрудничества в сферах здравоохранения и биологической безопасности. Представлять генетическую информацию будет возможно как в натуральной, так и в цифровой форме.
• Порядок и условия передачи генетических данных за пределы России будет определять правительство, сказано в тексте законопроекта. Оно также будет устанавливать требования к физическим лицам и организациям, осуществляющим такую передачу. Также предусмотрен запрет на передачу иностранным физическим и юридическим лицам результатов популяционных генетических и иммунологических исследований. Под это определение подпадают любые действия, в результате которых информация становится доступной иностранцам как на территории России, так и за ее пределами. В частности, передачей генетических данных будет считаться их пересылка, распространение и размещение в интернете, а также предоставление доступа к ним.

• С 01.07.2026 банки обязаны предоставлять сведения о счетах и вкладах несовершеннолетних в возрасте от 14 до 18 лет их законным представителям - родителям, усыновителям и попечителям. Исключение составляют случаи приобретения полной дееспособности до 18 лет вследствие вступления в брак либо эмансипации.
• Полномочия законного представителя подтверждаются сведениями из ГИС «Единая централизованная цифровая платформа в социальной сфере», полученными посредством межведомственного электронного взаимодействия, а при их отсутствии - свидетельством о рождении, свидетельством об усыновлении либо актом органа опеки и попечительства о назначении попечителя.

• КоАП РФ дополнен ст.13.55 «Неисполнение обязанности по проведению авторизации пользователей сети Интернет при предоставлении доступа к информации»: ответственность несет владелец сайта, страницы сайта, информационной системы или программы, если доступ предоставляется авторизованным пользователям, а авторизация россиян проводится не одним из разрешенных ч.10 ст.8 149-ФЗ способов (абонентский номер, ЕСИА, ЕБС, сервис авторизации российского владельца). Размер штрафа в отдельных случаях достигает ₽700 тыс.
• Новой ст.13.56 КоАП РФ введены штрафы за применение рекомендательных технологий без информирования пользователей, за неразмещение правил применения таких технологий, адреса электронной почты для юридически значимых сообщений и сведений о владельце ресурса. Размер штрафа в отдельных случаях достигает ₽2,8 млн.
• Соответствующий законопроект (см. раздел 4) принят Госдумой 09.06.2026 и подписан Президентом РФ 26.06.2026.

• Ограничение количества банковских карт: не более 20 на человека, перед оформлением новой карты банк проверяет соблюдение лимита.
• Жертвы мошенников получают право на компенсацию похищенных средств от банков и операторов связи, если те не предотвратили действия злоумышленников; для возмещения нужно обратиться в полицию и банк.
• Абонент вправе потребовать от оператора заблокировать входящие международные звонки, снять ограничение можно только через МФЦ.
• Создается реестр уникальных идентификаторов мобильных устройств: сведения об IMEI сообщаются оператору и вносятся в договор об оказании услуг связи.
• Договор с оператором связи можно расторгнуть только через 90 суток после заключения, что направлено против револьверной замены сим-карт.
• Вводятся кнопка для сообщений о мошенничестве на Госуслугах и возможность уведомить оператора о передаче сим-карты ребенку с последующими ограничениями для детских сим-карт (см. проект правил в разделе 5).
• Из итоговой редакции исключены подтверждение действий через Max, регулирование сим-боксов, привязка счета к ИНН, ограничение восстановления доступа к Госуслугам и регистрация на значимых ресурсах только через российскую почту. Порядок авторизации на российских интернет-ресурсах пакет не меняет.

• Впервые на уровне федерального закона закреплены базовые определения: искусственный интеллект, большая фундаментальная модель, набор данных, обучение, разработчик. Требования адресованы большим фундаментальным моделям, узкоспециализированные решения и компьютерное зрение остаются за скобками.
• Введены категории суверенных и национальных моделей: российское юрлицо-разработчик, локализация обработки данных в ЦОД на территории РФ, подтверждение соответствия законодательству. Правительство РФ вправе устанавливать случаи обязательного применения только таких моделей, в банковской сфере - по согласованию с Банком России.
• Маркировка информационных материалов, созданных с применением больших фундаментальных моделей, из обязательной стала добровольной, обязанности разработчиков и ответственность сформулированы отсылочно.
• Использование объектов авторских и смежных прав для обучения выведено из состава нарушения, но только для суверенных и национальных моделей и лишь при правомерно полученном экземпляре либо открытом доступе к произведению без технических ограничений. Вопрос о компенсациях правообладателям оставлен открытым.
• Для инфоприватности наиболее значим доступ разработчиков к наборам данных из государственных информационных систем: в тексте он не соотнесен с требованиями 152-ФЗ и режимом ИСПД, что оставляет открытым вопрос о законности обработки ПД в обучающих выборках.
• Переходный период для действующих ИИ-систем предусмотрен до 01.09.2032. Значительная часть содержательных требований делегирована подзаконным актам.

• Формальное участие иностранного государства в Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных (Конвенция 108) перестает быть самостоятельной гарантией адекватной защиты ПД: из частей 5, 10 и 11 ст.12 152-ФЗ исключены все упоминания сторон Конвенции.
• Единственным юридически значимым ориентиром для оператора становится перечень государств, обеспечивающих адекватную защиту, который утверждает РКН. При включении в перечень учитывается не только правовое регулирование, но и реально применяемые государством меры по соблюдению основополагающих принципов защиты, конфиденциальности и безопасности ПД.
• Расширены полномочия РКН по п.2 ч.5 ст.12: запретить или ограничить ТПД в целях защиты основ конституционного строя, нравственности, здоровья, прав граждан, обороны и безопасности можно теперь в отношении любого государства, а не только не являющегося стороной Конвенции.
• Страны, признаваемые адекватными в силу членства в Конвенции, сохранят этот статус только через актуализированный перечень РКН (проект см. в разделе 6), поэтому маршруты передачи, опирающиеся на Конвенцию 108, стоит инвентаризировать заранее.

• Основная задача комиссии - координировать действия федеральных, региональных органов власти, Банка России и других заинтересованных госорганов для создания, развития и внедрения технологий ИИ. Кроме того:

1. 1разработка стратегии для внедрения ИИ;
2. 2разработка подходов для адаптации отраслей экономики, социальной сферы и сферы госуправления к активному использованию ИИ;
3. 3координация действий по внедрению ИИ в учебный процесс «в целях формирования гармонично развитой личности»;
4. 4подготовка педагогов и специалистов в области ИИ;
5. 5подготовка предложений по развитию международного сотрудничества в области ИИ и другие.

• В состав комиссии также вошли глава Минобороны России Андрей Белоусов, губернатор Московской области Андрей Воробьев, глава Сбербанка Герман Греф, спецпредставитель президента по вопросам цифрового и технологического развития Дмитрий Песков, глава Минцифры Максут Шадаев.

1. 1В случае отсутствия паспорта РФ (или иных основных документов, удостоверяющих личность), допускается заселение граждан РФ по предъявлении российского национального водительского удостоверения. Водительское удостоверение официально закреплено как альтернативный материальный носитель для верификации личности в гостиничном секторе.
2. 2Вводится правовое основание для использования цифровых способов подтверждения личности при заселении:

• ЕБС: Идентификация и/или аутентификация может проводиться с использованием Единой биометрической системы.
• Госуслуги: Допускается использование мобильного приложения ФГИС «Единый портал государственных и муниципальных услуг».

1. 3Регламентированы условия заселения несовершеннолетних, требующие внимания к сбору согласий законных представителей:

• Малолетние до 14 лет: Заселение возможно только с родителями или сопровождающими лицами. Сопровождающие обязаны предоставить согласие родителей (законных представителей).
• Несовершеннолетние от 14 лет: Могут заселяться самостоятельно при наличии документа, удостоверяющего личность, и согласия родителей (законных представителей).
• При заселении с сопровождающими (не родителями) также требуется согласие законных представителей.
• Для несовершеннолетних также предусмотрена возможность идентификации через ЕБС или Госуслуги (при наличии соответствующих согласий и технических возможностей).

1. 4Процедуры передачи данных в органы регистрационного учета (МВД) остаются привязанными к действующим Правилам регистрации граждан РФ (ПП РФ № 713) и миграционного учета иностранцев (ПП РФ № 9). Новые правила лишь уточняют способы сбора первичных данных для этих процессов.

Утверждён состав подкомиссии по развитию и внедрению технологий искусственного интеллекта, в том числе автономных систем искусственного интеллекта, правительственной комиссии по цифровому развитию, использованию информационных технологий для улучшения качества жизни и условий ведения предпринимательской деятельности.

• Правительству РФ поручено обеспечить централизованный сбор, обработку и предоставление научно-технической информации для обучения суверенных и (или) национальных больших фундаментальных моделей ИИ, при необходимости с изменением нормативных правовых актов (подп."б" п.2).
• Отдельно поручено выработать механизм доступа научных работников к ПО на основе российских технологий ИИ (подп."в" п.2) и рассмотреть ЭПР на территории "Сириус" для разработки технологий ИИ с докладом до 01.05.2027 (п.5).
• Поручение говорит о научно-технической информации, но продолжает линию 243-ФЗ на доступ разработчиков суверенных и национальных моделей к государственным массивам данных (см. раздел 1 и инициативу об ЭПР в разделе 8), где вопрос о ПД в обучающих выборках остается открытым.

Определение критериев массовых вызовов осуществляется операторами связи самостоятельно, а Правительства РФ или Минцифры такими полномочиями не наделены. Согласие на массовые вызовы должно получаться до совершения самого вызова, однозначно идентифицировать абонента и устанавливать его волеизъявление, а специальных требований к такому согласию не предусмотрено. Оператор связи вправе блокировать массовые вызовы, совершаемые с нарушением требований законодательства. Выборочный отказ абонента от массовых вызовов невозможен, т.е. не предполагает выбора категории и (или) инициатора вызова. Договор о совершении массовых вызовов и договор об оказании услуг телефонной связи – это разные документы. Для оператора связи, в сети которого начинается вызов от компании/ИП, пока нет ответственности за нарушение требований к маркировке этих звонков.

• Общее число профилактируемых операторов составляет 1156 организаций/ИП, и включает как крупные компании, так и многочисленные государственные учреждения, школы и медицинские центры. Например, в Москве и МО к профвизиту стоит приготовиться 65 операторам.
• Распознанная текстовая версия плана.

• Документ утверждает методические рекомендации, которые определяют, как именно Министерство цифрового развития (Минцифры) должно готовить и направлять операторам запросы (требования) на предоставление обезличенных персональных данных в ГИС «Единая информационная платформа национальной системы управления данными» (ЕИП НСУД).
• Согласно приказу, для подготовки требования о предоставлении обезличенных данных Минцифры может направить запросы пользователям интересующих министерство составов данных; также Минцифры вправе привлекать подведомственное ему учреждение, выполняющее работы по сопровождению подсистемы обработки обезличенных данных (ПООД) ЕИП НСУД.
• Этот приказ принят в рамках реализации новых законодательных норм (ст. 13.1 закона № 152-ФЗ), согласно которым государство формирует централизованные массивы (датасеты) обезличенных персональных данных для их последующего использования (например, для развития технологий искусственного интеллекта и проведения исследований), а бизнес обязан такие данные по запросу Минцифры предоставлять.

• Этот стандарт - руководство по созданию прозрачных и заслуживающих доверия систем. Он представляет собой модифицированную версию международного стандарта ISO/IEC 42005:2025, адаптированную под российские реалии и технологии.

🔍Что внутри?

• Оценка воздействия (AI system impact assessment) теперь определяется как задокументированный процесс выявления и оценки влияния ИИ на людей и социальные группы.
• Стандарт устанавливает, как и когда проводить такие оценки на разных стадиях жизни системы - от проектирования до развертывания.
• Процесс должен быть бесшовно встроен в общую систему менеджмента ИИ (ГОСТ Р ИСО/МЭК 42001) и управление рисками организации.
• Особое внимание уделяется «высокорисковому» (sensitive use) и «ограниченному» использованию систем, которые могут оказать значительное влияние на права человека или финансовое положение.

🛠Стандарт требует детального документирования:

• Качества данных (включая проверку на нежелательную предвзятость).
• Параметров алгоритмов и моделей.
• Среды развертывания, включая географический и культурный контекст.
• Таксономии вреда и пользы: от прозрачности и объяснимости до экологической устойчивости.

🚀Стандарт актуален для любых организаций, которые разрабатывают или используют ИИ, независимо от их масштаба. Внедрение этого стандарта помогает не только соблюдать требования, но и управлять ожиданиями заинтересованных сторон.

• Минцифры обновило требования к владельцам сетей связи, обязанных обеспечивать работу систем оперативно-разыскных мероприятий (СОРМ). Приказ подписан 16.12.2025, зарегистрирован в Минюсте 22.05.2026 (регистрационный № 86587) и опубликован на следующий день; он расширяет перечень данных, которые должны быть доступны для поиска и передачи по запросам уполномоченных органов.
• Теперь в контур СОРМ включены, в частности, адресные и паспортные сведения абонентов, ИНН, банковские реквизиты, IP-адреса, домены, логины, геокоординаты и сведения об организациях. Документ также уточняет технические способы обмена данными: среди них GraphQL, WebSocket и HTTP-интерфейсы.

• С 01.09.2026 расширяется круг получателей справок и медицинских заключений: их смогут получить не только пациенты, но и близкие родственники, включая полнородных и неполнородных братьев и сестер; вводится само понятие близких родственников и добавляется возможность передачи документов иным лицам.
• Разрешена выдача медицинских заключений в произвольной форме, если законодательством не установлено иное.
• Исключено положение о необходимости получать согласие лица на выдачу справки в электронном виде.
• Основанием выдачи становится наличие соответствующей информации в медицинской документации пациента.

• Распоряжения Правительства РФ от 19.08.2025 № 2240-р и № 2241-р о предустановке российских программ не обязывают граждан устанавливать MAX, регистрироваться в нем или им пользоваться.
• ООО "MAX" является оператором ПД, обрабатываемых для регистрации пользователей и обеспечения основного функционала сервиса, а сведения из ГИС обрабатывает в случаях, предусмотренных политикой конфиденциальности. Организация, получающая сведения по инициативе пользователя, и разработчик отдельного приложения выступают самостоятельными операторами ПД в отношении полученных ими сведений, поэтому политика платформы не заменяет их собственные обязанности оператора. В целом оператор определяется по конкретному функционалу, составу сведений, целям и правовым основаниям обработки.
• Ответственность за утечку или захват аккаунта определяется в каждом случае с учетом обстоятельств, вины и причинной связи. Оператор отвечает, если не исполнил свои обязанности, в том числе по мерам защиты (ст.18.1 и 19 152-ФЗ) и уведомлению РКН об инциденте (ч.3.1 ст.21 152-ФЗ).
• Пользовательское соглашение применяется постольку, поскольку не противоречит обязательным требованиям законодательства, и не может ограничивать права пользователя на защиту ПД, возмещение убытков и компенсацию морального вреда. Это стоит учесть всем, кто рассчитывает на оговорки об ограничении ответственности в офертах.
• Министерство признает, что меры защиты снижают риски, но не исключают всех сбоев и противоправных действий, включая социальную инженерию, вредоносные программы, незаконный перевыпуск SIM-карт и получение злоумышленниками кодов подтверждения. Обращение в службу поддержки не является обязательным условием для обращения в РКН, МВД или суд.
• Техническая невозможность использовать отдельный сервис сама по себе не основание ограничивать право на образование, а способы взаимодействия с обучающимися и их законными представителями определяют образовательные организации, их учредители и органы управления образованием.

• Методические рекомендации для педагогических работников общеобразовательных организаций исходят из того, что ИИ в школе носит вспомогательный характер и не подменяет профессиональную роль педагога, а окончательное решение и ответственность за использование результатов работы ИИ всегда несет учитель.
• Учителям не рекомендуется загружать в общедоступные сервисы ИИ ПД учеников и родителей, информацию ограниченного доступа, оценки и работы обучающихся, а также служебную документацию школы. Материалы, созданные с помощью ИИ, учитель обязан проверять на научную достоверность, возрастную уместность и соответствие ФГОС.
• Сервисы ИИ не применяются при промежуточной и итоговой аттестации и при выполнении заданий, требующих личной демонстрации результатов обучения. В начальной школе обучающиеся самостоятельно ИИ не применяют, в основной могут использовать его для поиска информации и объяснения сложных понятий, в старшей также в проектной и исследовательской деятельности.
• Педагог должен информировать родителей о применении ИИ в образовательном процессе и не вправе выдавать созданный ИИ текст за свой авторский труд в конкурсах, публикациях и аттестационных работах без указания факта использования ИИ и собственной переработки содержания.

• Приказ зарегистрирован Минюстом России 16.10.2026 (№ 88779), утверждает перечень заново и признает утратившим силу приказ РКН от 05.08.2022 № 128.
• Приказ принят в редакции проекта (см. раздел 6). Вместо двух разделов прежнего перечня (стороны Конвенции 108 и государства, не являющиеся ее сторонами) теперь один сплошной алфавитный перечень, а содержательное изменение одно, из перечня исключена Украина.
• Срок вступления в силу в приказе не указан, поэтому действует общее правило о вступлении в силу по истечении десяти дней после официального опубликования.
• В контексте инфоприватности: после изменений ст.12 152-ФЗ членство в Конвенции 108 само по себе адекватность не подтверждает, поэтому ориентиром для оператора остается только этот перечень. Маршруты ТПД в Украину стоит пересмотреть как передачу в государство, не обеспечивающее адекватную защиту, и проверить актуальность уведомлений в РКН о ТПД.

Предлагается закрепить понятие навязчивого преследования как действий, причиняющих психические страдания и вызывающих опасения за безопасность (даже после просьбы прекратить). К таким действиям отнесут систематическую слежку, попытки установить контакт (звонки, СМС, подарки) и использование персональных данных для заказа товаров или услуг.

• Статья 5 законопроекта про изменения в 152-ФЗ «О персональных данных»:
• Точечная правка ст. 10 (про специальные категории ПД): в ч. 3 уточняется формулировка - речь прямо про «обработку специальных категорий».
• Добавляется новая ч. 3¹ ст. 10: допускается обработка спецкатегорий ПД об участии граждан РФ в СВО и/или КТО, а также о принадлежности к их семьям - гос/муниципальными органами в пределах полномочий и иными лицами в случаях и порядке, определяемых федеральными законами.
• Статья 4 законопроекта про изменения в 149-ФЗ «Об информации, ИТ и о защите информации»:
• Добавляется норма, что Правительство РФ может установить случаи, когда при авторизации по адресу электронной почты такой адрес должен быть создан с использованием доменных имён, входящих в группы доменных имён, составляющих российскую национальную доменную зону.
• Вводится требование подтверждать совершение в интернете «значимых действий» (перечень утверждает Правительство): подтверждение идёт кодом из SMS + кодом/сообщением через MAX, отправляемыми владельцем ресурса (российское ЮЛ/гражданин РФ, деятельность в РФ). Для банков/финрынка перечень дополнительно согласуется с ЦБ.
• Запрет на распространение «вводящей в заблуждение» информации: под видом достоверных сообщений, создающей угрозу имущественного ущерба и/или неправомерного доступа к ПД/иной информации пользователя (вводится как отдельная категория).
• Статья 8 законопроекта про изменения в 572-ФЗ (про идентификацию/аутентификацию с биометрией, ЕБС и др.):
• В ст. 4 добавляются ч. 18–19: если доступ к учётной записи в ЕСИА ограничен (в т.ч. из-за выявленного несанкционированного доступа), восстановить доступ можно одним из перечисленных способов: ЕБС; сайт/мобильное приложение банка; УКЭП; MAX; МФЦ; органы/организации, имеющие право выдавать ключи ПЭП для гос/мунуслуг.

09.02.2026: Минцифры предложило смягчить запрет на входящие международные звонки

🔄Законопроект доработан после обсуждений: (1) добавлен механизм возврата похищенных денег - если банк или оператор связи не соблюли процедуру выявления мошенников, клиенту компенсируют сумму перевода; (2) введено ограничение - не более 20 банковских карт на одного человека; (3) абоненты смогут добровольно блокировать входящие звонки из других стран, зарубежные вызовы будут обязательно маркироваться; (4) расторгнуть договор связи можно лишь по истечении 90 дней с момента подписания (против схем с частой сменой сим-карт); (5) из итогового варианта убрали обязательную регистрацию на крупных площадках только через российскую почту, жёсткую привязку открытия счёта к ИНН и подтверждение действий через «Макс» вместо СМС.

🔄Закон принят Госдумой 09.06.2026, одобрен Советом Федерации 17.06.2026 и подписан Президентом РФ 26.06.2026 (Федеральный закон № 210-ФЗ, см. раздел 1). Порядок авторизации на российских интернет-ресурсах пакет не меняет: обязанности использовать российскую почту не возникает.

Предлагается внести изменения в Гражданский процессуальный кодекс РФ. Так, по делам об установлении границ земельных участков, об исправлении ошибок в едином государственном реестре недвижимости и по другим аналогичным спорам информация о владельце участка будет предоставляться по запросу суда органами Фонда пенсионного и социального страхования, налоговыми или органами внутренних дел, а также ППК «Роскадастр».

Предлагается создать более жесткие и детализированные правовые инструменты для борьбы с нарушениями требований безопасности персональных данных и неприкосновенности частной жизни. «Статьи 137 и 138 Уголовного кодекса дополняются в части квалифицирующих признаков состава преступления. Статьи о нарушении неприкосновенности частной жизни и нарушении тайны переписки, телефонных переговоров дополняются субъектами, которые действовали из корыстной заинтересованности или группой лиц по предварительному сговору, организованной группой. Ранее речь шла только о лицах, совершивших преступление с использованием служебного положения», - отметил председатель правления Ассоциации юристов России (АЮР) Владимир Груздев. Он рассказал, что в Уголовном кодексе также появится новый состав - нарушение требований к оказанию услуг подвижной радиотелефонной связи иностранному лицу и лицу без гражданства лицом, подвергнутым административному наказанию.

Предлагается дополнить ст. 44.1-1 Федерального закона от 7 июля 2003 г. № 126-ФЗ «О связи» правилом для заказчиков массовых вызовов или операторов связи – обязательно информировать абонентов о характере массовых и (или) автоматизированных вызовов в самом начале разговора. Речь идёт о массовых вызовах с использованием синтезированной речи, автоматизированной записи, голосового робота или иных автоматизированных средств без участия человека. Парламентарии в пояснительной записке отметили, что сейчас доверие граждан к телефонным коммуникациям снижается из-за отсутствия такого обязательного уведомления. Эта ситуация создает риски недобросовестного использования данных абонентов и затрудняет осознанное взаимодействие.

• Минюст России разработал законопроект, который позволит обрабатывать биометрические данные подозреваемых, обвиняемых и осужденных без их согласия, соответствующий документ размещен на портале проектов нормативных правовых актов.
• «Обработка биометрических персональных данных подозреваемых и обвиняемых. Обработка сведений, которые характеризуют физиологические и биологические особенности подозреваемых и обвиняемых в местах содержания под стражей, может осуществляться администрацией места содержания под стражей для установления их личности без согласия субъекта персональных данных», - говорится в законопроекте.
• Предполагается, что обработка биометрии указанных категорий лиц применяется в целях обеспечения безопасности на объектах органов и учреждений уголовно-исполнительной системы.

Обновление 30.09.2026 Правительство РФ внесло законопроект в Госдуму (№ 460-9, разработчик Минюст России). Органы и учреждения УИС, включая СИЗО, исправительные колонии и исправительные центры, смогут обрабатывать ПД, в том числе биометрические, подозреваемых, обвиняемых и осужденных без их согласия для идентификации и аутентификации. Изменения вносятся в законы об учреждениях и органах УИС и о содержании под стражей, а также в УИК РФ, а цель состоит в централизованной обработке сведений, которые сейчас собираются и хранятся более чем в 450 учреждениях. В отличие от январской редакции внесенный текст не упоминает контроль за освободившимися, сроки хранения и судьба данных оправданных и освобожденных в нем не раскрыты, а Минюст России заявил, что данные будут уничтожаться или обезличиваться по достижении целей обработки. По сообщению ЦБТ, законопроект с ЕБС не связан.

• Минцифры предложило упростить использование биометрии на контрольно-пропускных пунктах госорганов, ЦБ, госкорпораций и предприятий оборонно-промышленного, атомного и топливно-энергетического комплексов. Организация сможет сохранять цифровые векторы сотрудников во внутренней информационной системе и сверять данные желающих войти на территорию предприятия с ними, не обращаясь каждый раз к государственной единой биометрической системе (ЕБС). Жесткие требования сохраняются только для идентификации (установления личности) - она по-прежнему только через ЕБС. А вот для аутентификации (подтверждения личности на проходной) вводятся послабления.
• Сейчас каждый проход сотрудника стоит денег (запрос в ЕБС). Законопроект разрешает аккредитованным организациям (госорганам, ЦБ, госкорпорациям) использовать векторы ЕБС (математические шаблоны) в своих локальных системах.

• Согласно статье 272.1 Уголовного кодекса, сейчас ответственность наступает за незаконные использование или передачу (распространение, предоставление, доступ), сбор или хранение компьютерной информации с персональными данными, если они были получены в результате взлома или иного незаконного доступа.
• Группа депутатов фракции «Справедливая Россия» во главе с ее руководителем Сергеем Мироновым предложили внести в ч.1 ст.272.1 УК РФ понятие «автоматизированная обработка» как преступное деяние, благодаря чему к ответственности можно будет привлечь за сам факт незаконной алгоритмической обработки чужих персональных данных - даже если они не были впоследствии распространены или сохранены.
• Авторы инициативы указали, что термин «автоматизированная обработка» является законодательно устоявшимся и согласуется с понятийным аппаратом Закона «О персональных данных», что гарантирует единство правового пространства и корректное применение уголовно-правовой нормы.

• Авторы инициативы предлагают установить отдельный федеральный закон «О противодействии навязчивому преследованию». Законопроектом вводятся понятия «навязчивое преследование», «охранный ордер», «преследователь», «лицо, подвергнутое навязчивому преследованию».
• Под определением навязчивое преследование понимается систематическая слежка, попытки контакта, отправка подарков, использование персональных данных жертвы для заказов, корреспонденции.
• Сейчас в КоАП РФ нет отдельной статьи о навязчивом преследовании, а действующие положения не охватывают всех форм сталкинга и позволяют вводить запрет на приближение только в рамках уголовного дела. Предлагается ввести механизм охранных ордеров – они установят для сталкера запрет на приближение к жертве, на контакты с ней и пр. Преследователя могут привлечь к уголовной ответственности за продолжение сталкинга.

• Для систем искусственного интеллекта (ИИ) высокого и критического уровня риска потребуется получать сертификат на соответствие требованиям безопасности Федеральной службы по техническому и экспертному контролю (ФСТЭК) и Федеральной службы безопасности (ФСБ). Это следует из законопроекта правительства «О применении систем искусственного интеллекта органами, входящими в единую систему публичной власти, и внесении изменений в отдельные законодательные акты».
• Тестирование на соответствие ИИ-систем этим требованиям будет проходить на специальном полигоне, созданном Минцифры. Если тестирование пройдет успешно, системы будут допущены к использованию на объектах критической информационной инфраструктуры (к ней относятся сети связи и информационные системы госорганов, энергетических, транспортных, финансовых, телекоммуникационных и ряда других компаний).
• Новый законопроект вводит четыре уровня критичности ИИ-систем:

1. 1минимальный, когда системы не оказывают существенного влияния на права и безопасность (например, рекомендательные системы);
2. 2ограниченный, когда системы должны сообщать пользователям о том, что они работают с нейросетью;
3. 3высокий, когда системы используются на объектах критической информационной инфраструктуры;
4. 4критический, когда системы угрожают жизни или здоровью человека, безопасности государства, а также разработки, способные к принятию решений без вмешательства человека.

• Определять уровень критичности той или иной системы будет новая структура - Национальный центр искусственного интеллекта в сфере госуправления при правительстве. Также центр будет вести реестр допущенных к критической информационной инфраструктуре систем. Требования для получения обязательного сертификата ФСБ и ФСТЭК для критических и ИИ-систем с высоким уровнем будут установлены позже отдельным документом. Одним из них станет наличие ИИ-системы в реестре российского или евразийского софта.

• Передачу генетических данных россиян за границу планируется ограничить для обеспечения их сохранности и защиты. Такую инициативу Министерства науки и высшего образования одобрила правительственная комиссия по законопроектной деятельности. Законопроект предлагает распространить действие закона о государственном регулировании в области генно-инженерной деятельности на сферу обращения генетических данных человека.
• В случае принятия инициатива вступит в силу с 1 сентября 2026 г. В тексте законопроекта указано, что передача генетических данных за рубеж допускается исключительно в целях оказания медицинской помощи российским гражданам, разработки для них лекарств и биомедицинских продуктов, а также в рамках международного сотрудничества в сферах здравоохранения и биологической безопасности. Представлять генетическую информацию будет возможно как в натуральной, так и в цифровой форме.
• Порядок и условия передачи генетических данных за пределы России будет определять правительство, сказано в тексте законопроекта. Оно также будет устанавливать требования к физическим лицам и организациям, осуществляющим такую передачу. Минобрнауки также предусмотрело запрет на передачу иностранным физическим и юридическим лицам результатов популяционных генетических и иммунологических исследований. Под это определение подпадают любые действия, в результате которых информация становится доступной иностранцам как на территории России, так и за ее пределами. В частности, передачей генетических данных будет считаться их пересылка, распространение и размещение в интернете, а также предоставление доступа к ним.

🔑Впервые на уровне федерального закона закрепляются понятия: модель ИИ, система ИИ, сервис ИИ, большие фундаментальные модели, доверенные модели, а также - «эксплуатация уязвимостей человека». Выстраивается чёткая цепочка субъектов: разработчик → оператор → владелец сервиса → пользователь. Каждому - свои обязанности и своя мера ответственности.

🛡Одна из отличительных черт - концепция «суверенных» и «национальных» больших фундаментальных моделей. Разработка, обучение и эксплуатация - на территории РФ, силами российских граждан и юрлиц, на российских данных. Государство берёт на себя обязательство создавать благоприятные условия для их развития.

✅Для госсистем и критической инфраструктуры вводится реестр доверенных моделей ИИ. Попасть в него можно при подтверждении требований по безопасности и качеству. По сути - формируется контур «допуска» ИИ к чувствительным сферам.

👤Закон фиксирует несколько важных гарантий:

• уведомление о том, что решение принимает ИИ, а не человек
• право отказаться от взаимодействия с ИИ и получить услугу «по-человечески»
• досудебное обжалование решений, принятых с помощью ИИ
• право на компенсацию вреда

🫆В статье 4 (общие принципы) персональные данные и неприкосновенность частной жизни упоминаются как часть принципа верховенства прав человека. Также в статье 5 указано, что при регулировании ИИ учитывается «категория обрабатываемой информации» - общедоступная или ограниченного доступа. Отдельной статьи о защите персональных данных при обучении моделей, о правилах обработки данных пользователей сервисов ИИ, о праве на удаление данных из датасетов или об ограничениях профилирования - в тексте нет.

🏷Синтезированный контент (аудио, визуал, иное) должен содержать предупреждение - и в человекочитаемом, и в машиночитаемом формате. Платформы с аудиторией 100К+ обязаны проверять наличие маркировки и удалять немаркированный AI-контент. При этом по договору с пользователем можно отказаться от «видимой» маркировки - но машиночитаемая остаётся.

⚖️Каждый субъект отвечает соразмерно степени вины. Разработчик, оператор и владелец сервиса могут быть освобождены от ответственности, если докажут, что предприняли исчерпывающие меры. Пользователь отвечает за умышленное использование ИИ в противоправных целях. Предусмотрено и регрессное требование оператора к разработчику.

💡Результаты, созданные с помощью ИИ, охраняются по ГК РФ - при соответствии критериям охраноспособности. Отдельно закреплено: извлечение информации из защищённых объектов для создания датасетов и обучения ИИ - не является нарушением авторских и патентных прав (при правомерном доступе к материалу).

⚡️Для центров обработки данных, включённых в специальный перечень, предусмотрены: приоритетное подключение к электросетям, сниженные тарифы, налоговые льготы, долгосрочные контракты на энергию и инфраструктурная поддержка. Фактически - режим «зелёного коридора» для вычислительной базы ИИ.

🌐Отдельные статьи посвящены международному сотрудничеству: формирование «единого пространства доверенных технологий», продвижение российских подходов к оценке ИИ, экспорт технологий, совместные исследования и образовательные программы.

📅Закон вступает в силу 1 сентября 2027, а многие конкретные требования будут определяться подзаконными актами Правительства.

➡️По сути, закон задаёт архитектуру: кто за что отвечает, где границы допустимого, и как государство намерено поддерживать развитие ИИ.

27.04.2026 законопроект был обновлен: (1) убраны требования к наборам данных, которые используются для обучения моделей; (2) исключены требования о разработке и обучении суверенных и национальных моделей ИИ исключительно гражданами России - теперь достаточно, чтобы разработчиком было российское юрлицо; (3) снято требование для сервиса с аудиторией более 500 000 пользователей регистрироваться в качестве организатора распространения информации (ОРИ)

🔄25.06.2026 Правительство внесло в Госдуму законопроект № 1271570-8 «О поддержке развития технологий искусственного интеллекта в РФ» - доработанную и заметно смягченную редакцию прежнего проекта Минцифры. Из нее убраны запрет трансграничного ИИ, понятие доверенных моделей и жесткие обязанности операторов и пользователей, маркировка ИИ-контента стала добровольной. Закон принят Госдумой 08.07.2026 и подписан 26.07.2026 (Федеральный закон № 243-ФЗ, см. раздел 1).

• Законопроект предполагает предоставление Минобороны России доступа к данным из единого реестра ЗАГС и предусматривает, что Минобороны сможет в электронном виде получать сведения о военнослужащих, гражданском персонале, уволенных с военной службы, а также о членах их семей.
• Как поясняют авторы инициативы, это позволит упростить предоставление социальных гарантий и компенсаций, а также улучшить ведение воинского учета.

• Депутаты от ЛДПР разработали законопроект, которым предлагается закрепить право граждан на доступ к интернету, свободу выражения мнений в сети, выбор способов общения и защиту персональных данных. Инициатива подготовлена в ответ на обращения граждан, обеспокоенных ограничениями в работе интернета и связи.
• «ЛДПР подготовила законопроект «О гарантиях цифровых прав граждан России», в него вошли положения о доступе к информации: о праве каждого на доступ к интернету; о свободе выражения мнений в интернете; о свободе выбора способа общения в интернете; о конфиденциальности и защите данных и другие. В ближайшее время совместно с профессиональными сообществами и экспертами мы доработаем эту инициативу», - сообщил лидер партии Леонид Слуцкий.
• Он отметил, что первые обсуждения законопроекта пройдут в Госдуме. К работе будут приглашены профильные сообщества, эксперты и представители бизнеса. «Наши депутаты проведут обсуждения на базе региональных законодательных собраний», - заключил парламентарий.

🔄22.07.2026 законопроект «О государственных гарантиях цифровых прав граждан Российской Федерации» повторно внесен в Госдуму группой депутатов фракции КПРФ. К цифровым правам авторы относят право на доступ к сети Интернет, свободу выражения мнений в цифровой среде, защиту ПД и право на анонимность при определенных условиях. Прежняя версия была внесена в апреле и в мае возвращена авторам из-за отсутствия заключения Правительства РФ; в новую версию внесены незначительные правки, заключение Правительства РФ также не представлено.

• Сенатор Владимир Кожин в середине марта направил в аппарат правительства законопроект о введении штрафов и уголовной ответственности за создание дипфейков. Проект предлагает поправки в закон «Об информации, информационных технологиях и защите информации», которые ограничивают создание и использование недостоверного изображения, видеозаписи и записи голоса граждан, то есть дипфейков. Без участия гражданина создание дипфейков, их хранение, распространение или организация доступа к ним будут запрещены, за исключением ряда случаев.
• Предлагается штрафовать от 500 тысяч рублей за подделки фото-, видео- или аудиоматериалов при помощи нейросетей; за те же дипфейки с участием представителей власти, министров или губернаторов лишать свободы на срок от трёх до семи лет.

• Группа депутатов думской фракции КПРФ внесла в ГД законопроект, которым предлагается ввести запрет на предоставление оператором связи номера телефона новому владельцу в течение года после расторжения договора с его предыдущим владельцем.
• Изменения предлагается внести в федеральный закон «О связи». В настоящее время срок выделения новому владельцу номера телефона регулируется только внутренними правилами оператора.
• «В случае расторжения договора об оказании услуг подвижной радиотелефонной связи, оператор связи имеет право выделять абонентский номер, который ранее был в употреблении, иным лицам не ранее чем по истечении 1 года с момента расторжения договора», - говорится в тексте проекта закона.
• По мнению авторов проекта, в настоящее время перепродажа абонентских номеров операторами связи после расторжения договора с предыдущими владельцами создает риски возможной утечки персональных данных бывших владельцев номеров, мошеннические действия с использованием старых номеров, недовольство новых абонентов при получении номеров с негативной историей, а также сложности в идентификации личности при использовании государственных сервисов.

• На текущий момент сложилось противоречие между двумя федеральными законами:

1. 1Согласно закону «О персональных данных», согласие на их обработку после смерти гражданина могут давать только его наследники (если иное не было указано при жизни).
2. 2Закон «О погребении и похоронном деле» позволяет брать на себя обязанности по захоронению не только родственникам, но и иным лицам, фактически взявшим на себя эту ответственность.
3. 3В результате ритуальные службы зачастую отказывают таким лицам в оформлении необходимых документов, так как без статуса наследника они не имеют юридического права давать согласие на обработку данных покойного.

• Предлагается разрешить предоставлять согласие на обработку ПД лицам, взявшим на себя обязанность по погребению (даже если они не являются наследниками). Такие полномочия предлагается давать исключительно для совершения действий, связанных с организацией похорон, во избежание злоупотреблений.
• Правительство РФ, рассмотрев документ, назвало предлагаемые изменения избыточными - перечень лиц в законопроекте не полностью совпадает с перечнем лиц, которым по закону о погребении уже обеспечиваются государственные гарантии (супруги, родственники, законные представители и иные лица).

• Создание Единого реестра домашних животных, который объединит существующие региональные базы данных, что исключит необходимость повторной регистрации питомца при переезде в другой субъект РФ.
• Установление требования по обязательной идентификации (маркированию) и регистрации животных в государственной информационной системе.
• Наделение Правительства правом определять перечень видов животных, подлежащих учету, а также устанавливать порядок, сроки и состав сведений, вносимых в реестр.
• В контексте инфоприватности: реестр будет содержать сведения, идентифицирующие владельцев животных, что усилит риски неконтролируемого обмена ПД и потребует проработки модели взаимодействия операторов реестра с физическими лицами.

• КоАП РФ дополняется ст.13.55 «Неисполнение обязанности по проведению авторизации пользователей при предоставлении доступа к информации» - вводятся штрафы за неисполнение этой обязанности владельцем информационного ресурса, размер которых в отдельных случаях может достигать ₽700 тыс.
• Если доступ к содержимому сайта предоставляется авторизованным пользователям, владельцы интернет-ресурсов обязаны проводить авторизацию россиян с использованием номера мобильного телефона, ЕСИА или ЕБС либо сервиса авторизации, которым владеет гражданин России без иного гражданства (требование 149-ФЗ «Об информации»).
• Также вводится ст.13.56 КоАП РФ - штрафы за использование рекомендательных технологий без информирования, неразмещение владельцем сайта правил применения этих технологий, адреса электронной почты для юридически важных сообщений, инициалов и наименования. Их размер в отдельных случаях может достигать ₽2,8 млн.

🔄Закон одобрен Советом Федерации 17.06.2026 и подписан Президентом РФ 26.06.2026 (Федеральный закон № 199-ФЗ, см. раздел 1), изменения в КоАП РФ вступили в силу 07.07.2026.

• Закрытый перечень обстоятельств, отягчающих наказание, предложено дополнить пунктом «х» об использовании при совершении преступления видеозаписи, аудиозаписи, изображения (в том числе электронного) или иных аудиовизуальных материалов, которые созданы с применением технологий ИИ либо иных технических средств обработки информации и воспроизводят или имитируют высказывания и действия лица, фактически им не совершенные, либо демонстрируют человека, личность которого сгенерирована.
• Авторы указывают, что высокая реалистичность дипфейков позволяет вводить в заблуждение, совершать мошенничество, распространять клевету и иные преступления. Поправка предположительно может заработать с сентября.
• Законопроект внесен группой депутатов Госдумы и сенаторов, при этом Правительство РФ и Верховный Суд РФ отнеслись к инициативе сдержанно.

• Проект разработан во исполнение поручения Д.Ю. Григоренко от 27.04.2026 и письмом Минцифры от 01.07.2026 разослан на согласование в госорганы и Банк России, срок согласования истек 13.07.2026. Вступление в силу планировалось с 01.03.2028.
• Из ч.10 ст.8 149-ФЗ убирается привязка к российскому юрлицу или гражданину РФ: авторизовать пользователей, находящихся на территории РФ, по абонентскому номеру российского оператора обязан любой владелец интернет-ресурса, включая иностранных лиц. Для зарубежных площадок, работающих на российскую аудиторию, это конец прежнего изъятия.
• Новая ч.10.1 ст.8 149-ФЗ сохраняет для российских владельцев меню из четырех способов авторизации (абонентский номер, ЕСИА, ЕБС по ст.9 и 10 572-ФЗ, иная информационная система), причем для иной системы добавлено требование о соответствии правилам защиты информации по ст.16 149-ФЗ. Уточнено понятие российского юрлица.
• Виртуальные АТС смогут обслуживать только клиентов с российскими IP-адресами, хостинг-провайдеры вправе предоставлять им мощности лишь на российских IP и должны передавать принадлежащие им адреса в реестр.
• В смс-рассылках предлагается запретить указывать ПД получателя и его близких родственников, а перечень данных, хранимых операторами связи три года, дополняется IP-адресами и портами абонента, использованными при заключении договора, с указанием точного времени.
• ГИС «Антифрод» получает право хранить данные для регистрации и авторизации в отношении лиц, причастных к противоправным действиям, в том числе полученные неправомерным путем (новая редакция ч.5 ст.1 41-ФЗ).
• 19.08.2026: из новой редакции пакета исключены обязанность владельцев сайтов, информационных систем и приложений хранить три года сведения о регистрации, ее отмене и авторизациях, блок о передаче согласия на обработку ПД и его отзыве через Госуслуги, а также требование к интернет-площадкам проверять достоверность сведений о телефонных номерах работающих на них иностранцев.

Обновление 30.09.2026 Минцифры вынесло пакет на общественное обсуждение. В опубликованной редакции вернулась платформа согласий на базе ЕСИА и ЕПГУ, где гражданин сможет увидеть согласия на обработку ПД, данные онлайн и офлайн, узнать, кто, как и зачем обрабатывает его ПД, отозвать согласие и сообщить о нарушениях в уполномоченные органы. Вернулась и обязанность всех владельцев информационных ресурсов три года хранить сведения о регистрации, авторизациях и прекращении регистрации пользователей и предоставлять их уполномоченным органам, а иностранные владельцы должны будут авторизовать российских пользователей только по абонентскому номеру. Отраслевыми актами предлагается определить состав ПД и действий для обработки по согласию, договору и законному интересу, причем требовать согласие сверх закона и таких актов оператор не вправе (ч.2.1 ст.18 152-ФЗ). В ГИС "Антифрод" планируется сформировать базу лиц, предоставляющих мошенникам свои абонентские номера и учетные данные, а смс-рассылки смогут осуществлять только операторы связи. Вступление в силу по-прежнему намечено на 01.03.2028.

• СК России подготовил законопроект об ужесточении уголовной ответственности за использование при совершении преступлений информационно-коммуникационных технологий, искусственного интеллекта, VPN-сервисов и прокси-серверов.
• По словам главы ведомства, законодательство уже регламентирует применение программных средств для доступа к заблокированным ресурсам, однако универсальной нормы, обеспечивающей усиление ответственности за любое использование ИКТ и ИИ в преступных целях и превентивное воздействие, в нем нет.

• По словам первого заместителя начальника УБК МВД России, МВД совместно с Минюстом России и заинтересованными органами участвует в разработке проектов федеральных законов об изменениях в УК РФ и КоАП РФ, ужесточающих ответственность за правонарушения с использованием ИИ.
• Предлагается дополнить ряд статей Особенной части УК РФ квалифицирующим признаком совершения преступления с использованием ИИ, в первую очередь ст.128.1 (клевета), 272 (неправомерный доступ к компьютерной информации) и 273 (создание, использование и распространение вредоносных программ).
• Инициатива продолжает линию законопроекта о признании дипфейков обстоятельством, отягчающим наказание, и законопроекта СК России (см. выше), но предлагает не общее отягчающее обстоятельство, а квалифицирующий признак отдельных составов.

• 14.10.2026 Госдума приняла законопроект сразу во втором и третьем чтениях. Финансовые организации смогут передавать на обработку сторонним исполнителям информацию ограниченного доступа, включая ПД клиентов и сведения, составляющие банковскую тайну.
• Кредитные организации смогут привлекать только аккредитованные ИТ-компании и банки с универсальной лицензией, более 50% которых принадлежит государству, субъекту РФ, муниципальному образованию или гражданину РФ без иного гражданства. Информационные системы исполнителя должны находиться в России.
• О привлечении исполнителя финансовая организация заранее уведомляет Банк России и прикладывает заключение об операционном аудите исполнителя от организации с лицензией ФСТЭК России и (или) ФСБ России. Передача возможна через 60 дней после уведомления, если регулятор ее не запретил, а за нарушения Банк России может запретить обработку в системах исполнителя на срок до шести месяцев.
• Исполнитель ежегодно проходит операционный аудит, сообщает заказчику об инцидентах в течение двух часов и содержит штат специалистов по ИБ.
• В контексте инфоприватности: согласие клиента на передачу ПД исполнителю не требуется, но договор с исполнителем должен соответствовать требованиям законодательства о ПД, то есть фактически оформляться как поручение обработки (ч.3 ст.6 152-ФЗ). Закон вступит в силу через год после официального опубликования, действующие договоры аутсорсинга нужно будет привести в соответствие в течение 180 дней после этого.

• 22.10.2026 Госдума приняла в первом чтении законопроект группы депутатов во главе с председателем комитета по безопасности и противодействию коррупции Андреем Луговым. Изменения вносятся в ст.11 Федерального закона "О навигационной деятельности".
• Лиц, оказывающих услуги в сфере навигационной деятельности, предлагается обязать хранить и обрабатывать навигационную информацию от транспортных средств, передвигающихся по автомобильным дорогам, исключительно на территории России. По мнению авторов, данные о маршрутах, грузах и пассажиропотоках имеют стратегическое значение, а перевозчики продолжают пользоваться иностранными сервисами через VPN и посредников.
• Правительство РФ поддержало законопроект при условии доработки, чтобы требование охватывало все навигационные данные о транспортных средствах, зарегистрированных в России.
• В контексте инфоприватности: данные о местоположении транспортного средства, привязанные к водителю или владельцу, как правило являются ПД, и для них уже действует требование о локализации при сборе (ч.5 ст.18 152-ФЗ). Законопроект вводит отраслевую локализацию шире, на хранение и всю обработку, включая сведения, которые к ПД не относятся.

• Упрощенный способ идентификации и аутентификации пассажиров планируют протестировать на внутрироссийских маршрутах. Минцифры России подготовило проект о проведении соответствующего эксперимента.
• Речь идет о возможности использования биометрических персональных данных: при регистрации на рейс, в также для допуска пассажиров в перевозочный сектор зоны транспортной безопасности аэропорта и выхода на посадку на борт воздушного судна гражданской авиации.
• Участниками эксперимента станут, в частности, международные аэропорты Пулково в Санкт-Петербурге и Шереметьево в Москве. Другие авиаперевозчики и аэропорты могут присоединиться к эксперименту на добровольной основе. Тестирование пройдет в период с 1 июня 2026-го по 1 декабря 2027 года. По итогам его проведения будут подготовлены предложения по развитию и масштабированию применения технологии идентификации и аутентификации пассажиров с использованием биометрии.

• Минцифры предложило дать мобильным операторам право подтверждать биометрию и аккаунты россиян на «Госуслугах» в салонах связи. Это следует из проекта постановления ведомства. Сейчас подтверждать учетную запись и данные в Единой биометрической системе можно онлайн в банках-партнерах либо очно - в МФЦ или в отделениях банков.
• Цель изменений - «повышение доступности услуг и сервисов для физических лиц на основе биометрических персональных данных, развитие инфраструктуры цифровой идентификации и создание дополнительных точек обслуживания физических лиц в рамках биометрических сервисов», указано в пояснительной записке.
• Подтверждать биометрию и аккаунт на «Госуслугах» нужно для доступа к более широкому функционалу, пояснили в Минцифры. Без подтверждения биометрии можно будет, например, оплатить покупки на кассе или проезд в метро, а удаленно открыть счет в банке - нет.

• Минцифры подготовило проект постановления, согласно которому персональные данные, обезличивание которых заключается в подготовке на их основе статистических показателей, могут передаваться в ГИС по обработке обезличенных данных без использования специального ПО и без СМЭВ.
• Оператор ПД может в таких случаях использовать собственное ПО, но должен информировать Минцифры о «применяемых параметрах» обезличивания.
• Предусматривается возможность группировки обезличенных ПД «по определённому признаку» - обезличенные ПД могут привязываться, например, к месту их сбора, при условии, что последующая обработка не позволит идентифицировать субъекта.

⚡Бизнес выступил против: в отзыве Ассоциации больших данных (АБД - «Яндекс», VK, «Сбер», МТС, «Ростелеком», ВТБ, «Авито», HeadHunter и др.) указано, что проект «фактически возлагает на бизнес обязанность» обезличивания исключительно собственным ПО, которым располагают не все компании. АБД предлагает отложить вступление требований в силу до 01.03 или 01.09.2027 и обращает внимание на риски деобезличивания при обогащении датасетов статистическими показателями: объединение обезличенных данных с иными массивами повышает риски повторной идентификации, а оценивает эти риски сам орган, формирующий составы данных.

• Для общественного обсуждения опубликован проект постановления, расширяющего возможности использования биометрических ПД, хранящихся в единой биометрической системе (ЕБС), при предоставлении финансовых и онлайн-услуг, а также при выдаче квалифицированных сертификатов.
• Предполагается, что биометрические ПД могут использоваться: для промежуточной и итоговой аттестации по программам высшего образования (бакалавриат, специалитет, магистратура); для оплаты проезда с применением информационных систем Москвы; для заключения договоров об оказании услуг связи через интернет; для аутентификации на ЕПГУ и т.д.
• В перечень случаев добавлена идентификация физлиц без личного присутствия для выдачи сертификатов ключей проверки электронных подписей - в том числе подписей юридического лица или ИП.

• В новой версии Правил прописан запрет смс-рассылок на детские сим-карты. Под такие рассылки подпадают и смс-сообщения для регистрации и входа на интернет-ресурсы, исключение сделано только для рассылок от государственных информационных систем, например от Госуслуг.
• Второй пакет антифрод-мер наделил Правительство РФ полномочиями определить правила оказания услуг связи несовершеннолетним: абонент вправе уведомить оператора о передаче сим-карты ребенку, после чего вводится дополнительная защита. Проект определяет способы уведомления и состав ограничений.
• Из текущей формулировки следует запрет на все смс-сообщения для детей, включая идентификационные и аутентификационные сообщения от российских мессенджеров, соблюдающих требования законодательства.

Документ подготовлен в соответствии с ч.5 ст.19 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» для определения угроз безопасности персональных данных, актуальных при обработке персональных данных в информационных системах персональных данных Россельхознадзора, эксплуатируемых при осуществлении соответствующих видов деятельности, с учетом содержания персональных данных, характера и способов их обработки.

Документ распространяется на госорганы, госучреждения и организации, являющиеся субъектами КИИ, а также иные организации, попадающие под данные требования (например, в рамках Указа № 250). Требования к защите обычных ИСПД де-факто подтягиваются до уровня значимых объектов КИИ. Операторам придется перестраивать процессы (особенно DevSecOps) и закупать специализированные средства защиты (песочницы, WAF, сканеры контейнеров).

• В Минцифры считают, что текущий сценарий регистрации биометрических данных в Единой биометрической системе (ЕБС) не учитывает людей с врожденными или приобретенными особенностями лица (например, из-за травм, операций) и речевой функции (включая нарушения дикции, немоту или последствия инсульта).
• В связи с этим в приказе о порядке обработки биометрических персональных данных предлагается закрепить требования к биометрическим образцам людей с врожденными или приобретенными деформациями, аномалиями развития и последствиями травм лица. Также предлагается сократить время записи голоса с 30 до 10 секунд. Для таких образцов введут специальную метку при регистрации биометрии.
• Кроме того, проект приказа предоставляет возможность гражданам размещать в ЕБС любые биометрические данные, включая фотографии и записи голоса, либо отдельные их виды. Это разрешат сделать независимо от способа сбора биометрии в системе.

• Минюст предложил изменить порядок медицинского сопровождения лиц, находящихся под стражей или отбывающих наказание в виде лишения свободы. Проект приказа предусматривает передачу сведений о психическом состоянии заключённых в гражданские медучреждения после освобождения или изменения меры пресечения.
• Речь идёт о пациентах под диспансерным наблюдением из-за психических расстройств, а также расстройств поведения, связанных с употреблением психоактивных веществ. Медорганизации УИС должны будут направлять выписной эпикриз и иные сведения о здоровье пациента в профильные учреждения по месту жительства/пребывания - выстраивается механизм преемственности между пенитенциарной и гражданской медициной.
• Сроки передачи: в течение 5 рабочих дней при изменении меры пресечения, УДО или замене наказания; при окончании срока наказания - не менее чем за 30 дней до освобождения.

• Минцифры совместно с другими ведомствами представило проект доктрины, определяющей приоритеты, цели, задачи и основные направления противодействия правонарушениям с использованием ИКТ. Технологическую основу предполагается подготовить до 2030 года, тогда же начнется поэтапное внедрение механизмов, а их развитие рассчитано до 2035 года.
• Доктрина предусматривает сокращение оборота ПД за счет разработки и внедрения принципиально новых подходов к обработке ПД операторами и к идентификации граждан в цифровой среде.
• Предполагается создание на базе ЕСИА платформы согласий, обеспечивающей выдачу, хранение и отзыв всех согласий на обработку ПД граждан, а также создание правовых условий для сокращения случаев, при которых операторы вправе обрабатывать ПД на основании согласия.
• Планируется проработка методов и внедрение механизмов идентификации граждан организациями без передачи им ПД в случаях, определяемых Правительством РФ.
• Для обеспечения достоверности данных в ЕБС предлагается разработать механизм, исключающий подмену биометрических данных третьим лицом при биометрической регистрации и обновлении данных как в дистанционных каналах, так и в организациях, уполномоченных собирать биометрию.

Обновление По материалам СМИ, реализация доктрины разбита на три этапа, это 2027-2028 годы (нормативная база и тестирование технологий), 2029-2030 годы (создание и внедрение основных механизмов) и 2031-2035 годы (развитие системы). Ключевым элементом названа ГИС "Антифрод", через которую сигналы об угрозах будут поступать сразу банкам, операторам связи и госорганам. Доктрина также вводит концепцию цифрового токена, т.е. уникального отпечатка человека, который формируется криптографическим преобразованием фрагментов данных из банков, операторов связи и госорганов и не содержит ПД в открытом виде. По оценке Алексея Мунтяна, положение о согласиях из пакета "Антифрод-3" убрали, а в доктрине направление сохранилось (в редакции пакета от 30.09.2026 платформа согласий вернулась, см. раздел 4), при этом отказ от единого хранилища рисков не снимает, поскольку опасность создает сама связность данных, правовой статус токена не определен, а добровольность участия не оговорена.

• Проект отменяет приказ РКН от 05.08.2022 № 128 целиком и утверждает перечень заново. Нормы о сроке вступления в силу в проекте нет, в отличие от приказа № 128, где было прямо указано 01.03.2023; по общему правилу это десять дней после официального опубликования.
• Изменилась структура: вместо двух разделов (55 государств-сторон Конвенции 108 и 34 государства, не являющихся сторонами, но соответствующих ее положениям) вводится один сплошной алфавитный перечень из 88 позиций.
• Содержательное изменение ровно одно: из перечня исключена Украина.

Обновление Приказ утвержден 16.09.2026 под № 253, зарегистрирован Минюстом России 16.10.2026 и опубликован 19.10.2026 в редакции проекта, Украина из перечня исключена (см. раздел 3).

• Проект правит форму проверочного листа из приказа РКН от 24.12.2021 № 253. Лист менялся один раз, приказом от 10.01.2023 № 1, и с тех пор 152-ФЗ переписали четыре закона: 266-ФЗ, 233-ФЗ, 23-ФЗ и 156-ФЗ. Сейчас в таблице 75 строк, после правки будет 77.
• Добавляются пять вопросов: уничтожение или обезличивание ПД по достижении целей обработки (ч.7 ст.5); соответствие согласия критериям конкретности, предметности, информированности, сознательности и однозначности плюс оформление отдельно от иных документов и информации (ч.1 ст.9); содержание согласия на распространение по требованиям РКН (ч.9 ст.9); раскрытие в уведомлении об обработке по каждой цели категорий ПД, категорий субъектов, правового основания, перечня действий и способов обработки (ч.3.1 ст.22); обезличивание по требованиям и методам РКН (ч.12 ст.23).
• Исключаются три вопроса: строка 14 о содержании согласия на распространение, строка 20(1) о содержании уведомления о ТПД (ч.4 ст.12) и строка 33 об организационных мерах защиты ПД (ч.1 ст.19). Исключение строки 14 устраняет ошибку: она ссылалась на ч.1 ст.10.1, где требований к содержанию такого согласия нет, и на приказ РКН от 24.02.2021 № 18 со сроком действия до 01.09.2027, тогда как новая строка 10(1) отсылает к ч.9 ст.9 и к требованиям уполномоченного органа вообще.
• Из листа уходит единственный прямой вопрос об организационных мерах защиты ПД, при том что обязанность оператора по ч.1 ст.19 152-ФЗ сохраняется.

• Минобороны расширяет перечень сведений, которые госорганы и организации, включая частные компании, обязаны безвозмездно предоставлять по запросу. По сообщениям СМИ со ссылкой на пояснительную записку, проект подготовлен 12-м Главным управлением Минобороны и связан с отбором военнослужащих, кандидатов на военную службу по контракту и курсантов на отдельные должности.
• В перечень вошли финансовые сведения (доходы по декларации 3-НДФЛ, банковские счета и вклады, кредиты и займы, задолженности свыше ₽300 тыс., банкротство, предпринимательская деятельность), сведения о месте работы, регистрации, транспорте, загранпаспортах, браке, ДТП, уголовном преследовании, судимости и розыске, а также медицинские данные, в том числе о ВИЧ, психических расстройствах, употреблении психоактивных веществ, туберкулезе и вирусных гепатитах. Отдельно указаны участие в общественных объединениях, преследующих политические цели, включение в реестр иностранных агентов и получение денежных средств или имущества от иностранных источников.
• Сведения запрашиваются не только о самих военнообязанных, но и о членах их семей (супругах, детях, родителях, братьях и сестрах, а также родственниках со стороны супругов).
• В контексте инфоприватности: для организаций это новый массовый случай предоставления ПД по запросу госоргана, включая специальные категории ПД (сведения о состоянии здоровья) и ПД лиц, которые сами в отношениях с Минобороны не состоят. Порядок проверки полномочий запрашивающего лица и учет таких передач ПД стоит закрепить в локальных актах заранее.

💡Вопрос: Будет ли правомерной обработка ПД, осуществляемая фармацевтическими компаниями в рамках фармаконадзора, в случаях и в порядке, предусмотренном п.п. 382-406 «Правил надлежащей практики фармаконадзора Евразийского экономического союза» от 03.11.2016 г. №87 - при условии соблюдения требований 152-ФЗ «О ПД» и 61-ФЗ «Об обращении лекарственных средств»?

🏛️Роскомнадзор: Обработка фармацевтическими компаниями ПД во исполнение федеральных законов, подзаконных актов, а также Правил надлежащей практики фармаконадзора ЕАЭС от 03.11.2016 №87 подпадает под правовые основания, предусмотренные п. 2 ч. 1 ст. 6 152-ФЗ «О ПД» и не требует получения согласия субъекта ПД в письменной форме. В случае осуществления фармацевтическими компаниями деятельности по сбору, учету, обработке, анализу и хранению сообщений о нежелательных реакциях с привлечением третьих лиц (колл-центры, поставщики IT-систем), указанная деятельность подлежит оформлению в соответствии с ч. 3 ст. 6 152-ФЗ «О ПД».

• Власти сообщали об успешном применении ст.272.1 УК РФ против администраторов ботов: в начале года прекратил работу крупный бот «Глаз Бога», а в ноябре был арестован Игорь Морозкин - владелец сервиса Userbox.
• К ответственности по статье 272.1 начали привлекать не только владельцев ботов. Например, в марте 2025 года в Кировской области сотрудника салона связи задержали за передачу через мессенджер нескольких десятков записей с персональными данными. В том же месяце в Кировске 20-летнего работника салона сотовой связи обвинили в передаче персональных данных певца Shaman (Ярослав Дронов) и других абонентов. В ноябре по той же статье в Башкирии задержали 38-летнего мужчину, который с помощью спецоборудования активировал тысячи сим-карт, а суд отправил под домашний арест начальницу отдела судебных приставов в одном из районов Перми Надежду Шабунину.

ИП обратился в суд с заявлением об оспаривании отказа Управления Роскомнадзора по ЦФО в возбуждении дела об административном правонарушении в отношении ООО «ВебСайтСофт». Заявитель утверждал, что на сайте Otzovik.com, администрируемом ООО «ВебСайтСофт», был размещен отзыв, содержащий его персональные данные и порочащие сведения. Суд установил, что ФИО в спорной публикации были частично скрыты символами (звездочками), что делает невозможной идентификацию конкретного физического лица. Также суд выяснил, что указанный в отзыве адрес относится к складским помещениям в Москве, тогда как заявитель зарегистрирован в Туле, следовательно, адрес не является его персональными данными. Дополнительно было отмечено, что заявитель не предоставил доказательств, подтверждающих его отношение к компании «Роботоп», о которой шла речь в отзыве. ООО «ВебСайтСофт» выступает информационным посредником (т.е. не является СМИ или соцсетью с аудиторией более 500 тыс./сутки - см. ст.10.6 149-ФЗ) и не несет ответственности за информацию, размещенную третьими лицами, без знания о ее незаконности (см. Постановление Конституционного Суда РФ от 09.07.2013 № 18-П). Ответственность посредника наступает только когда он узнал или должен был узнать о нарушении (получил претензию или запрос Роскомнадзора) и бездействовал. Суд пришел к выводу, что Роскомнадзор правомерно отказал в возбуждении дела в связи с отсутствием состава и события административного правонарушения по ст. 13.11 КоАП РФ. В удовлетворении заявленных требований ИП было отказано в полном объеме.

Хамовнический райсуд Москвы частично удовлетворил иск актера Сергея Безрукова к белгородской индивидуальной предпринимательнице, которая продавала на маркетплейсах Wildberries и Ozon карнавальные и тканевые маски с изображением лица артиста. Суд обязал белгородку удалить из объявлений о продаже персональные данные господина Безрукова (его имя, фамилию и изображение), а также взыскал с предпринимательницы 200 тыс. руб. в качестве компенсации морального вреда. «Обнаружив свои данные в объявлениях и тканевых масках, истец Безруков испытал нравственные и физические страдания, в частности, в чувстве негодования, возмущения, и иные негативные эмоции от несогласованного использования его персональных данных, включая изображение, в общедоступных источниках в сети Интернет», - сказано в решении суда.

• Четвертый кассационный суд общей юрисдикции отклонил жалобу ПАО «Банк «Уралсиб»», которое оспаривало взыскание нанесенного клиенту ущерба в сумме 46 млн руб., сообщает пресс-служба суда. Кредитное учреждение должно нести ответственность за действия бывшей сотрудницы, которая передала злоумышленникам данные вкладчика - жителя Краснодара. После этого преступники сняли средства со счета в одном из офисов банка в Москве по подложному паспорту.
• Пострадавший вкладчик обратился в «Уралсиб» за возмещением убытков, но ему было отказано. Тогда он направил иск в суд. Прикубанский районный суд Краснодара и Краснодарский краевой суд встали на сторону вкладчика, указав на грубые нарушения банком законодательства о банковской тайне. Суды признали, что сотрудники допустили утечку персональных данных клиента, а затем проявили халатность при выдаче крупной суммы, не обратив внимания на поддельный паспорт. С банка «Уралсиб» была взыскана полная сумма вклада - 27,5 млн руб., проценты за неправомерное удержание средств, компенсация морального вреда и штраф, в общей сложности свыше 46 млн руб.
• Кассационный суд, рассмотрев жалобу банка, не нашел оснований для отмены решений. Суд подчеркнул, что именно банк как работодатель в полной мере отвечает за действия своих сотрудников, говорится в решении кассации.

Количество зафиксированных случаев компрометации баз персональных данных в России снизилось в 2025 году до 118 случаев, в сеть попали более 52 млн записей. В 2024 году ведомством было зафиксировано 135 утечек баз данных, содержавших свыше 710 млн записей о россиянах.

📂В июле 2025 года ООО ТД «АСК» подверглось DDoS-атаке. Злоумышленники выгрузили и опубликовали в Telegram и на других ресурсах персональные данные сотрудников (ФИО, паспорта, адреса, телефоны и др.). Пострадали данные 2 сотрудников. Компания сама уведомила Роскомнадзор об инциденте, однако регулятор все равно составил протокол по ч. 1 ст. 13.11 КоАП РФ (штраф для юрлиц от 150 до 300 тыс. руб.).

🏛Роскомнадзор настаивал на штрафе, утверждая, что нормы о замене наказания на предупреждение (ст. 4.1.1 КоАП) здесь неприменимы, так как нарушение выявлено не в ходе планового госконтроля, а в ходе административного расследования.

⚖️Суд встал на сторону компании и заменил штраф на предупреждение:

• Статус МСП: Компания является малым предприятием и включена в реестр МСП.
• Отсутствие реального ущерба: Не доказано причинение вреда жизни, здоровью или имущественного ущерба гражданам.
• Добросовестность: Компания признала вину, сотрудничала со следствием и совершила правонарушение впервые.

⚠️Важный прецедент по ч.3 ст.3.4 и ст. 4.1.1 КоАП: Суд отверг довод Роскомнадзора о том, что административное предупреждение возможно только при определенных видах проверок. Судья указал, что понятие «государственный контроль» нужно толковать широко. Иное нарушало бы принцип равенства перед законом.

📌Вывод для бизнеса: даже если факт утечки доказан, оперативная реакция (уведомление РКН), статус МСП и отсутствие тяжких последствий - реальный шанс избежать денежного взыскания.

• Верховный Суд РФ поставил точку в споре о том, несет ли заказчик ответственность за утечку, произошедшую на стороне подрядчика.

📂Суть дела: Минтруд РФ был оштрафован на ₽100 тыс. по ч.1 ст.13.11 КоАП РФ. Инцидент произошел еще в ноябре 2023 года: в сеть утекли данные сотрудников Министерства и их родственников.

🛡Позиция защиты: Минтруд пытался доказать невиновность, ссылаясь на то, что утечка произошла из-за взлома инфраструктуры подрядной организации, которая не обеспечила должную защиту.

📄Суд оставил штраф в силе, отвергнув доводы Министерства:

• Статус оператора ПД обязывает принимать организационные и технические меры защиты. Передача обработки или инфраструктуры подрядчику не снимает ответственности с заказчика.
• Минтруд не уведомил Роскомнадзор об инциденте самостоятельно. Факт утечки был подтвержден Министерством только после запроса от надзорного органа. Это стало отягчающим обстоятельством, указывающим на бездействие.
• Суд отметил, что в материалах дела нет доказательств того, что Министерство осуществляло внутренний контроль или аудит соответствия обработки ПД требованиям закона (ст.ст. статей 18.1, 19, 22.1 152-ФЗ).

• Верховный суд России признал неправомерным использование в политической агитации изображений людей, сгенерированных нейросетями. То есть не конкретных граждан, а неких образов, созданных искусственным интеллектом. Ориентиром для практики должно стать дело из Челябинской области, где коммунисты использовали в ходе избирательной кампании листовки, нарисованные искусственным интеллектом. На листовке была изображена счастливая семья.
• Суд первой инстанции тогда поддержал коммунистов. Однако Второй апелляционный суд общей юрисдикции, наоборот, согласился с избиркомом.
• «В гражданском законодательстве понятие «физическое лицо» не содержится. Однако из положений статей 17, 19, 21 Гражданского кодекса Российской Федерации можно сделать вывод, что под ним понимается любой человек, выступающий в качестве субъекта гражданских правоотношений и наделенный правами и обязанностями, обладающий правоспособностью и дееспособностью», - сказано в апелляционном определении Судебной коллегии по административным делам Второго апелляционного суда общей юрисдикции.
• Также апелляционная инстанция сослалась на правовые позиции Конституционного суда России, который в одном из своих определений указал: установленное специальное регулирование предвыборной агитации направлено прежде всего на то, чтобы не допустить возможность формирования у избирателей искаженного представления о кандидате, а также на обеспечение равенства прав кандидатов и защиту прав и интересов граждан, не являющихся кандидатами.
• Проще говоря, у людей пытались вызвать живые эмоции с помощью неживых картинок. «В качестве требований к изображениям людей, сгенерированным с помощью нейросетей, в агитационном материале являлось формирование положительных образов, призванных вызвать симпатию у избирателей (например, образ рабочего завода должен передавать силу, надежность, образ молодого предпринимателя - позитивный настрой и деловитость, образ учителя - доброжелательность и профессионализм)», - говорится в материалах дела. Второй апелляционный суд счел, что это незаконно. Верховный суд России согласился с такой правовой позицией.

📂Организация занималась отправкой несовершеннолетних на обучение в Великобританию. В июне 2025 года в рамках исполнения договора оператор направил принимающей стороне (британскому учебному центру) персональные данные 9 детей.

• В ходе прокурорской проверки было установлено, что оператор не направил уведомление в Роскомнадзор о намерении осуществлять трансграничную передачу до начала такой деятельности, как того требует ч. 3-4 ст. 12 ФЗ-152 «О персональных данных».

👨‍⚖️Арбитражный суд Республики Башкортостан (решение от 08.09.2025 по делу № А07-27941/2025) признал директора виновным в совершении административного правонарушения по ч.10 ст.13.11 КоАП РФ. Однако, принимая во внимание первичность нарушения и отсутствие отягчающих обстоятельств, суд применил положения ст.4.1.1 КоАП РФ и заменил административный штраф на предупреждение.

🔎Проблема правовой квалификации: директору вменили ч.10 ст.13.11 КоАП РФ («Невыполнение обязанности… по уведомлению уполномоченного органа… о намерении осуществлять обработку персональных данных»). Однако с юридической точки зрения здесь наблюдается коллизия:

• Неподача уведомления о трансграничной передаче (ст.12 ФЗ-152), которое законодательно отделено от уведомления о начале обработки (ст.22 ФЗ-152).
• Формально непредоставление сведений в госорган образует состав ст.19.7 КоАП РФ. Санкции по этой статье значительно ниже, а срок давности короче.

⚠️Тем не менее, практика идет по пути расширительного толкования: надзорные органы приравнивают нарушение порядка уведомления о трансграничной передаче к нарушению общего порядка уведомления об обработке, применяя более строгую статью 13.11 КоАП.

• Арбитражный суд Москвы оштрафовал компанию-разработчика игр и приложений Bad Kitty`s Dad из Португалии на ₽ 6 млн за повторное нарушение российского законодательства о локализации баз с персональными данными граждан РФ. Протокол в августе 2025 года составило Управление Роскомнадзора по Центральному федеральному округу.
• Речь идет об интернет-сервисе Ome.TV (видеочате для общения со случайными собеседниками), при регистрации в котором пользователи должны предоставить адрес электронной почты, имя, возраст, фотографию и информацию из профилей в социальных сетях. В нарушение закона база собранных данных хранится на территории Европейского союза (ЕС).

🧑‍⚖️Девятый арбитражный апелляционный суд отменил штраф ОАО «РЖД» за утечку данных 17 млн строк.

📂Суть дела: Роскомнадзор выявил в Telegram-каналах (включая проукраинские хакерские группы) базу данных сотрудников РЖД - более 17 млн строк (ФИО, должности, email). Суд первой инстанции оштрафовал компанию на ₽ 150 тыс. по ч.1 ст.13.11 КоАП РФ, посчитав, что оператор не обеспечил защиту данных.

🛡Линия защиты: РЖД не согласились со штрафом. Их ключевой аргумент: утечка произошла не из-за халатности, а в результате целенаправленной кибератаки. Компания обратилась в МВД и ФСБ, в результате чего было возбуждено уголовное дело по ч.1 ст.272.1 УК РФ (незаконные использование и (или) передача, сбор и (или) хранение компьютерной информации, содержащей персональные данные).

🏛Ключевой вывод суда: апелляция разрушила привычную логику регулятора, сославшись на ч. 2 ст. 2.1 КоАП РФ (понятие вины юридического лица).

1. 1Сам факт утечки ≠ вина компании. Суд указал, что административная ответственность наступает только при наличии вины. Нельзя штрафовать компанию просто за то, что инцидент произошел (объективное вменение). РКН обязан доказать, какие именно меры компания могла принять, но не приняла.
2. 2Субъективная сторона правонарушения. Суд подчеркнул: в деле нет доказательств того, что РЖД бездействовало. Напротив, доступ к данным получили третьи лица (хакеры) в результате преступления (ст. 272.1 УК РФ). Если воля компании была направлена на защиту, а вред нанесен преступниками, вины оператора в административном смысле нет.
3. 3Презумпция невиновности. Вывод РКН о единоличной вине РЖД суд назвал преждевременным, пока не завершено расследование уголовного дела о взломе.

🌍Контекст имеет значение: суд официально принял во внимание напряженную геополитическую обстановку вокруг РФ и рост хакерских атак со стороны недружественных государств как общеизвестный факт, снижающий степень вины атакуемого бизнеса.

Мировой судья судебного участка №422 Таганского района Москвы признал американскую онлайн-платформу для совместной работы Realtimeboard Inc. dba Miro и украинскую компанию по регистрации доменов NIC. UA LLC виновными в нарушении требований о локализации баз с персональными данными россиян (ч.5 ст.18 152-ФЗ).

• «Realtimeboard Inc. dba Miro назначено наказание в виде административного штрафа в размере 2 млн рублей, NIC. UA LLC - в размере 6 млн рублей», - сообщили в суде.
• Американская компания признана виновной в нарушении требования о локализации данных российских пользователей на территории России (ч. 8 ст. 13.11 КоАП РФ). Украинская организация признана виновной в повторном нарушении данного требования. (ч. 9 ст. 13.11 КоАП РФ).

• Пользователь судился с ООО «КЕХ еКоммерц» (Авито) из-за блокировки аккаунта, которым беспрепятственно пользовался 10 лет. Платформа закрыла доступ из-за «подозрительной активности» и потребовала пройти проверку: записать видео с поворотом головы, а позже добавила требование предоставить фото паспорта или водительских прав. Пользователь наотрез отказался раскрывать свои биометрические данные.

⚖️Суд обязал Авито восстановить доступ к профилю без предоставления видеоизображения и фотографий личных документов.

• Главный аргумент суда строился на п. 13 ст. 13 Закона № 572-ФЗ: отказ физического лица от биометрической идентификации не может служить основанием для отказа ему в оказании услуг.
• Также суд сослался на ФЗ-152 «О персональных данных», напомнив, что согласие на обработку должно быть свободным, а собираемые данные не должны быть избыточными по отношению к целям обработки.

📌Важные инсайты по делу:

1. 1Дело рассматривалось по иску о защите прав потребителей. Это подтверждает, что Авито имеет статус «владельца агрегатора», на которого в полной мере распространяются жесткие требования ЗоЗПП, а не просто внутренние пользовательские соглашения.
2. 2Суд не стал упоминать профильную ст. 11 152-ФЗ (которая как раз регулирует биометрию), зато 572-ФЗ о единой биометрической системе стал для суда важным аргументом.
3. 3«Проверку благонадежности» суды могут интерпретировать именно как процедуру установления личности. Особенно когда она проводится повторно при появлении сомнений в результатах прошлых (в т.ч. небиометрических) проверок.
4. 4Точка в споре еще не поставлена - на данное решение суда уже поданы 2 апелляционные жалобы.

📂ООО «Дегустаторстрой» оспорило в суде требование Межрайонной инспекции Федеральной налоговой службы №2 по Волгоградской области об уплате пени на сумму ₽ 926 тыс. Налогоплательщик указал на отсутствие в материалах дела расчёта спорных пеней. Налоговый орган, вместо того чтобы просто раскрыть формулу, занял бескомпромиссную позицию. Представитель инспекции заявил, что Налоговый кодекс РФ вообще не предусматривает обязанность предоставлять расчёт сумм пени.

👨‍⚖️Апелляционный суд напомнил, что любые начисления подлежат проверке, и сделать их понятными - прямая обязанность налогового органа. Суд сформулировал ряд прецедентных тезисов об использовании автоматизированных систем, в т.ч. ИИ:

1. 1Использование для расчётов начислений ИИ не является основанием презюмировать правильность произведённых расчётов и не снимает ответственность за полученный результат с налогового органа.
2. 2Суд признаёт, что внедрение ИИ - свершившийся и необратимый факт, но считает, что его использование не может быть поводом снижать гарантии для граждан или каким-либо образом ухудшать их положение.
3. 3Все начисления, которые будут недоступны пониманию, проверке и оценке со стороны суда, априори являются незаконными.
4. 4Нет ни правовых, ни фактических оснований для презумпции правильности расчётов, произведённых при помощи программного обеспечения.
5. 5ИИ не является субъектом, это инструмент, который не может вытеснить человека и должен использоваться под контролем ответственного лица.
6. 6Внедрение в деятельность налоговых органов ИИ и исключение из актов сумм пеней не снимают с налогового органа процессуальных обязанностей по доказыванию правильности начислений.

🔖В итоге, ФНС по требованию суда всё-таки смогла выгрузить и предоставить понятный расчёт. И он оказался математически верным. Однако точка в этом концептуальном споре еще не поставлена. Компания не смирилась с решением, и на 17.03.2026 назначено заседание суда кассационной инстанции.

• Мировой судья судебного участка №422 Таганского района города Москвы 3 марта 2026 года признал виновным в совершении административного правонарушения по ч.8 ст.13.11 КоАП РФ (невыполнение оператором при сборе персональных данных предусмотренной законодательством РФ обязанности по обеспечению записи, систематизации, накопления, хранения, уточнения персональных данных граждан РФ) компанию Battlestate Games Limited и назначил наказание в виде административного штрафа в размере ₽ 2 млн.
• Battlestate Games Limited - российская независимая компания, разработчик и издатель компьютерных игр. Ее юридическое лицо зарегистрировано в Лондоне, офис организации расположен в Санкт-Петербурге. Компания разрабатывает программное обеспечение для компьютерных игр, создает и обновляет его, поддерживает программное обеспечение, занимается графическим дизайном и дизайном веб-сайтов. Компания создала игру Escape from Tarkov - стелс-шутер от первого лица в визуальной стилистике пост-СССР.

• Суд в Уфе встал на сторону пассажирки российского авиаперевозчика, которая начала получать рекламную рассылку без согласия.
• Женщина получила рекламу от одной из российских авиакомпаний на электронную почту, из-за чего сделала вывод, что ее персональные данные были обработаны без свободного и невынужденного согласия. В этой связи она обратилась в суд с иском о защите прав потребителей, так как «указанными действиями ответчик вторгся в частное пространство».
• Из отзыва представителя авиакомпании на иск следует, что заявительница как клиент компании предоставила свое согласие на получение сообщений на свою электронную почту при оформлении бронирования, а от рассылок она может отказаться в любое время. Однако суд установил, что истица не давала свободное согласие на обработку ее персональных данных не только для целей бронирования (приобретения) билетов, но и для целей направления рекламы по сетям электросвязи.
• В результате с авиакомпании в пользу заявительницы взыскали пять тысяч рублей компенсации морального вреда и шесть тысяч рублей компенсации судебных расходов. Также фирму оштрафовали на 2,5 тысячи рублей за неудовлетворение требования потребителя в добровольном порядке, кроме того, в доход бюджета была взыскана госпошлина в три тысячи рублей.

• В связи с принятием Роскомнадзором мер по ограничению доступа к социальным платформам Инстаграм и Фейсбук, видеохостингу Ютуб, ВПН-сервисам, мессенджерам Телеграм и Вотсап ФАС России усматривает в размещении рекламы на данных ресурсах признаки нарушения части 10.7 статьи 5 Федерального закона «О рекламе».
• Ответственность за нарушение указанной нормы Федерального закона «О рекламе» в силу статьи 38 данного закона несут как рекламодатель, так и рекламораспространитель.

• Мировой судья судебного участка № 422 Таганского района Москвы признал германскую компанию SSI International GmbH виновной в нарушении российского законодательства в области персональных данных и назначил ей административный штраф в 6 млн рублей. Об этом сообщили в суде.
• Компания признана виновной по ч. 9 ст. 13.11 КоАП (повторное нарушение требования о локализации данных российских пользователей на территории России).
• SSI International GmbH - международная организация, специализирующаяся на обучении дайвингу, фридайвингу, плаванию и снорклингу.

🧑‍⚖️Арбитражный суд города Санкт-Петербурга и Ленинградской области рассмотрел дело об утечке персональных данных в результате хакерской атаки. Решение демонстрирует, как суды первой инстанции подходят к оценке вины операторов, и представляет интерес для сравнения с недавним прецедентом РЖД.

📂Осенью 2025 года компания подверглась кибератаке, в результате которой в открытый доступ (в Telegram-канал) попала база данных интернет-ресурса компании - 70 000 субъектов (представители и сотрудники юридических лиц). Состав данных: ФИО, должность, служебный адрес электронной почты, служебный номер телефона. Компания своевременно направила в Роскомнадзор первичные и вторичные уведомления об инциденте.

🏛В ходе заседания оператор ходатайствовал о приостановлении производства по делу, ссылаясь на наличие материала проверки в правоохранительных органах (КУСП № 18075 от 15.08.2025). Суд отклонил ходатайство, не найдя оснований для невозможности рассмотрения административного дела. Суд признал компанию виновной по ч.13 ст.13.11 КоАП РФ. Однако, учитывая, что правонарушение совершено впервые, суд применил положения ст. 4.1.1 КоАП РФ и заменил административный штраф на предупреждение.

📌Ключевые выводы:

1. 1Даже при подтвержденной вине и значительном объеме скомпрометированных данных (70 тыс. субъектов), институт замены штрафа на предупреждение (ст. 4.1.1 КоАП РФ) эффективно работает для первого правонарушения.
2. 2Простая подача заявления в полицию (доследственная проверка) и получение выписки из КУСП не имеет такой же юридической силы для защиты в суде, как вынесенное постановление о возбуждении уголовного дела, которое помогло РЖД.
3. 3Несмотря на позитивный прецедент апелляции по РЖД, суды первой инстанции продолжают применять объективное вменение, требуя от оператора доказывать, что он предпринял все возможные меры защиты.

🧑‍⚖️Шестой кассационный суд общей юрисдикции 05.03.2026 рассмотрел трудовой спор в рамках дела №88-3939/2026 и подтвердил правомерность наказания работника за сам факт создания угрозы информационной безопасности (хранение паролей на виду), даже если негативные последствия (взлом, утечка) не наступили.

📂Работник ПАО АНК «Башнефть» был привлечен к дисциплинарной ответственности в виде замечания. Основанием послужил выявленный службой безопасности факт: сотрудник хранил пароли доступа к корпоративным информационным ресурсам (включая СЭД и «СПАРК-Интерфакс») в открытом текстовом файле на рабочем столе своего компьютера.

🛡Работник пытался оспорить приказ работодателя, ссылаясь на следующие обстоятельства:

1. 1Рабочий кабинет имеет строгий пропускной режим, и доступ к нему есть только у трех человек.
2. 2Вход в сам рабочий компьютер защищен двухфакторной аутентификацией.
3. 3Утечки конфиденциальной информации не произошло, и пароли третьим лицам не передавались.
4. 4Работодатель не проинформировал о наличии специализированной защищенной программы для хранения паролей.

🏛️Суды всех инстанций признали действия работодателя законными и отказали работнику в иске:

1. 1Локальными нормативными актами (ЛНА) компании, включая Правила внутреннего трудового распорядка и политики ИБ, прямо запрещено сохранять пароли в открытом виде, в том числе в текстовом виде на рабочем столе.
2. 2Сотрудник был ознакомлен с должностной инструкцией и требованиями ЛНА под роспись.
3. 3Тот факт, что работодатель не предложил программу для хранения, не оправдывает работника: при возникновении трудностей с запоминанием паролей сотрудник должен был самостоятельно запросить у работодателя информацию о легитимных защищенных способах их хранения.
4. 4Отсутствие фактической утечки данных или несанкционированного доступа не отменяет факта дисциплинарного проступка (нарушения правил безопасности).

• Белокурихинским межрайонным следственным отделом следственного управления Следственного комитета Российской Федерации по Алтайскому краю завершено расследование уголовного дела в отношении 52-летней жительницы Солонешенского района, обвиняемой в совершении преступления, предусмотренного ч. 3 ст. 30 ч. 1 ст. 137 УК РФ (покушение на незаконное собирание сведений о частной жизни лица, составляющих его личную тайну, без его согласия).
• По данным следствия, обвиняемая длительное время испытывала личные неприязненные отношения к своему коллеге по работе, считая, что он ненадлежащим образом исполняет свои должностные обязанности и много времени уделяет личным делам. Чтобы доказать начальству недобросовестность коллеги, в октябре 2025 года фигурантка тайно проникла в его кабинет и положила на шкаф включенный диктофон. Довести умысел на сбор сведений о частной жизни ей не удалось по независящим обстоятельствам – диктофон был обнаружен сотрудником организации.

• Согласно части 10.7 статьи 5 Федерального закона «О рекламе» не допускается распространение рекламы на информационных ресурсах, доступ к которым ограничен в соответствии с законодательством Российской Федерации. Направленная Роскомнадзором информация находится на рассмотрении в ФАС.
• По фактам размещения рекламы в Telegram и Youtube ФАС анализирует содержание рекламы, дату заключения договора, дату введения ограничений на работу платформы, дату публикации рекламы, основания её размещения, в том числе договоры и платежные поручения.
• Очевидно, что хозяйствующим субъектам требуется время для адаптации к новым правилам и переориентированию на другие рекламные каналы. Поэтому в отношении рекламы в Telegram и Youtube необходим переходный период до конца 2026 года, в течение которого меры ответственности за распространение рекламы на таких ресурсах применяться не будут.
• При этом контроль за соблюдением законодательства о рекламе при размещении рекламы на платформах, ограничения в отношении которых были введены ранее (Instagram*, Facebook**), а также на VPN-сервисах будет продолжен с применением соответствующих мер ответственности. Размещение рекламы на таких ресурсах не допускается.

• Мировой судья судебного участка №422 Таганского района Москвы привлек платформу для петиций Change.org Pbc к административной ответственности по ч. 8 ст. 13.11 КоАП РФ (невыполнение оператором при сборе персональных данных их накопления, хранения, уточнения с использованием российских баз данных). Платформе назначили штраф в размере ₽ 1 млн.
• Суд оштрафовал также за нарушение закона о персональных данных разработчика приложения для аквалангистов Padi Americas Inc. (организация признана нежелательной на территории РФ), назначив штраф в размере ₽ 6 млн. Первый административный штраф был назначен Padi Americas Inc. 11 июля 2023 г. Судья назначил компании штраф в размере ₽ 1,5 млн по ч. 8 ст. 13.11 КоАП РФ.

• Мировой судья судебного участка №422 Таганского района города Москвы 26 марта 2026 года признал виновной в совершении административного правонарушения по ч. 8 ст. 13.11 КоАП РФ платформу для изучения иностранных языков «Дуолинго, Инк.» (Duolingo, Inc.). Назначено административное наказание в виде штрафа в размере 2 млн ₽.
• Также по аналогичной статье на 2 млн ₽ оштрафована компания «еНом ЛЛС.» (eNom LLC.), занимающаяся регистрацией доменных имен и веб-хостингом, отметили в суде.

• Ресурсоснабжающая компания обратилась в межмуниципальное управление МВД с запросом о предоставлении персональных данных жителей ряда домов Оренбургской области, включая Ф. И. О., дату и место рождения, а также паспортные реквизиты. Эти сведения, по мнению организации, были необходимы для корректного начисления платы за коммунальные услуги. Ведомство отказало, указав, что передача такой информации невозможна без согласия граждан и противоречит закону «О полиции».
• Суд первой инстанции поддержал позицию МВД, отметив, что необходимые сведения можно получить из других источников, например, через ГИС ЖКХ или ЕГРН. Однако апелляционный и кассационный суды заняли противоположную позицию, признав, что компания вправе запрашивать и обрабатывать персональные данные без согласия граждан.
• Представители МВД не согласились с таким подходом и обратились в Верховный Суд России, ссылаясь на то, что удовлетворение требований в рамках настоящего дела приведет к необоснованному расширению полномочий общества как ресурсоснабжающей организации, которые не предусмотрены жилищным законодательством, а именно допуску к оперативным ресурсам полиции.
• Судебная коллегия по экономическим спорам, рассмотрев кассационную жалобу, признала доводы заявителя заслуживающими внимания и оставила в силе решение суда первой инстанции об отказе компании в предоставлении персональных данных жильцов.

• Рязанский областной суд 11.03.2026 отменил решение первой инстанции, которым Авито обязали восстановить пользователю доступ к профилю без видеопроверки и фото документов (дело № 33-342/2026).
• Напомним: в декабре 2025 года Московский районный суд г. Рязани встал на сторону пользователя, сославшись на п.13 ст.13 572-ФЗ и нормы 152-ФЗ о ПД.

⚖️Апелляционная коллегия пришла к противоположным выводам:

1. 1Видеопроверка благонадежности (liveness check) не является обработкой биометрических ПД, поскольку не используется для установления личности пользователя. Цель - подтвердить, что аккаунтом управляет живой человек.
2. 2Ответчик не сохраняет видеоизображения пользователей, что технически исключает возможность биометрической идентификации.
3. 3Отсутствие факта обработки биометрических данных прямо подтверждено Минцифры России, Роскомнадзором, а также партнёром ответчика - ПАО «МТС».
4. 4572-ФЗ неприменим к проверкам на Авито - он регулирует идентификацию через государственную ЕБС. Неприменимость закона подтверждена заключением Минцифры.
5. 5Пользователь сам нарушил правила Авито (использовал два профиля в одной категории), что дало платформе основание для проведения проверки в соответствии с разделом 7 Условий использования.
6. 6Подтвержден приоритет договорной свободы (ст.421 ГК РФ): принятые при регистрации Условия обязывают пользователя, а освобождение нарушителя от проверки означало бы индивидуальные привилегии.

🖤Истец скончался 24.01.2026. Коллегия рассмотрела жалобы по существу, руководствуясь разъяснениями ВС РФ.

🤔Позиция апелляции не бесспорна:

🔻Довод о том, что видеопроверка не является сбором биометрии, потому что платформа «не устанавливает личность», в значительной степени опирается на декларации самой платформы - порядок обработки и хранения видеозаписи классифайдом остался не исследован.

🔻Отсутствие альтернативных способов верификации (вход через Госуслуги, подтверждение по почте/телефону) создаёт ситуацию, в которой пользователь фактически лишён выбора.

🏛️Роскомнадзор, использовавший собственную систему мониторинга (АС МПД), настаивал на том, что DLBI выступает посредником, предоставляющим пользователям доступ к нелегальным базам данных (в том числе из Даркнета) без правовых оснований (ч. 1 ст. 13.11 КоАП РФ). Ведомство ссылалось на результаты собственного мониторинга, где зафиксировало функционал поиска по утечкам.

🛡️DLBI указал на ошибочность объединения двух разных процессов: обработки данных посетителей сайта (где DLBI является легальным оператором) и работы поискового алгоритма: DLBI не хранит и не обрабатывает ПД в открытом виде (номера телефонов или e-mail). Вместо этого используются хеши (зашифрованные слепки), которые не позволяют восстановить исходную информацию. Кроме того, сам функционал проверки предоставляется не напрямую через сайт, а через партнеров (например, систему «Защитник» от МТС).

👨‍⚖️Арбитражный суд Москвы в решении от 10.12.2025 по делу А40-201075/25 отказал в удовлетворении иска Роскомнадзора и указал, что:

• Сервис обрабатывает не ПД, но все данные, в которых производиться поиск признаков наличия в них ПД пользователей, а Роскомнадзор не смог доказать принадлежность анализируемых сервисом сведений к «персональным данным», охраняемым законом.
• Деятельность DLBI соответствует мировой практике и направлена на предупреждение об утечках, тогда как система РКН сфокусирована на проверке формального соблюдения закона операторами.

📄Девятый арбитражный апелляционный суд оставил в силе решение Арбитражного суда Москвы от 10.12.2025, отказал в удовлетворении апелляционной жалобы Роскомнадзора.

🏛️Арбитражный суд Кемеровской области (дело № А27-23786/2025) привлёк оператора связи ООО «Комлайн» к ответственности по ч.12 ст.13.11 КоАП РФ. В июне 2025 г. в результате атаки группировки BO_Team_UA были скомпрометированы данные 4 225 абонентов (ФИО, паспортные данные, адреса, телефоны), которые 29.07.2025 опубликовали в Telegram-канале.

🧨В деле фигурирует отчет BI.ZONE, подготовленный по заказу самого «Орион Телеком» в рамках внутреннего расследования и направленный оператором в Роскомнадзор как часть уведомления о результатах расследования. Документ зафиксировал системные провалы инфобеза:

• активная учётная запись сотрудника, уволенного в 2022 г.;
• пароли не менялись с 2019 г.;
• ПО с критическими уязвимостями;
• доступ к инфраструктуре получен 30.05.2025, обнаружили утечку только 12.06.2025.

⚙️Ключевые выводы суда:

1. 1Возбуждение уголовного дела по ст.272.1 УК РФ против хакеров не освобождает оператора от административной ответственности - статьи разграничивают ответственность злоумышленника и оператора.
2. 2Принадлежность к КИИ 3 категории не даёт права на утечку - ни один НПА такого послабления не содержит.
3. 3Ссылки на затягивание процесса (ходатайства об экспертизе через 5 месяцев) суд расценил как злоупотребление правом.
4. 4Несмотря на санкцию 3–5 млн руб., штраф заменён на предупреждение по ст.4.1.1 КоАП РФ - оператор относится к МСП, правонарушение совершено впервые.

💡Практика по утечкам ПД пока не устоялась: в деле РЖД уголовное дело против хакеров стало щитом, в делах «Комлайн» и «ПКР Аналитика» - нет. Решающими факторами становятся качество доказательств вины оператора, состояние систем ИБ и статус МСП.

• Заместитель главы администрации Абинского района в Краснодарском крае оштрафована на 100 тыс. руб. по ч. 8 ст. 13.11 КоАП РФ - за нарушение требований о локализации баз персональных данных граждан РФ.
• Администрация Абинского района является оператором ПД интернет-ресурса, в исходном коде страниц которого используется платформа, принадлежащая иностранной компании из США.
• Привлечена к ответственности именно куратор направления - заместитель главы администрации района (как должностное лицо). Кейс наглядно демонстрирует расширение практики персональной ответственности должностных лиц-операторов за нарушения локализации, в т.ч. в части использования зарубежных аналитических и иных инструментов в исходном коде сайтов.

⚖️Серия дел о кибератаке группировки BO Team на сибирского провайдера (июнь 2025 г., утечка ПД абонентов). По всем юрлицам группы суды назначили предупреждения вместо многомиллионных штрафов:

• АС Иркутской области (дело № А19-25808/2025, ООО «Орион Телеком», ч.13 ст.13.11 КоАП, 36 544 субъекта ПД). Из мотивировочной части (решение от 12.05.2026): дата правонарушения = дата публикации базы (29.07.2025), а не дата проникновения; статус потерпевшего по уголовному делу (ст.272, 273, 272.1 УК РФ) не освобождает от админответственности; отказ в судебной экспертизе о степени вины (вопрос правовой); отчёт BI.ZONE сыграл против оператора (активная учётка уволенного в 2022 г. сотрудника, root-пароль уязвим к словарной атаке, проникновение 30.05.2025 - обнаружение лишь 12.06.2025). Замена штрафа на предупреждение по ст.4.1.1 КоАП - статус МСП и первичность.
• АС Красноярского края (15.05.2026, шесть дел: ООО «Орион Телеком», «КрисТелеком», «45 КА») - все слушания закрытые, все компании признаны виновными, наказание «иное» (предупреждение). Пресс-релиз компании о «признании невиновными в распространении ПД» - подмена понятий: предметом было необеспечение безопасности, повлёкшее утечку, а не умышленное распространение.
• АС Республики Хакасия (21.05.2026, дело № А74-10378/2025) - переквалификация с ч.13 на ч.1 ст.13.11 КоАП и предупреждение. Третий ААС отменил попытку передать дело мировому судье (508-ФЗ): дело, принятое с соблюдением подсудности, рассматривается арбитражным судом по существу вне зависимости от изменений законодательства.
• Ранее - АС Кемеровской области (ООО «Комлайн», ч.12 ст.13.11, предупреждение).

📌Промежуточный итог: совокупная санкционная вилка по группе - десятки млн ₽, фактически - 0 ₽. Правоприменение по оборотным штрафам за утечки ПД остаётся номинальным, но защитный эффект статуса МСП разовый - при повторе замена на предупреждение уже невозможна.

🔄Постановлением Четвертого ААС от 11.08.2026 жалоба ООО «Орион Телеком» отклонена, решение АС Иркутской области оставлено без изменения. Довод о действии закона во времени отклонен: состав материальный, правонарушение окончено в момент распространения ПД 29.07.2025, а проникновение в инфраструктуру - лишь подготовительные действия; практика судов других регионов, переквалифицировавших дела группы на ч.1 ст.13.11 КоАП, для суда необязательна. Возврат дел по ст.13.11 КоАП судам общей юрисдикции с 01.01.2026 подсудность не меняет, поскольку заявление РКН принято 27.10.2025 (ч.1 ст.39 АПК РФ).

• Ключевое: РКН указал, что санкция ч.13 ст.13.11 КоАП предупреждения вообще не предусматривает, и просил заменить его штрафом ₽5-10 млн. Апелляция согласилась по существу (утечка ПД 36 544 субъектов сама по себе существенно нарушает права граждан, совокупности условий ст.3.4 и 4.1.1 КоАП нет, статус микропредприятия замену не обосновывает - п.33 Обзора ВС РФ № 3 (2025)), однако изменить наказание не смогла: годичный срок давности истек 29.07.2026 в ходе апелляционного производства.

🎮С начала 2026 года Роскомнадзор подал не менее 7 исков к зарубежным игровым компаниям за отказ хранить персональные данные российских игроков на серверах в РФ. Среди фигурантов - издатели Sims, Battlefield, GTA и Red Dead Redemption.

⚖️В апреле суд признал виновными Electronic Arts, Take-Two Interactive, Battlestate Games и NetEase - каждой назначен штраф ₽2 млн по ч.8 ст.13.11 КоАП РФ. По трём делам - Epic Games, Digital Extremes и Embracer Group - заседания назначены на первую половину мая.

⚙️Согласно ч.5 ст.18 152-ФЗ, данные (IP, email, платёжные реквизиты), собираемые при регистрации пользователя из России, должны храниться и актуализироваться исключительно на территории РФ.

⚠️Главный риск - не штрафы, а блокировки: зарубежные компании, как правило, штрафы не платят, следующий шаг РКН - требование устранить нарушение и блокировка доменов. Прецедент уже есть: именно так произошло с Roblox.

⚡Вместе с тем РКН уточнил, что блокировок Battlefield, FIFA и других популярных иностранных видеоигр в настоящее время не планируется.

• Управление по защите персональных данных Нидерландов (AP) совместно с норвежскими и финскими коллегами наложило штраф в размере €100 млн на компанию MLU BV - нидерландское юрлицо группы «Яндекс», управляющее приложением для заказа такси Yango в Европе.
• По данным регулятора, MLU BV передавала персональные данные пользователей Yango из Норвегии и Финляндии в Россию без надлежащих мер безопасности. В числе переданных данных - сканы водительских прав, домашние адреса, точные маршруты поездок, содержание чатов, номера социального страхования и иные чувствительные сведения водителей и клиентов.
• Расследование велось с конца 2023 года. Регулятор указал: в России персональные данные защищены не так хорошо, как в ЕС, а независимого органа по защите ПД нет, что создаёт риск доступа российских властей к данным граждан ЕС.
• Размер штрафа рассчитан исходя из годового оборота материнской структуры - в 2024 г. выручка «Яндекса» превысила €12 млрд. Помимо штрафа, MLU обязали немедленно прекратить передачу данных европейских пользователей в Россию.
• MLU BV намерена обжаловать решение, заявив, что соблюдала все необходимые меры защиты и хранила данные на серверах в ЕС в зашифрованном виде. Компания также отметила, что Yango не работает в Норвегии и Финляндии с 2025 года.

🧑‍⚖️АС Московского округа (постановление от 09.06.2026 по делу № А40-263206/2025) оставил без изменения постановление Девятого ААС от 16.02.2026, которым был отменён штраф ОАО «РЖД» по ч.1 ст.13.11 КоАП РФ. Кассационная жалоба Роскомнадзора - без удовлетворения.

📂Ранее после обнаружения в Telegram базы данных сотрудников РЖД (17+ млн строк) компания была оштрафована первой инстанцией; апелляция штраф отменила, указав, что утечка стала результатом целенаправленной кибератаки (уголовное дело по ч.1 ст.272.1 УК РФ), а РКН не доказал, какие конкретно меры защиты оператор мог принять, но не принял.

⚙️Из мотивировочной части кассации (10.06.2026): (1) отсутствует субъективная сторона - не доказана вина, а не событие, состав по ст.13.11 КоАП отсутствует; (2) распространение ПД - следствие хакерской атаки, виновных действий сотрудников не выявлено; (3) сам факт атаки недостаточность мер не подтверждает; (4) неустранимые сомнения трактуются в пользу лица (ч.4 ст.1.5 КоАП) → прекращение дела.

⭐Позиция против объективного вменения при утечках устояла в трёх инстанциях - это устойчивая правовая позиция. Контраст с делами ГК «Орион», где вину задокументировал собственный отчёт BI.ZONE. У Роскомнадзора остаётся теоретическая возможность обжалования в ВС РФ.

• Мировой судья судебного участка № 422 Таганского района Москвы и арбитражные суды продолжают штрафовать иностранные компании по ст.13.11 КоАП РФ за нарушение требования о локализации ПД граждан РФ (ч.5 ст.18 152-ФЗ):
• «АИДА интернэшнл» (AIDA International) и «Интернэшнл трейнинг» (International Training) - по ₽6 млн каждой по ч.9 ст.13.11 КоАП (повторное нарушение);
• Embracer Group AB (шведский игровой холдинг, владелец прав на «Властелина колец», Tomb Raider, Metro и др.) - ₽1 млн по ч.8 ст.13.11 (продолжение «игрового» блока вместе с EA, Take-Two, NetEase, Battlestate Games);
• Italki HK Limited (Гонконг, платформа для изучения языков) - ₽1 млн по ч.8 ст.13.11; данные россиян (имя, e-mail, телефон, адрес, платёжная информация, IP, cookies) хранились на серверах в США;
• Pro New World (Hong Kong) Limited (оператор маркетплейса Poizon / «ДЭВУ», сайт thepoizon.ru) - ₽1 млн по ч.8 ст.13.11.

📊Практика подтверждает: ответчики, как правило, в заседания не являются, ответы на запросы РКН не направляют; следующий шаг регулятора - требование устранить нарушение и потенциальная блокировка.

• Российские суды всё чаще штрафуют банки и МФО за сообщения клиентам через WhatsApp. С марта 2025 года зарегистрировано минимум 21 дело по ст.13.11.2 КоАП РФ (незаконное использование иностранных информационных систем при обработке ПД).
• Поводом становятся сообщения о задолженностях: в переписке через WhatsApp финансовые организации указывали сведения о долгах, ФИО клиентов и иные идентифицирующие данные. Административные протоколы составляет Роскомнадзор.
• Суммы штрафов в опубликованных решениях - от ₽100 до ₽200 тыс., при том что статья предусматривает для юрлиц до ₽700 тыс.

⚖️Дело № А07-5689/2025 (№ 309-ЭС26-2103), АО «Мэлон Фэшн Груп» против Башкортостанского УФАС. Через механику «Колесо фортуны» на сайте sela.ru посетителю предлагали разыграть скидку: ввести адрес электронной почты и поставить галочку о согласии, без нее барабан не запускался. УФАС и три инстанции увидели принудительное согласие и нарушение ч.1 ст.18 38-ФЗ «О рекламе».

• СКЭС ВС РФ отменила все четыре акта: встречное согласие на рекламу в обмен на скидку законом не запрещено и отвечает интересам обеих сторон; продавец не обязан предоставлять скидку тому, кто не выполнил условие, поскольку это адресное предложение, а не публичная оферта, и товар остается доступен по обычной цене; принуждения нет, ст.178 и 179 ГК РФ неприменимы.
• Суд учел, что запись о согласии располагалась на том же баннере, выделялась отдельной строкой и не была спрятана в тексте политики конфиденциальности и согласия на обработку ПД, что пользователь совершал активное действие до отправки рекламы и мог отписаться с первого письма.
• Одна галочка покрывала одновременно обработку ПД и подписку на рекламную рассылку, и такая конструкция признана корректной. Ст.18 38-ФЗ и ст.15 152-ФЗ параллельны по конструкции: обе требуют предварительного согласия, исходят из презумпции его отсутствия, пока оператор не доказал обратное, и обязывают немедленно прекратить коммуникации по требованию.

• С декабря 2024 по август 2025 года инспектор группы по исполнению административного законодательства ДПС фотографировала карточки учета транспортных средств из служебной информационной базы и передавала снимки знакомому за вознаграждение. Проданы данные более чем 350 человек, заработок составил ₽220 тыс.
• Чкаловский районный суд рассмотрел дело в особом порядке при заключенном досудебном соглашении и признал ее виновной в распространении ПД (п. «а», «в», «г» ч.3 ст.272.1 УК РФ), получении взятки (п. «в» ч.5 ст.290 УК РФ) и превышении должностных полномочий (п. «е» ч.3 ст.286 УК РФ).
• Назначено 4 года лишения свободы в исправительной колонии общего режима, штраф ₽250 тыс., лишение специального звания и права работать в госорганах на 2 года. Приговор в законную силу не вступил.

• За январь-июнь 2026 года в открытом доступе обнаружены 54 базы данных с актуальностью 2026 года общим объемом 24,3 млн строк. За аналогичный период 2025 года выявлено вчетверо больше баз, а их объем был больше в 22 раза.
• При этом активность на теневых ресурсах растет: число сообщений о распространении баз данных на специализированных форумах и в теневых каналах выросло с 23,8 тыс. до 38,1 тыс., то есть почти на 60%.
• По данным другой команды киберразведки, за первое полугодие обнаружены 88 новых случаев публикации утечек против 162 годом ранее, общий объем новых публикаций 114 млн строк, что на 43% меньше. В публичном доступе оказались преимущественно ФИО, адреса проживания, пароли, даты рождения, паспортные данные, номера мобильных телефонов и адреса электронной почты.

• 20.07.2026 Савеловский суд повторно начал рассматривать по существу дело бывших вице-президентов АО «Сирена-трэвел», разработчика системы бронирования Leonardo. По версии следствия, осенью 2023 года они не обеспечили защиту компьютерной информации, из-за чего доступ к ПД пассажиров получили хакеры; квалификация менялась с ч.5 ст.274.1 на ч.2 ст.274 УК РФ.
• Потерпевшей стороной признана сама компания, а не пассажиры. Обвиняемые возместили ей ₽1,5 млн, заключили мировое соглашение, и в октябре 2025 года первый процесс завершился прекращением дела по примирению сторон. Прокуратура настаивала, что компенсация оператору и извинения не снижают общественной опасности и не заглаживают вред интересам общества и государства, и в апреле 2026 года Второй кассационный суд вернул дело на новое рассмотрение.
• Защита ссылается на недоказанность самого факта утечки ПД пассажиров, на неотносимость этих данных к субъектам КИИ и на нахождение сервера в Москве. Кейс показателен спором о том, кто здесь пострадавший: материальный вред посчитан компании, а субъекты ПД в деле фактически не участвуют.

• Директор по продажам московской инженерной компании была уволена за разглашение коммерческой тайны и через суд требовала отменить приказ, соглашаясь на расторжение договора по соглашению сторон с выплатой ₽5 млн.
• Работодатель указал, что сотрудница пересылала служебные документы по корпоративной почте, ставя личный адрес в скрытую копию, а ряд документов из внутреннего защищенного ресурса загрузила в нейросеть DeepSeek, что создало угрозу перехвата сведений.
• Суд не усмотрел производственной необходимости извлекать информацию из локальных защищенных носителей работодателя, направлять ее на внешний неконтролируемый адрес электронной почты и размещать на ресурсе стороннего сервиса, признал это грубым нарушением трудовых обязанностей и в иске отказал.

• Октябрьский районный суд Ростова-на-Дону вынес приговор ранее судимому жителю региона, который через специальный бот в Telegram за денежное вознаграждение искал и передавал третьим лицам сведения о гражданах, в том числе о военнослужащих.
• Назначен 1 год лишения свободы с отбыванием в исправительной колонии строгого режима и штраф ₽100 тыс. Приговор в законную силу не вступил. О деле сообщила пресс-служба УФСБ России по Ростовской области.

• За первые шесть месяцев 2026 года выявлено 504 нарушения, из них 490 по ст.13.11 КоАП РФ и 14 по ст.13.11.2 КоАП РФ, нарушений по ст.13.11.3 КоАП РФ (биометрия) не выявлено. По ст.13.11 КоАП РФ в 2023 году зафиксировано 430 нарушений, в 2024 году 618, в 2025 году 705.
• Проверки практически ушли из практики надзора. За полугодие проведена одна внеплановая проверка, тогда как в 2021 году было 595 плановых и 14 внеплановых. Основным форматом стали профилактические визиты, их проведено 728, по итогам выдано 89 предписаний.
• Утечек ПД за первое полугодие 2026 года РКН зафиксировал 12, тогда как за весь 2025 год 118, за 2024 год 100.

• Прибайкальский районный суд Республики Бурятия приговором от 08.09.2026 по делу № 1-81/2026 назначил старшему инспектору ГИБДД штраф ₽100 тыс. и запрет на два года занимать должности на госслужбе, связанные с доступом к охраняемой законом тайне, а телефон постановил конфисковать.
• По просьбе матери, искавшей владельца автомобиля по госномеру, инспектор вошла в ФИС ГИБДД-М под своей учетной записью и продиктовала ФИО и возраст собственника и допущенного к управлению водителя, а также номер телефона водителя. Доступ признан неправомерным, поскольку запрос не был связан со служебными обязанностями, а устная передача по телефону квалифицирована как незаконное предоставление компьютерной информации с ПД.
• Квалифицирующим признаком стало использование служебного положения, корыстная заинтересованность не вменялась, оснований признать деяние малозначительным суд не нашел. Исключение ст.272.1 УК РФ для обработки ПД исключительно для личных и семейных нужд в приговоре отдельно не разобрано, поэтому универсального вывода о его пределах сделать нельзя.
• Для сравнения, Хасавюртовский городской суд 06.03.2026 по делу № 1-72/2026 переквалифицировал продажу снимков паспортов со ст.272.1 на ст.137 УК РФ, поскольку документы клиенты добровольно передали для ксерокопирования, а Ломоносовский районный суд Архангельска 25.03.2026 по делу № 1-193/2026 вменил использование служебного положения продавцу-консультанту салона связи у дилера оператора.
• Для операторов ПД это повод проверять цели запросов к ИСПД, выявлять обращения без рабочей задачи и разбирать с работниками последствия передачи ПД по просьбам знакомых и родственников.

• Отвечая на вопрос на портале Онлайнинспекция.РФ, Роструд указал, что такие действия работодателя незаконны в рамках трудового законодательства, а за разъяснениями о нарушении законодательства о ПД рекомендовал обращаться в РКН.
• Заработная плата переводится в кредитную организацию, указанную в заявлении работника, который вправе ее заменить, письменно сообщив работодателю не позднее чем за 15 календарных дней до выплаты (ч.3 ст.136 ТК РФ).
• Работодатель не вправе сообщать ПД работника третьей стороне без его письменного согласия, кроме случаев угрозы жизни и здоровью работника и иных случаев, предусмотренных ТК РФ или федеральными законами, а также сообщать ПД в коммерческих целях без письменного согласия (ст.88 ТК РФ).

• Тагилстроевский районный суд Нижнего Тагила назначил бывшему инспектору ДПС штраф ₽1,1 млн за незаконную передачу ПД автовладельцев из базы ГИБДД и получение взятки.
• С января по апрель инспектор передал заказчику из Екатеринбурга фотографии более 40 карточек учета транспортных средств и другие ПД, получая ₽500 за карточку (всего ₽16 тыс.). Для доступа к базам он использовал учетные записи коллег, которые о его действиях не знали. Покупатель сведений ранее осужден Кировским районным судом Екатеринбурга.
• Суд вынес частное постановление в адрес начальника МУ МВД России "Нижнетагильское" в связи с нарушениями, которые привели к распространению ПД.
• Для операторов ПД это пример того, как работа под чужими учетными записями обходит контроль доступа. Персональные учетные записи без передачи паролей и журналирование запросов к ИСПД с разбором обращений без рабочей задачи закрывают именно этот риск.

• Некоторые крупные МФО, которые имеют статус микрофинансовой компании (МФК), собираются перенаправлять часть обратившихся к ним за онлайн-займами клиентов в «дочки» – микрокредитные компании (МКК). Еще один путь – менять статус с МФК на МКК, но у него есть ряд ограничений. Эти действия связаны с тем, что с 1 марта 2026 г. все МФК при выдаче онлайн-займов должны будут идентифицировать заемщиков по биометрии из Единой биометрической системы (ЕБС), а для МКК такая обязанность появится только с 1 марта 2027 г.
• В конце 2025 г. Банк России и Минцифры провели рабочую встречу с представителями МФО, где среди прочего обсуждались варианты популяризации использования биометрии и наполнения базы новыми данными, так как сейчас их количество мало, рассказал «Ведомостям» исполнительный директор Webbankir Денис Сидоров.
• Сейчас сервисами с использованием биометрии из ЕБС могут воспользоваться до 50 млн россиян, сказал «Ведомостям» представитель Минцифры. Он также подтвердил встречу министерства с ЦБ и МФО: она была плановой, на ней обсуждалась подготовка к реализации требований нового федерального закона. Представитель Минцифры заметил, что МФК демонстрируют высокую техническую готовность к внедрению идентификации клиентов по биометрии. При этом использование биометрии является добровольным, напомнил представитель министерства: возможность взять займ в МФО без нее сохраняется - сделать это можно, обратившись в офис организации.

• АБД (объединяет «Яндекс», VK, «Сбер», Газпромбанк, Т-Банк, Россельхозбанк, «Мегафон», «Ростелеком», Билайн, МТС и др.) 19 января направила министру цифрового развития Максуту Шадаеву письмо с предложениями по совершенствованию регулирования в сфере ИИ-технологий.
• Предложения АБД сделаны во исполнение поручения вице-премьера Дмитрий Григоренко, который попросил «заинтересованные организации» представить свои идеи по регулированию ИИ в Минцифры до 20 января 2025 года. Регулятор вместе с аналитическим центром при правительстве до конца февраля проанализирует их и до 13 марта представит в правительство.
• Среди эффектов, которых хочет добиться АБД - повышение доступности данных для обучения ИИ при соблюдении прав граждан на неприкосновенность частной жизни, ускорение внедрения технологий повышения конфиденциальности для обработки чувствительных данных, безопасное распределение данных между более широким кругом экономических агентов, увеличение объемов и разнообразия данных, доступных для обучения моделей ИИ, появление новых видов инновационных продуктов, услуг и сервисов на основе данных.
• В частности, нужно конкретизировать порядок отнесения информации к персональным данным и сведениям, составляющим защищаемые законом тайны (включая банковскую), в случае применения технологий повышения конфиденциальности. Также наборы данных необходимо ввести в гражданский оборот, полагают в АБД. «До сих пор не существует правовой режим для датасетов, нет ни их рыночного оборота, ни подходов к определению их стоимости как объекта имущественных прав, не реализован их потенциал в качестве ценного актива», - указывают в АБД. Для этого в Гражданский кодекс и стандарты бухучета нужно ввести нормы о включении датасетов в состав охраняемых результатов интеллектуальной деятельности, сформировать правовой режим их гражданского оборота и защиты прав их обладателей. Бизнесу это даст расширение имущественной базы, рост активов и капитала, государству - рост налоговых поступлений.
• Еще одно назревшее изменение, по мнению ассоциации, заключается в появлении модели взимания платы за доступ к госданным. Должен быть предусмотрен бесплатный доступ либо возмещение предельных затрат по обеспечению доступа к данным «для снижения издержек доступа к информации, содействия инновациям и максимизации общественного благосостояния». Именно такова мировая практика в том, что касается доступа к данным госсектора, констатируют в АБД. О том же свидетельствует доклад аналитического центра (АЦ) при правительстве «Доступ к данным госсектора: вопросы конкуренции».

• Топ-менеджеры банков, ответственные за информационную безопасность, могут быть уволены и лишены в течение 10 лет возможности занимать аналогичную позицию в другом банке в случае системных нарушений в защите клиентов от мошенников. Для топ-менеджеров некредитных финансовых организаций этот срок составит пять лет. Об этом сообщил заместитель председателя Банка России Герман Зубарев.
• «Если в течение года к банку неоднократно применялись меры за такие нарушения, профильный топ-менеджер должен будет покинуть свою должность и не сможет занять аналогичную позицию в другом банке в течение десяти лет. Топ-менеджер некредитной финансовой организации - в течение пяти лет», - сказал Зубарев.
• Замглавы регулятора пояснил, что Банк России прорабатывает квалификационные требования к топ-менеджерам финансовых организаций по информационной безопасности. Ко второму чтению готовится законопроект, который дополняет квалификационные требования еще одним критерием - нарушение требований по противодействию кибермошенничеству.

• Ограничения на распространение в СМИ информации о пострадавших детях с описанием деталей происшествия необходимо ввести в России. Исключением является информация от официальных органов, такое мнение высказала на пресс-конференции в ТАСС уполномоченный по правам ребенка в Санкт-Петербурге Анна Митянина.
• По словам детского омбудсмена, она обратилась в Законодательное собрание Петербурга для разработки инициатив по вопросам совершенствования законодательства в области информационной безопасности. «Наша задача не ограничить общество и людей в получении информации, не введение цензуры, как полагают отдельные представители СМИ, а защита детей от вбросов ложной информации, фейков и комментариев, которые распространяются недобросовестными людьми», - подчеркнула Митянина.

• В РФ могут законодательно закрепить правило сохранения решающей роли человека при применении искусственного интеллекта (ИИ) в общественно значимых сферах: в здравоохранении, судопроизводстве, образовании и общественной безопасности. Это следует из материалов правительства, в которых собраны предложения к законопроекту по регулированию искусственного интеллекта.
• Подготовленный с учетом пожеланий документ Минцифры должно направить на согласование в правительство к концу февраля, сообщил источник, близкий к нескольким профильным ведомствам.
• Отсутствие требования о решающей роли человека при использовании ИИ несет системные риски, считает член комитета Госдумы по информполитике, федеральный координатор партийного проекта «Цифровая Россия» Антон Немкин.

• Реестр банковских карт не будет содержать персональную информацию о владельцах платежных средств, заявила журналистам глава департамента национальной платежной системы Банка России Алла Бакина в кулуарах Уральского форума «Кибербезопасность в финансах».
• Ранее статс-секретарь - заместитель министра цифрового развития РФ Иван Лебедев сообщил, что Банк России в течение года подготовит единую базу с информацией о банковских картах, оформленных у каждого гражданина РФ. В пресс-службе ЦБ подтвердили проработку создания единого реестра банковских карт граждан для учета их общего количества в рамках проекта «Антифрод 2.0».

• Лидер ЛДПР Леонид Слуцкий предложил закрепить в российском законодательстве обязанность операторов персональных данных предоставлять пользователям возможность отзывать согласие на обработку данных в той же форме, в которой оно было получено. Соответствующее обращение в адрес глава Минцифры РФ Максута Шадаева.
• Слуцкий в тексте обращения отметил, что действующее законодательство РФ регулирует порядок получения согласия, но не обязывает операторов обеспечивать симметричную процедуру его отзыва, добавил он.
• «В результате для отзыва согласия, данного онлайн, гражданину часто требуется направлять официальное письмо в адрес организации, которое в большинстве случаев игнорируется. Это влечет дополнительные временные и материальные затраты и существенно затрудняет реализацию гражданином своих прав», - говорится в письме.

• «Ассоциация больших данных» (АБД), объединяющая «Сбер», «Яндекс», VK и других крупных игроков, предложила дать компаниям - участникам единой антифрод-системы доступ к отдельным категориям данных из баз МВД. Инициатива направлена главе IT-комитета Госдумы Сергею Боярскому.
• Речь идет о сведениях о подозреваемых и обвиняемых, в том числе по административным правонарушениям, о розыске, постановке на учет и дееспособности. Авторы письма указывают, что это «позволит кредитным и иным организациям выстраивать более комплексные антифрод-системы, учитывающие большее число параметров».
• «Предложение “Ассоциации больших данных” заслуживает всестороннего анализа и проработки с коллегами из компетентных органов», - заявил Боярский.
• Операторы связи поддерживают инициативу. В «МегаФоне» считают, что это позволит «лучше и иногда быстрее выявлять мошеннические схемы». Любой обмен данными, особенно теми, что позволяют верифицировать риски, так или иначе приносит пользу, отмечает руководитель дирекции по предотвращению кибермошенничества Альфа-банка Евгений Винокуров.

• Глава комитета Госдумы по развитию гражданского общества, вопросам общественных и религиозных объединений Яна Лантратова («Справедливая Россия») предложила создать единый сервис отзыва согласия на обработку персональных данных на портале «Госуслуги».
• Соответствующее обращение было направлено в адрес главы Минцифры России Максута Шадаева Парламентарий отметила, что действующее правовое регулирование не закрепляет унифицированный и гарантированный механизм отзыва согласия на обработку персональных данных. Как следствие, на практике формируются неоднородные процедуры, которые определяются исключительно внутренними правилами операторов персональных данных.
• В письме уточняется, что функционал подобного сервиса может предусматривать отображение перечня организаций, которым гражданин предоставлял согласие на обработку персональных данных, возможность дистанционного отзыва согласия посредством электронного интерфейса, автоматическое уведомление операторов о поступлении соответствующего отзыва, а также фиксацию сроков исполнения обязанностей по прекращению обработки данных.
• Кроме того, парламентарий предлагает законодательно закрепить право гражданина отзывать согласие любым удобным способом: через интернет, «Госуслуги», личный кабинет на сайте оператора, по электронной почте, через МФЦ или письменно.
• Лантратова также полагает целесообразным установить, что способ отзыва такого согласия не должен быть сложнее, чем способ получения согласия. Операторов также предлагается обязать принимать отзыв независимо от способа его направления, регистрировать обращения и уведомлять заявителя о результате.

• Глава Центробанка Эльвира Набиуллина призвала регуляторов решить проблему доступа и обмена данными для разработчиков в банковской отрасли. С таким предложением она выступила на пленарной сессии форума Data Fusion 8 апреля.
• Согласно проведенному ЦБ опросу, 2/3 опрошенных организаций считают, что без доступа к данным они не смогу применять решения, основанные на ИИ, рассказала Набиуллина. При этом, по ее словам, в финансовой сфере не у всех есть доступ к данным: есть группа лидеров, у которых много данных, а есть финансовые организации, у которых такого доступа нет.

• 15 апреля в Совете Федерации состоялся круглый стол на тему «Ответственность за воспрепятствование адвокатской деятельности. Защита прав адвоката в цифровой среде».
• Участники отметили, что несмотря на формальные гарантии, адвокаты сталкиваются с системными нарушениями, а цифровизация создает новые риски для адвокатской тайны.
• Александр Терновцов (Общественная палата РФ) предложил внести в Закон о персональных данных и Закон о бесплатной юридической помощи изменения, предусматривающие специальный облегченный режим обработки ПД для адвокатов, оказывающих БЮП, и освобождение их от обязанности направлять уведомления об обработке ПД в государственные органы.
• Елена Авакян (советник ФПА РФ – руководитель цифровой трансформации адвокатуры) обозначила одну из ключевых проблем: доступ к цифровым доказательствам и реестрам. В отличие от прокурора, адвокат не имеет доступа к реестрам - на адвокатские запросы приходят отказы, а если адвокат находит информацию иным способом, его обвиняют в незаконном получении ПД. Для решения проблемы необходимы изменения в Закон о персональных данных и Закон об адвокатуре.

• В ходе внеплановой проверки на Вологодской станции скорой медицинской помощи им. Н.Л. Турупанова выявлены многочисленные нарушения информационной безопасности. Информация направлена в контрольно-надзорные органы.
• Ведомственная проверка установила, что главврач передавал данные пациентов, поступивших по скорой помощи, третьим лицам.
• Главврач уволен. Случай показателен в контексте управления инсайдерскими рисками в здравоохранении и контроля доступа сотрудников медицинских учреждений к ПД пациентов.

• В Единой биометрической системе (ЕБС) более 100 млн образцов лица и голоса россиян; ~40 млн записей - это записи голоса. Пользователями ЕБС являются 69 млн граждан: 6 млн с подтвержденной биометрией при личном визите, 24 млн - стандартное подтверждение, 7 млн сдали данные в дистанционном формате.
• Количество транзакций с применением биометрии превысило 32 млрд. Из них 320 млн - биоэквайринг (платеж «улыбкой»), 17 млн - проезд в метро, 13 млн - заключение договоров связи с иностранцами и второй фактор идентификации на «Госуслугах» и в банках.
• Минцифры планирует:

1. 1Нарастить масштабы использования биометрических данных и расширить каналы сбора (в т.ч. дистанционная сдача биометрии через специальные приложения).
2. 2Расширить сценарии обязательной биометрической идентификации: иностранные граждане при заключении договоров связи; маркетплейсы (антифрод-поправки); МФО с 1 марта 2026 г.; микрокредитные компании - через год.

• Пилотный проект реализует Группа «Аэрофлот» в аэропортах Шереметьево и Пулково на рейсах Москва - Санкт-Петербург - Москва. Идентификация пассажиров будет проходить с помощью Единой биометрической системы (ЕБС) и ЕСИА.
• Технология предусматривает автоматическое сканирование лица через турникеты с биометрическим оборудованием, что ускорит регистрацию, предполётный досмотр и посадку на рейс.
• Сдать биометрические данные можно будет непосредственно в аэропорту Шереметьево - процедура займёт не более 10 минут.
• Эксперимент реализует проект постановления Минцифры, опубликованный 04.01.2026 (см. раздел 5).

• Банк России скорректировал требования к микрофинансовым компаниям (МФК), которые с 1 марта были обязаны обслуживать клиентов при выдаче онлайн-займов с использованием биометрии. Регулятор не будет наказывать компании за нарушение этой нормы до 1 января 2027 года.
• Благодаря поблажке по итогам года рынок сможет показать рост выдач на 10–15%, тогда как ранее не исключалось их снижение.

• По данным РКН, по состоянию на 21.05.2026 ведомство привлекло к административной ответственности 85 операторов связи за непредоставление сведений об IP-адресах абонентов. Всего в марте 2026 года уведомления о необходимости передавать такие данные получили 1 359 операторов.
• Обязанность вытекает из ст.64 ФЗ «О связи» (содействие ОРД, противодействие угрозам устойчивости Рунета). Официальная цель - противодействие компьютерным атакам, локализация спама, безопасность российского сегмента сети.
• Эксперты (по материалам «Известий») отмечают: накопленная база IP-сопоставлений позволяет в режиме, близком к реальному времени, выявлять активные VPN-сессии и блокировать их через ТСПУ. Параллельно с 01.01.2026 действуют новые составы КоАП за ошибки в отчётности перед РКН (ст.19.7.10 - до ₽500 тыс./1 млн) и за нарушения при подтверждении данных абонентов (ст.13.29).
• Privacy-matters: режим сбора IP-привязок формально не относится к ПД в чистом виде, но в связке с абонентскими сведениями (ст.53 ФЗ «О связи») фактически расширяет периметр доступной регулятору информации о пользователе.

• До 2027 года в России внедрят систему верификации пользователей каршеринга для установления личности и проверки водительских прав с помощью биометрии. Ответственными назначены Минцифры, Минпромторг, Минэкономразвития, Минтранс и МВД.
• До 2027 года также планируется внедрить в сервисы проката средств индивидуальной мобильности (СИМ) систему верификации возраста по биометрии и паспорту.

• Глава Минцифры Максут Шадаев на ПМЭФ-2026 заявил, что встраивание механизмов возрастной идентификации в платформы - вопрос «ближайшей повестки».
• По его словам, Европа и многие развитые страны уже идут «по пути жёстких ограничений»; Минцифры, в частности, изучает опыт игровой платформы Roblox по введению возрастной идентификации.

• Т-Банк планирует запустить первые в России сквозные рекламные кампании на банковских данных. Для таргетинга во внешнем инвентаре (игры, мобильные приложения, медиа) предполагается использовать информацию о среднем чеке, уровне дохода, отношении к скидкам, категориях и местах покупок, предпочтениях в брендах и событиях в жизни покупателя (переезд, смена работы).
• Собеседник «Ъ» в рекламном агентстве отмечает, что перечень данных выглядит избыточным для обезличенного сбора и полезен лишь при настройке рекламы на конкретного пользователя.
• В Т-Банке заверяют, что не передают данные клиентов во внешние платформы и третьим лицам: «банковская тайна и персональные данные клиентов остаются в контуре банка».

• Ведение ЕГРН и обработка содержащейся в нём информации, включая ПД, - прямая законодательная обязанность Росреестра. Запреты субъекта ПД на обработку и требование об уничтожении не распространяются на случаи обработки в государственных и публичных интересах.
• Закон о госрегистрации недвижимости не предусматривает удаление ПД из ЕГРН по желанию гражданина: сведения подлежат постоянному хранению, их уничтожение и изъятие не допускаются. При изменении сведений ранее внесённые данные сохраняются.
• Таким образом, отсутствие согласия правообладателя или требование об удалении ПД не являются основанием для их уничтожения в федеральных государственных информационных ресурсах.

• Госкомпания «Автодор» разрабатывает основанную на ИИ систему автоматического выявления уставших водителей (по материалам ПМЭФ-2026). Система будет «видеть» машины, которые виляют на дорогах или долго едут без остановки.
• «Мы же всех видим - по номеру есть информация», - пояснил глава госкомпании Вячеслав Петушенко. Информировать водителей планируется через SMS, звонок или дорожное табло. Сроки запуска не определены.
• В контексте инфоприватности: связка распознавания номеров с контактными данными владельца и автоматизированным обзвоном поднимает вопросы правовых оснований обработки ПД и профилирования.

• Директор департамента развития массовых коммуникаций сообщила, что деанонимизация в интернете является вопросом информационной безопасности государства и что работа по ней ведется последовательно, поскольку вопросы безопасности должны решаться в онлайне так же, как и в офлайне.
• Отдельно отмечено, что традиционные СМИ дорожат репутацией и понимают ответственность за публикуемые сведения, в отличие от новых медиаподобных субъектов, которые остаются анонимными и не учитывают интересы общества.

• Для борьбы с мошенничеством и спамом обсуждается ужесточение оборота M2M-сим-карт (передача данных между устройствами) и eSIM: выделение их в отдельную категорию, дополнительная идентификация пользователей, исключение передачи голосовой информации и смс, запрет регистрации eSIM из-за границы.
• На рынке насчитывается около 60 млн M2M-сим-карт, оформляются они чаще всего на юридических лиц.

• Выступая на Петербургском международном юридическом форуме, Валерий Зорькин отметил, что цифровая революция повысила результативность труда, но одновременно несет риски тотального контроля, мало совместимого с понятием человеческого достоинства, полной утраты приватности и неразрешимых на сегодня проблем кибербезопасности.
• Отдельно указано на риск быстрой утраты человеком контроля за тем, чтобы действия универсальных моделей ИИ соответствовали человеческим целям, ценностям и правовым нормам.

• Президент InfoWatch указала на дороговизну массовой биометрической идентификации, включая стоимость хранилищ, на технические сложности получения качественного слепка и на развитие дипфейков, при котором глаз уже не различает искусственные и настоящие изображения.

• Оператор визовых центров предупредил, что регистрация и аутентификация с использованием иностранных сервисов (включая Apple ID и Gmail) подтверждаться не будет, а ранее созданные учетные записи могут быть удалены в одностороннем порядке. Пользователям предложено создать учетную запись с логином и паролем на российском почтовом сервисе.
• Это не инициатива самого визового центра, а следствие требований к способам авторизации на российских информационных ресурсах, то есть один из первых заметных практических эффектов этих правил для сервисов, работающих на российскую аудиторию.

• Ассоциация больших данных обратилась 03.08.2026 в Минцифры с просьбой разрешить обрабатывать данные с использованием технологий повышения приватности (PETs) без согласия граждан для разработки, обучения и применения ИИ.
• По мнению ассоциации, действующая нормативная база не выделяет PETs в отдельную категорию, и любое математическое или алгоритмическое преобразование ПД одинаково относится к методам обезличивания, из-за чего зрелые решения юридически не отличаются от промежуточных.
• Условиями применения PETs предлагается считать нулевой или не превышающий малых долей процента риск раскрытия личности, использование данных только для ИИ, обработку на территории РФ и российскими компаниями. Также предлагается ввести понятие доверенного посредника, аккредитованного госорганами и эксплуатирующего информационную систему для хранения обезличенных ПД, и разделить данные на платные и бесплатные.

• Председатель комитета Госдумы по информационной политике заявил, что сервисы бронирования билетов не должны хранить ПД пассажиров после их передачи в профильные государственные системы, а сроки хранения и правила обработки таких сведений следует закрепить законодательно.
• Отмечено, что в массив могут входить не только маршруты и билеты, но и телефоны, адреса электронной почты и платежная информация, поэтому при покупке билета пассажиру необходимо в понятной форме сообщать, какие сведения передаются, кому и для каких целей, а собираться должны только действительно необходимые данные.

• В рабочих группах по ИИ в начале августа обсуждалось предложение бизнеса к Минэкономразвития и Минцифры создать в рамках ЭПР закрытую платформу с доступом к государственным и квазигосударственным данным, включая отраслевые ГИС, реестры и ведомственные системы, без извлечения и копирования данных за ее пределы. Детали проекта необходимо представить регуляторам к октябрю 2026 года.
• Доступ предполагается дать только компаниям со статусом разработчика национальной или суверенной модели (см. 243-ФЗ в разделе 1) с возможным расширением на отраслевых прикладных разработчиков. По словам участников обсуждения, ЭПР позволит точечно обойти барьеры 152-ФЗ, врачебной тайны и отраслевых регламентов и снять персональную ответственность с держателя данных.
• Минэкономразвития и Минцифры сообщили, что конкретных предложений пока не поступало. Эксперты указывают, что ЭПР может работать лишь в пределах исключений, уже предусмотренных федеральными законами, а без обязанности держателей передавать данные эксперимент рискует остаться добровольным.

• По итогам наблюдения за выборами в Казахстане глава ЦИК РФ Элла Памфилова заявила, что в России могут применить трафареты, которые закрывают в списках избирателей чужие сведения. Расписываясь в списке и получая бюллетень, избиратель видит только свои данные.

• Инициатива содержится в проекте дорожной карты развития рынка ЦОД и касается коммерческих дата-центров, которые лишь размещают оборудование клиентов и оказывают инфраструктурные услуги (электроснабжение, охлаждение серверов, физическая безопасность), не имея доступа к данным и не обрабатывая их. По мнению авторов, правоприменительная практика сейчас допускает привлечение таких ЦОД к ответственности за утечки, вплоть до оборотных штрафов за повторную утечку.
• Документ планируется направить на межведомственное согласование, а предложения внести поправками в 152-ФЗ, возможно в течение следующего года.
• В Минцифры таких предложений от рынка не получали, но согласны, что ЦОД, который только предоставляет инфраструктуру, не определяет цели и способы обработки ПД и не имеет к ним доступа, оператором ПД не является. По существу речь идет о квалификации роли участника, а не о льготе, поскольку ответственность по ст.13.11 КоАП РФ привязана к обработке ПД.

• В Минцифры обсуждают доработку правил предустановки отечественных приложений на ввозимые устройства, включая предустановку системного помощника ИИ на базе суверенных или национальных фундаментальных моделей (см. 243-ФЗ в разделе 1). Проект постановления, вводящий выбор системного помощника при первом включении устройства, в начале августа размещался для обсуждения, затем был удален с портала и дорабатывается.
• По данным источников, "Алиса AI" может получить доступ к другим приложениям пользователя, включая банковские и иные приложения с чувствительными данными, с хранением этих данных на мощностях разработчика. Изменения затрагивают не только смартфоны и планшеты, но и умные колонки.
• В Минцифры заявили, что речь не идет о преимуществах для конкретного сервиса, а нормы должны обеспечить равные условия интеграции отечественных ИИ-технологий. Эксперты видят риск монополизации рынка.
• В контексте инфоприватности: системный помощник с доступом к уведомлениям, приложениям и авторизации становится точкой концентрации ПД пользователя, и вопрос о правовых основаниях такой обработки остается открытым.

• Борис Чернышов (ЛДПР) направил главе Роспотребнадзора обращение с предложением ввести для интернет-магазинов, маркетплейсов и сервисов доставки продуктов функцию добровольного отключения персонализированных рекламно-рекомендательных предложений сладостей, кондитерских изделий, сладких напитков, чипсов и снеков, которые формируются на основе истории покупок, поисковых запросов и других данных.
• Настройку предлагается распространить на рекомендательные блоки, предложения дополнительных товаров при формировании корзины, персональные подборки и push-уведомления, при этом пользователь сохранит возможность самостоятельно найти и купить любой товар.
• Действующее регулирование рекомендательных технологий (ст.10.2-2 149-ФЗ) права пользователя отключать рекомендации по категориям товаров не предусматривает.

• По данным источников, близких к администрации Президента РФ, новый комитет будет отвечать за маркетплейсы, ИИ, беспилотники и креативные индустрии. Сейчас ИИ в основном курирует комитет по информационной политике, маркетплейсы и креативную экономику комитет по экономической политике, беспилотники комитет по промышленности.
• Возглавить комитет должен руководитель центрального исполкома "Единой России" Александр Сидякин. Для регулирования ИИ это означает смену профильного комитета, через который будут проходить законопроекты в этой сфере.

• По данным опроса "Альфастрахования" среди 2,5 тыс. экономически активных россиян, согласие на обработку ПД или политику конфиденциальности внимательно читают 2% опрошенных, еще 13% просматривают отдельные положения, чаще всего о передаче сведений третьим лицам. Остальные принимают условия не читая, 56% ссылаются на слишком большой объем документов, 48% на то, что без согласия сервисом все равно не воспользоваться.
• Только 4% хотя бы раз отзывали согласие и 7% обращались с просьбой удалить ПД. При отказе от сервиса 71% просто удаляют приложение, а каждый четвертый ошибочно считает, что вместе с приложением удаляются аккаунт и связанные с ним данные. У 64% есть аккаунты, которыми они не пользовались больше года.
• Больше всего опрошенных беспокоит утечка паспортных (76%) и банковских (73%) данных.
• Результаты подкрепляют тезис о ритуальном характере согласия, на который опираются инициативы о платформе согласий и деприоритезации согласия как основания обработки ПД.

• Начальник пресс-службы ГУ МВД России по Москве в интервью ТАСС заявил, что копирование паспорта при отсутствии правовых оснований неправомерно, поскольку это оборот ПД, который должен иметь конкретную цель, и при заселении стоит уточнять, зачем снимается копия.
• Как правило, гостиница устанавливает личность просмотром документа и фиксацией данных во внутренних документах, а копия возможна с согласия гостя, после чего ее уничтожают или хранят. Представитель МВД рекомендовал не давать согласие на копирование и просить внести сведения в базу и вернуть паспорт.

• По сообщению компании, хакеры могли получить доступ к ПД части клиентов, в том числе к именам, адресам, адресам электронной почты, телефонам, датам рождения и составам заказов. Платежные данные компания не хранит.
• Компания уведомила РКН об инциденте, доступ злоумышленников заблокирован, внутренняя проверка продолжается.

Обновление 14.10.2026 Тверской районный суд Москвы отправил под домашний арест обвиняемого по делу о кибератаке. Ему вменяются незаконные использование, передача, сбор и хранение компьютерной информации, содержащей ПД, из корыстной заинтересованности группой лиц (пп."а", "в" ч.3 ст.272.1 УК РФ). Следствие продолжает устанавливать причастных.

• BI.ZONE Threat Intelligence зафиксировала в сентябре на теневых площадках два предложения стилеров со встроенным ИИ-профилированием жертв. Помимо паролей, cookie-файлов сессий, данных банковских карт и криптокошельков новое поколение стилеров извлекает из ИИ-ассистентов историю чатов и аутентификационные данные, включая токены.
• Языковая модель анализирует украденный лог и составляет профиль владельца с предполагаемой профессией, интересами и посещаемыми ресурсами, что помогает быстро находить ценных жертв, например разработчиков с доступом к корпоративным системам.
• В контексте инфоприватности история переписки с ИИ-ассистентами превращается в самостоятельный объект кражи, поэтому загрузка в такие сервисы служебных документов и ПД повышает последствия компрометации рабочего устройства.

• Рабочая группа правительственной подкомиссии по развитию ИИ подготовила поправки к законопроекту об облачных услугах и ИТ-аутсорсинге для финансовых организаций, инициативу поддерживает Минцифры. Размещать, хранить и обрабатывать банковскую тайну и другие сведения ограниченного доступа предлагается разрешить аккредитованным ИТ-компаниям на принадлежащих им серверах.
• Подрядчиков предлагают обязать сообщать финансовым организациям об инцидентах, связанных с нарушением требований к защите информации, в течение двух часов после обнаружения.
• Эксперты указывают на неопределенность требования о принадлежности серверов, при котором провайдеры с арендованным или лизинговым оборудованием могут остаться без допуска, а дополнительные требования Банка России могут сделать такой аутсорсинг доступным только крупнейшим игрокам. Законопроект принят в первом чтении в 2023 году, второе чтение ожидается в этом году.

Обновление 14.10.2026 законопроект об информационном аутсорсинге принят Госдумой во втором и третьем чтениях (см. раздел 4).

• Ассоциация компаний интернет-торговли в письме Председателю Правительства РФ от 15.10.2026 предложила ввести специальный правовой режим для компаний, пострадавших от масштабных аварий и повреждений цифровой инфраструктуры. Он позволит временно размещать критически важные системы в резервных ЦОДах дружественных стран, если обеспечить их работу на российских площадках невозможно.
• Для этого предлагается временное исключение из требования о локализации при сборе ПД на период восстановления инфраструктуры, но не позднее 01.03.2028, при официальном подтверждении инцидента и соблюдении требований ИБ. Перечень стран предлагается определять уполномоченному органу, а порядок выдачи временных разрешений разработать вместе с Минцифры и РКН.
• По оценке Алексея Мунтяна в комментарии Forbes, режим будет включаться только после подтвержденного инцидента и фактически закрепит, что заранее держать резерв за рубежом нельзя. При этом требование о локализации касается только сбора ПД (ч.5 ст.18 152-ФЗ), поэтому добросовестный бизнес может позаботиться о резервировании уже сейчас, а копии за рубежом стоит хранить зашифрованными с ключами в России, сохраняя полную ответственность перед покупателями.
• 20.10.2026 Ассоциация больших данных заявила о готовности в экстренном порядке разработать правила безопасного хранения ПД россиян в ЦОДах дружественных стран, причем не только после атак, но и для заранее подготовленного резервного хранения. По позиции АБД, размещение за рубежом не должно снижать уровень защиты, а ответственность за безопасность ПД остается на российской компании.

• Во всех офисах МФЦ Московской области сотрудники используют встроенный в рабочую программу ИИ-сервис, который распознает данные из паспортов и свидетельств о рождении и заполняет заявления при оформлении внутренних и пятилетних заграничных паспортов, получении СНИЛС и подтверждении гражданства детей до 14 лет.
• Оператор сканирует документ, нейросеть определяет его тип и вносит в поля заявления фамилию, имя, серию, номер и другие сведения, а специалист МФЦ проверяет заполнение и отправляет документ в ведомство. Цель состоит в снижении числа опечаток при ручном вводе.
• В контексте инфоприватности: распознавание паспортных данных моделью ИИ остается обработкой ПД в целях оказания госуслуги, поэтому важны место обработки, отсутствие передачи сканов во внешние сервисы и сохранение итоговой проверки человеком.

• Материал содержит схему фильтрации обработок ПД на применимость п.7 ч.1 ст.6 152-ФЗ, а также пример такой фильтрации в отношении следующих сценариев:
• организация пропускного режима на территорию, где располагается оператор;
• рассмотрение вопроса о трудоустройстве соискателя и сопутствующая обработка данных его родственников;
• проведение внутренних и внешних аудитов оператора;
• проведение расследований инцидентов, связанных с безопасностью ПД, в отношении субъектов оператора.
• Cелекция не заменяет/подменяет полноценную оценку применимости ЗИ, а служит задаче исключения ложных представлений о возможности легализации некоторых обработок ПД посредством опоры на ЗИ – без проведения полноценной и углубленной оценки применимости ЗИ, посильной для крупных операторов, но недоступной для МСП.

• Мировой опыт: ранжирование типов локализации по степени ограничения свободы оборота данных
• Локализация данных в РФ
• Эволюция требования о локализации баз с данными граждан РФ
• Комментарии к изменениям в требованиях о локализации
• Интерпретация Роскомнадзором уточненных требований о локализации
• Варианты интерпретации уточненных требований о локализации
• Компромиссная интерпретация уточненных требований о локализации
• Общие выводы по уточненным требованиям о локализации
• Ретроспектива правоприменительной практики 2016-2025гг.
• Определение БД с ПД
• Сбор ПД не как действие, а как единый процесс
• Сбор и иные способы получения ПД
• Декомпозиция источников ПД – на примере online-обучения
• Экспресс-схема определения подлежащих локализации БД
• Стратегии реагирования на требование локализации
• Сложности выбора стратегии локализации
• Походы к оценке стоимости стратегий локализации
• Оценка расходов на реализацию стратегий локализации
• Риски и последствия несоблюдения требований о локализации
• Оценка рисков при реализации стратегий локализации
• Формула оценки привлекательности стратегий
• Калькулятор оценки стратегий локализации
• Пример ранжирования стратегий локализации

🔥Пример калькулятора расчета привлекательности стратегий локализации

Феномен «инфляционного сторителлинга» описывает критическое перенасыщение цифровой среды контентом низкой смысловой плотности («медиазаполнителями»). Для инфоприватности это явление имеет прямые и тревожные последствия, выходящие за рамки медиа-теории. В условиях перенасыщения способность пользователя давать полноценное согласие де-факто аннигилируется. Субъект ПД, находящийся в состоянии когнитивного истощения, воспринимает запросы на дачу согласия для обработки данных как еще один вид информационного шума. Нажатие кнопки «Согласен» становится механическим ритуалом избавления от помехи, а не осознанным юридическим действием.

• Основные регуляторные новеллы 2025 года и прогноз трендов на 2026: деприоритизация согласий и отраслевые стандарты обработки данных.
• Изменения правил контрольно-надзорных мероприятий Роскомнадзора и практика мониторинга прав субъектов персональных данных в Интернете.
• Итоги судебной практики 2025 года по утечкам данных и перспективы 2026 года с учетом возвращения некоторых категорий дел в суды общей юрисдикции.

Исследование посвящено методам обезличивания данных и их практическому применению в аналитике, обучении ИИ-моделей и межкорпоративных сценариях работы с информацией. Аналитический доклад рассматривает основные подходы к обезличиванию данных, примеры их применения в реальных бизнес-сценариях, а также риски повторной идентификации и правовые аспекты использования обезличенных данных. В документе также представлены рекомендации для компаний, которые выстраивают или пересматривают процессы обезличивания. Отдельный раздел доклада посвящен правовым аспектам обезличивания персональных данных. Эксперты отмечают, что регуляторные требования в этой области продолжают развиваться, а их практическое применение требует учета как рекомендаций регулятора, так и внутренних процессов организаций.

🪪Представьте, что законы о персональных данных (все эти галочки «Я согласен») написаны для мира, где информация - это физический предмет, как кирпич или письмо в конверте. Если затереть на конверте имя (анонимизировать), то никто не узнает, чье оно. Это «ньютоновская механика» - старый, понятный мир.

✨Но мы живем в цифровом мире. Здесь данные ведут себя не как кирпичи, а как свет или волна в квантовой физике. Они могут быть в двух местах одновременно, менять свои свойства в зависимости от того, кто на них смотрит, и мгновенно связываться друг с другом.

💡Автор статьи попытался собрать разрозненные мысли научного сообщества в единую Тензорную теорию регулирования обработки персональных данных, которая предлагает перестать безуспешно обновлять аналоговые законы и мучить людей бесконечной дачей согласий на обработку их данных. Вместо этого может применяться цифровая автоматика регулирования оборота данных, работающая по законам физики и математики:

1. 1Она взвешивает данные по «массе» (уникальность и чувствительность.
2. 2Смотрит на «скорость» их циркуляции и использования.
3. 3Сверяет различные «направления» (цели и контекст) использования данных.

⚖️Если риск (импульс) использования данных слишком велик или направление не совпадает - система просто не даст обработать данные. Это превращает защиту приватности из бюрократии в точную науку.

Это инструмент, который оценивает вероятность того, что конкретный набор данных позволит нам узнать (определить) конкретного человека.

🧮Формула расчета Индекса:

Индекс = Свойства данных х Контекст

• Свойства («масса») данных: насколько данные уникальны и неизменны.
• Контекст (мультипликатор): есть ли у нас техническая возможность и юридическая цель связать эти данные с человеком.

🚦Три зоны риска обработки данных:

🟢Зеленая зона (низкий индекс): мы обрабатываем данные, но не знаем людей. Требования 152-ФЗ нас почти не касаются.

🟡Желтая зона (средний индекс): имен нет, но мы можем «вычислить» человека или его устройство. Закон начинает действовать.

🔴Красная зона (высокий индекс): мы точно знаем, чьи данные обрабатываем. Включается полный спектр требований регулятора.

⭐Зачем использовать этот индекс?

1. 1«Счетчик калорий» для данных (Data Minimization). Индекс работает как диета для баз данных. Каждое лишнее поле (даже «безобидное») повышает балл риска. Это наглядно объясняет маркетингу и HR: сбор данных «на всякий пожарный» - это не бесплатно, а юридически дорого. Решение: удалять лишнее или снижать точность (например, диапазон возраста вместо даты рождения), чтобы вернуться в «зеленую зону».
2. 2Справедливость и экономия (Privacy by Design). Индекс математически доказывает: уникальность данных ≠ персональные данные. Если мы храним сложные хеши или GUID сессий, но используем их только для техподдержки (контекст!), а не для поиска человека, риск остается низким. Это позволяет не тратить бюджет на защиту технических логов так же строго, как на защиту кадровой базы.

🤝Индекс атрибутивности помогает провести четкую черту в спорных ситуациях и подходить к работе с данными осознанно, фокусируя защиту там, где это действительно необходимо для приватности людей.

• Дело РЖД формально не создает прецедента, а спор рассматривался в арбитражном суде, тогда как с 1 января 2026 года дела по утечкам и другим нарушениям в области персональных данных возвращаются в ведение судов общей юрисдикции, но для бизнеса это дело еще раз показывает актуальность того, что утечка - это не «если», а «когда». Также можно сформулировать ряд практических выводов для бизнеса:

1. 1Документирование превентивных мер. Компаниям необходимо иметь четкую, актуальную и документально подтвержденную историю выполнения мероприятий и внедрения мер защиты персональных данных. В случае инцидента именно эти документы станут главным аргументом, подтверждающим, что бизнес принял все зависящие от него меры для недопущения утечки.
2. 2Проактивная позиция при инцидентах. Замалчивание утечки - худшая стратегия. Подача заявления в правоохранительные органы, информирование уполномоченных органов (Роскомнадзор, Национальный координационный центр по компьютерным инцидентам) и активное содействие расследованию инцидента становятся необходимыми элементами юридической защиты компании и ее партнеров.
3. 3Обоснование мастерства кибератаки. В суде потребуется доказывать не просто факт взлома систем компании, а уровень его сложности и профессионализма: использование злоумышленниками специфического ПО, обход существующих (и работающих) контуров безопасности, изощренность техник кибератаки.

В презентации кратко освещено следующее:

• Масштаб угрозы и эволюция мошенничества
• Анатомия синтетических личностей
• Риски тотальной криминализации дипфейков
• Переход к прозрачности: маркировка дипфейков
• Административная ответственность и терминология
• Глобальный ландшафт регулирования
• Саморегулирование платформ и медиаиндустрии
• Баланс интересов

Чек-лист состоит из 15 основных и дополнительных контролей соблюдения третьими лицами требований к обработке и защите ПД, объединённых в три раздела:

1. 1Базовые требования (при любой передаче ПД)
2. 2Дополнительные требования при поручении обработки ПД
3. 3Дополнительные требования при трансграничной передаче ПД

Схема, описывающая регуляторные требования к обезличиванию ПД и методы обезличивания ПД в РФ.

• Мир цифровых данных изменился, и старые подходы к защите (как сортировка песчинок) больше не работают. 👁 Алексей Мунтян, управляющий Privacy Advocates, предлагает взглянуть на приватность через призму физики цифрового потока - в продолжение статьи о Корпускулярно-волновом дуализме персональных данных и тензорной теории регулирования.

🔹Данные имеют агрегатные состояния:

🧊Твёрдое (архивы): минимальная кинетическая энергия, но огромный потенциал риска.

💧Жидкое (активные БД): текут, но сдерживаются «вязкостью» регуляций.

☁️Газообразное (API): стремятся заполнить весь доступный объём.

🔥Плазма (ИИ): данные необратимо отрываются от контекста, как электроны от атома.

🔹Опасные переходы:

Утечка архива - это сублимация (мгновенный переход из льда в газ). А обучение ИИ - это ионизация, после которой данные начинают жить своей жизнью.

🔹Эффект стазиса:

Когда скорость потока данных запредельна, система защиты может «замереть» - она фиксирует атаку, но не успевает на неё среагировать.

🎯Что делать? Переходить к тензорному регулированию. Вместо статичных бумажек - математическая оценка рисков через вектор целей, массу и скорость данных.

💫Приватность будущего - это не запреты, а «умные контейнеры» и цифровые силовые поля.

🔍Разобрали четыре ключевых вопроса, которые возникают у операторов ПД при работе с коммуникационными сервисами:

Можно ли вообще передавать ПД через почту, мессенджеры и ВКС - и что не так с личными аккаунтами сотрудников?

Распространяются ли требования о локализации и трансграничной передаче на переписку в иностранных сервисах?

Когда мессенджер или почтовый сервис становится ИСПД - а когда нет?

Запрет на использование иностранных мессенджеров для информирования граждан и особенности статуса национального мессенджера (MAX)

🏛️В материале - актуальные позиции Роскомнадзора и Минцифры 2025–2026 гг., анализ рисков и конкретные рекомендации.

🧩Что внутри документа?

• Информационная брошюра, созданная для того, чтобы персоналу было легче познакомиться с Положением и сфокусироваться на наиболее важных аспектах работы с ПД.
• Детальный текст проекта Положения, включающий 12 разделов.

🚀Главные фишки Положения:

• В Положении применяется эффективный механизм распределения ролей при работе с ПД - модель RACI (Исполнитель, Ответственный, Консультирующий, Уведомляемый).
• Каждый тематический раздел (со 2 по 11) обязательно включает: применяемые правила с нормативными ссылками, распределение ролей, перечень документированной информации (артефакты) и связанные документы.
• Документ может использоваться и модифицироваться любыми заинтересованными лицами без ограничений, при условии добросовестного использования.

📅С 01.12.2023 вступили в силу требования к способам входа на российские информационные ресурсы.

✅Что разрешено:

• Номер мобильного телефона
• ЕСИА (портал Госуслуг)
• ЕБС (биометрические данные)
• Собственные системы авторизации (VK ID, Яндекс ID и др.)
• Email на российском домене (законопроект)

❌Что запрещено: Apple ID, Google Sign-In и прочие иностранные сервисы авторизации на российских ресурсах

👤Кого касается: Российские компании и ИП – владельцы сайтов, приложений, информационных систем и ПО

🔍Рекомендательные технологии (РТ) – комплекс алгоритмов, которые анализируют ваши предпочтения и предсказывают, что вас заинтересует. Это социальные сети, видеохостинги, маркетплейсы, стриминговые платформы, поисковые системы.

❌Что запрещено:

• Применять алгоритмы, нарушающие права граждан
• Использовать РТ для распространения фейков и контента, нарушающего законодательство РФ
• Искусственно создавать «информационные пузыри», ограничивающие взгляды пользователя

✅Что обязательно:

1. 1Опубликовать правила применения РТ (на русском, доступно, без скрытия)

• описание процессов сбора данных о предпочтениях
• методы обработки информации
• виды и источники данных

1. 2Разместить уведомление на всех страницах

• текст: «На информационном ресурсе применяются рекомендательные технологии»
• ссылка на подробное описание

⚖️Ответственность: Роскомнадзор направляет требования об устранении нарушений. При неисполнении – блокировка ресурса.

👤Кого касается: российские компании и ИП – владельцы любых интернет-ресурсов, использующих РТ для пользователей в РФ.

📌Три кита дата-прагматизма:

• Классический privacy-комплаенс
• Бережливая обработка данных
• Технологии защищённой обработки данных (ТЗОД)

⚡Ключевой алгоритм включает три этапа:

1. 1анализ контекста и интенсивности обработки
2. 2выявление отклонений
3. 3управление рисками

📊Оценка риска строится на двух параметрах:

• виктимность обработки = насколько «привлекательна» ваша обработка для злоумышленников и регулятора
• критичность отклонений = насколько существенны нарушения требований

🧮Excel-калькулятор рисков обработки ПД - готовый инструмент для самостоятельной оценки любого процесса обработки персональных данных в вашей организации. Три листа: анализ обработки → выявление отклонений → управление рисками. Баллы и уровень риска считаются автоматически.

📖Обучающий материал к калькулятору - пошаговые инструкции на живом кейсе: совместная маркетинговая кампания через платформу Marketo с участием двух компаний. Разбираем все 10 параметров анализа и 10 групп контролей с подсказками и примерами.

🧭Схема алгоритма риск-менеджмента обработки ПД - наглядная карта трёх этапов с полным перечнем параметров, баллами и инсайтами. Удобна как памятка при проведении оценки и как материал для обучения команды.

🫆Понятие и виды биометрии - статические (отпечатки пальцев, радужка, геном, фото) и динамические (голос, подпись, поведенческие паттерны) характеристики в контексте ч. 1 ст. 11 152-ФЗ.

🏛️Позиции ведомств - сравнительная таблица писем Минцифры и Роскомнадзора по вопросу: является ли фотография биометрическими персональными данными? Спойлер: единого ответа до сих пор нет.

⚖️Судебная практика - два массива дел: когда суды признавали сведения биометрией (фото на пропусках, рисунок вен, видеозаписи с камер в общей собственности) и когда - нет (городские камеры МВД, видео с мобильного телефона, запись спящего сотрудника).

🚨Прецедент с ФСБ и Росгвардией - разбор реального дела 2022 г.: бизнес-центр «Зеленоград», 170 фотографий детей без согласия родителей, штраф по ч. 2 ст. 13.11 КоАП РФ.

🏗️ЕБС и 572-ФЗ - типы биометрии (упрощённая, стандартная, подтверждённая), транзакционная и векторная модели взаимодействия, требования по аккредитации.

🛑7 ограничений при встраивании биометрии в ИТ/ИИ-продукты: закрытый перечень ЕБС, запрет трансграничной передачи, обязательная аккредитация, особый режим согласия, защита несовершеннолетних, пределы точности (FAR/FRR), только векторная модель для аккредитованных.

⚠️7 ключевых рисков: необратимость утечки, штрафы до 500 млн ₽ и уголовная ответственность, дискриминация ИИ-моделей по данным NIST FRVT, deepfake-атаки, function creep, репутационные риски, прокурорские проверки.

✅Рекомендации для продуктовых команд - архитектурные (on-device, векторное хранение, liveness-детекция) и процессные (оценка рисков до запуска, журналы согласий, уведомление РКН в 24/72 ч.).

• В Каталог ПД добавлены новые группы персональных данных:
• 125. Нейроданные потребительского характера
• 139. Нейроданные медицинского характера
• 154. Данные запахов тела и состава выдыхаемого воздуха
• 155. Данные дыхания
• 156. Данные движения губ
• 157. Данные микровибрации пальцев
• 158. Данные акустического отклика среднего уха
• 159. Данные биоакустической подписи
• 160. Данные структуры кожи и эпителия
• 161. Данные биохимических характеристик
• 162. Данные динамики подписи
• 172. Нейроданные биометрического характера
• Расширение каталога отражает развитие технологий распознавания и идентификации (включая нейроинтерфейсы), что требует пересмотра подходов к классификации ПД и оценке рисков их обработки.

• В «Альманахе» Privacy Advocates обновлены схемы, описывающие регулирование и специфику двух правовых институтов - авторизации пользователей на информационных ресурсах и рекомендательных технологий - с учётом принятого Госдумой закона об административных штрафах для владельцев российских сайтов (новые ст.13.55 и 13.56 КоАП РФ, см. раздел 4).

• С 01.09.2026 вступает в силу 43-ФЗ о поправках к 86-ФЗ «О государственном регулировании в области генно-инженерной деятельности»: появляется отдельное понятие генетических данных человека и правила их трансграничной передачи.
• Генетические данные квалифицируются как специальная категория ПД либо как биометрические ПД в зависимости от цели и контекста обработки, с учетом 242-ФЗ о геномной регистрации, где геномная информация прямо отнесена к биометрии. В консервативном подходе генетическими данными можно считать любую информацию о наличии или вероятности генетического варианта.
• ТПД генетических данных возможна только через Межведомственную комиссию. Подготовленный ФМБА 16.04.2026 проект постановления Правительства РФ устанавливает разрешительный порядок с исключениями для медицинской помощи, разработки лекарств конкретному пациенту и международного сотрудничества, либо уведомительный порядок для научных публикаций со сводными обезличенными показателями.
• Передача генетических данных иностранным лицам, их филиалам и представителям запрещена и внутри РФ: критерием служит не граница, а национальная принадлежность получателя, а российский представитель приравнен к иностранному доверителю.
• Риски нового регулирования: локализация баз с ПД граждан РФ, оборотные штрафы за утечки специальных категорий за сам факт и уголовная ответственность до пяти лет по ч.2 ст.272.1 УК РФ.
• 24.06.2026 опубликована обновленная презентация «ПД_генетические данные».

• Схема описывает модель получения согласия на обработку ПД и пополняет линейку схем «Альманаха» по правовым основаниям обработки.

• Схема авторизации пользователей российских ресурсов обновлена с учетом третьего пакета мер Минцифры (см. раздел 4): обязанность проводить авторизацию по абонентскому номеру распространяется на любых владельцев интернет-ресурсов, включая иностранных лиц, для российских владельцев сохраняется меню из четырех способов, а абонентский номер закрепляется как универсальный идентификатор личности при авторизации.

• Мероприятие шло около 3,5 часов и включало итоги надзора, практику Центра правовой помощи гражданам в цифровой среде ГРЧЦ, разбор присланных заранее вопросов и ответы на вопросы из зала.
• Позиции спикеров собраны в единый конспект и структурированы по темам: проектирование процесса обработки, передача и поручение, ТПД и локализация, уведомление, согласие и случаи, когда оно не требуется, работники и соискатели, биометрия, распространение и открытые источники, уничтожение и архивное хранение, запросы субъектов, авторизация и рекомендательные технологии на сайте, рассылки.
• Отдельным приложением идут вопросы из зала с ответами: акт об уничтожении при поручении, одно поручение от нескольких операторов, доказывание надлежащего согласия, графа о месте нахождения баз данных, вектор лица в программе лояльности, законный интерес, удаление против уничтожения.
• Конспект является изложением и обобщением прозвучавшего, формулировки приведены в сокращении.

• Обзорный технический доклад о дифференциальной приватности, математически строгой парадигме защиты ПД, которая дает формальные и доказуемые гарантии приватности при публикации статистики, обучении моделей машинного обучения и синтезе данных.
• В докладе рассмотрены концептуальное отличие приватности от классической информационной безопасности, история и формальное определение DP, ее классификация (глобальная, локальная, с перемешиванием и др.) и примеры промышленного применения.
• Доклад продолжает серию АБД о технологиях защищенной обработки данных после доклада об обезличивании (см. выше) и доступен в краткой и расширенной версиях.

• Ретроспектива 2025-2026 собрана на одной карте и охватывает усиление ответственности, локализацию 2.0, новые правила обезличивания, обособление согласия, риск-ориентированный контроль по обновленному ПП РФ № 1046 и автоматизированный мониторинг сайтов.
• Судебная практика по ст.13.11 КоАП РФ за январь-август 2026 года дана сплошным срезом из 222 актов. Санкция раскололась на два трека. Мировые судьи штрафуют без замены (замена штрафа предупреждением по ст.4.1.1 КоАП РФ встретилась один раз), арбитражные суды первой инстанции заменяют штраф предупреждением в двух делах из трех. Все крупные суммы (₽1, 2 и 6 млн) дает нелокализация баз иностранными операторами.
• Утечка не равна вине. РКН обязан доказать, какие меры оператор мог принять и не принял, но подрядчик и молчание об инциденте от ответственности не спасают.
• Перспективы 2026-2028 включают симптомы исчерпания концепции согласия, отраслевые стандарты обработки вместо "культа согласий", конкуренцию четырех равновеликих оснований и платформу согласий на базе ЕСИА.
• Изменения в инфраструктуре охватывают новое поколение требований ФСТЭК (приказ № 117 и методический документ), приземление обработки в РФ, Антифрод-2 и Антифрод-3, авторизацию пользователей по ч.10 ст.8 149-ФЗ с санкциями с 07.07.2026 и ИИ-регулирование по 243-ФЗ.
• Шесть трендов на осень 2026 года и ключевые выводы для DPO сводятся к тому, что ответственность и контроль стали жесткими и не всегда предсказуемыми, а фокус регулятора сместился с формы согласия на существо обработки.

• В чек-листе теперь 132 контроля. Добавлено 10 новых: реестр процессов обработки ПД как единый источник для политики, уведомления в РКН и согласий, видео- и аудиофиксация и мониторинг рабочих средств, ПД несовершеннолетних и проверка возраста, происхождение внешних массивов ПД (купленные базы, парсинг), предоставление ПД по запросам органов, адвокатов и контрагентов, контроль за обработчиками, использование внешних сервисов ИИ, прием и учет обращений субъектов ПД, карта сайтов и приложений с архивом редакций документов, обязательства персонала о неразглашении ПД.
• Уточнены 10 действующих контролей, в том числе по копиям паспортов, пересмотру оснований обработки, письменной оценке законного интереса, запретам в согласии на распространение, передаче генетических (ПП-750) и биометрических ПД за рубеж, обработке после отзыва согласия и требованиям ФСТЭК (приказ № 117).
• Риск-факторы сверены с проверочным листом РКН (приказ № 253) с учетом проекта его обновления (см. раздел 6), а по обновленному чек-листу актуализирован проект Положения об организации обработки и обеспечении безопасности ПД.

• Авторы предлагают трехэтапный тест правомерности обработки ПД на основании пользовательского соглашения. Сначала проверяется общее законодательство, затем общие требования законодательства о ПД и только потом специальные требования к договору как основанию обработки (п.5 ч.1 ст.6 152-ФЗ).
• Ключевую роль играют принципы обработки ПД. Именно они, а не само соглашение, задают его границы, и никакой чек-лист не заменит их системного внедрения в работу оператора.
• Для сравнения разобраны GDPR и законодательство Беларуси, Казахстана, Армении и Кыргызстана.

• Базовый чек-лист для облачных ИИ-сервисов, API, локальных моделей и ИИ-агентов содержит на одной странице 16 контролей (обязательных и рекомендуемых) с примерами и ссылками на нормы.
• Заполнять чек-лист нужно до запуска вместе с DPO, специалистом по ИБ и ответственным за использование ИИ, а повторять оценку при плановой проверке и до изменения модели, поставщика или условий работы с ПД.
• В комментариях фиксируются подтверждения проверки, ограничения и сроки исправления, что помогает определить, для каких задач и данных ИИ можно использовать.

• В презентации кратко изложены результаты анализа редакции пакета от 30.09.2026 и его влияния на регулирование ПД. Разобраны платформа согласий на ЕСИА и ЕПГУ, отраслевые акты вместо согласий, два режима авторизации и трехлетнее хранение сведений о входах, данные, которые будут накапливаться для государства, а также требования к хостингу, корпоративным VPN, виртуальным АТС и смс-рассылкам.
• Антифрод-3 выходит за рамки борьбы с мошенниками и меняет сам институт согласия на обработку ПД, поэтому готовиться к вступлению в силу 01.03.2028 стоит уже сейчас.

• Гайд раскладывает ИИ-систему на шесть слоев, от агента до весов модели, и показывает зону комплаенса на каждом из них.
• В гайде собраны хронология регулирования 2025-2027 от новых правил обезличивания до 243-ФЗ и суверенных моделей, профессиональная тайна как второй замок поверх режима ПД, ИИ-агенты, статус поставщика, локализация и ТПД.
• Разобрана первая практика, это штраф ₽50 тыс. за выдуманные нейросетью ссылки (дело № А27-7831/2025) и законное увольнение за загрузку отчетов в DeepSeek (дело № 02-1545/2026), а также семь шагов управления ИИ в компании.
• Перед запуском конкретного сценария гайд предлагает сверяться с чек-листом ПД при использовании ИИ (см. выше).