Тренды регулирования ПД

• 2020
• 2022
• 2023
• 2024

Ответственность

• 260-ФЗ сбор ПД иностранцами
• 277-ФЗ иностранные мессенджеры
• 78-ФЗ спам-звонки, ст.14.3 КоАП

420-ФЗ оборотные штрафы за утечки

421-ФЗ ст.272.1 УК, оборот ПД

• Обработка
• 519-ФЗ распространение ПД

233-ФЗ обезличивание и НСУД

Идентификация и биометрия

• 572-ФЗ биометрия и ЕБС
• 406-ФЗ авторизация на сайтах

408-ФЗ рекомендательные технологии

589-ФЗ штрафы за биометрию

• Контроль и надзор
• 540-ФЗ реформа контроля, ПП № 1046

• 2025
• 2026

• Ответственность
• 104-ФЗ
• штрафы по ст.13.12 КоАП

• 281-ФЗ
• ст.13.29.2 и 19.5.3 КоАП

• 508-ФЗ
• дела 13.11 снова в общих судах

• 199-ФЗ
• ст.13.55 и 13.56 КоАП

• Антифрод
• 41-ФЗ
• Антифрод-1

• 156-ФЗ
• обособление согласий

• 210-ФЗ
• Антифрод-2

• Локализация и трансграничная передача
• 23-ФЗ
• локализация 2.0, ПД силовиков

• 140-ФЗ
• ПД клиентов экспедиторов

• 351-ФЗ
• исследования и опросы

• 43-ФЗ
• генетические данные

• 265-ФЗ
• новый критерий перечня адекватных стран

Госдоступ и ИИ

• 244-ФЗ
• регулирование ЦОД

• 492-ФЗ
• копии баз данных для ФСБ

• 52-ФЗ
• геномная регистрация

• 55-ФЗ
• справки МВД об адресах

• 130-ФЗ
• ИИ-образы в агитации

• 243-ФЗ
• поддержка ИИ

3-20 млн ₽

Ст.13.11 КоАП РФ: утечки

или 1-3% годового оборота за повторную утечку, 1-3 млн ₽ за неуведомление РКН; статья расширена до восемнадцати частей (420-ФЗ).

923 случая

Ст.272.1 УК РФ

за 10 месяцев 2025 г., в основном против пробивщиков и инсайдеров; топ-менеджеров за утечки пока судят по ст.274 УК РФ (Сирена-трэвел, новое рассмотрение).

до 100 тыс. ₽

Ст.13.12 КоАП РФ

за нарушение требований о защите информации, при несертифицированных СЗИ с конфискацией (104-ФЗ от 23.05.2025).

01.01.2026

Возврат дел в СОЮ

все дела по ст.13.11 КоАП РФ вновь рассматривают суды общей юрисдикции (508-ФЗ); арбитражные суды разбирали дела о ПД лишь с 30.05.2025.

План 2207-р, п.4: к III кварталу 2027 г. МВД, Минцифры, Минэкономразвития, ФСБ и РКН представят предложения о дальнейшем повышении ответственности и увеличении срока давности по нарушениям в области ПД.

01

Концепция локализации

Основная концепция при сборе ПД не затронута, но переформулирована: запрет вести операции записи, накопления и хранения в зарубежных базах.

02

Момент завершения сбора

Аргументированное и доказуемое определение момента завершения сбора ПД и окончания применимости ч.5 ст.18 152-ФЗ становится критичным.

03

Зарубежные базы

Не размещать собранные в РФ ПД в контролируемых зарубежных БД и не признавать использование таких БД в обработке собранных ПД.

Практика 2026: иностранные игроки

Не менее 7 исков РКН к зарубежным игровым компаниям (EA, Take-Two, NetEase, Battlestate Games, Embracer - по 1-2 млн ₽), штрафы Duolingo и Miro (по 2 млн ₽), Change.org (1 млн ₽), SSI International (6 млн ₽ за повтор).

ПЕРСОНАЛЬНАЯ ОТВЕТСТВЕННОСТЬ

На Кубани должностное лицо администрации района оштрафовано на 100 тыс. ₽ за иностранную платформу в коде сайта; банки и МФО получили не менее 21 дела по ст.13.11.2 КоАП РФ за переписку с клиентами в WhatsApp.

Это тоже ПД

Обезличивание - действия, после которых невозможно без дополнительной информации определить принадлежность ПД субъекту (п.9 ст.3 152-ФЗ).

Не способ уничтожения

По достижении целей ч.4 ст.21 требует уничтожения, а ч.7 ст.5 допускает и обезличивание.

Особые требования

К процессу и методам обезличивания применяются требования и методы, утвержденные приказом РКН.

Требование о передаче в НСУД

С 01.09.2025 (ст.13.1 152-ФЗ) операторам может поступить требование обезличить ПД и передать их в ГИС ЕИП НСУД.

ПРИКАЗ МИНЦИФРЫ ОТ 03.03.2026 № 173

Утверждены методические рекомендации по подготовке требований об обезличивании; проект ПП РФ (07.05.2026) допускает передачу статистических показателей без специального ПО и СМЭВ, бизнес (АБД) просит отсрочку до 2027 г.

Инициатива АБД, 03.08.2026

Разрешить обработку ПД с применением технологий приватности (PETs) без согласия субъектов для обучения моделей ИИ.

01

Визуальное и смысловое отделение

Согласие отделено от других документов: пользовательское соглашение - отдельно, согласие - отдельно.

02

Отдельное волеизъявление

Предоставление согласия отдельным действием: например, отдельная галочка, а не подпись под общим документом.

03

Утвержденные формы

Формы, утвержденные актами органов власти (например, по ЕБС), обязательны к исполнению (РКН устно 22.08.2025, 14.08.2026).

ВС РФ, 22.06.2026

Встречное согласие на рекламу за скидку правомерно

Дело Мэлон Фэшн Груп: согласие на рекламу в обмен на скидку является надлежащим, продавец не обязан давать скидку без согласия.

ПРОЕКТ ПРОВЕРОЧНОГО ЛИСТА РКН, 03.08.2026

77 вопросов вместо 75

5 новых вопросов: критерии и обособление согласия, уничтожение по достижении целей, уведомление по каждой цели. Исключены 3, среди них вопрос 33 об оргмерах. В начале октября 2026 года еще проект.

Высокий

проверка раз в 2 года или ежегодный профвизит

Значительный

обязательный профвизит не чаще раза в 3 года

Средний

обязательный профвизит не чаще раза в 5 лет

Умеренный

• обязательный профвизит не чаще раза в 6 лет
• Низкий

плановых мероприятий и профвизитов нет

Группа тяжести А теперь включает обработку ПД на основании согласия, если закон не требует его получения; группы вероятности синхронизированы со ст.13.11, 13.11.2, 13.11.3 КоАП РФ.

План профвизитов на 2026 (приказ РКН от 19.12.2025 № 390): 1156 операторов, включая госучреждения, школы и медцентры; свою категорию риска можно проверить в Едином реестре видов контроля.

Дистанционный контроль: по итогам мероприятия без взаимодействия оператору могут направить не только предостережение, но и требование об уничтожении ПД.

89%

точность автоматического выявления признаков нарушений

500 тыс.

ресурсов в год по ТЗ (фактически около 50 тыс.), не менее 15 тыс. в неделю

77% / 84%

ресурсов с признаками нарушений в 2024 г. и за полгода 2025 г.

8 тыс.

требований о приведении сайтов в соответствие за полгода 2025 г. (6,5 тыс. за 2024 г.)

ЧТО ИЩЕТ СИСТЕМА

Кого проверяют в первую очередь

Финансово-кредитные организации, страховщики, коллекторы, соцсети, операторы связи, интернет-магазины, перевозчики, почтовые сервисы, медицинские и образовательные учреждения, ЖКХ и управляющие компании, МФЦ, органы власти - сферы с наибольшим числом жалоб граждан.

Кого привлекали: банки, телеком, госучреждения, школы, больницы, цифровые сервисы, ЖКУ (УК, ТСЖ, СНТ), физлица.

Более 57% дел закончились предупреждением (первое привлечение, признание вины, устранение нарушений); инициаторы - Роскомнадзор (72%) и прокуратура (28%).

Ориентиры года: ФИО и адрес автора отзыва могут не быть ПД, а посредник не отвечает за чужой контент, пока не узнал о нарушении (АС Москвы, 07.11.2025); передача ПД работника подрядчику по бухучету и арендодателю для пропуска согласия не требует (Савеловский райсуд, 02.07.2025).

Крупных штрафов по новым спецсоставам ст.13.11 КоАП РФ в 2025 году не отмечено.

244

актов: 73 мировых судей, 83 арбитражных суда, 29 пересмотров в райсудах, 59 проверочных инстанций

77 / 44

штрафов и предупреждений в первой инстанции: у мировых судей предупреждений три, в арбитраже - 41 из 64

150 тыс. ₽

медианный штраф по ч.1 у мировых судей; в арбитражных судах медиана 75 тыс. ₽

6 млн ₽

восемь штрафов иностранным операторам за повторную нелокализацию (ч.9)

Кого привлекают: иностранные операторы (30 актов, дайвинг-ассоциации PADI, NAUI, SNSI, AIDA), ЖКХ (30), телеком (26), госсектор (18), утечки (17), банки (14), школы (11), клиники, коллекторы, страховщики.

Инициатор: Роскомнадзор в 234 актах, прокуратура в 7 актах, а в 3 оставшихся инициатор в тексте не назван либо спор частный.

Пересмотр: 88 актов райсудов, апелляций и кассаций: 60 оставлены без изменения, 10 направлены на новое рассмотрение, 15 отменены полностью или в части (6 с прекращением), 3 иных исхода.

Сдвиг года: два трека санкции: мировые судьи почти всегда штрафуют (три предупреждения в Санкт-Петербурге в мае и одно освобождение по малозначительности, ст.2.9 КоАП, в Москве в июне 2026), арбитражные суды заменяют штраф предупреждением в двух делах из трех; крупные суммы дает только нелокализация.

ДЕЛО РЖД - АС МО, 10.06.2026

Сам факт утечки не означает вину оператора

РКН обязан доказать, какие меры оператор мог принять, но не принял; сам факт атаки и уголовное дело по ст.272.1 УК РФ недостаточность мер не доказывают.

МИНТРУД И РОСТЕЛЕКОМ - 2026

Подрядчик не снимает ответственности с оператора

ВС РФ 21.01.2026 учел против оператора неуведомление РКН и отсутствие внутреннего контроля. АС СЗО 02.10.2026 по делу Ростелекома указал, что оператор отвечает за подрядчика (ч.5 ст.6), утечка длящееся нарушение, а отказ устоял лишь из-за давности.

ОРИОН ТЕЛЕКОМ И ТД АСК - 2025-2026

Замена на предупреждение не гарантирована

Самоуведомление РКН, МСП и первичность помогали, но 4 ААС (11.08.2026) счел замену по ч.13 необоснованной и сохранил ее лишь из-за давности. Отчет о расследовании бьет по оператору.

ЛОКАЛИЗАЦИЯ - 2026

Волна исков к иностранным компаниям

Игровые компании, Taobao (1 млн ₽, апелляция 29.09.2026), Duolingo, Change.org, Miro и SSI International; оштрафовано должностное лицо администрации района за иностранную платформу в коде сайта.

2007

Решение о даче согласия

Собственная воля, собственный интерес, свободно

2011

Выражение согласия

Конкретное, информированное, сознательное

2022

Выражение согласия

Предметное, однозначное

2025

Оформление согласия

Обособленное - отдельно от иных документов (156-ФЗ)

Итог: чем больше признаков должно сойтись в одном документе, тем выше потенциал его оспоримости и тем дороже его администрирование - регулятор сам называет институт морально устаревшим.

Институт согласия на обработку персональных данных является морально устаревшим... Необходим переход от текущей модели к внедрению отраслевых стандартов...

Руководитель Роскомнадзора Андрей Липов, 31.10.2025

Заместитель руководителя РКН Милош Вагнер, 30.06.2025

1

согласие стоит первым среди равновеликих оснований и, по всей видимости, ошибочно воспринимается как главное

2

взять его легко, правовых и административных рисков для компании оно не несет, а при отзыве компания без труда подбирает другое основание

06.2026

не вошло в закон

Антифрод-2 (210-ФЗ)

Согласия через ЕСИА, обжалование через ЕПГУ и реестр всех согласий обсуждались, но в итоговую редакцию не попали.

30.09.2026

возвращено в проект

Антифрод-3

Согласие и отзыв через ЕСИА, сведения обо всех согласиях в ЕСИА, просмотр и жалоба через ЕПГУ; в редакции 19.08.2026 блок исключался.

22.07.2026

закреплено в проекте

Доктрина ИКТ

Платформа согласий на базе ЕСИА, сокращение случаев обработки по согласию, идентификация без передачи ПД. Основа до 2030 г., внедрение в 2030-2035 гг.

2026

инициативы депутатов

Отзыв согласий

Единый сервис отзыва на Госуслугах (01.04.2026) и отзыв в той же форме, в которой согласие получено (21.02.2026).

Издержки и риски деприоритезации: повышение стандартов получения/отзыва согласий и увеличение потенциала оспоримости согласий (ч.1 ст.9 152-ФЗ); согласие вне обязанности по закону - группа тяжести А (ПП-1046), а по Антифрод 3.0 требовать его запрещено (ч.2.1 ст.18); стоимость интеграции учета согласий с ЕСИА/ЕПГУ

Правительство РФ: случаи, порядок и состав сведений

• Субъект ПД
• Оператор ПД

дает и отзывает согласие через ЕСИА ч.1.1, 2.1 ст.9

видит на ЕПГУ, кто обрабатывает его ПД по согласию ч.7.1 ст.14

сообщает в ЕСИА о согласиях и отзывах, полученных напрямую ч.1.2, 2.2 ст.9

не вправе требовать согласие сверх закона и отраслевых актов ч.2.1 ст.18

Роскомнадзор: жалобы через ЕПГУ (ч.1.1 ст.17), типовые формы согласий вместе с Минцифры (ч.1.3 ст.9)

Что меняется для оператора: согласия и отзывы учитываются в двух каналах, а сведения о полученных напрямую передаются в ЕСИА. Согласие на распространение - только непосредственно оператору, канал через ИС РКН упраздняется (ст.10.1). На финрынке порядок согласуется с Банком России, вступление в силу 01.03.2028.

2025 Одно согласие, чтобы править всеми: универсальное и "безопасное" основание, которое легко взять и легко заменить.

2026-2028

Согласие

Исключение из правила

Ограниченный набор сценариев, повышенные требования к форме, оформлению и учету.

Договор

Средство, но не самоцель

Недопустимые условия, строгое потребительское регулирование, риск недействительности.

Законный интерес

Серая зона

Нет механизмов балансировки: нужна предварительная фильтрация обработок с дисбалансом интересов.

Обязанность

Публично-правовое основание

Отраслевые стандарты, госозера данных, предписания и запросы органов набирают вес.

СЦЕНАРИИ, ГДЕ СОГЛАСИЕ УМЕСТНО

Антифрод-3 (проект от 30.09.2026): согласие и отзыв через ЕСИА, а требовать согласие, не предусмотренное законом или отраслевым актом, нельзя (ч.2.1 ст.18).

ВС РФ, 22.06.2026: встречное согласие на рекламу в обмен на скидку правомерно (дело Мэлон Фэшн Груп).

Открытый вопрос: согласие на обработку ПД не равно согласию на поручение обработки ПД (?)

НЕДОПУСТИМЫЕ УСЛОВИЯ ДОГОВОРА С СУБЪЕКТОМ ПД

Потребительское регулирование: строгие правила заключения, исполнения, изменения и расторжения договоров с потребителями.

Риск недействительности: противоправность, мнимость, притворность, кабальность условий об обработке ПД.

Проблематика предмета: может ли обработка ПД быть самостоятельным предметом договора.

Антифрод-3: выделенные условия прямо запрещены новой редакцией п.5 ч.1 ст.6, а договор должен соответствовать отраслевому акту.

• В российском праве нет механизмов оценки и балансировки законного интереса: результат оценки непредсказуем и неповторяем.
• Законный интерес в серой зоне: ссылка на него не дает уверенности в законности, а явно незаконная обработка может им прикрываться.
• Нужна предварительная отрицательная селекция обработок с дисбалансом интересов и дополнительные меры защиты субъектов.

Подтверждение неприменимости

п.7 ч.1 ст.6 152-ФЗ

три фильтра, которые обработка должна пройти, прежде чем опереться на законный интерес

• 1
• Допустимость фильтр оснований

• 2
• Правомочность фильтр норм

• 3
• Пропорциональность фильтр обработки

Скачать

Милош Вагнер, 30.06.2025

"Строгие отраслевые стандарты должны определить перечень ПД и сроки их обработки, необходимые именно этому бизнесу именно в этой сфере отношений, что позволит исключить необходимость получения согласия человека на их обработку. Разрабатывать их будут профильные ведомства: здравоохранение, образование, финансы, ЖКХ и прочие - по согласованию с Роскомнадзором".

IV кв. 2026

План 2207-р, п.1

Ведомства определят объем ПД, необходимый бизнесу, и внесут предложения в Правительство.

22.07.2026

Проект Доктрины ИКТ

Сокращение оборота ПД за счет новых подходов к обработке и идентификации граждан.

19.08.2026

Инициатива

Ограничить хранение ПД пассажиров сервисами бронирования после передачи в госсистемы.

ВОЗМОЖНАЯ СТРУКТУРА ТИПОВОГО СТАНДАРТА

01

Процесс и параметры

цель, основание, категории субъектов, белый и черный списки ПД, источники, сроки, уничтожение, передача

02

Безопасность ПД

типовые перечни организационных, правовых и технических мер

03

Права субъектов

требования к порядку реализации прав субъектов ПД

Кто принимает: федеральные органы, отвечающие за политику и нормативное регулирование в своей сфере, обязаны (ч.2.1 ст.4), регионы, муниципальные органы и Банк России вправе (ч.2.2 ст.4).

состав ПД

действия (операции)

согласование с РКН до 60 дней (ч.3.1 ст.4)

Требовать нельзя, если согласие не предусмотрено законом или отраслевым актом (ч.2.1 ст.18); само согласие должно соответствовать акту.

Договор по акту: без условий, ограничивающих права субъекта, о случаях обработки ПД несовершеннолетних и о бездействии как условии заключения.

Законный интерес в рамке акта: состав ПД и действия для таких целей тоже определяет отраслевой акт.

Пояснительная записка: сократить случаи избыточного сбора персональных данных на основании согласий на их обработку (в объеме, превышающем необходимый объем для осуществления хозяйственной деятельности соответствующих операторов).

Милош Вагнер, 24.09.2025

"Сейчас мы видим всего два препятствия для создания института спецоператоров: крупные компании, оказывающие услуги по защите персональной информации, завалены заказами на долгое время вперед, и им экономически нецелесообразно оказывать подобные услуги по более низкой стоимости сегменту МСБ. Социальная обязанность может быть навязана государством в какой-то момент времени. И, наверное, будет навязана. Но бизнес сам должен прийти к этому: каким бы крупным он ни был, утекают данные граждан его страны".

ПЛАН 2207-р, П.4

К III кварталу 2027 г. МВД, Минцифры, Минэкономразвития, ФСБ и РКН представят предложения о повышении ответственности и увеличении срока давности по нарушениям в области ПД.

российское юридическое лицо

не менее 5 штатных специалистов с высшим образованием в области ИБ

финансовое обеспечение ответственности за утечку не менее 100 млн ₽

базы данных только на территории РФ

обработка с учетом требований по обеспечению ИБ

11.04.2025

подписан

Приказ № 117 взамен приказа № 17

01.03.2026

в силе

Приказ № 117 вступил в силу

12.04.2026

в силе

Методика ФСТЭК о составе мер

01.09.2026

в силе

Приказ № 137, К(зи) с 01.03.2027

24.07.2026

проект

Проект взамен приказа № 21

Приказ № 117: что уже действует

ПРОЕКТ ВЗАМЕН ПРИКАЗА № 21

Оператору: новые системы - по новым требованиям, действующие - план перехода без аннулирования аттестатов; методика зрелости 07.08.2026 охватывает ИСПД; проект 24.08.2026 меняет блок ИИ.

01.09.2027

Иностранные облака и ПО

Минцифры предлагало запрет в ИСПД (кроме МСП, ИП и физлиц), но пока что законопроект публично не представлен.

265-ФЗ

Трансграничная передача

Конвенция 108 больше не гарантия адекватности; ориентир - перечень РКН (приказ № 253, с 30.10.2026: 88 государств, без Украины); РКН вправе запретить ТПД в любую страну.

43-ФЗ

Генетические данные

С 01.09.2026 передача за рубеж только для медпомощи, лекарств и международного сотрудничества, через Межведомственную комиссию либо в случаях п.4 Правил ПП-750 без нее.

243-ФЗ

Модели ИИ

Суверенные и национальные модели: российский разработчик и обработка данных в ЦОД на территории РФ; Правительство вправе делать их обязательными.

ФСТЭК, СОРМ

Защита и контроль каналов

Новое поколение требований ФСТЭК: приказ № 117 и проект взамен приказа № 21; приказ Минцифры № 1174 о СОРМ в технологических сетях включил паспорт, ИНН, реквизиты, IP, логины и геокоординаты.

Плюс 492-ФЗ: с 01.04.2026 органы ФСБ вправе получать по предписанию, без судебного решения, копии баз данных любых организаций. Антифрод-3: идентификация клиентов хостинга и заявление цели, требования к корпоративным VPN, виртуальные АТС только на российских IP.

15.04.2025

в силе

Антифрод-1 (41-ФЗ)

Ограничение массовых вызовов, маркировка звонков, самозапреты и первые антифрод-платформы.

26.06.2026

частично

Антифрод-2 (210-ФЗ)

До 20 карт на человека, компенсация похищенного, блокировка международных звонков, реестр IMEI, детские сим-карты; из пакета исключены Max, ИНН и согласия через ЕСИА.

07.07.2026

в силе

Санкции (199-ФЗ)

Ст.13.55 КоАП РФ - до 700 тыс. ₽ за неправильную авторизацию; ст.13.56 - до 2,8 млн ₽ за нарушения с рекомендательными технологиями.

01.03.2028

проект от 30.09.2026

Антифрод-3

Иностранным ресурсам - вход только по номеру, российским - четыре способа; 3 года хранения сведений о входах; согласия через ЕСИА; хостинг, VPN, смс без ПД адресата.

Детские сим-карты (проект правил, ред. 18.08.2026, на 30.09.2026 не принят): запрет смс-рассылок на детские сим-карты, включая коды регистрации и входа, кроме сообщений от ГИС; 55-ФЗ (с 05.09.2026) - поиск граждан через МВД без раскрытия ПД заявителю.

Октябрь 2026 - март 2027

01.10.2026

Платформы

289-ФЗ: защита сведений и прозрачность автоматизации

30.10.2026

Перечень стран

приказ Роскомнадзора № 253: 88 стран вместо 89

01.01.2027

ЕБС

сегменты на векторах, конец переходной ПЭП

01.03.2027

ИИ и защита

243-ФЗ: суверенные модели, ФСТЭК № 137: К(зи)

01.03.2027

Связь и водители

210-ФЗ: информирующие вызовы, 200-ФЗ: медданные

Сентябрь 2027 - 2032

01.09.2027

Виды биометрии

истекает ПП № 408, виды для ЕБС определят заново

01.01.2028

Антифрод-2

последние этапы 210-ФЗ

01.03.2028

Антифрод-3

проект: вход по номеру, 3 года хранения сведений о входах

01.09.2032

Переход ИИ

конец перехода для систем на 01.03.2027

Действующая норма

Владелец сайта, приложения или системы с российской аудиторией авторизует пользователей в РФ одним из четырех способов: абонентский номер, ЕСИА, ЕБС, иная система российского юрлица или гражданина РФ. Apple ID и Google Sign-In под запретом.

Границы требования

Критерий - местонахождение, а не гражданство; иностранные владельцы пока вне нормы; иностранная почта как логин - не нарушение; изъятий для внутренних и B2B-сервисов нет.

Ответственность

Ст.13.55 КоАП РФ (с 07.07.2026) - до 700 тыс. ₽ для юрлиц, отвечает владелец ресурса. С 01.09.2025 ст.13.29.2 - передача данных авторизации, до 200 тыс. ₽, ст.274.5 УК РФ - до 3 лет лишения свободы.

ПРАКТИКА

Литрес и VK Play убирают вход через Apple и Google ID, Ozon его отключил; открыты конфликт с п.4.8 правил App Store и судьба учетных записей.

АНТИФРОД-3, ПРОЕКТ ОТ 30.09.2026

Иностранным владельцам - только абонентский номер (ч.10.1-1), российским - четыре способа (ч.10.1); вернулось трехлетнее хранение сведений о регистрации и входах, а входы через ЕСИА хранит ЕСИА.

ЧТО ДЕЛАТЬ СЕЙЧАС

Сначала публичные ресурсы с видимой кнопкой иностранного входа, затем партнерские порталы и API, затем внутренние сервисы; коды входа генерировать и проверять на российской стороне.

• КТО
• ЧТО
• КУДА И СКОЛЬКО
• НОРМА

• Владельцы сайтов, приложений и ИС
• сведения о регистрации, авторизациях и прекращении регистрации
• 3 года, предоставление органам ОРД и безопасности; при входе через ЕСИА - в ЕСИА
• п.2 ч.10, ч.10.1-2 ст.8 149-ФЗ

• Операторы связи
• сетевые адреса и порты при заключении договора через интернет
• 3 года у оператора связи
• пп.3 п.1 ст.64 закона о связи

• Юрлица и ИП с M2M и eSIM
• номера, адреса абонента или установки, идентификаторы eSIM-оборудования
• вносятся в ЕСИА, сведения по eSIM оператор проверяет до начала услуг

• Платформы с иностранными исполнителями
• номера телефонов иностранных исполнителей
• в ГИС по ст.44.2 закона о связи, сверку проводит РКН
• п.13 ст.13, ст.13.8 закона об иностранцах

• Хостинг-провайдеры
• идентификация клиента и цель использования мощностей
• проверка по реестру нарушителей до предоставления мощностей

• ГИС Антифрод
• сведения о причастных к нарушениям, включая данные для регистрации и входа
• в порядке Правительства по согласованию с ФСБ
• ч.5 ст.1 41-ФЗ

Для оператора ПД: необходимо документировать меры защиты и регламент предоставления органам ОРД и безопасности журналов/логов регистраций и авторизаций пользователей.

243-ФЗ от 26.07.2026, с 01.09.2026, часть норм с 01.03.2027

Институции и стандарты: комиссия при Президенте по развитию технологий ИИ (Указ от 26.02.2026 № 116), подкомиссия Правительства, ГОСТ Р 72514-2026 "Оценка воздействия системы ИИ" на основе ISO/IEC 42005:2025.

На подходе: законопроект об ИИ в органах публичной власти (четыре уровня критичности, сертификация ФСТЭК и ФСБ, полигон Минцифры); законопроекты о дипфейках; предложение АБД о PETs без согласия для обучения ИИ.

Практика: 130-ФЗ запретил ИИ-образы и голоса в агитации; первая инстанция учла выгрузку тайны в нейросеть при увольнении (07.2026); использование ИИ не снижает гарантий для граждан (дело Дегустаторстрой).

01

Ужесточение юридической ответственности за нарушения ПД

02

Цифровой оброк для наполнения "госозера" данными

03

Деприоритезация согласий как основания обработки ПД

04

Минимизация обработки ПД через отраслевые стандарты

05

Дифференциация операторов ПД по возможностям обработки

06

Переход от локализации 2.0 к приземлению обработки ПД в РФ

• реализовано
• реализовано
• проект Антифрод-3, Доктрина

• проект Антифрод-3, 2207-р
• отложено
• частично: 265-ФЗ, 243-ФЗ

Тенденция ближайших лет - концентрация обработки ПД в крупных структурах и перенос идентификации и согласий на государственную инфраструктуру (ЕСИА, ЕБС, ГИС Антифрод).

30.09.2026

проект опубликован для общественного обсуждения

01.03.2028

планируемое вступление в силу (ст.10 проекта)

9 законов

меняются одним пакетом, включая 152-ФЗ, 149-ФЗ и закон о связи

ЧТО В ПАКЕТЕ ВАЖНО ДЛЯ ПД

• 152-ФЗ
• согласие и отзыв через ЕСИА, сведения о согласиях в ЕСИА, жалобы через ЕПГУ, отраслевые акты о составе ПД, запрет требовать согласие сверх закона

• 149-ФЗ
• для иностранных ресурсов вход только по номеру телефона, журналы входов 3 года, идентификация клиентов хостинга, требования к корпоративным VPN

• О связи
• смс без ПД адресата, идентификация абонентов через ЕСИА и ЕБС, сетевые адреса при онлайн-договоре 3 года, M2M и eSIM юрлиц в ЕСИА

• 41-ФЗ
• ГИС "Антифрод" хранит сведения о причастных к нарушениям, включая данные для регистрации и входа

Мотив авторов: после первого пакета доля ИКТ-преступлений снизилась в среднем на 12%, но схемы трансформируются и требуют новых мер (пояснительная записка).

РОССИЙСКИЕ ВЛАДЕЛЬЦЫ, Ч.10.1

любой из четырех способов

• Абонентский номер
• ЕСИА

• ЕБС
• Иная российская ИС

Нюанс: в ч.10.1 нет оговорки о пользователях в РФ, требование касается всех пользователей.

ИНОСТРАННЫЕ ВЛАДЕЛЬЦЫ, Ч.10.1-1

только абонентский номер

• +7
• для пользователей, находящихся в РФ; вход только через Apple ID или Google Sign-In больше не вариант

Сейчас иностранные владельцы вне ч.10 ст.8, по проекту изъятие для них исчезает.

ЖУРНАЛЫ ВХОДОВ, П.2 Ч.10 И Ч.10.1-2

Хранить 3 года

сведения о регистрации, авторизациях и прекращении регистрации пользователей

Предоставлять

органам ОРД и безопасности в составе и порядке, установленных Правительством

Вход через ЕСИА

сведения о таких авторизациях хранятся в ЕСИА, а не у владельца ресурса

Уже действует: ч.10 ст.8 в редакции 406-ФЗ и ст.13.55 КоАП РФ, до 700 тыс. ₽ для юрлиц с 07.07.2026.

Хостинг

• ст.10.2-1 149-ФЗ
• Сервер в аренду дадут только после проверки личности клиента и цели аренды. VPN-сервисам, не подключенным к реестру запрещенных сайтов, откажут и на год внесут в черный список. При кибератаке сервер отключат по запросу силовиков.

Корпоративный VPN

• ч.18 ст.15.8 149-ФЗ
• Сейчас VPN компании для своих сотрудников и рабочих задач выведен из-под требований к VPN-сервисам. Проект изъятие сохраняет, но Правительство с участием ФСБ установит к таким VPN требования и порядок уведомления РКН.

Виртуальные АТС

Облачные АТС, через которые бизнес звонит клиентам, будут размещать только на российских IP-адресах. Подключиться к такой АТС с зарубежного или не предназначенного для нее адреса не получится, оператор связи откажет в услуге.

СМС-рассылки

• ст.44.1 закона о связи
• В смс нельзя будет упоминать имя и другие данные получателя и его родственников, если у отправителя нет права их использовать. Договор на рассылку заключит сама компания или мобильный оператор от ее имени, без агрегаторов.

Тренд приземления: контроль смещается с самих данных на каналы и инфраструктуру, через которые их обрабатывают, от сервера до смс.

Антифрод-3 выходит за рамки борьбы с мошенниками: отдельный блок поправок в 152-ФЗ меняет сам институт согласия и основания обработки ПД.

Согласие становится исключением: платформа на ЕСИА и ЕПГУ, типовые формы и запрет требовать согласие сверх закона и отраслевых актов.

Минимизация через отраслевые акты переходит из планов в закон: состав ПД и действия для согласия, договора и законного интереса задаст ведомство по согласованию с РКН.

t.me/prv_adv

Ответственность и контроль стали жесткими и не всегда предсказуемыми: оборотные штрафы, ст.272.1 УК, риск-ориентированный надзор и дистанционный мониторинг, а с 2026 года - возврат дел в СОЮ и судебная линия "утечка не равна вине".

Согласие теряет статус универсального основания: обособление формы, группа тяжести А, а Антифрод-3 добавляет платформу согласий на ЕСИА, отраслевые акты о составе ПД и запрет требовать согласие без обязанности.

Приземление обработки идет по всем фронтам: перечень РКН для трансграничной передачи (265-ФЗ), генетические данные (43-ФЗ), суверенные модели ИИ (243-ФЗ), требования ФСТЭК уровня КИИ, СОРМ и право ФСБ на копии баз данных (492-ФЗ).

Идентификация переходит к государству: авторизация по абонентскому номеру и ЕСИА, ЕБС, Антифрод-3 для иностранных ресурсов - концентрация обработки ПД в крупных и государственных структурах.

t.me/prv_adv