Среди инициатив второго антифрод-пакета Минцифры есть та, что напрямую затрагивает любого оператора персональных данных: так называемая платформа, или реестр, согласий на Госуслугах. Идея в том, что гражданин в едином окне увидит все согласия, которые он давал, поймёт, кто и с какой целью обрабатывает его данные, и сможет отозвать любое согласие или пожаловаться в надзорный орган. Для бизнеса из этого следует обязанность сделать каждое согласие прозрачным и передаваемым. Ниже разбираю, что известно, что это будет значить на практике и как подготовиться, не дожидаясь финальной редакции.
Статус: это законопроект, а не действующая норма
Сразу зафиксирую, чтобы никого не ввести в заблуждение. Речь о законопроекте в составе антифрод-пакета, а не о вступивших в силу требованиях. По имеющимся данным, полноценные обязанности операторов заработают не ранее 1 марта 2028 года, и то при принятии проекта в текущей редакции. Конкретный перечень сведений, которые оператор будет передавать на портал, должно установить правительство отдельными актами, их пока нет. С марта 2026 года гражданам приходят лишь уведомления о будущей возможности проверять свои согласия. Идея единой платформы обсуждается не первый год, поэтому детали и сроки стоит перепроверять по первоисточнику.
При этом значительная часть подготовительной работы полезна независимо от судьбы законопроекта, поскольку опирается на уже действующие требования 152-ФЗ.
Что будет значить для оператора
Точные обязанности закрепят подзаконные акты. Но из логики проекта складывается предсказуемая картина. Оператор, вероятно, должен будет:
передавать на Госуслуги сведения о полученных согласиях, включая цель, объём и, скорее всего, срок обработки;
принимать и исполнять отзыв согласия, поступивший через портал, а не только напрямую;
поддерживать актуальность этих сведений и синхронизировать их со своей стороной.
Ключевая сложность в том, что нельзя выгрузить реестр, которого нет. Чтобы передать сведения о согласиях, у оператора эти согласия должны существовать как учитываемые записи с привязкой к субъекту, дате, цели, объёму данных и версии текста. У значительной части бизнеса такого учёта нет, а согласие оформлено галочкой в веб-форме без сохранения этих реквизитов.
Что закон уже требует от согласия
Здесь важно, что требования к самому согласию действуют давно. По ст. 9 152-ФЗ согласие должно быть конкретным, предметным, информированным, сознательным и однозначным. А ч. 4 ст. 9 прямо перечисляет, что должно содержать письменное согласие. Именно этот перечень и образует те поля, которые впоследствии придётся выгружать.
Обязательный элемент согласия (ч. 4 ст. 9 152-ФЗ) | Что это в реестре |
|---|---|
ФИО, адрес субъекта, реквизиты документа, удостоверяющего личность | Кто дал согласие |
Наименование и адрес оператора | Кто обрабатывает |
Цель обработки персональных данных | Зачем |
Перечень персональных данных | Какой объём |
Перечень действий с данными и способы обработки | Что делаем |
Срок действия согласия и порядок его отзыва | Когда истекает и как отозвать |
Если согласие собрано галочкой без сохранения этих реквизитов и версии текста, оно не образует учитываемой записи, и реестр из него собрать невозможно. То есть проблема не столько в будущей платформе, сколько в текущем несоблюдении ст. 9.
Ответственность
Обработка персональных данных без надлежащего согласия наказуема уже сейчас по ст. 13.11 КоАП. Суммы после реформы по ФЗ № 420-ФЗ, действующей с 30 мая 2025 года:
Нарушение | Штраф для юридического лица |
|---|---|
Обработка персональных данных без согласия | 300 000 - 700 000 руб. |
Повторная обработка без согласия | 1 000 000 - 1 500 000 руб. |
Нет политики обработки данных на сайте | 30 000 - 60 000 руб. |
Платформа согласий добавит к этому прослеживаемость. Если гражданин отзовёт согласие через портал, а оператор продолжит обработку без иного законного основания, расхождение станет видимым на стороне государства.
Как наладить учёт согласий
Инвентаризация. Определите все точки сбора согласий: формы на сайте, личные кабинеты, бумажные бланки, кол-центр.
Реквизиты. Начните фиксировать по каждому согласию элементы из ч. 4 ст. 9: субъект, оператор, цель, перечень данных, перечень действий, срок и порядок отзыва.
Версионность. Храните, на какую именно редакцию текста согласия и политики человек дал согласие.
Сверка целей. Приведите цели в согласии, политике и уведомлении в Роскомнадзор к единому виду, расхождения всплывут при выгрузке.
Отзыв. Опишите процедуру: как заявка на отзыв доходит до всех систем с данными и в какой срок исполняется.
Формы. Непредзаполненный чекбокс, ссылка на политику, отдельное согласие для специальных категорий по ст. 10.
Вывод
Платформа согласий, если заработает в заявленном виде, сделает видимым снаружи то, что сейчас скрыто внутри компаний. Но подготовка к ней по сути совпадает с исполнением уже действующей ст. 9 152-ФЗ: согласие должно содержать обязательные элементы, храниться с версией текста и быть отзываемым. Компании, у которых учёт согласий выстроен по ч. 4 ст. 9, переход почти не почувствуют. Остальным разумно начать наводить порядок сейчас, а не выстраивать учёт для миллионов записей перед дедлайном. Техническую часть, то есть как именно собираются согласия на сайте, удобно проверять автоматизированными средствами аудита.
Начать дискуссию