Минцифры опубликовало законопроект из третьего пакета мер против телефонного и интернет-мошенничества. Поправки затрагивают продажу SIM-карт, согласия на обработку персональных данных, авторизацию на сайтах, СМС-рассылки, виртуальные АТС, хостинг и государственную систему Антифрод. Общественное обсуждение началось 30 сентября, а закон в опубликованной редакции должен вступить в силу первого марта 2028 года.
Одно из главных изменений касается согласий на обработку персональных данных. Законопроект разрешает выдавать и отзывать согласия через Единую систему идентификации и аутентификации. Операторы персональных данных в случаях, которые позднее определит правительство, должны будут передавать в ЕСИА сведения о полученных и отозванных разрешениях. Через Госуслуги гражданин сможет получить информацию о факте обработки персональных данных на основании согласия и пожаловаться в уполномоченный орган на возможное нарушение.
Минцифры описывает механизм шире. На Госуслугах планируют создать платформу согласий, где пользователь сможет увидеть разрешения на обработку персональных данных, ранее выданные онлайн и офлайн, узнать, какая организация, как и зачем обрабатывает сведения, отозвать разрешение и сообщить о нарушении. Конкретный состав передаваемой в ЕСИА информации, порядок работы и случаи применения платформы правительство должно будет определить отдельно.
Механизм уже обсуждался летом, но состав Антифрода 3.0 несколько раз менялся. В августовской промежуточной редакции из пакета исчезали передача согласий через Госуслуги и возможность отзывать разрешения через портал. В опубликованном 30 сентября законопроекте соответствующие нормы появились снова.
Расширится и ГИС Антифрод. Законопроект предусматривает хранение информации о лицах, участвующих в противоправных действиях с использованием сетей связи, включая использованные абонентские номера и сведения, необходимые для регистрации или авторизации в интернет-сервисах. Норма охватывает в том числе случаи, когда номера или учетные данные неправомерно передали участникам схем либо третьим лицам.
Минцифры поясняет, что в ГИС Антифрод появится база людей, предоставляющих мошенникам свои абонентские номера и учетные данные. После получения от уполномоченных органов сведений об использовании номера в противоправных действиях оператор связи должен будет прекратить или приостановить обслуживание. Ограничение распространится и на остальные номера, выделенные тем же оператором тому же абоненту, кроме случаев, которые правительство установит отдельно.
Серьезно меняются правила распространения SIM-карт. Заключать договоры от имени оператора смогут только юридические лица с письменным агентским договором. Передавать полномочия третьим лицам запретят, а индивидуальные предприниматели и физические лица больше не смогут выступать агентами операторов при оформлении договоров. Продажей должны заниматься сотрудники юридического лица, работающие по трудовым договорам.
Отдельная мера направлена против SIM-карт с заранее внесенными деньгами. Текст законопроекта запрещает оператору зачислять средства на лицевой счет до заключения договора на услуги связи, кроме случаев, предусмотренных правилами оказания услуг. Минцифры объясняет меру переходом к продаже SIM-карт с нулевым балансом: абонент должен будет самостоятельно пополнить счет и пройти дополнительную идентификацию при платеже.
Законопроект одновременно запрещает продажу SIM-карт, которые уже предоставлены по договору другому абоненту. Ограничения распространяются и на дистанционные предложения о продаже через владельцев агрегаторов. Минцифры рассчитывает таким способом осложнить оборот предактивированных номеров, оформленных на других физических лиц, компании или индивидуальных предпринимателей.
Изменения затронут SIM-карты в устройствах межмашинного взаимодействия (M2M). Правительство получит право определять особенности оказания связи для оборудования, которое автоматически обменивается данными без участия человека. Минцифры связывает меру с борьбой против использования предназначенных для оборудования SIM-карт в незаконных обзвонах и рассылках.
Новые требования появятся и у интернет-сервисов. Владельцы сайтов, информационных систем и программ, работающих в России и предоставляющих информацию авторизованным пользователям, должны будут соблюдать установленные способы авторизации. Российские компании и граждане смогут использовать номер мобильного телефона, ЕСИА, Единую биометрическую систему либо другую российскую систему авторизации, отвечающую требованиям законодательства. Иностранный владелец ресурса должен будет авторизовывать находящихся в России пользователей с помощью абонентского номера оператора мобильной связи.
Сведения о регистрации пользователей, авторизациях и прекращении регистрации придется хранить три года с момента окончания соответствующих действий и предоставлять уполномоченным государственным органам в установленном правительством порядке. Требование обсуждалось еще в июле вместе с авторизацией сервисов, затем трехлетнее хранение исчезло из августовской версии, но в опубликованный проект вернулось.
Изменения коснутся и массовых СМС-рассылок. Законопроект запрещает включать в сообщения персональные данные получателя, членов семьи и близких родственников без законного основания для обработки такой информации. Минцифры также поясняет, что услуги СМС-рассылок смогут оказывать только операторы связи. Ведомство связывает изменение с необходимостью вывести работу агрегаторов массовых рассылок из нерегулируемой зоны и снизить риск незаконных сообщений.
Для виртуальных телефонных станций вводятся дополнительные ограничения. Оператор связи не сможет предоставлять услуги виртуальной АТС пользователю, который подключается с иностранного сетевого адреса. При использовании адресов, предоставленных российскими провайдерами, законопроект требует учитывать наличие поставщика в соответствующем реестре и назначение сетевого адреса для доступа к виртуальной телефонной станции.
У хостинг-провайдеров появятся дополнительные обязанности при работе с клиентами. Перед предоставлением вычислительных мощностей провайдер должен будет провести идентификацию или аутентификацию клиента, получить сведения о цели использования ресурсов и проверить наличие информации о клиенте в специальном реестре. При необходимости противодействовать компьютерной атаке хостинг-провайдер будет обязан прекратить предоставление мощностей после соответствующего запроса уполномоченного органа или предусмотренной законом организации.
Опубликованный документ показывает, насколько сильно Антифрод 3.0 менялся во время подготовки. В июне ведомства обсуждали около 20 инициатив, в июле сформировали одну из версий законопроекта, а в августе из промежуточного текста исчезли несколько наиболее заметных требований. К началу общественного обсуждения вернулись и трехлетнее хранение сведений об авторизациях, и механизмы работы с согласиями через Госуслуги. Проект пока не принят, поэтому формулировки могут измениться перед внесением и рассмотрением в Госдуме.
