Третий антифрод-пакет опубликован: что он требует от сайтов, рассылок и продавцов сим-карт

Минцифры 30 сентября вынесло на общественное обсуждение третий пакет мер против мошенников. Утром того же дня о подготовке пакета рассказал вице-премьер Дмитрий Григоренко, и мы разбирали, что пакет меняет в продаже сим-карт. Опубликованный проект оказался шире: он касается владельцев сайтов с формой входа, рассылок и согласий на передачу персональных данных. Обсуждение продлится до 15 октября, а основные нормы должны вступить в силу с 1 марта 2028 года.

Что ждет владельцев сайтов

Если на сайте или в информационной системе есть форма авторизации, владельцы будут обязаны хранить данные три года и предоставлять их силовым органам по запросу, пишет «Коммерсантъ». Речь о сведениях о регистрации, авторизациях и удалении аккаунтов пользователей, уточняет «Код Дурова». Российские сайты должны будут авторизовывать пользователей по номеру телефона, через ЕСИА, через биометрию или через собственную систему. Иностранные сайты смогут авторизовать пользователей в России только по номеру телефона.

Распространение этих требований «на любые приложения создаст дополнительную нагрузку на владельцев, операторов или тех, кто эксплуатирует сервисы», считает Александр Дельва из СКБ «Контур». Максим Копов из ГК «КОРУС Консалтинг» ожидает, что крупные игроки в сроки уложатся. «У среднего и малого бизнеса шансов намного меньше», — говорит он.

Согласия и рассылки

В ЕСИА, инфраструктуре «Госуслуг», создадут единую платформу согласий. По данным «Коммерсанта», речь о согласиях на передачу персональных данных, «Код Дурова» пишет об учете всех согласий на их обработку. Передавать персональные данные абонента в рассылках без законных оснований проект запрещает. Как платформа будет работать на практике и придется ли собирать согласия через нее, из опубликованных описаний пока не ясно.

Что будет с сим-картами

Продавать сим-карты через агрегаторы, например маркетплейсы, проект запрещает: это право остается только у оператора. Договоры от имени оператора смогут заключать только юрлица, а онлайн — только с электронной подписью. Если в устройстве есть eSIM, в договор нужно внести данные об этом устройстве и его идентификаторе. По данным «Кода Дурова», операторам также запретят продавать сим-карты с заранее внесенным балансом и перепродавать номера. В Т2 считают избыточным требование исключить ИП из дилеров, в «МегаФоне» поддерживают ужесточение, но тоже против исключения ИП, пишет «Коммерсантъ».

Что делать сейчас

До вступления основных норм в силу больше двух лет, а текст еще может измениться по итогам обсуждения. Владельцам сайтов с личным кабинетом уже сейчас стоит проверить, какие данные о регистрации и входах они хранят и сколько будет стоить хранить их три года. Тем, кто собирает лиды и делает рассылки, стоит следить за тем, как опишут платформу согласий.