Готовящиеся изменения правил о персональных данных: принятые законы с отсрочкой и проекты на портале НПА

Аннотация

УДК 342.9

Если 2025–2026 годы прошли под знаком быстро вступающих норм, ближайший календарь уже расписан по датам. С 1 марта 2027 г. законодательство о безопасности дорожного движения становится основанием для обработки сведений о здоровье водителей (200-ФЗ), а владельцы государственных информационных систем начинают регулярно оценивать защищённость и отчитываться перед ФСТЭК (п. 7 приложения к приказу ФСТЭК № 137). С 1 сентября 2027 г. заработают 315-ФЗ с единой формой машиночитаемой доверенности и ст. 2 265-ФЗ. Самый крупный текст пока остаётся проектом: «Антифрод 3.0» предлагает с 1 марта 2028 г. перенести учёт согласий на Госуслуги и запретить требовать согласие там, где закон его не предусматривает. На портале проектов НПА также лежат проект приказа ФСТЭК взамен приказа № 21 и проекты Минцифры об обезличивании. Срез – 12 октября 2026 г.

Ключевые слова: персональные данные, согласие, ЕСИА, Антифрод 3.0, 200-ФЗ, 315-ФЗ, машиночитаемая доверенность, ФСТЭК, обезличивание, regulation.gov.ru, оператор, ГЕНЕРАТОР152ФЗ.

Abstract

Abstract. Forthcoming personal data rules relevant to operators were outlined as of 12 October 2026. Deferred acts from 1 March 2027 (200-FZ on road-safety grounds for health data; FSTEC Order No. 137 reporting rhythm) and 1 September 2027 (315-FZ unified machine-readable power of attorney; Article 2 of 265-FZ) were summarised, together with the draft «Antifraud 3.0» (consent via ESIA from 1 March 2028), the FSTEC draft replacing Order No. 21 and Ministry of Digital Development drafts on depersonalisation.

Keywords: personal data, consent, ESIA, Antifraud 3.0, 200-FZ, 315-FZ, machine-readable power of attorney, FSTEC, depersonalisation, regulation.gov.ru, operator, GENERATOR152FZ.

Введение

Оператор, который уже перестроил согласия и базы под правила 2025–2026 годов, мог бы рассчитывать на передышку. Календарь показывает иное: часть норм уже принята и ждёт даты, часть пока существует в виде проектов. Принятое с отсрочкой – обязанность, к которой готовятся; проект – повод присмотреться, но не переписывать документы.

Состояние текста – 12 октября 2026 г. Уже применяемые правила – в обзоре изменений 2025–2026. Здесь – то, что вступит позже, и то, что пока обсуждается на regulation.gov.ru.

Водители и государственные системы

Федеральный закон от 7 июля 2025 г. № 200-ФЗ дополняет п. 7 ч. 2 ст. 10 152-ФЗ словами «о безопасности дорожного движения». Сейчас специальные категории, прежде всего сведения о здоровье, можно обрабатывать по законодательству о транспортной безопасности; с 1 марта 2027 г. таким же основанием станет и законодательство о безопасности дорожного движения. Речь о медицинском освидетельствовании водителей – норма касается перевозчиков, автопарков, работодателей водителей и медицинских организаций. Им стоит заранее поправить в политике основание обработки сведений о здоровье.

С той же даты вступает в силу п. 7 приложения к приказу ФСТЭК от 8 мая 2026 г. № 137 (правки приказа № 117). Основная часть изменений действует с 1 сентября 2026 г. и разобрана в обзоре действующих правил. Отложенный пункт вводит периодичность: оператор государственной системы оценивает показатель защищённости не реже раза в шесть месяцев и направляет результаты в ФСТЭК в течение пяти рабочих дней; подрядчика проверяют до доступа к системе и далее раз в два года. Частных ИСПДн это не касается.

Электронная подпись и доверенности

Федеральный закон от 4 августа 2026 г. № 315-ФЗ правит 63-ФЗ «Об электронной подписи». Расширяется круг лиц, на которых выдаётся сертификат ключа проверки электронной подписи, в том числе за счёт международных организаций и их филиалов; уточняются сведения о владельце сертификата и правила подписания документов представителем.

Главное для оборота – машиночитаемая доверенность. Её будут оформлять по единой форме на Госуслугах; ведомственные и иные формы допустимы только как дополнение. До 1 сентября 2027 г. действуют нынешние редакции 63-ФЗ и приказа Минцифры № 857 с изменениями, включая приказ № 1001. Действующий режим МЧД – в отдельной статье.

С той же даты вступает в силу ст. 2 Федерального закона от 26 июля 2026 г. № 265-ФЗ: информационные системы органов и организаций Москвы на единой технологической платформе создаются и развиваются по решению высшего должностного лица города. Для коммерческого оператора вне этого контура значения она не имеет; ст. 12 152-ФЗ о трансграничной передаче она не меняет (это уже сделала ст. 1 того же закона).

Согласия через Госуслуги

30 сентября 2026 г. Минцифры разместило на regulation.gov.ru проект федерального закона «О внесении изменений в Федеральный закон «О связи» и отдельные законодательные акты Российской Федерации» («Антифрод 3.0», ID 01/05/09-26/00171465). Обсуждение – до 15 октября 2026 г.; в Государственную Думу проект ещё не внесён; вступление в силу предполагается с 1 марта 2028 г.

Для оператора персональных данных важнее блок поправок в 152-ФЗ о модели согласия. Сегодня согласие живёт у оператора: он его собирает, хранит и сам решает, нужно ли оно. По замыслу проекта согласие и отзыв можно будет дать напрямую оператору или через ЕСИА, а сведения о согласиях, полученных напрямую, в том числе на бумаге, оператор будет передавать в ЕСИА. Гражданин увидит на Госуслугах, кто обрабатывает его данные по согласию, и сможет пожаловаться в Роскомнадзор.

Вторая линия – практика «согласие на всякий случай». Предлагается запретить требовать согласие, если его не предусматривают международный договор, федеральный закон или принятые на их основе акты. Для отдельных оснований ст. 6 152-ФЗ появятся отраслевые перечни состава данных и допустимых действий. Согласие на распространение – только напрямую оператору. Отдельная норма обязывает владельцев сайтов и приложений с авторизацией хранить сведения о регистрации, входах и удалении аккаунтов три года.

Если блок сохранится, к 2028 году оператору придётся заново ответить, где согласие вообще нужно, и выстроить передачу сведений о согласиях в ЕСИА. Пока это проект – переписывать формы рано.

Меры защиты в ИСПДн

На regulation.gov.ru размещён проект приказа ФСТЭК о мерах защиты персональных данных в ИСПДн взамен приказа от 18 февраля 2013 г. № 21 (карточка 01/02/07-26/00169583). Обсуждение завершилось 8 августа 2026 г.; к 12 октября 2026 г. приказ не подписан и не зарегистрирован – действует № 21.

Для частного оператора это главный из будущих текстов по защите: новая таблица мер затронет модели угроз, акты об уровне защищённости и перечни мер. Пока документ не принят, достаточно понять, какие меры сейчас держатся только на логике приказа № 21.

Обезличивание: проекты правок

В 2026 году Минцифры дважды выносило на обсуждение проекты постановления Правительства о правках режима обезличивания: в мае (ID 02/07/04-26/00167685) с изменениями постановлений № 1154, № 961 и № 733 и в августе (ID 02/07/08-26/00170063). Обсуждение обоих завершено, постановлений пока нет.

Действующий пакет – постановления № 1154, № 961, № 966 и приказ Роскомнадзора № 140 – разобран в обзоре уже применяемых правил и в статьях об обезличивании. Если проекты примут близко к опубликованному тексту, оператору с требованиями по ст. 13.1 понадобятся собственные средства обезличивания, фиксация параметров метода и порядок передачи результата.

Согласованный комплект документов по обезличиванию и защите можно собрать в конструкторе «ГЕНЕРАТОР152ФЗ».

EU KIDS Act

17 сентября 2026 г. Европейская комиссия представила инициативу EU KIDS Act, по которой предлагается установить возрастной ценз на доступ к социальным сервисам, определить безопасный дизайн по умолчанию и ввести проверку возраста пользователя. Несмотря на то, что российское законодательство гармонизировано с мировым, в частности с европейским, в настоящее время дискуссий, направленных на создание аналогичных законодательных инициатив в среде специалистов или органов власти, нет.

Заключение

К 12 октября 2026 г. календарь для оператора раскладывается на три даты. 1 марта 2027 г. – сведения о здоровье водителей (200-ФЗ) и регулярная оценка защищённости государственных систем (приказ ФСТЭК № 137). 1 сентября 2027 г. – единая форма МЧД, правки 63-ФЗ и столичная платформа. 1 марта 2028 г. – пока только в проекте «Антифрод 3.0»: учёт согласий на Госуслугах и ограничение права требовать согласие.

Проекты ФСТЭК и Минцифры до подписания и регистрации не заменяют приказ № 21 и действующий пакет обезличивания. Документы планируют по принятым датам; за проектами следят по карточкам на regulation.gov.ru.

Список литературы

1. Федеральный закон от 7 июля 2025 г. № 200-ФЗ (п. 7 ч. 2 ст. 10 152-ФЗ; вступает в силу с 01.03.2027) (дата обращения: 12.10.2026).
2. Федеральный закон от 4 августа 2026 г. № 315-ФЗ «О внесении изменений в Федеральный закон «Об электронной подписи» (вступает в силу с 01.09.2027) // URL: http://kremlin.ru/acts/bank/53590 (дата обращения: 12.10.2026).
3. Федеральный закон от 26 июля 2026 г. № 265-ФЗ (ст. 2 – с 01.09.2027) // URL: http://kremlin.ru/acts/bank/53487 (дата обращения: 12.10.2026).
4. Федеральный закон от 6 апреля 2011 г. № 63-ФЗ «Об электронной подписи».
5. Федеральный закон от 27 июля 2006 г. № 152-ФЗ «О персональных данных».
6. Приказ ФСТЭК России от 8 мая 2026 г. № 137 (п. 7 приложения – с 01.03.2027) (дата обращения: 12.10.2026).
7. Приказ ФСТЭК России от 18 февраля 2013 г. № 21 (действует на 12.10.2026).
8. Проект федерального закона («Антифрод 3.0») // regulation.gov.ru, ID 01/05/09-26/00171465 (дата обращения: 12.10.2026).
9. Проект приказа ФСТЭК России взамен приказа № 21 // regulation.gov.ru, ID 01/02/07-26/00169583 (дата обращения: 12.10.2026).
10. Проект постановления Правительства РФ (Минцифры России, май 2026 г.) // regulation.gov.ru, ID 02/07/04-26/00167685 (дата обращения: 12.10.2026).
11. Проект постановления Правительства РФ (Минцифры России, август 2026 г.) // regulation.gov.ru, ID 02/07/08-26/00170063 (дата обращения: 12.10.2026).
12. Постановление Правительства РФ от 1 августа 2025 г. № 1154; от 26 июня 2025 г. № 961 и № 966 (действующий пакет обезличивания).
13. European Commission, EU KIDS Act initiative, 17.09.2026 (сравнительный ориентир) (дата обращения: 12.10.2026).
14. Официальный сайт размещения проектов НПА. – URL: https://regulation.gov.ru/ (дата обращения: 12.10.2026).

Сведения об авторе

Афанасьев Александр Александрович, специалист по информационной безопасности, магистр управления персоналом, юрист, e-mail: info@генератор152фз.рф.