Антифрод 3.0: что ждёт сайты и как подготовиться заранее

30 сентября Минцифры опубликовало для обсуждения третий пакет мер против кибермошенничества — «Антифрод 3.0». Большая часть новостей о нём — про сим-карты и звонки, но в документе есть пункты, которые касаются почти любого сайта с личным кабинетом: способы входа, хранение данных о пользователях и согласия на обработку персональных данных. Разбираемся, что предлагают, когда это может заработать и что разумно сделать уже сейчас.

Что предлагают для сайтов

1. Установленные способы входа

Владельцы сайтов, сервисов и приложений, которые работают в России и дают доступ авторизованным пользователям, должны будут использовать только установленные способы авторизации. Для российских компаний это номер мобильного телефона, Госуслуги (ЕСИА), Единая биометрическая система или другая российская система, соответствующая законодательству. Иностранные сервисы должны авторизовывать пользователей из России только по номеру российского мобильного оператора.

Что это может значить на практике: вход только по e-mail и паролю или через зарубежные соцсети может оказаться недостаточным.

2. Хранение данных о входах — три года

Сведения о регистрации пользователей, их входах и удалении аккаунтов предлагают хранить три года и по запросу передавать уполномоченным госорганам. Порядок передачи определит правительство.

Для владельца сайта это означает журналы авторизаций, место для их хранения и защиту: такие данные сами по себе становятся персональными и требуют аккуратного обращения.

3. Согласия на обработку ПД — через Госуслуги

Согласия на обработку персональных данных можно будет выдавать и отзывать через Госуслуги. На портале появится платформа согласий: пользователь увидит, кому что разрешил, сможет отозвать согласие и пожаловаться на нарушение. В случаях, которые определит правительство, операторы будут передавать туда сведения о согласиях.

4. СМС-рассылки без лишних данных

В СМС запретят указывать персональные данные получателя, его родственников и близких без законного основания. Это стоит учесть в шаблонах уведомлений и рассылок.

Когда это может заработать

Сейчас это проект: он вынесен на общественное обсуждение и ещё не внесён в Госдуму. По данным СМИ, в опубликованной редакции срок вступления в силу — 1 марта 2028 года. Формулировки до принятия могут измениться.

Показательна история самих норм. По сообщениям отраслевых изданий, в августовской редакции пакета требование хранить журналы входов и пункт о согласиях через Госуслуги из текста убирали. А в версии, опубликованной 30 сентября, они снова на месте. Требования к сайтам то исчезают, то возвращаются — и угадать финальную редакцию заранее невозможно.

Паниковать рано, готовиться — самое время

До 2028 года ещё далеко, и переделывать сайт прямо сейчас под проект закона не нужно. Но есть вещи, которые полезны при любом исходе: они уже сегодня нужны для соответствия 152-ФЗ и снижают риск срочных переделок в будущем.

1. Проверьте способы входа. Какие варианты авторизации есть на сайте сейчас и насколько сложно будет добавить вход по номеру телефона или через Госуслуги.
2. Разберитесь с журналами входов. Где хранятся данные о регистрациях и авторизациях, сколько времени и у кого есть к ним доступ.
3. Проверьте согласия. С 2025 года согласие на обработку персональных данных должно оформляться отдельно, а на сайте должна быть актуальная политика обработки ПД.
4. Наведите порядок с cookie и счётчиками. Баннер о cookie и сбор данных аналитики — одна из самых частых проблем при проверках.
5. Пересмотрите шаблоны СМС и писем — уберите из них персональные данные, без которых можно обойтись.
6. Закладывайте требования в новые проекты. Если вы планируете новый сайт или крупное обновление, дешевле сразу предусмотреть гибкую авторизацию и хранение журналов, чем переделывать потом.

prdomain.ru — проверка сайта на опережение

Проверить, как сайт соответствует требованиям к персональным данным уже сейчас, можно в нашем сервисе prdomain.ru. Он анализирует уведомление о cookie, политику обработки персональных данных, формы согласия и пользовательские соглашения и показывает, что стоит исправить.

Сервис работает на опережение: мы следим за законопроектами вроде «Антифрод 3.0» и заранее готовим проверки под новые требования — способы авторизации, работу с согласиями, хранение данных о пользователях. Так вы узнаете, что нужно поменять на сайте, до того как изменения станут обязательными, а не в последний момент.

Доработаем сайт под новые требования

Если проверка покажет, что сайту нужны изменения, мы доработаем его: настроим баннер cookie и блокировку счётчиков до согласия, оформим согласия и политику, подготовим авторизацию к новым способам входа. Работаем с сайтами на 1С-Битрикс и других платформах. Оставьте заявку — оценим, что нужно сделать на вашем сайте.