Бизнес просит смягчить третий антифрод-пакет Минцифры

Бизнес попросил Минцифры смягчить третий антифрод-пакет — набор мер против телефонных и сетевых мошенников. Отраслевые ассоциации, чьи отзывы изучил Forbes, возражают против двух вещей сразу: обязанности хранить данные о регистрациях и входах пользователей целых три года и размытых формулировок про корпоративные VPN.

Почему именно это? Держать три года все входы и регистрации — это лишние серверы и расходы буквально на ровном месте, говорят компании. Сам пакет «Антифрод 3.0» Минцифры вынесли на обсуждение на regulation.gov.ru 30 сентября; он правит законы «О связи», «О персональных данных», «Об информации» и ряд других, а вступить в силу может с марта 2028 года.

Это уже третий заход. Пакет стал продолжением прежних наборов — «Антифрод 1.0» 2025 года и «Антифрод 2.0», подписанного летом, — которые, по оценке властей, уже помогли сбить число преступлений. Среди новых мер — отключение номеров подозреваемых по запросу ФСБ и МВД, единая платформа согласий на «Госуслугах», проверка хостинг-клиентов через реестр Роскомнадзора и расширение госсистемы «Антифрод».

Рабочий VPN — это не обход

Отдельная боль — корпоративные VPN. По проекту правительство по согласованию с ФСБ сможет диктовать таким сервисам требования, а параллельно создаётся реестр нелегальных VPN-провайдеров. Бизнес боится, что под эту гребёнку попадут и внутренние сети компаний — то есть их обяжут уведомлять Роскомнадзор и по сути приравняют к средствам обхода блокировок.

А ведь это принципиально разные вещи. Как поясняет гендиректор хостинг-провайдера RUVDS Никита Цаплин, корпоративный VPN — не лазейка на запрещённые сайты, а штатный инструмент: через него сотрудники безопасно подключаются к собственным серверам компании. Формально закон такие сети и сейчас выводит из-под удара, но именно расплывчатость новых формулировок и пугает рынок.

Разница между «обходом» и «рабочим доступом» в законе должна быть выписана предельно чётко. Пока же она держится на оговорках — а оговорку при желании всегда можно прочитать широко. Отсюда и тревога: сегодня исключение есть, а завтра его сузят одним абзацем.

Счёт за чужих мошенников

Претензий у бизнеса куда больше. Компании предупредили о рисках массовой блокировки корпоративных сим-карт, роста издержек на хранение и простоя важных сервисов — и всё из-за нечётких критериев, под которые при желании подпадает добросовестный пользователь. Получается, что за уловки мошенников счёт рискует оплатить обычный бизнес.

В Минцифры отвечают, что версия не финальная: предложения рассмотрят и доработают вместе с ведомствами. И, судя по всему, бизнес уже услышали — по данным СМИ, из новой редакции пакета, отправленной на межведомственное согласование, самое спорное требование о трёхлетнем хранении убрали.

Так что исход пока открыт. Министерство балансирует между задачей прижать мошенников и нежеланием парализовать работу легального бизнеса — а окончательный состав мер, по его собственным словам, ещё не сформирован.

Нарушитель поневоле

Трёхлетнее хранение всех входов и регистраций — это не просто расходы, а новая зона ответственности. Чем больше чувствительных данных компания обязана держать у себя, тем выше риск при утечке и тем строже спрос за сохранность данных. По сути бизнес заставляют копить то, что завтра само может стать мишенью для тех же мошенников — и отвечать за это по закону о персональных данных.

Главный же риск спрятан в определениях. Если корпоративный VPN приравняют к сервисам обхода блокировок, под ограничение попадёт обычный рабочий инструмент — и компании окажутся нарушителями, по сути ничего не нарушив. Юридически это та самая ситуация, когда ответственность возникает не из действия, а из размытой формулировки.

И вот тут важен статус документа. Пока это проект на общественном обсуждении, а не закон, и отзывы бизнеса имеют вес именно сейчас. После принятия спорить о запятых будет поздно — поэтому вся борьба идёт на стадии текста, а не правоприменения. Собственно, первые уступки Минцифры показывают, что на этой стадии голос рынка ещё слышен.