Как защитить персональные данные при утечках через Госуслуги без согласия?

Ситуация, которую вы описываете, затрагивает сразу несколько уровней: юридический (законодательство о персональных данных), технический (архитектура государственных информационных систем) и практический (реальное взаимодействие ведомств).

Разберем по порядку, как это устроено с точки зрения закона РФ и почему на практике возникают описанные вами проблемы.

1. Основания для передачи данных без вашего согласия

По закону «О персональных данных» (№ 152-ФЗ), согласие гражданина — не единственное законное основание для обработки информации. В статье 6 этого закона перечислены случаи, когда данные могут обрабатываться и передаваться без прямого согласия:

Для исполнения полномочий органов государственной власти и предоставления госуслуг (п. 4 ч. 1 ст. 6). Если вы обратились за пособием или записались к врачу, ведомство обязано проверить ваши данные в других реестрах (например, Социального фонда России).

Для исполнения договора, стороной которого вы являетесь.

Для осуществления правосудия или исполнения судебных актов.

Для защиты жизни, здоровья или иных жизненно важных интересов субъекта, если получение его согласия невозможно.

Для выполнения функций, возложенных законом на государственные органы (например, передача данных в налоговую службу, военкомат или правоохранительные органы).

Когда вы видите уведомление «услуга оказана, данные выданы», чаще всего речь идет именно об этом. Например, при оформлении пособия СФР запрашивает сведения о вашей трудовой деятельности напрямую у Пенсионного фонда и налоговой через систему межведомственного электронного взаимодействия (СМЭВ). Ваше отдельное согласие на этот конкретный запрос не требуется, так как обмен происходит внутри единой системы государственного управления. Однако согласно ст. 18 закона № 152-ФЗ, оператор обязан предоставить информацию субъекту о том, кому и какие данные были переданы, по запросу самого гражданина.

2. Шантаж необходимостью регистрации на Госуслугах

С юридической точки зрения принуждение к регистрации незаконно. Согласно Федеральному закону № 210-ФЗ «Об организации предоставления государственных и муниципальных услуг», гражданин имеет право подать заявление лично, через МФЦ или почтой. Требование зарегистрироваться на портале под угрозой отказа в услуге является нарушением регламента.

Однако на практике многие ведомства действительно отказываются принимать бумажные заявления или затягивают их обработку до минимума (по регламенту ответ может занимать до 30 дней), делая цифровой канал единственным реально рабочим. Это связано с внутренними KPI ведомств по цифровизации и сокращению штата сотрудников, принимающих документы вручную.

3. Почему нет уведомлений о каждом получателе, цели и основании

Технически система Госуслуг работает иначе, чем привыкли пользователи коммерческих сервисов. Уведомление приходит от конечного ведомства, которое получило услугу (например, «Департамент образования обработал ваше заявление»). Но само промежуточное звено — запросы между ведомствами через СМЭВ — пользователю не транслируется, чтобы не перегружать ленту тысячами технических сообщений.

Информацию о том, кто именно, когда и на каком основании запрашивал ваши данные, получить можно, но это требует активных действий:

Запрос выписки из Цифрового профиля: На самих Госуслугах есть раздел «Профиль» -> «Данные и контакты» -> «Управление согласиями». Там отображаются активные разрешения, которые вы давали коммерческим организациям (банкам, страховым). Межведомственные запросы там обычно не видны.

Обращение в Минцифры или Роскомнадзор: Вы имеете право направить официальный запрос оператору инфраструктуры электронного правительства (Минцифры России) с требованием предоставить лог всех межведомственных запросов ваших данных за определенный период. Ответить вам обязаны в течение 30 дней.

Судебный порядок: Если ведомство отказывается предоставлять логи, это можно обжаловать в суде со ссылкой на нарушение права на доступ к информации о себе (ст. 14 закона № 152-ФЗ).

4. Куда утекают данные

Утечки происходят не столько из-за того, что государство «раздает данные направо и налево», сколько из-за компрометации учетных записей пользователей и взломов баз конкретных подрядчиков:

Фишинг и социальная инженерия: Большинство утечек персонально привязанных данных происходит, когда мошенники обманом заставляют пользователя самого продиктовать коды из СМС или установить программу удаленного доступа. Получив доступ к вашему аккаунту, злоумышленник видит всё то же самое, что и вы.

Взлом ИТ-инфраструктуры посредников: Госуслуги сами хранят лишь часть данных. Основной массив распределен по ведомствам. Утечки регулярно случаются из региональных медицинских информационных систем, баз страховых компаний, банков и операторов связи, куда данные попали легально по каналам СМЭВ. Взломав одну слабозащищенную региональную базу поликлиники, хакеры получают связку ФИО, паспорт, полис ОМС и диагнозы.

Инсайдерские угрозы: Продажа выгрузок недобросовестными сотрудниками организаций, имеющих доступ к государственным шлюзам.

Ошибки конфигурации БД: Оставленные открытыми тестовые базы данных разработчиков госсервисов.

Государство борется с этим введением единых стандартов безопасности КИИ (критической информационной инфраструктуры) и уголовной ответственностью за утечки, но архитектура СМЭВ подразумевает наличие сотен узлов (каждое министерство, регион, муниципалитет), и уровень защиты везде разный.

Что можно сделать прямо сейчас:

Настроить безопасность аккаунта. Включите двухфакторную аутентификацию (вход по СМС или коду в приложении) и запретите вход по одноразовому коду на короткий номер (это основной инструмент мошенников). Установите контрольный вопрос.

Проверить банковские согласия. В мобильных приложениях крупных банков (СберБанк, ВТБ, Тинькофф и др.) зайдите в настройки профилей и отключите «Цифровой профиль Госуслуг» или пункт «Разрешить банку получать данные из Госуслуг». Банки часто подтягивают оттуда данные для предодобренных кредитов без вашего ежеминутного ведома.

Минимизировать поверхность атаки. Удалите из профиля Госуслуг все необязательные документы (ИНН, загранпаспорт, данные автомобиля), если они не нужны вам для текущих услуг. Нет в базе — нельзя украсть.

Использовать альтернативные каналы. Если услуга принципиально требует личного обращения, требуйте письменный отказ в приеме бумажного заявления с указанием нормативного акта. Обычно после этой просьбы сотрудники МФЦ находят способ принять документ.

Подать жалобу. Если вас вынуждают регистрироваться ради услуги, которая по закону предоставляется офлайн, жалобу можно направить через сам портал Госуслуг (раздел «Жалоба на решение/бездействие») или в прокуратуру.

Полностью остановить автоматический обмен данными между ведомствами нельзя — тогда перестанут работать базовые сервисы (начисление пенсий, оплата налогов, работа скорой помощи с вашими аллергиями в электронной медкарте). Но ограничить избыточный сбор данных банками и страховыми, а также контролировать историю своих обращений вполне реально.