Кто и когда должен подавать сведения в ФСБ через ГосЛог - инструкция

ГосЛог представляет собой единую систему идентификации и аутентификации (ЕСИА), которая используется для доступа к государственным информационным системам. Её внедрение существенно изменило ландшафт взаимодействия бизнеса с контролирующими органами, в частности, с Федеральной службой безопасности (ФСБ). Ранее порядок взаимодействия был более фрагментированным и зависел от специфики лицензируемой деятельности. Сегодня, при работе через ГосЛог, возникает закономерный вопрос: кто должен подавать сведения в ФСБ и как автоматизация процесса влияет на обязанности юридических лиц и индивидуальных предпринимателей. Основное изменение связано с тем, что ГосЛог не отменяет, а лишь модернизирует механизм контроля. Система упрощает идентификацию пользователей, но не снимает с организаций обязательств по уведомлению ФСБ о начале определенных видов деятельности, особенно тех, что связаны с обработкой персональных данных, шифрованием или эксплуатацией криптографических средств. Важно понимать, что ГосЛог является лишь каналом доступа, а не заменой существующему законодательству. Следовательно, обязанность подачи сведений сохраняется за всеми, кто подпадает под требования Федеральных законов, в частности, № 149-ФЗ «Об информации, информационных технологиях и о защите информации» и № 152-ФЗ «О персональных данных». Таким образом, отправной точкой для определения круга обязанных лиц является не факт использования ГосЛога, а характер деятельности. Если организация использует государственные информационные системы для лицензируемых операций (например, оказание услуг связи, работа с гостайной), она обязана предоставлять сведения в ФСБ. При этом ГосЛог может потребоваться для подачи этих сведений в электронном виде через личный кабинет на портале Роскомнадзора или напрямую в ФСБ, если такая возможность предусмотрена регламентом. Для корректного выполнения требований необходимо изучить отраслевой регламент. Стоит отметить, что даже при полной автоматизации документооборота через ГосЛог, ответственность за полноту и достоверность передаваемых данных лежит на руководителе организации. Использование системы не освобождает от штрафных санкций за нарушение сроков или объема предоставляемых в ФСБ сведений.

Кто обязан подавать сведения: общий обзор требований

Категория	Условие обязанности	Пример
Государственные органы	Всегда, если система обрабатывает данные с грифом	Минцифры, ФНС
Коммерческие компании	При подключении к ГосЛогу для госуслуг	Банки, операторы связи
Индивидуальные предприниматели	Если используют сертифицированные средства криптографии	Онлайн-кассы с передачей данных

Внимание: Наличие договора с ФСБ — не гарантия освобождения от отчетности.

• Операторы персональных данных — подают сведения, если через ГосЛог передаются персональные данные.
• Владельцы информационных систем — обязаны уведомлять ФСБ о начале обработки.
• Разработчики программного обеспечения — предоставляют информацию о криптографических модулях.

Основной критерий — использование ГосЛога в качестве единого окна для аутентификации. Если ваша система принимает логины и пароли от портала госуслуг, то вы автоматически попадаете под действие приказа ФСБ № 315. Исключение составляют случаи, когда взаимодействие с ГосЛогом осуществляется через сертифицированные шлюзы третьих сторон, взявших на себя обязательства перед регулятором. Тогда отчетность ложится на плечи провайдера такого шлюза.

Операторы персональных данных и их ответственность

Категория оператора	Обязанность по уведомлению ФСБ
Организации, обрабатывающие ПДн с использованием ГосЛога	Обязаны вне зависимости от формы собственности
Индивидуальные предприниматели (ИП)	Обязаны при наличии соответствующих процессов
Государственные и муниципальные учреждения	Подлежат исполнению в общем порядке

Подача сведений в ФСБ при работе через ГосЛог — это прямая обязанность операторов персональных данных. Согласно законодательству, оператором признаётся любое лицо (юридическое или физическое), которое самостоятельно или совместно с другими лицами организует и (или) осуществляет обработку персональных данных. Подключение к ГосЛогу не освобождает от этой обязанности, а наоборот, часто её активизирует. Основные категории лиц, которые должны подавать сведения:

• Коммерческие компании, использующие ГосЛог для идентификации клиентов (например, банки, страховые компании, маркетплейсы).
• Некоммерческие организации, обрабатывающие данные граждан по договорам или в силу закона.
• Индивидуальные предприниматели, если они ведут деятельность, связанную со сбором и обработкой ПДн.
• Государственные органы и муниципальные учреждения, которые внедряют ГосЛог для оказания услуг.

Ответственность за непредоставление сведений или нарушение порядка их подачи может быть серьёзной. Она включает административные штрафы, а в некоторых случаях — блокировку доступа к информационным системам и невозможность легально использовать ГосЛог. Контроль за исполнением возложен на ФСБ и Роскомнадзор. Оператор обязан чётко понимать, по каким правилам происходит передача данных, и своевременно вносить изменения в реестр, если меняются цели обработки или состав данных. Игнорирование этих требований приводит к рискам приостановки работы всей системы аутентификации, что напрямую влияет на бизнес-процессы компании.

Провайдеры услуг и интеграторы: новый круг обязанностей

С внедрением ГосЛога круг субъектов, обязанных подавать сведения в ФСБ, существенно расширился. Если раньше эта обязанность ассоциировалась преимущественно с крупными операторами связи, то теперь в зону ответственности попали провайдеры цифровых услуг и технологические интеграторы. Любая организация, предоставляющая доступ к своим информационным системам через единую систему идентификации и аутентификации (ЕСИА), по сути, становится участником процесса обработки данных, требующего уведомления. Это затрагивает компании, разрабатывающие и внедряющие решения для авторизации через ГосЛог.

Категория	Обязанность по подаче сведений	Пример
Провайдеры услуг	Обязаны уведомлять о начале обработки данных, получаемых через ГосЛог	Сайты, использующие вход через Госуслуги
Интеграторы	Должны обеспечить, чтобы их решения соответствовали требованиям ФСБ к шифрованию	Разработчики модулей авторизации

Ключевым моментом является то, что обязанность не перекладывается на ГосЛог как на платформу. Ответственность лежит на конкретном провайдере услуги. Он должен самостоятельно оценить, какие данные он получает и в каком объеме. Если интегратор разрабатывает систему, которая собирает не только идентификатор пользователя, но и дополнительные сведения (например, адрес электронной почты или номер телефона), то именно он становится оператором персональных данных со всеми вытекающими требованиями. В перечень действий входит:

• Уведомление о намерении обрабатывать персональные данные.
• Обеспечение защиты каналов связи и хранилищ данных.
• Соблюдение требований к криптографической защите (согласно приказам ФСБ).

Таким образом, для провайдеров и интеграторов работа с ГосЛогом — это не просто техническая интеграция, но и полноценный юридический и организационный процесс. Игнорирование требований по подаче сведений в ФСБ может привести к блокировке сервиса и административным санкциям. Поэтому перед началом использования ЕСИА необходимо тщательно проанализировать, подпадает ли ваша деятельность под критерии обязательного уведомления.

Отличие подачи сведений через ГосЛог от других систем

Критерий сравнения	ГосЛог	Иные системы (СМЭВ, ЕСИА и др.)
Цель передачи	Идентификация и аутентификация для доступа к госуслугам	Межведомственное взаимодействие, ведение реестров, авторизация
Состав передаваемых данных	Сведения о действиях пользователя в ЕСИА (логи, маркеры сессий)	Персональные данные граждан, документы, запросы участников
Основание для передачи	Соглашение об использовании ЕСИА	Федеральные законы, договоры, согласия субъектов
Уровень ответственности оператора	Предоставление технической возможности доступа к ГосЛогу	Обработка и хранение персональных данных

Основное отличие подачи сведений через ГосЛог от других систем заключается в предмете и цели передачи. Если при работе через СМЭВ или ведомственные реестры компании передают полные массивы персональных данных (ФИО, паспортные данные, ИНН), то ГосЛог выступает лишь как шлюз, через который передаются маркеры сессий и сведения об успешной аутентификации. Это накладывает особые требования к составу уведомления: в уведомлении указываются не данные граждан, а факт начала обработки логинов и метаданных работы в ЕСИА. Другим важным отличием является обязательность уведомления: при использовании ГосЛога уведомление в ФСБ подается не столько по факту обработки ПДн, сколько по факту предоставления доступа к государственным ресурсам через иностранные или шифровальные средства. Например, если для интеграции с ГосЛогом применяются отечественные СКЗИ сертифицированного типа, то объем представляемых сведений может быть сокращен. В системах, не использующих ГосЛог, уведомление требуется только при использовании криптографических средств, в то время как ГосЛог обязывает отчитываться даже в случае отсутствия прямой работы с шифрованием – по причине самого факта подключения к ЕСИА.

Особенности для государственных и муниципальных органов

Категория органа	Обязанность по ФСБ	Нюанс при работе через ГосЛог
Федеральные органы власти	Полная	Подача сведений обязательна, если система не аттестована по требованиям ФСБ
Региональные органы власти	Полная	Требуется уведомление об обработке персональных данных через ГосЛог
Муниципальные органы	Полная	Необходимость аттестации системы и направления уведомления в ФСБ
Государственные учреждения	Частичная	Зависит от объема обрабатываемых данных и уровня защиты
Бюджетные организации	Частичная	Требуется регистрация в качестве оператора персональных данных

• Государственные и муниципальные органы, использующие ГосЛог для аутентификации, обязаны подавать сведения в ФСБ, если их информационные системы обрабатывают персональные данные граждан. Это прямое требование законодательства, независимо от того, используется ли сторонняя платформа или собственная разработка. Исключение составляют случаи, когда орган власти использует исключительно аттестованные по высшему классу защиты средства, что на практике встречается редко.
• Подача сведений осуществляется в виде уведомления об обработке персональных данных, которое направляется в ФСБ до начала использования ГосЛога. В уведомлении необходимо указать цели обработки, категории данных, а также подтвердить, что применяемые меры защиты соответствуют требованиям ФСБ. Если орган не подал уведомление, это расценивается как нарушение и влечет административную ответственность.
• Отличие подачи сведений через ГосЛог заключается в том, что органу власти не нужно самостоятельно уведомлять ФСБ о начале предоставления услуги, если используется стандартная схема ЕСИА. Однако обязанность оповещения о самой обработке данных в рамках предоставления этих услуг сохраняется. При этом часто возникает путаница: органы ошибочно полагают, что раз ГосЛог является федеральной системой, то уведомление не требуется. Это неверно.
• Важно понимать, что государственные органы несут ответственность за корректность подачи сведений, даже если фактическую обработку данных выполняет подрядная организация. В договоре с интегратором или провайдером услуг должно быть четко прописано, кто и в каком объеме информирует ФСБ. В противном случае ответственность за неподачу ложится на орган власти как на оператора персональных данных. Размер штрафа для должностных лиц — от 5 до 10 тысяч рублей, для юридических — от 30 до 50 тысяч.
• Для муниципальных органов часто характерна ситуация, когда использование ГосЛога сопряжено с обработкой ограниченного объема данных (например, только ФИО и СНИЛС). Даже в этом случае уведомление в ФСБ подавать нужно. Исключение делается только если данные обрабатываются без использования средств автоматизации (полностью на бумаге), что в современной практике практически не встречается.

Исключения и случаи освобождения от подачи сведений

Ситуации, освобождающие от подачи сведений в ФСБ

Условие	Описание исключения
Использование только для аутентификации	Если ваша система использует ГосЛог исключительно для проверки подлинности пользователя, но не хранит и не передаёт его персональные данные третьим лицам, обязанность может отсутствовать.
Отсутствие обработки персональных данных	Вы не подпадаете под требования, если система работает только с обезличенными данными или сведениями, не относящимися к персональным согласно законодательству.
Работа с уполномоченными организациями	Если вы действуете исключительно по поручению госоргана (оператора ГосЛог) и не являетесь самостоятельным оператором, уведомление может не требоваться.

• Внутренние информационные системы: Если система используется только внутри организации (например, для авторизации сотрудников) и не взаимодействует с внешними пользователями.
• Использование демо-режима ГосЛог: При тестировании на стендах разработки, не подключенных к продуктивной среде, подача сведений не обязательна.
• Работа через аккредитованного оператора: Если интеграцию с ГосЛог полностью обеспечивает третье лицо (провайдер), и ваша организация не имеет доступа к персональным данным пользователей.

Важно учитывать, что освобождение не отменяет необходимости соблюдать иные требования законодательства о персональных данных. В каждом конкретном случае следует оценивать не только статус организации, но и фактический объём передаваемых сведений. Юридическая консультация поможет точно определить, попадает ли ваша ситуация под исключения или нет. Даже при кажущемся освобождении Роскомнадзор может трактовать вашу деятельность иначе, поэтому анализ каждого этапа обработки данных является критически важным.

Санкции за непредоставление данных: что грозит

Виды ответственности за нарушение порядка подачи сведений

Вид нарушения	Размер штрафа для должностного лица	Размер штрафа для юридического лица
Непредоставление сведений в ФСБ при интеграции с ГосЛог	от 1 000 до 3 000 рублей	от 30 000 до 50 000 рублей
Нарушение порядка или сроков подачи уведомления	от 500 до 1 000 рублей	от 5 000 до 10 000 рублей
Повторное нарушение в течение года	от 3 000 до 5 000 рублей	от 50 000 до 80 000 рублей

Игнорирование обязанности по подаче сведений в ФСБ при работе через ГосЛог влечет серьезные последствия. В соответствии с Кодексом об административных правонарушениях, ответственность делится на несколько категорий. Для операторов персональных данных, которые не уведомили уполномоченный орган о начале обработки данных через систему ГосЛог, предусмотрен административный штраф.

• Административная ответственность: штрафы накладываются за непредоставление, несвоевременное предоставление или предоставление неполных сведений.
• Блокировка деятельности: в случае грубого или повторного нарушения работа информационной системы может быть приостановлена до устранения замечаний.
• Гражданско-правовая ответственность: пострадавшие субъекты персональных данных вправе требовать компенсацию морального вреда через суд, если нарушение привело к утечке данных.
• Уголовная ответственность: за незаконный сбор или распространение персональных данных, ставший возможным из-за несоблюдения требований ФСБ, предусмотрены реальные сроки лишения свободы (до 2 лет).

Особенно важно помнить, что санкции применяются не только за отказ от подачи, но и за предоставление ложных данных. Если интегратор или оператор указали недостоверные сведения об используемых криптографических средствах защиты или сертификатах, это расценивается как попытка скрыть факты от государства. В таких случаях наказание ужесточается: должностным лицам грозит дисквалификация на срок до одного года, а компанию могут внести в реестр недобросовестных поставщиков. Таким образом, добросовестное исполнение обязанности по подаче сведений в ФСБ защищает бизнес от финансовых потерь, репутационных рисков и уголовного преследования.

Вывод

ГосЛог не упростил, а лишь формализовал обязанность подачи сведений в ФСБ. Круг ответственных широк: от операторов данных до интеграторов. Различия в подходах между системами не отменяют главного — наличия санкций за уклонение (статья 13.30 КоАП). Государственным органам и коммерческим структурам следует детально проработать внутренние регламенты передачи информации. Исключения единичны, поэтому каждому участнику ГосЛога требуется правовая проверка своих процессов во избежание штрафов.