На федеральном портале regulation.gov.ru до 21 сентября 2026 года идёт общественное обсуждение проекта постановления Правительства РФ «О федеральной государственной информационной системе здоровья спортсменов» (ID проекта 170530, разработчик — ФМБА России). Каждый родитель вправе направить замечания — они обязательны к рассмотрению, а разработчик обязан опубликовать по каждому свою позицию.
Единая федеральная база «ФГИС здоровья спортсменов». Сведения будут собирать не только о членах сборных, но и о тех, кто только числится кандидатом — а в списки кандидатов сборных субъектов РФ попадают и дети 8–12 лет.
В базу вносятся 17 видов сведений, среди них:Данные обязывают обновлять в течение 10 рабочих дней после каждого изменения (п. 11), а хранить — без ограничения срока (п. 15).
1. Медицинская карта ребёнка — пожизненно. П. 15 устанавливает бессрочное хранение. Травма, диагноз или особенность развития, зафиксированные в 10 лет, останутся навсегда и будут сопровождать человека при поступлении в вуз, на работу, при страховании. Ребёнок не может «перерасти» запись о себе. Между тем закон (ч. 2 и ч. 7 ст. 5 № 152-ФЗ) прямо требует: обработка ограничивается конкретными целями и не длится дольше, чем нужно. Цель — «медико-биологическое обеспечение спортсменов». Для того, кто закончил со спортом, вышел на пенсию или умер, этой цели больше нет.
2. Согласие для вида, а отказаться нельзя. Проект упоминает только согласие законного представителя за несовершеннолетнего (п. 6). Право отказаться до внесения данных не предусмотрено вовсе. А фактически отказаться нельзя: данные подают в том числе «своя» федерация и «свой» центр спортивной подготовки — те, кто выдают справку-допуск. Ссора с ними означает конец спортивной карьеры. Согласие, полученное в условиях зависимости, юридически не является согласием — закон (ч. 4 ст. 9 № 152-ФЗ) требует, чтобы оно было конкретным, информированным, сознательным и добровольным. Главное, чего нет в проекте: отказ не должен влиять на допуск к занятиям и на включение в списки.
3. Подпись ребёнка до 14 лет ничего не значит. По п. 1 ст. 28 ГК РФ сделки за малолетних совершают только родители, усыновители или опекуны. Согласие на обработку данных — юридически значимое действие. Если спортивная организация «по привычке», как в школе, возьмёт согласие у самого юного спортсмена — оно ничтожно, а данные внесены неправомерно. Родитель вправе требовать их удаления. Проект эту проблему не решает: он не фиксирует, кто именно и как оформляет согласие по возрастным группам.
4. Медицинские данные у немедицинских организаций. Сведения о здоровье — специальная категория данных (ст. 10 № 152-ФЗ) и врачебная тайна (ст. 13 № 323-ФЗ). Их нельзя передавать структурам, не обязанным хранить врачебную тайну. Проект формулирует круг доступа расплывчато — «в соответствии с компетенцией».
5. Защита — на словах. Защита описана одной фразой «выполнение требований законодательства» (п. 8 «д»). При этом в одном месте собирают здоровье, адреса и документы физически подготовленных граждан. Нет ни класса защищённости, ни журналов доступа (кто и когда открывал данные о ребёнке), ни обязанности уведомлять об утечках. База без такого режима — мишень для взлома и слива.
6. Номер вместо имени. Первым пунктом стоит СНИЛС. По закону № 27-ФЗ этот номер имеет строго ограниченное назначение — персонифицированный учёт в пенсионной системе, — а не роль сквозного идентификатора человека во всех сферах жизни. Непредставление номера не должно лишать ребёнка права заниматься спортом.
Скопировать в «ГРАФА 1. Ваше общее мнение по предлагаемому регулированию?» следующий текст:
Цель проекта — систематизация медико-биологического обеспечения спортсменов — поддерживаю. Однако представленная редакция Положения противоречит Федеральному закону от 27.07.2006 № 152-ФЗ «О персональных данных» и создаёт угрозу правам несовершеннолетних спортсменов и их родителей.
ПОПРАВКА 1. Пункт 2 — ограничить цели обработки сведений
Редакция:
Дополнить пункт 2 подпунктом «в» следующего содержания:
«в) обработка сведений, предусмотренных пунктом 4 настоящего Положения, осуществляется исключительно в целях медико-биологического обеспечения спортсменов, профилактики и лечения, предусмотренных подпунктом «б» настоящего пункта, и не допускается в целях, несовместимых с указанными.»
Обоснование:
1. Прямое нарушение закона. Часть 2 статьи 5 Федерального закона от 27.07.2006 № 152-ФЗ устанавливает императивное требование: «Обработка персональных данных должна ограничиваться достижением конкретных, заранее определенных и законных целей. Не допускается обработка персональных данных, несовместимая с целями сбора персональных данных». В пункте 2 проекта цели сформулированы только как «задачи системы» (информационное взаимодействие и автоматизация процессов), но правовой запрет на использование сведений в иных целях отсутствует. Это означает, что акт прямо допускает несовместимую обработку — то есть норму, противоречащую федеральному закону.
2. Административная ответственность оператора. Обработка персональных данных, несовместимая с целями сбора, образует состав правонарушения, предусмотренного частью 1 статьи 13.11 КоАП РФ (предупреждение или административный штраф). Положение, не фиксирующее ограничение целей, фактически воспроизводит на уровне подзаконного акта состав административного правонарушения и делает его «легальным» режимом работы системы.
3. Риск признания акта недействующим. Постановление Правительства РФ может быть оспорено в Верховном Суде РФ (глава 21 КАС РФ, статьи 208, 213, 215). Нормативный правовой акт, противоречащий части 2 статьи 5 № 152-ФЗ, подлежит признанию недействующим полностью или в соответствующей части. Отмена Положения после того, как система уже создана и наполнена данными о детях, повлечёт не только правовую неопределённость, но и необходимость уничтожения накопленных сведений и возврат потраченных бюджетных средств.
4. Коррупциогенный фактор. Согласно Методике проведения антикоррупционной экспертизы (утв. постановлением Правительства РФ от 26.02.2010 № 96) отсутствие в нормативном акте ограничений целей и оснований использования сведений образует коррупциогенный фактор «широта дискреционных полномочий» (подпункт «а» пункта 3), а также «отсутствие или неполнота административных процедур» (подпункт «ж» пункта 3). Это самостоятельное основание для отрицательного заключения антикоррупционной экспертизы и для протеста прокурора (статьи 9.1 и 23 Федерального закона «О прокуратуре Российской Федерации»).
5. Судебная практика. Неопределённость целей обработки персональных данных систематически признаётся судами основанием для признания соответствующих норм недействующими, поскольку часть 2 статьи 5 № 152-ФЗ носит императивный характер и не допускает расширительного толкования.
Отказ во включении настоящей поправки будет означать, что разработчик сознательно сохраняет в проекте норму, воспроизводящую состав административного правонарушения и коррупциогенный фактор, что не может быть обосновано ни целями медико-биологического обеспечения, ни формальными основаниями. Прошу отразить мотивированную позицию по настоящему предложению в сводке предложений.
ПОПРАВКА 2. Пункт 4, подпункты «а» и «б» — СНИЛС не может быть обязательным идентификатором
Редакция:
1. Изложить подпункт «а» пункта 4 в следующей редакции:
«а) о страховом номере индивидуального лицевого счёта спортсмена в системе индивидуального (персонифицированного) учёта — при наличии. Непредставление спортсменом либо его законным представителем страхового номера индивидуального лицевого счёта не является основанием для отказа во внесении сведений, во включении спортсмена в списки кандидатов или в спортивные сборные команды, в допуске к спортивной подготовке и к участию в спортивных соревнованиях. Идентификация спортсмена в информационной системе обеспечивается средствами единой системы идентификации и аутентификации и учётным номером записи информационной системы. Использование страхового номера индивидуального лицевого счёта в целях, не предусмотренных Федеральным законом от 01.04.1996 № 27-ФЗ «Об индивидуальном (персонифицированном) учёте в системе обязательного пенсионного страхования», не допускается;»
2. В подпункте «б» пункта 4 после слов «на протяжении жизни спортсмена» дополнить словами «, за исключением сведений об изменениях фамилии, имени и отчества, произошедших до достижения спортсменом возраста восемнадцати лет, если спортсмен после достижения совершеннолетия не дал согласия на их обработку».
Обоснование:
1. Нарушение целевого назначения номера. Статья 1 и статья 3 Федерального закона от 01.04.1996 № 27-ФЗ определяют страховой номер индивидуального лицевого счёта как реквизит, используемый исключительно в целях индивидуального (персонифицированного) учёта в системе обязательного пенсионного страхования. Превращение СНИЛС в обязательный сквозной идентификатор спортсмена в ФГИС выходит за пределы установленного федеральным законом назначения номера. Подзаконный акт не вправе расширять сферу применения СНИЛС, поскольку это означает фактическое введение нового режима идентификации гражданина без федерального закона — в нарушение части 3 статьи 55 Конституции РФ.
2. Умаление человеческого достоинства. Статья 21 Конституции РФ охраняет достоинство личности и запрещает его умаление. Постановка номера страхового счёта первым в перечне идентификаторов, впереди имени гражданина, и превращение его в обязательное условие занятия спортом означает низведение человека до номера и лишает возможности реализовывать права граждан, которые по убеждениям не приемлют номерную идентификацию. Отказ от предоставления СНИЛС не может служить основанием для ограничения права ребёнка на занятие спортом.
3. Административная ответственность. Обработка персональных данных, несовместимая с целями сбора, и избыточная по отношению к целям обработка образуют составы правонарушений, предусмотренных частью 1 статьи 13.11 КоАП РФ. Сбор СНИЛС, не обусловленный целями медико-биологического обеспечения, является избыточным (часть 5 статьи 5 № 152-ФЗ) и влечёт административную ответственность оператора.
4. Принуждение к предоставлению сведений. Норма, ставящая включение в списки сборных и допуск к соревнованиям в зависимость от предоставления СНИЛС, является скрытой формой принуждения к сообщению сведений, предоставление которых не обязательно в силу закона. Такая конструкция не имеет правового основания в действующем законодательстве и при оспаривании будет признана ограничением прав, не предусмотренным федеральным законом.
5. Риск признания акта недействующим. Норма, устанавливающая обязательность СНИЛС вне пределов его законодательного назначения, может быть оспорена в Верховном Суде РФ (глава 21 КАС РФ) и подлежит признанию недействующей в этой части. Последствием станет необходимость пересмотра уже сформированных учётных записей и уничтожения сведений, собранных на основании незаконной нормы.
6. Избыточность сведений об изменениях ФИО за детский возраст. Сбор всех случаев изменения фамилии, имени и отчества «на протяжении жизни», включая изменения, произошедшие до 18 лет, не соответствует целям медико-биологического обеспечения (часть 5 статьи 5 № 152-ФЗ) и затрагивает право гражданина на имя (статья 19 ГК РФ), а также право на защиту сведений о перемене имени, предусмотренное Федеральным законом от 15.11.1997 № 143-ФЗ «Об актах гражданского состояния». Хранение таких сведений о детстве лица без его согласия создаёт пожизненный идентификационный след, не обусловленный медицинскими целями.
7. Коррупциогенный фактор. Наделение оператора и поставщиков информации правом требовать СНИЛС как обязательное условие реализации прав спортсмена образует коррупциогенный фактор «широта дискреционных полномочий» (подпункт «а» пункта 3 Методики проведения антикоррупционной экспертизы, утв. постановлением Правительства РФ от 26.02.2010 № 96), поскольку создаёт возможность произвольного отказа во внесении сведений и во включении в списки по немотивированному основанию.
Отказ во включении настоящей поправки будет означать сознательное сохранение в проекте нормы, расширяющей целевое назначение СНИЛС за пределы федерального закона, создающей состав административного правонарушения и коррупциогенный фактор. Прошу отразить мотивированную позицию по настоящему предложению в сводке предложений.
ПОПРАВКА 3. Пункт 4, подпункты «д» и «е» — исключить избыточный сбор сведений об адресе и документах
Редакция:
1. Изложить подпункт «д» пункта 4 в следующей редакции:
«д) об адресе места жительства спортсмена. Сведения об адресе места пребывания вносятся только в объёме, необходимом для организации медико-биологического обеспечения в период проведения соответствующих мероприятий, и подлежат удалению по истечении 30 дней со дня окончания соответствующего мероприятия;»
2. Изложить подпункт «е» пункта 4 в следующей редакции:
«е) о серии, номере и дате выдачи документа, удостоверяющего личность спортсмена, — в части последних четырёх знаков номера и даты выдачи, за исключением случаев, когда полные сведения необходимы для оформления медицинских документов».
Обоснование:
1. Прямое нарушение принципа минимальности. Часть 5 статьи 5 Федерального закона № 152-ФЗ устанавливает: «Содержание и объём обрабатываемых персональных данных должны соответствовать заявленным целям обработки. Обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки». Адрес места пребывания и полные реквизиты паспорта (свидетельства о рождении) не используются при медико-биологическом обеспечении спортсменов на постоянной основе и являются избыточными. Для медицинских целей достаточно адреса места жительства и частичных (маскированных) реквизитов документа.
2. Риск кражи личности несовершеннолетнего. Консолидация в одной системе полных реквизитов документа, удостоверяющего личность (включая свидетельство о рождении), адреса места жительства и места пребывания, а также сведений о здоровье создаёт возможность кражи личности ребёнка. Полные данные свидетельства о рождении и адрес — это исходные данные для оформления документов на имя несовершеннолетнего третьими лицами. В совокупности с постоянным хранением (пункт 15 проекта) и отсутствием класса защищённости (пункт 8) это создаёт критический риск для безопасности детей.
3. Адрес места пребывания = реконструкция перемещений. Постоянное хранение адреса места пребывания (спортивные сборы, соревнования, учебно-тренировочные базы) в совокупности с данными о здоровье и документами позволяет реконструировать график перемещений ребёнка и может быть использовано для противоправных действий. Часть 2 статьи 5 № 152-ФЗ прямо требует, чтобы обработка не была несовместима с целями сбора. Цель — медицинское обеспечение, а не геолокация спортсмена.
4. Административная ответственность. Обработка избыточных данных образует состав правонарушения, предусмотренный частью 1 статьи 13.11 КоАП РФ (предупреждение или административный штраф). Оператор, обрабатывающий полные реквизиты паспорта и адрес места пребывания без обоснованной медицинской необходимости, будет нести административную ответственность за каждый случай такой обработки.
5. Требование об обезличивании. Часть 9 статьи 3 № 152-ФЗ устанавливает: «Обезличивание персональных данных — действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных». Для целей медико-биологического обеспечения достаточно маскированных реквизитов документов (последние 4 цифры номера + дата выдачи) и краткосрочного хранения адреса места пребывания. Полное хранение не обосновано.
6. Коррупциогенный фактор. Отсутствие в проекте ограничения по объёму собираемых идентифицирующих сведений и по срокам их хранения образует коррупциогенный фактор «отсутствие или неполнота административных процедур» (подпункт «ж» пункта 3 Методики проведения антикоррупционной экспертизы), поскольку оператор получает неограниченное право на постоянное хранение полных идентификаторов без механизма контроля обоснованности.
7. Практика защиты данных. Стандарты обработки персональных данных (в том числе рекомендации ФСТЭК России) предусматривают маскирование идентификационных данных при их хранении, если полные сведения не требуются для постоянного использования. Это минимизирует последствия утечек и является общепринятой практикой защиты данных.
Отказ во включении настоящей поправки будет означать сознательное сохранение в проекте избыточного объёма персональных данных несовершеннолетних, создающего риск кражи личности, состав административного правонарушения и коррупциогенный фактор. Прошу отразить мотивированную позицию по настоящему предложению в сводке предложений.
ПОПРАВКА 4. Пункт 4, подпункт «т» — исключить сведения о добровольном медицинском страховании
Редакция:
В подпункте «т» пункта 4 исключить слова «или его договора (полиса) добровольного медицинского страхования».
Обоснование:
1. Избыточность по отношению к целям. Часть 5 статьи 5 Федерального закона № 152-ФЗ требует, чтобы объём обрабатываемых персональных данных соответствовал заявленным целям обработки. Цель информационной системы — медико-биологическое обеспечение спортсменов в рамках государственного задания (пункт 2 проекта). Реквизиты полиса добровольного медицинского страхования не используются при оказании медицинской помощи в рамках государственного задания и являются избыточными.
2. Коммерческая информация. Договор ДМС — это соглашение между гражданином (его родителем) и частной страховой компанией. Сведения о наличии, реквизитах и условиях полиса ДМС относятся к коммерческой информации и могут содержать сведения об имущественном положении семьи. Их сбор в государственную информационную систему для целей, не связанных с исполнением государственного задания, не обоснован.
3. Нарушение прав третьих лиц — страховщиков. Данные полиса ДМС включают реквизиты страховой организации и номер договора, что позволяет идентифицировать страховщика. Передача этих сведений без согласия страховой организации может нарушать её права и создаёт риск недобросовестного использования информации о страховых продуктах.
4. Административная ответственность. Обработка избыточных данных образует состав правонарушения по части 1 статьи 13.11 КоАП РФ. Оператор, требующий предоставления реквизитов полиса ДМС, не обусловленных целями медико-биологического обеспечения, подлежит административной ответственности.
5. Дискриминация по имущественному признаку. Требование предоставить сведения о ДМС косвенно позволяет классифицировать семьи по имущественному положению (наличие/отсутствие полиса, тип полиса). Это создаёт почву для дискриминации и не соответствует целям государственного обеспечения спорта.
6. Риск признания нормы недействующей. Норма, предусматривающая сбор сведений о ДМС без обоснования их необходимости для медико-биологического обеспечения, может быть оспорена в Верховном Суде РФ и подлежит признанию недействующей как противоречащая части 5 статьи 5 № 152-ФЗ.
Отказ во включении настоящей поправки будет означать сознательное сохранение в проекте избыточного сбора коммерческой информации о семьях спортсменов, создающего состав административного правонарушения и риск дискриминации. Прошу отразить мотивированную позицию по настоящему предложению в сводке предложений.
ПОПРАВКА 5. Пункт 6 — согласие на обработку по возрастным группам и право отказа (КЛЮЧЕВАЯ ПРАВКА)
Редакция:
Изложить пункт 6 в следующей редакции:
«6. Обработка сведений, указанных в пункте 4 настоящего Положения, осуществляется на основании согласия на обработку персональных данных:
1. в отношении спортсмена, достигшего возраста восемнадцати лет, — на основании согласия самого спортсмена;
2. в отношении несовершеннолетнего спортсмена в возрасте от четырнадцати до восемнадцати лет — на основании согласия самого несовершеннолетнего и письменного согласия его законного представителя;
3. в отношении малолетнего спортсмена, не достигшего возраста четырнадцати лет, — на основании согласия его законного представителя. Согласие на обработку сведений, указанных в подпунктах «н» – «р» пункта 4 настоящего Положения, в отношении несовершеннолетнего, достигшего возраста пятнадцати лет, даётся несовершеннолетним самостоятельно в соответствии с частями 2 и 3 статьи 20 и статьёй 54 Федерального закона от 21.11.2011 № 323-ФЗ «Об основах охраны здоровья граждан в Российской Федерации». Согласие должно содержать перечень сведений, цели их обработки, срок обработки, наименование оператора и перечень лиц, которым сведения могут быть предоставлены. Спортсмен либо его законный представитель вправе отказаться от внесения сведений в информационную систему. Отказ, равно как и отзыв согласия, не является основанием для отказа во включении спортсмена в списки кандидатов в спортивные сборные команды и в спортивные сборные команды, в допуске к прохождению спортивной подготовки и к участию в спортивных соревнованиях, для расторжения договора о спортивной подготовке либо для применения иных мер, ухудшающих положение спортсмена. Внесение сведений в информационную систему без согласия, предусмотренного настоящим пунктом, не допускается.»
Обоснование:
1. Нарушение дееспособности малолетних. Пункт 1 статьи 28 Гражданского кодекса РФ устанавливает: «За несовершеннолетних, не достигших четырнадцати лет (малолетних), сделки, за исключением указанных в пункте 2 настоящей статьи, могут совершать от их имени только их родители, усыновители или опекуны». Согласие на обработку персональных данных — это юридически значимое действие, аналогичное сделке. Подпись ребёнка до 14 лет на согласии юридически ничтожна, а сведения, внесённые на основании такого «согласия», обработаны неправомерно. Проект не фиксирует, кто именно оформляет согласие по возрастным группам, что на практике приведёт к массовому неправомерному внесению данных детей.
2. Нарушение прав несовершеннолетних 14–18 лет. Статья 26 ГК РФ и часть 6 статьи 9 № 152-ФЗ прямо устанавливают: несовершеннолетние в возрасте от 14 до 18 лет дают согласие на обработку сами, но с письменного согласия законного представителя. Проект игнорирует это требование, предусматривая только согласие законного представителя (пункт 6 в действующей редакции).
3. Нарушение медицинской автономии подростков. Части 2 и 3 статьи 20 и статья 54 Федерального закона № 323-ФЗ предусматривают, что с 15 лет несовершеннолетний самостоятельно даёт информированное добровольное согласие на медицинское вмешательство и распоряжается сведениями о состоянии своего здоровья (врачебная тайна). Сведения, указанные в подпунктах «н»–«р» пункта 4 проекта, — это именно медицинская информация, и с 15 лет её обработка требует согласия самого подростка, а не только родителя.
4. Несвободное согласие = ничтожность согласия. Часть 4 статьи 9 № 152-ФЗ требует, чтобы согласие было конкретным, информированным, сознательным и добровольным. Согласие, данное под угрозой отказа в допуске к спортивной подготовке, не является добровольным. Проект назначает поставщиками информации спортивные федерации и центры спортивной подготовки (пункты 7 «ж»–«и», 10), то есть структуры, от которых напрямую зависит выдача справки-допуска и включение в списки. Отказ родителя дать согласие фактически означает конец спортивной карьеры ребёнка. Такое согласие юридически ничтожно как данное под принуждением.
5. Отсутствие права на отказ = ограничение прав без федерального закона. Часть 3 статьи 55 Конституции РФ допускает ограничение прав и свобод только федеральным законом. Проект не предусматривает права отказаться от внесения сведений и не запрещает ухудшение положения спортсмена при отказе. Фактически это означает, что постановление Правительства вводит обязательность обработки персональных данных как условие реализации права на занятие спортом — что является ограничением прав без федерального закона.
6. Административная и уголовная ответственность. Обработка персональных данных без согласия субъекта либо на основании ничтожного согласия образует состав правонарушения, предусмотренный частью 2 статьи 13.11 КоАП РФ (административный штраф на должностных лиц от 10 000 до 20 000 рублей, на юридических лиц — от 15 000 до 75 000 рублей). При неоднократности либо при причинении вреда возможна квалификация по статье 137 Уголовного кодекса РФ (нарушение неприкосновенности частной жизни).
7. Массовость нарушения. В списки кандидатов в сборные субъектов РФ включаются сотни тысяч несовершеннолетних, значительная часть — дети до 14 лет. Отсутствие порядка согласия по возрастным группам приведёт к массовому неправомерному внесению их данных, что повлечёт массовые жалобы родителей, прокурорские проверки и административную ответственность операторов в каждом регионе.
8. Риск признания акта недействующим. Норма, не устанавливающая порядок согласия в соответствии с требованиями статей 28, 26 ГК РФ, части 6 статьи 9 № 152-ФЗ и статей 20, 54 № 323-ФЗ, подлежит признанию недействующей Верховным Судом РФ как противоречащая федеральному закону.
9. Коррупциогенный фактор. Отсутствие права на отказ и гарантий того, что отказ не повлечёт негативных последствий, образует коррупциогенный фактор «широта дискреционных полномочий» (подпункт «а» пункта 3 Методики антикоррупционной экспертизы), поскольку поставщики информации получают возможность произвольно отказывать в допуске к спорту при отсутствии согласия.
Отказ во включении настоящей поправки будет означать сознательное сохранение в проекте нормы, нарушающей дееспособность малолетних, права несовершеннолетних 14–18 лет, медицинскую автономию подростков, конституционный запрет на ограничение прав без федерального закона, создающей массовый состав административного правонарушения и коррупциогенный фактор. Прошу отразить мотивированную позицию по настоящему предложению в сводке предложений.
ПОПРАВКА 6. Пункт 8 — установить реальные требования к защите информации
Редакция:
1. Дополнить пункт 8 подпунктом «е» следующего содержания:
«е) обеспечение в информационной системе уровня защищённости, соответствующего первому классу защищённости, определённого в соответствии с законодательством Российской Федерации об информации, информационных технологиях и о защите информации.»
2. Дополнить пункт 8 абзацем следующего содержания:
«Учитывая консолидацию в информационной системе сведений о состоянии здоровья, месте жительства и документах, удостоверяющих личность, физически подготовленной группы граждан, обработка сведений осуществляется с применением мер, предусмотренных для государственных информационных систем, содержащих специальные категории персональных данных, включая ведение журналов учёта доступа с указанием лица и основания доступа, незамедлительное уведомление уполномоченных органов о неправомерном доступе, а также регистрацию информационной системы в качестве значимого объекта критической информационной инфраструктуры в случае отнесения к таковым. Передача сведений, содержащихся в информационной системе, за пределы территории Российской Федерации не допускается.»
Обоснование:
1. Нарушение требований к защите специальных категорий данных. Часть 1 статьи 19 Федерального закона № 152-ФЗ устанавливает: «Оператор при обработке персональных данных обязан принимать необходимые правовые, организационные и технические меры или обеспечивать их принятие для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных». Сведения о здоровье — специальная категория данных (часть 1 статьи 10 № 152-ФЗ), требующая усиленных мер защиты. Проект ограничивается отсылочной формулировкой «выполнение требований законодательства» (подпункт «д» пункта 8), не устанавливая конкретных мер.
2. Отсутствие класса защищённости. Приказ ФСТЭК России от 18.02.2013 № 21 «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных» обязывает оператора устанавливать класс защищённости информационной системы (от К1 до К4 в зависимости от категории данных, количества субъектов и актуальности угроз). Обработка специальных категорий данных (здоровье) в отношении сотен тысяч субъектов предполагает класс К1 (первый, наивысший). Проект этого не фиксирует, что сделает систему уязвимой.
3. Отсутствие журналирования доступа. Требования к защите персональных данных предусматривают обязательное ведение журналов доступа: кто, когда, к каким данным и на каком основании получил доступ. Это единственный способ установить виновных при утечке и единственный сдерживающий фактор для инсайдеров. Проект не содержит требования о журналировании, что делает невозможным расследование инцидентов.
4. Отсутствие обязанности уведомлять об утечках. Часть 3.1 статьи 21 № 152-ФЗ (введена Федеральным законом от 30.12.2020 № 519-ФЗ) обязывает оператора в случае инцидента, связанного с нарушением конфиденциальности персональных данных, уведомить Роскомнадзор в течение 24 часов и субъектов данных в течение 72 часов. Проект не фиксирует эту обязанность, что создаёт риск сокрытия утечек.
5. Критическая информационная инфраструктура. Федеральный закон от 26.07.2017 № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации» предусматривает обязательную категоризацию и регистрацию значимых объектов КИИ. Государственная информационная система, консолидирующая данные о здоровье, адресах и документах физически подготовленной группы граждан (спортсменов), является потенциальной мишенью для иностранных спецслужб (медико-биологический анализ, выявление уязвимостей, подготовка провокаций). Отсутствие требования о категорировании и регистрации в реестре КИИ оставляет систему вне государственной системы обнаружения и предупреждения компьютерных атак (ГосСОПКА).
6. Административная ответственность. Нарушение требований к защите персональных данных образует состав правонарушения, предусмотренный частью 1 статьи 13.11 и частью 1 статьи 13.12 КоАП РФ (административный штраф на должностных лиц до 50 000 рублей, на юридических лиц — до 500 000 рублей либо административное приостановление деятельности). Утечка данных о здоровье несовершеннолетних повлечёт для оператора и должностных лиц массовую административную и гражданскую ответственность (компенсация морального вреда каждому субъекту данных по статье 17 № 152-ФЗ).
7. Риск утечки и её последствия. Единая федеральная база здоровья спортсменов — это привлекательная цель для взлома: консолидация идентификаторов (СНИЛС, паспорт, адрес) + медицинские диагнозы + физическая подготовленность. При утечке эти данные могут быть использованы для: (а) кражи личности детей; (б) шантажа и вымогательства (диагнозы, травмы); (в) целевых кибератак на спортсменов перед соревнованиями; (г) дискредитации спортсменов-кандидатов через публикацию медицинской информации; (д) медико-биологического анализа противником. Без класса защищённости К1, журналирования и обязанности уведомлять об утечках система будет взломана.
8. Коррупциогенный фактор. Отсутствие конкретных требований к защите информации образует коррупциогенный фактор «отсутствие или неполнота административных процедур» (подпункт «ж» пункта 3 Методики антикоррупционной экспертизы), поскольку оператор получает возможность самостоятельно определять уровень защиты, что открывает возможность для коррупции при закупке средств защиты информации.
Отказ во включении настоящей поправки будет означать сознательное сохранение в проекте нормы, не обеспечивающей защиту специальных категорий персональных данных сотен тысяч несовершеннолетних, создающей риск массовой утечки данных, состав административного правонарушения, коррупциогенный фактор и угрозу безопасности Российской Федерации. Прошу отразить мотивированную позицию по настоящему предложению в сводке предложений.
ПОПРАВКА 7. Пункт 9 — защита несовершеннолетних кандидатов
Редакция:
Дополнить пункт 9 абзацем следующего содержания:
«В отношении несовершеннолетнего спортсмена внесение сведений осуществляется только при наличии согласия, предусмотренного пунктом 6 настоящего Положения. Внесение сведений, указанных в подпунктах «н» – «р» пункта 4 настоящего Положения, в отношении несовершеннолетнего, не достигшего возраста пятнадцати лет, осуществляется при наличии согласия его законного представителя; в отношении несовершеннолетнего, достигшего возраста пятнадцати лет, — при наличии его собственного согласия. Внесение сведений в отношении малолетнего спортсмена осуществляется в объёме, минимально необходимом для целей медико-биологического обеспечения.»
Обоснование:
1. Особая уязвимость несовершеннолетних кандидатов. Пункт 9 проекта предусматривает внесение сведений в период нахождения в списках кандидатов в спортивные сборные команды. В списки кандидатов сборных субъектов РФ включаются дети с 8–10 лет (гимнастика, фигурное катание, плавание и др.). Это означает, что проект распространяет полный объём обработки данных, включая медицинские сведения (подпункты «н»–«р» пункта 4), на малолетних, не достигших 14 лет, — самую уязвимую категорию субъектов данных. Между тем пункт 6 проекта не устанавливает порядок согласия по возрастным группам и не предусматривает специальной защиты прав детей.
2. Нарушение принципа минимальности для малолетних. Часть 5 статьи 5 № 152-ФЗ требует, чтобы объём данных соответствовал целям обработки и не был избыточным. Для малолетнего кандидата, только начинающего спортивную подготовку, полный объём медицинских данных (включая результаты медико-биологического обеспечения, справки-допуски, антидопинговые мероприятия) избыточен. Достаточно минимального набора сведений, необходимого для безопасного участия в занятиях.
3. Отсутствие согласия = массовое неправомерное внесение данных. Пункт 9 не содержит отсылки к пункту 6 и не устанавливает обязательность согласия для внесения сведений о кандидатах. Это означает, что данные несовершеннолетних кандидатов могут быть внесены без согласия родителей — что прямо противоречит части 1 статьи 9 № 152-ФЗ (обработка по основаниям, в том числе по согласию) и пункту 1 статьи 28 ГК РФ (за малолетних действуют только законные представители).
4. Административная ответственность. Внесение сведений о несовершеннолетних без согласия законных представителей образует состав правонарушения по части 2 статьи 13.11 КоАП РФ (административный штраф). Массовость субъектов (сотни тысяч детей-кандидатов) повлечёт массовую административную ответственность поставщиков информации в каждом регионе.
5. Риск признания нормы недействующей. Норма, допускающая внесение медицинских сведений о малолетних без согласия законных представителей и в избыточном объёме, подлежит признанию недействующей Верховным Судом РФ как противоречащая части 5 статьи 5, части 1 статьи 9, части 1 статьи 10 № 152-ФЗ и пункту 1 статьи 28 ГК РФ.
Отказ во включении настоящей поправки будет означать сознательное сохранение в проекте нормы, допускающей неправомерное внесение медицинских данных сотен тысяч малолетних без согласия родителей и в избыточном объёме, создающей массовый состав административного правонарушения. Прошу отразить мотивированную позицию по настоящему предложению в сводке предложений.
ПОПРАВКА 8. Пункт 11 — обновление сведений не должно продлевать согласие
Редакция:
Дополнить пункт 11 абзацами следующего содержания:
«Обновление сведений осуществляется в пределах срока действия согласия на обработку персональных данных и не продлевает указанный срок. Обновление сведений, указанных в подпунктах «н» – «р» пункта 4 настоящего Положения, в отношении несовершеннолетнего спортсмена осуществляется при сохранении согласия, предусмотренного пунктом 6 настоящего Положения.»
Обоснование:
1. Превращение срочного согласия в бессрочное. Пункт 11 проекта обязывает поставщиков информации обновлять сведения в течение 10 рабочих дней со дня их изменения. Подпункт «в» пункта 8 обязывает поставщиков обеспечивать «актуальность, достоверность и полноту» сведений, что означает постоянную актуализацию. При отсутствии в проекте нормы о том, что обновление не продлевает срок действия согласия, это фактически превращает однажды данное согласие в бессрочное: каждое обновление трактуется как «новая обработка», и срок согласия отсчитывается заново. Это обходной путь для обхода части 7 статьи 5 № 152-ФЗ (хранение не дольше, чем требуют цели).
2. Нарушение права на отзыв согласия. Часть 2 статьи 9 № 152-ФЗ устанавливает право субъекта отозвать согласие. Если постоянное обновление автоматически продлевает обработку без повторного согласия, право на отзыв становится фикцией: родитель отозвал согласие, но через неделю поставщик внёс обновление, и обработка продолжается.
3. Особенность несовершеннолетних. Для несовершеннолетнего спортсмена согласие на обработку медицинских сведений (подпункты «н»–«р» пункта 4) с 15 лет даёт он сам (части 2 и 3 статьи 20 № 323-ФЗ). Если согласие было дано родителем в 14 лет, а обновление происходит в 15 лет, требуется новое согласие самого подростка. Проект этого не учитывает.
4. Административная ответственность. Обработка персональных данных после прекращения действия согласия либо после его отзыва образует состав правонарушения по части 2 статьи 13.11 КоАП РФ (штраф на должностных лиц от 10 000 до 20 000 рублей, на юридических лиц — от 15 000 до 75 000 рублей).
5. Коррупциогенный фактор. Отсутствие прямого ограничения срока обработки через механизм «постоянного обновления» образует коррупциогенный фактор «широта дискреционных полномочий» (подпункт «а» пункта 3 Методики антикоррупционной экспертизы), поскольку оператор получает возможность произвольно продлевать обработку данных без повторного согласия.
Отказ во включении настоящей поправки будет означать сознательное сохранение в проекте нормы, превращающей срочное согласие в бессрочное и лишающей граждан права на отзыв согласия, создающей состав административного правонарушения и коррупциогенный фактор. Прошу отразить мотивированную позицию по настоящему предложению в сводке предложений.
ПОПРАВКА 9. Пункт 15 — ограничить сроки хранения сведений
Редакция:
Изложить пункт 15 в следующей редакции:
«15. Сведения, содержащиеся в информационной системе, хранятся в течение срока нахождения спортсмена в списках кандидатов в спортивные сборные команды и (или) в составе спортивных сборных команд, а также в течение трёх лет со дня прекращения нахождения в указанных списках и (или) составах, после чего подлежат уничтожению либо обезличиванию, если более длительный срок не установлен федеральным законом. Сведения, указанные в подпунктах «н» – «р» пункта 4 настоящего Положения, хранятся в соответствии со сроками хранения медицинской документации, установленными законодательством Российской Федерации в сфере охраны здоровья, но не более двадцати пяти лет, и по истечении указанного срока подлежат уничтожению либо обезличиванию. Обработка сведений прекращается, а сведения подлежат уничтожению либо обезличиванию в течение тридцати дней с даты поступления отзыва согласия на обработку персональных данных в соответствии с частью 5 статьи 21 Федерального закона «О персональных данных». При поступлении сведений о смерти спортсмена либо при завершении им спортивной деятельности обработка его персональных данных в информационной системе прекращается, а сведения подлежат уничтожению либо обезличиванию.»
Обоснование:
1. Прямое нарушение принципа ограниченности сроков хранения. Часть 7 статьи 5 Федерального закона № 152-ФЗ устанавливает: «Хранение персональных данных должно осуществляться в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки персональных данных, если срок хранения персональных данных не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных. Обрабатываемые персональные данные подлежат уничтожению либо обезличиванию по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено федеральным законом». Пункт 15 проекта устанавливает бессрочное хранение — это прямое нарушение императивной нормы федерального закона.
2. Пожизненный медицинский профиль ребёнка. Заявленная в пункте 2 проекта цель — «медико-биологическое обеспечение спортсменов» — относится к действующим спортсменам. Для лица, завершившего занятия спортом, вышедшего на пенсию или умершего, цель обработки отпадает. Часть 2 статьи 5 № 152-ФЗ прямо запрещает обработку, несовместимую с целями сбора. Бессрочное хранение данных бывших спортсменов не соответствует цели и является несовместимой обработкой. Последствие: травма, диагноз или особенность развития, зафиксированные в возрасте 8–14 лет, будут сопровождать человека всю жизнь — при поступлении в вуз, трудоустройстве, страховании. Ребёнок не может «перерасти» запись о себе.
3. Нарушение прав совершеннолетних бывших спортсменов. Лицо, давшее в детстве согласие (через родителя) на обработку медицинских данных для целей занятия спортом, при достижении 18 лет и прекращении спортивной деятельности вправе ожидать, что его детские медицинские данные уничтожены. Бессрочное хранение лишает его этого права. При этом отзыв согласия (по пункту 15 проекта — единственный способ удаления) для лица, не знающего о существовании записи, невозможен.
4. Административная ответственность. Хранение персональных данных дольше, чем требуют цели обработки, образует состав правонарушения по части 1 статьи 13.11 КоАП РФ. Оператор, хранящий медицинские сведения бывших спортсменов, пенсионеров и умерших, будет нести административную ответственность.
5. Риск признания нормы недействующей. Норма, устанавливающая бессрочное хранение персональных данных при заранее определённых и ограниченных целях обработки, прямо противоречит части 7 статьи 5 и части 2 статьи 5 № 152-ФЗ и подлежит признанию недействующей Верховным Судом РФ.
6. Коррупциогенный фактор. Бессрочное хранение без установленных критериев удаления (кроме отзыва согласия, о котором субъект может не знать) образует коррупциогенный фактор «отсутствие или неполнота административных процедур» (подпункт «ж» пункта 3 Методики антикоррупционной экспертизы), поскольку оператор получает неограниченное право на постоянное хранение любых сведений.
7. Несовместимость с правом на забвение. Концепция «права на забвение» (признанная судебной практикой Европейского суда по правам человека и закреплённая в ряде правовых систем) предполагает, что лицо вправе требовать удаления сведений о своём прошлом, если они более не актуальны и не обусловлены законными интересами обработки. Детские медицинские данные бывшего спортсмена, хранимые десятилетиями, — классический случай для права на забвение.
Отказ во включении настоящей поправки будет означать сознательное сохранение в проекте нормы, прямо нарушающей часть 7 и часть 2 статьи 5 № 152-ФЗ, создающей пожизненный медицинский профиль несовершеннолетних, состав административного правонарушения и коррупциогенный фактор. Прошу отразить мотивированную позицию по настоящему предложению в сводке предложений.
ПОПРАВКА 10. Пункт 12 — медицинские сведения только медицинским организациям
Редакция:
Дополнить пункт 12 абзацем следующего содержания:
«Доступ к сведениям, указанным в подпунктах «н» – «р» пункта 4 настоящего Положения, предоставляется исключительно медицинским организациям и органам управления здравоохранением, участвующим в медико-биологическом обеспечении спортсменов, и не предоставляется иным поставщикам информации и пользователям, не обязанным сохранять врачебную тайну в соответствии со статьёй 13 Федерального закона от 21.11.2011 № 323-ФЗ «Об основах охраны здоровья граждан в Российской Федерации».»
Обоснование:
1. Нарушение режима врачебной тайны. Статья 13 Федерального закона № 323-ФЗ устанавливает: «Сведения о факте обращения гражданина за оказанием медицинской помощи, состоянии его здоровья и диагнозе, иные сведения, полученные при его медицинском обследовании и лечении, составляют врачебную тайну». Часть 1 статьи 13 прямо запрещает разглашение врачебной тайны лицами, которым она стала известна при исполнении трудовых, должностных, служебных и иных обязанностей. Передача сведений о здоровье (подпункты «н»–«р» пункта 4 проекта) немедицинским организациям — спортивным федерациям, центрам спортивной подготовки, Минспорту — является разглашением врачебной тайны, поскольку указанные субъекты не обязаны её сохранять.
2. Нарушение режима специальных категорий персональных данных. Часть 1 статьи 10 Федерального закона № 152-ФЗ относит сведения о здоровье к специальным категориям персональных данных и устанавливает запрет на их обработку, за исключением перечня оснований. Пункт 3 части 2 статьи 10 допускает обработку специальных категорий данных «в медико-профилактических целях, в целях установления медицинского диагноза, оказания медицинских и медико-социальных услуг при условии, что обработка этих персональных данных осуществляется лицом, профессионально занимающимся медицинской деятельностью и обязанным в соответствии с законодательством Российской Федерации сохранять врачебную тайну». Спортивные федерации и центры спортивной подготовки не являются медицинскими организациями и не обязаны сохранять врачебную тайну, следовательно, не могут обрабатывать сведения о здоровье.
3. Административная и уголовная ответственность. Разглашение врачебной тайны влечёт административную ответственность по части 1 статьи 13.14 КоАП РФ (административный штраф на граждан от 1 000 до 2 000 рублей, на должностных лиц — от 4 000 до 5 000 рублей). При причинении вреда здоровью либо иных тяжких последствий возможна квалификация по части 2 статьи 137 Уголовного кодекса РФ (штраф, обязательные или исправительные работы, арест). Предоставление доступа к медицинским сведениям немедицинским организациям создаёт массовый состав указанных правонарушений.
4. Отсутствие правового основания для доступа немедицинских субъектов. Пункт 12 проекта формулирует право доступа расплывчато: «в соответствии с их компетенцией, установленной федеральными законами». Однако ни один федеральный закон не наделяет спортивные федерации и центры спортивной подготовки компетенцией обрабатывать медицинские сведения о спортсменах. Их компетенция (статьи 16, 21, 23, 26 Федерального закона от 04.12.2007 № 329-ФЗ «О физической культуре и спорте в Российской Федерации») ограничена организацией спортивной подготовки и соревнований, но не включает обработку врачебной тайны.
5. Риск признания нормы недействующей. Норма, допускающая доступ немедицинских организаций к сведениям о здоровье несовершеннолетних, прямо противоречит части 1 статьи 10 № 152-ФЗ и статье 13 № 323-ФЗ и подлежит признанию недействующей Верховным Судом РФ.
6. Практические последствия: дискриминация по здоровью. Предоставление спортивным федерациям и центрам спортивной подготовки доступа к медицинским сведениям о кандидатах и членах сборных создаёт риск дискриминации по состоянию здоровья: отбор в сборные, распределение нагрузок и назначение на соревнования могут осуществляться на основании медицинских диагнозов, а не спортивных результатов. Это нарушает статью 19 Конституции РФ (равенство прав и свобод).
Отказ во включении настоящей поправки будет означать сознательное сохранение в проекте нормы, нарушающей режим врачебной тайны, режим специальных категорий персональных данных, создающей массовый состав административного и уголовного правонарушения, риск дискриминации несовершеннолетних по здоровью. Прошу отразить мотивированную позицию по настоящему предложению в сводке предложений.
ГРАФА 2. Существуют ли альтернативные способы решения проблемы?
Да. Менее затратный и более безопасный способ — не создание новой централизованной базы-дубликата, а организация обмена сведениями через уже действующие государственные информационные системы (ЕГИСЗ, региональные медицинские информационные системы, ЕСИА) посредством единой системы межведомственного электронного взаимодействия (СМЭВ). Данные остаются в первоисточниках и предоставляются по запросу только в объёме, необходимом для конкретной задачи медико-биологического обеспечения, что соответствует принципу минимальности обработки (часть 5 статьи 5 № 152-ФЗ) и снижает риски утечек и затраты на создание и защиту новой базы.
ГРАФА 3. Какие выгоды и преимущества могут возникнуть?
Потенциальные выгоды: централизованный учёт результатов медико-биологического обеспечения, оперативность сопровождения спортсменов при переходах между командами и регионами, повышение качества медицинского сопровождения и профилактики. Эти преимущества реализуемы только при устранении правовых дефектов, указанных в графе 1 (поправки 1–10: согласие по возрастным группам, ограниченные сроки хранения, реальный режим защиты информации, запрет доступа немедицинских организаций к врачебной тайне). Без этого выгоды не компенсируют ущерб правам граждан, в первую очередь несовершеннолетних.
ГРАФА 4. Какие риски и негативные последствия могут возникнуть?
1) Пожизненный цифровой медицинский профиль ребёнка: сведения о травмах, диагнозах и особенностях развития, внесённые в возрасте 8–14 лет, хранятся без ограничения срока (пункт 15) и сопровождают человека всю жизнь — при поступлении в вуз, трудоустройстве, страховании. Нарушает части 2 и 7 статьи 5 № 152-ФЗ. Устраняется поправкой 9.
2) Несвободное согласие: сведения подают «своя» спортсмену федерация и центр спортивной подготовки, от которых зависит выдача справки-допуска. Отказ фактически означает конец спортивной карьеры, что противоречит добровольности
ГРАФА 5. Является ли предлагаемое регулирование оптимальным способом решения проблемы?
Нет, в представленной редакции — не является. Регулирование не соответствует требованиям Федерального закона № 152-ФЗ (конкретность целей — поправка 1, минимальность объёма — поправки 2–4, ограниченность сроков хранения — поправка 9, добровольность согласия — поправка 5), не устанавливает порядок согласия по возрастным группам и право на отказ (поправки 5, 7, 8), допускает доступ немедицинских организаций к врачебной тайне (поправка 10) и не содержит реальных требований к защите информации (поправка 6). Оптимальным способом регулирование станет только после внесения указанных десяти поправок, которые приводят Положение в соответствие с федеральным законодательством.
ГРАФА 6. Повлияет ли принятие проекта НПА на расходные обязательства субъектов Российской Федерации?
Да, повлияет. Пунктами 7 и 10 Положения органы государственной власти субъектов РФ в сферах физической культуры и спорта и здравоохранения, а также подведомственные им организации прямо назначены поставщиками информации и обязаны обеспечить актуальность, достоверность сведений и выполнение требований по защите информации (пункт 8). Это означает расходы регионов на доработку информационных систем, интеграцию, защиту информации и содержание персонала. Утверждение пояснительной записки о том, что принятие проекта не потребует выделения дополнительных бюджетных ассигнований, противоречит фактическому содержанию проекта и подлежит пересмотру с указанием источников финансирования соответствующих расходов субъектов РФ.
ГРАФА 7. Какое влияние на социально-экономическое развитие субъектов Российской Федерации может оказать предлагаемое регулирование?
В представленной редакции — преимущественно негативное: (1) некомпенсируемые расходные обязательства регионов (графа 6); (2) снижение доверия граждан к спортивным организациям и риск оттока детей из спортивных секций из-за недобровольного характера согласия (поправка 5) и пожизненного хранения медицинских данных (поправка 9); (3) репутационные и правовые последствия для регионов в случае утечек сведений о здоровье несовершеннолетних (поправка 6). Положительный социально-экономический эффект возможен только после устранения правовых дефектов, указанных в десяти поправках.
Наша деятельность ведется на общественных началах и энтузиазме. Мы обращаемся к Вам с просьбой оказать посильную помощь нашей экспертной и правозащитной деятельности по защите традиционной семьи и детей России от западных технологий и адаптированных с помощью лоббистов законов. С Вашей помощью мы сможем сделать еще больше полезных дел в защите традиционной Российской семьи!
Для оказания помощи можно перечислить деньги на карту СБЕРБАНКА 4276 5500 3421 4679,
получатель Баранец Ольга Николаевна
или воспользуйтесь формой для приема взносов:
