Минтранс России подготовил проект приказа ( https://regulation.gov.ru/projects/170204/ https://regulation.gov.ru/projects/170306/ )«Об утверждении Порядка формирования и ведения автоматизированных централизованных баз персональных данных о пассажирах и персонале (экипаже) транспортных средств, а также срока хранения и порядка предоставления содержащихся в них данных». Согласно проекту, новый порядок должен вступить в силу с 1 сентября 2027 года и заменить действующий приказ Минтранса России от 2 мая 2024 года № 162.
UPD: 14.08.26 Минтранс выложил этот же самый НПА второй раз. Если в первый раз #170204 от выложил без возможности обсуждения, то второй раз #170306 он выложил с возможностью открытого обсуждения. Мы не исключаем, что это произошло после наших массовых жалоб на сайте regulation на то, что отсутствие открытого обсуждения это грубое нарушение процедуры и прав граждан. Ссылка на второй НПА: https://regulation.gov.ru/projects/170306/ . Ключевое отличие - изменение даты вступления в силу с 1 сентября 2027 на 1 марта 2027 года. Как всегда все изменения и новые законы нам помогает находить наша система мониторинга федерального законодательства "ЛУЧ".
Формально проект посвящен вопросам транспортной безопасности. Однако его содержание выходит далеко за рамки фиксации сведений, необходимых для формирования пассажирских манифестов и реагирования на угрозы безопасности. Проект предусматривает централизованный сбор, обработку и хранение сведений о внутренних и международных воздушных перевозках, железнодорожных перевозках дальнего следования, междугородних автомобильных перевозках, а также международных и межрегиональных перевозках морским и внутренним водным транспортом.
В базу предлагается передавать не только сведения о состоявшейся поездке, но и информацию о бронированиях, возвратах, переоформлениях, отказах от бронирования, онлайн-регистрации, отмене посадки и иных операциях. В отдельных случаях проект предусматривает передачу номера телефона, адреса электронной почты, IP-адреса, номера порта, сведений о платежном сервисе, а также логина и хэш-значения пароля учетной записи пассажира. Срок хранения данных устанавливается до семи лет.
Таким образом, речь идет не о простом реестре пассажиров. При буквальном применении проекта создается техническая возможность формирования длительной истории перемещений граждан, их транспортных намерений, цифровых действий и отдельных финансовых признаков. Это требует отдельной оценки проекта с точки зрения Конституции Российской Федерации, законодательства о персональных данных, принципов соразмерности ограничений прав и пределов полномочий Минтранса.
После прочтения анализа просим всех направить разработчикам замечания. СМ НАШУ ИНСТРУКЦИЮ https://ouzs.ru/news/proekt-prikaza-mintransa-transportnaya-bezopasnost-ili-sozdanie-edinogo-tsifrovogo-dose-na-passazhir/#1
1. Круг перевозок, на которые распространяется проект
Проект не ограничивается международными перевозками. Его действие распространяется также на значительный объем внутренних пассажирских перевозок.
В отношении воздушного транспорта прямо указаны внутренние и международные перевозки. Следовательно, сведения должны передаваться по внутренним рейсам между российскими аэропортами, а также по международным рейсам, прибывающим в Российскую Федерацию, отправляющимся из нее либо проходящим через российское воздушное пространство в предусмотренных проектом случаях.
В отношении железнодорожного транспорта проект говорит о перевозках в дальнем следовании. Это означает, что он рассчитан прежде всего на дальние внутренние и международные поезда. Пригородные перевозки и иные виды сообщения, не относящиеся к дальнему следованию, в пункте 3 проекта прямо не названы. Однако окончательный охват должен определяться с учетом законодательства о видах железнодорожных перевозок и действующей редакции Закона № 16-ФЗ.
Автомобильный транспорт охватывается в части международных перевозок и междугородних перевозок между населенными пунктами, расположенными на территориях разных субъектов Российской Федерации. Отдельно указаны перевозки по заказу. Это может затронуть междугородние автобусы, заказные рейсы, туристические перевозки и иные организованные поездки между регионами.
Для морского и внутреннего водного транспорта предусмотрены международные перевозки и перевозки между портами, расположенными на территориях разных субъектов Российской Федерации. При этом проект содержит исключения для сообщений между Москвой и Московской областью, Санкт-Петербургом и Ленинградской областью, Севастополем и Республикой Крым.
Следовательно, ответ на вопрос об охвате проекта является однозначным: проект касается как международных, так и внутренних перевозок, хотя конкретный объем внутренних перевозок различается в зависимости от вида транспорта.
2. Какие сведения предлагается собирать
Общий перечень данных включает фамилию, имя, отчество, дату рождения, пол, гражданство, вид и номер документа, удостоверяющего личность, пункты отправления и назначения, дату поездки, вид маршрута и сведения о рейсе.
Однако этими данными проект не ограничивается.
В отношении пассажиров предлагается фиксировать различные операции, связанные с билетом и перевозкой: бронирование, покупку, возврат, переоформление, регистрацию, онлайн-регистрацию, посадку, высадку, отмену посадки, снятие с регистрации, отказ от бронирования, отказ от заказа, аннулирование заказа, добавление и удаление из группового списка.
Это имеет принципиальное значение. Государственная система будет получать сведения не только о состоявшемся перемещении гражданина, но и о его намерениях. Например, в базе может быть отражено, что лицо бронировало поездку, планировало вылет, оформляло билет, затем изменило маршрут или отказалось от поездки. В результате фиксируется уже не только факт транспортной услуги, но и часть жизненных планов человека.
При воздушных перевозках дополнительно предусматриваются сведения о номере бронирования, номере билета, месте, стоимости перевозки, классе обслуживания, багаже, тарифах и сборах, возможности возврата и обмена билета, признаке субсидированной перевозки.
При автомобильных перевозках по заказу проект предусматривает передачу сведений о маршруте, месте подачи транспортного средства, стоимости аренды, фрахтователе и фрахтовщике. В отношении индивидуальных предпринимателей и физических лиц могут передаваться фамилия, имя, отчество, паспортные данные, адрес регистрации или пребывания, контактные телефоны и идентификационные номера налогоплательщика.
Таким образом, состав данных формируется не только вокруг личности пассажира и факта перевозки. Он включает обстоятельства оформления поездки, цифровую среду ее оформления, стоимость, способ оплаты, параметры транспортной услуги и сведения о лицах, организующих заказную перевозку.
3. Наиболее опасное положение — пункт 37 проекта
Особое внимание необходимо обратить на пункт 37 проекта. Он предусматривает, что передаваемые персональные данные о пассажирах дополнительно включают номер телефона, адрес электронной почты, данные учетной записи, IP-адрес и номер порта, а также сведения о средстве платежа.
В состав данных учетной записи включены «логины и хэш-значения паролей, хранимые в базах данных перевозчиков», используемые при оформлении билета.
Передача хэш-значений паролей в централизованную государственную систему не имеет очевидной связи с обеспечением транспортной безопасности. Хэш не является исходным паролем, но это не превращает его в безобидную техническую информацию. При компрометации базы, слабом алгоритме хэширования, отсутствии надежной соли или использовании одного пароля в нескольких сервисах такая информация может создать угрозу для учетных записей граждан.
Кроме того, логин и хэш пароля позволяют связать пассажира не только с конкретной поездкой, но и с его учетной записью в информационной системе перевозчика. Тем самым транспортная база превращается в точку сопряжения персональных, цифровых и маршрутных данных.
Для оформления и проверки пассажирского билета могут использоваться иные технические средства: номер бронирования, номер билета, специальный токен операции, идентификатор транзакции или иной одноразовый технический код. Передача постоянных реквизитов учетной записи и тем более хэш-значения пароля для этой цели не выглядит необходимой.
Именно поэтому положение о передаче логинов и хэш-значений паролей имеет признаки несоответствия принципам минимизации и соразмерности обработки персональных данных. Данное положение должно быть исключено из проекта полностью.
4. IP-адрес, номер порта и платежные сведения
IP-адрес может использоваться для установления сетевого источника оформления билета и связывания нескольких операций между собой. В совокупности с логином, электронной почтой, телефоном и паспортными данными он позволяет строить цифровой профиль пользователя.
Номер порта имеет еще более технический характер. Проект не объясняет, почему номер порта необходим именно для транспортной безопасности, каким образом он будет использоваться, кто будет иметь к нему доступ и сколько времени он должен храниться.
Отдельную обеспокоенность вызывает передача сведений о средстве платежа: наименования кредитной организации или платежного сервиса, способа оплаты, включая Систему быстрых платежей, и последних четырех цифр счета или платежной карты.
Такие данные позволяют анализировать не только факт покупки билета, но и финансовый контекст поездки: используемый банк, платежную инфраструктуру, повторяемость платежного инструмента, связь нескольких пассажиров через один источник оплаты. Для целей транспортной безопасности при необходимости может быть достаточно технического идентификатора платежной операции и признака успешной оплаты. Передача расширенного платежного профиля требует самостоятельного обоснования, которого проект не содержит.
В соответствии со статьей 5 Федерального закона от 27 июля 2006 года № 152-ФЗ «О персональных данных» содержание и объем обрабатываемых персональных данных должны соответствовать заявленным целям обработки, а избыточные по отношению к этим целям данные не должны обрабатываться. Применительно к IP-адресу, номеру порта, логину, хэшу пароля и платежным сведениям это требование имеет принципиальное значение.
5. Семилетний срок хранения и формирование цифрового досье
Пункт 13 проекта устанавливает срок хранения данных в течение семи лет со дня их получения оператором ЕГИС ОТБ. При этом порядок удаления сведений после достижения цели обработки должен определяться оператором самостоятельно.
Такой подход вызывает серьезные сомнения.
Во-первых, проект устанавливает единый длительный срок для принципиально разных категорий данных. Одинаковый период может применяться к сведениям о состоявшейся поездке, отмененному бронированию, IP-адресу, платежному признаку, хэшу пароля, данным экипажа и технической операции.
Во-вторых, семилетнее хранение позволяет восстановить длительную историю перемещений гражданина. За этот период могут быть выявлены предполагаемое место проживания, место работы, регулярные маршруты, сезонные поездки, частота перемещений, деловые и семейные связи, посещение отдельных регионов, поездки с одними и теми же лицами.
В-третьих, в базе остаются сведения не только о фактических поездках. Информация о бронированиях, возвратах, отказах, онлайн-регистрации и изменениях билета позволяет анализировать намерения человека и его поведение на стадии планирования.
Именно совокупность сведений создает риск формирования цифрового досье. Отдельно взятый билет может представлять ограниченный объем информации. Но массив данных за семь лет позволяет строить устойчивый профиль человека, не предусмотренный изначально как цель обычной транспортной безопасности.
Положение о том, что порядок удаления определяется оператором ЕГИС ОТБ, не заменяет нормативно установленного порядка уничтожения. В самом приказе должны быть закреплены сроки удаления по каждой категории данных, правила удаления резервных копий и выгрузок, порядок блокирования спорной записи и документального подтверждения уничтожения информации.
6. Доступ МВД, ФСБ и других органов
Пункт 15 проекта прямо называет МВД России, ФСБ России и Ространснадзор потребителями информации, содержащейся в АЦБПДП.
Пункт 22 предусматривает предоставление персональных данных в автоматизированном режиме посредством информационного взаимодействия информационных систем потребителей и ЕГИС ОТБ. Данные могут отбираться и выгружаться в обменный файл или сообщение в соответствии с регламентами взаимодействия.
При этом проект прямо не говорит, что каждая запись о каждом пассажире немедленно направляется одновременно в МВД и ФСБ. Сначала информация должна поступить оператору ЕГИС ОТБ, после чего конкретный порядок доступа будет определяться регламентами и техническими условиями.
Однако это не устраняет проблему. Проект создает правовую и техническую возможность постоянного автоматизированного доступа к централизованному массиву. При этом сам приказ не устанавливает, что каждый запрос должен быть связан:
- с конкретным уголовным делом;
- с конкретной угрозой транспортной безопасности;
- с конкретным инцидентом;
- с мотивированным запросом должностного лица;
- с судебным или иным независимым контролем.
Формула о предоставлении данных «в соответствии с регламентами взаимодействия» оставляет наиболее существенные ограничения не в тексте нормативного акта, а в документах, содержание которых гражданам заранее неизвестно.
Необходимы закрытый перечень целей доступа, минимальный объем выдаваемых сведений, запрет массовых выгрузок по умолчанию, обязательное журналирование каждого обращения, ограничение срока доступа и последующий аудит. Без таких гарантий база может использоваться не только для реагирования на конкретные угрозы, но и для массового анализа перемещений граждан.
7. Предусмотрен ли отказ пассажира от передачи данных?
Проект не устанавливает понятного права пассажира отказаться от передачи сведений в АЦБПДП. Также не предусмотрена альтернатива в виде оформления билета с передачей только минимально необходимого объема данных.
Передача организована как обязательная обязанность перевозчиков и иных поставщиков информации. Поэтому формально пассажиру не предлагают подписывать согласие, но и возможности отказаться от передачи без отказа от самой поездки проект не дает.
Проект прямо не содержит формулировки о том, что при отказе гражданина передать дополнительные сведения ему будет отказано в продаже билета. Однако на практике может возникнуть именно такая ситуация: перевозчик обязан передать данные, а без передачи не сможет выполнить установленный порядок информационного взаимодействия.
Особенно важно, что проект не разделяет данные, действительно необходимые для идентификации пассажира и оформления билета, и данные, сбор которых имеет дополнительный цифровой характер. В результате передача телефона, электронной почты, IP-адреса, платежных признаков и данных учетной записи может фактически стать условием доступа к транспортной услуге.
Такой подход требует отдельной оценки по статьям 23, 24, 27 и 55 Конституции Российской Федерации. Ограничение свободы передвижения и права на частную жизнь должно быть установлено федеральным законом, преследовать законную цель и быть необходимым в демократическом обществе. Подзаконный акт не должен создавать более широкое ограничение, чем предусмотрено федеральным законом.
8. Соответствие Конституции Российской Федерации
Проект затрагивает статью 23 Конституции Российской Федерации, гарантирующую неприкосновенность частной жизни, личную и семейную тайну, защиту чести и доброго имени, тайну переписки и иных сообщений.
История перемещений относится к сведениям, позволяющим судить о частной жизни гражданина. В совокупности с данными о телефоне, электронной почте, цифровой учетной записи, IP-адресе и платежном сервисе она позволяет восстанавливать значительную часть повседневного поведения человека.
Статья 24 Конституции запрещает сбор, хранение, использование и распространение информации о частной жизни лица без его согласия, если иное не предусмотрено законом. Наличие Закона № 16-ФЗ может служить основанием для передачи определенного объема сведений в целях транспортной безопасности, но не освобождает Минтранс от необходимости обосновать каждую дополнительную категорию данных и каждую форму доступа.
Статья 27 гарантирует свободу передвижения. Сам по себе учет пассажиров не равнозначен запрету на перемещение. Однако автоматизированное профилирование, ошибочная идентификация, включение в категории риска или принятие неблагоприятных решений на основании истории поездок могут создать косвенное ограничение свободы передвижения.
Статья 55 Конституции требует, чтобы ограничение прав устанавливалось федеральным законом и было необходимым и соразмерным конституционно значимой цели. При оценке проекта необходимо ответить, действительно ли для транспортной безопасности нужны логины, хэши паролей, IP-адреса, номера портов и платежные признаки, а также почему сведения о несостоявшихся поездках должны храниться семь лет.
9. Соответствие Федеральному закону № 152-ФЗ
Основные вопросы возникают в связи со статьей 5 Закона № 152-ФЗ. Обработка должна осуществляться для конкретных, заранее определенных и законных целей. Объем данных должен соответствовать цели, а избыточные сведения не должны собираться и храниться.
Проект формулирует общую цель через формирование и ведение базы в составе ЕГИС ОТБ, однако не проводит достаточного разграничения между:
- данными, необходимыми для непосредственного обеспечения транспортной безопасности;
- данными, необходимыми для расследования конкретного происшествия;
- статистическими сведениями;
- техническими журналами;
- цифровыми и платежными следами;
- сведениями о нереализованных намерениях поездки.
Статья 6 Закона № 152-ФЗ требует наличия законного основания для обработки. В отношении каждой дополнительной категории данных должно быть указано, какая норма федерального закона допускает их сбор и для какой конкретной цели они используются.
Статья 7 устанавливает требование конфиденциальности персональных данных. Если доступ к базе предоставляется нескольким ведомствам, в проекте должны быть определены пределы такого доступа и запрет использования данных в целях, несовместимых с транспортной безопасностью.
Статья 14 предусматривает право субъекта получить сведения об обработке своих данных. Статья 21 обязывает оператора уточнять, блокировать и уничтожать неправомерно обрабатываемые или недостоверные сведения. Проект не содержит понятной специальной процедуры, позволяющей пассажиру получить полную информацию о себе, узнать историю доступа, оспорить ошибочную запись или добиться удаления избыточных данных.
Статья 16 устанавливает гарантии при принятии решений исключительно на основании автоматизированной обработки персональных данных. Проект не запрещает использовать сведения АЦБПДП для автоматического отказа в продаже билета, дополнительного контроля, направления на досмотр или включения лица в категорию риска. Если подобное использование предполагается, оно должно быть прямо урегулировано и сопровождаться правом на человеческий пересмотр и обжалование.
10. Полномочия Минтранса и пределы подзаконного регулирования
Правовым основанием проекта названа часть 6 статьи 11 Федерального закона № 16-ФЗ. При этом необходимо проверить точное соответствие ссылки действующей редакции закона и содержание соответствующей нормы, поскольку в действующем регулировании положения об АЦБПДП и передаче сведений могут быть распределены между частями статьи 11.
Даже если федеральный закон предусматривает создание централизованных баз и наделяет Минтранс полномочиями определить порядок их ведения, подзаконный приказ не может самостоятельно расширять предмет регулирования до сбора любых цифровых данных, которые потенциально могут быть полезны для аналитики.
Существенные ограничения конституционных прав должны вытекать из федерального закона, а не впервые возникать в технических условиях, соглашениях или регламентах информационного взаимодействия. Между тем проект передает на уровень технических условий правила формирования и использования уникального идентификатора поездки, форматы обмена и значительную часть порядка взаимодействия участников.
Это создает проблему правовой определенности. Гражданин должен иметь возможность заранее понять, какие данные о нем собираются, для каких целей, кто получает доступ и как долго сведения хранятся. Если эти вопросы окончательно определяются закрытыми техническими документами, нормативное регулирование становится непредсказуемым.
11. Риск автоматизированного профилирования и дискриминации
В проекте прямо не говорится о создании рейтингов благонадежности пассажиров или автоматическом определении опасных лиц. Однако сама структура данных позволяет реализовать подобные механизмы в будущем.
На основании сведений о маршрутах, гражданстве, частоте поездок, отказах от бронирования, классе обслуживания, субсидированной перевозке, багаже, совместных поездках, IP-адресах и платежных признаках можно формировать поведенческие модели.
Ошибки в таких моделях могут приводить к необоснованному вниманию к отдельным гражданам или группам. Особый риск возникает при использовании гражданства, маршрутов в отдельные регионы, международных поездок, групповых списков и совпадений цифровых или платежных признаков.
Недопустимо, чтобы информация о поездках автоматически использовалась для вывода о благонадежности, политических взглядах, социальных связях или вероятности совершения правонарушения. Такие выводы не следуют непосредственно из факта покупки билета или отказа от поездки.
В проекте должен быть прямо закреплен запрет использования АЦБПДП для общего социального профилирования, политической или идеологической классификации, маркетинга, оценки благонадежности и принятия неблагоприятных решений исключительно автоматически.
12. Технические и юридико-технические недостатки проекта
Представленный текст содержит ряд несогласованностей, которые могут повлиять на автоматизированную передачу данных.
В пункте 12 имеются ссылки на пункты приложений, при этом структура таблиц и нумерация сведений местами не позволяют однозначно установить, какие именно данные имеются в виду. В приложениях встречаются различные обозначения обязательности, в том числе «Н» и визуально сходное латинское «H». В отдельных таблицах отличается порядок операций, а некоторые сведения о пассажирах и персонале не вполне согласованы с общими положениями.
В тексте также используются разные формулировки для обозначения перевозчика, субъекта транспортной инфраструктуры, поставщика информации и уполномоченного лица. Отдельные пункты требуют редакционной проверки, например ссылка в пункте 39 на «Главу 27 от 30.11.1994 № 51-ФЗ» вместо корректного обозначения соответствующей главы Гражданского кодекса Российской Федерации.
Для обычного информационного документа такие ошибки могли бы иметь технический характер. Но проект устанавливает обязательный автоматизированный обмен персональными данными в сжатые сроки — 15, 30 минут, а в отдельных случаях до момента отправления. Поэтому неясность формата может привести к:
- неполному или ошибочному профилю пассажира;
- дублированию записей;
- неверному объединению данных;
- ошибочной идентификации;
- невозможности своевременного исправления записи;
- необоснованному отказу в перевозке.
До принятия проекта необходимо провести не только юридическую, но и независимую техническую экспертизу всех приложений и форматов обмена.
13. Основные правовые риски проекта
Первый риск связан с несоразмерным объемом обрабатываемых данных. Для транспортной безопасности могут быть необходимы идентификационные и маршрутные сведения, однако проект дополнительно включает цифровые учетные данные и платежные признаки, необходимость которых не обоснована.
Второй риск связан с длительным хранением. Единый семилетний срок для всех категорий данных не учитывает различие между состоявшейся поездкой, отмененным бронированием, техническим IP-адресом и хэшем пароля.
Третий риск состоит в неопределенном круге доступа. МВД и ФСБ прямо названы потребителями, а порядок предоставления данных может осуществляться автоматически. При этом требования о конкретном деле, инциденте, мотивированном запросе или судебном контроле в проекте отсутствуют.
Четвертый риск — отсутствие полноценного контроля гражданина над своими данными. Проект не устанавливает специального порядка доступа к записи, исправления ошибок, блокирования спорных сведений и удаления данных после достижения цели обработки.
Пятый риск — возможность дальнейшего использования базы для цифрового профилирования. Даже если первоначально система создается для транспортной безопасности, сформированный массив может быть сопряжен с иными государственными информационными системами и использован для целей, не связанных с безопасностью транспорта.
Заключение
Проект приказа Минтранса имеет легитимную заявленную цель — обеспечение транспортной безопасности. Само существование централизованной базы данных пассажиров может быть предусмотрено федеральным законом и не является автоматически незаконным.
Однако конкретная редакция проекта вызывает серьезные правовые вопросы. Особенно проблемными являются расширенный состав данных, передача логинов и хэш-значений паролей, сбор IP-адресов и платежных признаков, фиксация нереализованных намерений поездки, семилетний срок хранения и возможность автоматизированного доступа МВД и ФСБ к массиву.
В совокупности эти положения способны превратить систему транспортной безопасности в инфраструктуру длительного наблюдения за перемещениями граждан и формирования цифрового досье. Такая система должна оцениваться не только с точки зрения удобства межведомственного обмена и технической защищенности, но и с точки зрения конституционного права на частную жизнь, свободу передвижения и информационную автономию.
В представленном виде проект не содержит достаточных гарантий против избыточного сбора, массового доступа, повторного использования данных, ошибочной идентификации и автоматизированного профилирования. Его принятие возможно только после существенной переработки, сокращения состава данных, дифференциации сроков хранения, установления закрытого перечня целей и получателей, а также закрепления реальных механизмов контроля со стороны граждан.
ИНСТРУКЦИЯ ПО НАПИСАНИЮ ЗАМЕЧАНИЙ ПО ПРОЕКТУ О ТОТАЛЬНОМ КОНТРОЛЕ ЗА ПЕРЕДВИЖЕНИЕМ ГРАЖДАН НА ТРАНСПОРТЕ
https://ouzs.ru/news/proekt-prikaza-mintransa-transportnaya-bezopasnost-ili-sozdanie-edinogo-tsifrovogo-dose-na-passazhir/#1
Ну и кто хочет пустить их в свою личную жизнь? Или "сказали в маске, значит в маске"?
Сейчас у каждого из нас есть шанс изменить хоть что-то, пока наше правительство не сжило нас со свету окончательно! Идите на выборы в единый день голосования! Голосуйте за любую партию, кроме партий Единая Россия и Справедливая Россия.
Никто не решит за Вас, решить можете только Вы! Ну а если Вас всё устраивает, Вам скажут что нужно делать...
