Вопросы обработки персональных данных получателей государственной поддержки являются одними из самых чувствительных в сфере информационного права. Субсидии, предоставляемые из бюджетов различного уровня, затрагивают интересы миллионов граждан и организаций, что накладывает особую ответственность на операторов данных — государственные и муниципальные органы, а также уполномоченные организации.

Нормативная правовая база

Регулирование отношений в данной сфере строится на иерархии нормативных актов:

• Конституция РФ (ст. 23, 24) — гарантирует право на тайну личной и семейной жизни, недопустимость сбора информации о частной жизни без согласия субъекта.
• Федеральный закон от № 152-ФЗ «О персональных данных» — основной закон, определяющий принципы, условия и порядок обработки ПДн.
• Бюджетный кодекс РФ (ст. 78, 96, 105) — регулирует предоставление субсидий, подведомственных грантов и передачу средств на финансовое обеспечение государственных задач.
• Федеральный закон от № 177-ФЗ «О предоставлении государственных и муниципальных услуг» — регламентирует порядок взаимодействия поставщиков услуг и заявителей через ЕПГУ/РПГУ/Порталы.
• Постановления Правительства РФ (например, Постановление № 891 «Об утверждении Правил предоставления субсидий из федерального бюджета на финансовое обеспечение исполнения отдельных государственных полномочий» и профильные постановления по отраслям: ЖКХ, АПК, социальная сфера).
• Федеральный закон от № 63-ФЗ «Об электронной подписи», регулирует идентификацию субъектов при электронном взаимодействии.

Кто являются получателями субсидий (субъекты персональных данных)

Круг получателей субсидий определяется конкретными программами поддержки. В общем случае выделяют следующие категории субъектов персональных данных:

Физические лица (граждане)

1. Низкоимущие семьи и одиноко живущие граждане — получатели субсидий на оплату ЖКХ (ФЗ № 176-ФЗ, ст. 15.1).
2. Молодые семьи — участники программы «Молодая семья, доступное жилье» и региональных программ.
3. Участники программы переезда из аварийного жилья.
4. Сельские жители — получатели грантов на строительство/приобретение жилья (программа «Жилье для сельской молодежи»), гранты АГРОСТАРТАП, социальные контракты.
5. Предприниматели и самозанятые — получатели субсидий на поддержку МСП (начало своего дела, социальное предпринимательство, туристический кластеры).
6. Студенты и ученые — получатели именных стипендий, грантов Президента/Правительства РФ, мегагрантов.

Юридические лица и некоммерческие организации

• Бюджетные и автономные учреждения (школы, больницы, дома культуры) — получатели субсидий на выполнение госзаданий, капитальный ремонт, закупку оборудования.
• Некоммерческие организации (НКО) — победители грантов Президента РФ, грантов губернаторов, субсидий на социальные проекты.
• Коммерческие организации, получатели субсидий на инвестиционные проекты, импортозамещение, развитие отраслей (авиастроение, судостроение, IT, АПК).
• Религиозные организации — получатели субсидий на восстановление объектов культурного наследия.

Категории обрабатываемых персональных данных

В зависимости от вида субсидии, состав ПДн может варьироваться, но базовый набор обычно включает:

Операторы персональных данных и порядок обработки

Операторами, как правило, выступают:

• Министерства и ведомства (федеральный уровень).
• Органы исполнительной власти субъектов РФ (региональный уровень).
• Местные администрации (муниципальный уровень).
• Уполномоченные организации — операторы фондов поддержки (Фонд содействия инновациям, РОСМОЛОДЕЖЬ, ФАС «Росмолодежь.Гранты», региональные ЦССП — центры поддержки социального предпринимательства).
• МФЦ (Мои Документы) — как точки приема заявлений.
• Банки-агенты — при выплате субсидий через карты «МИР» или специальные счета.

Основные этапы обработки (Жизненный цикл ПДн):

1. Сбор: Через ЕПГУ/РПГУ (Госуслуги), в МФЦ, на порталах грантовых конкурсов (например, grants.gov.ru, молодежь.рф), в письменном виде.
2. Запись и систематизация: Внесение в информационные системы (ИС) оператора, реестры получателей (например, ГИС «Субсидии», ГИС «ЖКХ», АИС «Гранты»).
3. Накопление и хранение: На серверах оператора (часто в контуре ГИС, сертифицированных по требованиям ФСТЭК/ФСБ). Срок хранения определяется законодательством об архивном деле и нормами 152-ФЗ (не дольше, чем требуется целям обработки).
4. Использование (передача): Передача в казначейство (ФК/ТК) для выплаты, в контролирующие органы (Счетная палата, прокуратура, Минфин), в Росстат (в обезличенном виде), между ведомствами для межведомственного взаимодействия (СМЭВ).
5. Обезличивание/Уничтожение: По истечении сроков хранения или достижении целей обработки.

Особенности передачи данных третьим лицам (Межведомственное взаимодействие)

Ключевая особенность сферы субсидий — массовая передача данных без повторного согласия субъекта на основании ст. 6 152-ФЗ (исполнение закона) и ФЗ № 177-ФЗ через СМЭВ (Систему межведомственного электронного взаимодействия).

Основные сценарии передачи:

• Проверка достоверности: Запросы в Пенсионный фонд (СФР), Налоговую службу, ЗАГС, МВД, Росреестр для подтверждения доходов, состава семьи, права собственности.
• Выплата средств: Передача реквизитов в Федеральное казначейство (территориальные казначейства) и банки-агенты.
• Контроль и аудит: Передача данных в Счетную палату РФ, Главное управление казначейства, прокуратуру, следственные органы (по основаниям ст. 11 152-ФЗ).
• Публикация отчетности: Публикация списков получателей на официальных сайтах (в соответствии с принципами открытости бюджетного процесса, ст. 14 БК РФ). Важно: Публикуются, как правило, ФИО/Наименование, ИНН/ОГРН, сумма субсидии, цель. Публикация паспортных данных, СНИЛС, адресов, банковских счетов недопустима (нарушение ст. 24 Конституции, ст. 10 152-ФЗ).

Права субъектов персональных данных (получателей субсидий)

Согласно ст. 14, 15, 18, 21 152-ФЗ, получатели субсидий обладают полным спектром прав:

• Право на доступ (ст. 14): Получить информацию об обработке своих данных, копию данных, сведения об источниках получения, правовых основаниях, целях обработки, сроках хранения.
• Право на уточнение/блокирование/уничтожение (ст. 15, 21): Требовать исправления неверных данных, блокирования данных, полученных незаконно, прекращения обработки.
• Право на отзыв согласия (ст. 9): Если обработка основана на согласии (например, для рассылки информирования о новых грантах), его можно отозвать. Примечание: Отзыв согласия на обработку данных, необходимых для выплаты уже предоставленной субсидии (исполнение закона), не прекращает выплаты, но может затруднить информирование;
• Право на обжалование (ст. 18): Обращение в Роскомнадзор, в суд или к прокурору при нарушении прав.

Обеспечение безопасности персональных данных

Операторы субсидий обязаны соблюдать требования Постановления Правительства РФ от № 719 (утвердило требования к защите ПДн при их обработке в ИСПДн) и приказов ФСТЭК/ФСБ.

Ключевые меры защиты:

• Юридические: Локальные акты (Политика конфиденциальности, Положение об ИСПДн, Инструкция по защите ПДн), назначение ответственного за защиту ПДн, заключение договоров с сотрудниками о неразглашении, учет носителей ПДн.
• Организационные: Режим доступа к помещениям (серверным, архивам), разграничение прав доступа сотрудников по принципу «минимально необходимых полномочий», обучение персонала, инвентаризация ИСПДн.
• Технические:
  • Идентификация и аутентификация пользователей (ЭЦП, МФА, ЕСИА).
  • Антивирусная защита, средства обнаружения вторжений (IDS/IPS).
  • Шифрование данных при передаче (TLS/SSL, VPN ГОСТ) и хранении (контейнеры КриптоПро).
  • Резервное копирование и восстановление.
  • Учет событий безопасности (логирование, SIEM).
  • Защита от утечек (DLP-системы) — критично для предотвращения слива баз получателей.

Типичные нарушения и риски

1. Избыточный сбор данных: Запрос сведений, не предусмотренных законодательством для конкретной меры поддержки (например, запрос кодов ОКВЭД у физлиц для субсидии ЖКХ).
2. Незаконная публикация: Размещение в открытом доступе сканов паспортов, СНИЛС, банковских карт в реестрах получателей на сайтах администраций.
3. Утечки при передаче по незащищенным каналам: Отправка реестров получателей по электронной почте без шифрования, через мессенджеры, на флеш-накопителях без пароля.
4. Нарушение сроков хранения: Бессрочное хранение данных в «архивах» ИС после прекращения правовых оснований.
5. Отсутствие оценки уязвимостей: Непроведение аудита ИСПДн и пентестов в установленные сроки (раз в 3 года или после изменений).

Ответственность за нарушение законодательства

• Административная (КоАП РФ):
  • Ст. 13.11 КоАП РФ, нарушение законодательства о персональных данных (штрафы на должностных лиц до 50 тыс. руб., на юрлиц — до 15 млн руб. за повторное нарушение или утечку).
  • Ст. 19.7 КоАП РФ — нарушение порядка предоставления гостайны (штрафы).
• Гражданско-правовая (ГК РФ): Возмещение морального вреда (ст. 151, 1100 ГК РФ), убытков.
• Уголовная (УК РФ): Ст. 137 УК РФ (незаконные сбор, распространение сведений о частной жизни), ст. 272 УК РФ (неправомерный доступ к компьютерной информации), ст. 285 УК РФ (злоупотребление служебным положением).
• Дисциплинарная: Взыскания к виновным должностным лицам (выговор, увольнение).

Рекомендации для операторов и получателей

Для операторов (ведомств, фондов, МФЦ):

• Проводить Оценку воздействия на защиту ПДн (ОЗЗПД) перед запуском новых ИС или изменением существующих (ст. 18.1 152-ФЗ).
• Внедрять принцип Privacy by Design, закладывать защиту данных на этапе проектирования информационных систем предоставления субсидий.
• Минимизировать сбор данных: запрашивать только то, что прямо предусмотрено нормативным актом, устанавливающим меру поддержки.
• Обеспечивать безопасность передачи реестров в казначейства и банки (только защищенные каналы СМЭВ/ВПН ГОСТ).
• Регулярно проверять публикуемые реестры на предмет отсутствия избыточных ПДн (автоматизированные скрипты маскировки/удаления чувствительных полей перед выгрузкой на сайт).

Для получателей субсидий (граждан, НКО, бизнеса):

• Предоставлять данные только через официальные каналы: Госуслуги (ЕПГУ), официальные сайты министерств/фондов (домен .gov.ru, .рф), МФЦ.
• Не сообщать паспортные данные, СНИЛС, коды из СМС/пуш-уведомлений по телефону, в мессенджерах, по email «специалистам», «кураторам грантов» или «помощникам по субсидиям».
• При обнаружении своих данных в открытом доступе (в поиске, на сайте администрации в неразмаскированном виде) — направлять претензию оператору (через форму обратной связи, почту оператора, Госуслуги) и жалобу в Роскомнадзор (через приемную на сайте rkn.gov.ru).
• Использовать усиленную аутентификацию (двухфакторную) на портале Госуслуг и в личных кабинетах грантовых платформ;

Обработка персональных данных получателей субсидий — это сложный, многоуровневый процесс, требующий строгого соблюдения баланса между принципом открытости расходования бюджетных средств (прозрачность, контроль) и конституционным правом граждан на тайну частной жизни. Ключевыми факторами безопасности являются: минимизация собираемых данных, использование защищенных контуров передачи (СМЭВ, ГИС), регулярный аудит информационных систем и повышение правовой грамотности как сотрудников операторов, так и самих получателей государственной поддержки.

Данная статья носит информационный характер и не является правовой консультацией. Для решения конкретных вопросов обращайтесь к специалистам в области информационного права или в Роскомнадзор.