Журнал входов на три года: что проект Минцифры значит для сайта

Что за проект и где его читать

Проект опубликован на портале проектов нормативных актов под номером 171465. Название: «О внесении изменений в Федеральный закон "О связи" и отдельные законодательные акты Российской Федерации». Разработчик Минцифры, дата публикации 30 сентября 2026 года, общественное обсуждение до 15 октября. Я прочитал текст проекта и пояснительную записку. Журналистские пересказы я использовал только для проверки. В них смешаны две группы поправок: к закону «О связи» для операторов и к закону «Об информации» для владельцев сайтов. Норма про журнал аккаунтов относится ко второй группе.

В записке проект назван третьим «пакетом мер» против правонарушений с использованием ИКТ. SIM-карты, виртуальные АТС и рассылки SMS из него я здесь не разбираю.

Что написано про журнал аккаунтов

Поправка вносится в статью 8 закона № 149-ФЗ «Об информации», в часть 10. Это та же часть, на которой стоит правило о способах входа, о нём я писал в статье про авторизацию по закону. Обязанность лежит на владельце сайта, страницы, информационной системы или программы для ЭВМ, который работает в интернете в России, если доступ к информации открывается пользователям, прошедшим авторизацию. Сайт без входа под условие не подпадает.

Пункт 2 новой редакции части 10 требует хранить «сведения о регистрации, авторизациях и прекращении регистрации пользователей» три года с момента окончания таких действий. Предоставлять их нужно уполномоченным государственным органам, которые ведут оперативно-разыскную деятельность или обеспечивают безопасность страны. Состав сведений и порядок передачи устанавливает Правительство. Если вход идёт через Госуслуги, сведения об этих входах хранятся в самой ЕСИА, а не у вас (отдельная часть проекта).

Чего в тексте нет: размера штрафов. Проект не вносит изменений в КоАП, слов «штраф» и «ответственность» в нём я не нашёл. Нет и перечня полей. Три года считаются от окончания действия: запись о входе в марте 2028 года живёт до марта 2031.

Что это значит на практике

«Сведения о создании, входе и удалении аккаунта» в переводе на язык разработчика означают журнал событий. Вероятный минимум: идентификатор пользователя, тип события (регистрация, вход, удаление), дата и время, способ входа. IP-адрес и устройство в проекте не названы, войдут ли они в состав, решит Правительство. Это моё чтение, нормы с таким списком нет.

В таблице пользователей обычно есть дата регистрации. Дата последнего входа чаще всего одна и перезаписывается каждый раз, истории нет. Логи веб-сервера пишут адреса и время запросов, но их ротируют раз в 14-30 дней, и по ним трудно понять, кто вошёл: запрос не знает пользователя. Удаление аккаунта часто стирает строку целиком, и следа о факте удаления не остаётся. Для проекта нужна отдельная запись, пережившая удаление, а как совместить её с правом человека на удаление данных, мне пока не ясно.

Затраты и риск утечки

Объём невелик. Условный пример: сайт с кабинетом, 2000 входов в сутки, запись около 200 байт. За три года это примерно 2,2 миллиона строк и порядка 440 мегабайт. Для базы данных мелочь. Основная стоимость в работе: записать события в код, настроить копии, срок и удаление по сроку.

Риск в содержимом. Идентификатор пользователя вместе с временем и адресом позволяет восстановить, когда и откуда человек пользовался сервисом. Скорее всего это персональные данные, и к журналу применимы обычные обязанности оператора по 152-ФЗ: цель, защита, ограничение доступа. Что считается персональными данными, я разбирал в отдельной статье. Три года такой истории делают базу заманчивой целью для утечки. На этот риск указывают комментаторы в СМИ, это их мнение, не норма.

В записке Минцифры сказано, что проект не повлечёт негативных финансовых последствий для предпринимателей. Реальные расходы покажет итоговая редакция.

Вход через Telegram, MAX и SMS: чьи это логи

Если пользователь входит по SMS, у вас есть момент проверки кода, его время и номер. Журнал можно писать прямо там.

Если вход через Telegram или Mini App, вы получаете подписанные данные пользователя, в том числе время авторизации, и проверяете подпись на своём сервере. Это событие входа, и у вас оно есть, если вы его записываете. Что делает сам Telegram со своими логами, вам недоступно. Для MAX механизм свой, подробности я не проверял.

Допускает ли проект вход через мессенджер как способ авторизации, неясно. В новых частях о способах входа перечислены номер мобильного оператора, Госуслуги, биометрия и российская система входа. Про мессенджеры в тексте ничего нет, и официальных разъяснений я не нашёл. Про сбор заявок в ботах есть мой разбор про 152-ФЗ.

Что пока неизвестно

Проект могут изменить после обсуждения, и нет уверенности, что норма в таком виде станет законом. По данным портала на 12 октября, у проекта 6 голосов «за» и 140 «против». Сроки принятия я не называю, их нет.

Неясно, относится ли норма к CRM, куда входят только менеджеры. По буквальному тексту условие «доступ после авторизации» выполняется. Статья не заменяет консультацию юриста.

Что можно сделать уже сейчас

Опишите все входы. Сайт, кабинет, мини-приложение, бот с авторизацией, партнёрский раздел. Для каждого запишите: где живёт пользователь, какой способ входа, где пишутся события.

Заведите журнал событий отдельной таблицей. Поля: пользователь, тип события, время, способ входа. Не мешайте её с таблицей пользователей, чтобы удаление аккаунта не стирало след.

Решите срок и удаление по сроку. Пока закона нет, срок задаёте вы, он должен совпадать с политикой обработки. Подробнее в статье про срок хранения данных клиентов.

Ограничьте доступ и проверьте защиту. Журнал читают два-три человека, выгрузки фиксируются, копии шифруются. Общая проверка сайта описана в материале про аудит по 152-ФЗ. Журнал входов в новые проекты я закладываю как часть разработки сайта или приложения.

Частые вопросы

Надо ли начинать хранить журнал уже сейчас?

Закона нет, обязанности тоже. Начать писать события входа отдельной таблицей полезно в любом случае: журнал помогает разбирать взломы и жалобы клиентов.

Касается ли это сайта-визитки или блога?

По тексту проекта нет, если доступ к информации не требует авторизации. Условие включения: пользователи проходят вход.

Кому придётся отдавать сведения?

Проект называет органы, ведущие оперативно-разыскную деятельность или обеспечивающие безопасность государства. Порядок запросов должно описать Правительство, сейчас его нет.

Коротко о главном

Проект 171465 предлагает хранить сведения о регистрации, входах и удалении аккаунтов три года и отдавать их силовым органам. Состав сведений, санкции и порядок не определены, срок начала в тексте 1 марта 2028 года, обсуждение идёт до 15 октября 2026.

Если хотите, чтобы я посмотрел, что в вашем сайте, боте или CRM пишется при входе, и предложил журнал событий, напишите мне в Telegram кодовое слово «ЛОГИ».