Персональные данные в МФЦ: кто оператор и куда жаловаться

При обращении в МФЦ персональные данные проходят как минимум через двух разных операторов, а не через одного. Сам МФЦ - организация, которая принимает документы, сканирует их и вносит в свою информационную систему. Ведомство, которое в итоге оказывает услугу - пенсионный фонд, налоговая, местная администрация, загс, - обрабатывает те же данные заново, для своих целей и по своим основаниям. Заявитель обычно об этом не задумывается: расписался в одном окне, получил один талон, а согласий на обработку персональных данных подписал два, а иногда три. Разберем, кто из участников цепочки за что отвечает, зачем МФЦ вообще берет отдельное согласие, если у ведомства и так есть законные полномочия, и куда жаловаться, если что-то пошло не так - от отказа выдать копию заявления до утечки данных в открытый доступ.

Кто оператор персональных данных при обращении через МФЦ

Формально МФЦ действует как посредник между заявителем и органом власти и работает на основании закона об организации предоставления государственных и муниципальных услуг - именно этот закон, а не 152-ФЗ, описывает саму процедуру приема и передачи документов по принципу одного окна. Но как только в дело вступают персональные данные - фамилия, паспортные реквизиты, СНИЛС, адрес, - применяется уже закон о персональных данных, и по нему МФЦ признается самостоятельным оператором на весь период, пока документы находятся у него: с момента приема до передачи в ведомство и хранения архивной копии.

Ведомство, которое в итоге оказывает услугу, - второй, независимый оператор. Оно получает данные не напрямую от человека, а через систему межведомственного электронного взаимодействия, и обрабатывает их уже для собственных целей: назначить пособие, зарегистрировать право, оформить документ. С точки зрения закона это два разных факта обработки, у каждого свое правовое основание и своя ответственность.

На практике добавляется третий участник, которого заявитель вообще не видит. В большинстве регионов сеть МФЦ администрирует отдельное государственное учреждение - где-то это автономное учреждение под названием Мои документы, где-то структурное подразделение при правительстве субъекта. Именно оно технически отвечает за информационную систему, в которую попадают сканы документов, и за то, кто и как получает к ней доступ. Название и организационная форма отличаются от региона к региону, поэтому при подаче жалобы полезно заранее посмотреть, кто именно является оператором сети МФЦ в конкретном субъекте - это обычно указано в политике обработки персональных данных на сайте центра.

Пример из практики: предприниматель подает документы на регистрацию ИП через МФЦ. Сотрудник принимает пакет, сканирует паспорт и заявление, вносит их в информационную систему центра - на этом этапе оператор МФЦ. Дальше пакет уходит по каналу межведомственного взаимодействия в налоговую службу, которая заводит собственную карточку и продолжает обработку данных все время, пока предприниматель числится в реестре, - и здесь оператором становится уже налоговая. Похожая цепочка работает и при обращениях, не связанных с бизнесом напрямую: оформление детского пособия, замена паспорта, постановка на кадастровый учет. Раз данные в итоге попадают и в налоговую систему, стоит заглянуть в материал о персональных данных и налоговой - там разобрано, что налоговая вправе получать без отдельного согласия, а что нет.

Такая же двухступенчатая обработка встречается у самозанятого, который подает уведомление о постановке на учет через МФЦ вместо личного кабинета, и у родителей, которые оформляют через центр материнский капитал или регистрируют новорожденного. Везде МФЦ выступает только передаточным звеном: принял, сверил, отправил дальше. Окончательным держателем данных становится профильное ведомство - фонд пенсионного и социального страхования, налоговая, орган ЗАГС, - и именно туда нужно обращаться, если вопрос возникает уже после того, как услуга оказана, а не в момент подачи документов.

Зачем МФЦ берет согласие на обработку персональных данных

Раз ведомство и так вправе обрабатывать данные для исполнения своих полномочий, закон прямо разрешает делать это без согласия - такое основание для обработки предусмотрено отдельно от общего правила про согласие. Тогда почему на стойке МФЦ все равно просят подписать отдельный лист согласия?

Причин обычно несколько, и они не совпадают с той обработкой, ради которой человек пришел.

Информирование по SMS о готовности документа, звонок оператора, если что-то оформлено не так, использование скан-копий во внутренней системе учета обращений - все это выходит за пределы строго обязательной обработки и нуждается в отдельном правовом основании, которым и служит согласие.

В некоторых центрах предлагают сопутствующие платные услуги - копирование, печать фотографий, помощь в заполнении бланков. Если для такой услуги данные заявителя нужно ввести в отдельную кассовую или учетную систему, это уже новая цель обработки, под которую опять нужно согласие, а не то, что человек подписал для основной госуслуги.

С 1 сентября 2025 года действует правило, по которому согласие на обработку персональных данных оформляется отдельным документом, а не мелким пунктом внутри заявления или общих условий обслуживания. Поправка внесена федеральным законом от 24.06.2025 № 156-ФЗ. До этого согласие нередко пряталось строкой внизу бланка заявления - подписал один раз и не заметил, на что именно согласился. Теперь МФЦ обязаны выносить его в отдельный лист, а значит заявитель физически видит, что подписывает два разных документа: заявление на услугу и согласие на обработку данных.

Если сотрудник МФЦ настаивает, что без согласия заявление вообще не примут, стоит уточнить, о какой именно обработке речь. Прием документов для государственной услуги в большинстве случаев сам по себе не требует согласия - основанием служит закон. Разобраться, какие шесть законных оснований позволяют обрабатывать данные без согласия, поможет отдельный материал про обработку без согласия - он же объясняет разницу между обязательным приемом заявления и добровольными надстройками вроде рассылки.

Что МФЦ вправе делать с данными, а что нет

У МФЦ есть определенный набор действий, разрешенных регламентом оказания услуг: принимать оригиналы и копии документов, сверять их с образцами, сканировать, вносить сведения в информационную систему центра, передавать по защищенному каналу в ведомство, хранить копию в течение срока, установленного внутренним регламентом конкретной услуги. Это обычная часть обработки, и она не требует от заявителя дополнительных действий, кроме подписи там, где закон требует согласие.

Список того, чего МФЦ делать не вправе, короче, но именно на этих пунктах чаще всего и случаются нарушения.

Нельзя использовать данные заявителя для продвижения сопутствующих услуг центра без отдельного согласия - если сотрудник предлагает платное копирование и тут же вносит паспортные данные в базу для последующих рассылок, это уже новая цель обработки без правового основания.

Нельзя передавать документы в ведомства, куда заявитель не обращался, под предлогом ускорения процесса - у каждой передачи должно быть основание, обычно им служит сама заявленная услуга.

Нельзя хранить бумажные копии или распечатанные сканы в открытом доступе на стойке, где их может увидеть следующий посетитель, - простое нарушение требований к защите данных, но встречается на практике постоянно, особенно в загруженные дни.

Нельзя игнорировать запрос заявителя о том, какие именно данные о нем обрабатываются и кому передавались, - это отдельное право, к которому вернемся ниже.

Показательный пример - клиника, которая подает документы на квоту через МФЦ. В пакете кроме паспорта и полиса нередко оказывается выписка с диагнозом - это уже специальная категория данных, для которой требования к обработке строже, чем для обычных анкетных сведений. Клинике стоит заранее уточнять у МФЦ, какие листы попадут в общий скан, а какие лучше передать напрямую в ведомство, минуя посредника.

Похожая ситуация - у школы, которая через МФЦ или связанный с ним портал ведет запись в первый класс. В пакете кроме паспорта родителя и свидетельства о рождении ребенка иногда просят приложить медицинскую справку или документ о регистрации по месту жительства. Каждый лишний документ - это лишние данные, которые пройдут через ту же цепочку операторов, поэтому имеет смысл заранее сверяться со списком строго обязательных документов в регламенте услуги, а не нести все, что показалось уместным.

Куда уходят данные после приема заявления

Технически передача данных из МФЦ в ведомство идет через систему межведомственного электронного взаимодействия - инфраструктуру, которая связывает информационные системы разных органов власти между собой. Заявитель этого не видит: с его стороны все выглядит как один визит в одно окно, но за кулисами документы уходят отдельным защищенным каналом в систему конкретного ведомства, где заводится собственная карточка обработки.

С точки зрения закона такая передача - тоже обработка персональных данных, просто она укладывается в рамки исполнения государственной функции и не требует отдельного согласия сверх уже полученного на саму услугу. Проблема возникает тогда, когда к основной передаче незаметно добавляется побочная: например, МФЦ предлагает заодно оформить сопутствующий продукт стороннего партнера - страховку, подписку на уведомления через коммерческое приложение, участие в опросе. Здесь данные уходят уже не в орган власти, а третьему лицу с коммерческим интересом, и для этого нужно отдельное, ясно сформулированное согласие, а не общая подпись под пакетом документов.

Разница между передачей ведомству и передачей коммерческому партнеру принципиальна: первая опирается на закон, вторая - только на добровольное согласие, которое можно не давать без последствий для основной услуги. Если сотрудник МФЦ утверждает обратное - что без согласия на партнерский сервис заявление не примут, - это повод переспросить, действительно ли такая подпись обязательна для получения услуги, ради которой человек пришел. Какие основания вообще допускают передачу данных третьим лицам и что должно быть оформлено при каждой такой передаче, подробно разобрано в отдельном материале о передаче данных третьим лицам.

Если МФЦ отказывается выдать копию вашего заявления

У любого человека, чьи данные обрабатывает МФЦ, есть право узнать, какие сведения о нем хранятся, с какой целью и кому передавались, а также получить копию документов, связанных с его обращением. На практике это право реализуется хуже всего: сотрудники окна нередко отвечают, что копии не выдаются или что нужно обращаться в ведомство, а МФЦ тут ни при чем.

Разница между приемом заявления и ответом на такой запрос принципиальная. Обычное заявление на услугу МФЦ обязан принять и зарегистрировать в присутствии заявителя. Запрос же о собственных персональных данных - отдельная процедура, и устного обращения на ресепшене для нее недостаточно: нужен письменный запрос, зарегистрированный через канцелярию центра, с присвоенным номером и датой.

Дальше у оператора есть ограниченный срок на ответ - закон не позволяет тянуть с этим бесконечно, и затягивание сверх установленного срока само по себе основание для жалобы, даже если по существу ответ окажется отказом. Что именно можно требовать и как сформулировать такой запрос, чтобы не получить формальную отписку, подробно разобрано в материале о запросе субъекта персональных данных. Полный перечень прав, которые есть у человека как у субъекта персональных данных - не только на копию, но и на уточнение, блокирование, отзыв согласия, - тоже собран отдельной статьей на сайте.

Утечка персональных данных в МФЦ: кто отвечает

Сканы паспортов и СНИЛС, попавшие в открытый доступ из-за неверно настроенного сервера или проданные недобросовестным сотрудником, - не гипотетическая ситуация, а повторяющийся сюжет в новостях о региональных МФЦ. Вопрос ответственности здесь решается по тому же принципу, что и вопрос об операторе: важно, на каком этапе цепочки произошла утечка.

Если данные утекли до передачи в ведомство - пока сканы лежали в информационной системе центра или на компьютере конкретного сотрудника, - отвечает МФЦ как оператор на этом этапе. Если утечка случилась уже в системе ведомства, после того как данные были переданы по каналу межведомственного взаимодействия, ответственность переходит к ведомству. Бывают и смешанные случаи, когда утечка происходит на уровне инфраструктуры, которую администрирует региональный оператор сети МФЦ, - тогда разбирательство идет с ним отдельно от конкретного окна приема.

По закону любой оператор, у которого произошла утечка, обязан уведомить Роскомнадзор в течение суток с момента обнаружения инцидента, а результаты внутреннего расследования предоставить в течение трех суток. Это правило не делает исключения для государственных и муниципальных операторов - обязанность действует одинаково и для коммерческой компании, и для МФЦ, и для органа власти.

С 30 мая 2025 года за утечку персональных данных введены оборотные штрафы - они считаются от выручки оператора, и здесь у бюджетных учреждений есть особенность: у МФЦ как государственного или муниципального учреждения выручки в привычном смысле нет, поэтому к нему чаще применяются фиксированные санкции по КоАП, а не оборотный штраф, рассчитанный от оборота. Для должностных лиц, допустивших грубые или повторные нарушения при обработке персональных данных, с 2024 года действует и уголовная статья 272.1 УК - она введена федеральным законом от 30.11.2024 № 420-ФЗ и применяется с 30 мая 2025 года. Порядок действий на первые сутки после обнаружения утечки - что фиксировать, кому звонить и что писать в уведомлении для Роскомнадзора - расписан по шагам в материале о плане реагирования на утечку персональных данных.

Куда жаловаться на нарушение обработки персональных данных в МФЦ

Маршрут жалобы зависит от того, что именно нарушено: грубость и потерянный документ решаются иначе, чем разглашение данных. Прежде чем разбираться, куда именно писать, полезно свести участников цепочки в одну таблицу.

Если проблема процедурная - долго ждали, потеряли документ, отказались принять полный пакет без объяснения причин, - первый шаг: обращение к руководителю конкретного МФЦ или в контакт-центр региональной сети через официальный сайт Мои документы. У большинства сетей есть форма электронной жалобы и обязательный срок ответа, обычно указанный прямо на сайте центра.

Если нарушение касается именно персональных данных - отказ подтвердить факт обработки, разглашение сведений третьим лицам, утечка, требование подписать согласие на то, что не связано с услугой, - жалобу стоит подавать напрямую в Роскомнадзор через раздел приема обращений на официальном сайте ведомства. К жалобе полезно приложить копию своего письменного обращения в МФЦ и полученный на него ответ, а если ответа не было в установленный срок - зафиксировать и это, такое молчание тоже нарушение.

Перед подачей жалобы имеет смысл проверить, зарегистрирован ли конкретный МФЦ или ведомство как оператор персональных данных, - это делается через реестр операторов, который ведет Роскомнадзор. Отсутствие организации в реестре при том, что она явно обрабатывает данные, - отдельное основание для обращения, независимо от исходной жалобы.

Быстрого результата от такой жалобы ждать не стоит. Общий порядок рассмотрения обращений граждан отводит на ответ около месяца, а если для проверки нужно запросить объяснения у МФЦ или у ведомства, срок могут продлить. От подачи жалобы до содержательного ответа нередко проходит больше тридцати дней, и это не повод считать, что обращение потерялось - до истечения срока имеет смысл просто ждать, а не дублировать жалобу повторно.

Если нарушение произошло уже на стороне ведомства, а не самого МФЦ - например, персональные данные использовали для решения, никак не связанного с поданным заявлением, - жалобу нужно направлять в это ведомство и его вышестоящий орган, по правилам административного регламента конкретной государственной услуги. Обращение в МФЦ в этом случае ничего не изменит: центр лишь передал данные дальше и не отвечает за то, что произошло внутри чужой информационной системы.

При подозрении, что произошло не просто нарушение регламента, а преступление - продажа базы данных, вымогательство под угрозой раскрытия сведений, - есть смысл параллельно обращаться в полицию и прокуратуру, указывая на возможные признаки статьи о неправомерных действиях с персональными данными. Прокуратура вправе провести собственную проверку независимо от того, чем закончится обращение в Роскомнадзор.

Что делать, чтобы данные в МФЦ не стали проблемой

Разбираться с нарушением проще, если заранее понимать, что можно требовать, а что подписывать не обязательно. Порядок действий, который снижает риски еще до похода в МФЦ:

• Перед визитом уточнить на портале госуслуг или на сайте ведомства, какие документы и согласия потребуются для конкретной услуги - большинство регламентов публикуются заранее.
• Не подписывать согласие не глядя. Если в бланке заложены пункты про рассылки, партнерские предложения или передачу данных сторонним сервисам, стоит уточнить у сотрудника, можно ли ограничиться согласием только на профильную услугу - с 1 сентября 2025 года согласие оформляется отдельным документом именно для того, чтобы это было видно.
• Сохранять талон электронной очереди и номер зарегистрированного обращения - это единственное доказательство даты и содержания визита, если позже понадобится что-то оспорить.
• Любой отказ - выдать копию, объяснить цель обработки, принять заявление без дополнительного согласия - фиксировать письменно, а не выяснять по телефону: устный ответ потом невозможно приложить к жалобе.
• При подозрении на утечку не откладывать обращение: писать и в МФЦ, и в Роскомнадзор параллельно, а не дожидаться ответа от одного, чтобы обратиться во второй.
• Периодически проверять по реестру операторов, кто именно обрабатывает данные после обращения в МФЦ - список получателей нередко шире, чем кажется на первый взгляд.

Кадровик, оформляющий сотруднику документы через МФЦ, клиника, отправляющая пакет на квоту, или предприниматель, регистрирующий бизнес, проходят ту же цепочку операторов, что и обычный заявитель, - разница только в масштабе документооборота. Если по итогам такой проверки у компании возникают вопросы к собственным формам согласия, политике обработки персональных данных на сайте или к тому, как оформлена передача данных партнерам, на 152fzpro.ru можно посмотреть, как эти документы и формы приводятся в соответствие с текущими требованиями закона.