Авторизация и персональные данные в РФ: где у вашего входа серые зоны

Вход через Google, код двухфакторной аутентификации на Gmail, сброс пароля по ссылке на иностранный почтовый ящик — три типовые реализации, каждая из которых создаёт измеримый риск для владельца ресурса, работающего с пользователями на территории РФ.

Это технико-архитектурный разбор, а не юридическое заключение. Задача — определить, где механизм входа и восстановления доступа опирается на иностранную инфраструктуру, оценить риск инженерно и дать дорожную карту приведения в соответствие. Документ помогает приоритизировать работы и поставить профильному юристу предметные вопросы.

Большинство ошибок в обсуждении темы возникает из-за того, что три независимых требования сводят к одному «нельзя иностранную почту». Это три разных режима с разным предметом регулирования, разными последствиями и разными способами устранения.

Вход через иностранный OAuth, 2FA-код на зарубежный ящик и сброс пароля письмом — режим A, механизм идентификации. Уведомления на иностранную почту, зарубежный почтовый сервис, аналитика и хостинг — режимы B и C, потоки и место обработки данных.

Один сервис способен задевать несколько режимов одновременно. Корпоративный вход через Google Workspace — это делегированная идентификация (A) и обработка данных за рубежом (B/C).

Требование действует с 1 декабря 2023 года, но до недавнего времени не имело санкции. Закон, подписанный 26 июня 2026 года, вводит в КоАП штрафы. Ответственность ложится на владельца ресурса, а не на пользователя, и не имеет обратной силы: требование распространяется только на новые регистрации, существующие учётные записи сохраняют работоспособность.

Иностранный e-mail в роли логина-идентификатора не нарушает режим A при условии, что верификация выполняется российским фактором. Допустимая последовательность: пользователь вводит e-mail и пароль, затем подтверждает вход кодом из СМС на российский номер. В этой схеме почта — строка-идентификатор, а не доказательство личности.

Суммы в публикациях расходятся — перед использованием в договорной коммуникации сверьте с финальным опубликованным текстом КоАП.

Если первичный вход защищён СМС на российский номер, но пароль сбрасывается одной ссылкой на Gmail, фактический якорь идентификации остаётся в иностранном почтовом ящике. Доступ к ящику равен доступу к учётной записи. Это не обход требования регулятором — это обход требования самим владельцем ресурса.

Правило проектирования: перечислите все способы получить или вернуть доступ и убедитесь, что каждый в критической точке упирается в российский фактор. Минимальный перечень узлов — первичный вход, второй фактор, сброс пароля, восстановление при потере второго фактора, смена привязанного e-mail или телефона.

Зарубежный сервис допустим в роли транспорта сообщения и канала связи, но не в роли фактора, доказывающего личность. Это граница, по которой проходит весь аудит режима A.

Оценка инженерная: степень противоречия сути требования и вероятность попадания под санкцию. Это не юридическая квалификация.

По серым зонам — 2FA на почту и восстановление только по e-mail — на сегодня нет ни разъяснений, ни практики, где эти паттерны квалифицировались бы как самостоятельный состав нарушения. Формальное прочтение «почта — лишь транспорт, логику проверки исполняет сайт» теоретически возможно, но рискованно: суть требования — удерживать идентификацию в российской юрисдикции, и опора на иностранный инбокс как на фактор доступа этому противоречит. С точки зрения управления риском такие флоу следует считать несоответствующими.

Если для доступа к информации авторизация не требуется в принципе — например, подписка на рассылку через открытую форму, — режим A, вероятнее всего, не применяется. Режимы B/C по передаче данных при этом сохраняются.

Три блока по группам рисков. Прохождение сверху вниз закрывает большинство технических вопросов до привлечения юриста.

Режим A — российский фактор на каждом критическом узле:

• заменить иностранный OAuth на VK ID, Яндекс ID, Сбер ID, ЕСИА или вход по телефону;
• перевести второй фактор с e-mail на СМС российского оператора или TOTP-приложение — коды вычисляются локально на устройстве и в момент входа не передаются за рубеж;
• гейтировать восстановление пароля и смену контактов тем же российским фактором, а не письмом со ссылкой;
• оставить почту в роли логина и канала уведомлений, но не единственного ключа от учётной записи.

Режимы B/C — локализация либо легализация:

• перенести рассылки, аналитику и хостинг на российских провайдеров, где это применимо;
• где зарубежный сервис остаётся — обеспечить первичный сбор в базы на территории РФ и подать в РКН уведомление о трансграничной передаче. Для стран из перечня РКН с адекватной защитой передачу допустимо начинать сразу после подачи уведомления; для прочих — дождаться решения РКН, который вправе её ограничить или запретить.

• Понятие «авторизация» в законе размыто; правоприменение по пограничным сценариям (2FA на почту, восстановление по e-mail) пока непредсказуемо.
• Порядок работы с существующими аккаунтами, привязанными к иностранным сервисам, может уточняться подзаконными актами.
• Трактовка локализации (ч. 5 ст. 18) развивается: разъяснения 2025 года смягчают радикальное прочтение, контроль РКН усиливается.

По этим пунктам окончательную позицию подтверждает профильный юрист. Назначение разбора — поставить вопросы предметно и заранее закрыть очевидные технические риски.