Применение 152-ФЗ О персональных данных к системе авторизации игрового лаунчера?

Здравствуйте. Отсутствие ФИО, телефона и email само по себе не выводит ваш проект из-под действия Закона № 152-ФЗ. В описанной системе есть существенные основания считать сведения об аккаунтах персональными данными, а вас — их оператором. Но утверждать, что любой UUID или игровой никнейм всегда является персональными данными, тоже неправильно: важна возможность связать сведения с конкретным человеком.

Здесь пересекаются вопросы защиты персональных данных и договорных отношений с пользователями и хостинг-провайдерами.

## 1. Как оценивать данные в вашей системе

По пункту 1 статьи 3 Федерального закона от 27.07.2006 № 152-ФЗ персональные данные — любая информация, относящаяся к прямо или косвенно определённому либо определяемому физическому лицу. Для этого не обязательно знать его паспортное имя.

Применительно к вашей архитектуре:

| Данные | Правовая оценка |
|---|---|
| Постоянный UUID | Не является персональными данными автоматически. Но если через него связаны аккаунт конкретного игрока, никнеймы, подключения и действия, он может выступать косвенным идентификатором человека. Случайный способ генерации этого не исключает. |
| Логин в виде HMAC, хэш пароля | Криптографическое преобразование не означает, что сведения перестали быть персональными данными. Если они относятся к идентифицируемому пользователю и используются для доступа к его аккаунту, основания применять № 152-ФЗ сохраняются. При этом пароль до хэширования также обрабатывается системой. |
| Никнейм и история его изменений | Произвольный никнейм в отрыве от других сведений может не позволять определить человека. В связке с постоянным аккаунтом, перепиской, приглашением от знакомого и другими данными оценка меняется. |
| Блокировки и ограничения по UUID | Если UUID связан с определяемым пользователем, сведения о его нарушениях и ограничениях также относятся к нему и могут быть персональными данными. |
| IP-адреса | Не каждый IP-адрес сам по себе однозначно определяет человека. Однако IP вместе со временем подключения, аккаунтом и другими сведениями может быть персональными данными. Отсутствие записи IP в прикладную базу не означает отсутствия его обработки. |

Оценивать нужно всю связку данных, а не каждый столбец базы отдельно. В частности, имеет значение, можете ли вы установить, кому принадлежит аккаунт, через выданное приглашение, личное знакомство, сообщения в чате или сведения на игровом сервере.

HMAC и Argon2id полезны для безопасности, но не создают самостоятельного юридического исключения из № 152-ФЗ. Обезличивание по пункту 9 статьи 3 этого закона также не тождественно простому хэшированию: учитывается возможность определить принадлежность данных с использованием дополнительной информации.

## 2. Можно ли сослаться на личные цели

Пункт 1 части 2 статьи 1 № 152-ФЗ исключает из сферы действия закона обработку физическими лицами исключительно для личных и семейных нужд, если при этом не нарушаются права субъектов персональных данных.

Для действительно частной игры с несколькими лично знакомыми людьми аргументы в пользу этого исключения есть. Однако:

- отсутствие платы и статуса ИП само по себе ничего не решает;
- регистрация только по приглашениям не гарантирует исключения;
- допуск знакомых знакомых, которых вы лично не знаете, постоянное администрирование сервиса и расширение аудитории ослабляют позицию о сугубо личном использовании.

По вашему описанию полагаться только на это исключение рискованно. Точный вывод зависит от реального масштаба, состава участников и организации проекта. При этом сама по себе разработка лаунчера ещё не делает вас оператором: значение имеет фактическая обработка данных пользователей.

## 3. Статус оператора и уведомление Роскомнадзора

По пункту 2 статьи 3 № 152-ФЗ оператором может быть и обычное физическое лицо — не только организация или ИП. Если вы определяете, зачем собирать сведения об игроках, какие именно сведения использовать и как их обрабатывать, признаки оператора у вас имеются.

Если сведения являются персональными данными и исключение для личных и семейных нужд не применяется, при описанной автоматизированной обработке следует исходить из обязанности уведомить Роскомнадзор. Основание — статья 22 № 152-ФЗ. Общего исключения для бесплатного проекта, маленькой аудитории или регистрации без ФИО нет.

Уведомление подаётся до начала обработки через предусмотренные Роскомнадзором способы, в том числе через портал персональных данных. Это уведомительная процедура, а не получение разрешения на запуск. Если обработка уже ведётся, подача уведомления не устраняет возможное нарушение за предшествующий период, но откладывать урегулирование не стоит.

За нарушения предусмотрена административная ответственность по статье 13.11 КоАП РФ; конкретный состав зависит от того, какая обязанность нарушена.

## 4. Может ли изменение архитектуры исключить обработку ПДн

Теоретически — да, но замены логина на HMAC, а имени на UUID для этого недостаточно.

Реальное снижение риска связано не столько с шифрованием идентификаторов, сколько с отказом от возможности связывать данные с человеком. Например:

- отсутствие серверных аккаунтов и постоянных идентификаторов;
- хранение профиля только на устройстве пользователя без передачи вам;
- получение лишь действительно обезличенной статистики;
- отсутствие связок между приглашениями, аккаунтами, сетевыми журналами и сведениями о пользователях.

Однако постоянный аккаунт, история никнеймов и индивидуальные блокировки предполагают устойчивое различение пользователей. Это не автоматически означает возможность определить физическое лицо, но существенно затрудняет обоснование того, что система вообще не обрабатывает ПДн.

Кроме того, «анонимная» прикладная база не решает вопрос, если идентифицирующие сведения остаются в журналах VPS, reverse proxy, игрового сервера, системе мониторинга или у подключённых сервисов. Поэтому для сохранения вашей функциональности обычно практичнее организовать минимальную законную обработку, чем пытаться исключить действие закона одной технической заменой.

## 5. Что сделать на практике

1. Составить схему фактической обработки. Проверить не только базу аккаунтов, но и журналы авторизации, веб-сервера, игрового сервера, резервные копии, аналитику сайта и связь кодов приглашения с людьми.

2. Определить основание обработки. Для данных, объективно необходимых для предоставления доступа к игре, может применяться пункт 5 части 1 статьи 6 № 152-ФЗ — исполнение договора с пользователем. Согласие не является единственным возможным основанием. Дополнительные цели нужно оценивать отдельно.

3. Описать понятные правила доступа и конфиденциальности. Указать состав данных, цели, сроки хранения, порядок блокировок и удаления аккаунта, способы обращения пользователя. При сборе ПДн через интернет необходимо обеспечить доступ к политике обработки с учётом части 2 статьи 18.1 № 152-ФЗ. Не нужно ради этого начинать собирать ФИО или паспортные данные.

4. Проверить размещение инфраструктуры. При сборе через интернет персональных данных граждан РФ учитываются требования локализации по части 5 статьи 18 № 152-ФЗ. Зарубежный VPS, игровой хостинг, резервные копии или внешние сервисы могут дополнительно поставить вопрос о трансграничной передаче по статье 12. Нужно выяснить фактическое расположение баз и маршруты передачи.

5. Разобраться с ролью хостинг-провайдеров. Если провайдер обрабатывает ПДн по вашему поручению, условия должны соответствовать части 3 статьи 6 № 152-ФЗ. Само наличие договора аренды VPS не гарантирует, что этот вопрос урегулирован.

6. Установить необходимые сроки хранения и меры защиты. Argon2id — полезная мера, но нужны также ограничение доступа, защита журналов и резервных копий, обновления и порядок удаления данных. Основные требования закреплены в статьях 5 и 19 № 152-ФЗ.

Сайт только для скачивания лаунчера не становится автоматически сайтом без обработки ПДн: отдельно проверьте серверные логи, cookies и стороннюю аналитику.

Итог: ваша архитектура уменьшает объём собираемых сведений, что правильно, но не гарантирует отсутствия персональных данных. Для сервиса со знакомыми знакомых, постоянными аккаунтами и модерацией разумнее исходить из применимости № 152-ФЗ, пока анализ реальных связей и журналов не покажет иное.

Для точной оценки архитектуры и документов стоит обратиться к юристу по персональным данным.