Что юридически представляет собой SMS-код «Госуслуг» и можно ли его передавать
Код, который приходит вам на телефон от официальных «Госуслуг», — это не просто набор цифр. По смыслу закона такой одноразовый код, подтверждающий действие именно вашей учётной записи, является ключом простой электронной подписи (ПЭП), поскольку простая электронная подпись подтверждает факт формирования действий определённым лицом именно через коды и пароли.
Простой электронной подписью является электронная подпись, которая посредством использования кодов, паролей или иных средств подтверждает факт формирования электронной подписи определенным лицом
— п. 2 ст. 5 ФЗ-63 «Об электронной подписи»
Для клиента это означает: сообщив код другому лицу, вы фактически передаёте ему свой ключ простой электронной подписи, то есть даёте ему возможность совершать от вашего имени юридически значимые действия в ЕСИА «Госуслуги» — подавать заявления на кредиты, выписки, менять данные, подписывать документы. Закон (ст. 9 ФЗ-63) и Правила использования простой электронной подписи возлагают на владельца ключа обязанность соблюдать его конфиденциальность и не допускать использование без своего согласия. Поэтому передача кода третьему лицу, включая руководителя, нарушает режим конфиденциальности ключа и снимает с вас контроль над вашей учётной записью.
Дополнительно данные в вашем аккаунте «Госуслуг» (персональные данные, сведения о документах, доходах, имуществе) являются охраняемой законом компьютерной информацией:
По смыслу части 1 статьи 272 УК РФ в качестве охраняемой законом компьютерной информации рассматривается как информация, для которой законом установлен специальный режим правовой защиты, ограничен доступ, установлены условия отнесения ее к сведениям, составляющим государственную, коммерческую, служебную, личную, семейную или иную тайну (в том числе персональные данные), установлена обязательность соблюдения конфиденциальности такой информации и ответственность за ее разглашение
— п. 3 Постановления Пленума ВС РФ № 37 от 15.12.2022
Вывод. Давать код никому нельзя — это передача ключа доступа к вашей учётной записи ЕСИА и вашим персональным данным. Запрос начальника («это для сдачи отчётности») не меняет юридической природы кода и не создаёт у вас обязанности его сообщать: ваша учётная запись «Госуслуг» — личный инструмент, а не корпоративный, и «сдача отчётности» организации через ваш личный аккаунт законом не предусмотрена.
Просьба о коде как мошенническая схема и риски уголовной ответственности
Сама по себе просьба «дайте код, он нужен для отчётности, скиньте сюда» имеет типичные признаки обмана: под благовидным рабочим предлогом у вас выманивают ключ доступа к вашей учётной записи, чтобы затем воспользоваться ею в своих целях (оформить займы, получить данные, изменить сведения). Такое деяние квалифицируется как хищение путём обмана:
Статья 159. Мошенничество 1. Мошенничество, то есть хищение чужого имущества или приобретение права на чужое имущество путем обмана или злоупотребления доверием, - наказывается штрафом в размере до ста двадцати тысяч рублей или в размере заработной платы или иного дохода осужденного за период до одного года, либо обязательными работами на срок до трехсот шестидесяти часов, либо исправительными работами на срок до одного года, либо ограничением свободы на срок до двух лет, либо принудительными работами на срок до двух лет, либо арестом на срок до четырех месяцев, либо лишением свободы на срок до двух лет. (В редакции Федерального закона от 07.12.2011 № 420-ФЗ ) 2. Мошенничество, совершенное группой лиц по предварительному сговору, а равно с причинением значительного ущерба гражданину, - наказывается штрафом в размере до трехсот тысяч рублей или в размере заработной платы или иного дохода осужденного за период до двух лет, либо обязательными работами на срок до четырехсот восьмидесяти часов, либо исправительными работами на срок до двух лет, либо принудительными работами на срок до пяти лет с ограничением свободы на срок до одного года или без такового, либо лишением свободы на срок до пяти лет с ограничением свободы на срок до одного года или без такового. (В редакции Федерального закона от 07.12.2011 № 420-ФЗ ) 3.
— ч. 1 ст. 159 УК РФ
Для клиента это означает: получив ваш код, злоумышленник совершит хищение вашего имущества (денег со счетов, на которые по вашим данным будут оформлены кредиты) именно способом обмана, описанным в ч. 1 ст. 159 УК РФ. Использование выманенного у вас кода — классическая схема социальной инженерии.
Отдельно действия с самой учётной записью образуют состав неправомерного доступа к компьютерной информации:
Статья 272. Неправомерный доступ к компьютерной информации 1. Неправомерный доступ к охраняемой законом компьютерной информации, если это деяние повлекло уничтожение, блокирование, модификацию либо копирование компьютерной информации, за исключением случаев, предусмотренных статьей 272 1 настоящего Кодекса, - (В редакции Федерального закона от 30.11.2024 № 421-ФЗ) наказывается штрафом в размере до двухсот тысяч рублей
— ч. 1 ст. 272 УК РФ
Верховный Суд прямо подводит получение доступа к аккаунту без согласия владельца под понятие неправомерного доступа:
Применительно к статье 272 УК РФ неправомерным доступом к компьютерной информации является получение или использование такой информации без согласия обладателя информации лицом, не наделенным необходимыми для этого полномочиями, либо в нарушение установленного нормативными правовыми актами порядка независимо от формы такого доступа (путем проникновения к источнику хранения информации в компьютерном устройстве, принадлежащем другому лицу, непосредственно либо путем удаленного доступа
— п. 5 Постановления Пленума ВС РФ № 37 от 15.12.2022
Толкование п. 5 Пленума для вашей ситуации: тот, кто через ваш код войдёт в «Госуслуги», получает доступ к охраняемой законом информации без вашего согласия на такие действия, то есть совершает неправомерный доступ независимо от формы (через мессенджер, по удалённому каналу).
Теперь ключевой момент о вашей собственной ответственности. Передав код, вы можете быть признаны пособником даже при отсутствии корыстного умысла, если сознательно содействовали доступу к вашей учётной записи:
Статья 33. Виды соучастников преступления 1. Соучастниками преступления наряду с исполнителем признаются организатор, подстрекатель и пособник. 2. Исполнителем признается лицо, непосредственно совершившее преступление либо непосредственно участвовавшее в его совершении совместно с другими лицами (соисполнителями), а также лицо, совершившее преступление посредством использования других лиц, не подлежащих уголовной ответственности в силу возраста, невменяемости или других обстоятельств, предусмотренных настоящим Кодексом. 3. Организатором признается лицо, организовавшее совершение преступления или руководившее его исполнением, а равно лицо, создавшее организованную группу или преступное сообщество (преступную организацию) либо руководившее ими. 4. Подстрекателем признается лицо, склонившее другое лицо к совершению преступления путем уговора, подкупа, угрозы или другим способом. 5. Пособником признается лицо, содействовавшее совершению преступления советами, указаниями, предоставлением информации, средств или орудий совершения преступления либо устранением препятствий, а также лицо, заранее обещавшее скрыть преступника, средства или орудия совершения преступления, следы преступления либо предметы, добытые преступным путем
— ч. 5 ст. 33, ст. 33 УК РФ
Толкование ч. 5 ст. 33 УК РФ для вашей ситуации: пособник — это тот, кто содействует преступлению, в том числе предоставлением информации, средств или устранением препятствий. Передавая код, вы устраняете главное препятствие (аутентификацию) и предоставляете «средство» — ключ доступа к аккаунту.
Вывод. Просьба дать код с формулировкой «для отчётности» — это с высокой вероятностью мошенничество (ст. 159 УК РФ) с одновременным неправомерным доступом к охраняемой информации (ст. 272 УК РФ). Сама передача кода создаёт для вас риск быть привлечённым к ответственности как пособника (ч. 5 ст. 33 УК РФ) — независимо от того, реальный ли это начальник или мошенник, поскольку вы устраняете препятствие для доступа к вашему аккаунту. Отказ давать код — единственно безопасное поведение.
Отказ начальнику: границы подчинения и как правильно поступить
Работник по трудовому праву обязан подчиняться только распоряжениям, вытекающим из трудового договора, а не любым указаниям руководителя:
Статья 21. Основные права и обязанности работника Работник имеет право на: заключение, изменение и расторжение трудового договора в порядке и на условиях, которые установлены настоящим Кодексом, иными федеральными законами; предоставление ему работы, обусловленной трудовым договором; рабочее место, соответствующее государственным нормативным требованиям охраны труда и условиям, предусмотренным коллективным договором; (В редакции Федерального закона от 30.06.2006 № 90-ФЗ) своевременную и в полном объеме выплату заработной платы в соответствии со своей квалификацией, сложностью труда, количеством и качеством выполненной работы; отдых, обеспечиваемый установлением нормальной продолжительности рабочего времени, сокращенного рабочего времени для отдельных профессий и категорий работников, предоставлением еженедельных выходных дней, нерабочих праздничных дней, оплачиваемых ежегодных отпусков; полную достоверную информацию об условиях труда и требованиях охраны труда на рабочем месте, включая реализацию прав, предоставленных законодательством о специальной оценке условий труда; (В редакции Федерального закона от 28.12.2013 № 421-ФЗ) подготовку и дополнительное профессиональное образование в порядке, установленном настоящим Кодексом, иными федеральными законами; (В редакции Федерального закона от 02.07.2013 № 185-ФЗ) объединение, включая право на создание профессиональных союзов и вступление в них для защиты своих трудовых прав, свобод и законных интересов; участие в управлении организацией в предусмотренных настоящим Кодексом, иными федеральными законами и коллективным договором формах; ведение коллективных переговоров и заключение коллективных договоров и соглашений через своих представителей, а также на информацию о выполнении коллективного договора, соглашений; защиту своих трудовых прав, свобод и законных интересов всеми не запрещенными законом способами; разрешение индивидуальных и коллективных трудовых споров, включая право на забастовку, в порядке, установленном настоящим Кодексом, иными федеральными законами; возмещение вреда, причиненного ему в связи с исполнением трудовых обязанностей, и компенсацию морального вреда в порядке, установленном настоящим Кодексом, иными федеральными законами; (В редакции Федерального закона от 30.06.2006 № 90-ФЗ) обязательное социальное страхование в случаях, предусмотренных федеральными законами. Работник обязан: добросовестно исполнять свои трудовые обязанности, возложенные на него трудовым договором
— ст. 21 ТК РФ
Толкование ст. 21 ТК РФ для вашей ситуации: работник обязан добросовестно исполнять лишь те обязанности, которые возложены на него трудовым договором. Передача личного кода доступа к аккаунту «Госуслуг» в такие обязанности не входит, а сдача отчётности организации не осуществляется через личную учётную запись сотрудника.
Для клиента это означает: у начальника нет правового основания требовать от вас сообщить код, а у вас нет трудовой обязанности его исполнять — напротив, такое требование выходит за пределы трудовой функции и ставит вас под угрозу утраты контроля над личными данными и возможной ответственности. Поскольку распоряжение противоречит законодательству (режим конфиденциальности ключа ЭП и нормы о защите персональных данных), оно не обязательно к исполнению.
Кроме того, значимый сигнал тревоги: сообщение пришло в мессенджере. Верховный Суд относит любые такие сети, включая мессенджеры, к информационно-телекоммуникационным сетям, через которые совершаются дистанционные хищения:
Под информационно-телекоммуникационной сетью в соответствующих статьях Особенной части Уголовного кодекса Российской Федерации понимается технологическая система, предназначенная для передачи по линиям связи информации, доступ к которой осуществляется с использованием средств вычислительной техники. Для целей уголовного законодательства понятия электронных и информационно-телекоммуникационных сетей не разграничиваются. При этом следует иметь в виду, что сеть «Интернет» является одним из их видов. Для признания наличия в действиях подсудимого признака совершения преступления с использованием электронных или информационно- телекоммуникационных сетей не имеют значения количество компьютерных устройств, входящих в такую технологическую систему, подключение к ней ограниченного количества пользователей или неопределенного круга лиц, а также другие ее характеристики. Таковыми могут признаваться, в частности, сети операторов связи, локальные сети организаций, домашние локальные сети, а также любые иные сети, предоставляющие возможность двум или более пользователям с помощью любых компьютерных устройств осуществлять проводной или беспроводной доступ к информации, расположенной на компьютерных устройствах, подключенных к данной сети, либо обмен информацией (передачу сообщений) между компьютерными устройствами. 18.
— п. 17 Постановления Пленума ВС РФ № 37 от 15.12.2022
Для клиента это означает: мессенджер — это информационно-телекоммуникационная сеть, аккаунт начальника в которой мог быть взломан или подделан. Поэтому перед любым исполнением «просьбы» необходимо перепроверить её по другому, независимому каналу (личный звонок, личная встреча), а не отвечать в том же чате.
Вывод. Вы вправе и должны отказаться передавать код. Правильные действия: (1) не отправлять код; (2) прямо сообщить, что код подтверждения «Госуслуг» по закону является ключом простой электронной подписи и вы не вправе его передавать никому; (3) проверить личность начальника по другому каналу связи — высока вероятность, что его аккаунт взломан, и настоящий руководитель о просьбе не знает; (4) о попытке получения кода сообщить в службу поддержки «Госуслуг» и, при признаках мошенничества, — в полицию (ст. 141 УПК РФ, заявление о преступлении). Если код уже передан — немедленно смените пароль от учётной записи, включите двухфакторную аутентификацию и обратитесь в «Госуслуги» для блокировки подозрительных действий.
