Почему Яндекс страннен?

Глава 1

# Невидимый наблюдатель: почему Яндекс и другие российские приложения вызывают вопросы к приватности

*Обзор документированных фактов, судебных решений и законодательства — с разбором контекста и контраргументов*

---

## Введение

Разговоры о «слежке» часто звучат как теория заговора. Но в случае с российскими интернет-сервисами речь идёт не о догадках, а о зафиксированных в законах требованиях, судебных решениях и признанных самими компаниями инцидентах. Эта книга не утверждает, что Яндекс — «злодей» в мультяшном смысле. Она собирает воедино то, что известно: какие обязательства закон накладывает на российские сервисы, что происходило на практике, и какие из этого следуют разумные выводы для пользователя.

Важная оговорка сразу: почти любая крупная компания в любой стране в той или иной степени обязана сотрудничать с правоохранительными органами, а утечки данных случаются у всех — от Facebook до Sony. Специфика российского случая не в самом факте существования таких требований, а в их объёме, непрозрачности и в том, что относительно независимого судебного или общественного контроля за их применением почти нет. Об этом — ниже.

---

## Глава 1. СОРМ: техническая инфраструктура слежки

В основе разговора о цифровом надзоре в России лежит система СОРМ (система оперативно-разыскных мероприятий). Технически это оборудование, устанавливаемое за счёт самой компании и обеспечивающее ФСБ прямой канал доступа к данным пользователей.

<cite index="2-1">Система физически представляет собой сервер со специальным программным обеспечением и выделенной линией связи, которая напрямую подключается к оборудованию ФСБ — такой сервер имеет доступ к базам данных конкретной компании и по запросам ФСБ передаёт спецслужбе часть хранящейся там информации.</cite> Компании при этом сами оплачивают развёртывание и обслуживание этого оборудования.

Правовая база — так называемый «пакет Яровой» (374-ФЗ), который обязывает операторов связи и интернет-сервисы, включённые в реестр «организаторов распространения информации» (ОРИ), хранить данные пользователей. <cite index="6-2">С 2018 года по этому закону российские ОРИ обязаны в течение года хранить данные о фактах передачи сообщений и сведения о пользователях (время передачи, IP-адреса, идентификаторы сессий, учётные записи отправителя и получателя), а в течение полугода — хранить содержание переписок, аудиосообщения, видео и файлы и затем передавать их ФСБ по запросу.</cite> <cite index="6-2">С 2026 года срок обязательного хранения такой информации увеличивается до трёх лет.</cite>

Это не абстракция для «крупных корпораций где-то там». <cite index="6-3">В реестр ОРИ Роскомнадзора входит порядка 400 организаций — среди них «ВКонтакте», WhatsApp, Skype, Facebook, Twitter, Instagram, TikTok, Telegram, сервисы «Яндекса», HeadHunter, «Пикабу», «Аэрофлот» и другие.</cite> Более того, требования постепенно расширяются на новые категории бизнеса: в 2025–2026 годах <cite index="6-1">ФСБ потребовала от российских банков хранить переписки с клиентами и данные из банковских приложений, обязав их устанавливать СОРМ до 2027 года</cite> — то есть под наблюдение попадают уже не только соцсети, но и финансовые приложения.

Государство при этом продолжает расширять перечень собираемых данных. <cite index="10-1">Минцифры расширило список сведений, которые операторы связи и интернет-сервисы обязаны передавать силовикам через СОРМ: если раньше речь шла в основном о метаданных трафика, то новая норма даёт доступ к паспортным данным, адресам, ИНН, банковским реквизитам, IP-адресам, логинам, доменам и геолокации пользователей.</cite>

---

## Глава 2. Яндекс и ФСБ: что показывают суды

Публичные заявления компаний о защите приватности — это одно, а юридические обязательства — другое. В случае с Яндексом есть документальные свидетельства того, как именно строилось взаимодействие с ФСБ.

По данным расследования издания «Агентство», основанного на изученных судебных решениях, <cite index="3-1">корпорация «Яндекс» ещё в 2019 году согласовала с ФСБ план установки оборудования для слежки за пользователями её сервисов, а к началу 2022 года частично установила его; на момент публикации процесс подключения ФСБ к сервисам «Яндекса» находится на заключительном этапе.</cite>

Компания не просто формально исполняла требования — есть история споров о степени этого исполнения. <cite index="3-1">Адвокаты «Яндекса» на судах утверждали, что компания полностью выполняет предписания ФСБ, в частности предоставив круглосуточный удалённый доступ к информационной системе, тогда как в ФСБ настаивали, что требования выполнены лишь частично.</cite> <cite index="3-1">По итогам рассмотрения 43 таких протоколов судами Москвы в 2021–2025 годах «Яндекс» был оштрафован как минимум на 3,3 млн рублей</cite> — суммы для компании такого масштаба скорее символические, но сам факт многолетней судебной тяжбы за степень доступа спецслужб показывает, что вопрос не гипотетический.

Показателен и отдельный эпизод: <cite index="3-1">в 2022 году Мещанский суд оштрафовал «Яндекс» на 400 тысяч рублей за неустановку сервисом «Яндекс.Услуги» программ, необходимых для оперативно-розыскной работы</cite> — то есть речь шла не о теоретической возможности доступа, а о конкретном сервисе, где это стало предметом судебного разбирательства.

Стоит подчеркнуть: подобное поведение — не уникальная особенность именно Яндекса. По оценке кибер-юристов, <cite index="7-1">большинство крупных ОРИ в России, включая «Яндекс» и VK, выполняют требования ФСБ и Роскомнадзора и, судя по всему, продолжат это делать</cite>, а Ассоциация больших данных, объединяющая Яндекс, VK, Сбер, МТС, Ростелеком и других игроков, называет соблюдение таких требований «стандартом для ответственных участников рынка». Это не оправдание, а важный контекст: перед нами не заговор одной компании, а системное требование закона, которому подчиняется практически вся индустрия.

---

## Глава 3. Утечки: когда данные утекают не по воле государства

Отдельная, не менее важная проблема — банальная небезопасность хранения данных, из-за которой информация миллионов пользователей оказывается в открытом доступе безо всякого участия спецслужб.

Самый резонансный случай — утечка «Яндекс.Еды» в 2022 году. <cite index="17-1">1 марта 2022 года служба информационной безопасности «Яндекс.Еды» сообщила об обнаружении утечки, произошедшей, по заявлению компании, из-за недобросовестных действий одного из сотрудников.</cite> В открытый доступ попал архив с <cite index="17-1">именами и фамилиями клиентов, номерами телефонов (почти 6,9 млн уникальных номеров из России и Казахстана плюс более 200 тысяч из Беларуси) и полными адресами доставки, с данными о заказах за период с июня 2021 по февраль 2022 года.</cite>

Масштаб утечки со временем уточнялся в разных источниках, но по консолидированной оценке аналитиков утечек данных, <cite index="11-1">только по сервису «Яндекс.Еда» пострадало более 6,8 млн пользователей — это крупнейшая утечка среди всех сервисов доставки еды в России за тот период.</cite> Позже утечка получила продолжение: <cite index="15-1">создатели сайта с утечкой опубликовали новую версию ресурса, дополнив её данными из баз ГИБДД, Wildberries и службы доставки СДЭК</cite>, что превратило разрозненные утечки в подробный сводный профиль конкретных людей — их перемещения, покупки, транспорт.

Реакция государства на это показательна сама по себе: <cite index="15-1">суд оштрафовал «Яндекс.Еду» всего на 60 тысяч рублей — то есть около 0,009 рубля за пострадавшего пользователя.</cite> Позже, впрочем, <cite index="19-1">Следственный комитет возбудил уголовное дело по фактам нарушения неприкосновенности частной жизни и неправомерного доступа к компьютерной информации</cite>, но символические штрафы для самой компании наглядно демонстрируют, что финансовый стимул защищать пользовательские данные в России долгое время был крайне слабым.

Позднее выяснилось, что утечка не ограничилась базой заказов: <cite index="18-1">в мае 2022 года в открытый доступ попала база данных курьеров «Яндекс.Еды» и Delivery Club — свыше 700 тысяч записей с именами, телефонами и почтовыми адресами курьеров.</cite>

---

## Глава 4. Не только Яндекс: системная проблема всей экосистемы

Заголовок этой книги мог бы звучать как «Почему опасен именно Яндекс», но фактическая картина шире: сама архитектура регулирования делает потенциально уязвимым любой достаточно крупный российский цифровой сервис.

Во-первых, требования СОРМ и «закона Яровой» касаются не только соцсетей и поисковиков, но и банков, логистических компаний, платформ доставки. <cite index="6-3">В реестр ОРИ уже в 2019 году включили «Сбербанк Онлайн», а в 2020-м — ресурсы Т-Банка.</cite> Это значит, что мобильный банк, транспортное приложение, служба доставки — потенциально все они обязаны обеспечивать тот же уровень доступа силовиков, что и мессенджеры.

Во-вторых, регулирование не статично — оно последовательно расширяется. <cite index="7-1">Госдума приняла поправки, увеличивающие штрафы для интернет-компаний за отказ устанавливать СОРМ до 10 раз</cite>, а требования по хранению данных распространяются на всё новые категории бизнеса, включая <cite index="7-1">технологические сети с промышленными данными с 2023 года.</cite>

В-третьих, контроль за исполнением этих требований пока формально ограничен: <cite index="10-1">до 2030 года действует мораторий на проверки операторов связи на предмет установки СОРМ, хотя власти обсуждают его отмену именно потому, что мораторий мешает проверять, установили ли компании системы слежки.</cite> Парадоксальным образом это означает, что реальный охват системы слежки сегодня доподлинно не известен даже регуляторам.

Наконец, стоит понимать бытовую сторону вопроса: рекламная инфраструктура Яндекса устроена так же, как у большинства крупных интернет-компаний в мире — данные о поведении пользователя используются для таргетинга рекламы и передаются рекламным партнёрам на договорной основе. Согласно собственной политике конфиденциальности компании, <cite index="21-1">Яндекс может передавать персональную информацию партнёрам — рекламным сетям, службам такси, — а также любому регулирующему или правоохранительному органу, если это предусмотрено законодательством.</cite> Это стандартная практика для рекламно-ориентированного бизнеса (аналогичные оговорки есть у Google и Meta), но в сочетании с обязательным доступом ФСБ она означает, что один и тот же массив данных о человеке — от поисковых запросов до маршрутов такси — потенциально доступен и коммерческим партнёрам, и государству.

---

## Глава 5. Контекст и контраргументы

Честная картина требует и взгляда с другой стороны — иначе это будет не анализ, а пропаганда.

**Это не уникально для России.** Требования законного перехвата коммуникаций (lawful intercept) существуют в законодательстве США (CALEA), Великобритании (Investigatory Powers Act), Китая и большинства стран мира. Разница — в объёме полномочий, независимости судебного надзора и прозрачности процедуры запроса данных, а не в самом факте существования механизма.

**Утечки данных — общемировая проблема.** У Facebook/Meta, Equifax, Marriott, T-Mobile и десятков других западных компаний случались утечки данных сотен миллионов пользователей, зачастую с куда более чувствительной информацией (номера социального страхования, платёжные данные). Проблема безопасности хранения — не специфически российская, хотя штрафы за утёкшие данные в России исторически были символическими по сравнению, например, с санкциями GDPR в ЕС.

**Яндекс — не государственная структура и заявляет о защите приватности.** Компания официально утверждает, что <cite index="25-1">данные обрабатываются автоматически, практически без доступа сотрудников, а конфиденциальная информация хранится в зашифрованном виде.</cite> У Яндекса есть реальные инженерные и юридические команды, которые ведут споры с ФСБ об объёме доступа, а не просто открывают все двери по первому требованию — судебные протоколы это подтверждают.

**Санкции и геополитика усложняют инфраструктуру.** Часть судебных разбирательств Яндекса с ФСБ, по словам адвокатов компании, была связана с невозможностью ввезти нужное оборудование из-за санкций — это техническая, а не идеологическая причина задержек.

Тем не менее ни один из этих контраргументов не отменяет главного: юридическая база (СОРМ, «закон Яровой»), масштаб уже произошедших утечек и тенденция к расширению доступа силовиков к всё более чувствительным категориям данных (геолокация, банковские реквизиты, паспортные данные) — это задокументированные факты, а не предположения.

---

## Глава 6. Что это значит на практике для пользователя

Из всего вышесказанного вытекают несколько практических выводов, а не панических:

1. **Любые данные, переданные российскому сервису, юридически доступны силовым структурам по запросу** — это не вопрос доверия к конкретной компании, а требование закона, которое компании обязаны соблюдать под угрозой оборотных штрафов. 2. **Утечки — реалистичный риск, а не редкое исключение.** История «Яндекс.Еды» показывает, что даже крупная технологическая компания может годами не замечать неограниченный доступ сотрудника к базе на 7 млн записей. 3. **Наиболее чувствительные категории данных стоит минимизировать сознательно** — точная геолокация, история платежей, содержимое переписок. Это касается не только Яндекса, а всей экосистемы приложений, подпадающих под реестр ОРИ. 4. **Для по-настоящему приватных коммуникаций** стоит рассматривать сервисы со сквозным шифрованием, серверы которых физически находятся вне юрисдикции РФ, и понимать, что метаданные (кто, когда, с кем связывался) зачастую доступны спецслужбам даже при шифровании содержимого. 5. **Регулирование продолжает ужесточаться**, а не смягчаться — расширение требований на банки и «технологические сети» в 2025–2026 годах показывает направление тренда, и есть основания полагать, что новые категории сервисов будут включаться в этот периметр и дальше.

---

## Заключение

Яндекс — не какой-то особенно злонамеренный игрок среди российских технокомпаний; скорее он показательный пример того, как устроена система в целом. Закон обязывает почти любой достаточно крупный российский цифровой сервис — от поисковика до банковского приложения — обеспечивать государству доступ к пользовательским данным, а собственная защита данных компаний от утечек долгое время подкреплялась минимальными финансовыми стимулами. Совокупность этих двух факторов — обязательный доступ силовиков плюс исторически слабая ответственность за утечки — и создаёт ту картину рисков, которая заставляет многих пользователей и исследователей относиться к российским приложениям с повышенной осторожностью. Это не повод для паники, но повод для осознанного выбора: понимать, какие данные вы доверяете конкретному сервису, и какие из этих данных вы готовы видеть за пределами вашего контроля.