Электронные перевозочные документы и 152-ФЗ: на что обратить внимание

С 1 сентября 2026 года электронные перевозочные документы стали обязательными, а бумажные транспортные накладные ушли в прошлое. Это не просто «цифровизация бумажки» — это смена архитектуры обмена данными, в которой персональные данные водителей, ответственных лиц и индивидуальных предпринимателей стали частью государственного информационного обмена. Разбираем, какие риски это создаёт для бизнеса и как выстроить систему защиты персональных данных без остановки перевозок.

1. Кто становится оператором персональных данных и где границы ответственности

При переходе на ЭПД компания-грузоотправитель или перевозчик не работает с ГИС ЭПД напрямую. Взаимодействие идёт через аккредитованных операторов информационных систем ЭПД. С точки зрения 152-ФЗ это означает, что вы, скорее всего, действуете как оператор, передающий данные обработчику (оператору электронного документооборота), либо как лицо, поручающее обработку.

Что учесть:

• Проверьте договор с оператором электронного документооборота. В нём должно быть прописано поручение на обработку персональных данных в соответствии с ч. 3 ст. 6 152-ФЗ. Если оператор обрабатывает данные водителей (ФИО, паспортные данные, данные прав) исключительно для формирования ЭПД, это должно быть зафиксировано.
• Не перекладывайте согласие на оператора. Распространённая ошибка — считать, что оператор электронного документооборота сам получит согласия. Согласие субъекта (водителя) даётся вам как оператору, если вы являетесь его работодателем или заказчиком.
• Роуминг операторов. Поскольку операторы работают в роуминге, данные могут передаваться между разными системами. Убедитесь, что в вашей политике обработки персональных данных описана передача данных третьим лицам (операторам электронного документооборота и через них — в ГИС ЭПД).

2. Машиночитаемые доверенности (МЧД) и данные сотрудников

Для работы в системе сотрудники (диспетчеры, логисты) используют квалифицированную электронную подпись руководителя и машиночитаемую доверенность. Это создаёт слой данных, который часто упускают из виду: машиночитаемая доверенность содержит идентификаторы сотрудника и его полномочия.

Что учесть:

• Машиночитаемая доверенность — это тоже персональные данные. Сведения о сотруднике, его должности и объёме полномочий, зафиксированные в доверенности, относятся к его персональным данным. Убедитесь, что в трудовых договорах или локальных актах (например, в Положении о работе с ЭПД) есть основание для обработки этих данных в системе электронного документооборота.
• Отзыв доступа при увольнении. При увольнении сотрудника необходимо не только отозвать машиночитаемую доверенность, но и убедиться, что его учётная запись в сервисе оператора электронного документооборота деактивирована. Это требование безопасности и логики 152-ФЗ (прекращение обработки).

3. Данные водителей: что именно уходит в систему

В ЭПД (транспортной накладной) содержатся данные водителя: ФИО, данные документа, удостоверяющего личность, а иногда и контактные данные. Если перевозчик — сторонняя организация, вы передаёте данные её сотрудника.

Что учесть:

• Минимизация. Проверьте, какие именно поля обязательны для заполнения в формате ЭПД, утверждённом ФНС. Не передавайте избыточные данные (например, номер телефона, если он не обязателен для конкретного формата).
• Согласие водителя. Если водитель состоит в трудовых отношениях с перевозчиком, обработка обычно осуществляется на основании трудового законодательства. Однако если вы привлекаете водителей по гражданско-правовым договорам (самозанятые, индивидуальные предприниматели), необходимо получить письменное согласие на обработку персональных данных, включая передачу через оператора электронного документооборота в ГИС ЭПД.
• Индивидуальные предприниматели как субъекты персональных данных. Если водитель — индивидуальный предприниматель, его данные (ФИО, ОГРНИП, адрес) также являются персональными данными. В цепочке ЭПД они могут передаваться грузополучателю, который не является стороной его договора.

4. Специфические риски 2026 года: изменения в трансграничной передаче

В июле 2026 года принят ФЗ № 265-ФЗ, который корректирует ст. 12 152-ФЗ в части трансграничной передачи. Хотя эти изменения вступают в силу в основном с 1 сентября 2027 года, компаниям с иностранным участием или использующим зарубежные ИТ-решения (в том числе для логистики) стоит держать их в фокусе.

Что учесть:

• Если ваш оператор электронного документооборота или логистическая платформа использует зарубежные облака или серверы, проверьте локализацию персональных данных. Требование о хранении данных российских граждан на территории РФ остаётся неизменным.
• Передача данных водителей (например, для международных перевозок) через иностранные сервисы может быть квалифицирована как трансграничная передача, требующая уведомления Роскомнадзора.

5. Практический чек-лист для ИТ-директора и ответственного за обработку персональных данных

Обязательный переход на ЭПД уже произошёл, а льготный период до 1 марта 2027 года не отменяет требований Роскомнадзора. Если внутренних ресурсов для приведения документов в соответствие с 152-ФЗ недостаточно, эту задачу можно передать нам: в «ИТ Консалтинг» мы закрываем весь цикл — от аудита информационной системы персональных данных и модели угроз до внедрения сертифицированных средств защиты информации и подготовки к проверкам Роскомнадзора. А чтобы документация по персональным данным (политики, согласия, уведомления в Роскомнадзор) не устаревала уже через месяц после утверждения, её можно вести в «АльфаДок» — сервис сам актуализирует формы при изменениях законодательства и помогает формировать уведомления в Роскомнадзор в пару кликов.

Резюме

ЭПД — это не только про экономию бумаги и ускорение документооборота. Это новый канал движения персональных данных, который регулируется 152-ФЗ и требует формального оформления отношений с операторами электронного документооборота, а также пересмотра согласий для внештатных водителей. Обязательный переход состоялся 1 сентября 2026 года, однако до 1 марта 2027 года действует период, в течение которого за бумажный документооборот не штрафуют — и это не отменяет требований Роскомнадзора к обработке персональных данных. Выстраивать систему защиты персональных данных стоит уже сейчас, чтобы к моменту первых проверок иметь закрытые документы и минимизированные риски.

Не уверены, готова ли ваша компания к работе с ЭПД с точки зрения защиты персональных данных? Наши эксперты проведут экспресс-аудит процессов обработки данных в цепочке ЭПД, подскажут, какие документы и согласия нужно обновить в первую очередь, и покажут, как автоматизировать эту работу в «АльфаДок». Оставьте заявку на консультацию — рассчитаем бюджет и составим план действий.