Кратко

  • Опубликованное Ofcom в сентябре руководство объясняет, как британские поставщики услуг связи могут обмениваться данными о мошенничестве в рамках действующего права. Это не всеобщая обязанность раскрывать сведения и не новое полномочие доступа к клиентским записям.
  • Практическая задача — сохранять точность и соразмерность каждой информации, обозначать ее как факт, признак или подозрение и иметь возможность исправить предупреждение, если оно оказалось необоснованным.

Мошенническая схема может пройти через несколько сетевых и отраслевых границ, прежде чем один оператор увидит ее целиком. Вызов проходит через оптового перевозчика, достигает розничного сервиса, выдает себя за банк, а затем побуждает жертву перевести деньги в другую организацию. У каждого участника есть лишь часть картины: телефонный номер, необычный профиль трафика, жалоба клиента или счет получателя. Фрагментарность мешает обнаружению. Но объединение данных несет другой риск: подозрение в отношении человека или компании может распространиться быстрее и дальше, чем доказательства, на которых оно основано.

В сентябре 2026 года Ofcom представила практическое руководство для поставщиков коммуникационных услуг в Великобритании. Его подготовили Comms Council UK, Министерство внутренних дел Великобритании и Ofcom при участии Information Commissioner’s Office (ICO). Ofcom рекомендует поставщикам учитывать этот документ. Однако совместная работа ведомств не создает нового законного канала раскрытия и не обязывает передавать каждую подозрительную запись. Руководство объясняет, как использовать уже существующие правовые механизмы и яснее определить, когда, какие данные и каким способом передавать.

Правовая основа изменилась ранее в том же году. Data (Use and Access) Act 2025 закрепил признанный законный интерес для обработки, необходимой для выявления, расследования или предотвращения преступлений, включая мошенничество. Соответствующее положение вступило в силу 5 февраля 2026 года. Согласно руководству, опирающемуся на это основание поставщику не нужно отдельно проводить оценку законного интереса. Это устраняет важный процедурный этап, но не разрешает отправлять любые персональные данные любому получателю: необходимость остается условием закона, а остальные правила защиты данных продолжают действовать.

Руководство требует конкретно обосновывать решение. Какой вред нужно предотвратить? Может ли обмен действительно помочь? Можно ли достичь цели с менее идентифицирующими данными? Подходит ли получатель? Нужны ли ограничения доступа, обезличивание, псевдонимизация или соглашение об обмене? Что передано, кому, зачем и какого результата ожидают? Ответы превращают «борьбу с мошенничеством» из общей формулы в решение, которое можно проверить позднее.

В записи также важно сохранить разные уровни доказанности. Руководство требует, чтобы сведения были точными, актуальными и четко отделяли факт от подозрения. Резкий скачок трафика, недействительные данные идентификации вызывающего абонента или жалоба клиента могут быть полезными сигналами. Но ни один такой признак сам по себе не доказывает, кто его вызвал, действовал ли клиент умышленно и виновна ли компания. Обоснованное уведомление описывает, что, когда и кем было замечено, и отдельно указывает выводы и неопределенность.

Если подозрение позднее признают безосновательным, поставщику следует зафиксировать это и обновить соответствующий механизм.

Не менее важно различать анонимизированные и псевдонимизированные сведения. Список телефонных номеров без имен может выглядеть анонимным, но оставаться персональными данными, если оператор или получатель способен связать номер с человеком. Даже обобщенные модели звонков при сопоставлении с другими источниками могут раскрыть личность. Руководство рекомендует по возможности снижать идентифицируемость, однако токен, хеш или агрегированный показатель не заменяют проверку того, какие выводы может сделать получатель.

Использование существующих схем избавляет компании от необходимости строить каждый канал с нуля. Руководство разделяет стратегические и надзорные организации, структуры обмена данными и операционные точки их поступления. Среди примеров названы Cifas, Telecommunications UK Fraud Forum, Cyber Defence Alliance и National Trading Standards. В сопроводительных примерах описаны передача телефонных номеров, записей вызовов, доменов, слов и фраз из вредоносных сообщений и других сведений.

Устоявшаяся схема может предоставить получателя и процедуру, но автоматически не подтверждает каждое сообщение и не определяет, какие коммерческие меры должна принять другая компания.

Приведенные в приложениях цифры показывают, почему слово «эффект» требует оговорок. В одном примере сообщается, что в четвертом квартале 2025 года из обращения вывели 1 275 номеров, а затем ежемесячно выводили еще 300–400, хотя сама проблема продолжала расти. В примере Cyber Defence Alliance говорится, что 491 компанию, получившую звонок с номера, связанного с голосовым фишингом, передали банкам для наблюдения или расследования. Документ прямо сообщает, что неизвестно, сколько из этих компаний действительно столкнулись с мошенничеством и сколько потерь удалось предотвратить.

Cifas приводит два миллиона активных дел в National Fraud Database, 444 000 записей за 2025 год и 2,1 млрд фунтов экономии, о которой сообщили ее участники.

Эти числа могут показывать активность, охват и масштаб операций. Но у них нет единого знаменателя, и они не являются независимо проверенной причинной оценкой предотвращенных потерь. Отключение номера — результат процесса; количество защищенных людей может быть оценкой; передача случая не подтверждает наличие пострадавшего; заявленная участниками экономия не равна контрфактическому исследованию. Приложения полезны как перечень работающих механизмов, но не доказывают одинаковую эффективность всех каналов.

Руководство также признает вопросы, которые нельзя решить одной лишь защитой данных. Конкурентное право и право на защиту не рассматриваются в нем полностью. Обмен сведениями для противодействия мошенничеству не должен становиться предлогом для согласованного коммерческого исключения конкурента. Поставщикам следует отличать обмен сигналами от коллективного отказа в присоединении или сотрудничестве. Обвиняемая компания должна иметь возможность понять информацию и оспорить ее; если клиента ошибочно идентифицировали, исправление должно дойти до тех же адресатов, что получили исходное предупреждение.

Сентябрьский документ добавляет практические связи к системе, уже включающей законы, регуляторов, операторов связи, банки, организации по борьбе с мошенничеством и следственные органы. Его вклад — сделать правовой и операционный путь понятнее, особенно для небольших поставщиков. Успех следует оценивать по качеству последующих решений и исправлений, а не по самому факту публикации, числу пересланных записей или безоговорочному заявлению о сумме предотвращенного мошенничества.

Источники: объявление и руководство Ofcom; сопроводительные примеры; Data (Use and Access) Act 2025, Schedule 4; правила о вступлении в силу.; руководство ICO по псевдонимизации; руководство ICO по обмену персональными данными для борьбы с мошенничеством; отраслевой устав британских телекоммуникаций по борьбе с мошенничеством; стратегия Великобритании по борьбе с мошенничеством на 2026–2029 годы; руководство Ofcom для операторов связи (PDF)