По результатам онлайн-тестирования по цифровой безопасности среди российских студентов, проведенного Молодежной палатой, только 20% опрошенных при посещении сайтов читают пользовательское соглашение и политику конфиденциальности, сообщает Роскомнадзор.

Итоги тестирования показали, что 40,3% пользователей читают соглашения выборочно, а 39,5% вообще не обращают внимания на документы, определяющие политику сайта в области обработки персональных данных.

Согласно данным опроса, большинство студентов (56,1%) чаще всего используют свои персональные данные для регистрации в социальных сетях, форумах, а также для оформления покупок в интернет-магазинах (29,5%).

Большая часть пользователей (59,7%) знает о своем праве запросить у оператора сведения, как и в каких условиях обрабатываются их данные. При этом подавляющее число студентов (77,6%) выразили мнение, что в случае нарушения они обратятся в Роскомнадзор с жалобой на сайт, который неправомерно использует их персональную информацию.

Корпорация ICANN изменила адрес своего сайта, на котором размещен инструмент для поиска данных регистрантов доменных имен, сообщает Координационный центр доменов .RU/.РФ. Этот инструмент известен  под названием Whois, и название не только стало привычным за многие годы его использования, но и говорит само за себя (Who is означает «кто это»). Однако от прежнего названия придется отвыкать: правила Whois требуют раскрытия части персональных данных регистранта и тем противоречат положениям общего регламента по защите данных GDPR, вступившего в силу в странах Евросоюза в мае 2018 года.

Альтернативой Whois призван стать протокол RDAP (Registration Data Access Protocol), утвержденный IETF. Временная политика ICANN, введенная из-за противоречия Whois и GDPR, предусматривает, что до 26 августа все регистратуры и регистраторы, связанные с корпорацией контрактами, должна запустить новые RDAP-сервисы – если не вместо существующих сервисов Whois, то хотя бы параллельно с ними. И сама ICANN решила подать пример, отказавшись от употребления самого термина Whois. Ранее сайт корпорации для поиска данных регистрантов находился по адресу whois.icann.org. Как сообщает ресурс Domain Incite, теперь адрес страницы изменился на lookup.icann.org. Слово lookup можно перевести как «поиск» или «наведение справок», и в этом смысле новое имя, хотя и уступает прежнему whois, все же достаточно информативно – в отличие от аббревиатуры RDAP. К сожалению, сам сервис особой информативностью похвастать не может: в ответ на запрос о регистрантах доменных имен он выдает лишь справочные данные соответствующих регистратур и регистраторов.

5 августа Роскомнадзор направил в банк «Открытие» письмо с требованием объяснить причины утечки информации о клиентах Бинбанка (рамках санации был присоединен к организации), пишет РБК. В ведомстве считают, что несвоевременное уведомление о распространении личной информации может угрожать безопасности данных клиентов.

4 августа СМИ сообщили, что в Сеть утекла база данных 70 тыс. клиентов Бинбанка. Компания DeviceLock, занимающаяся кибербезопасностью, рассказала о продаваемой в Интернете базе данных клиентов Бинбанка стоимостью 5 руб. за строку.

Весной в компании уже рассказывали об утечке данных клиентов Бинбанка, имевших кредитную карту Эlixir. В апреле банк закрыл уязвимость, но информация уже утекла — появившаяся на черном рынке база как раз собрана благодаря той уязвимости, рассказали в DeviceLock.

Банк «Открытие» заявил, что информация об участившихся мошеннических атаках на клиентов Бинбанка не соответствует действительности. С начала года в банке не было ни одного случая обращения владельцев карт «Эликсир», рассказали в банке, отметив, что последний раз карты выпускались в 2014 году.

Федеральная комиссия по торговле США и Facebook заключили соглашение, по которому соцсеть заплатит штраф в 5 млрд долл. за обращение с личными данными пользователей.

Теперь Facebook запрещено спрашивать у пользователей пароли для сторонних сервисов, а также использовать номера мобильных телефонов, которые пользователи указали в настройках аутентификации, для таргетирования рекламы. Также должен быть усилен надзор за сторонними приложениями. Пароли пользователей запрещено хранить в виде обычного текста.

Кроме того, на совет директоров Facebook наложено обязательство создать независимый комитет по приватности, в результате чего генеральный директор соцсети Марк Цукерберг будет лишен нынешнего «неограниченного контроля» над решениями, затрагивающими конфиденциальность пользователей.

В Комиссии по торговле назвали назначенный штраф рекордным, однако, как сообщило агентство Reuters со ссылкой на свои источники, часть членов комиссии настаивали, что эти меры недостаточно сильны и не накладывают существенных ограничений на бизнес-модель Facebook. Более того, по их мнению, размер штрафа может оказаться меньше той суммы, которую социальная сеть заработала на конфиденциальной информации пользователей.

Facebook в последние годы многократно попадала в скандалы из-за персональных данных пользователей; самый крупный был связан с британской компанией Cambridge Analytica, занимавшейся услугами в области политического консалтинга.

Роскомнадзор считает, что компрометация около 30 тыс. аккаунтов клиентов онлайн-магазина Ozon не привела к фактическому нарушению их прав. Об этом говорится в сообщении ведомства, которое цитирует РБК.

«Поскольку потока обращений клиентов Ozon в уполномоченный орган мы не зафиксировали, Роскомнадзор считает, что факт компрометации 30 тыс. клиентских аккаунтов не привел к фактическому нарушению прав субъектов персональных данных», — отмечено в сообщении.

В Роскомнадзоре подчеркнули, что ведомство активно взаимодействовало с Ozon, чтобы проверить сведения об утечке данных 400 тыс. клиентов. Роскомнадзор пояснил, что в ходе проверки онлайн-магазин представил доказательства, что база данных была скомпилирована из различных источников и более 90% скомпрометированных данных являются продуктом автогенерации паролей. При этом около 30 тыс. пар «логин-пароль» оказались подлинными. В отчете о действиях Ozon, направленных в ведомство, говорится, что после обнаружения базы данных в открытом доступе компания заменила пароли и уведомила об этом пользователей.

Напомним, более 450 тыс. электронных адресов и паролей пользователей для входа в Ozon попали в открытый доступ. База была выложена на одном из сайтов, собирающих утечки данных. В пресс-службе Ozon говорили, что компания видела базу с данными пользователей, она появилась в Сети давно, и ее детально проверяли. В файле были обнаружены достаточно старые данные некоторых пользователей интернет-магазина, из соображений безопасности их пароли были сброшены.

Банки и коллекторы смогут проверять информацию об абонентах сотовых операторов через специальных технических посредников, сообщает «Коммерсантъ». Возможность создания таковых предлагается включить в законопроект о создании единой системы проверки сведений об абонентах мобильных операторов ко второму чтению в Госдуме.

Изменения позволят Банку России создать своего интегратора в этой сфере, а другим участникам финансового рынка — использовать его или других посредников. По информации издания, именно ЦБ в первую очередь заинтересован в создании единой системы, несмотря на разногласия участников рынка и замечания к проекту со стороны Счетной палаты и правительства. Регулятор сможет контролировать оператора системы и то, какие именно сведения будут через нее передаваться.

Пользователями системы должны стать ЦБ, банки, операторы платежных систем и услуг платежной инфраструктуры, некредитные финансовые организации и другие структуры по согласованию с ЦБ, в том числе официальные коллекторы. Через систему будет передаваться данные о статусе обслуживания абонентов, включении переадресации и пр.

В комитете Госдумы по финансовому рынку рассказали, что понимания, какие именно поправки будут внесены в проект, пока нет. Срок внесения изменений будет продлен.

21 мая спикер Госдумы Вячеслав Володин поручил создать рабочую группу по защите персональных данных россиян, сообщает ТАСС. Он обосновал решение тем, что от депутатов зависит качество вырабатываемых решений и было бы правильно обеспечить системный подход взаимодействия с экспертами в области информационной безопасности.

В апреле в Роскомнадзоре заявили, что принимаемые меры по защите персональных данных отстают от современных реалий, а потому не достигают в полной мере поставленных целей. В ведомстве считают, что необходимо в ближайшее время разработать новые формы и методы регулирования больших данных, частью которых являются пользовательские данные. Также остро стоит проблема соблюдения права на неприкосновенность частной жизни.

В состав новой структуры Госдумы войдут представители всех фракций и профильных думских комитетов, в том числе по информационной политике, информационным технологиям и связи и по финансовому рынку. С первыми предложениями по решению проблемы она должна выступить уже через месяц.

Эксперты «Цифровой экономики» предложили создать национальный банк образовательных и медицинских данных с открытым доступом к содержащейся в них информации, которая будет обезличенной, сообщает РБК. Инициатива содержится в «дорожной карте» по развитию нейротехнологии и искусственного интеллекта, за создание которой отвечал Сбербанк. Проект должен увеличить продолжительность жизни и улучшить результаты обучения, предполагают авторы идеи.

Сбербанк выиграл конкурс на разработку «дорожной карты» по искусственному интеллекту 1 апреля 2019 года. Кроме него план разрабатывали «Яндекс», Mail.Ru Group, «Росатом», МТС, Центр речевых технологий, РВК и др. Общий объем финансирования разработок технологии искусственного интеллекта (не только в этом проекте) до 2030 года должен составить 180 млрд руб.

Для создания баз данных сначала следует разработать стандарты сбора и использования информации, особенно медицинской, говорят эксперты. Нужные сведения должны сохраняться, но в конфликт с законом при использовании не вступать. Также важно создать систему безопасности и защиты такой информации. В Ассоциации участников рынков данных указали, что почти все ценные данные в образовании персонифицированы и многие проекты не реализуются именно из-за необходимости собирать согласия на обработку персональной информации как с родителей, так и со взрослых учащихся. Также существует риск идентификации личности по неполным данным.

Данную и другие «дорожные карты» 24 мая должен рассмотреть наблюдательный совет АНО «Цифровая экономика».

Андрей Турчак, возглавляющий Совет по развитию цифровой экономики при Совете Федерации, разработал законопроект о «цифровом профиле» и планирует в ближайшие дни внести его в Госдуму, сообщает РБК со слов самого сенатора.

Инициатива нацелена на создание условий для развития цифровой экономики и достижение целей одноименного нацпроекта, пояснил Турчак. Как следует из пояснительной записки к проекту закона, он вводит правовой институт «цифрового профиля» и электронного удостоверения личности гражданина, которое предоставит доступ к профилю, а также основные подходы к регулированию вопросов дистанционной идентификации и аутентификации граждан.

Создание «цифрового профиля» — платформы, на которой будет храниться информация о гражданине в виде ссылок на юридически значимые записи в информационных системах государственных органов и организаций (например, на данные о недвижимости или налогах), — предусмотрено в рамках нацпрограммы «Цифровая экономика». Основной платформой для идентификации в «цифровом профиле» является Единая система идентификации и аутентификации, на базе которой работает, в частности, портал госуслуг.

В конце 2018 года Центробанк и «Ростелеком» подготовили концепцию платформы, напомнили в РБК. Согласно документу, благодаря «цифровому профилю» гражданин сможет свободно распоряжаться доступом к своим данным, хранящимся в различных государственных информационных системах. Использование и передача данных из системы возможны только с согласия гражданина, который может не только давать, но и отзывать согласие на использование своих данных. 

Согласно планам правительства, которые ранее озвучивали представители Минкомсвязи и ЦБ, поправки о «цифровом профиле» должны быть приняты до конца 2019 года. С конца осени организации и граждане смогут протестировать «цифровой профиль». Полноценный запуск «цифрового профиля» запланирован на конец 2020 года. Постепенный перевод граждан на электронные паспорта должен начаться в 2021 году.

Вместе с поправками, касающимися «цифрового профиля», в Совете Федерации подготовили предложения по регулированию персональных и общедоступных данных (данных о пользователях, которые находятся в открытом доступе в Интернете), а также удостоверяющих центров, выдающих электронную подпись. В частности, предлагается: ввести понятие обезличенных данных, а также прописать в законодательстве процесс их анонимизации, после которого данные можно будет свободно использовать, не нарушая закон «О персональных данных»; упростить порядок получения согласия на обработку данных — пользователи смогут давать его с помощью SMS или электронной почты, при желании — уменьшать или увеличивать количество информации, которую та или иная организация сможет обрабатывать.

25 мая исполнится год, как вступил в силу принятый странами Евросоюза Общий регламент по защите данных (General Data Protection Regulation). Исполнительный директор Центра цифровых прав Денис Лукаш рассказал Computerworld о том, что такое GDPR, нужно ли исполнять его российским компаниям и почему сделать это им в любом случае будет трудно.

- Каковы ключевые принципы GDPR?

Законность, справедливость, прозрачность обработки персональных данных, ограничение использования данных целями обработки и целями целостности хранимых данных, минимизация использования, точность, подотчетность. Некоторые из них хорошо знакомы российским гражданам благодаря 152-ФЗ (федеральный закон «О персональных данных», принятый в первоначальной редакции в 2006 году. — М.С.). Из нововведений — право на забвение и право на переносимость, хотя это не принципы, их тоже стоить упомянуть.

- Довольно размытые формулировки. Как они будут работать?

Четкости здесь нет, но она и не задумывалась. Регламент — юридический документ, а не технический. Понятие персональных данных дается довольно широко. Регламент задумывался как технически нейтральный акт.

Неясно, как право на переносимость будет реализовываться. Оно подразумевает возможность выгрузки данных в некотором формате. Но непонятно, что это за формат, что с ним делать, куда данные можно перенести.

Право на забвение — понятие юридическое. Диспозиция будет толковаться из баланса частного и публичного права.

- Что такое персональные данные «по GDPR»?

Это любая информация, относящаяся к идентифицированному или неидентифицируемому лицу. Все идентификаторы, включая совокупность факторов — биологических, психологических экономических и других, по которым можно определить то или иное лицо, например присваиваемый онлайновый номер. Ранее использовалось более узкое понятие, без указаний на онлайн-идентификаторы; GDPR его расширил.

В 152-ФЗ это понятие еще более узко. Сейчас, спустя десятилетие, приходим к пониманию, которое было заложено европейцами. Роскомнадзор тоже полагает, что любые идентификаторы — это персональные данные.

Для определения персональных данных нужно исходить из контекста и понимать, действительно ли эти данные относятся к физическому лицу, есть ли там какие-либо идентифицирующие физическое лицо признаки. Скажем, если на сайте есть регистрация по электронной почте, то данная электронная почта относится к персональным данным, поскольку служит для отделения одного физического лица от другого для совершения с ним каких-то юридически значимых действий. Или если установлен сервис с метрикой, которая считывает действия пользователей. Идентификаторы, которые передаются на сайт статистического сервиса, тоже будут являться персональными данными. В Data Protection Directive это уже было, да и Роскомнадзор согласен с этим. При работе со статистикой, особенно с привлечением сторонних сервисов, мы должны это понимать и декларировать, что собираем, обязательно делать схемы потоков персональных данных.

Любопытно, что по GDPR психологический тест для ребенка содержит персональные данные, потому что эти данные в совокупности относятся к определенному ребенку. Роскомнадзор своего мнения об этом не высказал. В Европе тенденция признать такие вещи персональными данными прослеживалась и ранее. Думаю, в России тоже к этому придут.

- Чем GDPR отличается от предшествующей ему директивы Data Protection Directive? Зачем понадобился регламент?

В Евросоюзе есть два вида актов — директивы и регламенты. Регламенты обязательны и имеют прямое действие на территории ЕС. Директивы — нет. Страны, опираясь на Data Protection Directive, создавали национальные документы и перестраивали в дозволенных рамках положения директивы, как им было удобно, включая ответственность, как им было удобно. Общей практики в ЕС не было, плюс проблемы с приватностью накапливались. Поэтому и приняли регламент, обязательный на всей территории ЕС. Несмотря на разницу в местных законодательствах, все споры в конечном итоге будут решаться в Европейском суде с учетом GDPR. И штрафы будут устанавливаться единообразно.

- Какие сдерживающие меры приняты помимо штрафов?

Особых отличий от директивы здесь нет. Но количество нарушений и надзорных мероприятий стало больше. Это, например, обязанность сообщать об утечках персональных данных и делать оценку соответствия на субъекта персональных данных, публиковать определенные сведения. Надзорные мероприятия стали весомее: вырос вес обращения субъекта персональных данных

- Как GDPR влияет на Россию?

Действие GDPR экстерриториально. Хоть Роскомнадзор и не согласен, но, если хотите продавать на территории ЕС, будьте добры учитывать GDPR. Если ваш рынок ограничен Россией, наверное, регламент не страшен, однако наверняка найдутся партнеры, которые откажутся с вами работать, так как работают с европейцами, для таких — российских — партнеров вы также должны соответствовать GDPR. Если есть желание идти в Европу или работать с международными компаниями в России, надо все это учитывать.

Допустим, вы предоставляете сервисы статистики, облачные базы данных и т. п. Перед заключением сотрудничества с вами у вас поинтересуются, соответствуете ли вы GDPR. Если нет, могут и отказаться.

Если вы предоставляете свои услуги в Европе, но зарегистрированы в России, то напрямую вас, может, не накажут, не дотянутся, однако могут применить санкции, например по ограничению доступа к сайтам или разделегированию доменов. Подобных мер пока нет, но они прорабатываются. Могут быть индивидуальные меры против генерального директора, что создаст ему проблемы при посещении стран Евросоюза.

Причиной соблюдать GDPR могут стать требования инвесторов или даже требования работников самих компаний, например тех, которые заняты в сфере информационной безопасности и рассчитывают на возможное расширение своих полномочий.

В целом выполнять GDPR полезно: соответствуя регламенту, вы соответствуете большинству международных требований, за исключением, может быть, требований по локализации данных (они, кстати, есть не только в России). 152-ФЗ проще GDPR. Интересна разница между ними: 152-ФЗ требует по большей части защищать персональные данные, в то время как GDPR — права субъектов персональных данных, защита персональных данных уже следствие.

- Россия движется в сторону такого понимания персональных данных?

В России сейчас есть разные подходы, но уйти от Конвенции 108+ (подписанная государствами — членами Союза Европы «Конвенция о защите физических лиц при автоматизированной обработке персональных данных». — М.С.) мы не можем. Для гармонизации нашего и европейского законодательства нужно дать больше прав субъектам персональных данных, перенести административную ответственность на лицо, осуществляющее обработку по поручению, убрать согласие на передачу третьим лицам. Но самое главное — повысить защиту государственных информационных систем, привести ее к соответствию хотя бы с действующими критериями ФСТЭК. Это проблематично, а потому наше государство, как мне кажется, будет в первых рядах «антилоббистов» GDPR. Пока Роскомнадзор — единственный орган, который выступает за то, чтобы двигаться в этом направлении. Впрочем, у него на то могут быть собственные причин: по GDPR надзорные органы должны быть независимы, обладать большими полномочиями, иметь выборного, а не назначенного главу. Возможно, в Роскомнадзоре стремятся расширить свои полномочия, как, например, это происходит с так называемым суверенным Рунетом.

- Как по шагам перестроить работу организации, чтобы она не нарушала GDPR?

Российским компаниям во многих случаях все придется делать с нуля, если процессы выстроены по 152-ФЗ. Однако тех, у кого по 152-ФЗ все правильно, очень мало. Некоторые делают видимость соблюдения регламента на бумажках, но это легко вычисляется. Первым делом надо честно взглянуть на то, что есть в компании. Если все хорошо структурировано и прописано, посмотрите на то, как соблюдаются права субъектов согласно GDPR. Далее нужно пересмотреть ПО. В соответствии с GDPR, приватность должна начинаться еще на этапе проектирования такого ПО. После предварительного анализа нужно составить оценку воздействия на субъекта персональных данных. Для тех, у кого мало опыта подобной работы, это единственный путь избежать или хотя бы снизить количество ошибок. Оценку лучше делать даже тогда, когда по GDPR она не обязательна. К тому же есть возможность направить ее в европейский надзорный орган, который может, хотя и не быстро, дать полезные рекомендации: вы не будете теряться в догадках. Оценка останется как документ, который будет подтверждать соответствие GDPR.

Далее нужно составить необходимые политики и процедуры. Можно привлечь эксперта, который проверит все документы или поможет с их изготовлением на основе вашей оценки. После выполнения всех пунктов, кстати, вы можете обнаружить, что все равно не будете соответствовать GDPR. Возможно, стоит подумать об изменении бизнес-стратегии. В общем, процедура непростая, но после прохождения всех мытарств у вас появится опыт; в дальнейшем разрабатывать бизнес-процессы, соответствующие GDPR, станет легче.

Важно, что Россия не считается страной, которая обеспечивает адекватную защиту персональных данных европейцев, в то время как Европа нам ее обеспечивает. Из-за этого тоже возникают сложности. В целом вы можете соответствовать GDPR, но наше же законодательство мешает этому проявиться в полной мере. Так, из-за части 5 статьи 18 152-ФЗ и из-за «закона Яровой» операторы обязаны в отдельных случаях хранить данные пользователей на территории России.

- Европа не перестанет сотрудничать с Россией?

Россия сама теряет малый ИТ-бизнес, который хочет работать с Европой. Сейчас выбор таких предпринимателей — регистрировать компании в Европе, так легче. Из-за этого теряем налоговые поступления. Многие обращаются к нам за консультацией по GDPR, намереваясь уйти в Европу еще до того, как в РФ появится альтернативный сценарий необходимой легализации.

- Есть ли в мире аналоги GDPR? Как в других странах складывается регулирование персональных данных?

У развитых стран есть подобные акты с определенными отличиями. Развивающиеся страны большей частью их копируют.

В США много разных законов в этой области, в том числе и на уровне штатов. Калифорнийский акт — один из самых строгих. Он делает акцент не на штрафе, а на компенсации морального вреда, обычно в диапазоне 100-750 долл. для одного затронутого субъекта. В Англии с видом на Brexit подготовили акт, напоминающий GDPR, однако там ряд статей уделен и национальной безопасности.

В Китае ориентируются на защиту государства, а не на права человека.

Если говорить о странах СНГ, то в Белоруссии вообще нет соответствующего федерального закона. А вот в Армении он приближен к европейским понятиям.

У России свой путь. На мой взгляд, нам нужно легализовать оборот больших данных. Грамотно, с проработкой всех рисков. Нужно приблизить 152-ФЗ к Конвенции 108+. Кстати, США в целом тоже не обеспечивают европейцам адекватную защиту, но у них с ЕС есть особый договор на эту тему, так что бизнес может не бояться. У нас же до него пока никому нет дела. Средний и малый бизнес вообще не учитывают: мы живем пока интересами государства и корпораций.