Рецепты безопасности от Емельянникова

Вебинар по итогам судебной практики привлечения к ответственности за правонарушения и преступления в сфере персональных данных

2026-02-05T15:33:00.000+03:00

5 марта в Учебном центре «Информзащита» проведу вебинар «Персональные данные: судебная и правоприменительная практика во втором полугодии 2025 года», на котором подведем итоги рассмотрения дел по статье 13.11 КоАП РФ арбитражными судами.

Зачем, ведь с 1 января 2026 года дела снова возвращаются в мировые суды? Разберем на вебинаре и этот вопрос.

На вебинаре будут проанализированы особенности рассмотрения дел по нарушениям в сфере персональных данных в арбитражных судах, об оценке виновности, исчислении сроков привлечения к ответственности, о вреде субъекту, нанесенном виновными действиями оператора и его должностных лиц и формальном составе административных правонарушений по статьей 13.11 КоАП РФ, что приводило практически во всех случаях к отказам судей в признании нарушений малозначительными.

Рассмотрим выбор судами мер привлечения к ответственности, частое применение предупреждений вместо штрафов и принимаемые судами смягчающие обстоятельства, отказы в привлечении к ответственности ввиду отсутствия состава правонарушения, истечения сроков давности и формальных нарушений при подаче обращений в суды.

Проведем анализ наиболее интересных судебных актов, в которых выносились решения по делам об утечках персональных данных, квалифицировалась вина оператора при утечках на стороне обработчика и незаконная обработка персональных данных, полученных по договорам от агентов, оценивалось отнесение (или неотнесение) тех или иных сведений к персональным данным (даже в составе фамилия, имя, отчество, адрес) и др.

Вспомним о прецедентных делах о выплате значительной компенсации морального вреда за незаконное использование персональных данных и возврате клиенту банка денежных средств, похищенных с его счета преступниками при участии работников банка.

Также на вебинаре будет рассмотрена практика привлечения к ответственности за преступления по новой статье 272.1 Уголовного кодекса Российской Федерации и состав лиц, привлекаемых к ответственности по этой статье («пробивщики» и владельцы ресурсов для «пробива», работники операторов и салонов связи, оптовые продавцы СИМ-карт на подложных абонентов, работники и служащие государственных органов и др.).

Продолжительность вебинара – 4 часа. Желающие принять участие могут обратиться в Учебный центр «Информзащита».

И снова о локализации персональных данных в новой редакции

2025-03-12T11:09:00.000+03:00

3 марта выложил пост о локализации персональных данных россиян в период их сбора. Поскольку споры в профессиональной среде продолжаются, предлагаю прочесть новую редакцию статьи 18 152-ФЗ «О персональных данных» буквально.

С 1 июля 2025 года пятая часть этой статьи будет выглядеть следующим образом: «При сборе персональных данных, в том числе посредством информационно-телекоммуникационной сети «Интернет», запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся за пределами территории Российской Федерации, не допускаются, за исключением случаев, указанных в пунктах 2, 3, 4, 8 части 1 статьи 6 настоящего Федерального закона».

Жирным выделены те слова в законе, смысл которых я хочу пояснить.

В первом посте на эту тему я уже писал, что запрет размещать вне России базы с собранными персональными граждан Российской Федерации распространяется только на сбор персональных данных и никоим образом не затрагивает дальнейшую их обработку.

Ряд же коллег рассуждает примерно так: сбор предполагает его соответствие определенной цели, и дальнейшая обработка с этой целью исключает любые действия, перечисленные в запрете. Поэтому, собрав персональные данные, оператор должен все дальнейшие действия с ними выполнять только в рамках запрета, т.е. в том числе не хранить и не накапливать полученные данные в зарубежных базах, что делает полностью невозможной трансграничную передачу данных россиян операторами, подпадающими под действие российского закона, в том числе иностранными. При этом изначальная цель сбора данных, например, оказание туристических услуг за пределами России, никакого значения не имеет, а, значит, ее достижение становится изначально невозможным.

Конечно, возможно и такое, но для этого надо полностью сменить парадигму закона и для начала запретить трансграничную передачу вообще, а не городить сложную и трудно понимаемую конструкцию.

Теперь по существу. Главная проблема прочтения закона и его однозначного понимания кроется в его понятийном аппарате, а если говорить прямо – фактически в его отсутствии. Ни один из способов обработки персональных данных, выделенных мною жирным шрифтом в цитате из закона выше, в законе не определяется. А как можно спорить о том, что написано в законе, если точного определения предмета спора в нем просто нет?

Я готов пойти значительно дальше Минцифры и Роскомнадзора, определивших в 2015 году сбор персональных данных как получение данных непосредственно от субъекта, хотя бы потому, что в этом случае формирование новой базы данных из ранее собранных сведений путем исключения части собранных данных и (или) добавления новых сведений, например, созданных о субъекте самим оператором персональных данных, (перспективный/не перспективный, целевая аудитория сбора/ не целевая и т.д.) вообще под часть 5 статьи 18 не подпадает и на такие действия с последующим переносом данных за рубеж императивный запрет не распространятся.

Сбором является получение любых сведений о новом субъекте персональных данных, ранее не включенном в базы оператора или получение новых сведений об уже установленном субъекте, и источник получения в данном случае значения не имеет. Это может быть сам субъект, система оператора (СКУД, система учета рабочего времени, бухгалтерская система) или персонал оператора (аттестация, формирование грида работника и т.п.) или внешний источник (общедоступный ресурс, например, сайт другого оператора с опубликованными персональными данными или одна из многочисленных ГИС, таких как ЕГРЮЛ, банк должников или картотека судебных дел).

Итак, запрет вводится на действия при сборе персональных данных, т.е. при их получении оператором. Про дальнейшую обработку, после сбора, запрет молчит. Тут надо учитывать, что сбор данных о субъекте – очень часто процесс, во времени не ограниченный. Например, данные о работнике работодатель накапливает в течение всего периода длящихся трудовых отношений, а продавец о покупателе – в течение всего периода действия программы лояльности, например.

Значит, говорить можно о процессе сбора в отношении конкретного субъекта, а не достижения цели в целом.

В этом контексте рассмотрим указанные и не указанные в запрете способы обработки.

Самый простой вопрос с записью. Собранные данные (полученные впервые) записать сразу в зарубежную базу нельзя, только в российскую. Все ясно и просто.

Аналогично с уточнением, обновлением и изменением – все это следствие получения каких-то новых данных, внести их можно изначально только в российскую базу данных.

С систематизацией тоже более-менее понятно. Если полученные при сборе данные требует изменения систематизации записей в базе, это надо сделать в российской базе, куда данные и вносятся.

Как можно извлечь данные из зарубежной базы при сборе, вообще не понятно, просится вариант с получением данных о россиянине из зарубежного источника, но такой запрет выглядит довольно бессмысленным, если данные о нем в зарубежной базе уже есть.

Остается самое сложное – накопление и хранение. Тут самое важное – ограничение запрета сбором персональных данных. Значит, полученные при сборе данные россиян надо накапливать и хранить именно в российской базе. ОК.

Очень важно, какие действия в запрете не упоминаются. А они ключевые в данном аспекте. Нет запрета на использование полученные при сборе и зафиксированных в российской базе персональных данных с использованием зарубежных баз после их сбора, на передачу, в том числе трансграничную, и предоставление. Нет.

Поэтому в новой редакции статьи 18 закона нет никаких ограничений на передачу полученных при сборе данных в зарубежные системы для их последующей обработки как российским оператором (в какой-нибудь условной Salesforce или корпоративной системе кадрового администрирования иностранной компании с дочкой, филиалом или представительством в России), так и зарубежным партнером российского оператора, той же турфирмой в Танзании или на Мальдивах.

Иное ведет к остановке всех зарубежных платежей даже в самые что ни на есть дружественные страны, зарубежного туризма, роуминга сотовой связи, исполнения контрактов с зарубежными поставщиками и покупателями, и т.п.

О локализации персональных данных в новой редакции

2025-03-03T15:03:00.003+03:00

1 июля 2025 года вступает в силу закон от 28.02.2025 № 23-ФЗ «О внесении изменений в Федеральный закон «О персональных данных» и отдельные законодательные акты Российской Федерации». Вообще-то он не про 152-ФЗ, ему посвящена в новом законе всего одна статья из 9 вносящих изменения в законодательство, но нас, простых субъектов и представителей обычных операторов, интересует именно она, и даже не вся, а лишь одно изменение, поскольку остальные касаются исключительно персональных данных сотрудников спецслужб.

Приснопамятная часть 5 статьи 18, вступившая в силу 1 сентября 2015 года, получила новую редакцию в полном соответствии с правилом «матрешек Хинштейна» и в его же авторстве ко второму чтению закона, написанного совсем о другом.

Вот как эта часть статьи теперь выглядит в наглядном сравнении:

«При сборе персональных данных, в том числе посредством информационно-телекоммуникационной сети «Интернет», ~~оператор обязан обеспечить~~ запись, систематизациюя, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся на за пределами территории Российской Федерации, не допускаются, за исключением случаев, указанных в пунктах 2, 3, 4, 8 части 1 статьи 6 настоящего Федерального закона».

Жирным выделены новые слова в законе.

Что изменилось с точки зрения выполнения обязанности о локализации персональных данных россиян в период их сбора?

На мой взгляд, ровно ничего, кроме исключения из текста упоминания об операторе и распространения правила на любых лиц, выполняющих сбор персональных данных (а фактически – еще и обработчиков, которым это было вменено в обязанность с 1 сентября 2022 года в новой редакции части 3 статьи 6, но не более). Да, как пишут коллеги по цеху (см., например, прекрасную презентацию Алексея Мунтяна, и он не одинок, и я с этим утверждением категорически согласен, но с одной оговоркой), позитивная обязанность, позволяющая размещать такие базы данных за рубежом после первичной локализации ранее собранных персональных данных, трансформировалась в императивный запрет размещать вне России базы с собранными персональными граждан Российской Федерации.

Но! Оговорка: этот запрет, как и ранее обязанность, распространяется только на сбор персональных данных и никоим образом не затрагивает дальнейшую их обработку. Нет в тексте закона слов о запрете последующей трансграничной передаче собранных данных.

А законы надо читать буквально, как учит нас право и Роскомнадзор (например, в Научно-практическом комментарии к закону: «При буквальном толковании (применяемом в правоприменительной практике «по умолчанию»)). Нет там запрета. И быть не может. Данные, собираемые туристическими компаниями или международными перевозчиками, не могут не подвергаться трансграничной передаче иначе как наложением полного запрета на ее осуществление в принципе. А это совсем другая реальность.

Вопрос может быть поставлен о полном переносе собранной базы данных за рубеж, но и это из области домыслов. Сбор оператором никогда не прекращается. Принимаются и увольняются работники, заключаются и прекращают действие договоры с клиентами, начинаются и заканчиваются промоакции и так далее. Какая база и в какой момент полная? Но и этого в новой редакции тоже нет.

При этом многие из коллег ссылаются на два комментария к закону – аппарата вице-премьера Дмитрия Григоренко, сенатора Артема Шейкина, депутата Сергея Боярского и других высокопоставленных чиновников и избранников:

«В аппарате Григоренко пояснили, что поправки уточняют «обязанности операторов связи осуществлять обработку персональных данных граждан РФ с использованием различных баз данных исключительно на территории РФ»»,

«Сенатор Артем Шейкин сообщил ТАСС, что теперь за рубежом не должно быть даже копий баз с данными россиян. Те компании, которые вели запись, систематизацию, накопление, хранение данных в зарубежных базах, должны использовать инфраструктуру, расположенную в РФ»,

«Смысл поправки в том, что базы с содержанием ПД наших граждан должны находиться на территории исключительно нашей страны и не иметь копий вне ее территории, за исключением данных дипломатических работников и сотрудников российских СМИ, которые работают за рубежом», — сообщил Forbes глава комитета Госдумы по информполитике Сергей Боярский.

Вы видели в тексте закона слово «копия»? Требование об обработке исключительно не территории России? Я – нет. Наверно, мы читали разные законы. Но я другого не знаю. При всем глубоком уважение к цитируемым выше лицам они источником права не являются. И не являются ни представителями регуляторов в сфере персональных данных, ни представителями правоприменителей. А свое частное мнение, безусловно, может высказывать каждый. Как и я в этом посте, например.

И еще два вопроса в связи с принятием новой редакции закона.

Первый. Определения сбора в законе по-прежнему нет (и это очень плохо). И регулятор (Минцифры), и правоприменитель (Роскомнадзор) еще в 2015 году, комментируя новшество о локализации, высказывали мнение (письменно, на своих официальных сайтах), что сбор персональных данных – это получение данных непосредственно от субъекта (при большом желании найти эти комментарии на сайтах еще можно, но не очень просто). Утверждение более чем спорное (снова отправляю жаждущих знаний к презентации А. Мунтяна, там про сбор очень подробно и доходчиво), но если жить в этой парадигме, то компиляция новой базы из ранее собранных данных вообще сбором не является, и на нее требования новой редакции части 5 статьи 18 вообще не распространяется. И возможности оператора использовать зарубежные ресурсы для обработки персональных данных ограничены только возможными последствиями уведомления Роскомнадзора (а заодно ФСБ, Минобороны и МИДа) о трансграничной передаче.

И второй. Требования о локализации по-прежнему не распространяется на сбор данных с целями, предусмотренными законом, для осуществления и выполнения возложенных законодательством Российской Федерации на оператора функций, полномочий и обязанностей (т.е. сбор данных для кадрового, бухгалтерского, налогового, воинского учета можно вести сразу в зарубежную базу данных), участия в судопроизводстве, оказания государственных и муниципальных услуг (т.е. собирать данные в ЕСИА через Google Forms) и для профессиональной деятельности СМИ и журналистов. Это было и 10 лет назад за гранью моего понимания (я писал об этом в своем блоге здесь и здесь, например, и не только), остается там же и теперь . Про госуслуги особенно удивительно, поскольку с того же 2015 года (но с 1 июля, а не сентября) действует норма части 2.1 статьи 13 закона «Об информации, информационных технологиях и о защите информации», в соответствии с которой все технические средства информационных систем, используемых государственными органами, органами местного самоуправления, государственными и муниципальными унитарными предприятиями или государственными и муниципальными учреждениями, должны размещаться на территории Российской Федерации. Почти десять лет это полное противоречие живет в российских законах, и, похоже, исправлять его никто не собирается.

Грустно все это…

Отнесение данных к биометрии, или история одной измены

2025-01-13T16:28:00.001+03:00

«Несмотря на то, что законодатель закрепил понятие биометрических данных в комментируемом законе, до настоящего времени отсутствует единообразное толкование данного термина, а, соответственно, и понимание, какие данные о человеке могут являться его биометрией». Федеральный закон «О персональных данных»: научно-практический комментарий, М., 2015

Дискуссия об отнесении персональных данных к биометрическим, в первую очередь – изображения лица человека, с той или иной периодичностью, но постоянно, вспыхивает в профессиональном сообществе. Как один из авторов дезавуированного Роскомнадзором и не подлежащего применению разъяснения 2013 года относительно биометрических данных, предлагаю свое разъяснение и одно из пояснений, почему за все время действия закона 152-ФЗ (а 17,5 лет для этого более чем достаточно) этот вопрос так и не решился.

Первое и главное. Вопрос отнесения к биометрии – вопрос не правовой и не юридический. Юристы к этой проблеме вообще никакого отношения не имеют.

Это проблема чисто математическая, а вся биометрия построена исключительно как прикладная математическая дисциплина. Обработка биометрии предполагает наличие образцов идентификаторов (изображение лица, слепок голоса, рисунок папиллярного узора пальца или радужной оболочки глаза и т.д.), переведенных в цифровую форму (математический шаблон, вектор ЕБС и т.п.) с последующим сравнением их с предъявленным идентификатором, переведенным в цифровую форму по тем же правилам. Этот процесс позволяет установить личность владельца идентификатора без участия человека или принять решение, что физическим лицам, чьи данные есть в системе, этот идентификатор не принадлежит (с определенной вероятностью) и полностью соответствует определению ч.1 ст.11 152-ФЗ.

Вывод о том, что проблема отнесения – математическая, а не правовая, также соответствуют позиции Роскомнадзора, изложенной в Научно-практическом комментарии 2015 года: «Законодательное понятие биометрических данных предполагает не только наличие определенных сведений, содержащих информацию о физиологических и биологических особенностях человека, но также использование биометрических методов идентификации личности».

Разработкой международных стандартов обработки биометрических данных с 2002 года занимаются вовсе не юристы из EDPB, органов, надзирающих за соблюдением GDPR или Рабочей группы WP29, а специальный подкомитет ISO/IEC JTC 1/SC 37 Biometrics.

В России нормативным регулированием биометрии занимается Технический комитет по стандартизации ТК 098 «Биометрия и биомониторинг» Федерального агентства по техническому регулированию и метрологии, в состав которого входят четыре (!) подкомитета. С 2005 года разработано и введено в действие более 70 национальных стандартов.

Наиболее интересным для рассматриваемого вопроса является межнациональный терминологический стандарт биометрии – ГОСТ ISO/IEC 2382-37-2016 «Информационные технологии. Словарь. Часть 37. Биометрия», принятый восемью странами СНГ.

В соответствии с этим ГОСТом:

· биометрическая характеристика: биологические и поведенческие характеристики индивида, которые могут быть зарегистрированы и использованы в качестве отличительных, повторяющихся биометрических признаков для автоматического распознавания индивидов. Примерами биометрических характеристик являются: папиллярная структура Гальтона, топография лица, текстура кожи лица, топография кисти руки, топография пальца, структура радужной оболочки глаза, структура сосудов кисти руки, папиллярная структура ладони, изображение сетчатки глаза, динамика рукописной подписи и голос;

· биометрическое распознавание/биометрия: автоматическое распознавание индивидов, основанное на их поведенческих и биологических характеристиках. Термин «индивид» относится только к человеку. Общее значение биометрии включает в себя подсчет, измерение и статистический анализ любого типа данных из области биологических наук, включая родственные медицинские науки. Автоматическое распознавание подразумевает, что биометрическая система может быть использована для распознавания как автоматически, так и при участии человека, но в любом случае наличие биометрической системы является обязательным;

· биометрическая система: система, предназначенная для биометрического распознавания индивидов, основанного на их поведенческих и биологических характеристиках.

Межгосударственный ГОСТ ISO/IEC 24713-1-2013 «Информационные технологии. Биометрические профили для взаимодействия и обмена данными. Часть 1. Общая архитектура биометрической системы и биометрические профили» дает следующие определения:

· биометрия: автоматизированное распознавание личности человека, основанное на его поведенческих или биологических характеристиках;

· биометрические данные: информация, извлеченная из биометрического образца и используемая для построения шаблона, с которым сравнивается ранее полученный шаблон;

· биометрические функции: процедуры или действия по биометрической регистрации, верификации и/или идентификации внутри биометрической системы.

Как видите, речь идет об автоматизированном установлении принадлежности биометрических идентификаторов конкретной личности, то есть идентификации человека, а все эти придумки с охранниками, внутренними порталами, досками почета, фото на сайте и стриминговым видео никакого отношения к теме не имеют. Наносное.

А вот, если внутренний портал организации с фотографиями подключен к ЕБС (зачем????), это точно биометрия, и, если у организации нет аккредитации для проведения биометрической аутентификации, можно смело выдвигаться с вещами на выход.

А при чем здесь измена в заголовке? Я математик по образованию. В 2013 году при подготовке разъяснения я, увлеченный новой и такой завлекательной темой правового регулирования оборота персональных данных, изменил математике, с которой прожил большую часть своей жизни, и попытался совместить нормы закона «О персональных данных» с четкими и строгими формулировками математических понятий, основанных на теории информации (в первую очередь – теории кодирования в части физического кодирования, перевода биометрических данных в шаблоны (теперь вот – векторы) и определения точек контроля), теорией вероятности и математической статистике (в части расчета математического ожидания, вероятностей совпадения контрольных точек и порядка принятия решения о принадлежности биометрических идентификаторов конкретному лицу, оценка ошибок первого и второго рода о принадлежности или не принадлежности идентификатора конкретному субъекту). Но, как писал наш классик в поэме «Полтава», «В одну телегу впрячь не можно коня и трепетную лань».

Каюсь. Допущение о возможности прямого вовлечения человека в принятие решения о принадлежности идентификаторов субъекту без использования биометрических методов верификации личности при отнесении данных к биометрическим было глубоко ошибочным.

Исправить все можно достаточно просто. Еще в декабре 2013 года группой сенаторов во главе с В.И. Матвиенко в Госдуму был внесен законопроект № 416052-6, который, в том числе, предусматривал корректировку части 1 статьи 11 закона «О персональных данных» в части определения биометрии, добавив в него всего одно слово и перенеся скобки: «Сведения, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность и которые используются оператором для автоматической идентификации субъекта персональных данных (биометрические персональные данные)». В подготовке этого документа я принимал активное участие в составе рабочей группы, и эта была для меня некая форма покаяния за измену. Но законопроект был принят в первом чтении спустя почти 4 года, в мае 2016, перед вторым чтением его завернули и с тех пор он где-то тихо лежит под сукном.

Вот такая история.

И из неожиданного. В результате вмешательства правоведов в чуждую им область деятельности в 572-ФЗ решили исключить из биометрии векторы (т.е. шаблоны), которые как раз и являются биометрическими данными при проведении идентификации аутентификации (верификации) в понимании всех международных ГОСТов по этой тематике. И это уже совсем за гранью понимания.

Новые штрафы – новые проблемы?

2024-12-09T12:47:00.004+03:00

17 декабря в Учебном центре «Информзащита» я проведу вебинар «Ужесточение ответственности за неправомерную обработку персональных данных».

Поговорим о новых федеральных законах №№ 420-ФЗ и 421-ФЗ от 30.11.2024 года, которые внесли в КоАП РФ и Уголовный кодекс РФ новые составы административных правонарушений и уголовных преступлений, связанных с обработкой персональных данных. Один из этих законов - закон об уголовной ответственности вступает в силу уже 11 декабря.

Но не только о составах и ответственности за них.

Попробуем разобраться с критериями квалификации деяний по двум разным кодексам и границей между ними.

Рассмотрим случаи, когда возможно привлечение к уголовной ответственности – за что и кого.

Оценим, можно ли, как и когда сослаться на смягчающие обстоятельства и в 10 раз уменьшить оборотный штраф за утечку и почему сделать это не просто, можно ли оплатить штраф быстро и ограничиться половиной назначенной судом суммы.

Обратим внимание на существенное расширение понятия трансграничной передачи в Уголовном кодексе по сравнению с законом «О персональных данных».

Узнаем о новой подсудности нарушений законодательства о персональных данных и новых полномочиях Банка России и ФСТЭК по привлечению к административной ответственности при выявлении нарушений порядка обработки биометрических данных.

Оценим, станет ли более защищенным субъект в случае утечки его персональных данных после введения больших штрафов.

Поделимся оценками нашего агентства, касающимися соразмерности новых наказаний и их влияния на бизнес.

Посокрушаемся о продолжающейся проблеме с понятийным аппаратом новых законов и оценим, как это может повлиять на ответственность.

В конце, как всегда, ответы на вопросы. Приходите.

Уполномоченные операторы обработают персональные данные для вас и за вас? Точно?

2024-08-12T17:28:00.000+03:00

Портал RSpectr опубликовал статью о новой инициативе депутатов во главе с председателем комитета по информационной политике, информационным технологиям и связи А. Хинштейном, касающейся введения института «уполномоченных операторов персональных данных», у которых с защитой персональных данных априори все хорошо, поскольку денег много и специалисты есть, в отличии от остальных, бедных и неквалифицированных, у которых персональные данные надо забрать и отдать уполномоченным для обработки.

Портал традиционно привлекает специалистов для комментариев, так было и на этот раз, свое мнение высказали владельцы и авторы популярных телеграм-каналов А. Мунтян, Д. Лукаш, другие коллеги. были заданы вопросы и мне.

Поскольку объем публикации ограничен, и существует еще и редакционная политика, на портал попало, конечно, далеко не все, что был сказано.

Публикую полный вариант своих ответов на вопросы портала, поскольку проблему считаю очень важной и принципиальной, а опубликованная часть мое мнение отражает не в полной мере.

1) Вопрос: Как вы оцениваете эту инициативу?

Как бессмысленную и невыполнимую. Сейчас по закону оператором является любое юрлицо, индивидуальный предприниматель, самозанятый. Они ведут возложенный на них законом кадровый, бухгалтерский, налоговый, воинский учет, деловую переписку. Занимаются подбором персонала. Контактируют с клиентами, заказчиками, покупателями-физическими лицами, представителями контрагентов и органов власти. Принимают посетителей. Имеют сайты, на которые ходят анонимные посетители и авторизованные пользователи. Все это – обработка персональных данных. Каким образом все эти функции можно передать каким бы то ни было «уполномоченным операторам»? Это самый очевидный вопрос, на который нет ответа. Ситуация очень напоминает мультфильм «Вовка в тридевятом царстве» с сакраментальным диалогом «Вы, чего, и конфеты за меня есть будете? — Ага!».

Второй вопрос не менее сложен для ответа. Как можно сосредоточить у постороннего лица, даже при наличии договора о неразглашении, информацию, составляющую охраняемую законом тайну, коммерческую, в том числе? Российские суды многократно признавали коммерческой тайной клиентские базы, людей за ее разглашение лишали свободы, увольняли с работы, а теперь всем этим будет рулить неизвестный работник «уполномоченного оператора»?

И, наконец, как можно передать обработку «уполномоченному оператору», если неуполномоченный все равно будет все обрабатывать, поскольку обработка – не только хранение, но и использование, и доступ в том числе, на этом использовании, собственно, и построен бизнес в значительной мере.

Все это выглядит как еще один косвенный налог на малый и средний бизнес, как уже произошло с аутентификацией с использованием биометрии только аккредитованными организациями за совсем немаленькие деньги.

2) Вопрос: Кто может стать такими уполномоченными операторами?

Примерно те же, кто стал аккредитованными организациями в ЕБС – огромные компании с таким же огромным бюджетом, владельцы экосистем и дата-центров, интернет-гиганты, крупнейшие облачные провайдеры. Инфраструктура у них для этого есть, собственных средств для запуска достаточно, плюс есть немалая заинтересованность в получении такого объема данных, за обработку которых еще и приплачивать будут.

3) Вопрос: Поможет ли эта инициатива бизнесу в свете принятия законопроекта об оборотных штрафах?

Да, очень поможет, конечно, крупному бизнесу, который получит статус уполномоченного оператора. Появится новое направление бизнеса с постоянным денежным потоком. Среднему и малому – нет, он, как я уже говорил, получит новый косвенный налог, вместо бухгалтера-ИП-аутсорсера за несколько десятков тысяч рублей в месяц придется платить уполномоченному оператору и, подозреваю, значительно больше. С точки зрения ответственности и оборотных штрафов ключевым моментом будет статус уполномоченного оператора. Сейчас обработчик, выполняющий поручение оператора по обработке персональных данных, не несет ответственности перед законом и субъектом (кроме зарубежного обработчика, с которого непонятно, как что-то можно взыскать), только перед оператором. А оператор несет ответственность за все, он, а не обработчик, должен уведомлять об обработке, утечках и трансграничной передаче Роскомнадзор, платить штрафы и компенсации субъектам (если они этого сумеют добиться в суде, конечно). Сейчас института уполномоченных операторов в законе нет. От того, каков будут их статус – операторов в отношении «чужих данных», принятых в обработку (называть их все-таки планируют операторами) или обработчиков, зависит очень многое, в том числе и для СМБ, отдающего свои данные уполномоченным.

Кто слышал об утечках у малого и среднего бизнеса? На слуху только миллионы записей в даркнете, владельцами которых как раз и являются будущие уполномоченные операторы, которые как раз и активно сопротивляются оборотным штрафам. Не исключаю, что после введения института уполномоченных операторов, у которых «все очень надежно защищено», появится мнение, что и оборотные штрафы не нужны, а утечек не будет. До первой крупной. А потом инициативы и споры вокруг нее пойдут по новому кругу. Зато сколько времени пройдет!

Есть у этого поста и другая цель. Я, как и многие другие, в последнее время прекратил публикации в личном блоге и получаю по этому поводу много вопросов. Ну вот, будет небольшая лакмусовая бумажка для определения того, стоит ли продолжать, или формат окончательно потерял актуальность (для меня, во всяком случае).

С Новым 2024 годом!

2023-12-29T10:57:00.001+03:00

С наступающим 2024 годом!

Новых успехов в новом году!

Новых интересных и значимых проектов, надежных партнеров!

Мира и согласия в ваших семьях, надежных и понимающих друзей!

Позитива во всем и положительных эмоций!

Персональные данные и искусственный интеллект

2023-12-21T19:15:00.003+03:00

19 декабря на портале RSpectr опубликована статья Тимура Халудорова «Данные в никуда. Как защитить конфиденциальную информацию при работе с искусственным интеллектом», в которой есть и мои комментарии на тему использования искусственного интеллекта (ИИ) для обработки персональных данных и иной информации ограниченного доступа.

Для тех, кому интересно, публикую полную версию ответов, подготовленных мною при подготовке публикации на портале.

1. Нужно ли менять подход к защите персональных данных при использовании сотрудниками ИИ в своей работе? Что и как нужно изменить? Возможно ограничить доступ к подобным моделям внутри своей компании или что-то еще? Считаете ли Вы, что ИИ, собирающий чувствительную информацию в принципе перевернет весь комплаенс в сфере персданных?

На сегодняшний день, когда архитектура построения ИИ и схема взаимодействия с внешним миром, сетью Интернет в том числе, пользователям практически неизвестны, как и возможности ИИ передавать ChatGPT и подобным сервисам, использующим ИИ, информацию ограниченного доступа, в том числе персональные данные, на мой взгляд, вообще недопустимо. Совершенно неясно, как ИИ будет использовать полученные данные, где хранить, кому передавать при решении других задач. Буквально на днях появилось сообщение из МТИ и Калифорнийского университета, что саморазвивающиеся модели ИИ могут создавать подсистемы ИИ без помощи и участия человека. Что и как будут обрабатывать эти подсистемы, где это будет происходить, кто получит результаты? Пока однозначных ответов нет, необходимо ограничить использование ИИ для обработки конфиденциальных данных. Революции в комплаенсе пока не предвидится. Но ограничения вводить надо.

2. Нужно ли менять подход к организации систем кибербезопасности к защите персональных данных при использовании сотрудниками ИИ в своей работе. Что и как нужно изменить? Возможно ограничить доступ к подобным моделям внутри своей компании или что-то еще? Проще говоря, как защищать и надежно хранить персональные данные в таких условиях?

Ответ простой – не передавать персональные данные ИИ и не хранить их в системах, использующих ИИ. Но соблазн упростить себе жизнь очень велик, значит, надо существенно усилить контроль за движением данных, их выходом за пределы информационных систем операторов. Утечек и так катастрофически много, и добавление к существующим принципиально новых групп риска требует гораздо более жесткого контроля.

3. Какие регуляторные инициативы могли бы помочь в защите сферы персданных от ИИ?

Необходимо очень четко и конкретно определить, какие данные можно передавать для машинного обучения ИИ. Тенденция к полному отказу от свободного оборота обезличенных данных, которые в законе теперь именуются «персональные данные, полученные в результате обезличивания персональных данных», представляется ошибочной. На статистике построено огромное количество бизнес-процессов в самых разных областях – банковском деле, страховании, медицине, фармацевтике, маркетинге, а вся статистика строится на обезличенных данных. Предъявлять к ним более жесткие требования, чем к данным до обезличивания – путь абсурдный. Так, в законопроекте о поправках в закон о персональных данных, получивших среди специалистов название «закон об обезличивании», принятом в первом чтении, предполагается уничтожать обезличенные данные сертифицированными ФСТЭК или ФСБ средствами защиты информации. Такие требования не выдвигаются в отношении не обезличенных данных, за исключением биометрических.

В то же время до сих пор нет ясности, а как же надо обезличивать данные, чтобы не было возможности соотнести их с конкретным определяемым субъектом. Одна из причин этого – отсутствие в российском законодательстве понятия анонимизации данных и отличия этих действия от обезличивания.

Вот эти вопросы надо решать на регуляторном уровне уже сегодня, и срочно.

18 мая: разбираемся с нормативными актами по реформе законодательства о персональных данных

2023-03-07T10:01:00.004+03:00

18 мая в Учебном центре «Информзащита» проведу вебинар «Изменения в законодательстве о персональных данных в 2023 году, действия операторов» по нормативным правовым актам, реализующим новые требования закона «О персональных данных» (внесенные Федеральным законом от 14.07.2022 №266-ФЗ), вступившим в силу 1 сентября 2022 года и 1 марта этого года.

Мы вместе проанализируем 4 постановления Правительства РФ, 5 приказов Роскомнадзора, приказ ФСБ России*.

Разберемся, как будут работать новые правила трансграничной передачи и как долго придется ждать решения по намерению передавать персональные данные за границу в новую страну или с новыми целями, надо ли банкам подавать уведомления о передаче персональных данных в связи с денежным переводом в страну, которая в уведомлении ранее не указывалась, и об автоматическом обмене финансовой информацией с компетентными органами иностранных государств.

Обсудим, когда нужен акт об уничтожении персональных данных, как его подготовить и оформить, что делать, когда уничтожаются данные в «чужих» системах, находящихся в дата-центрах и облаках или используемых по схеме SaaS.

Пройдемся по алгоритму действий в случае утечки персональных данных и порядку подачи первичного и дополнительного уведомления об этом печальном событии, в том числе теми операторами, которые подключены и не подключены к ГосСОПКА.

Попытаемся понять, зачем нужен акт об оценке вреда субъекту в случае нарушения закона и как его правильно оформить.

Напомним, кто и зачем может прийти с проверкой к оператору персональных данных в условиях введенного моратория на надзорные мероприятия.

Выясним, какие изменения произошли в уведомлениях, которые надо подавать в Роскомнадзор и каковы последствия этих изменений для операторов.

Вебинар спланирован таким образом, что значительное его время заложено на ответы на вопросы его слушателей.

Ждем в гости. Скучно не будет точно.

* - Будут проанализированы изменившиеся требования закона и положения постановлений Правительства РФ от 29.12.2022 № 2526, от 10.01.2023 № 6, от 16.01.2023 № 24, от 04.02.2023 № 161, приказов Роскомнадзора от 05.08.2022 № 128, от 27.10.2022 № 178, от 28.10.2022 № 179. от 28.10.2022 № 180, от 14.11.2022 № 187, приказ ФСБ России от 13.02.2023 № 77.

С Новым 2023 годом!

2022-12-26T13:20:00.002+03:00

Оценка вреда: анализируем новые требования

2022-12-13T13:31:00.000+03:00

Как знают все интересующиеся, с 1 сентября этого года, в соответствии с новой редакцией пункта 5 части 1 статьи 18.1 закона «О персональных данных», оценка вреда, который может быть причинен субъектам персональных данных в случае нарушения данного закона, должна проводиться оператором в соответствии с требованиями, установленными Роскомнадзором.

Делается эта оценка, как следует из текста закона, для обеспечения соотношения вреда и мер, принимаемых оператором для обеспечения выполнения обязанностей, предусмотренных законом.

То есть чем больше вред, тем больше придется потратить сил и средств для предотвращения его нанесения субъектам. А если вред незначительный, то тратиться особо ни к чему, поскольку в этом случае ничего больше мыши гора все равно не родит.

Кто не помнит, и уровни защищенности должны были быть определены с учетом возможного вреда субъекту, поскольку чем уровень выше, тем больше и объемнее и состав мер по обеспечению безопасности персональных данных. Но в Постановлении Правительства РФ № 1119 от 01.11.2012 про вред нет ни слова, поэтому и уровни мы благополучно определяли без его учета.

С того же 1 сентября вред надо оценивать также при утечке персональных данных и указывать его в уведомлении, направляемом в Роскомнадзор о произошедшей утечке персональных данных, которая деликатно именуется в законе «фактом неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлекшей нарушение прав субъектов персональных данных».

Прежде чем пойти дальше, обратим внимание на два момента, зафиксированных в законе:

· вред наносится именно субъекту персональных данных (казалось бы, очевидно, но как будет видно ниже, нет);

· вред возникает при нарушении требований закона «О персональных данных» (даже если субъекту крайне неприятно то, что сделал оператор, но закон не нарушен, перспективы возмещения убытков и компенсации морального вреда более чем туманны).

И вот 29 ноября свершилось! После согласования и регистрации в Минюсте был опубликован Приказ Роскомнадзора от 27.10.2022 № 178 «Об утверждении Требований к оценке вреда, который может быть причинен субъектам персональных данных в случае нарушения Федерального закона "О персональных данных"».

Следуя сложившейся в последнее время традиции, текст требований, утвержденных приказом, существенно отличается от того, который был опубликован для обсуждения на портале раскрытия информации regulation.gov.ru. Наверное, потому что были учтены многочисленные предложения и пожелания обсуждавших его специалистов.

Приказ требует от оператора для оценки вреда субъекту определить одну из трех степеней вреда (высокая, средняя, низкая), который может быть причинен субъекту персональных данных в случае нарушения закона (определить для оценки вреда одну из степеней – так буквально и написано в приказе). Правда, зачем это делать оператору, совершенно не понятно, поскольку в приказе случаи, в которых возникает та или иная степень вреда, определены в виде закрытого перечня.

А вот сами случаи, когда возникает та или иная степень вреда, требуют более детального рассмотрения. Внимательно проштудировав приказ, я разделил их на три группы:

· когда действия оператора прямо нарушают закон;

· когда обработка (видимо, по мнению авторов приказа) создает высокие риски для субъекта в случае инцидента, но сама по себе закон не нарушает;

· когда никакого нарушения закона нет или субъекту вообще совершенно безразлично, что делает в данном случае оператор.

Наличие случаев, не нарушающих закон, но наносящих вред субъекту, мягко говоря, удивляет. Но давайте разбираться дальше.

Действия оператора, нарушающие закон:

· обработка персональных данных несовершеннолетних для исполнения договора или заключения договора в случаях, не предусмотренных законодательством РФ (интересно только, является ли сама статья 26 ГК РФ случаем, предусматривающих возможность заключения сделок несовершеннолетними, и, соответственно, заключение с договоров с ними предусмотренным законодательством основанием по мнению авторов закона «О персональных данных»?);· сбор персональных данных в базы данных, находящиеся за пределами РФ;

· обработка персональных данных в дополнительных целях, отличных от первоначальной цели сбора (правда, слов при отсутствии в этом случае согласия субъекта в приказе нет, но будем считать, что авторы исходили из буквального прочтения принципов обработки, установленных статьей 5);

· получение согласия на обработку, предусматривающего обработку персональных данных определенным и (или) неопределенным кругом лиц в целях, не совместимых между собой (это одно нарушение или два?).

Действия оператора, закон не нарушающие, но создающие риски для субъекта:

· обработка специальных категорий персональных данных или биометрии в случаях, когда законами не установлены цели, порядок и условия обработки данных; но и в статье 10, и в статье 11 определено такое основание обработки, как наличие согласия субъекта в письменной форме, и обработка при его наличии в целях, указанных в согласии, закон никак не нарушает; тем не менее приказ относит такую обработку к создающей максимальную, высокую степень вреда;

· обезличивание персональных данных для скорринга или проведения исследований, отличных от статистических или от (внимание!) иных исследовательских целей (вот прямо так, исследований, отличных от иных исследовательских целей); но в части 1 статьи 6 есть такое основание обработки, как согласие; и что тогда нарушает закон, если субъект с обезличиванием согласился?

· распространение персональных данных на официальном (а на неофициальном можно?) сайте оператора в сети Интернет, предоставление персональных данных неограниченному кругу лиц, за исключением случаев, установленных федеральными законами, предусматривающими цели, порядок и условия представления (и снова вопрос о согласии как законном основании, прямо предусмотренным статьей 10.1);

· продвижение товаров, работ, услуг на рынке путем прямых контактов с потребителем с использованием баз персональных данных, владельцем которых является иной оператор (видимо, опять подразумевается отсутствие согласия субъекта на это, но поручение в этом случае обработки, например, обзвона клиентов, колл-центру с передачей базы данных для исполнения поручения и согласии субъекта также закон не нарушает);

· получение согласия на обработку персональных данных на сайте в сети Интернет (конечно, официальном) без дальнейшей идентификации и (или) аутентификации субъекта; законом такие действия не запрещены и во многих случаях избыточны, например, при заказе доставки товара через сайт.

Действия оператора, соответствующие закону:

· поручение иностранному лицу (иностранным лицам) осуществлять обработку персональных данных граждан РФ, которое законом не запрещено;

· ведение общедоступных источников персональных данных, сформированных в соответствии со статьей 8 Закона о персональных данных; в соответствии с законом – вообще без комментариев;

· назначение в качестве ответственного за обработку персональных данных лица, не являющегося штатным работником оператора; закон прямо предусматривает такую возможность, а субъекту совершено безразлично в музыкальном, цветовом, ботаническом и иных аспектах, кто там у оператора ответственное лицо.

Извините, но это все. Больше никаких случаев возникновения вреда субъекту в приказе нет. А где же утечки, несанкционированный доступ, размещение на сайтах без согласия субъекта и прочие страшные вещи, которые творят операторы, попирая права и свободы субъекта, нарушая неприкосновенность личной жизни? Их нет ~~у меня~~ в приказе.

Принятый документ вызывает массу вопросов. Основные, с моей точки зрения:

· зачем такой приказ нужен, и что с ним делать?

· зачем оператору определять вред, если надзор все уже определил?

· как оценивать вред в случаях, не указанных в приказе, но явно нарушающих права субъектов, в частности, при утечках, что является обязательным по закону?

Перечень вопросов могу продолжать долго.

В сегодняшнем постике обойдемся без инструкций по применению и рецептов. У меня их нет. А проблема есть.

Трансграничка персональных данных после 1 марта. Инструкция по применению

2022-11-29T10:07:00.002+03:00

Думаю, что абсолютно все, кто хоть немного в теме, знают, что с 1 марта 2023 года радикально меняется схема трансграничной передачи персональных данных. От уведомительной системы передачи мы переходим к разрешительной, причем разрешение фактически должно быть получено (ему равноценно отсутствие запрета или ограничений, что в любом случае предполагает уведомление Роскомнадзора) для каждого государства, в которое данные планируется передавать. Тем не менее у наших заказчиков и коллег предстоящая реформа по-прежнему вызывает много вопросов. Постараюсь в посте коротко ответить на наиболее частые.

Отвечать буду, как завещала в научно-практическом комментарии к закону незабвенная Антонина Аркадьевна Приезжева: исходя из буквального толкования, применяемого в правоприменительной практике «по умолчанию».

Первый (и постоянный, и самый частый) вопрос – а что такое трансграничная передача персональных данных? Пункт 11 статьи 3 отвечает на него просто и однозначно: передача на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу. Что, любая передача? И электронное письмо тоже? Да, любая и мылом тоже. Как только ваш коллега где-нибудь в условной Кракожии получит письмо с вашими ФИО, должностью, номером телефона и адресом электронной почты, худшее уже случилось. Есть персональные данные, иностранное государство, иностранные лица: физическое – получатель письма и юридическое - его работодатель, которому принадлежит почтовый сервер. Все признаки трансграничной передачи в полном наличии. Ссылки на то, что письмо отправил работник, и это деяние не регулируется 152-ФЗ, исходя их пункта 1 части 2 статьи 1 закона, несостоятельны – переписка служебная, ведется в рамках должностных обязанностей, оператор в отношении всех данных в ней – работодатель, и под личные и семейные цели письмо никак не подпадает.

И все остальное – использование зарубежных облаков, ИСПДн за границей, как корпоративных, так и используемых только российским оператором (многие по-прежнему, но, я думаю, уже ненадолго, любят больше Salesforce, Taleo или, например, WorkDay), и бронирование гостиницы в booking.com для работника или работником, и покупка билетов на самолет для загранкомандировки – все это трансграничная передача. Как бы грустно это ни звучало.

Что же дальше? А дальше – строго по тексту новой редакции статьи 12 закона.

Систематизируем все цели трансграничной передачи, заодно оцениваем, точно ли нам эти цели нужны или дешевле, проще и перспективнее, в том числе с точки зрения перспектив попадания в ту или иную группу тяжести, от чего-то отказаться вообще.

Составляем для каждой цели перечни передаваемых трансгранично персональных данных и оцениваем, точно ли все эти данные так необходимы для заявленной цели, а также какие у нас есть правовые основания передачи третьему лицу. Поклонники GDPR вспоминают, что так уважаемый в Евросоюзе законный интерес в России контроль и надзор убеждает не сильно, и скорее всего в большинстве случаев для каждого субъекта надо будет иметь согласие на передачу третьему лицу (смотрим прошлогоднее Информационное письмо Банка России и Роскомнадзора и еще раз перечитываем статью 88 ТК РФ).

Выявляем всех получателей персональных данных за рубежом: владельцев зарубежных систем, вычислительных мощностей, контрагентов, с которыми ведется переписка, в том числе входящих в международную группу компаний, фиксируем (или получаем, если не было раньше) их контакты, а также сведения о мерах по защите передаваемых персональных данных и об условиях прекращения их обработки. В какой форме, каком объеме и как – похоже, проблема российского оператора.

Определяем адекватность государства, в юрисдикции которого находится каждый получатель, для неадекватных, которым не посчастливилось попасть в Перечень, утвержденный приказом Роскомнадзора от 05.08.2022 № 128, – разбираемся с правовым регулированием обработки персональных данных (не стройте иллюзий: не пытаемся разобраться, а именно разбираемся, а вот как, для меня пока это тайна великая, особенно для обычного, рядового оператора, без мощного подразделения инхаус-юристов и учитывая цены на анализ зарубежного законодательства в юридических компаниях). Очень рекомендую завести специальную форму для фиксации всех этих данных, иначе потом могут возникнуть большие трудности. И не забываем, что уведомление о текущей трансграничной передаче надо направить в Роскомнадзор до 1 марта 2023 года. К этому же времени придется решить для себя все те проблемы, о которых я конспективно упомянул. Что времени еще много, только кажется. Мы с заказчиками пробуем.

О новой трансграничной передаче (в новую страну) уведомляем Роскомнадзор. В адекватные страны, не дожидаясь ответа надзора, данные отправляем, в отношении получателей в неадекватных, типа Штатов – ждем, не получим ли мы требования о запрете или ограничении передачи, и лишь, если их не будет – пишем свои «ненужные» письма. И никак иначе.

Все, что я написал выше, государственным и муниципальным органам знать не обязательно, для них будет отдельное постановление правительства. И, если их работники потратили время на чтение поста, трата была напрасной.

Остались нюансы. Поскольку среди наших клиентов много кредитных и прочих финансовых организаций, нюансы объясню на их примере. В соответствии с частью 5 статьи 5 закона «О национальной платежной системе» перевод денежных средств осуществляется в срок не более трех рабочих дней, начиная со дня списания денежных средств с банковского счета плательщика или со дня предоставления плательщиком наличных денежных средств. Роскомнадзору же на рассмотрение намерения осуществлять трансграничную передачу и подготовку ответа оператору дается 10 рабочих дней, при этом если Роскомнадзор захочет (а он имеет право) запросить дополнительную информацию о получателе и правовом регулировании его национальным законом, указанную выше, но не включаемую в уведомление, рассмотрение прекращается на срок получения этой информации от оператора – до 15 рабочих дней.

А теперь вполне реальный сценарий. Клиент просит оправить его деньги получателю в государство, которое в уведомлении банка ранее не указывалось. Государство с адекватной защитой прав субъекта – банк деньги отправляет. Не обеспечивающее адекватной защиты – ждет и не отправляет. Какой закон банку в данной ситуации лучше нарушить – о персональных данных или о национальной платежной системе? А нарушить придется.

И возвращаемся к первому сценарию. Государство с адекватной защитой. Но по причинам, указанным в частях 8 и 12 статьи 12, Роскомнадзор сообщает банку о запрете передачи. А деньги уже ушли. Теперь, в соответствии с частью 14 банк обязан обеспечить уничтожение иностранным банком-получателем ранее переданных ему персональных данных субъекта-отправителя. Вы прочитали все правильно. И да, это не смешно.

И что делать? Не знаю. Точнее – знаю. Исключить переводы денежных средств из-под регулирования статьей 12 152-ФЗ. Но это уже другая история. И не про мои рецепты.

Три июньских постановления Правительства РФ про ЕБС и еще кое-какие инициативы в области биометрии. Часть 2. Еще больше биометрии в ЕБС

2022-07-25T15:23:00.000+03:00

Продолжение. Часть 1 здесь.

Пока собирался написать второй пост про реформу ЕБС и реализующие ее новые постановления Правительства РФ, подоспел новый закон, меняющий условия использования персональных данных в целом и биометрических данных в частности.

Федеральным законом от 14.07.2022 N 325-ФЗ радикально изменена часть 18.23 статьи 14.1 трехглавого закона. Теперь в случае, если биометрические персональные данные соответствуют используемым в ЕБС, то есть изображению лица и (или) голосу (достаточно одного из двух видов биометрии), то госорганы, организации финансового рынка и вообще любые организации обязаны разместить полученную ими биометрию в ЕБС. При этом никакого согласия субъекта на такие действия (как размещение, так и использование Ростелекомом как оператором ЕБС) не требуется. При этом сдающие в ЕБС биометрию организации должны уведомить субъекта о свершившемся факте, а уж он сам может обратиться к Ростелекому с требованием о блокировании (это как, интересно? Биометрия в ЕБС будет, но использовать ее для аутентификации будет нельзя?) или уничтожении биометрических персональных данных.

Почему, на мой взгляд, этим законом радикально изменены условия использования персональных данных вообще и биометрических в частности?

Отменяются сразу несколько принципов закона «О персональных данных»:

· ограничение обработки достижением конкретных, заранее определенных целей (часть 2 ст.5) (субъект дал согласие своему работодателю на использование изображения лица в СКУД для прохода на охраняемую территорию или банку для его идентификации при личном обслуживании, а будут использоваться эти данные в ЕБС совсем для других целей, на которые согласия не было);

· запрет объединения баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой (часть 3 ст.5) (цели прохода на территорию и узнавания для обращения по имени-отчеству в банке между собой заведомо не совместимы);

· соответствие содержания и объема обрабатываемых персональных данных заявленным целям обработки (часть 5 ст.5) (в приведенных примерах при сборе персональных данных никаких целей, реализуемых в ЕБС (совершение определенных действий, подтверждение волеизъявления, подтверждение полномочия лица на совершение определенных действий – часть 18.2 ст.14.1 «трехглавого» закона) оператор не ставил).

Конструкция части 18.23 статьи 14.1 противоречит как букве, так и духу закона «О персональных данных». Закон реализует абсолютно четкую правовую конструкцию: обработка персональных данных всегда должна иметь законное основание, которым является согласие субъекта, а обработка без согласия может осуществляться только в случаях, оформленных в виде закрытых перечней для каждой категории персональных данных. Для биометрии этот закрытый перечень определен в части 2 статьи 11, которая содержит перечень случаев, в которых может быть предусмотрена обработка биометрии без согласия субъекта:

· реализация международных договоров Российской Федерации о реадмиссии,

· осуществление правосудия и исполнением судебных актов,

· проведение обязательной государственной дактилоскопической регистрации,

· случаи, предусмотренные законодательством Российской Федерации:

o об обороне,

o о безопасности,

o о противодействии терроризму,

o о транспортной безопасности,

o о противодействии коррупции,

o об оперативно-разыскной деятельности,

o о государственной службе,

o уголовно-исполнительным законодательством Российской Федерации,

o законодательством Российской Федерации о порядке выезда из Российской Федерации и въезда в Российскую Федерацию,

o о гражданстве Российской Федерации,

o законодательством Российской Федерации о нотариате.

Никаких отсылок к законодательству об информации, информационных технологиях, о защите информации, о банках и банковской деятельности, об акционерных обществах и др., на основании которого можно использовать данные из ЕБС для аутентификации субъектов, здесь нет.

Форма согласия на обработку данных в ЕБС предусмотрена законом и определена распоряжением Правительства № 1322-р. Там тоже нет ни слова о согласии на перенос данных в ЕБС из других систем.

На мой взгляд, такой произвольный подход к использованию одного из самых чувствительных для граждан вида персональных данных подрывает веру в правовую систему в целом и законодательство в частности.

У подобного подхода может быть много отрицательных последствий. Вот одно из них. В новой редакции говорится о том, что передать данные в виде изображения лица в ЕБС должны, в том числе, государственные органы из своих государственных информационных систем. Постановлением Правительства РФ от 04.03.2010 № 125 определен перечень персональных данных, записываемых на чип биометрического загранпаспорта. Среди них цветное цифровое фотографическое изображение лица владельца документа, которое прямо в Постановлении отнесено к биометрическим персональным данным владельца документа, хотя биометрическая аутентификация по лицу при пересечении границы пока не проводится.

Это значит, что изображения лиц всех счастливых обладателей загранпаспортов нового образца должны быть перенесены в ЕБС. Может, кто-то уже получал уведомление об этом, предусмотренное законом?

Ну, а теперь про второе Постановление Правительства от 15.06.2022 № 1067, направленное на наполнение ЕБС новыми данными – о случаях и сроках использования биометрических персональных данных, размещенных в ЕБС физическими лицами самостоятельно в порядке, который мы рассмотрели в предыдущем посте. Документ вызывает вопросы сразу же по прочтении. Как он соотносится с Постановлением Правительства от 23.10.2021 № 1815, определившим перечень случаев обработки биометрических персональных данных в информационных системах организаций? Дополняет его? Это открытый или закрытый перечень? Ну, и так далее.

Допустимые случаи использования следующие:

а) экзамены в вузах;

б) операции с использованием платежных карт в организациях торговли и сферы услуг на сумму не более 1000 рублей;

в) дополнительная аутентификация клиента организациями финансового рынка при дистанционном обслуживании при условии, что такой клиент ранее был идентифицирован этой организацией финансового рынка (то есть сдав биометрию самостоятельно, обратиться за услугой дистанционно в банк, клиентом которого субъект не является, не получится);

г) аутентификации клиента - физического лица организациями финансового рынка при его обслуживании при личном присутствии (то есть лично получить услугу в банке можно и без паспорта, если клиент уже был идентифицирован в порядке, уставленным статьей 7 антиотмывочного закона);

д) оплата проезда в г. Москве (в Питере и других городах почему-то нельзя, видимо, системы идентификации у них не той системы);

е) проход на территорию госорганов и организаций посредством СКУД за исключением довольно объемного списка организаций, включая объекты КММ, дошкольные и общеобразовательные организаций;

ж) заключение договоров об оказании услуг связи посредством сети Интернет;

з) выдача персонифицированной карты на посещение спортивных соревнований (активно обсуждаемый сейчас по стадионам ID болельщика, который категорически не хотят получать наиболее радикальные из них);

и) аутентификация на портале госуслуг.

Перспективы пугающие. Сдав биометрию с использованием мобильника, к видеокамере и микрофону которого, а также к каналу связи не выдвигается никаких требований, в отличие от систем сдачи биометрии, например, в банках, которые должны соответствовать требованиям Минцифры, можно зайти в банк представиться клиентом Пупкиным и снять деньги без паспорта, или войти на охраняемую территорию вуз, получит симку на кого-то другого и так далее.

Использовать самостоятельно сданную в ЕБС биометрию можно не более 3 лет, обновлять надо добровольно. Видимо, напоминать никто не должен, в чем я сильно сомневаюсь.

Но какие только риски не примешь ради наполнения ЕБС! И это мы еще до обсуждения инициативы Банка России об обязательной опции сбора биометрии в мобильных приложениях российских банков не добрались.

Три июньских постановления Правительства про ЕБС и еще кое-какие инициативы в области биометрии. Часть 1

2022-07-04T08:53:00.000+03:00

В июне Правительством России приняты три новых постановления, касающиеся функционирования Единой биометрической системы. Учитывая новость Банка России о необходимости «полной перезагрузки» ЕБС в течение двух ближайших лет, такая активность говорит, с одной стороны, о фактическом провале программы ~~поголовной~~ максимальной фиксации данных граждан страны, обеспечивающих отслеживание их передвижения (биометрия лица) и использование средств связи (биометрия голоса) (на конец 2021 году в системе было немногим больше 200 тысяч аккаунтов), а с другой – о крайней важности этой программы для государства. И банковские услуги, конечно, здесь совсем ни при чем.

Начнем с перезагрузки. Цитирую первого зампреда Банка России О.Н. Скоробогатову по РИА Новости: «Единая биометрическая система, которая была создана в 2018-2019 году, в этом и в следующем году будет полностью «перезагружена». Мы понимаем, что нам не хватает терминалов и мобильных приложений, где люди могут просто сдать свою биометрию, как это было в иностранных приложениях. Развитие системы мы относим на 2022-2023 год». В действительности в иностранных приложениях пользователи никому биометрию не сдают, если верить западным и восточным вендорам. Пользователи фиксировали ее на своем мобильном устройстве для идентификации на нем же, а дальше каждый пользователь, в зависимости от степени параноидальности и веры вендору, принимал решение, использовать ли пальчик или личико вместо пароля для разблокировки устройства или нет.

С ЕБС все по-другому. Там биометрия именно сдается оператору – ПАО Ростелеком, а затем, в соответствии с постановлением Правительства РФ от 28.12.2018 № 1703, в течение одного дня после получения запроса передается спецслужбам – ФСБ и МВД.

Но, чтобы облегчить сдачу биометрии с использованием мобильных приложений, с 30 декабря 2021 года заработали поправки в «трехглавый» закон № 149-ФЗ (часть 1.3 статьи 14.1), позволяющие размещать свои биометрические персональные данные в ЕБС с применением пользовательского оборудования, имеющего в своем составе идентификационный модуль, если личность физического лица при таком размещении подтверждена с использованием загранпаспорта, содержащего электронный носитель с биометрическими персональными данными. А 15 июня 2022 года принято Постановление Правительства РФ № 1066, определяющее порядок размещения физическими лицами своих биометрических персональных данных в ЕБС. Рассмотрим его основные положения.

Минцифры, до конца текущего месяца, должно обеспечить возможность применения прошедших в установленном порядке процедуру оценки соответствия (читаем – сертификации ФСБ России) средств криптографической защиты информации при использовании ЕСИА и ЕБС и обеспечить функционирование технического решения для проверки действительности загранпаспорта с чипом, обычно называемого биометрическим.

Ростелекому к этому же сроку Постановление, как в нем указывается, рекомендует разработать программу и методику оценки алгоритмов обнаружения атак на биометрическое предъявление (так указано в тексте Постановления) в соответствии с требованиями ГОСТ Р 58624.3-2019 и создать российское программное обеспечение (мобильное приложение) для обработки биометрии в ЕБС, согласовать его с ФСБ и Минцифры, а к 30 сентября утвердить согласованный с этими же ведомствами системный проект решения, обеспечивающего самостоятельное размещение физлицами своей биометрии в ЕБС и подключить мобильное приложение к ЕСИА и ЕБС. Как оператор системы уложится в эти более чем сжатые сроки и не просто разработает, но и успешно реализует системный проект, будет видно. ФСБ отведено на согласие системного проекта всего 15 дней.

Тогда же, 30 сентября, вступают в силу Правила самостоятельного размещения физлицами своей биометрии в ЕБС, утвержденные Постановлением Правительства.

Из примечательного в Правилах размещения отметим:

· обязательность наличия у такого пользователя учётной записи в ЕСИА, полученной при личной явке;

· необходимость размещения в ЕБС, помимо собственно биометрии, идентификатора из ЕСИА, номера мобильного телефона, адреса электронной почты, даты рождения и сведений о гражданстве (зачем они нужны для проверки предъявляемой биометрии именно в ЕБС при наличии записи в ЕСИА отдельный, скорее, риторический вопрос, тем более, что все сведения, кроме биометрии, в ЕБС и так загружаются из ЕСИА);

· подтверждение личности субъекта, загружающего в ЕБС свою биометрию, и автоматическая проверка загружаемой биометрии осуществляются с использованием биометрического загранпаспорта путем сопоставления размещаемых биометрических персональных данных его данным, записанным на чип загранпаспорта, и данных владельца со сведениями в ЕСИА;

· необходимость проверки Ростелекомом отсутствия на мобильном устройстве пользователя вредоносного программного обеспечения (вопрос о способе установки приложения на мобильное устройство в документах деликатно обходится);

· необходимость выражения согласия субъекта на обработку его биометрии при ее размещении в ЕБС, подписанного, в том числе, простой электронной подписью (видимо, даваемого в том же мобильном приложении).

Продолжение следует.

16-17 июня: изменения в законодательстве о персональных данных

2022-05-27T17:24:00.000+03:00

16-17 июня я проведу очередной курс КП32 «Защита персональных данных» в Учебном центре «Информзащита». В мае исполнилось 15 лет, как я читаю этот курс, и я даже не пытался подсчитать, сколько слушателей на нем побывало. Много, очень много. Это был первый в стране курс по новому закону «О персональных данных», который за 4 месяца до премьеры курса вступил в силу.

Естественно, содержание курса все эти годы постоянно менялось вместе с изменениями в законе, принятием подзаконных нормативных правовых актов, судебной практикой и практикой правоприменения. Я без ложной скромности скажу, что курс уникальный. Он будет полезен и тому, кто только начинает разбираться в российском законодательстве и сталкивается с большим количеством проблем, пытаясь выполнитель его требования, и тем, кто в этой теме уже давно, но хочет «сверить часы», узнать о произошедших изменениях, разобраться в проблемах, рожденных несовершенством законодательства и практикой его правоприменения на основе толкования, которое тоже меняется время от времени.

Вот и на предстоящих занятиях мы обсудим актуальные новинки.

Поговорим о принятых изменениях в Федеральном законе «О защите прав потребителей» в части запрета на истребование персональных данных, не являющихся необходимыми для совершения сделки, и вводимой административной ответственности за невыполнение этих требований. Обсудим, а нужны ли были изменения и как мы жили без них.

Новеллу проиллюстрируем судебным решением, которым действия страховой компании, хотевшей узнать паспортные данные и сведения о водительских правах для расчета стоимости ОСАГО, были признаны неправомерными, но суд этим не ограничился и потребовал изменить еще и пользовательское соглашение на сайте. Отмечу, что решение было принято до внесения изменений в законодательство.

Рассмотрим позицию Роскомнадзора, Банка России и ФАС по порядку получения согласия физического лица, являющего стороной договора с оператором или представляющего документы, необходимые для его заключения. Хотя формально информационные письма регуляторов касаются кредитных организаций, но рассматриваемые в них наилучшие, допустимые недопустимые и недобросовестные практики (вот прямо так и написано) полезно знать всем операторам.

Разберемся, что думают территориальные управления Роскомнадзора о сборе персональных данных с использованием веб-форм на сайтах и обязательна ли там «галочка» для выражения согласия с обработкой.

Вникнем в прецедентные решения судов трех инстанций, поддержавших оператора в споре с надзорным органом о том, что такое архивный документ, в какой форме и как долго он должен храниться, всегда ли нужны письменные согласия работников на передачу их персональных данных третьим лицам.

Расскажем о новостях с контрольных и надзорных фронтов, где объявлен мораторий на плановые проверки, но появились новые формы контроля, которые не приостановлены, такие как профилактические визиты и мероприятия без взаимодействия с контролируемым лицом. Узнаем о появлении нового надзорного органа в сфере персональных данных, проверочных листах и самопроверке.

Обсудим самые горячие вопросы очень популярной в последнее времени темы биометрических данных – аккредитацию операторов, допустимые случаи использования биометрии для идентификации и аутентификации, присоединение к Единой биометрической системе и ее условиях.

Конечно, затронем (именно затронем, без погружения) законопроекты, которые могут в ближайшее время существенно поменять ландшафт, в котором используются персональные данные, условия трансграничной передачи, порядок уничтожения персональных данных, их носителей и оформления такого уничтожения и других грядущих изменениях.

Традиционно завершаю: приходите, скучно точно не будет.

Поскольку у курса все-таки круглая дата, будет и бонус. Кто зарегистрируется и оплатит курс, сможет направить мне вопросы по электронной почте mezp11@gmail.com, на которые я отвечу во время чтения курса.

Искусство читать нормативку 2. Эта загадочная аккредитация работающих с биометрией

2022-05-04T08:54:00.000+03:00

Посты о биометрии – одни из самых читаемых в моем блоге. Вот и последний из опубликованных, про искусство чтения нашей запутанной нормативки в области биометрии, за последние три месяца собрал на порядок больше прочтений, чем все остальные публикации. В нем я обещал вернуться к теме аккредитации, и, хотя три года на исполнение обещанного еще не прошло, решил к этой теме вернуться. Тем более, что на моем последнем вебинаре о выполнении требований законодательства о персональных данных в кредитных организациях этот вопрос тоже вызвал оживленную дискуссию участников, а к единому мнению прийти не удалось.

Главный вопрос – надо ли аккредитовываться всем, в том числе банкам, для которых использование Единой биометрической системы (ЕБС) является обязательным, а также владельцам собственных систем биометрической идентификации, никак с ЕБС не связанных, и использующих формы биометрии, отсутствующие в ЕБС (дактилоскопию, радужку глаза, рисунок вен и другие). Регулятор (Минцифры), надзор и защитник прав субъектов (Роскомнадзор) на эту тему молчат, разъяснений нет, а те, что есть в частных письмах с ответами на вопросы волнующихся операторов и специалистов однозначных ответов на поставленные вопросы не содержат. Самый наглядный пример – хождение за тремя ответами Алексея Лукацкого.

Что ж, нет разъяснений - будем читать нормативку как положено – буквально и внимательно.

Правила аккредитации операторов, обрабатывающих биометрические персональные данные, определены в Постановлении Правительства РФ от 20 октября 2021 г. № 1799. В самом Постановлении и утвержденных им Правилах ЕБС не упоминается совсем. Там есть отсылки к единому порталу гос- и муниципальных услуг, единой СМЭВ, ЕГРЮЛ, но про ЕБС - молчок.

Правила устанавливают порядок аккредитации организаций, владеющих информационными системами, обеспечивающими идентификацию и (или) аутентификацию с использованием биометрических персональных данных физических лиц, и (или) оказывающих услуги по такой идентификации и (или) аутентификации. Опять никаких исключений, при буквальном прочтении очевидно: если организация использует биометрию, то ей надо к 1 сентября бежать в Минцифры с заявлением для подтверждения своих полномочий.

Но дьявол, как известно, в деталях. Возьмем лупу и внимательно рассмотрим их.

В преамбуле Постановления есть отсылка к частям 18.28, 18.30, 18.31 и 18.33 статьи 14.1 «трехглавого» закона от 27.06.2006 № 149-ФЗ, детально рассматривающей применение биометрии. Что же в этих частях?

В части 18.28 указывается, что аккредитация проводится в отношении организаций, в том числе финансового рынка, указанных в части 18.18 этой же статьи. ОК. А в ней что? Условия сбора и обработки биометрических персональных данных, используемых для аутентификации (как следует из текста остальных частей – без идентификации) в информационных системах этих самых организаций (реализация мер защиты, в том числе применение сертифицированных средств шифрования, наличие согласия субъекта и … аккредитация. Без рекурсии мы никак). Про ЕБС снова ни слова.

Часть 18.30 – про особенности аккредитации иностранных юридических лиц, подпадающих под требования части 18.18. Опять мимо ЕБС.

Часть 18.31 – про отсутствие ограничения срока аккредитации, но не организаций, указанных в части 18.18 и подпадающих под аккредитацию, а про упомянутые в части 18.20. Но мы упорные, разберемся и с этим.

Часть 18.20 – это про еще одну загадку законодательства о биометрии. В ней – о возможности использования биометрии уже включая идентификацию, а не только аутентификацию, организациями, кроме госорганов и органов местного самоуправления, в случаях, установленных Правительством РФ по согласованию с Банком России. Продвинутые читатели уже поняли, что речь идет про Постановление Правительства РФ от 23 октября 2021 г. № 1815, определяющем случаи, когда биометрическую идентификацию и аутентификацию можно использовать в принципе, в том числе в случае отсутствия биометрических персональных данных в ЕБС (это написано не в Постановлении, а в части 18.26 статьи 14.1, требования которой Постановление № 1815 и реализует). То есть, если ЕБС не используется, аккредитовываться точно надо. Но для того, чтобы это было возможно, помимо требований, указанных в части 18.29 (о ней будет дальше) организации надо подключиться к ГосСОПКА. Обязательно. В том числе иностранным юрлицам, которые хотят получить аккредитацию.

Ну, и наконец (будем последовательны) – про часть 18.33. Она - про особенности аккредитации иностранных юридических лиц, подпадающих под требования уже не части 18.18, а части 18.20. И опять мимо ЕБС.

Уфффф, выдохнули…? Не совсем. Странно, что в преамбуле Постановления не упоминается часть 14.29 статьи 14.1, в которой устанавливаются требований к аккредитации, которые как раз реализуются в Постановлении. Может быть потому, что в документе Правительства зачем-то полностью повторяются требования, уже прописанные в законе?

Итоги: читая буквально закон и подзаконные акты, приходим к однозначному выводу, что аккредитация нужна всем операторам, использующим биометрию для аутентификации, аутентификации и идентификации физических лиц, а также оказывающих такие услуги вне зависимости от того взаимодействуют ли они с ЕБС или нет. Даже если биометрия используется для входа в собственные помещения или информационные системы. Кстати, исходя из требований Постановления № 1815, входить в систему по биометрии (например, по «пальчику») будет нельзя.

Про условия аккредитации и требования к заявителям писать не буду. Для чтения на неделе между длинными праздниками-выходными это будет перебор. Скажу лишь, что аккредитоваться, если опять читать нормативку буквально, удастся далеко не всем, даже если использование для них биометрии является обязательным по закону, например, банкам с универсальной лицензией и иностранным участием более 49%. У таких операторов останется только один путь – получение услуг идентификации и аутентификации у счастливых обладателей аккредитации (ВТБ, Сбер?), не безвозмездно, конечно, но обязательно. Статья 7 «антиотмывочного» закона № 115-ФЗ требует.

Но об этом – как-нибудь в следующий раз. При наличии времени и желания.

На Радио Спутник - о 15-летии закона "О персональных данных"

2022-02-03T09:53:00.001+03:00

На Радио Спутник в Международный день защиты данных поговорили о ситуации с защитой персональных данных, законе и его трансформации, телефонном мошенничестве и других проблемах, касающихся каждого без исключения человека в нашей стране, да и не только в ней

Коммерческая тайна об отечественных вакцинах от COVID-19

2022-01-31T08:49:00.002+03:00

28-29 января российские СМИ дружно сообщали о том, что депутату Госдумы от КПРФ Алексею Куринному, врачу-хирургу в прошлой жизни, в ответ на запрос в прокуратуру, Минздрав сообщил, что вся информация о клинических испытаниях и составе препарата от COVID-19 является коммерческой тайной и не может быть обнародована без согласия разработчика, ссылаясь на статью 18 Федерального закона от 12.04.2010 № 61-ФЗ «Об обращении лекарственных средств». Акцент в ответе, судя по информации «Коммерсанта», делается на состав и содержание информации, входящей в состав регистрационного досье на вакцину.

Прежде чем продолжить свой пост, хочу сразу отметить два принципиальных момента:

1. Я сторонник прививки от COVID-19 и привит.

2. Отслеживая ситуацию, связанную с коммерческой тайной в нашей стране с момента принятия и вступления в силу Федерального закона от 29.07.2004 № 98-ФЗ «О коммерческой тайне», я давно пришел к выводу, что о ней вспоминают чаще всего тогда, когда надо скрыть правду от общественности, и коммерческая тайна появляется в государственных органах, некоммерческих и даже благотворительных организациях, в которых по закону ее не должно быть в принципе в силу определения данной категории информации.

Исходя из этой диспозиции, давайте попробуем разобраться, насколько отказ Минздрава правомерен.

Здесь тоже есть принципиальные вопросы, и их четыре.

1. Какая информация закрыта в соответствии с законом «Об обращении лекарственных средств»?

Часть 18 статьи 18 закона действительно закрывает информацию о результатах доклинических исследований лекарственных средств и клинических исследований лекарственных препаратов для медицинского применения, представленной заявителем для государственной регистрации лекарственного препарата в Минздрав, на срок 6 лет.

Но! И это очень важно! Речь идет исключительно об использовании этой информации в коммерческих целях, которое возможно ранее 6 лет с даты регистрации только с согласия заявителя, а не о запрете любого доступа к данной информации. И, кстати, понятие «коммерческая тайна» в данной статье закона не упоминается от слова совсем. Какие основания были у Минздрава считать, что депутат Государственной Думы собирается использовать сведения из регистрационного досье в коммерческих целях, да еще с нарушением прав правообладателя - это большой вопрос. И, кстати, понятие «коммерческая тайна» в данной статье закона не упоминается совсем. Почему Минздрав ссылается именно на коммерческую тайну, режим которой если и вводился, то не им, а разработчиком вакцины – тоже интересно. Вернемся к нему при рассмотрении третьего вопроса.

2. Можно ли запрашиваемую информацию отнести к коммерческой тайне?

Закон «О коммерческой тайне» существенно ограничивает отнесение общественно значимой информации к коммерческой тайне. Так, пункт 4 статьи 5 указанного закона прямо запрещает устанавливать режим коммерческой тайны лицами, осуществляющими предпринимательскую деятельность (а не министерствами и ведомствами), в отношении сведений о санитарно-эпидемиологической обстановке и других факторах, оказывающих негативное воздействие на безопасность каждого гражданина и безопасность населения в целом. Сведения о негативных последствиях вакцинации, а тем более о противопоказания и возможных ограничениях (основаниях для медицинских отводов) – это как раз о негативном воздействии на безопасность граждан и населения, а о влиянии вакцинации на развитие пандемии (если они в досье есть) – сведения о санитарно-эпидемиологической обстановке.

Таким образом, некоторые сведения в досье для регистрации вакцины (в первую очередь, ноу-хау, связанные с ее составом, технологией производства и т.д.) могут составлять коммерческую тайну, но есть там и сведения, в режиме коммерческой тайны не охраноспособные, которые к этой категории информации ограниченного доступа закон относить запрещает.

Подводя итог второму вопросу, напомню, что часть 6 статьи 10 закона «О коммерческой тайне» не допускает использования режима коммерческой тайны в целях, противоречащих требованиям защиты здоровья, прав и законных интересов других лиц, обеспечения безопасности государства.

И, судя по информации в СМИ, депутат А. Куринный именно эти сведения и запрашивал.

3. Приняты ли обладателем информации все предусмотренные законом меры по установлению режима коммерческой тайны?

Перефразируя популярный интернет-мем, нельзя вот так просто взять и установить режим коммерческой тайны. Статья 10 закона «О коммерческой тайне» жестко устанавливает, что режим коммерческой тайны считается установленным после принятия обладателем информации, составляющей коммерческую тайну, следующих мер (в скобках в каждом пункте мои пояснения к закону):

1) определение перечня информации, составляющей коммерческую тайну, далее - ИКТ (т.е. у заявителя государственной регистрации вакцины должен быть документ, который прямо относит сведения, указанные в регистрационном досье, к коммерческой тайне);

2) ограничение доступа к информации, составляющей коммерческую тайну, путем установления порядка обращения с этой информацией и контроля за соблюдением такого порядка (т.е. у указанного выше лица должен быть локальный акт, подробно регламентирующий обращение с ИКТ и меры по ограничению доступа к ней);

3) учет лиц, получивших доступ к информации, составляющей коммерческую тайну, и (или) лиц, которым такая информация была предоставлена или передана (как своих работников, так и контрагентов, и органов власти, которым ИКТ была предоставлена и передана);

4) регулирование отношений по использованию информации, составляющей коммерческую тайну, работниками на основании трудовых договоров и контрагентами на основании гражданско-правовых договоров (т.е. в трудовых договорах с работниками заявителя и его контрагентами, например, производителями вакцины, прямо должно быть прописаны наличие режима коммерческой тайны, порядок идентификации такой информации среди прочей, законом не охраняемой, и порядок обращения с ней);

5) нанесение на материальные носители, содержащие информацию, составляющую коммерческую тайну, или включение в состав реквизитов документов, содержащих такую информацию, грифа «Коммерческая тайна» с указанием обладателя такой информации, его полного наименования и места нахождения (т.е. вся документации по вакцине, включая сведения в электронной форме, а также документы, поданные для государственной регистрации вакцины в Минздрав, должны содержать ограничительный гриф, наименование заявителя и его адрес).

Не выполнено хотя бы одно требование – режима коммерческой тайны нет. Нет и охраны, и защиты государственными институтами прав обладателя сведений. Тому масса подтверждений в судебной практике, о которых я не раз писал в своем блоге.

4. Обязаны ли депутату Куринному предоставить запрашиваемую информацию (на самом деле самый важный вопрос в рассматриваемом контексте)?

Часть 1 статьи 6 закона «О коммерческой тайне» обязывает обладателя ИКТ по мотивированному требованию органа государственной власти, иного государственного органа предоставить им на безвозмездной основе информацию, составляющую коммерческую тайну. Вторая часть этой же статьи предусматривает, что в случае отказа обладателя ИКТ предоставить ее органу государственной власти, такой орган вправе затребовать эту информацию в судебном порядке.

Так что для дальнейшего развития событий законодательство Российской Федерации предоставляет простой и прямой путь: Дума вправе истребовать необходимые сведения у заявителя на государственную регистрацию лекарственного препарата, которые об обязан предоставить, даже если отнес их к ИКТ (с грифом), и потребовать предоставить доказательства правомерности такого отнесения.

Если сведения охраноспособны - хранить их в режиме конфиденциальности, если нет – обнародовать, учитывая общественный и публичный интерес к ним, который после отказа Минздрава существенно вырос и породил подозрения.

Большое интервью к 15-летию закона "О персональных данных"

2022-01-26T18:44:00.001+03:00

К 15-летию закона "О персональных данных" дал большое интервью главному редактору журнала Business Exsellence Наталье Борисовне Кий о наболевшем - проблемах закона, его правоприменения, влиянии закона на бизнес в России и рисках для бизнеса и граждан.

Искусство читать нормативку. О биометрии для идентификации и аутентификации

2022-01-10T14:34:00.000+03:00

С наступившим вас! Теперь и трудовым.

Начинаем трудиться.

Одна из главных проблем для меня в прошлом году – нормативно-правовые документы по биометрии от новоявленного (новоназначенного?) регулятора – Минцифры России. Казалось бы, каждый новый подзаконный акт должен вносить ясность в общую норму закона, раскладывая по полочкам конкретный порядок действий по ее выполнению. Как бы не так. Последние результаты нормотворчества ситуацию только запутывают, на мой взгляд. О проблемах использования биометрии в конце декабря хорошо написал на своем сайте-блоге Алексей Лукацкий. Но я сейчас немного о другом.

Итак, при выполнении проектов 2021 года наше агентство столкнулось с рядом вопросов заказчиков, касающихся применения биометрии. Сформулирую в более-менее обобщенном виде два основных вопроса ввиду ограниченности формата поста (на самом деле их гораздо больше):

1. Всем ли можно применять биометрию для идентификации и аутентификации? Например, можно ли небольшому ритейлеру купить и поставить на компьютеры персонала или кассовые аппараты в магазине систему распознавания пользователей по пальчикам, то есть систему дактилоскопической идентификации?

2. Можно ли использовать в школе систему идентификации по рисунку вен ладоней для организации доступа на территорию школы, связав ее с системами учета полученного питания и выдачи книг в библиотеках (идея «Ладошек» пока вовсе не умерла, как думают некоторые).

Рассматриваемой биометрии (дактилоскопия и рисунки вен ладони) в Единой биометрической системе (ЕБС) нет. Можно ли их использовать в России? В ответах будет очень много букв. Понимаю, после каникул напряженно, но …

Читаем статью 14.1 ФЗ «Об информации, информационных технологиях и о защите информации» - самую главную в российском законодательстве с точки зрения регулирования использования биометрии. Она и называется соответствующе – «Применение информационных технологий в целях идентификации физических лиц» (хотя почему-то про аутентификацию в названии не упоминается, но порядок ее проведения статья определяет).

Части с 1 по 10 данной статьи регламентируют использование биометрии исключительно в ЕБС, где, как все хорошо знают, только лицо и голос.

Значит, если мы живем вне ЕБС, для нас требования данный статьи обязательными не являются? Нет, просто мы еще не все прочитали.

С 1 января в статье появилась новая часть 10.1, неожиданно расширяющая действие норм, изложенных ранее: контроль и надзор за обработкой персональных данных в ЕБС, а также в информационных системах государственных органов, органов местного самоуправления, организаций финансового рынка, иных организаций и индивидуальных предпринимателей, которые осуществляют обработку биометрических персональных данных при идентификации и (или) аутентификации, в том числе при взаимодействии с ЕБС осуществляет Роскомнадзор. Что это его область надзора, на мой взгляд, очевидно и так – глава 5 ФЗ «О персональных данных» для биометрии никаких исключений не содержит. И зачем об этом писать еще и в 149-ФЗ - совершенно не понятно. Важны слова про иные биометрические системы, не связанные с ЕБС – а новая часть их существование прямо допускает.

Про новую редакцию части 11, наделяющую Банк России полномочиями по контролю и надзору за реализацией организационных и технических мер по обеспечению безопасности персональных данных, отсутствующими в ФЗ «О персональных данных», надо писать отдельно, это в границы данного поста не вписывается.

Ну, а дальше, из части 13 статьи 14.1 становится очевидным, что с 01.01.2021 Минцифры регулирует использование любой биометрии в любых системах идентификации и аутентификации любых организаций, включая требования к таким системам (приказы Минцифры от 25.06.2018 № 321 в новой редакции, который утратит силу с 01.03.2022 и от 10.09.2021 № 943, с 01.03.2022 вступающий в силу), формы подтверждения соответствия любых технологий и средств для этих целей (приказ Минцифры от 07.07.21 № 685). Но вот беда: приложение № 3 к приказу № 943 опять только про голос и лицо, соответственно, и № 685 – тоже. Зато приложения №№ 1 и 2 к тому же приказу – про сбор, размещение хранение и использование биометрии и в иных системах тоже.

А дальше читаем крайне внимательно: часть 18.2 дает право организациям использовать ЕБС для аутентификации в целях совершения определенных действий (прохода на территорию, доступа к компьютеру или кассе), но не обязывает использовать только ее. Тем, кто использует ЕБС, необходимо использовать сертифицированную криптографию (часть 18.3), за реализацией мер защиты надзирают ФСБ и ФСТЭК (часть 18.4). И далее –про тех, кто подпадает под часть 18.2, то есть использует ЕБС.

Пока вроде бы никаких препятствий для использования систем, упомянутых в вопросах в начале поста и в тех целях, которые указаны в тех же вопросах, нет. Но это только пока.

С 1 сентября наступившего года вступят в силу новые части статьи 14.1. Части 18.18 и 18.20 определяют условия проведения идентификации и аутентификации с использованием биометрии в собственных информационных системах операторов уже без упоминания и связи с ЕБС. И тогда применение сертифицированной криптографии станет обязательным для нейтрализации актуальных угроз. И самое главное – все операторы, использующие биометрию, должны будут пройти аккредитацию в Минцифре (правила аккредитации утверждены Постановлением Правительства РФ от 20.10.2021 № 1799, вступившем в силу 1 января нового года, хотя статьи об аккредитации закона заработают с 1 сентября). Если же кроме аутентификации операторы захотят проводить и идентификацию с использованием биометрии, то есть создавать шаблоны и базы биометрии, а не только сверять полученные данные с шаблонами, то на них будут распространяться требования безопасности, предъявляемые к значимым объектам КИИ и ГИСам и взаимодействовать с Госсопкой (пункт 2 части 18.20), причем отнесение владельца системы идентификации к субъектам КИИ в качестве критерия здесь не упоминается.

И не менее важное: идентификация либо идентификация и аутентификация допускаются в случаях, установленных Правительством Российской Федерации по согласованию с Центральным банком Российской Федерации (часть 18.26 статьи 14.1). А вот с этой частью – полная засада. Распространяются ли эти случаи только на идентификацию и (или) аутентификацию с использованием ЕСИА и ЕБС или это закрытый перечень случаев биометрической аутентификации, которая выполняется без ЕБС, понять из текста нельзя. Не вносит ясность и Постановление Правительства РФ от 23.10.2021 № 1815, которым этот перечень случаев определен (вступает в силу с 1 марта, а статья закона, требующая его принятия – с 1 сентября). Постановление ссылается на части 18.20 (в которой ЕБС не упоминается) и 18.26 (в которой использование ЕБС является обязательным). Кроме того, пункт 3 Перечня случаев допускает использование биометрии в СКУД, но кроме случаев входа на объекты, совершение террористического акта на территории которых может привести к возникновению чрезвычайных ситуаций с опасными социально-экономическими последствиями, а также режимных объектов, дошкольных и общеобразовательных организаций. В школах биометрия невозможна? Нет в Перечне случаев упоминания и об использовании биометрии товаров и услуг, которая вовсю внедряется сегодня где только можно и нельзя. Так закрытый это перечень случаев или нет? Распространяется ли он только на случаи использования ЕБС или нет? Вопросы, вопросы…

С аккредитацией тоже все очень плохо. Посмотреть можно про нее, если лень разбираться в законе и постановлении правительства, в посте Алексея Лукацкого, ссылка на который есть выше. Здесь уже про это рассказать не удастся, возможно, получится свою точку зрения высказать позже.

Ну, и ответы на поставленные в начале поста вопросы. До 1 сентября все это можно. После 1 сентября, похоже, лавочки придется свернуть.

С удовольствием почитаю мнение коллег – не накосячил ли я чего, разбираясь в законах, постановлениях и приказах, не ошибся ли при интерпретации установленных ими норм. Единственная просьба – указывать конкретные нормы, которые коллегами понимаются по-другому. С цитированием и пояснениями.

С новым вас трудовым годом. Мало, похоже, в нем не покажется. Трудимся.

2021-12-28T10:50:00.001+03:00

С Новым 2022 годом!

Уважаемые коллеги!

С наступающим вас новым 2022 годом!

Пусть этот год будет годом, открытым для всего мира, легким и свободным!

Новых вам интересных проектов, удовлетворения от сделанного, достойного вознаграждения за труды и крепкого здоровья, исполнения желаний!

Мира и спокойствия вашим домам, понимания и поддержки окружающих, тепла и уюта!

Об оплате проезда «лицом» в московском метро (система Face Pay)

2021-11-09T11:10:00.000+03:00

С 15 октября на всех линиях и станциях московского метро заработал сервис Face Pay. Он позволит пассажирам оплачивать проезд при помощи системы распознавания лица, нужно лишь посмотреть в камеру на турникете, - сообщил официальный сайт Мэра Москвы.

Антон Нехаенко на портале Banki.ru достаточно подробно разобрал тему внедрения системы оплаты проезда «лицом» Face Pay и возможные последствия ее использования, в комментировании которой я также поучаствовал, но посчитал нужным более детально разъяснить свою позицию в личном блоге, поскольку проблема касается буквально каждого из нас и связана с большим количеством, мягко скажем, «недоговоренностей», возникших при внедрении системы.

О целях внедрения системы Face Pay. В ответах на вопросы о системе начальник службы платёжных сервисов Московского метрополитена, на первое место ставит транспортную безопасность, поиск преступников, а не удобство прохода для пассажиров. Именно для этой цели установили первые камеры, которые теперь приспособили для оплаты, что несколько странно в такой ситуации.

О том, какие данные о пассажире собирает система и об их защите. На сайте mos.ru, в анонсе новой системы оплаты, указывается, что для ее использования нужно привязать банковскую карту со средствами для оплаты проезда и карту «Тройка» к сервису через приложение «Метро Москвы», но скромно умалчивается о необходимости передать в систему через это приложение еще и изображение лица владельца карты. Стоит обратить внимание на то, что нет ни слова о том, как защищается передаваемая приложением информация, в частности, о средстве платежа и биометрических данных, где и как она будет храниться, кто является в отношении нее оператором персональных данных и несет ответственность за возможные инциденты с персональными данными. Ничего не сообщается о величине допустимых ошибок первого и второго рода (отказать в проходе владельцу или пропустить похожее на него лицо).

Особенно удивляет такая информация в комментариях Департамента транспорта: «Система не способна «связать» фотографию человека с его личностью — у неё просто нет данных для этого: в личном кабинете пассажир привязывает только банковскую карту, номер телефона и «Тройку»»‎. Но ведь банковская карта привязана к конкретному владельцу и к его лицу при его распознавании, иначе и быть не может.

О роли турникета метро в обработке персональных данных. В Департаменте транспорта Москвы рассказали о том, что «вся информация будет надежно зашифрована, камера на турникете считывает биометрический ключ, а не изображение лица или другие персональные данные». Веб-камера не может считывать «биометрический ключ», она может только зафиксировать изображение лица, которое затем надо преобразовать в «биометрический ключ», точнее – в математический шаблон, который и будет сверяться в базе данных с другими шаблонами. Опровержение этого алгоритма содержится в той же публикации: «Когда человек подходит к турникету, камера на нём делает несколько снимков. Лучший кадр по освещённости, положению головы, открытости лица и многим другим параметрам переводится в биометрический вектор, сравнивается с точками в базе». Сложно представить, что такое преобразование выполняется на каждом турникете станций метро, а не передается для обработки на серверы.

Относительно шифрования, используемого для защиты персональных данных. Утверждается, что шаблоны изображений лиц на сервере, которые есть «в каждом вестибюле», зашифрованы. Тогда вопрос: для распознавания по каждому пассажиру шаблоны расшифровываются, или шифруется шаблон и сравнивается с зашифрованными же образами? Как происходит обновление данных на каждом из серверов, какие используются протоколы и алгоритмы шифрования? Все эти вопросы покрыты мраком и даже не обсуждаются. Я уже не говорю про межсетевые экраны, системы обнаружения компьютерных атак и обо всем остальном, что должно быть в любой информационной системе персональных данных и, в соответствии со статьей 18.1 Закона о персональных данных, указываться в политике оператора, размещаемой для неограниченного доступа.

О создании маршрута передвижения пассажира и необходимой для этого информации. Департамент транспорта сообщает: «Посмотреть историю своих маршрутов может только сам пассажир — в личном кабинете, пароль от которого знает только он (при этом вход защищён двухфакторной аутентификацией)». Это значит, что лицо пассажира фиксируется и при выходе со станции, иначе будет невозможно отследить маршрут. Вопрос – зачем и как это связано с оплатой «по лицу» и не является ли распознавание лица пассажира на выходе из метро избыточным для целей оплаты проезда в метро? И, конечно же, ко всему, что лежит в базах данных о передвижениях пассажиров, включая личные кабинеты, имеют доступ администраторы системы.

О технических сбоях системы и «перепутанных» пассажирах. Сообщается, что, если вдруг произойдёт технический сбой и одного пассажира перепутают с другим, он может написать об этом чат-боту Александре, и в течение трёх дней деньги за поездку вернутся. И как тогда будут разрешаться конфликты? Желающих отказаться от поездки и сэкономить найдется достаточно много и всем вернут деньги?

Face Pay и не «привязанные» к ней пассажиры. Ну и вишенка на торте: «Face Pay распознаёт только тех, кто зарегистрировался в системе — на остальных пассажиров камера не реагирует: ей просто не с чем сравнивать» Что значит – не реагирует? Умная камера заранее знает, кого снимать, а кого нет? И по базе данных не прогоняются шаблоны лица всех проходящих через турникет? Этого просто не может быть, такая система работать не сможет.

О согласии пассажиров на обработку их биометрических персональных данных. Мне не удалось найти в мобильном приложении интерфейса для использования Face Pay, текст согласия на обработку биометрических персональных данных (а оно, согласно Закону о персональных данных, должно быть дано в письменной форме и соответствовать по содержанию требованиям законодательства). Текст согласия есть на сайте метрополитена, но закону он совсем не соответствует, оно анонимное, без паспортных данных, адресов субъекта и оператора. Целью обработки биометрических данных, помимо оплаты проезда, указано получение «иных услуг», каких – не сообщается (что тоже не законно), а вот про поиск преступников и обработке с этой целью данных пассажиров в согласии нет ни слова. Согласие дается ГУП «Московский метрополитен», а также организациям, подведомственным Департаменту транспорта и развития дорожно-транспортной инфраструктуры города Москвы и иным лицам, обеспечивающим достижение целей обработки изображения, указанным в пункте 4 настоящего согласия.

Что это за организации, какие у них цели, и что они делают с персональными данными пассажиров? Если исполняют получение обработки, полученное от метрополитена, то эти лица должны быть поименованы с указанием их адреса – это требования Закона о персональных данных. Если решают иные задачи, не связанные с поручением, хотелось бы знать, какие именно, иначе согласие не отвечает требованиям конкретности, информированности и сознательности.

Указано, что согласие действует со дня его выдачи, в том числе в форме электронного документа, подписанного простой электронной подписью, но о том, как его подписать электронной подписью и какой, не сообщается.

Между тем, штраф за согласие, оформленное с нарушением установленных законом требований к составу сведений, включаемых в согласие субъекта в письменной форме, влечет административную ответственность в размере до 150 тысяч рублей по каждому случаю нарушения. Но ГУП «Московский метрополитен», похоже, это совсем не пугает. Интересно, почему? Действительная цель создания системы оправдывает средства?

О скорости оплаты проезда «лицом». Большие сомнения вызывает и декларируемая высокая скорость оплаты проезда. Заммэра Максим Ликсутов оптимистично оценивает количество пользователей системы в 10-15 процентов всех пользующихся метро пассажиров. Сам метрополитен оценивал ежедневный пассажиропоток в 2019 году более, чем в 7 миллионов человек. Предположим, что пассажир в среднем совершает в день две поездки, это значит в базе должно быть не менее 350 тысяч шаблонов изображений лица. Прогнать шаблон фото через 350 тысяч образов быстрее, чем считать данные с «Тройки» и записать на нее? Не верится...

В целом, предлагаемая система пока гораздо больше похожа на систему контроля, а не оплаты. Так может об этом честно заявить и сделать ее соответствующей закону?

И самое главное - что должен делать пассажир, биометрические данные которого скомпрометированы? Отсутствие во всех подобных внедряемых системах биометрической идентификации и аутентификации, начиная с Единой биометрической системы, сведений о том, что должен делать пользователь, биометрические данные которого скомпрометированы и как ему после этого жить дальше, а также отсутствие процедур разрешения конфликтов при оспаривании транзакций делают риски использования таких систем вообще неприемлемыми.

Использование данной системы для оплаты проезда в метрополитене я считаю крайне рискованным для граждан и ни в коем случае не рекомендую ею пользоваться.

Про парсинг, ВКонтакте, Double Data и запрет пользоваться надписями на заборах

2021-09-01T16:33:00.002+03:00

Елена Покатаева из «Банковского обозрения» подготовила интересную и детальную публикацию, а я ее немного прокомментировал.

«Тайна частной жизни и приватность существуют ровно до того момента, когда человек, к которому эти сведения относятся, сам сохраняет их в тайне. Написал на заборе (в соцсети) — забудь о приватности. Ее больше нет».

«Суды пошли еще дальше и пытаются запретить любому использовать то, что написано на заборе. Но вряд ли запреты остановят парсинг и использование его результатов в скоринговых алгоритмах, ведь не воспользоваться тем, что доступно для снижения банковских рисков, просто неразумно. Зато появится возможность выборочно привлекать к ответственности тех, кто в парсинге будет уличен».

Ну, и еще кое-что.

Полный текст здесь https://bosfera.ru/bo/algoritmami-vhod-vospreshchen.

17-18 мая: требования законодательства о персональных и все последние изменения к нему

2021-05-13T14:35:00.001+03:00

В понедельник-вторник 17 и 18 мая буду вести обновленный курс КП32 "Защита персональных данных" в формате онлайн на площадке Учебного центра "Информзащита".

В программе:

новые редакции ст.13.11 КоАП,

практика по частям 8 и 9,

правоприменение статьи 13.11 в последнее время,

согласие на распространение персональных данных,

изменения, связанные с расширением сферы применения Единой биометрической системы,

судебные прецеденты и результаты проверок последних лет.

Вопросы и обсуждения приветствуются.

Запись в Учебном центре "Информзащита".

Нам 10 лет!

2021-04-08T09:59:00.004+03:00

Сегодня, 8 апреля, исполняется ровно 10 лет с того дня, когда наше Консалтинговое агентство «Емельянников, Попова и партнеры» было зарегистрировано как юридическое лицо и вышло на рынок.

Срок вроде бы и не большой, но сколько всего поменялось на рынке за это время! Принимались и изменялись законы и подзаконные акты, появлялись новые трактовки положений, казавшихся очевидными, суды принимали решения, переворачивавшие сложившееся понимание законодательства, вводились новые требования и новые ограничения, и мы вместе с нашими заказчиками лавировали в этом меняющемся, бушующем мире. Наша цель была всегда одна – обеспечить выполнение закона и не просто не дать загнуться бизнесу, порою очень плохо понимавшему, что хочет от него государство и его законодатели, но и обеспечить использование самых передовых информационных технологий, позволяющих оставаться конкурентоспособными, и не только в России, но и в мире.

За эти 10 лет в области нормативного регулирования сферы персональных данных произошли значительные изменения. Вскоре после начала работы нашего агентства, 25 июля 2011 года, Федеральным законом № 261 (помните поменявшийся радикально за две ночи закон Резника-Плигина-Московца?) была введена в действие фактически новая редакция закона о персональных данных. Сколько всего правильного в основном было написано блогерами, которые как никогда были популярны и читаемы в то время, специалистами и заинтересованными участниками рынка (одно обращение Г.А. Тосуняна к президенту страны чего стоило), сколько копий сломано (зря, как правило). Обсуждение 261-ФЗ стало самым, наверное, активным действием профессионального сообщества, пытавшегося повлиять на регуляторику в области безопасности, существенно затрагивающую интересы бизнеса. «Не шмогли» … Но и катастрофы, которой боялись, не произошло ввиду неизменного российского правила исполнения строгих законов.

В 2015 году заработало требование о локализации персональных данных во время их сбора, вызвавшее оторопь у российских дочек международных и иностранных компаний, активно использовавших зарубежные системы материнских компаний, первых, немногочисленных тогда пользователей облаков и SaaS систем. Пережили и это. Посмотрите статистику проверок 2016-2020 годов – про нарушения, связанные с локализацией, там почти ни слова. Все больше про войну с LinkedIn, Twitter и Facebook.

Вот и сейчас озадаченные владельцы сайтов не могут понять, как на них теперь разместить персональные данные, получить согласие субъектов и их представителей на распространение, указать условия и ограничения обработки и перечни, в отношении которых эти ограничения вводятся. Пережили былое, переживем и это… Ищем и найдем решения.

Наш мир становится все более цифровым. На горизонте – цифровой профиль, новые реестры, которые знают про нас все больше и больше, проникающая в нашу жизнь, как вода в одежду во время ливня, биометрия, которые не все и не очень-то ждут. Интернет вещей с WiFi в каждом утюге и холодильнике. СИМ-карты в шлагбауме, подписывающиеся на новостные рассылки. Скучно в ближайшем будущем не будет точно.

Начав работать 10 лет назад, мы довольно скоро и сознательно сузили свою нишу на рынке. Мы решили отказаться от многих возможных направлений, в которых выполняли весьма успешные проекты, и сосредоточиться на двух – на персональных данных и тайнах (коммерческой, банковской, связи, врачебной и прочих, кроме государственной). Это позволило нам наработать экспертизу того уровня, благодаря которому мы стали консультантами крупнейших мировых ИТ-вендоров, помогая им и их заказчикам соблюдать требования российского законодательства, мировых и российских лидеров в самых разных направлениях экономики – госкорпораций, системообразующих банков страховых компаний, телеком-операторов, интернет-компаний и производителей средств защиты информации, предприятий промышленности, энергетики, фармацевтики, FGCG, медицинских организаций, служб по подбору персонала из разных стран и многих, многих других. Они именно пришли к нам – за все 10 лет мы не истратили на маркетинг ни копейки.

Мы –партнеры крупнейших юридических компаний, выполняем совместные с ними сложные проекты, требующие понимания не только законодательства России, но и глубокого вникания в суть бизнеса.

Мы искренне стремились выполнить и нашу социальную миссию, в рамках который были проекты в благотворительных фондах для особенных детей, и множество просветительских и образовательных проектов.

Но среди наших заказчиков – не только компании из enterprise сегмента. Это и стартапы, работа с которыми не самая прибыльная, но, как правило – необыкновенно интересная, поскольку готовых решений как выполнить закон для абсолютно новой идеи, нормативно не урегулированной и не имевшей ранее прецедентов, конечно, нет, а вот необходимость вывода бизнеса, и не в серый, а в белый сегмент – есть.

Мы активно занимались образовательными проектами – курсами, семинарами, вебинарами. За 10 лет обучены тысячи специалистов, и с каждым годом доля специалистов по информационной безопасности среди них все меньше и меньше. Наши слушатели – руководители, первые лица организаций, юристы, в том числе находящиеся на очень высоких позициях и работающие в юридических компаниях, кадровики, айтишники и многие другие. Все эти 10 лет мы работаем с нашими главными партнерами по направлению образования – Учебным центром «Информзащита» и «БизнесШколаКонсультант».

Нам есть чем гордиться. Придуманы и реализованы новые формы и форматы консультационных услуг, подготовлено множество экспертных заключений, в том числе выложенных для свободного доступа, которые читали и использовали тысячи специалистов.

На наш блог, который, к сожалению, не удается обновлять постами так часто, как хотелось бы, тем не менее приходят ежедневно сотни и тысячи читателей. И мы не собираемся останавливаться. До новых встреч!