Здравствуй, новый дивный мир открытых данных!

Я уже как-то писал, что мы для своих клиентов, которым оказываются услуги по абонентскому обслуживанию, готовим и рассылаем ежемесячный отчет о практике правоприменения законодательства о персональных данных. В месяцы, когда работает Госдума, это 250 и более страниц, собранных в 9 разделах, во время каникул – немного меньше. 

Отчет позволяет читающим его быть в курсе всего происходящего в этой непростой и зарегулированной сфере. Но и для меня и наших консультантов он тоже очень важен и интересен, поскольку позволяет взглянуть на проблему «сверху» и видеть проблематику развития законотворчества и правоприменения в целом, прочувствовать тенденции.

После прочтения отчетов последних месяцев у меня укрепилось мнение, появившееся достаточно давно (см., например, здесь или здесь), что тенденции эти весьма малоутешительны. Мы уверенно мигрируем в новый мир без приватности и неприкосновенности частной жизни, причем это движение одновременно происходит сверху (государственное регулирование и реализация новых нормативов) и снизу (публикации в соцсетях, в первую очередь).

На государственном уровне (не только в России, во всем мире) тенденция проявляется в следующих направлениях:

(1)           существенное расширение круга сведений о частных лицах, подлежащих обязательному опубликованию, раскрытию, а также к которым предоставляется доступ;

(2)           увеличение количества государственных и окологосударственных информационных систем, в которых накапливаются данные о физических лицах;

(3)           расширение доступа к этим многочисленным системам как со стороны государственных органов и организаций, так и со стороны частных компаний.

Это позиция ярко и наглядно иллюстрируется материалами нашего январского отчета. Давайте посмотрим на новые инициативы.

Расширение перечня персональных данных, подлежащих обязательному опубликованию, раскрытию, а также к которым предоставляется доступ

С 1 мая 2018 года существенно расширяется перечень сведений, к которым можно получить доступ через личный кабинет на портале госуслуг. Среди них теперь информация «об указанном лице, о его несовершеннолетних детях, принадлежащем ему имуществе и результатах предоставления ему государственных и муниципальных услуг, содержащимся в информационных системах федеральных органов исполнительной власти, Госкорпорации «Росатом», органов государственных внебюджетных фондов, исполнительных органов власти субъектов Федерации и органов местного самоуправления. Можно долго спорить, кто подразумевается под «указанным лицом», и какие случаи предусмотрены для такого доступа законодательства (норма в постановлении Правительства, как обычно, бланкетная), но тенденция очевидна.

С 1 января подлежит публикации в открытом доступе в Интернете реестр лиц, уволенных с государственной службы в связи с утратой доверия.

В системе межведомственного электронного взаимодействия (СМЭВ) теперь будут доступны такие документы и сведения, как выписки из ЕГРН, ИНН физлица, 2-НДФЛ и 3-НДФЛ, ПТС, сведения о наличии решения о приостановлении операций по счетам налогоплательщика. Кому доступны? Пользователям СМЭВ!

Банк России инициирует создание системы, позволяющей получить сведения о суммарной долговой нагрузке заемщиков. Не исключено, что у такой системы может появиться единый оператор.

Росфинмониторинг определил порядок представления сведений о бенефициарах (на подготовку ответа дается 5 дней).           

Выполняя требования ФНС о проявлении разумной осмотрительности при выборе контрагента, организации перед заключением договоров стали массово запрашивать сведения о застрахованных лицах контрагента (СЗВ-М), а там – полный список работников со СНИЛС и ИНН.

ФНС России запустил новый электронный сервис, позволяющий подтвердить статус налогового резидента. Не проверял, но логично предположить, что в нем будут накапливаться сведения обо всех пересечениях границы.

Депутат «Единой России» Виталий Милонов повторно внес законопроект, предусматривающий идентификацию пользователей соцсетей при создании аккаунта, а детей до 14 лет – только при наличии у соцсети согласия родителей в письменной форме. Невыполнение этих требований предусматривает штраф в 1 млн. рублей.

Замглавы Роскомнадзора заявил, что базы данных об абонентах операторов связи (ст.53 закона «О связи») нужно пополнить информацией о никнеймах и используемых ими мессенджерах.

ФРИИ подготовил концепцию законопроекта о «больших пользовательских данных» (БПД), предусматривающую институт компаний-посредников, располагающих информацией о нахождении БПД у определенных операторов, которые фактически будут знать все компании, которым пользователь дал согласие на обработку персональных данных.

ФНС России активно готовится к началу обмена налоговой информацией с зарубежными юрисдикциями, разрабатывает соответствующие формы и правила.

Увеличение количества государственных и окологосударственных информационных систем, в которых накапливаются персональные данные

С 1 января закон о телемедицине легализовал функционирование единой государственной информационной системы в сфере здравоохранения (ЕГИСЗ), которая фактически уже строится несколько лет. Сведения о состоянии здоровья там должны быть обезличены, но в уже построенных и функционирующих медицинских информационно-аналитических центрах (МИАЦ) есть электронные медицинские карты пациентов. Читаем статью 10 закона о персональных данных и удивляемся - в МИАЦах сведения о нашем здоровье обрабатывают отнюдь не врачи! Кроме того, другим постановлением Правительства предусматривается передача из медицинских организаций в ФГИС ФСС сведений о листках нетрудоспособности с использованием ЕГИСЗ. Обезличенных?

С 1 января внедряется единая государственная информационная система социального обеспечения (ЕГИССО). Она должна содержать полные сведения о всех мерах социального обеспечения, предоставленных гарантиях, выплатах и компенсациях. Вести ЕГИССО обязан Пенсионный фонд России.

С этой же даты началось создание Единого государственного реестра записей актов гражданского состояния.

С 1 января интернет-мессенджеры должны идентифицировать своих пользователей по номеру и хранить идентификационные сведения только на территории России. За неисполнение вводится административная ответственность со штрафом до 1 млн руб. для юридических лиц.

С 1 января заработала (или должна заработать, проверить не могу) единая информационная система электронных путевок (слово то какое!), куда турфирмы обязаны вносить сведения обо всех оказанных физлицам услугах.

В ФГИС «Единая интегрированная информационная система «Соцстрах» Фонда социального страхования РФ» теперь будут накапливаться электронные листки нетрудоспособности, поступающие из учреждений здравоохранения, доступные фонду и работодателям.

С 28 января вступили в силу новые требования к деловой репутации приобретателей крупных пакетов акций, органов управления и должностных лиц банков, страховых компаний, НПФ, управляющих компаний и микрофинансовых компаний. Банк России будет вести соответствующую базу, сведений о которой могут быть предоставлены по запросу поднадзорных организаций.

С 16 февраля в соответствии с указанием Банка России расширяется перечень инсайдерской информации, к которой теперь будут причисляться сведения о возбуждении уголовного дела против руководителя или члена совета директоров компании. Эти данные подлежат обязательному раскрытию.

СМИ активно пишут о появлении у таможенников информации о незадекларированных дорогих покупках за рубежом, в том числе таких, в отношении которых россияне возвращали НДС в аэропортах через систему tax free. 

С марта должна начать функционировать создаваемая Банком России, Роскомнадзором и Росфинмониторингом система учета замороженных активов лиц, подозреваемых в финансировании терроризма, – счетах в банках, микрофинансовых организациях, управляющих компаниях и операторах связи.

С 4 июня заработает «реестр дебоширов» - пассажиров авиакомпаний, которым может быть отказано в перевозке из-за хулиганства на борту. РЖД активно лоббирует создание аналогичной базы о дебоширах в поездах.

Расширение доступа к персональным данным как со стороны государственных органов и организаций, так и со стороны частных компаний

В соответствии с распоряжением Правительства РФ от 03.10.2017 № 2147-р, с 1 февраля ведомства смогут сами запрашивать некоторые документы с использованием единой СМЭВ, такие, как выписки из ЕГРН, ИНН, справки 2-НДФЛ и 3-НДФЛ, сведений о наличии решения о приостановлении операций по счетам налогоплательщика; учредительные документы в электронной форме и много другого.

С 26 декабря нотариусы получили доступ к государственной информационной системе миграционного учета и базовому государственному информационному ресурсу регистрационного учета граждан Российской Федерации по месту пребывания и по месту жительства.

Не заработала еще система удаленной биометрической идентификации в банках, не решены вопросы обеспечения ее безопасности, а к ней в 2019 готовятся подключиться страховые и управляющие компании, НПФ и микрофинансовые организации.

Но хватит примеров. Остановитесь и переведите дух. Это – только из одного месячного отчета. Одного!

В этом посте я не буду высказывать свое мнение о полезности и вреде всех этих изменений. Просто мир очень быстро меняется, и нам в нем жить.

Добро пожаловать в новый дивный мир!  

Биометрические персональные данные: что это?

После выхода информационного письма № 5 Ассоциации российских банков, в подготовке которого принимал участие и я, в ИБ-блогах Рунета активно обсуждаются отдельные его положения, в частности, у Игоря Бурцева, у Алексея Волкова, у Алексея Лукацкого, у BSAT devteam, наверное, где-то еще.

Не имея возможности участвовать в обсуждении проблем в каждом из этих мест, хотел бы высказать свою точку зрения только по одному из рассматриваемых в письме вопросов – относительно отнесения фотографических изображений к биометрическим персональным данным.

В письме АРБ разъясняется, что «фотография или видеозапись, на которой запечатлен человек, могут считаться биометрическими данными (является носителем биометрических ПДн) только в том случае, если они представлены в электронном виде и получены с применением специальных технологий и технических средств, позволяющих выполнять определенные требования, предъявляемые к форматам записи изображения (например, в случае фотографии установленные ГОСТ Р ИСО\ МЭК 19794-5-2006)».

При глубочайшем уважении к экспертам, подготовившим это разъяснение, и чиновникам, создавшим почву для него, категорически не могу с ним согласиться. И вот почему.

Основанием для такого критерия отнесения к биометрии, как соответствие ГОСТу, в письме № 5 называется ответ Роскомнадзора на запрос ЗАО «Коммерцбанк» от 05.04.2010 № ПК-05728.

Обратите внимание на дату письма. Направлено оно до принятия ФЗ-261 25.07.2011, который в новой редакции ФЗ-152 уточнил понятие биометрических персональных данных, регулируемых данным законом. Последние слова – ключевые. Мы сейчас говорим именно о тех данных, обработка которых регулируется ФЗ-152. А на самом деле их может быть гораздо больше, и признаки отнесения к ним надо искать совсем в других законах – о геномной и дактилоскопической регистрации, об основах здравоохранения, о въезде-выезде и т.д. В законе о персональных данных установлено три важнейших критерия, при соответствии которым обработку этой категории данных надо строить именно по ФЗ-152.

Биометрические персональные данные, обработка которых регулируется ФЗ-152, это данные:

·         которые характеризуют физиологические и биологические особенности человека;

·         на основе которых можно установить его личность;

·         которые используются оператором для установления личности субъекта персональных данных.

Все. Точка. Ни про какие ГОСТы в законе нет и не может быть ни слова. По одной простой причине. В соответствии с ФЗ «О техническом регулировании», стандарт – это документ, в котором в целях добровольного многократного использования устанавливаются характеристики продукции, правила осуществления и характеристики процессов эксплуатации, хранения,  выполнения работ или оказания услуг. Стандарт также может содержать правила отбора образцов, требования к терминологии, символике, упаковке, маркировке или этикеткам и правилам их нанесения.

И здесь ключевое слово – добровольного. Это подтверждено и в ст.12 данного закона: «Стандартизация осуществляется в соответствии с принципами добровольного применения документов в области стандартизации». Поэтому относить или не относить те или иные вопросы к регулируемым федеральным законом на основании положений ГОСТа никак нельзя.

Далее. Национальные стандарты могут использоваться полностью или частично в качестве основы для разработки проектов технических регламентов. Вот будет техрегламент по биометрическим данным – все станет просто.

Поэтому нет никаких оснований не считать биометрическими персданными фото в системе контроля управления доступом (СКУД), которые так модно стало ставить в офисах и на предприятиях. И СКУД, где есть фамилии работников, – это ИСПДн со всеми вытекающими. И если ФИО нет – тоже, но класса К4, поскольку произведено обезличивание персональных данных, и в системе невозможно определить принадлежность персональных данных конкретному субъекту без использования дополнительной информации.

Скан паспорта – тоже носитель биометрических персональных данных, обрабатываемых вне ИСПДН, но находящийся в систематизированном собрании банка, например, и поскольку существует четкий алгоритм поиска этих данных, их хранение или любая другая обработка подпадают под действие ФЗ-152. И фото в личном деле тоже, даже если его сделал фотограф, никогда не слышавший про ГОСТ, ИСО и МЭК. По той же причине – характеризует физиологические особенности, используется для идентификации и находится в систематизированном собрании.

Собственно, если посмотреть акты и предписания надзорных органов, именно это в них и пишется.

Можно затеять длинный спор про пропуска с фото (используются для идентификации, но находятся вне систематизированных хранилищ/картотек, непосредственно у работника), но это отдельная песня.

Так что я не стал бы обольщаться и откладывать проблему с фото в долгий ящик, надеясь на то, что все проверяющие согласны с позицией уважаемого профессионального сообщества. Особенно если это происходит не в банке, а на заводе или в турфирме, где заступиться за оператора, кроме суда, некому.

Мне кажется, в данном случае проще выполнить закон.

Достойное занятие для надзорных органов

История развивается по спирали. И вот новый виток. На смену сайтам с базами данных россиян Sherlok и Radarix пришел новый ресурс RusLeaks на трех зеркалах в зонах .com, .org и .net. Кстати, для справки. Управление «К» МВД еще в 2004 г. гордо доложило о прикрытии сайта Sherlok.ru, а он жив и здоров.

На RusLeaks размещено 185 баз со сведениями о российских гражданах, большинство из которых не старше 2004-2005 гг. Не хочу обсуждать вопрос, «кому и зачем это нужно». Благоглупости создателей сайта про борьбу с коррупцией оставим на их совести или спишем на воспаленное воображение. Проверил сведения о себе. Если знание того, куда я шесть раз летал на самолете в 2006 г., способствуют победе над самой страшной бедой России, я не возражаю, пусть там данные лежат.

Я о другом. Интернет трубит, блоги дымятся, форумы захлебываются.

Гробовое молчание хранят лишь те, кто поставлен государством за наши с вами деньги налогоплательщиков следить за соблюдением наших же прав. Уполномоченный орган по защите прав субъектов отнюдь не торопится встать на их защиту. А ведь, значительно расширив ФЗ-294, чего у Роскомнадзора никто не просил, наш защитник добавил в Административный регламент в качестве основания для проведения внеплановых проверок получение информации из средств массовой информации о нарушении прав и законных интересов граждан действиями операторов при обработке их персональных данных. Уж раз добавили, надо выполнять. Первые сообщения в СМИ появились в прошедший четверг. Пора бы и среагировать.

Безмолвствует Прокуратура, задача которой – осуществлять надзор за соблюдением прав и свобод человека и гражданина. Не отвечает на звонки Forbes Управление «К» МВД - главный орган в противодействии высокотехнологичным преступлениям. Ни под каким видом не комментируют произошедшее ФСБ, МВД, налоговая инспекция и ФАС, чьи, пусть и устаревшие, сведения, выброшены в открытый доступ.

Порадовали меня, как клиента, своим глубоким знанием закона представители банка ВТБ, чьи данные тоже стали доступны: «Банк несет ответственность только в том случае, если доказано, что он распространял сведения о клиентах по собственной инициативе». Правда? А в законе «О персональных данных» написано совсем не так: «Оператор при обработке персональных данных обязан принимать необходимые правовые, организационные и технические меры или обеспечивать их принятие для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных». И про инициативу оператора нет ни слова.

А утечка-то - значительная. Как там в «приказе трех» о классификации ИСПДн? Сделаны общедоступными данные в информационной системе (а поскольку интерфейс поиска на сайте RusLeaks общий, вся совокупность размещенных на нем баз данных – это одна ИСПДн), для которой нарушение заданной характеристики безопасности обрабатываемых персональных данных может привести к «значительным негативным последствиям» для субъектов персональных данных. И сделаны общедоступными отнюдь не субъектом и без его письменного согласия.

Вот они, значительные негативные, и наступили. И что?

Понимаю, что проверять Мильковскую сельскую школу в камчатской глуши или сельхозтехникум в Туве по проблемам возможного использования ими криптографии для защиты персданных учащихся значительно проще и приятнее. Как и требовать соответствия письменного согласия пациента закону в кожно-венерическом диспансере или выписывать штрафы за отсутствие уведомления или его несоответствие чему бы то ни было.

Cлучился как раз тот случай, ради которого писался закон, и пора всю государственную машину развернуть на пресечение наглого, грубого и демонстративного его игнорирования. Пусть для этого необходимо связаться с властями Швеции или других стран, где размещены сервера, добиться прекращения противоправной деятельности и выполнить все необходимое для восстановления попранных прав российских граждан. И не забыть проинформировать о принятых мерах налогоплательщиков.

Каждый должен отрабатывать свой хлеб. А иначе – за что мы платим налоги?

Технический дефолт

Я не про отказ от выполнения финансовых обязательств. Слово default имеет разные значения. В данном случае речь пойдет о сознательном отказе от выполнения требований. Догадались? Требований по технической защите персональных данных.

Принятие поправок в ФЗ-152, похоже, начинает давать эффект, прямо противоположный целям, поставленным авторами статей 18 прим и 19 в новой редакции закона. В ходе переговоров с заказчиками выясняется, что люди, от которых в конечном итоге зависит выделение бюджетов, категорически отказываются обсуждать реализацию мер технической защиты. Правовые меры – пожалуйста, давайте поговорим. Организационные? Доработка локальных нормодоков, разработка политики оператора? А что Вы конкретно предлагаете? Ваша оценка стоимости?

Техническая защита? Стоп. На основании каких нормативно-правовых актов Вы предлагаете определять меры по технической защите?

Квинтэссенция – вникание юристов из служб правового обеспечения заказчиков в проблемы выдвижения требований по таким ранее неведомым для них вопросам, как уровни криптографической защиты персональных данных, специальной защиты от утечки по каналам побочных излучений и наводок и защиты от несанкционированного доступа. Они уже знают про печальный конец «четырехкнижия» ФСТЭК, отмененные требования об обязательности аттестации ИСПДн, о порядке выбора межсетевых экранов и IDS/IPS в зависимости от класса системы.

Держатели бюджетов компаний, не имеющих и не намеревающихся получать лицензии на работу с гостайной, интересуются, в каких конкретно актах установлен особый порядок допуска к документам, содержащим обязательные для выполнения требования. Нет конкретного ответа – нет бюджета. До принятия правительством России актов, определяющих уровни защищенности персональных данных, требований к их защите и видов деятельности, при осуществлении которых осуществляется надзор со стороны ФСБ и ФСТЭК, обсуждение вопросов технической защиты они считают нецелесообразным. И их можно понять.

Ситуация складывается аховая.  Если про консалтинг по поводу правовых и организационных мер с заказчиками говорить можно, и он видится востребованным, то по поводу технического проектирования настрой руководителей и владельцев бизнеса – резко отрицательный. И они его не скрывают, демонстрируя готовность перенести обсуждение в суд. Достали их. 

Поговорим «по понятиям»

Занимаюсь коренной переработкой своих авторских курсов по тематике защиты персональных данных. Изменений много, и не только в ФЗ-152, и чем дальше влезаешь, тем сложнее видится ситуация.

В качестве одного из аргументов в пользу новой редакции закона «О персональных данных» очень часто приводится тезис о совершенствовании понятийного аппарата. В значительной степени готов согласиться с этим утверждением, но некоторые моменты существенно уменьшают оптимизм.

Давайте поговорим о терминах и определениях нового закона – ведь от понятийной базы зависит многое, если не все, в последующем правоприменении.

Что же изменилось и как? И что не изменилось, хотя и нуждалось в этом?

Анализировать будем не «вообще» и не на тему, как закон соответствует духу новых европейских документов или что об этом когда-нибудь напишут в NIST, BSI или ISO, а конкретно.

Вроде бы все уже согласились с очевидным: плохо это или хорошо, ФЗ -152 заточен на проверку выполнения формальных требований, а не на реакцию на инциденты с персданными. В данной ситуации главное - что подлежит контролю  и надзору. Цитирую ФЗ-294 в последней (как и в предыдущей) редакции: «Предметом плановой/внеплановой проверки является соблюдение юридическим лицом, индивидуальным предпринимателем в процессе осуществления деятельности обязательных требований». Про муниципальные требования пропустим, поскольку к делу не относятся.

Мой главный аргумент против закона я уже много раз озвучивал. Он связан с тем, что оператор может, а что - должен. Поэтому не разделяю энтузиазма по поводу новой статьи 18прим. ИМХО, она ужасная...

Часть первая. [Оператор] Самостоятельно определяет меры... Счастье. И, там же, "к мерам могут относиться" - опубликование политики в том числе. МОГУТ!

Часть вторая. "Оператор обязан опубликовать или иным образом обеспечить неограниченный доступ к документу, определяющему его политику". Так «могут» или «обязан»? Задумчивость.

Часть четвертая. "Оператор обязан представить документы и локальные акты, указанные в части 1 настоящей статьи, и (или) иным образом подтвердить принятие мер, указанных в части 1 настоящей статьи, по запросу уполномоченного органа по защите прав субъектов персональных данных". Если могут, то как же обязан представить? Взрыв мозгов и торжествующий инспектор на пороге...

Ст.22прим. "Оператор, являющийся юридическим лицом, назначает лицо, ответственное за организацию обработки персональных данных". Подождите, в 18прим мог назначать?

Про техническую защиту вообще молчу - будем ждать подзаконных актов.

Основное. Определение персональных данных стало другим. Определение базовое, краеугольное и основополагающее. Как в Конвенции, убеждают нас сторонники новой редакции закона. «Персональные данные - любая информация, относящаяся к прямо или косвенно определенному или определяемому на основании такой информации физическому лицу (субъекту персональных данных)».

Меня лично слово «косвенно» просто убивает. Никогда не понимал, что такое «обезличенные персональные данные» в «приказе трех», исходя из закона, и считая, что если обезличены – значит, не персональные. Наивности пришел конец. Теперь все попытки заменить ФИО на табельный номер, условный код или номер договора в ИСПДн могут оказаться бесполезными – косвенно, с использованием другой ИСПДн, все определяется.

И не надо кивать на Европу.  Правило, выведенное отнюдь не россиянами, «что русскому здорово, то немцу смерть», имеет и обратную силу. Может, у них это и катит. Учитывая, что у нас про способы обезличивания ни в одном нормативно-правовом акте нет ни слова, боюсь, что с таким определением о поблажках, предусмотренных для К4, придется забыть. Посмотрим.

В законе вводится 13 видов обработки персданных, а, с учетом подвидов, - 18: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение. При этом прямо определяются только пять видов обработки (распространение, предоставление, блокирование, уничтожение, обезличивание). Про сбор, хранение, уточнение, изменение, доступ, передачу и удаление можно догадаться, читая внимательно другие статьи закона. А вот что такое запись, систематизация, накопление, обновление, извлечение, использование – об этом вообще в законе нет ни слова. В предыдущей редакции определение «использования» было одним из базовых понятий, поскольку именно этот вид обработки приводил к принятию решений в отношении субъекта персональных данных, совершению «иных действий, порождающих юридические последствия в отношении субъекта персональных данных или других лиц, либо иным образом затрагивающих права и свободы субъекта персональных данных или других лиц». Теперь что такое использование – неизвестно. Кроме того, в законе упоминаются, но не определяются такие виды обработки, как опубликование, (обязательное) раскрытие, очень важные для понятия общедоступных данных.

Мелочи, придирки? Не совсем. Такое пренебрежение может приводить к абсурду.

Например. Сбор персданных – это тоже обработка. Но в ст.18 (как раньше, так и сейчас), оператор, в случае, если персданные получены не от самого субъекта, до начала обработки его данных обязан предоставить субъекту определенную информацию. Это как? Получив «черный ящик», найти того, про кого в ящике написано? Для многих этот пункт является камнем преткновения. Как, не обрабатывая данные, связаться с субъектом?

Или другой пример. Блокирование – тоже вид обработки. Читаем определение: «Блокирование - временное прекращение обработки персональных данных». Т.е. обработка заключается в прекращении обработки?

Выливается эта неряшливость терминов в неопределенность действий оператора в случаях, прямо связанных с его непосредственными обязанностями. Ст.21 предлагает в первой-третьей частях сразу два сценария поведения оператора при выявлении неправомерной обработки персональных данных. Если по этому поводу обратился субъект (его представитель, уполномоченный орган) (часть 1), данные надо блокировать и уточнить. А если просто обнаружился факт неправомерной обработки (часть 3 - про обращение субъекта – ни слова, , тогда, интересно, как он обнаружился?), обработку данных надо прекратить и их уничтожить.

Так как правильно? Тождественны ли блокирование и прекращение обработки? Если да, почему в двух частях одной статьи используются разные термины? Вопросы без конца… Проверяющие на пороге…

И в заключение. Новая часть 2 прим статьи 25 закона в новой редакции: «Операторы, которые осуществляли обработку персональных данных до 1 июля 2011 года, обязаны представить в уполномоченный орган по защите прав субъектов персональных данных сведения, указанные в пунктах 5, 7прим, 10 и 11 части 3 статьи 22 настоящего Федерального закона, не позднее 1 января 2013 года».

Все операторы? Даже те, кто не представлял уведомление ранее и не обязан по закону уведомлять Роскомнадзор вообще? Из текста статьи вытекает, что – да, должны! Тогда это новое слово в законе. Принципиально новое. Статья 19.7. Непредставление сведений (информации) КоАП заплакала обо всех юрлицах, адвокатах, нотариусах, журналистах и прочих операторах персданных нашей страны. Очень горькими слезами.

Подробный анализ всего этого – на обновленных курсах и семинарах.

Поставщик ИСПДн о защите персональных данных и ФЗ-152: в каком мире он живет?

Похоже, тема параллельных миров в нашей замечательной стране для меня становится то ли трендом, то ли проклятием. Случайно наткнулся в Интернете на статью «Банки не созрели для соцсетей». Заинтересовался очередными откровениями очередного успешного менеджера – уж очень тема увлекательная.

Мария Бар-Бирюкова, директор направления Microsoft Dynamics CRM компании «КОРУС Консалтинг», делится с нами на сайте banki.ru своим видением сращивания систем дистанционного банковского обслуживания (ДБО) и социальных сетей. Такое впечатление, что активное обсуждения ФЗ-152 и проблем безопасности социальных сетей проходило в каком-то другом, недоступном ей мире.

После четырех с лишним лет действия Федерального закона «О персональных данных» от Марии мы сможем узнать:

·          что у нас есть закон о защите персональных данных. Мария, нет такого закона! Ну, загляните в «Консультант» или «Гарант», уж если даете интервью!  

·          что он вступает в силу 1 июля 2011 года. Мария, он действует вот уже 4 года и 5 месяцев! 1 июля истекает срок приведения информационных систем персональных данных (ИСПДн) в соответствие с законом. Если Вы не знаете,  система управления взаимоотношениями с клиентами (CRM) – это и есть ИСПДн в самом что ни на есть чистом виде. И в соответствии с «Положением об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных» (Постановление Правительства РФ 2007 г. №781), «работы по обеспечению безопасности персональных данных при их обработке в информационных системах являются неотъемлемой частью работ по созданию информационных систем». То есть, строго говоря, именно на этапе внедрения CRM и должны приниматься меры по защите персональных данных;

·          что «этот закон также является препятствием для получения сведений без согласия человека». Вообще-то препятствием является Конституция РФ, в соответствии со ст.24 которой сбор, хранение, использование и распространение информации о частной жизни лица без его согласия не допускаются;

·          что люди не всегда хотят, чтобы о них знали слишком много, особенно о том, что считают самым сокровенным, — о деньгах. Без этих откровений мы все наивно полагали, что люди всегда хотят, чтобы об их деньгах знали все. Совет Марии банкам «заботиться о максимальном удобстве, качестве, быстроте обслуживания клиента и безопасности его данных» выглядит ну просто открытием;

·          что «социальные сети – это прекрасный источник новой информации о клиентах, но при этом надо помнить, что информация из социальных сетей не всегда может быть достоверна, а ее некорректное использование приведет к нарушению закона о защите персональных данных, а также двух статей Уголовного кодекса (137-й и 272-й), не говоря уже о том, что репутация будет подмоченной». Очень интересно, как при получении информации из открытого источника (социальная сеть), выложенной самим субъектом персональных данных, деяние может быть квалифицировано как «незаконное собирание или распространение сведений о частной жизни лица, составляющих его личную или семейную тайну, без его согласия» (ст.137 УК) или, что еще более интересно, как «неправомерный доступ к охраняемой законом компьютерной информации» (ст.272 УК).

Вывод из всего этого просто потрясает своей глубиной: «Многие специалисты считают, что проблема «прайвеси» в Сети постепенно исчезнет, так как сохранением личных данных в неприкосновенности в основном озабочено старшее поколение пользователей, выросшее «до Интернета», а современная молодежь спокойно относится к интернет-прозрачности». То есть наступит коммунизм в самом что ни на есть классическом понимании: все станет общим. Деньги – тоже.

Хорошо бы поставщику ИТ-решений для бизнеса почитать законы и разобраться в вопросе, каким образом извлечение прибыли как основная цель деятельности его клиентов согласуется со «спокойным отношением» к Интернет-прозрачности их банковских счетов.

Все смешалось в доме Облонских

Рунет подозрительно молчит. А между тем, на ниве персданных появились какие-то новые и неожиданные всходы.

После загадочного заявления о наличии у Минкомсвязи собственного варианта ФЗ-152 «О персональных данных» и безуспешных поисков его следов в Думе повторное внесение законопроекта  «через Президента» потеряло всякий смысл. Если чего-то нет, его надо создать! Быстро, как никогда, появляется поручение Президента от 2 июня «Ускорить приведение законодательства Российской Федерации в соответствие с требованиями Конвенции Совета Европы «О защите физических лиц при автоматизированной обработке персональных данных», предусмотрев устранение необоснованных обременений для операторов персональных данных».

Выбор исполнителей этого поручения как-то озадачил. Относительно непосредственного руководителя главного защитника прав субъектов г-на Ситникова, министра всея связи и коммуникаций Щеголева и руководителя уполномоченного органа в области безопасности Бортникова особых вопросов нет – их ведомствам (или находящимся в их глубине структурам) законам нарезаны определенные обязанности, права и полномочия. А вот как в этой компании модернизаторов закона оказалось МВД и его руководитель – большой вопрос. Что это? Радикальная смена парадигмы? Новое течение? А что, собственно, должно по этому поводу предложить МВД, функции которого в реализации прав субъектов равны нулю? Активизировать применение ст.137 УК, карающей за незаконный сбор сведений о частной жизни граждан? Или установить новый порядок  проверки персданных южных гастарбайтеров при входе в московское метро? Ну, прост-таки революция!

Вызывает также вопросы требование о приведении нашего законодательства в соответствие с Конвенцией Совета Европы. Весь пафос ФЗ-152 был как раз в том, что мы ее ратифицировали и приняли локальный закон, обеспечивающий правоприменение Конвенции в России. Ан нет?

Масло в огонь подливает заверение общественности со стороны помощника Президента г-на А. Дворковича о том, что больше переносов сроков приведения ИСПДн в соответствие закону (уж какому есть) не будет, если верить Twitter.

Так что вырисовывается новый сценарий. Законопроект Резника – под сукно (или в долгий ящик), срочное создание нового проекта правительства с участием трех указанных выше структур (возможно, не только их), отсутствие отсрочек. При этом, несмотря на явное признание несовершенства закона и наличие обременений для операторов, на второе полугодие проверки защиты персданных в ИСПДн по линии ФСТЭК запланированы и в сводном плане Генпрокуратуры есть. И органы ФСБ тоже предусмотрели проверки «выполнения оператором персональных данных требований по обеспечению безопасности информации с применением шифровальных (криптографических) средств», например, в Управлении Роскомнадзора по Хабаровскому краю. А вот про административные регламенты проверок ФСБ и ФСТЭК пока не слышно.

Сложная закручивается интрига.

Персональные данные: технари наконец-то передают эстафетную палочку юристам

Встречи с  представителями российских банков на семинаре «Сложные проблемы применения законодательства о персональных данных в кредитно-финансовых учреждениях» подтверждают вывод, сделанный ранее и ставший причиной создания этого семинара – проблема соответствия российскому законодательству о персональных данных медленно, но уверенно выводится из ведения специалистов по информационной безопасности и уходит к профессиональным юристам. Т.е. то, что выглядело наиболее логичным с момента принятия закона, со значительным опозданием, но все-таки происходит.

Отбросив явно завышенные требования регуляторов к технической защите в их первых нормативно-методических документах, можно спокойно констатировать, что ничего принципиально нового с точки зрения механизмов защиты информации от операторов никто и не требует. Камнем преткновения остается обязательность сертификации СЗИ, особенно на отсутствие недекларируемых возможностей (НДВ). Но Постановление Правительства № 330-2010, фактически единственный нормативно-правовой акт, где прямо говорится об обязательной сертификации, так и не стало доступным, и большинство операторов махнули на него рукой – невидимый объект не существует. А сертификация на отсутствие НДВ с легкой руки Банка России, движение которой оставило яркий след в СТО БР ИББС, обходится просто и элегантно – по формальным признакам ИСПДн относится к специальным, и тогда вопрос об отнесении ее к конкретному классу является предметом бесконечной дискуссии, поскольку регуляторы ничего внятного по этому поводу так и не сказали. Любое экспертное мнение имеет право на жизнь, но это все-таки не более чем мнение одного конкретного человека.

Все остальное решается более или менее просто, продуктов на рынке достаточно, есть известные «дыры» в требованиях типа проблем безопасности в виртуальной среде или при терминальном доступе, но они существуют и без персональных данных, и решать их так или иначе придется все равно.

С правовыми проблемами гораздо хуже. Они оставались в тени, несмотря на периодические вопли технарей, а сейчас стали выдвигаться на первый план, во многом – благодаря активности Роскомнадзора и его территориальных управлений.

Надо ли получать согласие пациента районной больницы на обработку его персональных данных? Если да, то кому? В каких отношениях с точки зрения ФЗ-152 находится средняя школа, ее ученики и их родители? Должен ли банк иметь подтверждаемое согласие на обработку персональных данных плательщика и получателя при отплате товаров и услуг без открытия банковского счета?  Надо ли и можно ли уведомлять выгодоприобретателя по вкладу об обработке его персональных данных банком, если на это нет согласия вкладчика? Является ли медсестра, вносящая под диктовку врача сведения в историю болезни, «лицом, профессионально занимающимся медицинской деятельностью и обязанным в соответствии с законодательством Российской Федерации сохранять врачебную тайну»?

Вопросы, первоначально обрушившиеся на совершенно не готовых к ним специалистов по информационной безопасности, наконец-то стали обсуждаться юристами. В последнее время на моих семинарах в среднем был только один технарь из 20 участников-юристов или кадровиков. И очень здорово, что совместными усилиями с правоведами мы выяснили, что персональные данные клиентов банка ни в коем случае нельзя уничтожать в течение трех суток после прекращения договора о предоставлении банковских услуг, поскольку сроки исковой давности требуют их хранения в течение трех лет. Налоговый кодекс, если банк выполнял функции налогового агента, предусматривает четыре года хранения, а закон о противодействии отмыванию незаконно полученных доходов (115-ФЗ) предусматривает, что копии документов, необходимых для идентификации личности клиента банка, подлежат хранению не менее пяти лет со дня прекращения банком отношений с ним. Причем преждевременное уничтожение этих сведений может стать основанием для привлечения к административной и даже уголовной ответственности.

Мы выстроили схему ухода под законодательство об архивном деле для реализации принципа «Знай своего клиента» без нарушений ФЗ «О персональных данных» и придумали рецепты лечения многих других болезней или их симптомов, спровоцированных непроработанностью 152-ФЗ. Без острых, нелицеприятных вопросов правоведов это было бы невозможным. Есть описанные проблемы, есть формализованные пути их решения, объем которых с каждым новым семинаром растет.

Наступает время, когда пироги будет печь пирожник, а сапоги тачать сапожник. Ну, а те, кто успел освоить и то и другое, активно в процессах поучаствуют.