На пути к безопасному Интернету

Среди того, что я переношу крайне плохо, особое место занимают хамство и воровство. К сожалению, Интернет, предоставляя фантастические возможности в поиске и распространении информации, от этих двух явлений никакой защиты не предусматривает. Более того, анонимность и доступность Интернета часто не просто создают для них условия, но и провоцируют их.

Я не являюсь сторонником идеи о создании какой-то новой, «белой и пушистой» глобальной сети, где строго поименованные паиньки будут мило общаться по самым высоким стандартам английской вежливости, не будут выкладывать чужие объекты интеллектуальной деятельности и ворованные тексты, а запрет на анонимность уничтожит фальсификацию и дезинформацию. Просто не верю в это.

Поэтому решать проблемы придется самим пользователям. Об одном из таких решений – авторской социальной сети «Цифровой автограф» я написал статью в рамках партнерства с ее создателем - компанией «Сигнал-КОМ». И разместил ее в этой самой авторской сети. 

Планирую там же выкладывать и другой накопившийся и создаваемый контент – блоги, фото, видео. С факсимильным автографам и электронной подписью. И раздавать его друзьям и знакомым с дарственными надписями и пожеланиями. Идея показалась мне весьма интересной. А пока приглашаю почитать статью в мультимедийном формате. 

СМС-оповещения о движении средств по счету: всегда ли это безопасно

Купил как-то в Штатах местную SIM-карту. И стали с тех пор на мой номер приходить СМС-ки о состоянии текущего банковского счета прежнего владельца телефонного номера и движении средств по нему в Bank of America. Примерно такие.

Посмеялись мы над забывчивостью владельца, не сообщившего в банк о смене номера мобильного телефона, и, как казалось, история на этом и закончилась.

Но, оказывается, есть банки, с которыми в такие игры лучше не играть.

Примерно такая же история, что и со мной, приключилась с одной юной особой, и не в Америке, а на родных просторах. И банк был несколько другой. И стал он девушке не только об операциях по счету кредитной карты сообщать, но и настойчиво предлагать воспользоваться  услугами «Мобильного банка». Если так предлагают, то почему бы не воспользоваться? Оказалось, чтобы денежки со счета забывчивого предыдущего владельца перевести на свой счет не просто, а очень просто. Надо на заветный короткий номер отправить распоряжение в виде СМС о переводе средств ну, например, на лицевой счет этой самой SIM-карты. И все! Банк, в глаза не видевший ни девушку, ни кредитную карту в ее руках, карточный счет благополучно обнулил, пополнив телефонный счет на ту же сумму. Ну, а дальше еще проще – девушка бежит в «Юнистрим» и полученную сумму благополучно обналичивает.

А банк сообщает о переводе средств не только авантюристке, но и владельцу кредитной карты. Наличие двух номеров, привязанных к счету, и, соответственно, двух подключений «Мобильного банка» к двум разным симкам банк все это время (2,5 года с моменты смены владельцем телефонного номера) нисколько не смущали. На два номера рассылать – так на два. С двух номеров получать распоряжения по средствам – ничего особенного, можем и с двух.

Интерес появился только после опустошения счета и жалобы клиента. Предприимчивая новая владелица SIM-карты свои данные указала честно, ее вычислили, нашли и осудили за кражу по пункту «в» части 2 ст.158 УК (в) (причинение значительного ущерба гражданину). Дело было в богоугодном Дивееве, и, видимо, близость святого места к районному суду сделала самый гуманный суд в мире гуманным до крайности. При максимальном штрафе по этой части статьи в 200 тысяч рублей суд ограничился наказанием в 5 тысяч, то ли посчитав, что сам по себе процесс поспособствовал полному  исправлению, то ли войдя в тяжелое материальное положение воришки, покусившейся аж на 18 с небольшим тысяч. Даже КоАП за мелкое хищение (до 1 тысячи рублей) предусматривает штраф не менее этой самой тысячи до пятикратной стоимости похищенного имущества.

О частном определении  в отношении банка, предоставившего такие невиданно простые возможности для хищения чужого имущества, ничего не сообщается. Видимо, его и не было. О том, что банк после этого перестроил систему мобильного управления счетами, тоже сведений не поступало. В результате возникает вопрос, способствует ли подобный приговор предотвращению краж и не возникает вопрос о том, почему банки так настойчиво добивались (и добились) переноса срока вступления в силу статьи 9 нового 161-ФЗ «О национальной платежной системе», обязывающей возместить клиенту сумму операции, совершенной без согласия клиента после получения уведомления об этом в установленный срок.

В общем, будьте бдительны. Тем более что мошенники ищут все новые и новые способы изъятия денежных средств со счетов и на каждую новую защитную меру в системах дистанционного банковского обслуживания (ДБО) и электронных платежей находят свои контрмеры. Вот и Брайан Кребс, эксперт по компьютерной безопасности, сообщает, что для коммуникаторов на Android’е создана вредоносная программа Perkele, перехватывающая СМС-сообщения, передаваемые системами ДБО. Программа заточена под интернет-банкинг 69 конкретных банков 10 стран (России в этом списке пока нет, а вот относительно зарубежных банков, работающих в России и использующих родные системы ДБО, этого уверенно сказать нельзя). Perkele работает с другой вредоносной программой, которая меняет инструкции в банковском клиенте на смартфоне и от его имени требует установки для двухуровневой аутентификации дополнительную программу (естественно, Perkele). Кребс сообщает, что версия программы для атаки на клиентов одного банка стоит всего тысячу долларов, а полная версия (для 69 банков) – пятнадцать тысяч.

Будьте бдительны!

Бойся инсайдера, в банк приходящего

На пост сподвигли три события. Бурное обсуждение под Магнитогорском безопасно-банковских проблем, в отношении которых есть возможность мнить себя стратегом, видя бой со стороны (в основном, в изложении Алексея Лукацкого). Круглый стол по безопасности систем дистанционного банковского обслуживания на Инфофоруме. И, наконец, последний отчет о правоприменении законодательства о персональных данных за январь 2013 года, который специалисты нашего агентства подготовили для своих клиентов-банков.

Возник какой-то внутренний диссонанс. Представители банковского сообщества в один голос винят во всех смертных грехах «самое слабое звено» - клиента, который неправильно, неумело, коряво и даже просто преступно пользуется предоставленным банком отличным инструментом под названием ДБО, или «клиент-банк», или интернет-банкинг, в результате чего некие злые хакеры или просто плохие парни захватывают контроль над клиентской машиной и от имени клиентов выводят денежки куда-то в «голубое нигде». А потом имеет наглость ждать вступления в силу пресловутой 9-й статьи 161-ФЗ с тем, чтобы заставить банк оплатить свое же головотяпство. При этом, правда, рассказывать клиенту о рисках в полном объеме как-то не комильфо, а то он уйдет к менее щепетильному конкуренту-молчуну. Да и оплачивать повышение осведомленности хорошо бы государству – это же его граждане портачат.

Но вот читаю ежемесячный отчет. И не в первый раз за последний год (я как-то писал на эту тему)  поражаюсь количеству мошенничеств, совершаемых инсайдерами. Т.е. вполне себе легитимными пользователями АБС и прочих банковских систем, где хранится и обрабатывается информация о клиентах, их счетах и с использованием которых совершаются транзакции. Теми, кто после неких проверочных мероприятий (в свете 152-ФЗ не вполне законных обычно, но также обычно проводимых) был принят на работу, которым предоставили доступ к информационным системам (т.е. к деньгам, вроде бы виртуальным, но вполне себе конвертируемым в наличность) и доверили банковскую и коммерческую тайну, да еще и персональные данные до полного комплекта, положили не самую маленькую в стране зарплату и пустили в огород.

А что же они, неблагодарные? Воруют. Деньги – банка и клиентов. Идентификационные данные – пользователей ДБО. Сведения о пластике, позволяющие выпустить карту-двойник или оплатить покупки через Интернет. И вообще, все что плохо и даже хорошо в банке лежит.

Вот сотрудница некоего смоленского банка, к своим 21 годам доросшая аж до кредитного инспектора, несмотря на столь юный возраст отлично приноровилась оформлять кредиты по неизвестно как добытым ее сообщником паспортным данным, приобретать на них не самую дешевую бытовую технику и сбывать ее.

Вот в неведомом мордовском Ковылкине ее коллега запугала пенсионерку, которая уже оформила все документы на кредит, да так, что дама от займа отказалась, а кредит получила сама, предоставив 57-летней несостоявшейся клиентке возможность возвращать банку 90 тысяч рублей.

В подмосковной Рузе менеджер по продажам финансовых продуктов (кредитов) ЗАО «Связной Логистика» оформляла кредитные карты на бывших покупателей, чьи данные остались в базе, и, естественно, сама же их и обналичивала, заработав таким нехитрым способом 700 тысяч рублей.

Менеджер группы отдела обслуживания физических лиц солидного западного банка, работающего в России, вошел в состав преступной группы, главную скрипку в которой играли полицейские, разыгрывающие сложные костюмированные спектакли со снятием наличных по поддельным документам, которые были оформлены на лиц, внешне похожих на VIP-клиентов банка. Сведения о них как раз менеджер и поставлял. Поскольку операция была сложной и многоходовой, ребята не мелочились и снимали суммы миллионов так по 12.

А уж когда за дело берутся инсайдеры на позициях топ-менеджеров банка, масштаб воровства становится соответствующим. Вслед за лишенным лицензии «Трансэнергобанком», феерически быстро оформившим задним числом вклады на безумную сумму группе подельников, прибежавших в Агентство по срахованию вкладов за «полагающимися» пайками, аналогичную комбинацию попытался провернуть АКБ «Экспресс» из солнечного, но загадочного Дагестана.

Это итоги одного месяца. Может, стоит подумать о том, что  слабое звено – не обязательно вне банка? И что масса людей, находящихся к деньгам гораздо ближе клиентов, и к значительно бОльшим деньгам, могут нанести гораздо более значительный ущерб своему работодателю, чем клиенты, для которых механизм возврата средств по мошенническим операциям вновь отодвинут на год? Может, что-то не так в консерватории? Не случайно заместитель начальника ГУБЗИ Банка России А.Сычев говорил о требованиях к DLP- системам, учитывающим банковскую специфику. Враг внутренний всегда гораздо опаснее внешнего.

Защита «на глазок»

Михаил Емельянников, управляющий партнер агентства «Емельянников, Попова и партнеры», — о ситуации вокруг Постановления Правительства РФ № 1119

Николай Смирнов, «Директор информационной службы», № 01, 2013

В но­яб­ре 2012 года всту­пи­ло в силу По­ста­нов­ле­ние Пра­ви­тель­ства РФ № 1119 «Об утвер­ждении тре­бо­ва­ний к за­щи­те пер­со­наль­ных дан­ных при их об­ра­бот­ке в ин­фор­ма­ци­он­ных си­сте­мах пер­со­наль­ных дан­ных». Со­глас­но его тре­бо­ва­ни­ям, опе­ра­то­ру пред­ла­га­ет­ся са­мо­сто­я­тель­но опре­де­лить тип угроз без­опас­но­сти пер­со­наль­ных дан­ных, ак­ту­аль­ных для ин­фор­ма­ци­он­ной си­сте­мы. В по­ста­нов­ле­нии при­ве­де­ны три типа угроз, два из ко­то­рых свя­за­ны с на­ли­чи­ем недо­ку­мен­ти­ро­ван­ных воз­мож­но­стей в ПО. Про­ком­мен­ти­ро­вать из­ме­не­ния и ре­ак­цию на них со сто­ро­ны рос­сий­ско­го биз­не­са мы по­про­си­ли Ми­ха­и­ла Еме­льян­ни­ко­ва, управ­ля­ю­ще­го парт­не­ра кон­сал­тин­го­во­го агент­ства «Еме­льян­ни­ков, По­по­ва и партнеры».

Что но­во­го при­внес­ло По­ста­нов­ле­ние № 1119 в пра­во­вой ланд­шафт РФ?

По­ста­нов­ле­ние при­внес­ло, к со­жа­ле­нию, очень много неожи­дан­но­го. Во-пер­вых, оно по­ка­за­ло, что от­вет­ствен­ным струк­ту­рам можно не вы­пол­нять тре­бо­ва­ния фе­де­раль­но­го за­ко­на и не раз­ра­ба­ты­вать в со­от­вет­ствии с ним под­за­кон­ные акты, а пе­ре­кла­ды­вать ре­ше­ние про­блем на биз­нес. Как из­вест­но, имен­но го­су­дар­ствен­ные ор­га­ны и обя­за­ны со­здать пра­ви­ла, вы­пол­няя ко­то­рые, сле­ду­ет со­блю­дать закон.

Кроме того, об­на­ру­жи­лось, что каж­дый за­ве­ду­ю­щий дет­са­дом, глав­врач или ди­рек­тор ма­га­зи­на долж­ны от­лич­но по­ни­мать, что такое неде­кла­ри­ро­ван­ные воз­мож­но­сти си­стем­но­го и при­клад­но­го про­грамм­но­го обес­пе­че­ния. В за­ви­си­мо­сти от этого по­ни­ма­ния и оцен­ки уров­ня воз­мож­но­стей по­тен­ци­аль­но­го взлом­щи­ка ком­пью­те­ров им пред­ла­га­ет­ся при­ни­мать ре­ше­ния, по­рож­да­ю­щие для вве­рен­ной ор­га­ни­за­ции юри­ди­че­ские последствия.

Что еще пе­чаль­нее, был на­пи­сан до­ку­мент, опре­де­ля­ю­щий по­ря­док за­щи­ты от при­ду­ман­ных ре­гу­ля­то­ра­ми угроз, но не на­зван ни один спо­соб за­щи­ты от них, что опять-та­ки пе­ре­кла­ды­ва­ет про­бле­му на того, кто дол­жен до­ку­мент исполнять.

Как свя­за­но По­ста­нов­ле­ние № 1119 с Фе­де­раль­ным законом

№ 152-ФЗ «О пер­со­наль­ных дан­ных»? И как его вы­пол­не­ние от­ра­зит­ся на тех пред­при­я­ти­ях, ко­то­рые уже по­ста­ра­лись при­ве­сти свои ин­фор­ма­ци­он­ные си­сте­мы в со­от­вет­ствие с су­ще­ство­вав­ши­ми ранее требованиями?

Закон и по­ста­нов­ле­ние свя­за­ны очень четко: по­ста­нов­ле­ние раз­ра­бо­та­но в со­от­вет­ствии с тре­бо­ва­ни­я­ми части 3 ст.19 за­ко­на. Вот толь­ко преду­смот­рен­ный за­ко­ном учет воз­мож­но­го вреда субъ­ек­ту пер­со­наль­ных дан­ных, а также вида де­я­тель­но­сти, при осу­ществ­ле­нии ко­то­ро­го об­ра­ба­ты­ва­ют­ся пер­со­наль­ные дан­ные, в по­ста­нов­ле­нии от­ра­же­ния никак не нашел. Тре­бо­ва­ния же к за­щи­те пер­со­наль­ных дан­ных, ко­то­рые ука­за­ны в по­ста­нов­ле­нии, никак не могут ней­тра­ли­зо­вать, сни­зить или ком­пен­си­ро­вать угро­зы, свя­зан­ные с на­ли­чи­ем неде­кла­ри­ро­ван­ных воз­мож­но­стей при при­зна­нии ак­ту­аль­ны­ми угроз пер­во­го и вто­ро­го типа.

Если опе­ра­тор вы­пол­нил меры по тех­ни­че­ской за­щи­те в со­от­вет­ствии с утра­тив­шим силу Постановлением № 781 от 2007 года, При­ка­зом ФСТЭК № 58 и ме­то­ди­че­ски­ми до­ку­мен­та­ми ФСБ, при­знав для себя ак­ту­аль­ны­ми угро­зы толь­ко тре­тье­го типа, де­лать ему прак­ти­че­ски ни­че­го не при­дет­ся. Речь будет идти лишь о до­ра­бот­ке нор­ма­тив­ной до­ку­мен­та­ции, за­мене акта клас­си­фи­ка­ции ин­фор­ма­ци­он­ных систем пер­со­наль­ных дан­ных на акт вы­бо­ра типа ак­ту­аль­ных угроз и оцен­ку уров­ня за­щи­щен­но­сти. Воз­мож­но, по­тре­бу­ет­ся под­пра­вить част­ную мо­дель ак­ту­аль­ных угроз в со­от­вет­ствии с ожи­да­е­мы­ми до­ку­мен­та­ми ФСБ и ФСТЭК. При­ня­тых мер за­щи­ты в аб­со­лют­ном боль­шин­стве слу­ча­ев ока­жет­ся вполне достаточно.

А вот если ак­ту­аль­ны­ми будут при­зна­ны угро­зы пер­во­го и вто­ро­го типа, что де­лать, се­год­ня не знает, на­вер­ное, никто, вклю­чая ав­то­ров по­ста­нов­ле­ния правительства.

В целом по­ста­нов­ле­ние об­лег­чи­ло или услож­ни­ло жизнь ком­па­ний — опе­ра­то­ров пер­со­наль­ных дан­ных? Какие у него плюсы и ми­ну­сы с точки зре­ния ком­па­ний, вы­нуж­ден­ных ему следовать?

Этого пока нель­зя ска­зать даже пред­по­ло­жи­тель­но. Струк­ту­ра по­ста­нов­ле­ния пред­по­ла­га­ет обя­за­тель­ное при­ня­тие для его ис­пол­не­ния фе­де­раль­ны­ми и ре­ги­о­наль­ны­ми ор­га­на­ми ис­пол­ни­тель­ной вла­сти, Бан­ком Рос­сии, ФСБ и ФСТЭК це­ло­го па­ке­та до­ку­мен­тов. Без этих до­ку­мен­тов по­ста­нов­ле­ние, со­дер­жа­щее массу от­сы­лоч­ных норм, ра­бо­тать не сможет.

Со­мне­ний нет, что ФСБ и ФСТЭК такие до­ку­мен­ты при­мут. А вот что может за­ста­вить это сде­лать фе­де­раль­ные ор­га­ны ис­пол­ни­тель­ной вла­сти, осу­ществ­ля­ю­щие функ­ции по вы­ра­бот­ке го­су­дар­ствен­ной по­ли­ти­ки и нор­ма­тив­но-пра­во­во­му ре­гу­ли­ро­ва­нию, — ни закон, ни по­ста­нов­ле­ние от­ве­тов не со­дер­жат. Непо­нят­но и что де­лать тем опе­ра­то­рам, у ко­то­рых нет ор­га­нов, ре­гу­ли­ру­ю­щих де­я­тель­ность «в уста­нов­лен­ной сфере».

Мо­де­ли по­ве­де­ния опе­ра­то­ров на се­го­дняш­ний день при­мер­но одни и те же — при­знать ак­ту­аль­ны­ми угро­зы толь­ко тре­тье­го типа (не свя­зан­ные с ис­поль­зо­ва­ни­ем зло­умыш­лен­ни­ком неде­кла­ри­ро­ван­ных воз­мож­но­стей) и за­щи­щать­ся по ми­ни­му­му. Су­ще­ству­ю­щие до­ку­мен­ты никак та­ко­му пути не препятствуют.

Забавная такая стандартизация

В пятницу Алексей Краснов всколыхнул профессиональное сообщество, откопав на сайте Росстандарта сообщение о принятии стандарта ГОСТ Р 53647.6-2012 «Менеджмент непрерывности бизнеса. Требования к системе менеджмента персональной информации для обеспечения защиты данных». Мы с Алексеем Лукацким и Андреем Прозоровым обсудили немного эту тему в Facebook, а Андрей даже успел выложить майнд-карту предполагаемого прототипа нового ГОСТа - британского стандарта BS 10012:2009 Data protection. Specification for a personal information management system.

ГОСТ, на мой взгляд, будет весьма странный. Найти его текст в Интернете не удалось. Нет его и в двух официальных торговых точках Росстандарта – в Интернет-магазинах стандартов ФГУП «СТАНДАРТИНФОРМ» и фирмы «ИНТЕРСТАНДАРТ», хотя я и готов был заплатить за него необходимую сумму – обычно около 1000 руб. Информация по поводу возможности заказа вполне определенная «Заказать нельзя. Документ еще не издан». Поэтому постить буду по проверенному советскому рецепту: «Не читал, но осуждаю».

Итак. Начнем. Номер и название. Предположение о том, что стандарт является переводом или производной британского стандарта BS 10012:2009 основываются, видимо, на том, что названия похожи, а других стандартов по персональным данным в ISO и BSI не просматривается. Кроме того, разработчик документа - АНО «Научно-исследовательский центр контроля и диагностики технических систем» («НИЦ КД») в поле «Нормативные ссылки на: Прочие» прямо указал «BS 10012:2009». И определил новоиспеченный стандарт, вступающий в силу почему-то с 1 декабря 2013 года, в группу 53647, описывающую вопросы… обеспечения непрерывности бизнеса. Предшественники данного стандарта описывали требования к системе управления непрерывностью бизнеса, порядок внедрения системы менеджмента, указания по обеспечению готовности к опасным ситуациям и инцидентам, а также непрерывности деятельности.

И вдруг – персональная информация (судя, опять-таки, по первоисточнику, речь идет все-таки о персональных данных). А она какое отношение к непрерывности бизнеса имеет? Ни федеральный закон, ни постановления правительства, ни документы ФСБ и ФСТЭК никаких требований к непрерывности не выдвигают. Есть общее положение об обеспечении возможности восстановления персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним. Все.

Ничего про business continuity нет и в британском стандарте. Вообще. И называется он совсем по-другому – «Защита данных. Спецификация системы управления персональными данными» (или если дословно – персональной информацией). Есть там главка «6.2. Continual improvement» про «постоянное улучшение», но она, как обычно, требует непрерывного совершенствования всей системы управления персональными данными в организации.

Похоже, и сами разработчики не очень понимают, при чем здесь управление непрерывностью бизнеса. Читаем аннотацию к стандарту: «Настоящий стандарт устанавливает требования к системе менеджмента персональной информации, направленные на обеспечение выполнения законодательных и обязательных требований по защите персональной информации, а также внедрения передового мирового опыта в этой области. Настоящий стандарт применим к организациям разных размеров и форм собственности, и может быть использован лицами, ответственными за разработку, внедрение и поддержание в рабочем состоянии процессов системы менеджмента персональной информации организации. Настоящий стандарт применяется при управлении персональной информацией, в том числе при обеспечении ее достоверности, а также при проведении внутренней и внешней оценки соответствия законодательным и обязательным требованиям в области защиты информации и передовому опыту». Про менеджмент систем управления персданными и достижение соответствия – вижу. Про менеджмент непрерывности – нет.

Вообще, название у нового творения получилось, на мой взгляд, совершенно бессмысленным. Если честно, я совсем не могу понять, что такое «система менеджмента персональной информации для обеспечения защиты данных». Что такое система управления – понимаю. Что такое защита данных – тоже. А как может система управления обеспечить защиту данных – не понимаю.

Кстати, GlobalTrust Solutions еще в 2009 году сделал вполне адекватный русский перевод. Зачем выдумывать что-то новое и кривое?

Было бы гораздо логичнее, если бы новый стандарт оказался в группе 27ХХХ или, на худой конец, 13335, описывающих соответственно системы управления информационной безопасностью и менеджмент безопасности сетей, информационных и телекоммуникационных технологий. Покопавшись на сайтах, посвященных стандартизации, пришел для себя к неутешительному выводу – эти две группы стандартов вне зоны ответственности разработчика, АНО «НИЦ КД», который выполняет функции секретариата технического комитета Росстандарта № 10 «Менеджмент риска» (оценим название и язык), занимающегося как раз вопросами непрерывности бизнеса. Вот и впихивали новый стандарт в свой ридикюль, хотя он туда совсем и не лезет.

И последнее. Вся система стандартизации должна способствовать единому пониманию того, что подлежит стандартизации. Зачем вводить в заголовке новый термин «персональная информация» и вносить новую порцию сумятицы в и так давно смятенные умы специалистов, пытающихся понять, как выполнить закон, совершенно не понятно. Более того. Очень вредно. Вот уже появились комменты, что персональная информация – это нечто более широкое, чем персональные данные. И вместо облегчения и упрощения жизни, на что изначально должны быть направлены стандарты (не знаешь как делать – открыл, прочел и знаешь), мы получаем еще одну головную боль.

Дождемся опубликования или возможности заказа текста документа. Посмотрим. Хотя стандарты в нашей стране и не являются обязательными к исполнению.

Итоги года. Наши

Самый популярный вопрос после Нового года при встречах с заказчиками, партнерами и коллегами – а чем наше агентство занималось в прошлом году, что сделало?

Если коротко – проектами. Если подробнее – сложными проектами. А если уж совсем подробно… Заодно и поясним, что мы называем «разрешением сложных проблем выполнения требований законодательства».

Коммерческая тайна. Одно из приоритетных направлений нашей деятельности.

Были проекты «с нуля», когда мы помогали устанавливать режим коммерческой тайны на предприятиях, где его не было совсем. Методология отработана за много лет, дорога накатана. Но самое, наверное, интересное, было, когда надо было решать сложные задачи заказчика, который режим установил, но возникли проблемы при практической реализации режимных мер.

Вот некоторые из проблем, которые мы решали для наших заказчиков:

·         Мы помогали разобраться с вопросом как быть, если сведения, составляющие коммерческую тайну надо передать партнеру в ходе переговоров, совещаний, деловых встреч, в то время, как закон говорит о том, что передача коммерческой тайны обязательно предусматривает ее фиксацию на материальном носителе.

·         Детально прописывали регламент предоставления такой информации по запросам органов власти, рассматривая ситуации, когда запрос поступает по телефону, факсу, электронной почте, определяли процедуру его рассмотрения и подготовки ответа, определяли полномочия и ответственность различных структурных подразделений и должностных лиц.

·         Определяли, какие виды гражданско-правовых договоров о передаче коммерческой тайны заключаются и в каких случаях, определяли содержание этих договоров.

·         Готовили для заказчиков подробные обзоры судебной практики при рассмотрении споров, связанных с коммерческой тайной, и привлечении виновных в ее неправомерном использовании к ответственности, анализировали ошибки обладателей исключительных прав на секреты производства, приведшие к их поражениям в суде, и помогали сделать выводы и откорректировать установленный режим.

·         Разрабатывали пакет документов для организации мониторинга за использованием работниками средств хранения, обработки и передачи информации, снижающей риски возникновения конфликтов между работниками и работодателями по поводу допустимых на рабочем месте границ приватности.

·         Разработали для многопрофильного холдинга, услугами которого пользуются так или иначе почти все граждане нашей страны, корпоративный стандарт системы защищенного электронного документооборота, обеспечивающего возможность работы с информацией ограниченного доступа в электронном виде.

Персональные данные. Усиление надзорной деятельности, появление новых документов и складывающаяся судебная практика, а также «письма счастья» от территориальных управлений Роскомнадзора не дают ослабить внимание к этому направлению.

·    Среди наиболее интересных заказчиков проектов по персданным – крупный торговый холдинг, реализующий продукцию через сеть магазинов по всей стране и создавший программу лояльности, в том числе – с использованием своего web-сайта. «Сложные проблемы» проекта – обоснование законности обработки персональных данных покупателей, полученных через Интернет, и их согласия на директ-маркетинг, а также организация кадрового и бухгалтерского учета с точки зрения 152-ФЗ для всех компаний холдинга в одной специализированной.

·    Для крупнейшего в России производителя продукции вместе с маркетологами, юристами и безопасниками решали вопросы правомерности обработки персональных данных в CRM-системе, оператором которой является контрагент, который, в свою очередь, хостит ее в дата-центре, данные поступают через Интернет и от агентов, работающих «в поле», а передаются в рекламные компании, колл-центры, службы доставки и многим другим. К тому же для субъектов персональных данных, сведения о которых обрабатываются в CRM, есть возрастные ограничения.

·    Для клиента-банка обосновывали предложенный порядок трансграничной передачи персданных клиентов, определяли, какая же из обрабатываемой банком информация является биометрическими персональными данными и почему, а так же как правильно получить согласие на ее обработку.

·    Помогали обосновать законность передачи персональных данных клиентов лицам, не являющимся кредитно-финансовыми учреждениями, и установить порядок такой передачи с учетом позиций Роспотребнадзора, Роскомнадзора и арбитражных судов, включая Высший.

·    Обосновывали обработку персданных различных лиц, связанных с клиентами банка – поручителей, залогодателей, лиц, допущенных к распоряжению имуществом или управлению транспортным средством, приобретаемым по кредиту, выданному клиенту и т.д.

·    Помогали страховым компаниям и пенсионным фондам  разобраться в необходимости получения согласия субъектов персональных данных на их обработку в письменной форме при заключении различных видов договоров страхования, в том числе требующих получения сведений о состоянии здоровья, при страховании жизни, когда выгодоприобретателем является совсем не то лицо, которое заключило договор, в случаях заключения договоров страхования работодателем в пользу работников и т.д.

·    Обосновывали возможность размещения ИСПДн за рубежом, возможные последствия такого размещения и возникающие риски и способы их снижения до приемлемого уровня.

·    Разрабатывали пакеты локальных актов для операторов, использующих биометрические системы идентификации при доступе на охраняемую территорию, регламентирующих все аспекты деятельности, включая определение политики оператора, получение согласия субъектов и их представителей, классификацию ИСПДн, обрабатывающих такие данные, и соотнесения дактилоскопических данных и специальных категорий персональных данных.

·    Подготовили методические документы, регламентирующие различные аспекты деятельности оператора персональных данных при проверке его надзорными органами – от допуска к проверке до подписания акта.

·    Готовили и рассылали ежемесячные обзоры об изменениях в законодательстве о персональных данных и практике его правоприменения в России для клиентов, подписанных на абонентское обслуживание. Для справки: объем ежемесячного обзора – примерно 80-90 страниц текста.

Экспертиза проектов. Мы помогали повысить качество проектов, выполненных крупными российскими интеграторами и доверие к ним заказчиков, проводя независимую экспертизу подготовленных отчетных документов и оценивая точность используемой в них терминологии, соответствие норм, установленных рассматриваемыми  документами, законодательству Российской Федерации, обоснованность установления документами конкретных требований, полноту описания регламентируемых процедур и возможность их практической реализации. В случаях, когда требовалась наша помощь, мы помогали доработать или переработать проектные документы и даже написать те, которых не хватало для полноты реализации. По мнению наших заказчиков-интеграторов, такая экспертиза позволяет повысить качество подготовленных документов на этапе, предшествующем их сдаче заказчику, способствует максимально полному удовлетворению потребностей и пожеланий заказчика. И мы так считаем.

Консультации компаний, работающих на российском рынке информационной безопасности. PEST- и SWOT анализ положения компании на рынке информационной безопасности, оценка ее позиционирования, эффективности используемых способов продвижения продукции и услуг, планов развития и рисков, с ними связанных, - то, что мы делали для российских игроков рынка. Для компаний, имеющих намерение на российский рынок прийти, – детальные консультации по государственному регулированию, лицензированию деятельности и сертификации продукции, особенностях российского рынка, присутствии на нем аналогов того, что собирается выводить зарубежная компания. И тем, и другим помогали продвигать продукцию – проводили презентации на различных мероприятиях, вебинары, писали статьи для традиционных и Интернет-изданий.

Ну, и конечно, проводили учебные курсы и семинары, корректировали их по мере изменения законодательства и практики, затачивали под конкретную аудиторию и особенности корпоративных заказчиков.

Конечно же, это не все, что сделано, а то, что показалось нам наиболее интересным.

Год получился насыщенным и интересным. То, что он был високосным, мы и не заметили.

Об утечке информации и ее расследовании: поздно пить боржоми?

К многочисленным бедам компании AMD, американского производителя процессоров, некогда грозного конкурента Intel и Nvidia, добавились новые.

Неутешительный финансовый отчет за 3 квартал прошлого года (более свежий пока не опубликован) привел к тому, что авторитетные аналитики крупнейших порталов, таких, как CNET, All Things D, Bloomberg и Reuters предсказывают сокращение числа работников компании на 10, 20 и даже 30 процентов. А это, кроме очевидных финансовых проблем, приведет и к реализации новых рисков, связанных с миграцией персонала. Причем проблемы утечки мозгов и информации не просто предположительно будут, они уже возникли. И никакие акты о не конкуренции, о которых мы любим с тоской вспоминать в России, не помогли.

AMD подала жалобу и требование о судебных ограничениях в отношении четырех своих бывших высокопоставленных менеджеров, перешедших в компанию Nvidia и прихвативших с собой порядка 100 тысяч файлов чувствительной информации о деятельности компании, относящейся к трем интересным группам: конфиденциальная информация, коммерческая тайна и собственность компании.

В заявлении и комментариях к нему часто упоминается замечательное слово «форензика» (в трактовке Н.Федотова – компьютерная криминалистика), но ни разу не говорится о предпринятых мерах по предотвращению возможных утечек информации. Суть дела проста, как апельсин, - вице-президент терпящего бедствие производителя процессоров переметнулся к конкурентам, позвал с собой группу коллег-товарищей не с последней парты и попросил их в качестве доказательства лояльности новому работодателю скачать что-нибудь полезное, что те в течение нескольких месяцев добросовестно (если это слово вообще употребимо в данной ситуации) и делали. Среди выбранного в качестве прощального сувенира от покидаемого работодателя – бизнес-стратегия, названная компанией «строго конфиденциальной», стратегия лицензирования и лицензионные соглашения с ключевыми заказчиками, технологические наработки и контакты с крупными контрагентами (а это, среди прочего, поставки процессоров для игровых консолей Xbox, PlayStation и Wii U), и даже внутренняя база данных AMD «Perforce» с более чем 200 файлами, содержащими ноу-хау, помеченными маркировкой «конфиденциально».

Все это подтверждено в ходе внутреннего расследования, которое даже выявило факт гугления одним из обвиняемых в недобросовестной конкуренции способов скачивания больших объемов информации. Как утверждают представители AMD, в договорах со всеми менеджерами были прописаны обязательства о неразглашении коммерческих секретов и соблюдении конфиденциальности, однако помогло это в реальной ситуации мало.

Потому, как давно известно: правила, выполнение которых не проверяется, не работают. И точка.

Из всех комментариев в Интернете к данному событию я выделю один крайне здравый: «Я работаю в компании, которая просто блокирует доступ к USB, и такие вещи не происходят. AMD надо будет поучиться».

Это лишняя иллюстрация к вечному: «Что имеем, не храним, потерявши плачем». Новейшие наработки, часть из которых, по мнению экспертов, по-прежнему превосходит аналоги Intel и Nvidia. Тяжелое финансовое положения из-за многочисленных ошибок в выборе стратегии развития и управлении. Бегство лучшего и сокращение остального персонала. И полное пренебрежение риск-менеджментом, контролем за утечками и управлением правами на электронные документы.

Можно теперь требовать судебного запрета на использование украденных файлов, на найм работников конкурентами и пытаться восстановить свои нарушенные исключительные права на результаты интеллектуальной деятельности. Но птичка вылетела. И, как известно, после определенных событий, пить боржоми поздно. Надо было думать и защищать секреты до, а не после.

Кстати, рецепт специально для производителей софта, железа и прочего конкурентоспособного товара на ИТ и ИБ рынке. Посмотрите внимательно, что украли – материалов в Интернете сейчас очень много. И сравните со своими перечнями информации, составляющей коммерческую тайну. Если они есть, конечно. Можно будет узнать много интересного. И сделать выводы.

Просыпайтесь: стоит заняться коммерческой тайной

Больше года назад я писал о том (здесь и здесь), что с 1 января 2013 года вступает (т.е. на сегодняшний день – вступил) Федеральный закон от 06.12.2011 № 402-ФЗ «О бухгалтерском учете». Большинство читателей моего блога – совсем не бухгалтеры, но новая редакция закона касается многих.  Напомню, закон радикально пересмотрел возможность отнесения бухгалтерской отчетности к информации, составляющей коммерческую тайну.

Вместо императивной конструкции части 4 статьи 10 одноименного Федерального закона от 21.11.1996 № 129-ФЗ «Содержание регистров бухгалтерского учета и внутренней бухгалтерской отчетности является коммерческой тайной» мы получили не менее радикальное, но прямо противоположного смысла, указание в части 11 статьи 13 нового закона «В отношении бухгалтерской (финансовой) отчетности не может быть установлен режим коммерческой тайны».

Более того, для бухгалтерской отчетности введено понятие единственного экземпляра, который экономические субъекты, обязанные ее составлять (кроме организаций госсектора и Банка России), должны предоставить в орган государственной статистики по месту государственной регистрации. Кстати, бухгалтерскую отчетность обязаны вести теперь и предприятия, применяющие упрощенную систему налогообложения. Обязательные экземпляры бухгалтерской (финансовой) отчетности составляют государственный информационный ресурс, к которому обеспечивается доступ заинтересованным лицам. Причем не в случаях, предусмотренных законом, а просто «заинтересованным лицам». Ограничения доступа допускаются только в интересах сохранения государственной тайны.

Новая редакция закона не разъясняет, как быть с возникающей при этом коллизией с частью 1 ст.91 Федерального закона «Об акционерных обществах», предусматривающей возможность доступа к документам бухгалтерского учета только акционерам, имеющим в совокупности не менее 25 процентов голосующих акций общества.

Для регистров бухгалтерского учета частью 7 ст.10 введена норма, предусматривающая возможность их представления на бумажном носителе другому лицу или в государственный орган в случаях, предусмотренных законодательством Российской Федерации или договором между экономическим объектом (лицом, ведущим бухгалтерский учет) и его контрагентом. При этом экономический субъект обязан по требованию другого лица или государственного органа изготавливать за свой счет на бумажном носителе копии регистра бухгалтерского учета, составленного в виде электронного документа. Вопрос о возможности отнесения всего регистра или его части к информации, составляющей коммерческую тайну (ИКТ), также повис в воздухе.

В новом законе отсутствует положение о том, что в регистрах бухгалтерского учета накапливается информация для отражения на счетах бухгалтерского учета и в бухгалтерской отчетности, ранее содержавшаяся в первой части статьи 10. Таким образом, считать, что исходные данные для бухгалтерской отчетности, содержащиеся в регистрах, не могут составлять ИКТ, оснований нет. С другой стороны, в случае попадания в отчетность сведений из регистра, нарушается одно из требований, определяющих возможность отнесения информации к ИКТ, – неизвестность ее на законном основании третьим лицам.

В целом вывод неутешительный – бухгалтерская отчетность и регистр, ранее бывшие «интимными» делами организации, которые она была вправе закрыть от посторонних глаз, становятся фактически общедоступными (отчетность) или неохраноспособными (регистр). Если бы речь шла только о доступности их для госорганов, к этому еще можно было бы отнестись спокойно, хотя Федеральный закон 8-ФЗ очень широко трактует понятие информации о деятельности органов власти, относя к ней и полученную этими органами информацию, и предоставляет широкие возможности доступа любых лиц, в том числе по немотивированным запросам. Но новый закон идет еще дальше, устанавливая в отношении возможности доступа бланкетную норму и отсылая нас к другим законам. И каковы будут последствия этого, покажут только время и практика правоприменения.

Так что скучать и втягиваться в новый рабочий год некогда. Всем, у кого установлен режим коммерческой тайны, необходимо пересмотреть перечни ИКТ, если этого не было сделано ранее, разобраться с наличием в них бухгалтерской отчетности и регистров бухгалтерского учета – и срочно вносить коррективы. Наличие в перечнях неохраноспособной информации, отнесение которой к ИКТ прямо запрещено законом или которая не удовлетворяет требованиям пункта 2 статьи 3 ФЗ «О коммерческой тайне» (98-ФЗ) и статьи 1465 Четвертой части Гражданского кодекса, может привести к признанию перечня не соответствующим закону (юридически ничтожным, т.е. не имеющим юридической силы) и к оспариванию правомерности установления режима коммерческой тайны вообще. Помните «Режим коммерческой тайны считается установленным после принятия обладателем информации, составляющей коммерческую тайну, мер, указанных в части 1 настоящей статьи» (ст.10  98-ФЗ)? А первая среди этих мер - разработка перечня ИКТ. Перечень юридической силы не имеет – нет и режима. А наши суды, основываясь на внутреннем убеждении, много чего нарешать могут.

Вот такие у нас дела в начале нового трудового года.

С наступающим новым 2013 годом!

Чтобы не расписывать - лучше послушайте.
От всей души!

Согласие как продукт при полном непротивлении сторон. Роскомнадзор: разъяснения, которые ждали

В пятницу произошло не очень заметное, но, как мне кажется, очень важное событие. На сайте Роскомнадзора опубликована позиция уполномоченного и одновременно надзорного органа по вопросам обработки персональных данных работников, соискателей на замещение вакантных должностей, а также лиц, находящихся в кадровом резерве. Важное, потому что регулятор фактически впервые предложил создать документ по весьма модной, но на практике редко используемой схеме частно-государственного партнерства. В роли участников, представляющих негосударственную сторону, выступили специалисты, много и активно занимающиеся проблематикой персональных данных и, что здесь главное, делящиеся своими мыслями в своих блогах – Алексей Лукацкий, Алексей Волков, Александр Токаренко и ваш покорный слуга (Михаил Емельянников). Схема работы серьезно отличается от краудсорсинга, который при подготовке последних документов активно используется ФСБ и особенно ФСТЭК. Не запрос мнения по заранее подготовленному проекту, отзывы на который куда-то падают и потом неведомым образом трансформируются или не трансформируются в редакцию документа (я вовсе не отрицаю возможную продуктивность использования такой схемы, просто констатирую факт), а попытка совместного поиска решения с конкретными людьми вплоть до достижения некоего компромисса, фиксируемого документально. Компромисса, поскольку взгляды двух и более людей совпадать не могут, и они должны договориться, отстаивая принципиальное и соглашаясь с тем, что таковым не является, для достижения делаемого результата.

Надо признать, что позиция Романа Валерьевича Шередина, инициатора этого проекта, была абсолютно беспроигрышной. Критикуете, предлагаете, да еще публично? Отлично! Давайте вместе найдем решение и застолбим его, как позицию регулятора. Отказаться от такого предложения – признаться в собственном неконструктивизме. Впряглись. Появившаяся публикация должна быть первой ласточкой. Впереди еще очень много, требующего прояснения, для чего надо найти внятное и, главное, выполнимое на практике, решение – биометрия с фотографиями и их копиями разного качества, спецкатегории, оферты как формы договоров с субъектами персданных и т.д. и т.п. Надеюсь, идущие дорогу все-таки осилят.  

А теперь о том, что представляемся мне лично самым важным в обнародованной позиции. 

Согласия работника на обработку его персональных данных не нужно, но! Их объем должен соответствовать неким перечням, установленным нормативно-правовыми актами (Трудовым кодексом, Роскомстата) или иными документами, например, коллективным договором, правилами трудового распорядка (!), иными локальными актами работодателя, принятыми в порядке, установленном ст. 372 Трудового кодекса. Обратите внимание, ссылка дается не только на федеральные законы, но и на постановления Правительства, ведомственные акты (постановление Госкомстата Российской Федерации от 05.01.2004 № 1) и даже внутренние локальные акты, принятые в рамках компетенций, установленных законом. Надеюсь, теперь прекратятся бесконечные споры о необходимости получения доказываемого согласия родственников, чьи персданные отражаются в Форме Т-2.

Наконец-то закрыта тема правомерности обработки данных о состоянии здоровья работника без его согласия в рамках определения возможности выполнения им трудовой функции (ежедневный и профилактический медицинский осмотр), обязательного медицинского, социального и пенсионного страхования.

Прорыв! Не надо согласия на передачу персданных третьим лицам при направлении в командировку, бронировании гостиниц и покупке билетов. Опять-таки в объеме, установленном нормативно-правовыми актами, что очень правильно

Разъяснено, как и на какие запросы о работниках надо отвечать органам власти и профсоюзам.

Наконец-то однозначно разъяснены вопросы выпуска платежных карт для начисления заработной платы работникам и осуществления пропускного режима на предприятии. Предусмотрена возможность выражения согласия, требующегося в письменной форме, непосредственно в трудовом договоре, если содержание его соответствует части 4 ст.9 152-ФЗ. Я очень рад за своих клиентов, которым этот вариант решения проблемы я предлагаю давно, на курсах, семинарах и в конкретных проектах.

При определении сроков обработки персданных уволенных работников даны ссылки на бухгалтерское и налоговое законодательство, что очень правильно.

Ура! По-моему, впервые официально подтверждено, что обработка персданных, находящихся на архивном хранении, 152-ФЗ не регулируется. 

И, наконец, расписаны основания для обработки персданных соискателей вакантных должностей. Не все здесь мне кажется правильным, но после драки кулаками не машут. Как вынесено в заголовок поста, согласие есть продукт полного непротивления сторон. И спорить с монтером Мечниковым бесполезно. Поэтому я считаю, что однозначные и выполнимые рекомендации (а провести проверку предоставления резюме соискателем и получить согласие на включение его в кадровый резерв, безусловно, можно) гораздо лучше, чем полная неопределенность и произвольное толкование.

Завершающий аккорд. Проставление отметки в соответствующем поле web-формы рассматривается как выражение согласия. По аналогии применения права, электронный бизнес, требующий обработки персональных данных, становится легальным. И это – одно из самых важных для меня достижений совместной работы с регулятором.

Рецепт от автора поста, как положено. Пересмотрите свои локальные акты и приведите в соответствие с разъяснением. Жить станет легче. Для радикалов, не приемлющих компромисса. У вас тоже есть легальный путь. Спорьте в суде, если считаете иначе, чем написано в рассматриваемом документе. Или, по крайней мере, будьте готовы к этому.

Приходите к нам лечиться

Редкий случай, когда … ну, не лечиться, а подлечиться мы приглашаем работников медицинских учреждений. Окажем помощь в решении сложных проблем применения в учреждениях здравоохранения законодательства о персональных данных, повышении иммунитета к неправомерным требованиям пациентов, поможем при хронических болезнях уведомления Роскомнадзора об обработке персданных. Имеем опыт радикального лечения в запущенных случаях. Готовы помочь в профилактике возможных нарушений.

21 декабря в Учебном центре «Информзащита» пройдет учебный курс «Защита персональных данных в медицинских учреждениях». Мы проанализируем, почему во всем мире так часто крадут данные о пациентах медицинских учреждений, кому и зачем их продают. Разберемся, что такое медицинская информационная система, электронная медицинская карта и электронная регистратура, табличка на двери врачебного кабинета и доска почета лучших врачей больницы с точки зрения закона «О персональных данных». Уточним, как выглядит в терминах Постановления Правительства № 687 рецепт на лекарство и является ли биометрическими персональными данными рентгеновский снимок сломанной руки. Обсудим, как оформить результаты предварительного и периодического медицинского обследования работников и при этом не нарушить закон. Узнаем, может ли бабушка привести внучку на прием в поликлинику без нотариальной доверенности, относятся ли к специальным категориям сведения об инвалидности и какие решения по этому поводу принимают российские суды. Ну, и много-много чего другого.

Итак, 21 декабря. Курс проводится по многочисленным просьбам слушателей и повторен будет не скоро.

Добро пожаловаться. 2-я серия

Как-то я уже писал про свой опыт жалоб в надзорные органы с целью добиться выполнения требований законодательства в части директ-маркетинга и спама и обещал вторую часть – про судьбу моей жалобы в Федеральную антимонопольную службу.

Работы было много, да и вопрос не казался таким уж значимым, пост откладывался и откладывался. Сегодня руки, наконец, до него дошли. Почему именно сегодня – в конце.

Итак, напомню cуть проблемы, ставшей причиной жалобы. В электронный почтовый ящик регулярно падал спам, начинающийся словами «Уважаемый(ая) Михаил Емельянников!». Особенно доставало еженедельное предложение поделиться деньгами с Тиньковым. Обращения к спамеру ничего не дали. Написал две жалобы – в Роскомнадзор (нарушение ст.15  152-ФЗ «О персональных данных») и ФАС (нарушение ст.35.1 38-ФЗ «О рекламе»). Жалобы отправлял через web-формы на официальных сайтах надзорных органов. Что и как ответил Роскомнадзор, я рассказывал.

От ФАС к установленному сроку – 16 августа ответ на мыло не пришел. Через пару дней звоню в канцелярию ФАС, мне дают номер телефона исполнителя, но фамилию его не сообщают – это ж персональные данные! С 95-го раза дозваниваюсь и в лоб получаю конкретный вопрос «А кто Вам нужен? Нас в комнате 6 человек сидит». Очень вежливо рассказываю, что понятия не имею, про канцелярию и жалобу. Через 10 минут поисков (вишу на телефоне, в роуминге, кстати) мне сообщают, что ответ направлен почтой. Прошу сообщить суть. Ответ: не положено, ждите. Прошу продублировать мылом. Ответ: не положено, ждите. Жду.

Почта дошла. Ответ датирован 17 августа. Срок, установленный законом, не соблюден. Ладно. Проехали. Суть ответа своими словами: Ваша жалоба не рассмотрена, потому что направлена в электронном виде, а жалобы на рекламу принимаются только в письменной форме. Основание ПП-508 от 17.08.2006. Мне предлагают написать «телегу» на бумаге в Московский УФАС (нарушитель находится в Санкт-Петербурге, что я и указывал в жалобе), приложить тексты рекламных писем, указать период их поступления, наименование рекламодателя (распространителя), включая местоположение и контактную информацию (хорошо, что выписку из ЕГРЮЛ не просят), и (внимание!) дать письменное согласие на обработку моих персональных данных за личной подписью.

Чтобы родить этот шедевр канцелярской мысли, суть которого «пошел на фиг», чиновнику надзорного органа понадобился 31 день.

Итак. Федеральный закон N 59-ФЗ от 02.05.2006 «О порядке рассмотрения обращений граждан Российской Федерации».  Часть 3 ст.7 Требования к письменному обращению: «3. Обращение, поступившее в государственный орган, орган местного самоуправления или должностному лицу в форме электронного документа, подлежит рассмотрению в порядке, установленном настоящим Федеральным законом. В обращении гражданин в обязательном порядке указывает свои фамилию, имя, отчество (последнее - при наличии), адрес электронной почты, если ответ должен быть направлен в форме электронного документа, и почтовый адрес, если ответ должен быть направлен в письменной форме. Гражданин вправе приложить к такому обращению необходимые документы и материалы в электронной форме».

Сайт ФАС: «Внимание! Через эту электронную форму принимаются только обращения (предложения, заявления). Жалобы можно отправить по почте (Садовая-Кудринская, 11, Москва, Д-242, ГСП-5, 123995) или на электронный адрес delo@fas.gov.ru. Значит, в электронном виде все-таки жаловаться можно? И, кстати, закон не ограничивает возможность направления жалобы только электронной почтой.

Когда я заполнял web-форму, то уже указал ФИО, адрес и суть проблемы. Почему я еще должен давать письменное согласие на обработку моих персданных, если их уже обрабатывали при подготовке ответа. Кстати, и закон «О персональных данных» для данного случая получения моего согласия вообще и письменного, в частности, не предусматривает – их обработка ведется ФАС по основаниям п.2 части 1 ст.6 – обработка персональных данных необходима для осуществления и выполнения возложенных на оператора законодательством Российской Федерации функций, полномочий и обязанностей.

В общем, чтение законов чиновникам противопоказано.

А теперь о том, почему пост появился именно сегодня. УФАС Санкт-Петербурга разместило на своем сайте «Порядок подачи заявления на несанкционированную СМС рекламу».

Порядок предусматривает, что необходимо письменно отказаться от услуг рассылки рекламы связи, обратившись к своему оператору, для чего лучше приехать (угадали!) с двумя экземплярами письменного заявления в офис оператора, добиться получения входящего номера и проставить его на своей копии и заставить расписаться лицо, которое заявление принимает. Т.е. письменно отказаться от услуг оператора, которые оказывает не он – спамит нас кто попало.

В ФАС можно обратиться только через месяц, если спам будет валиться и дальше.  Для этого к заявлению (заметьте, не жалобе, а заявлению) надо приложить:

1.     Копию обращения к оператору мобильной связи.

2.     Фотографические снимки рекламных сообщений с экрана мобильного телефона.

3.     Распечатку сообщений, полученную от оператора связи.

4.     Копию договора с оператором на оказание услуг мобильной связи.

И, внимание! «В соответствии с Федеральным законом от 27 июля 2006 года № 152-ФЗ «О персональных данных» в своем обращении необходимо выразить согласие на передачу Ваших персональных данных оператору мобильной связи или 3-им лицам – сторонам по отправке СМС рекламного характера, а также правоохранительным органам для проведения оперативно-розыскной деятельности». У меня с оператором договор, копию которого я должен приложить – п.5 ч.1ст.16 152- ФЗ. Никакого согласия выражать не надо. Зачем я должен давать согласие на обработку моих данных спамерам (этим самым третьим лицам), история умалчивает. И, наконец, шедевр, который надо включать в учебники для будущих розыскников – ОРД требует согласия на обработку персональных данных! Приехали, но куда?

Детей экзаменуют, работников аттестуют. Так, может, и государственным служащим надо бы экзамены сдавать на знание законов? Проще будет им эти самые законы выполнять.