Сервера и базы данных одесную и ошую

Пока все ели оливье и селедку под шубой, пили водку с шампанским, пускали фейерверки, катались на лыжах все каникулы напролет, подкрался первый рабочий день. С трудовым началом нового года всех!

У нас, правда, трудовые будни практически не прерывались, поскольку нашим заказчикам стало очень интересно, а как жить после 1 сентября 2015 года, когда в соответствии с 242-ФЗ сбор персональных данных россиян будет производиться только с использованием баз данных на территории России. Желание заказчиков – для нас святое, и после ежедневной лыжной пробежки все силы бросались на разрешение этого вопроса. Попутно выяснялась масса интересных фактов.

Если кто не следил за работой принтера, сообщаем, что 31 декабря, за несколько часов до наступления нового года, президентом были подписаны два федеральных закона № 531-ФЗ «О внесении изменений в статьи 13 и 14 Федерального закона "Об информации, информационных технологиях и о защите информации" и Кодекс Российской Федерации об административных правонарушениях» и № 526-ФЗ «О внесении изменения в статью 4 Федерального закона "О внесении изменений в отдельные законодательные акты Российской Федерации в части уточнения порядка обработки персональных данных в информационно-телекоммуникационных сетях"». Ну вы поняли – о внесении изменений в ранее внесенные изменения.

Из прочтения этих законов родилось четкое ощущение, что весь состав законодателей был разбит на две группы, например, по признаку размещения одесную и ошую председателя, и каждая группа творчески работала над своим законом, причем заглядывать в конспекты соседей было строго запрещено.

Группа депутатов, что сидела одесную, пришла к выводу, что с 1 июля 2015 года (в соответствии с 531-ФЗ), технические средства информационных систем, используемых государственными органами, органами местного самоуправления, государственными и муниципальными унитарными предприятиями, государственными и муниципальными учреждениями должны размещаться на территории Российской Федерации. То есть всякие там сервера баз данных, почтовые и файловые серверы, а равно и веб-, надо перенести в российские дата-центы и вопрос закрыть. И это правильно. Официальный почтовый ящик российского министерства на сервисе google.com у любого нормального человека вызывает легкую оторопь, а у маньяков-ибешников – так вообще истерику.

В это время вторая группа - та, что ошую, решала сложный вопрос – а когда все-таки сбор персональных данных россиян, в том числе посредством сети интернет, будет производиться так, что запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации будет обеспечено с использованием баз данных, находящихся на территории Российской Федерации. Подумав примерно полгода, депутаты решили, что все-таки не 1 сентября 2016 года, но и не 1 января 2015. Компромисс был найден – 1 сентября 2015 года.

Отлично! Вот только в 242-ФЗ, установившем это требование, есть исключения. Можно не заморачиваться размещением серверов на территории России, если обработка персональных данных необходима для осуществления и выполнения возложенных законодательством Российской Федерации на оператора функций, полномочий и обязанностей (а государственные органы, органы местного самоуправления, государственные и муниципальные унитарные предприятия, государственные и муниципальные учреждения, упомянутые в 531-ФЗ, с утра до вечера только этим и занимаются), если она необходима для исполнения судебного акта (привет базам судебных приставов!) и для исполнения полномочий органов власти и местного самоуправления в предоставлении государственных и муниципальных услуг. Я об этом уже как-то писал, но эти замечательные исключения на фоне глобальных проблем тотального переноса всего в Россию особого интереса не вызвали.

Таким образом, к 1июля все эти базы должны быть возвращены в Россию, если они там не размещались, а с 1 сентября их при желании можно снова отправить за границу. Или нельзя? Вопрос к читателям-юристам и правоведам: если два закона, устанавливающих противоречивые нормы, подписаны в один день, какой из них действует? Тот, что вступил в силу ранее? Или позднее? Оба? Ни один? Так переносить или пока подождать? А если еще заглянуть в закулисье законотворческой деятельности, закрытый перелом головного мозга неизбежен. Недавно все желающие обсуждали и даже готовили предложения по проекту Федерального закона «О внесении изменений в Федеральный закон «Об информации, информационных технологиях и о защите информации»», посвященному нормативному правовому регулированию использования услуг облачных вычислений в деятельности органов государственной власти, органов местного самоуправления, органов управления государственными внебюджетными фондами. Законопроект предусматривает внесение в трехглавый закон новой статьи 15.6, в соответствии  с которой при организации предоставления услуг облачных вычислений органам государственной власти, органам местного самоуправления, органам управления государственными внебюджетными фондами должны соблюдаться определенные условия, среди которых предоставление услуг облачных вычислений указанным органам поставщиками услуг облачных вычислений, являющимися российскими юридическими лицами или индивидуальными предпринимателями, облачная инфраструктура которых находится на территории Российской Федерации при условии прохождения ими государственной аккредитации. Обратите внимание – государственных и муниципальных унитарных предприятий, государственных и муниципальных учреждений в законопроекте нет, зато есть органы управления государственными внебюджетными фондами, которых нет в 231-ФЗ и 242-ФЗ.

Так кому чего можно, чего нельзя и когда? Есть над чем подумать в новом году! С прошедшими праздниками! За работу, товарищи, коллеги и друзья!

С Новым 2015 годом!

Базам персональных данных - вернуться на главную базу

Всем готовиться к 1 сентября 2015 года! Незаметно и иносказательно сайт Думы сообщил о переносе сроков вступления в силу Федерального закона 242-ФЗ, получившего неофициальное название «о территориальности персональных данных россиян».

Утреннее пленарное заседание Госдумы сегодня, 17 декабря.

По предложению Романа Чуйченко, выступившего от Комитета по информационной политике, информационным технологиям и связи, депутаты вернули во второе чтение законопроект № 596277-6 «О внесении изменения в статью 4 Федерального закона «О внесении изменений в отдельные законодательные акты Российской Федерации в части уточнения порядка обработки персональных данных в информационно-телекоммуникационных сетях», уточняющий срок вступления закона в силу, а затем приняли законопроект сразу во 2-м и 3-м чтениях.

К документу принята одна поправка:

«Внести в статью 4 Федерального закона от 21 июля 2014 года № 242-ФЗ «О внесении изменений в отдельные законодательные акты Российской Федерации в части уточнения порядка обработки персональных данных в информационно-телекоммуникационных сетях» … изменение, изложив ее в следующей редакции:

«Статья 4

Настоящий Федеральный закон вступает в силу с 1 сентября 2015 года».

Дальше начинается казуистика и крючкотворство. Но об этом – как-нибудь позже, когда закон подпишет президент, а у меня появится время.

Про указание ЦБ, идентификацию, хакеров и паспорта

Как мы помним, Указанием Банка России от 21 января 2014 г. N 3179-У, для проверки действительности паспорта физического лица, являющегося гражданином Российской Федерации, кредитная организация должна использовать информационный сервис «Проверка действительности паспорта гражданина Российской Федерации, удостоверяющего личность гражданина Российской Федерации на территории Российской Федерации» на официальном сайте Федеральной миграционной службы (ФМС) в сети интернет. Правда, порядка проведения такой проверки и документирования ее результатов Положение 262-П и указание о внесении в него изменений не содержат, оставив решение этой непростой проблемы на откуп банков.

Законопослушные банки бросились указание исполнять, сервер ФМС, содержащий ресурс, не являющийся к тому же официальным, естественно, упал, и, полежав на боку некоторое время, восстал из пепла под новым имением «Проверка по списку недействительных (утраченных (похищенных), оформленных на утраченных (похищенных) бланках паспорта гражданина Российской Федерации, выданных в нарушение установленного порядка, а также признанных недействительными) паспортов граждан Российской Федерации, удостоверяющих личность гражданина Российской Федерации на территории Российской Федерации». Т.е. Положение ЦБ есть, а ресурса, который он требует использовать, нет, есть другой, в Положении не упомянутый. Чтобы не перегружать запросами сервер ФМС и не пытаться получить информацию под тяжелым взглядом ожидающего клиента, можно скачать «Список недействительных (утраченных (похищенных), оформленных на утраченных (похищенных) бланках паспорта гражданина Российской Федерации, выданных в нарушение установленного порядка, а также признанных недействительными) паспортах граждан Российской Федерации, удостоверяющих личность гражданина Российской Федерации на территории Российской Федерации», который обновляется по рабочим дням, и встроить его в свою информационную систему.

Насколько этот перечень является достоверным – вопрос непростой. По этому поводу Ассоциация российских банков уже направляла запрос в Банк России, обращая внимание на неполноту базы паспортов и нестабильную работу информационного ресурса, а также отсутствие порядка фиксации обращения банка на сайт ФМС.

Банк России в своем ответе относительно фиксации обращения предложил самостоятельно определять порядок в правилах внутреннего контроля. Проблемы недостоверности сведений и перегруженности сайта ФМС банкам предложено решать с использованием Единой системы межведомственного электронного взаимодействия, к которой банки подключаются как участники Государственной информационной системы о государственных и муниципальных платежах.

При этом ЦБ полагает, что в случае, если при проверке действительности паспорта на сайте ФМС получен ответ «Сведениями по заданным реквизитам не располагаем» либо «В электронных учетах ФМС России в настоящее время не значится», кредитная организация может отказать такому лицу в приеме на обслуживание либо в выполнении распоряжения о совершении операции до получения официального ответа территориального подразделения ФМС России о действительности паспорта данного лица. А если паспорт числится недействительным, банку следует отказать такому лицу в приеме на обслуживание либо в выполнении распоряжения о совершении операции до представления клиентом доказательств, подтверждающих действительность паспорта (например, официального ответа территориального подразделения ФМС о действительности паспорта данного лица).

Проблема заключается в том, что сайт выдает иные варианты ответа «По Вашему запросу о действительности паспорта РФ ____ № _____ получен ответ о том, что данный паспорт «Среди недействительных не значится» или что «данный паспорт недействителен (ЗАМЕНЕН НА НОВЫЙ)».

Но изменения работы, видимо, коснулись не всех. Сегодня городской портал города Перми Properm.ru сообщил, что хакеры взломали сайт областного управления ФМС, получили доступ к номерам паспортов жителей края и немного порезвились, внеся изменения в данные. Поэтому, по сообщению городского портала, многие обратившиеся в банк горожане после обращения работников банка на сайт узнают, что их паспорта недействительны или сведений о них нет, и получают отказ в оказании банковской услуги – см. рекомендации ЦБ выше. Правда, об этих проблемах знают не во всех районных подразделениях города.

Сообщение о недействительности паспорта или отсутствии сведений о нем влечет необходимость личного обращения в подразделение УФМС, получения соответствующей справки или даже замену паспорта. Проблему  со справкой чиновники обещают решить в срок от двух дней до недели.

Почему у Перми есть своя система проверки подлинности паспортов, связана ли она информационно с официальным сайтом ФМС, я не знаю. Тем не менее сведений о моем паспорте в ней нет:

А вот сайт ФМС о моем паспорте знает и подтверждает его подлинность.

Пока очевидно, что с сервисом есть проблемы. На страничке проверки паспортов честно сообщается: «Улучшаем сервис с помощью граждан. Скорректировано сведений в АС «Российский Паспорт»: 80738». Это значит, что граждане сообщили о более чем 80 тысячах записей, являющихся неверными. По сообщению информационного агентства «Гарант.РУ», такая ситуация обеспокоила Национальный совет финансового рынка (НСФР), который, отметив значительный рост отказов банков от обслуживания клиентов-физических лиц, обратился в Управление Роспотребнадзора по г. Москве с предложением об оказании содействия в предотвращении нарушений прав потребителей, вызванных установлением такой обязанности банков. НСФР отмечает, что ресурс ФМС носит исключительно информационной характер, а для получения юридически значимой информации следует обратиться в территориальное подразделение ФМС России. Отказ в оказании банковских услуг – дело серьезное, а тут для такого решения используется неофициальная и, возможно, недостоверная информация…

Я думаю, надо ждать дальнейшего развития событий. Точки ставить рано.

В заключение – благодарность аналитикам нашего агентства, готовящим ежемесячный отчет о правоприменении, за извлечение приведенных фактов из Больших данных интернета J.

И вечный аудит. Покой банкам и не снится

Есть в стандарте Банка России СТО БР ИББС 1.0-2014 требование о наличии в кредитно –финансовой организации, присоединившейся к стандарту, такого документа, как программа аудита. В соответствии с определением, там должны быть сведены планы проведения проверок выполнения требований не только стандарта, но и всех остальных проверок состояния информационной безопасности (ИБ): «Программа аудита ИБ включает всю деятельность, необходимую для планирования, проведения, контроля, анализа и совершенствования аудитов ИБ (и других проверок ИБ)».

За окошком – декабрь, и мы с нашими клиентами корректируем планы работ в новом году. Дошли руки и до программы аудита, как-никак документ во многом базовый, да и стандарт требует периодической корректировки программы.

Банк России рекомендует чередовать самооценку выполнения требований стандарта с аудитами с привлечением внешней проверяющей организации, есть ряд обязательных требований о проведении проверок безопасности и в других документах.

Обобщив и подытожив, получаем картину довольно суровую.

Допустим, банк с учетов выхода новой редакции стандарта провел аудит силами привлекаемой организации. Значит, в соответствии с требованиями стандарта, через два года, в 2016 году, ему целесообразно провести самооценку, а в 2018 – снова аудит.

Между самооценкой и аудитом скучать тоже будет некогда.

1 ноября 2012 года постановлением Правительства № 1119 были утверждены «Требования к защите персональных данных при их обработке в ИСПДн», среди которых – необходимость контроля за их выполнением оператором самостоятельно или с привлечением на договорной основе лицензиатов ФСТЭК не реже 1 раза в 3 года. Эти три года с момента установления нормы истекают как раз в ноябре 2015 года, значит, если банк этого не сделал раньше (а большинство КФУ, по нашим наблюдениям, этого не делало), в 2015 году надо провести проверку выполнения требований к защите персональных данных.

Как мы с вами помним, в соответствии с положением Банка России № 382-П, первая оценка выполнения его требований должна была завершиться не позднее 9 января 2014 года. Периодичность проведения оценок – раз в два года. Значит, до конца 2015 года надо провести и работу по 382-П, и не просто провести, а отчитаться за нее Банку России. Аналогичная работа должна быть проведена и в конце 2017 года, а в 2018 – снова аудит на соответствие СТО БР ИББС с привлечением внешней организации. И так по кругу.

Не будем забывать, что проверка – не самоцель, каждая из них должна заканчиваться анализом полученных результатов и выработкой предложений по результатам проверки, подготовкой и представлением руководству Банка предложений по совершенствованию системы защиты информации и программы аудита, а затем надо обеспечить еще и реализацию всех подготовленных предложений, получив для этого не только «добро» руководства банка, но и необходимые ресурсы.

А между всеми этими проверочными, планирующими и корректирующими мероприятиями должен, как это требует стандарт, вестись непрерывный мониторинг информационной безопасности и контроля защитных мер в банке в целях оперативного и постоянного наблюдения, сбора, анализа и обработки данных для контроля за реализацией положений внутренних документов по обеспечению информационной безопасности в банке, выявления нештатных, в том числе злоумышленных, действий в автоматизированной банковской системе и инцидентов информационной безопасности, а также анализ функционирования системы обеспечения информационной безопасности.

Вот такой вот вечный бой. В заключение – табличка, построенная исходя из того, что внешний аудит проводился банком в 2014 году и первое контрольное мероприятие выполнения требований в защите персональных данных будет в 2015 году.

2014	Аудит соответствия состояния информационной безопасности требованиям стандарта Банка России СТО БР ИББС 1.0-2014
2015 (до ноября)	Проверка выполнения требований к защите персональных данных при их обработке в ИСПДн и эффективности реализованных в рамках системы защиты персональных данных мер по обеспечению их безопасности
2015 (до 9 января 2016)	Оценка выполнения требований к обеспечению защиты информации при осуществлении переводов денежных средств, установленных Положением Банка России от 09.06.2012 № 382-П
2016	Проведение самооценки соответствия информационной безопасности требованиям стандарта Банка России СТО БР ИББС 1.0-2014
2017 (до 9 января 2018)	Оценка выполнения требований к обеспечению защиты информации при осуществлении переводов денежных средств, установленных Положением Банка России от 09.06.2012 № 382-П
2018	Аудит соответствия состояния информационной безопасности требованиям стандарта Банка России СТО БР ИББС 1.0-2014

И не забудем отправить в Банк России сведения о результатах оценки выполнения требований 382-П, «Подтверждения соответствия организации БС РФ стандарту Банка России СТО БР ИББС-1.0-2014» по результатам аудита и самооценки!

И опять про тайну связи – суды и мнения

Уже много раз повторялось, что российское законодательство, вводя ту или иную тайну и вводя ограничение доступа к ней, чаще всего не определяет, какие конкретно сведения относятся к той или иной охраняемой законом тайне. Не знаем мы, что конкретно скрывается за понятием «банковская тайна», тем более что Гражданский кодекс и закон «О банках и банковской деятельности» определяют ее несколько по-разному.

Такая же ситуация и с врачебной тайной, есть только косвенное определение в законе «Об основах охраны здоровья»: сведения о факте обращения гражданина за оказанием медицинской помощи, состоянии его здоровья и диагнозе, иные сведения, полученные при его медицинском обследовании и лечении, составляют врачебную тайну. «Иные сведения» допускают сколь угодно широкое толкование. Осложняется ситуация невозможностью разделить врачебную тайну и персональные данные, определить, что такое персональные данные, которые нельзя хранить за территорией Российской Федерации. Аналогичная ситуация с большинством видом профессиональных тайн.

Про тайну связи я писал уже не раз – например, здесь и здесь, в том числе – про позицию Конституционного Суда в отношении детализации переговоров.

В рамках завершившихся проектов для наших клиентов мы с тайной связи разбирались детально и провели подробный анализ судебной практики. Тем более, что появились новые решения, новые мнения и высказывания.

Напомню определение Конституционного Суда от 2 октября 2003 года № 345-О. В нем указано, что информацией, составляющей охраняемую Конституцией и действующими на территории Российской Федерации законами тайну телефонных переговоров, считаются любые сведения, передаваемые, сохраняемые и устанавливаемые с помощью телефонной аппаратуры, включая данные о входящих и исходящих сигналах соединения телефонных аппаратов конкретных пользователей связи (т.е. детализация переговоров), а для доступа к указанным сведениям органам, осуществляющим оперативно-разыскную деятельность, необходимо получение судебного решения. Та же позиция была подтверждена в определении Конституционного Суда от 21 октября 2008 г. № 528-О-О.

Отменяя решение Арбитражного суда города Москвы (АСГМ), касающееся тайны связи, Девятый арбитражный апелляционный суд (9ААС), ссылаясь на закон «О Конституционном Суде Российской Федерации», подчеркнул, что решения Конституционного Суда обязательны на всей территории Российской Федерации для всех представительных, исполнительных и судебных органов государственной власти, органов местного самоуправления, предприятий, учреждений, организаций, должностных лиц, граждан и их объединений. Это требование, по смыслу названного Федерального конституционного закона, распространяется на все решения Конституционного Суда Российской Федерации, независимо от того, в какой форме они выносятся, то есть не только на постановления, но и на определения и заключения.

Заодно суд второй инстанции, исходя из логики определения Конституционного Суда, посчитал, что тайну связи составляют также и сведения об IMEI (идентификационных номерах абонентских устройств). Такой вывод основан на том, что абонентские устройства приобретаются абонентом самостоятельно в торговой сети, которая реализует их без предъявления документа, удостоверяющего личность, в связи с этим IMEI абонентского устройства не относится ни к оператору связи, ни к самому абоненту. Абонент вправе использовать любые абонентские устройства, и оператор связи не обязан вести базу данных, содержащую сведения об этих устройствах. Информация об идентификационных номерах абонентских устройств IMEI устанавливается аппаратурой связи лишь при телефонных соединениях, то есть содержится только в протоколах соединений (детализациях) конкретных абонентов, SIM-карты которых использовались в данном телефонном аппарате. Т.е. для получения IMEI надо проанализировать протокол соединения, а это тайна связи, значит, и IMEI тоже.

Позиция суда второй инстанции была подтверждена Федеральным арбитражным судом Московского округа (ФАС МО) при рассмотрении кассационной жалобы. К таким же выводам пришли АСГМ, 9ААС и ФАС МО при оспаривании «Мегафоном» привлечения его ФСФР к ответственности за отказ предоставить детализацию переговоров. В 2014 году судьба сыграла с «Мегафоном» злую шутку, когда по иску Роскомнадзора оператор был оштрафован судом за нарушение лицензионных условий, выразившихся в передаче без согласия абонента детализации счетов, составляющих тайну связи, своей «дочке» – ОАО «Мегафон Ритейл».

К сожалению, в постановлении 9ААС, отменявшего решение АСГМ, о котором указано выше, не нашла оценки еще одна интересная позиция АГСМ: информация относительно абонентских номеров (т.е. номер телефона) не относится к информации, составляющей тайну телефонных переговоров, поскольку эти номера принадлежат операторам сотовой связи и выделены по договору для использования абонентами, следовательно, установление фактов использования абонентских номеров относится исключительно к информации о деятельности оператора сотовой связи.

Аналогичную позицию в марте 2014 года высказал начальник отдела управления Роскомнадзора по Псковской области, отвечая на вопрос руководителя управления территориального управления Роспотребнадзора, насколько легитимна СМС-реклама, поступающая к абонентам без их согласия, и могут ли сотовые операторы передавать номера абонентов для массовых рассылок. Он сообщил, что номер телефона не является собственностью абонента, поэтому говорить о нарушениях распространения персональных данных не приходится, а речь может идти речь только о нарушениях законодательства о рекламе. Так что составляет ли номер телефона тайну связи и относится ли он к персональным данным, мы так и не узнали.

А вот по вопросу о том, являются ли тайной связи адреса электронной почты, одни и те же суды пришли к прямо противоположным выводам. Рассматривая иск «Рамблер Интернет Холдинга» о признании незаконным привлечение его к ответственности за отказ предоставить такие сведения той же ФСФР, АСГМ отменил постановление ФСФР, поскольку при вынесении оспариваемого постановления ФСФР не была дана оценка доводам интернет-компании о том, что предоставление указанной информации невозможно без доступа к содержанию электронных сообщений, что повлечет нарушение тайны переписки. 9ААС посчитал решение суда первой инстанции ошибочным, решение отменил, и с этим выводом согласился суд кассационной инстанции. Причиной такого решения стало отсутствие обязательного предоставления персональных данных при создании почтового ящика в публичном сервисе. Из этого последовал не менее интересный вывод о том, что сведения об адресах электронной почты, с которыми пользователем осуществлялась переписка, не относятся к информации, указанной в п.3 ст.63 Закона о связи, т.е. к тайне связи. Кроме того, истец не предоставил доказательств того, что получение адресов требует доступа к содержанию электронных писем и невозможности перепрограммирования средств, с использованием которых эти адреса извлекаются. Суд кассационной инстанции посчитал эти выводы 9ААС правильными.

Рассматривая совершенно аналогичный иск компании «Мэйл.Ру», тот же АСГМ в удовлетворении его отказал. Но вдруг поменял свою позицию на 180 градусов 9ААС, решение АСГМ отменивший и указавший (внимание!), что судом первой инстанции не учтено, что истец направил в адрес административного органа письмо с отказом в предоставлении сведений об адресах электронной почты и отметил, что информация об адресах электронной почты может быть представлена исключительно через доступ к электронным сообщениям пользователей, что недопустимо. В постановлении прямо так и сказано: «Таким образом, Общество не просто отказалось предоставлять сведения об адресах электронной почты, а обосновало невозможность такого представления». Исходя из этого апелляционный суд пришел к выводу, что предписание о предоставлении документов, вынесенное руководителем ФСФР, не основано на законе, а привлечение к ответственности за отказ предоставить эти сведения подлежит отмене. Отвергая аналогии с делом «Рамблер Интернет Холдингом», 9ААС посчитал, что в рамках данного спора в отличие от предыдущего аналогичного дела интернет-компания обосновала отказ в предоставлении информации, т.е. дела не идентичны по своему содержанию.

Очень занятно, потому что обоснование отказа полностью у обоих истцов абсолютно одинаково. Интересно, будет ли кассационная жалоба, и что решит суд третьей инстанции, если он будет.

И еще одно наблюдение. Привлекая по ст.138 УК к уголовной ответственности за передачу детализации переговоров кому бы то ни было без решения суда и согласия абонента, общеуголовные суды с обоснованием того, что детализация – тайна связи, не заморачиваются. В редких приговорах можно найти анализ определения Конституционного Суда, о котором речь шла в начале поста. А в основном у судей нет никаких сомнений в том, что сведения о соединениях – это тайна, а ее раскрытие – преступление.

Так что разбираться с содержанием тайны связи мы будем еще долго и сложно, ломая копья и ноги. Выход, и очень простой, как мне кажется, есть.  Минкомсвязи могло бы ведомственным актом определить перечень сведений, составляющих тайну связи по аналогии с государственной и коммерческой тайной. Такой же путь предложен законом и для служебной тайны. Похоже, придется откорректировать закон и принять нормативный правовой акт. Как показывают весенняя и осенняя сессии Госдумы, принятые постановления «по закону о блогерах», при желании, это сделать можно было бы очень быстро. При наличии воли.

Персональные данные, из-за которых можно остаться без прав

Речь идет о водительских правах, т.е. водительских удостоверениях.

Сегодня вступило в силу Постановление Правительства РФ от 24.10.2014 № 1097 «О допуске к управлению транспортными средствами» (вместе с «Правилами проведения экзаменов на право управления транспортными средствами и выдачи водительских удостоверений»). Документ подготовлен в лучших традициях создания нормативных правовых актов последних лет. Опубликовано оно было в «Российской газете» 31 октября, т.е. как раз накануне четырехдневных каникул, а применяться стало сегодня, т.е. сразу по их окончанию.

Учитывая название и содержание сего документа, вряд ли его изучение было приоритетным занятием отдыхающего народа, а зря. Большинство читающих этот пост права давно получили, на экзамены не собираются и тратить свое время на изучение ненужного документа не будут. Но это как раз тот случай, когда два пишем, а один – в уме. Название – про одно, содержание – про другое, а последствия – совсем третьи.

Среди прочих нововведений в «Правилах проведения экзаменов» есть пункт 35, определяющий случаи, когда российское национальное или международное водительское удостоверение считается недействительным и подлежит аннулированию. Подпункт «б» относит к таковым изменение содержащихся в водительском удостоверении персональных данных его владельца.

То есть, если дама-водитель вышла замуж и получила паспорт с новой фамилией мужа, ее водительское удостоверение недействительно! Причем уже сегодня. Прямо с утра.

У гаишников появились возможности для нового, 1001 способа изъятия денежных средств граждан. Видите молодую особу в красненьком BMV, явно выглядящем как подарок? Отлично. Останавливаем, просим права, задумчиво рассматриваем и просим паспорт. Если фамилии разные – бинго! Поскольку удостоверение недействительно, есть все основания применять статью 12.7 КоАП «Управление транспортным средством водителем, не имеющим права управления транспортным средством», предусматривающую штраф от 5 до 15 тысяч рублей. Ну, и удостоверение, поскольку оно недействительно, скорее всего изымут. А если рядом сидит муж, который дал супруге порулить, к нему применима часть 3 этой же статьи, предусматривающая за передачу управления транспортным средством лицу, заведомо не имеющему права управления транспортным средством (за исключением учебной езды) или лишенному такого права, наложение штрафа аж в 30 тысяч рублей. Итого – 45 с одной остановки. Выглядит привлекательно.

Если среди ваших знакомых есть люди, недавно поменявшие «персональные данные», проще говоря, паспорт, обратите их внимание на ситуацию. При расхождении любых сведений (у меня, например, знакомый недавно поменял отчество на более благозвучное) надо срочно менять права. Во избежание последствий.

А ответ на вопрос, как и когда это должны были сделать люди, узнавшие о нововведении в период праздников и попавшие в первый же рабочий день под раздачу, оставим на совести авторов документа. 

Выплеснутый из коммерческой тайны с 1 октября

Приведение в соответствие нормативной базы заказчиков, регламентирующей обеспечение режима коммерческой тайны в соответствие с изменениями в Гражданском кодексе и соответствующем федеральном законе (35-ФЗ от 12.03.2014), вступающими в силу сегодня (1 октября 2014 года), натолкнули на еще одно неприятное открытие, которое я при первом анализе нововведений законодательства не заметил.

Я уже писал, что совершенно не понимаю сути новых изменений и причин их появления, а также преследуемой этими изменениями цели. Изменения очень существенные, и, похоже, как всегда готовились второпях. Отсюда и возмещение работником убытков работодателя, полученных вследствие разглашения коммерческой тайны, а не прямого действительного ущерба, и возможность использовать коммерческие секреты «для собственных нужд».

Выплеснули законодатели из закона вместе с водой и ребенка, но в мутной воде очередной редакции этого сразу не видно.

Когда готовилась первая редакция четвертой части Гражданского кодекса, и нормы, регулирующие вопросы охраны конфиденциальности коммерческих секретов, распределялись между кодексом и новой редакцией закона «О коммерческой тайне», из закона была исключена статья 12, устанавливающая требования к содержанию гражданско-правого договора, а в кодексе появились статьи, определяющие порядок заключения договора уступки исключительного права на секрет производства и лицензионного договора о предоставлении права использования секрета производства. После «официального развода» понятий с 1 октября эти нормы нельзя применять к информации, составляющей коммерческую тайну (ИКТ), но не являющейся секретом производства, ввиду их специальности, а в законе «О коммерческой тайне» соответствующих требований не появилось.

И еще. В четвертую часть Гражданского кодекса была включена важнейшая, на мой взгляд, статья 1467, устанавливающая норму, в соответствии с которой исключительное право на секрет производства действует до тех пор, пока сохраняется конфиденциальность сведений, составляющих его содержание, а с момента утраты конфиденциальности соответствующих сведений исключительное право на секрет производства прекращается у всех правообладателей. Эта норма в какой-то мере компенсировала отсутствие обязательности государственной регистрации права и прямо указывала обладателю охраноспособной информации на риски, связанные с выбором способа защиты вне области патентного права.

Такой же порядок, исходя из определения, должен устанавливаться и в отношении ИКТ («имеют действительную или потенциальную коммерческую ценность в силу неизвестности их третьим лицам»), однако в законе и это требование не появилось. Теперь большим вопросом становится правомерность охраны ИКТ в режиме коммерческой тайны после утраты конфиденциальности, когда обладатель пытается, но может реализовать свое предусмотренное законом право требовать от лиц, получивших доступ к ИКТ в результате действий, совершенных случайно или по ошибке, охраны конфиденциальности этой информации или защитить свои права в случае разглашения, незаконного получения или незаконного использования третьими лицами ИКТ.

Опять будем ждать наработки практики правоприменения и очень хочется надеяться, что суды не будут принимать прямо противоположные решения при одних и тех же обстоятельствах, как это было в первые годы после появления ст.183 в Уголовном кодексе и вступления в силу закона «О коммерческой тайне». 

Что изменится в государственном регулировании коммерческой тайны с 1 октября, а также немного о персональных данных

Ближе к осени в наше агентство стало поступать все больше вопросов, связанных с серьезными изменениями законодательства о коммерческой тайне, поэтому я и принял предложение нашего партнера Учебного центра «Информзащита» поучаствовать в конференции по экономической безопасности, которая пройдет 24 сентября 2014 года в рамках выставки Infosecurity.

Тема моего выступления – «Что изменится в государственном регулировании коммерческой тайны с 1 октября». Время и место: 24 сентября, 11:30–12:00. Москва, Крокус Экспо, пав.1 зал 1, конференц-зал D.

О некоторых изменениях я уже писал. Вопросы, которые только затронем (лимит времени, детально – на моих курсах и семинарах):

·         Понятия разделились. Дьявол в деталях.

·         Большие последствия изменения нескольких слов.

·         Какие положения утратили силу.

·         Принципиально новое в ФЗ «О коммерческой тайне».

·         Новые обязанности работника по охране конфиденциальности информации.

·         О возмещении убытков, причиненных разглашением информации.

·         Права работников на вознаграждение.

А после обеда 24-го сентября выступлю с занимательным докладом (дали только 20 минут) в рамках круглого стола «Защита персональных данных», который буду проводить (14:20–17:00 / Зал K2). Запланированы выступления:

·        Что и почему необходимо изменить в законе о персональных данных. Михаил Емельянников, управляющий партнер, консалтинговое агентство "Емельянников, Попова и партнеры".

·        Персональные данные - трудности перевода. Михаил Яценко, исполнительный директор Национальной Ассоциации Дистанционной Торговли. 

·        Практика разрешения судебных споров, связанных с персональными данными. Наталья Храмцовская, ведущий эксперт по управлению документацией ЭОС.

·        Новые инициативы регулирования персональных данных в России: риски для Интернет индустрии. Ирина Левова, руководитель отдела стратегических разработок Российской Ассоциации электронных коммуникаций.

·        Закон о персональных данных и электронная коммерция. Павел Манык, ведущий юрист юридической компании "Зарцын и партнеры". 

·        Защита персональных данных в микрофинансовых организациях: решение проблем правоприменения. Алексей Чирков, советник по правовым вопросам Российского микрофинансового центра. 

·        Закон "О запрете хранения ПДн за границей". Илья Романов, заместитель руководителя отдела консалтинга, ЗАО "ДиалогНаука".

·        Можно ли пользоваться иностранными облачными платформами с точки зрения законодательства РФ в области защиты ПДн? Александр Барышников, руководитель направления отдела консалтинга ДКА ЗАО НИП "Информзащита".

Что нового для специалистов по информационной безопасности

Весна и лето этого года были как никогда урожайны на законодательные изменения, затрагивающие вопросы обеспечения информационной безопасности. Про многие из них я писал в своих постах: про коммерческую тайну и секреты производства; про материальное стимулирование работников к созданию охраноспособных секретов; про хранение баз персональных данных россиян на территории России и блокировку сайтов операторов, нарушающих закон, про вывод надзора за выполнением требований законодательства о персональных данных из-под регулирования 294-ФЗ; про блогеров и не-блогеров; про организаторов распространения информации в сети интернет и организацию у них СОРМ; про идентификацию пользователей публичного интернета и уточнение его порядка в новом постановлении правительства и разъяснениях Минкомсвязи.

И это еще не все. Принято еще несколько постановлений правительства, все эти вопросы конкретизирующих или окончательно запутывающих. Готовится приказ Минкомсвязи «Об утверждении требований к оборудованию и программно-техническим средствам, используемым организатором распространения информации в сети «Интернет» в эксплуатируемых им информационных системах». Роскомнадзор активно применяет такую форму надзорной деятельности, как систематическое наблюдение, и блокирует сайты с персональными данными, не дожидаясь 1 октября 2016 года.

Читать посты – это, конечно, хорошо, но мало, чтобы разобраться в проблеме. Тем более, что уже завтра – 1 сентября, начало нового учебного года для всех образовательных учреждений.

В октябре мы, совместно с нашими партнерами, запускаем программу нового семинара – «Изменения в законодательстве о персональных данных и коммерческой тайне, правоприменительной практике и их влияние на бизнес». Семинар рассчитан на тех, кто уже в теме, и хочет оставаться в тренде. Подробно расписывать содержание не вижу смысла, вот его программа:

1.   Изменения в законодательстве о коммерческой тайне

·       Информация, составляющая коммерческую тайну, и секрет производства (ноу-хау) после 1 октября 2014 года. Можно ли защитить секрет производства, не устанавливая режим коммерческой тайны?

·       Права обладателя информации, составляющей коммерческую тайну.

·       Новый порядок возмещения убытков, причиненных обладателю секретов, вследствие разглашения информации, составляющей коммерческую тайну.

·       Материальное поощрение работника, создавшего секрет производства – добрая воля или обязанность работодателя? Постановление Правительства РФ от 04.06.2014 № 512 «Об утверждении Правил выплаты вознаграждения за служебные изобретения, служебные полезные модели, служебные промышленные образцы».

2.   Изменения в законодательстве о персональных данных

·       99-ФЗ: изменения в 14 федеральных законах. Зачем, почему и к чему это приведет. Какие организации могут передавать персональные данные субъектов третьим лицам без согласия и в каких целях. Изменения в Трудовом и Гражданском процессуальном кодексе, законе «Об образовании», касающиеся персональных данных. Изменения в законах, регулирующих конкретные сферы деятельности.

·       242-ФЗ: это закон не только о местах хранения баз персональных данных россиян. Когда и кому можно хранить базы данных за рубежом. Порядок блокировки доступа к сайтам в сети интернет лиц, нарушающих Федеральный закон «О персональных данных». Вывод надзора в сфере персональных данных из юрисдикции Федерального закона № 294-ФЗ «О защите прав юридических лиц и индивидуальных предпринимателей при осуществлении государственного контроля (надзора) и муниципального контроля».

·       Полномочия органов прокуратуры в отношении доступа к персональным данным.

·       Передача персональных данных при уступке прав требования. Агентирование при взыскании просроченной задолженности.

·       Доступ к банковской тайне и новая редакция ст.26 закона «О банках и банковской деятельности».

·       Обработка персональных данных при оказании государственных и муниципальных услуг. Нужно ли согласие субъекта на обработку, если да – в каких случаях.

·       97-ФЗ - закон не о блогерах. Блогеры, владельцы сайтов и организаторы распространения информации. Порядок хранения информации о блогерах и посетителях сайтов, оставивших сообщения. Какое отношение блогеры имеют к электронным платежам? Порядок ограничения доступа к информационному ресурсу организатора распространения информации в интернет. Требования постановлений Правительства РФ, принятых в связи с «законом о блогерах».

·       О некоторых новых базах персональных данных с неограниченным и ограниченным доступом и нормативных правовых актах, на основании которых они созданы.

3.   Новое в правоприменительной практике в сфере персональных данных

·       Блокирование Роскомнадзором сайтов с персональными данными через механизм единого реестра запрещенной информации. За что, почему и как.

·       Мероприятия Роскомнадзора по систематическому наблюдению за операторами персональных данных. Что это такое, как происходит и к каким последствиям приводит.

·       Разъяснения Роскомнадзора по вопросам отнесения фото-, видеоизображений, дактилоскопических данных к биометрическим персональным данным и особенностям их обработки.

·       Судебная практика, связанная с получением доступа к персональным данным и тайне связи Банком России в рамках противодействия инсайдерской деятельности и манипулированию рынком.

·       Передача персональных данных и иной охраняемой законом тайны дочерним предприятиям, обслуживающим население. Взаимодействие с агентами, заключающими договоры с физическими лицами в интересах оператора персональных данных. Обзор судебных решений.

Премьера курса – 10 октября в Самаре в центре «Технологии управления бизнесом» и 16 октября в Москве, в Учебном центре «Информзащита». Будут ли это разовые мероприятия, или чтение этого курса продолжится и далее, мы еще не решили. Так что желающим разобраться в нововведениях детально, лучше посетить одно из этих двух мероприятий. Учебный центр организует также и дистанционное участие в мероприятии.

Безусловно, новые нормы законодательства и постановлений правительства, указанные в программе, найдут свое отражение и в тех курсах, которые будут проводиться осенью: КП32 «Защита персональных данных» 15-16 сентября и 13-14 октября, КП30 «Реализация режима коммерческой тайны на предприятии 13-14 ноября в Учебном центре «Информзащита», «Сложные проблемы применения законодательства о персональных данных в кредитно-финансовых учреждениях» 25 сентября и «Реализация режима коммерческой тайны» 26 сентября в НП «БизнесШколаКонсультант».

Постановление не про WiFi: продолжение последовало. На принтере появилась турбокнопка

Совсем недавно я писал про постановление Правительства от 31.07.2014 № 758 об идентификации пользователей интернета и высказывал предположение о том, что авторы документа не совсем поняли, что же они написали. Подтверждением этого, на мой взгляд, являются впечатляющие комментарии к нормативному акту, в первую очередь от ведомства его написавшего – Минкомсвязи, которое, не указывая номер постановления Правительства, допустило возможность использования провайдерами способов идентификации, правилами оказания услуг связи не предусмотренными. Еще дальше пошел Артем Ермолаев, руководитель департамента информационных технологий Москвы. Он вообще решил опровергнуть введение новых требований. В сложившейся ситуации вынуждено было сказать свое слово устами пресс-секретаря премьера и Правительство. Наталья Тимакова сообщила, что «в закон, норма которого предусматривает запрет на анонимный Wi-Fi, могут быть внесены изменения».

Вчера на сайте Минкомсвязи появился новый комментарий «Утверждены разъяснения к порядку идентификации пользователей для доступа к Wi-Fi в публичных местах». В нем, опять без ссылки на номер и дату постановления Правительства, сообщалось что оператор связи, перед открытием доступа в интернет, может предложить пользователю ввести номер своего мобильного телефона, на который будет направлен код для подтверждения введенных данных, либо указать свою фамилию, имя и отчество, которые подтверждаются учетной записью на Едином портале государственных услуг, документом, удостоверяющим личность, или иным способом, не противоречащим законодательству. Я даже растерялся. Что, опять?!

Наши аналитики исследовали ситуацию и принесли искомую сахарную косточку – Постановление Правительства РФ от 12.08.2014 № 801 с уже «горячо любимым» названием «О внесении изменений в некоторые акты Правительства Российской Федерации».

На самом деле это не про некоторые акты. Это конкретно про правила оказания универсальных, телематических услуг и услуг передачи данных. Тех самых, в которые за две недели до этого уже были внесены изменения тем самым постановлением № 758. Каких-либо упоминаний об этом ни в новом постановлении, ни в комментарии регулятора на официальном сайте, естественно, нет.

Что же поменялось на этот раз? Во всех трех правилах в дополнение к «паспортной» идентификации пользователя интернета добавилась возможность идентификации «либо иным способом, обеспечивающим достоверное установление указанных сведений, в том числе с использованием федеральной государственной информационной системы "Единая система идентификации и аутентификации в инфраструктуре, обеспечивающей информационно-технологическое взаимодействие информационных систем, используемых для предоставления государственных и муниципальных услуг в электронной форме", или достоверного установления абонентского номера, назначенного пользователю в соответствии с договором об оказании услуг подвижной радиотелефонной связи, заключенным с оператором связи». Т.е. те способы, о которых было сообщено в первом комментарии Минкомсвязи, но которых в предыдущем постановлении не было. Изменения вносятся как раз в новые пункты, добавленные в правила 31 июля.

Но это не все. Как это принято для документов с названием «О внесении изменений в некоторые...», там поставлена такая незаметная растяжка, привязанная к чеке небольшой бомбы. В первых абзацах п.24.1 правил оказания услуг передачи данных и п.17.1 правил оказания телематических услуг исключены слова «оператора связи». Простенько так и со вкусом. Как выглядят абзацы теперь, в постановлении и комментарии ведомства, естественно, не сказано.

А редакция у них теперь весьма интересная. «В случае заключения срочного договора об оказании разовых … услуг связи в пунктах коллективного доступа осуществляет идентификацию пользователей и используемого ими оконечного оборудования оператора связи». Простите, а кто же осуществляет теперь идентификацию? Вы уже, конечно, догадались? Да, правильно. Персонал кафе или аэропорта, где установлен Wi-Fi-роутер, администрация парка Горького и московского метрополитена и т.д. Правда, постановлением на них такая обязанность прямо не возложена, и оператору связи, предоставляющему доступ в интернет, придется прямо указать об этом в договоре с клиентом-юридическим лицом, чтобы выполнить требование правил оказания услуг связи. И какая-нибудь «Сладкарница» окажется теперь перед непростым выбором – отказаться от Wi-Fi, из-за которого именно в это, а не другое кафе приходит значительная часть посетителей, требовать с посетителей паспорта и фиксировать эти данные перед выдачей или не соблюдать условия договора с оператором.

Последний вариант раскручивает еще один клубок проблем. Поскольку ответственности за невыполненную идентификацию пока вроде бы нет, владельцу кафе это вроде бы никак не угрожает. Но не будем забывать, что за требованием идентификации стоит СОРМ, несоблюдение требований к которому чревато приостановкой, а то и лишением оператора лицензии. Значит, ответственность владельца кафе будет определяться в рамках регресса, т.е. требования оператором возмещения убытков в связи с приостановкой или отзывом лицензии. Все задумались.

Я понимаю, что призывать думать, прежде чем писать нормативные правовые акты – это голосить в пустыне. Но хоть кто-то за такие перлы должен отвечать? По все чиновничьим нормам господин Ермолаев должен уйти в отставку – он дал заведомо ложную информацию о требованиях постановления правительства страны. Должны полететь головы в Минкомсвязи, которые придумали сначала первый документ, а через две недели, еще немного подумав, изменения в него. Кто-то должен разобраться, в чем причина сложившейся ситуации, и чья конкретно некомпетентность к этому привела.

Владельцам коллективных точек доступа в интернет я теперь не завидую. У них нелегкий выбор, и все стрелки переведены на них.