Изменившийся мир, в котором мы живем

Тема персональных данных утомила всех. В ожидании Совета Федерации и подписи Президента под новой редакцией ФЗ-152 «О персональных данных» самое время перевести дух и сказать о том, что кажется важным.

И ФЗ-152, и WikiLeaks, и РосПил – все это следствия того, что за последние 20 лет мир стал совсем другим. Радикально другим. А мы не хотим этого замечать и с этим соглашаться. Первый раз я говорил об этом на Positive Hack Days. Поскольку презентация опубликована и без сопроводительного текста не дает полного представления о проблеме, решил этот текст привести тезисно.

Итак, наш мир радикально изменился. И изменили его конкретные люди, которые создали новые технологии  для этого мира или заставили всех вокруг играть по новым правилам. Кто они? Всех не перечислишь, но для меня главными являются те, о которых ниже.

Тим Бернерс-Ли, который не только  вместе с Робертом Кайо создал WWW – распределенную систему, предоставляющую доступ к связанным между собой документам, расположенным на различных компьютерах, подключенных к Интернету, но и стал первым в мире блоггером.

Брэд Фицпатрик, основатель LiveJournal – платформы для создания, ведения и использования блогов, навсегда изменившей представление об источниках информации.

Кевин Митник, показавший, что человек, поселивший свой образ в цифровом мире, беззащитен.

Марк Цукерберг, создавший Facebook, объединяющую в единую сеть не компьютеры и документы, а людей, открыв их электронные души всему миру.

Джек Дорси, Twitter которого сделал обмен информацией между неограниченным количеством людей, в том числе ранее незнакомых, таким же простым, как между ближайшими родственниками и друзьями.

Эрик Шмидт, который ввел в оборот термин «облачные вычисления» (Cloud Computing), определивший, похоже, вектор развития ИТ-технологий на длительную перспективу.

Джулиан Ассанж, создатель WikiLeaks – сайта для «неотслеживаемой публикации и анализа документов, ставших доступными вследствие утечки информации», уничтожил традиционное понимание государственных секретов.

Алексей Навальный, объединивший возможности цифрового мира, право любого на совладение корпорациями и право на свободное добывание и распространение информации, создав тем самым прецедент уничтожения понятия коммерческих секретов.

В результате изменений, внесенных этими людьми, все мы стали жить в другом мире, мире без границ, без цензуры, фактически – без права на сохранение тайн и без сложившейся веками системы создания и распространения информации. И стал ли этот мир лучше в самом широком смысле этого слова, лучше для людей, лучше для государств, лучше для общества, - это еще очень и очень большой вопрос. Он – другой.

Не надо забывать, что все эти люди – не альтруисты. Они бизнесмены, и очень успешные. По оценкам различных источников, сегодня Livejournal.com стоит примерно 33 млрд. долларов, личное состояние Марка Цукерберга – 13,5 млрд. долларов, стоимость Twitter – примерно 10 млрд. долларов, на сайте WikiLeaks есть весьма характерные слова «Свобода слова не бесплатна!».
И у всех этих новых черт нашего мира есть отчетливая коммерческая составляющая, приносящая выгоду, и немалую, вполне конкретным людям.

Кроме того, новые технологии – это не только новые возможности, но и новые, неизведанные угрозы. Говоря об облачных вычислениях, Дмитрий Пучков, известный в России больше как Goblin, отмечал: «Доверять важные данные посторонним сервисам - на мой взгляд, безумие. Ну, то есть, баловство всякое доверять можно, а вот сохранением серьёзного надо озаботиться самому». Ему вторит гуру открытого ПО Ричард Столлман: «Пусть правительство США поощряет людей к хранению информации в облаке, где правительство США может ее получить, не предъявляя никаких бумаг. И лучше нам держать под контролем свои данные и информацию, иначе эта возможность может и исчезнуть».

Радикальное изменение источников информации привело к тому, что вместо газет, радио и телевидения мы все чаще и чаще обращаемся к  новостным сайтам, заглядываем в социальные сети и блоги. И на вопрос: «Кому верить?» ответ надо давать самим. Государства не отвечают за достоверность нецензурируемой информации. За достоверность не отвечает вообще никто.

За последние годы и месяцы мы убедились, что социальные сети и блоги могут для значительного количества людей не только полностью заменить СМИ, но и стать топкой для разжигания революций в Магрибе или сегодня – в Белоруссии. Но они же могут дать и неограниченную ничем, кроме воли участника, информацию, в том числе для преступных действий. История с Иваном Касперским – наглядное тому подтверждение.

Пора сформулировать новое правило Миранды, правило для цифрового мира: «Все, что вы указали о себе в социальной сети, блоге, форуме, чате, любом общедоступном сервисе, будет храниться там вечно и всегда может быть использовано против вас».

И мы не знаем ответа на вопрос, что же на самом деле делает Джулиан Ассанж. Реализует право каждого на доступ к информации? Занимается международным терроризмом в информационной сфере? Разрушает вековые устои информационного сообщества? Посягает на мировое лидерство США? Или выполняет проплаченные заказы, сливая полученную в их рамках информацию? Каждый может дать свои ответы на эти вопросы или сформулировать другие.

Чем же так опасен Ассанж и его WikiLeaks для традиционной государственности? Лучше всего, по моему мнению, об этом сказал словенский философ Славой Жижек: «Порой произнесение вслух того, что все знали и так, может все изменить».

И все изменилось. Современное государство, пока в Интернете, но похоже, уже не только в нем, похоже на Гулливера в стране лилипутов, окутываемого и сковываемого тысячами тончайших нитей, натянутых одиночками вроде Ассанжа, Навального или авторов вчерашнего открытого письма Президенту РФ по поводу ФЗ-152. И не считаться с ними становится все труднее и труднее.   Недаром США тратят столько усилий на борьбу с WikiLeaks, Конституционный суд РФ признает право Навального на доступ к коммерческой тайне крупнейших корпораций, а Лукашенко бессильно смотрит на аплодирующих на улицах Минска людей.

Подводя итоги, попытаюсь сформулировать, чем сегодняшний цифровой мир так радикально отличается от вчерашнего, аналогового:

·  Интернет породил неиерархическую систему создания и распространения информации;

·  Традиционные способы хранения и защиты информации в этой системе уже не работают;

·  Традиционные способы контроля не эффективны;

·  Традиционная ответственность не применима;

·  Источники утечки плохо поддаются анализу.

В изменившемся мире каждому рано или поздно придется отказаться от привычек оставлять свои «следы», не думая о последствиях этого, строго разделить свободно распространяемую информацию и ту, доступ к которой надо ограничить и радикально изменить режим работы с информацией ограниченного доступа.

Ну, и понять, наконец, что Интернет – не только огромное хранилище знаний, но и огромная помойка. 

Открытое письмо Президенту РФ Д.А.Медведеву

Поддерживаем и присоединяемся  к инициативе коллег:

Емельянников Михаил Юрьевич,

Попова Зоя Владиславовна

(Консалтинговое агентство «Емельянников, Попова и партнеры»)

Уважаемый Дмитрий Анатольевич!

Мы, представители экспертного сообщества в области информационной безопасности, обращаем Ваше внимание на невыполнение вашего поручения №5, опубликованного 2 июня 2011 года на сайте kremlin.ru http://kremlin.ru/assignments/11427 , а именно:

5. Ускорить приведение законодательства Российской Федерации в соответствие с требованиями Конвенции Совета Европы «О защите физических лиц при автоматизированной обработке персональных данных», предусмотрев устранение необоснованных обременений для операторов персональных данных.
Ответственные: Щёголев И.О., Бортников А.В., Нургалиев Р.Г.
Срок – 1 августа 2011 г.

Обладая определенным опытом работы в области защиты информации и в частности защиты персональных данных, а также являясь экспертами различных рабочих групп, занимающихся вопросами гармонизации российского законодательства в области персональных данных, мы заявляем, что вследствие принятия 5 июля 2011 года в третьем чтении Государственной Думой законопроекта № 282499-5 "О внесении изменений в Федеральный закон "О персональных данных" (далее - Законопроект) все существовавшие серьезные обременения для операторов не только сохранились, но и приумножились.

Частью 1 статьи 20 Конвенции Совета Европы “О защите физических лиц при автоматизированной обработке персональных данных”, подписанной от имени РФ 07.11.2001 в г. Страссбург (далее - Конвенция) предусмотрена норма, согласно которой оператор персональных данных самостоятельно принимает решение о составе защитных мер, исходя из предполагаемого ущерба субъекту от их неправомерного использования. В случае утечки, ответственность ложится на оператора по всей строгости закона. Указанные в Законопроекте требования по защите данных носят обязательный характер, их состав жестко регламентирован и не зависит от предполагаемого ущерба субъекту. В тоже время, ответственность операторов за утечки Законопроектом не предусмотрена. Другими словами, Законопроект не соответствует духу Конвенции.

Российским операторам персональных данных (почти всем юридическим лицам) Законопроект навязывает требования по защите данных, ранее содержавшиеся в подзаконных и ведомственных нормативных актах ФСТЭК и ФСБ, которые абсолютно не учитывают современные тенденции развития информационного общества. Слегка “подкорректированные” методы и способы защиты государственной тайны 20-летней давности стали обязательными для 7 миллионов операторов персональных данных. А среди них не только «богатые» банки или нефтяные компании, но и фермерские хозяйства, школы, поликлиники и даже индивидуальные предприниматели - все они обрабатывают персональные данные, как минимум, своих работников.

Как следствие, принятый Законопроект обязывает операторов персональных данных тратить ресурсы на выполнение морально устаревших требований и покупку несоответствующих современным реалиям технических средств защиты информации. По оценкам Парламентских слушаний 20 октября 2009 года (http://www.aksakov.ru/media/File/filelist/st08.doc), на реализацию этих, неэффективных в деле защиты прав субъектов персональных данных, мероприятий, всеми хозяйствующими субъектами должна быть единовременно потрачена сумма около 6% ВВП РФ. Учитывая объемы затрат операторы, с очень большой вероятностью, переложат указанные расходы на субъектов - потребителей своих услуг, что неизбежно приведет к эскалации инфляционных процессов.

Особо отмечаем, что Законопроект не проходил антикоррупционную экспертизу, а большие обременения, заложенные в Законопроекте, могут весьма существенным образом сказаться на развитии ИТ-инноваций в РФ, поскольку инвестиционный бюджет ИТ-стартапов весьма ограничен. Учитывая объемы затрат, наиболее востребованный экономикой инновационный вид бизнеса в РФ будет заведомо обречен на провал.

Эти и другие факторы создают предпосылки для вывода существующих и создаваемых информационных систем за пределы России в страны Евросоюза, где требования к защите персональных данных учитывают современные тенденции и обеспечивают баланс интересов оператора и субъекта. Такие действия, по понятным причинам, могут нанести значительный ущерб безопасности России, и не способствуют соблюдению прав субъектов персональных данных, являющихся гражданами РФ.

Просим Вас, принимая во внимание изложенные доводы, отклонить законопроект в существующем виде, и направить его на общественные слушания и соответствующую доработку с привлечением экспертного сообщества в области информационной безопасности и, в частности, защиты персональных данных.

06.07.2011
Письмо подписали:

Бондаренко Александр
Волков Алексей
Лукацкий Алексей
Токаренко Александр
Царев Евгений

Письмо направлено через http://letters.kremlin.ru/

Коллеги!

Чтобы повысить эффективность данного письма, очень желательно направить его лично от своего имени в адрес Президента через сайт kremlin.ru. Там необходимо ввести свои фамилию, имя и адрес электронной почты, и приложить файл с обращением в формате RTF - забирайте, замените "подписантов" на свое имя и отправляйте! Чем больше запросов будет в адрес Президента, тем больше шансов, что на письмо обратят внимание.

Хорошо бы и сообщить о присоединении к данной инициативе на одном из сайтов инициаторов письма.

Что третье чтенье нам готовит?

Как и планировал, в выходные посидел-покумекал с тем, что прошло второе чтение. Радости это не принесло, особых огорчений тоже.

Комментариев уже дали много, самых разных. Согласен со многими, но не со всеми. Что показалось важным мне?

Существенно ближе к Европе мы не стали. Всяких там либеральных глупостей, типа четко прописанного в законе баланса интересов субъекта и оператора, соразмерности мер защиты рискам и учета реальных возможностей оператора никто и не ждал. Требований при защите персональных данных не создавать помех развитию рынка, внедрению новых технологий и функционированию оператора – тем более. Но вот на устные согласия, конклюдентные действия и право оператора самому определять адекватные меры защиты в зависимости от особенностей бизнеса, процессов, вида и объемов персданных в виде соглашения между ним и субъектом – надежды были. Зря.

Где стали ближе? Появился обработчик, нигде в законе не называемый, но незримо присутствующий. Подумавши, думцы назвали его «лицом, осуществляющим обработку персональных данных по поручению оператора». Появились ограничения на частоту и обоснованность запроса субъекта к оператору – раз в 30 дней с обоснованием оснований для запроса (номер договора или иные сведения, подтверждающие участие субъекта персональных данных в отношениях с оператором). Таким образом, тема DDoS атак бабушек на банк за 50 рублей нала если не умерла, то притихла. Увеличились сроки реакции оператора на инициативы субъекта – почти везде до 30 дней вместо 3 или 7 рабочих. Хотя Европе на эти сроки было как-то наплевать

Что еще порадовало? Слова о допустимости принятия закрытых нормативно-правовых актов (НПА) по персданным в новый проект не включены. В связи с этим весьма интересной становится судьба Постановления Правительства № 330 2010 года и закрытой части документов ФСТЭК по ПЭМИНам. В проекте наконец-то появилось требование о соответствии сроков обработки персданных федеральным законам вообще, а не только ФЗ-152, и абсурдные требования, связанные с трехдневным сроком их уничтожения после достижения целей обработки, похоже, исчезают.

Кое-что позабавило. Уши лоббистов торчат, при поверхностном прочтении, минимум в двух местах. Несколько раз в тексте появляется упоминание про обеспечение устойчивого и безопасного функционирования транспортного комплекса. Очень хотелось бы узнать про защиту прав личности (моей, в частности) в сфере транспортного комплекса от актов незаконного вмешательства, которая является основанием для обработки моих персданных без моего же согласия.

Наряду с субъектом в законе сплошь и рядом в обнимку идут выгодоприобретатель и поручитель. Выгодоприобретателя оставим для более подробного анализа в будущем, а про поручителя выскажемся. В соответствии с Гражданским кодексом, договор поручительства заключается только в письменной форме. Зачем выделять эту категорию субъектов отдельно – совершенно не ясно. А уж если идти по этому пути, почему в стороне остались застрахованные лица, получатели по счетам и получатели денежных переводов, лица, имеющие право управления по счету клиента, плательщики и вносящие денежные средства на счет субъекта и т.д  и т.п. Персданные огромного количества различных категорий субъектов попадают к оператору без их участия. Чем заслужили особые привилегии выгодоприобретатели и поручители - сказать трудно.

Элегантно разрешена проблема с биометрией. Если фото используется для установления личности субъекта персональных данных - это биометрические данные. А в остальных случаях – похоже, нет. Посмотрим, что из этого выйдет.

Предвижу весьма пикантную ситуацию в связи с определением адекватности защиты в иностранных государствах, в которые осуществляется трансграничная передача персональных данных. На сегодняшний день, в соответствии с разъяснением Роскомнадзора, в адекватные (т.е. обеспечивающие соответствующую защиту персональных данных) не попали такие не последние экономические партнеры России, как США, Китай, Украина или Казахстан (список длинный). Пока это мнение, размещенное на сайте, особо никого оно волнует. Но теперь формирование списка адекватных – прямая обязанность уполномоченного органа по закону. Реакция не попавших в заветный перечень может быть весь непредсказуемой.

Ну, и, наконец, что огорчило. Сильно.

По-прежнему вне правового поля – вся электронная коммерция. С доказуемым согласием там ничего не изменилось. Его нет и пока не будет. Значит – оператор всегда виноват. Не получила законного обоснования стандартная схема вызова врача по телефону или идентификация клиента в банке – нет не только подтверждаемого согласия, но и не снимается проблема получения его не от субъекта. 

Самая главная проблема нового закона – обеспечение безопасности. Статьи 18 прим и 19 противоречивы, сумбурны и непоследовательны.  Начинается все за здравие. Оператор самостоятельно определяет состав и перечень мер, необходимых и достаточных для обеспечения выполнения обязанностей, предусмотренных настоящим ФЗ и принятыми в соответствии с ним НПА. Далее идет замечательная формулировка «К таким мерам могут, в частности, относиться», в силу норм русского языка свидетельствующая об их необязательности (могут относиться, а могут и нет). А дальше – странное. Одной из этих вроде бы необязательных мер является определение политики в отношении обработки персональных данных. А вот ее публикация – уже обязательна.

То же самое – с назначением оператором лица, ответственного за организацию обработки персональных данных. Появляется целая статья 22 прим про это лицо, а указание его персданных (если оно – физическое) становится обязательным в уведомлении об обработке, и согласия никто спрашивать не будет.

Наконец, для доказательства выполнения этих вроде бы необязательных мер, оператор обязан, по запросу Роскомнадзора, представить документы и локальные акты, подтверждающие их принятие. Возможность самостоятельно определить меры защиты напрочь снимается правом Правительства устанавливать требования для любых операторов «с учетом возможного вреда субъекту персональных данных, объема и содержания обрабатываемых персональных данных, вида деятельности, при осуществлении которого обрабатываются персональные данные, актуальности угроз безопасности персональных данных». Разрушена может быть не нравившаяся многим, но жесткая конструкция между ФЗ-152 и ФЗ-294: правительство устанавливает обязательные требования, которые являются предметом проверки при  госконтроле и надзоре. Теперь понять, какие требования являются обязательными, решительно невозможно. Утешает только   необходимость определения Правительством организаций, подлежащих контролю и надзору и эксплуатирующих системы, не являющиеся государственными.

Еще о грустном. Значительно расширено содержание уведомления об обработке. Теперь оно автоматически транслируется из Роскомнадзора в ФСБ и ФСТЭК.

Ну, и масса всего по мелочам.

Закон явно готовился в колоссальной спешке. Как занятное подтверждение этого - включение цели обработки персданных одновременно в п.п.2 и 3 части 7 ст.14. Есть масса других ляпов, но места и времени их описывать уже нет.

Ждем третьего чтения. Что день грядущий нам готовит?

«Отец» ФЗ-152 о втором чтении поправок Резника-Плигина-Московца

Ю.В.Травкин, фактический автор текста, ставшего основой ФЗ-152 «О персональных данных», в курсе событий как никто другой. И предположение относительно детектива было очень правильным и про политику тоже. Остальное – читайте. Мои комментарии – завтра.

Второе чтение... В пятницу к концу Пленарного заседания ГД принят-таки во втором чтении законопроект, содержащий новую редакцию ФЗ-152 (т.н. "проект Резника").

"Таки" - потому, что более-менее сформированный текст был подготовлен ответственным Комитетом (В.Н.Плигина) гораздо раньше и следовало согласовать лишь самое "сладкое" - текст статьи 19.

Итак, можно подводить промежуточные итоги.
Если перечислять самое главное, законопроект…

Читать далее

Писк души

Душа хотела крикнуть, но не смогла. На нее упало снятое с операторов персональных данных новой редакцией ФЗ-152 обременение и придавило напрочь, так что напоследок ей удалось только пискнуть. Видимо, не донесли снятое, и уронили прямо на нее, бедную. Вряд ли теперь стоит называть выносимую на второе чтение, судя по повестке, завтра, 1 июля, редакцию закона «поправками Резника», как все привыкли говорить за последний год. Теперь это не его поправки. То, к чему призывал Владислав Матусович в пояснительной записке и предлагаемых изменениях, снесено могучим ураганом новых редакций статей 18 прим, 19 и 22.

Противоречащих друг другу, местами – здравому смыслу, полностью – той цели, ради которой затевались изменения. Духу закона – тоже: они предполагают передачу уполномоченному органу (а судя по содержанию уведомления – и другим регуляторам тоже) персональных данных лиц, ответственных за безопасность, без всякого на то их согласия, но в случаях, прямо предусмотренных ФЗ-152 в новой редакции.

В повестку пленарного заседания на завтра законопроект попал. Докладывает не В.М.Резник, а В.Н.Плигин, который и настаивал на внесении законопроекта в данном виде. Неужели все-таки вынесут? Неужели все-таки примут? Во втором чтении? Сразу и в третьем? Неужели проигнорируют поручение Президента?

Ждать недолго. Душа истомилась. И даже больше не пищит. Пар вышел вместе с воздухом после обрушения обременений.

Кстати, завтра же во втором чтении принимается законопроект о внесении изменений в законодательство в связи с принятием ФЗ-294 "О защите прав юридических лиц и индивидуальных предпринимателей при осуществлении государственного контроля (надзора) и муниципального контроля". Текст, принятый в первом чтении, делал законным основанием для проведения внеплановых проверок заявления, жалобы, обращения и пр. субъектов персональных данных, органов власти и СМИ, причем без предварительного уведомления операторов, что предполагало внесение изменений в ФЗ-152. Если ничего не изменится, никаких законных оснований для внеплановых проверок соблюдения законодательства в области персональных данных, по-прежнему, не будет.

Чудны дела твои, Дума…

Как рождаются сенсации

Накануне 1 июля - срока окончания работ по приведению порядка обработки персданных в соответствие с ФЗ-152 «О персональных данных» позитивные изменения коснулись и борьбы с незаконным распространением баз данных, которые все эти годы спокойно продавались где угодно, а теперь стали объектом пристального внимания спецслужб.

В ходе изъятия баз они активно осваивают возможности PR, предоставляемые интернетом, а наши журналисты, как обычно, делают из любого мало-мальски интересного информационного повода «настоящую» сенсацию.

Итак, сенсация. Сегодня, 28 июня, в 10:43 портал Газета.ru огорошил страшным сообщением: «В Москве изъяты более 15 тысяч баз данных, содержащих гостайну». Для тех, кто хоть немного знаком с особенностями охраны государственной тайны, – это новость, сшибающая с ног. Джулиан Ассанж и его Wikileaks стоят рядом и плачут кровавыми слезами зависти к торгашам с радиорынков. 15 тысяч баз с государственной тайной! Такого в России и СССР не было никогда.

Учитывая невероятность новости, срочно занялся декомпозицией событий.

Газета.ru ссылается на Interfax. Отнюдь не на первой странице этого новостного ресурса нахожу заголовок поскромнее: «Базы данных, содержащих гостайну и сведения о гражданах, изъяты в ходе спецоперации в Москве». Со ссылкой на пресс-службу ГУ МВД России по Москве, Interfax сообщает, что подразделениями московской полиции совместно с УСБ ФСБ России при силовой поддержке ОМОН проведена операция в торговых комплексах "Митинский радиорынок", "Царицыно" и "Савеловский", где изъято 2,5 тысячи электронных носителей с 15 тысячами баз данных, в которых содержалась персонифицированная информация о гражданах, а также сведения, составляющие государственную тайну.

Т.е. не 15 тыс. баз с гостайной, а всего 15 тыс. баз, среди которых есть и гостайна.

В новостной ленте сайта ГУВД Москвы www.petrovka-38.org об этом событии не нашел ни слова. Зато на сайте ФСБ еще 25 июня опубликован пресс-релиз «В Москве пресечена противоправная деятельность лиц, занимающихся распространением электронных носителей с информационными базами данных», в котором сообщается, что «по совокупности сведений, содержащихся на изъятых электронных носителях, выявляется не только персонифицированная информация о конкретном гражданине, но и данные о его семье, адресе проживания, личном автотранспорте, телефонах, местах работы и другие данные, разглашение которых потенциально несет угрозу не только личной безопасности граждан Российской Федерации, но и безопасности государства в целом. В связи с необходимостью устранения предпосылок к совершению противоправной деятельности, как продавцами указанной продукции, так и администрацией торговых комплексов, попустительствующей реализации баз данных на своей территории, мероприятия будут проводиться на всей территории Российской Федерации». И, что очень важно, проводится работа по локализации негативных последствий, связанных с реализацией подобных баз данных. Хотелось бы надеяться, что локализация приведет к выявлению каналов утечки.

Кстати, обо всей операции очень подробно рассказал и показал фото безымянный участник – сотрудник ОМОН.

Ну, и в заключение, что же отнесли авторы Газеты.ru (а до них никто этой информации не раскрывал) к государственной тайне. Читаем: «Сведения из Единого государственного реестра юридических лиц, идентификационные данные государственных структур». Ну, что такое идентификационные данные государственных структур и как они соотносятся с гостайной – оставим на совести журналистов. А вот про ЕГРЮЛ очень четко прописано в Федеральном законе ФЗ-129 «О государственной регистрации юридических лиц и индивидуальных предпринимателей». В части 1 ст.6 абсолютно четко написано: «Содержащиеся в государственных реестрах сведения и документы являются открытыми и общедоступными, за исключением сведений, доступ к которым ограничен в соответствии с абзацем вторым настоящего пункта». А во втором абзаце речь идет о реквизитах паспорта.

Вот такую нашли журналисты государственную тайну – открытую и общедоступную.

И такие у нас сенсации. 

Неужели все-таки услышали?!

Первое совпадение всегда воспринимаешь как случайность. 13 июня запостил недоумение по поводу наличия независимо друг от друга существующих проекта В.М.Резника и поручения Президента о разработке нового варианта «О персональных данных», неопределенности ситуации и возможных вариантах развития событий. Ровно на следующий день Дума стремительно выложила законопроект ко второму чтению с рекомендацией принять его 17 июня сразу и в целом. Но о пикантности ситуации задумались, похоже, не только в Думе. И 17 июня законопроект не только не слушали, но решили его не слушать на весенней сессии вообще (если кто-нибудь из депутатов не найдет повод для внеочередного рассмотрения).

Совпадение, наверное.

Затем 16 июня посомневался насчет эффективности принимаемых мер по борьбе с продажей баз данных о гражданах. И вот уже 25 июня СМИ  сообщили о том, что на пресечение незаконной торговли нашими персданными поднялись не только МВД, Роскомнадзор и Прокуратура, но и ФСБ, причем об авторских правах госчиновников, которые меня очень удивили, никто уже не вспоминает, а борьбу планируется развернуть не только на четырех московских рынках, но и по территории всей страны.

Опять совпадение - греет. Может, все-таки будем говорить? «Ищите, да обрящете, стучите и отверзется вам». Не я это сказал.

Поставщик ИСПДн о защите персональных данных и ФЗ-152: в каком мире он живет?

Похоже, тема параллельных миров в нашей замечательной стране для меня становится то ли трендом, то ли проклятием. Случайно наткнулся в Интернете на статью «Банки не созрели для соцсетей». Заинтересовался очередными откровениями очередного успешного менеджера – уж очень тема увлекательная.

Мария Бар-Бирюкова, директор направления Microsoft Dynamics CRM компании «КОРУС Консалтинг», делится с нами на сайте banki.ru своим видением сращивания систем дистанционного банковского обслуживания (ДБО) и социальных сетей. Такое впечатление, что активное обсуждения ФЗ-152 и проблем безопасности социальных сетей проходило в каком-то другом, недоступном ей мире.

После четырех с лишним лет действия Федерального закона «О персональных данных» от Марии мы сможем узнать:

·          что у нас есть закон о защите персональных данных. Мария, нет такого закона! Ну, загляните в «Консультант» или «Гарант», уж если даете интервью!  

·          что он вступает в силу 1 июля 2011 года. Мария, он действует вот уже 4 года и 5 месяцев! 1 июля истекает срок приведения информационных систем персональных данных (ИСПДн) в соответствие с законом. Если Вы не знаете,  система управления взаимоотношениями с клиентами (CRM) – это и есть ИСПДн в самом что ни на есть чистом виде. И в соответствии с «Положением об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных» (Постановление Правительства РФ 2007 г. №781), «работы по обеспечению безопасности персональных данных при их обработке в информационных системах являются неотъемлемой частью работ по созданию информационных систем». То есть, строго говоря, именно на этапе внедрения CRM и должны приниматься меры по защите персональных данных;

·          что «этот закон также является препятствием для получения сведений без согласия человека». Вообще-то препятствием является Конституция РФ, в соответствии со ст.24 которой сбор, хранение, использование и распространение информации о частной жизни лица без его согласия не допускаются;

·          что люди не всегда хотят, чтобы о них знали слишком много, особенно о том, что считают самым сокровенным, — о деньгах. Без этих откровений мы все наивно полагали, что люди всегда хотят, чтобы об их деньгах знали все. Совет Марии банкам «заботиться о максимальном удобстве, качестве, быстроте обслуживания клиента и безопасности его данных» выглядит ну просто открытием;

·          что «социальные сети – это прекрасный источник новой информации о клиентах, но при этом надо помнить, что информация из социальных сетей не всегда может быть достоверна, а ее некорректное использование приведет к нарушению закона о защите персональных данных, а также двух статей Уголовного кодекса (137-й и 272-й), не говоря уже о том, что репутация будет подмоченной». Очень интересно, как при получении информации из открытого источника (социальная сеть), выложенной самим субъектом персональных данных, деяние может быть квалифицировано как «незаконное собирание или распространение сведений о частной жизни лица, составляющих его личную или семейную тайну, без его согласия» (ст.137 УК) или, что еще более интересно, как «неправомерный доступ к охраняемой законом компьютерной информации» (ст.272 УК).

Вывод из всего этого просто потрясает своей глубиной: «Многие специалисты считают, что проблема «прайвеси» в Сети постепенно исчезнет, так как сохранением личных данных в неприкосновенности в основном озабочено старшее поколение пользователей, выросшее «до Интернета», а современная молодежь спокойно относится к интернет-прозрачности». То есть наступит коммунизм в самом что ни на есть классическом понимании: все станет общим. Деньги – тоже.

Хорошо бы поставщику ИТ-решений для бизнеса почитать законы и разобраться в вопросе, каким образом извлечение прибыли как основная цель деятельности его клиентов согласуется со «спокойным отношением» к Интернет-прозрачности их банковских счетов.

Особенности обработки персональных данных при организации образовательного процесса

Тема образования партнерам нашего агентства всегда была как-то особенно близка. Несколько реализованных образовательных проектов и 10 лет непрерывного подъема известного учебного центра - у одного партнера, участие в Учебно-методическом объединении вузов РФ по образованию в области информационной безопасности, «подшефный» вуз – у другого. Из песни слова не выкинешь. Да и не хочется.

Поэтому приглашение выступить на eLearnExpo было воспринято почти как мобилизационная повестка. В выступлении были рассмотрены особенности обработки персональных данных обучаемых и требования к их защите в зависимости от исполнителя, места и формы обучения работников, основные проблемы, возникающие при организации этого процесса, документы Рособразования по обработке персональных данных. Было уделено внимание разным вариантам организации обучения – собственными силами, с привлечением сторонних организаций, дистанционно.

Как обычно, на таких мероприятиях, где люди, далекие от проблем информационной безопасности, неожиданно для себя втягиваются в тему, главный вопрос – презентацию дадите? Выставка и конференция достаточно давно закончились, а просьбы относительно презентации продолжают поступать. Для всех, кому интересно – презентация, подготовленная в Консалтинговом агентстве «Емельянников, Попова и партнеры» по проблемам обработки персональных данных при организации корпоративного, дистанционного (и не только) обучения для кадровиков, корпоративных университетов, юристов, специалистов по безопасности, ИТ-специалистов – словом, для тех, кому это нужно или интересно.

Те, кто хочет послушать поподробнее и живьем, может посетить 28 июня вебинар «Выполнение требований закона «О персональных данных» в образовательных учреждениях Российской Федерации», организованный компанией «Код безопасности» (регистрация предварительная).