27 июня состо­ял­ся круг­лый стол «Деперсонализация дан­ных: кон­фликт инте­ре­сов внут­ри одной голо­вы», на кото­ром обсуж­дал­ся обо­рот пер­со­наль­ных дан­ных граж­дан и его пер­спек­ти­вы. Поскольку сей­час госу­дар­ство при­ни­ма­ет шаги к всё более широ­ко­му исполь­зо­ва­нию пер­со­наль­ных дан­ных через закон об осо­бых пилот­ных зонах, созда­ние еди­ной базы дан­ных ФНС и про­чие подоб­ные дей­ствия, и одно­вре­мен­но же хочет взять на себя защи­ту пер­со­наль­ных дан­ных (ПД) на себя, закре­пив это новы­ми поправ­ка­ми к Конституции, мы реши­ли обсу­дить, в чём здесь могут заклю­чать­ся угро­зы и для граж­дан, и для госу­дар­ства в целом, и насколь­ко рев­ност­но сто­ит отно­сить­ся к пер­со­наль­ным данным.

Участники:

• Олег Артамонов, гла­ва научно-технической экс­пер­ти­зы, член ВКС Партии пря­мой демократии
• Филипп Кулин, автор телеграм-канала Эшер-II и мони­то­рин­га бло­ки­ро­вок Роскомнадзора
• Вячеслав Макаров, гене­раль­ный сек­ре­тарь Партии пря­мой демократии
• Сергей Нестерович, заме­сти­тель глав­но­го редак­то­ра Агентства Политических Новостей
• Алексей Пилько, гла­ва меж­ду­на­род­но­го отде­ла, член ВКС Партии пря­мой демократии
• Борис Чигидин, гла­ва юри­ди­че­ской служ­бы, член ВКС Партии пря­мой демократии
• Ведущий круг­ло­го сто­ла – Тимофей Шевяков, пресс-секретарь, член ВКС Партии пря­мой демократии

Генеральный сек­ре­тарь Партии пря­мой демо­кра­тии Вячеслав Макаров гово­рит о том, что ПД поз­во­ля­ют делать пер­со­на­ли­за­цию сервиса:

Люди отда­ют огром­ное коли­че­ство све­де­ний о себе, в первую оче­редь – для соб­ствен­но­го удоб­ства. Частный слу­чай это­го – накоп­ле­ние у госу­дар­ства пер­со­наль­ных дан­ных граж­да­ни­на. И вот в какой-то момент госор­га­ны хотят создать «учёт­ку» с мак­си­маль­но доступ­ным коли­че­ством дан­ных о гражданине.

Чем боль­ше дан­ных там будет собра­но, тем боль­ше потен­ци­аль­но упол­но­мо­чен­ных людей может иметь к ним доступ. Государственные базы дан­ных уте­ка­ли неод­но­крат­но, их до сих пор мож­но при­об­ре­сти на Савеловском рын­ке. Так что, если базы дан­ных с чув­стви­тель­ны­ми све­де­ни­я­ми появят­ся в пуб­лич­ном досту­пе, веро­ят­ность рис­ка будет очень высо­ка. Так ком­пен­си­ру­ют ли удоб­ства рабо­ты для госу­дар­ства воз­мож­ные рис­ки? Об этом и поговорим.

С ним согла­ша­ет­ся Тимофей Шевяков, упо­ми­ная, что утеч­ка обыч­ных пер­со­наль­ных дан­ных не настоль­ко кри­тич­на, как попа­да­ние в чужие руки био­мет­ри­че­ских ПД. Поскольку имен­но био­мет­ри­че­ские дан­ные созда­ют суще­ствен­ные рис­ки, свя­зан­ные с бан­ков­ски­ми тран­зак­ци­я­ми, опе­ра­ци­я­ми с недви­жи­мо­стью и про­чи­ми вещами.

Олег Артамонов обра­ща­ет вни­ма­ние сра­зу на ряд моментов:

Действия госу­дар­ства как основ­но­го защит­ни­ка пер­со­наль­ных дан­ных мож­но назвать двой­ствен­ны­ми. Сейчас про­хо­дит голо­со­ва­ние по поправ­кам в Конституцию. Одна из попра­вок – про­пи­сы­ва­ние в явном виде того, что феде­раль­ный центр обя­зан забо­тить­ся о сохран­но­сти пер­со­наль­ных дан­ных рос­си­ян. Данные пол­но­мо­чия выво­дят из-под кон­тро­ля реги­о­наль­ных вла­стей, и реше­ния по ним будет обя­зан при­ни­мать феде­раль­ный центр. С одной сто­ро­ны, госу­дар­ство гово­рит, что будет забо­тить­ся о пер­со­наль­ных дан­ных луч­ше и тща­тель­нее. С дру­гой сто­ро­ны, мы видим стран­ные тен­ден­ции: стрем­ле­ние к всё боль­ше­му накоп­ле­нию ПД и их обра­ще­нию. Это и еди­ная база дан­ных ФНС, и пилот­ные зоны, кото­рые пла­ни­ру­ет­ся внед­рять, и даже про­стое стрем­ле­ние соби­рать поболь­ше дан­ных круп­ны­ми госстуктурами.

Многие чинов­ни­ки не пони­ма­ют прин­ци­пы исполь­зо­ва­ния пер­со­наль­ных дан­ных. Помните, как, про­ве­ряя циф­ро­вой про­пуск, вы дава­ли раз­ре­ше­ние ДИТ Москвы отправ­лять вам рекла­му бли­жай­шие десять лет? Это не злой умы­сел, это оче­вид­ное непо­ни­ма­ние прин­ци­па обра­ще­ния с пер­со­наль­ны­ми дан­ны­ми. Почему бы не сде­лать, если можем это сделать?

А что каса­ет­ся био­мет­рии, здесь отдель­ный инте­рес­ный вопрос. Небиометрические дан­ные в слу­чае их утеч­ки – это тоже доста­точ­но серьез­ная бом­ба. И для мошен­ни­ков, и для спец­служб дру­гих государств.

Биометрические дан­ные мож­но хра­нить в виде, в кото­ром они не пре­об­ра­зу­ют­ся обрат­но в «кар­тин­ку» вла­дель­ца. К при­ме­ру, отпе­чат­ки паль­цах в рас­по­зна­ю­щих систе­мах хра­нят­ся не в виде изоб­ра­же­ния отпе­чат­ка, а в виде харак­тер­ных пара­мет­ров, по кото­рым этот отпе­ча­ток определяется.

И тут воз­ни­ка­ет инте­рес­ный тех­но­ло­ги­че­ский вопрос: что будет с био­мет­ри­ей, когда эти базы будут про­рас­тать друг в дру­га и их нуж­но будет сопря­гать? Например, я сдаю бан­ку свое лицо на био­мет­рию, оно будет хра­нить­ся в систе­ме в нечи­та­е­мом виде либо же в виде моей фото­гра­фии, кото­рую мож­но будет засу­нуть в любую систе­му и обу­чить ее меня узна­вать? Это спе­ци­фи­че­ский для био­мет­рии вопрос. Он пока не обсуждается.

Борис Чигидин рас­ска­зы­ва­ет об аспек­тах прак­ти­ки при­ме­не­ния зако­на о пер­со­наль­ных дан­ных, а так­же о том, на какой орган зако­ном воз­ло­же­на обя­зан­ность по защи­те пер­со­наль­ных данных:

Закон о пер­со­наль­ных дан­ных всту­пил в силу в 2006 году. За пер­вые лет пять дей­ствия зако­на он на моих рабо­чих рада­рах не появ­лял­ся, хотя там были и про­це­ду­ры, и адми­ни­стра­тив­ная ответ­ствен­ность за несо­блю­де­ние тре­бо­ва­ний. Закон суще­ство­вал в сво­ей плос­ко­сти, в то вре­мя, как обще­ство, биз­нес и граж­дане суще­ство­ва­ли в сво­ей. Масштабные изме­не­ния зако­на были при­ня­ты в 2011 году, так­же доба­ви­лись под­за­кон­ные пра­ви­тель­ствен­ные акты, регу­ли­ру­ю­щие тех­ни­че­ские аспек­ты его при­ме­не­ния. Операторы пер­со­наль­ных дан­ных долж­ны с эти­ми тре­бо­ва­ни­я­ми счи­тать­ся. Одновременно нача­ли повы­шать ответ­ствен­ность за нару­ше­ние тре­бо­ва­ний зако­на, а граж­дане нача­ли ответ­ствен­нее отно­сить­ся к вопросу.

В про­ек­те ново­го КоАП есть нюанс: пред­по­ла­га­ет­ся вве­сти новый состав «необес­пе­че­ние несо­блю­де­ние кон­фи­ден­ци­аль­но­сти пер­со­наль­ных дан­ных». По нему за утеч­ку нака­зы­ва­ет­ся опе­ра­тор пер­со­наль­ных дан­ных, штра­фы будут до 500 тысяч рублей.

Существует тео­ре­ти­че­ский меха­низм, поз­во­ля­ю­щий граж­да­ни­ну защи­тить свои нару­шен­ные пра­ва, но тер­пе­ния и настой­чи­во­сти для это­го нуж­но мно­го, а резуль­тат не гаран­ти­ро­ван. В ста­тье 14 зако­на о пер­со­наль­ных дан­ных есть инструк­ция, как граж­да­ни­ну обра­тить­ся к опе­ра­то­ру ПД и полу­чить исчер­пы­ва­ю­щий отчет о целях и спо­со­бах обра­бот­ки дан­ных этим опе­ра­то­ром. За 10 лет моей рабо­ты в круп­ном роз­нич­ном биз­не­се с мил­ли­о­на­ми кли­ен­тов эту неслож­ную про­це­ду­ру уда­лось соблю­сти ров­но одно­му заяви­те­лю. Все осталь­ные обра­ща­лись в про­из­воль­ной фор­ме и про­те­сто­ва­ли про­тив пере­да­чи их дан­ных реп­ли­ло­и­дам и миро­во­му правительству.

Почему так лег­ко зава­лить квест по защи­те сво­их ПД? Уполномоченный орган по над­зо­ру и защи­те в обла­сти ПД – это Роскомнадзор. Защита ПД для него не явля­ет­ся глав­ным направ­ле­ни­ем дея­тель­но­сти, посколь­ку он зани­ма­ет­ся над­зо­ром в сфе­ре при­ме­не­ния зако­но­да­тель­ства о СМИ, о свя­зи, о защи­те несо­вер­шен­но­лет­них в сети, бло­ки­ров­ка­ми сай­тов, име­ет пол­но­мо­чия лицен­зи­ру­ю­ще­го орга­на. Защита и над­зор в обла­сти ПД – послед­ний пункт в спис­ке пол­но­мо­чий Роскомнадзора, так что уде­ля­ют это­му и вре­ме­ни, и сил немно­го. Роскомнадзор про­во­дит пла­но­вые про­вер­ки и реа­ги­ру­ет на обра­ще­ния граж­дан, прав­да, доволь­но формально.

Если поде­лить штат­ную часть Роскомнадзора, кото­рая зани­ма­ет­ся вопро­сом пер­со­наль­ных дан­ных, на весь объ­ем дан­ных и круп­ных опе­ра­то­ров ПД, чис­ло полу­чит­ся бес­ко­неч­но малое. Это заве­до­мо ста­вит Роскомнадзор на путь риско­ори­ен­ти­ро­ван­но­го под­хо­да. Тотального кол­па­ка, что­бы накрыть всех опе­ра­то­ров ПД, нет и не пред­ви­дит­ся, что сле­ду­ет при­ни­мать во внимание.

Филипп Кулин зада­ет­ся вопро­сом о том, хочет ли вооб­ще Роскомнадзор зани­мать­ся защи­той наших пер­со­наль­ных данных:

Вопрос не в том, как глав­ная это обя­зан­ность про­пи­са­на или как неглав­ная, а в том, хотят в Роскомнадзоре это делать или нет. Большинство пуб­лич­ной дея­тель­но­сти РКН, кон­фе­рен­ции, встре­чи про­хо­дят под зна­ком ПД. Но на них в основ­ном гово­рят о том, как они долж­ны их защи­щать. А мы и быть внимательными.

Кроме того, есть цен­траль­ный Роскомнадзор и его тер­ри­то­ри­аль­ные орга­ны, кото­рые сами по себе не заин­те­ре­со­ва­ны в транс­ля­ции воли цен­траль­но­го органа.

Кстати, обра­ти­те вни­ма­ние, испол­нять 152-ФЗ не так уж и слож­но, а защи­щать дан­ные слож­нее. КЯ не согла­сен с Борисом, 152-ФЗ поме­нял­ся, но все еще «ника­кой».

Мы все пре­крас­но зна­ем, что госу­дар­ство ведет себя как баб­ка у мет­ро, кото­рая про­да­ет сорван­ные на сосед­ней клум­бе цве­ты. Я подал све­де­ния о себе госу­дар­ствен­но­му орга­ну, что­бы офор­мить ИП. Орган еще не успел впи­сать меня в пуб­лич­ную базу, но мой теле­фон уже ока­зал­ся в непуб­лич­ной и мне нача­ли назва­ни­вать раз­лич­ные банки.

Проблема не в законе, не в над­зо­ре, а в самом под­хо­де. Ответственность где? Вот сей­час дан­ные об ИП рас­сы­ла­ют­ся куда угод­но. Я пожа­лу­юсь – кто-нибудь поне­сет ответ­ствен­ность? Кого-то уво­лят? Те, кто дол­жен нас защи­щать, даже не шеве­лят­ся. Все наши тео­рии бес­смыс­лен­ны, пока эта про­бле­ма не реше­на. В нашем слу­чае госу­дар­ство вооб­ще ни за что не отвечает.

Сергей Нестерович соглашается:

152 закон был при­нят в таком виде, что до сих пор не стал рабо­то­спо­соб­ным. Был пока­за­тель­ный про­цесс, когда один чело­век обра­тил­ся в РЖД с прось­бой изъ­ять все его дан­ные из систе­мы. Юристы РЖД не зна­ли, что ска­зать в суде, чело­век ото­звал иск – прак­ти­че­ская реа­ли­за­ция зако­на нерешаема.

Если гово­рить о прак­ти­ке обра­бот­ки ПД, в РФ с этим послед­нее вре­мя всё хоро­шо. Само по себе устрой­ство госу­дар­ствен­ных систем было сде­ла­но разум­но, и вме­сто сосре­до­то­че­ния всех дан­ных в одну базу был нала­жен про­цесс их обме­на и акту­а­ли­за­ции. База в одной точ­ке нере­а­ли­зу­е­ма и тех­ни­че­ски невозможна.

Само по себе появ­ле­ние еди­но­го реест­ра сомни­тель­но и с пра­во­вой, и с тех­ни­че­ской точ­ки зре­ния. Я до сих пор не уви­дел, зачем это нуж­но, кро­ме абстракт­ной идеи «а давай­те собе­рем?» Изменение под­хо­да госу­дар­ства и созда­ние одной боль­шой еди­ной базы дан­ных дает угро­зу ана­ли­ти­че­ско­го вычис­ле­ния чув­стви­тель­ной инфор­ма­ции, кото­рая непре­мен­но уте­чет, посколь­ку уте­ка­ют все базы, это толь­ко вопрос вре­ме­ни. Ну и для спец­служб это опас­но, помни­те, как пас­пор­та Петрова и Баширова были выда­ны под­ряд и раз­ли­ча­лись лишь на одну циф­ру? Как бороть­ся с этой напа­стью? Разделять базы по опе­ра­то­рам, что­бы в каж­дой точ­ке хра­ни­лись толь­ко нуж­ные там для адми­ни­стра­тив­ных про­цес­сов дан­ные. Чтобы не было еди­ной точ­ки уязвимости.

Общая база – вред­ный диле­тан­тизм, посколь­ку не добав­ля­ет разум­но­го функционала.

На теку­щий момент у граж­дан РФ нет еди­но­го обя­за­тель­но­го для граж­дан «кон­сти­ту­ци­он­но­го номе­ра». Есть мно­же­ство людей без ИНН и люди с дву­мя, есть люди без СНИЛС, даже номер пас­пор­та не «номер чело­ве­ка», посколь­ку он меня­ет­ся каж­дый раз, как меня­ем пас­порт. Так что зло­умыш­лен­ник не может полу­чить всю инфор­ма­цию, кто где и как живет в стране. А появ­ле­ние общей базы при­ве­дет к воз­мож­но­сти не толь­ко полу­чить инфор­ма­цию, кто где рабо­та­ет и дан­ные био­гра­фии, а так­же даст шанс искать соци­аль­ные свя­зи людей.

Недавно, меж­ду про­чим, ФНС озву­чи­ла дичай­шую идею. «А давай­те вести базу дан­ных по сов­мест­но­му бюд­же­ту семьи?» К это­му сей­час гото­вит­ся нор­ма­тив­ная база. Государство лезет к граж­да­нам в постель и вынуж­да­ет отчитываться.

В этом направ­ле­нии идет и био­мет­рия. Обработка дан­ных без согла­сия граж­дан – это очень жест­ко. В дистан­ци­он­ной выда­че онлайн-кредитов систе­ма стро­же. Там тре­бу­ют очно­го визи­та хотя бы одно­крат­но, обра­бот­ка и хра­не­ние дан­ных кон­тро­ли­ру­ет­ся Центробанком.

Под шумок во вре­мя исте­ри­ки с коро­на­ви­ру­сом, Государственная Дума при­ня­ла закон о спец­зоне для искус­ствен­но­го интел­лек­та в Москве. Московскому пра­ви­тель­ству нуж­ны пол­но­мо­чия, что­бы исполь­зо­вать дан­ные людей без их разрешения.

Имеющаяся систе­ма была с недо­стат­ка­ми, но все же вме­ня­е­мой. А послед­ние зако­ны (экс­пе­ри­мен­таль­ная зона и искус­ствен­ный интел­лект) в теку­щем виде про­сто опас­ны для обще­ства и государства.

Алексей Пилько затра­ги­ва­ет упо­мя­ну­тый Кулиным аспект, а так­же рас­ска­зы­ва­ет о меж­ду­на­род­ных прак­ти­ках в сфе­ре защи­ты пер­со­наль­ных данных:

Главным неле­галь­ным рас­про­стра­ни­те­лем ПД граж­дан у нас явля­ет­ся госу­дар­ство и гос­струк­ту­ры. Передавая свою инфор­ма­цию, граж­да­нин впра­ве рас­счи­ты­вать, что даль­ше гос­струк­тур она не уйдет. А у нас это совсем не так. Здесь есть огром­ная кор­руп­ци­он­ная емкость. Госчиновники про­да­ют БД за день­ги, это уго­лов­ное пре­ступ­ле­ние. А если дан­ные уйдут за рубеж, это еще и дру­гой состав пре­ступ­ле­ния. Надеюсь, рабо­та по борь­бе с этим ско­ро начнется.

Наиболее систем­но подо­шли к зако­но­да­тель­ству о защи­те пер­со­наль­ных дан­ных подо­шли в Евросоюзе. Это было выне­се­но в над­на­ци­о­наль­ный уро­вень при­ня­ти­ем General Data Protection Regulation – обще­го регла­мен­та по защи­те дан­ных. Он все­о­хва­тен, посколь­ку регу­ли­ру­ет дей­ствие раз­лич­ных организаций.

По дан­но­му регла­мен­ту, согла­сие на обра­бот­ку п пер­со­наль­ных дан­ных долж­но быть дано поль­зо­ва­те­лем в чет­кой пись­мен­ной фор­ме, без­дей­ствие согла­си­ем не счи­та­ет­ся, согла­сие долж­но быть зафик­си­ро­ва­но явно. Пользователь име­ет пра­во в любой момент уда­лить любые собран­ные о нем ПД. Процедура сбо­ра вклю­ча­ет обез­ли­чи­ва­ние, запрет на пере­да­чу тре­тьим лицам, уве­дом­ле­ние об утеч­ках. Предусмотрены дра­ко­нов­ские штра­фы – до 20 млн евро. Данный доку­мент всту­пил в силу в 2018 году, на мой взгляд, это наи­бо­лее систем­ный закон по защи­те данных.

Интересная прак­ти­ка сло­жи­лась в США. На феде­раль­ном уровне охра­на пер­со­наль­ных дан­ных регу­ли­ру­ет­ся толь­ко зако­но­да­тель­ством по отдель­ным отрас­лям. Специального феде­раль­но­го зако­на нет, но есть зако­ны отдель­ных шта­тов, доста­точ­но про­дви­ну­тые при­ня­ты, напри­мер, в окру­ге Колумбия и Калифорнии.

США и ЕС пыта­ют­ся дого­во­рить­ся об общей зако­но­да­тель­ной рам­ке. Но эта систе­ма так и не заработала.

Какое бы зако­но­да­тель­ство я хотел видеть в нашей стране? Я бы ори­ен­ти­ро­вал­ся на евро­пей­ское. Такие пара­мет­ры, как очень явное согла­сие на обра­бот­ку дан­ных, дра­ко­нов­ские штра­фы и даже уго­лов­ная ответ­ствен­ность за утеч­ку я счи­таю разумными.

В совре­мен­ном циф­ро­вом обще­стве без­опас­ность граж­да­ни­на состо­ит из трех ком­по­нен­тов: физи­че­ская без­опас­ность, без­опас­ность его иму­ще­ства и без­опас­ность его лич­ных дан­ных. Использование пер­со­наль­ных дан­ных наших граж­дан про­тив наше­го госу­дар­ства я мог бы срав­нить с ядер­ной угрозой.

Вячеслав Макаров побла­го­да­рил всех, кто при­нял уча­стие в обсуж­де­нии и поде­лил­ся сво­им опы­том внед­ре­ния евро­пей­ско­го зако­на в работу:

Последовательное его внед­ре­ние – это слож­но, но мож­но. Наверное, это то, с чем нам через какое-то вре­мя пред­сто­ит жить и устра­и­вать себе похо­жую схе­му защи­ты пер­со­наль­ных дан­ных. Государство долж­но нако­нец понять, что это серьез­но. Сейчас утеч­ка ПД при реги­стра­ции ЮЛ свя­за­на с глу­бо­ким пофи­гиз­мом чинов­ни­ков. Пока этот момент не изме­нит­ся, будем иметь то, что имеем.