🇮🇹 Италию захлестнула волна похищений конфиденциальных данных автовладельцев
🔸В середине февраля на официальном веб-сайте Toyota в Италии по неведомой причине стала доступна для скачивания обширная база с учётными данными Salesforce Marketing Cloud, поставщика программного обеспечения и услуг для автоматизации цифрового маркетинга. Используя эти данные, злоумышленники могли получить доступ к телефонным номерам и адресам электронной почты клиентов, а также воспользоваться официальным каналом связи компании для связи с автовладельцами.
🔸На днях Toyota заявила, что утечка была спровоцирована не человеческой ошибкой, а целенаправленным нарушением безопасности в одном из итальянских офисов компании. Как сообщается, японский автопроизводитель уже давно предпринял все необходимые меры кибербезопасности, чтобы смягчить последствия утечки и не допустить подобного в будущем. Однако на этом история не заканчивается. В начале марта подобную базу данных те же исследователи заметили уже на итальянском веб-сайте немецкого автопроизводителя BMW.
🔸А в апреле не менее популярный, но уже южнокорейский автоконцерн Hyundai уведомил своих клиентов, что злоумышленники получили доступ к личным данным клиентам в результате компрометации офисов компании в той же Италии, а также во Франции. Как сообщается, в открытый доступ попали номера телефонов и адреса электронной почты, а также физические адреса клиентов.

🏛️ Типовые нарушения положений 152-ФЗ от 27.07.2006 «О персональных данных» на Интернет-ресурсах
Управлением Роскомнадзора по Мурманской области проведено плановое мероприятие по контролю без взаимодействия с контролируемыми лицами в отношении парикмахерских и салонов красоты. Специалистами отдела контроля и надзора за соблюдением законодательства в сфере персональных данных проанализированы интернет-сайты ряда организаций, осуществляющих деятельность в указанной сфере, на предмет их соответствия положениям Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных». В числе выявленных нарушений:
🔸сбор персональных данных на сайте при отсутствии механизма получения согласия на обработку персональных данных и возможности ознакомления с текстом согласия на обработку персональных данных;
🔸отсутствие на сайте документов, определяющих политику в отношении обработки персональных данных, и сведений о реализуемых требованиях к защите персональных данных;
🔸распространение на сайте персональных данных в различном объеме при отсутствии информации о наличии согласий на обработку персональных данных, а также о наличии условий и запретов на распространение;
🔸сбор персональных данных на сайте посредством использования метрических программ (Яндекса.Метрика, LiveInternet) при отсутствии механизма получения согласия на обработку персональных данных.

☝️Вопросы об ответственности DPO в РФ к Роскомнадзору:
🔸Вправе ли Оператор назначить в качестве лица, ответственного за организацию обработки персональных данных (ПД), другое юридическое или физическое лицо (не работника Оператора) в порядке ст. 22.1 152-ФЗ?
🔸Относится ли физическое лицо (не работник Оператора) к категории должностное лицо в соответствии с КоАП РФ и может ли привлекаться к административной ответственности (например, по ст. 13.11 КоАП РФ)?
🔸Относится ли физические лицо (работник Оператора) к категории должностное лицо в соответствии с КоАП РФ и может ли привлекаться к административной ответственности (например, по ст. 13.11 КоАП РФ)?
🔸Может ли привлекаться к административной ответственности другое юридическое лицо, назначенное в качестве ответственного за организацию обработку ПД (DPO)?
🔸В каких случаях привлекается единоличный исполнительный орган (ЕИО) Оператора к административной ответственности в области обработки ПД?
🔸В каких случаях ЕИО Оператора освобождается от административной ответственности?
🔸Может ли привлекаться к административной ответственности ЕИО Оператора в условиях, когда Оператор в порядке ст. 22.1 152-ФЗ назначил DPO?
🔸Может ли привлекаться к административной ответственности DPO (работник Оператора) вместо ЕИО Оператора, если на него возложены организационно-распорядительные функции в соответствии со ст. 22.1 152-ФЗ и 2.4. КоАП РФ?
🔸Может ли привлекаться к административной ответственности DPO (не работник Оператора), вместо ЕИО Оператора, если на него возложены организационно-распорядительные функции в соответствии со ст. 22.1 152-ФЗ и 2.4. КоАП РФ?
🔸Может ли привлекаться DPO (другое юридическое лицо) вместо ЕИО Оператора, если на него возложены организационно-распорядительные функции в соответствии со ст. 22.1 152-ФЗ и 2.4. КоАП РФ?
🔸Вправе ли Оператор назначить работника Оператора в качестве должностного лица, ответственного за организацию обработки персональных данных, и одновременно назначить иное лицо (не работника или иное юридическое лицо) в качестве ответственного лица в соответствии со ст. 22.1 152-ФЗ?

Минобрнауки проинформировало о нарушениях, выявленных за 2022 год в ходе проверок деятельности подведомственных организаций

Письмо №МН-22/497-ДП от 24.03.2023
Нарушения при работе с персональными данными.
Продолжение

💬отсутствие локального нормативного акта о работе с персональными данными;
💬не назначено лицо, ответственное за организацию обработки персональных данных;
💬не определены места хранения персональных данных;
💬необеспечение неограниченного доступа к документу, определяющему политику оператора в отношении обработки персональных данных, к сведениям о реализуемых требованиях к защите персональных данных;
💬обработка персональных данных, являющихся избыточными по отношению к заявленным целям их обработки;
💬отсутствует список лиц, имеющих доступ к персональным данным работников;
💬обработка персональных данных без согласий на их обработку;
💬неосуществление ознакомления работников, непосредственно осуществляющих обработку персональных данных, с положениями законодательства Российской Федерации о персональных данных, в том числе требованиями к защите персональных данных, документами, определяющими политику оператора в отношении обработки персональных данных;
💬уведомление о разрешении на обработку персональных данных не содержит полного перечня персональных данных обрабатываемых учреждением.

Рекомендации по устранению нарушений выданы такие:
💬Усилить контроль за соблюдением требований ...152-ФЗ ...

💬Необходимо издание локального нормативного акта о работе с персональными данными.

💬Назначить лицо, ответственное за организацию обработки персональных данных.

💬Определить места хранения персональных данных работников.

💬Обеспечить неограниченный доступ к документу, определяющему политику оператора в отношении обработки персональных данных, к сведениям о реализуемых требованиях к защите персональных данных.

💬Определить в учреждении объем и содержание обрабатываемых персональных данных работника в соответствии Трудовым кодексом ..., ...152-ФЗ и иными федеральными законами.

💬Определить список лиц, имеющих доступ к персональным данным работников.

💬Осуществлять обработку персональных данных только при наличии согласий на их обработку.

💬Ознакомить работников, непосредственно осуществляющих обработку персональных данных, с положениями законодательства Российской Федерации о персональных данных, в том числе требованиями к защите персональных данных, документами, определяющими политику оператора в отношении обработки персональных данных

Минцифры России (VK)

⚡ Александр Шойтов: «Если человек хочет видеть таргетированную рекламу, он может согласиться на это. У него должно быть право. А если не хочет, у него тоже должно быть такое право – отказаться от предоставления своих данных».

Минцифры России #DataFusion2023

⚡В "Адвокатской газете" опубликована обзорная статья команды Privacy Advocates 'Комплексная защита персональных данных':
🔸Нарушение права на неприкосновенность частной жизни – по закону и вопреки ему
🔸Реформа в области персональных данных 2022 года
🔸Ответственность за нарушения в области персональных данных
🔸Репутационные риски компании в случае утечки данных
🔸Способы защиты персональных данных
🔸Правила работы с персональными данными на каждый день

💻 Что: Практический вебинар
💡 О чем: Что делать, если утекло? Только практика
👤 Кто: Артём Дмитриев (Comply), Алексей Мунтян (Privacy Advocates)
📅 Когда: 20 апреля с 16:00 до 17:00 (по Мск)
💰 Стоимость: бесплатно
💻 Как: онлайн-регистрация

📃 Программа:
➡️Обсудим алгоритм действий компании в случае утечки, что считать утечкой и как избежать новых штрафов.
➡️Поговорим об инструментах, которые помогут минимизировать финансовые риски бизнеса.
➡️Поделимся примерами запросов Роскомнадзора в случае утечек и проверок.

⚡Абонентов просят представиться: Роскомнадзор активизировал борьбу с серыми SIM-картами
🔸Крупные российские операторы просят абонентов актуализировать персональные данные под угрозой ограничения услуг связи. Такая активность связана с грядущими в мае проверками Роскомнадзора в рамках борьбы с серыми SIM-картами.
🔸По оценке операторов, на рынке сейчас до 20 млн активных абонентов с неподтвержденными данными, отключение такого объема SIM-карт может привести к потере до 7 млрд руб. доходов компаний ежемесячно.

⚡Власти Испании начали расследование против создателей ChatGPT
🔸Испанское агентство по защите персональных данных (AEPD) инициировало предварительное расследование в отношении деятельности компании OpenAI — разработчика чат-бота ChatGPT. AEPD объяснило свое решение «возможным нарушением норм». На прошлой неделе ведомство попросило Европейский комитет по защите данных включить этот вопрос в повестку одного из следующих заседаний.

🏛️Управлением Роскомнадзора по Южному федеральному округу был проведен мониторинг интернет-ресурсов в информационно-коммуникационной сети Интернет на предмет возможного нарушения действующего законодательства РФ в области обработки персональных данных.
🔸По итогам анализа официального интернет-ресурса ООО «Мой юрист» - https://myurist.centr/ были выявлены признаки нарушения ч. 1 ст. 6, ст. 10.1, ч. 2 ст. 18.1, ч. 5 ст. 18 и ч. 1 ст. 22 Федерального закона от 27.07.2006г. N 152-ФЗ "О персональных данных".
🔸В адрес ООО «Мой юрист» было направлено требование об устранении признаков нарушений законодательства в области персональных данных. В соответствии с поступившей информацией и анализом сайта установлено, что нарушения устранены.

💻 Новое обновление Windows 11 позволит приложениям следить за вами: Увеличение продолжительности жизни батареи в обмен на конфиденциальность
🔸Microsoft объявила о выпуске новой предварительной версии Windows 11 Beta 22624.1610. Обновление позволяет приложениям определять, когда пользователь находится рядом с компьютером. С помощью опции «Определение присутствия» (Presence sensing) приложения, используя API-интерфейсы , определяют, взаимодействует ли пользователь с устройством. Параметр находится по пути: «Настройки» > «Конфиденциальность и безопасность» > «Определение присутствия».
🔸Функция может существенно повлиять на конфиденциальность и производительность Windows 11. Пользователь теперь может заблокировать или разрешить определенным приложениям доступ к своим датчикам присутствия. Это означает, что вы можете лучше контролировать свою конфиденциальность и запретить приложениям собирать и использовать ваши данные без вашего согласия.

🇪🇺🇺🇸 Европарламентарии приняли резолюцию против проекта решения об адекватности по ДПФ ЕС-США
🔸Комитет по гражданским свободам, юстиции и внутренним делам ("LIBE") Европейского парламента 13.04.2023 принял резолюцию против принятия Европейской комиссией проекта решения об адекватности Рамочной программы ЕС-США по конфиденциальности данных (EU-US Data Privacy Framework).
🔸В резолюции поясняется, что EU-US DPF хотя и является улучшением предыдущей структуры, не обеспечивает достаточных гарантий для субъектов ЕС и все еще позволяет массовый сбор персональных данных в определенных случаях, не делает массовый сбор данных предметом независимого предварительного разрешения и не предусматривает четких правил по хранению данных субъектов ЕС в США.

⚡Европейский совет по защите данных (EDPB) обсудил временный запрет, наложенный итальянским органом по защите данных ("Garante") на компанию OpenAI, L.L.C. в отношении ее сервиса ChatGPT, и принял решение о создании специальной целевой группы для развития сотрудничества и обмена информацией о возможных правоприменительных действиях, проводимых другими европейскими DPA.

⚡В России запустят сервис персонифицированных рекомендаций по скринингу
🔸Минздрав России запустит в 2023 году сервис персонифицированных рекомендаций по скринингу, сообщил в пятницу первый заместитель министра здравоохранения РФ Владимир Зеленский. Главными задачами являются сбор максимального объема данных о пациенте, профилирование их достаточности, структурирование и выдача на основе этой информации универсального набора сервисов.

⚡Кабмин поддержал штрафы за госуслуги и банковские операции через иностранные мессенджеры
🔸Иностранные мессенджеры еще с 1 марта нельзя использовать для предоставления госуслуг, передачи персональных данных и при проведении банковских операций. Теперь за это хотят установить штраф: до 50 тысяч рублей для должностных лиц и до 700 тысяч — для организаций. Содержащий такие нормы законопроект получил положительный отзыв Правительства, его планируют внести в Госдуму в ближайшее время.

⚡ChatGPT теряет доверие
🔸В Испании начали расследование в отношении создателей ChatGPT, процедуру запустило Национальное агентство по защите персональных данных. Как сообщается на сайте регулятора, разработчик нейросети — компания Open AI могла нарушить некие нормы законодательства страны.
🔸Испанские власти обратились в Европейский совет по защите данных, чтобы поднять этот вопрос на пленарном заседании. Ранее расследование в отношении OpenAI начали власти Канады. Поводом стала жалоба на сбор, использование и раскрытие личной информации без согласия пользователей. Кроме того, в марте в Италии ограничили использование ИИ после утечки платежных данных пользователей и их разговоров.

⚡Возможность мошенников подделать голос человека оценили
🔸Для подделки голоса человека мошенникам будет недостаточно записанных по телефону фраз. Так оценил возможности аферистов заведующий кафедрой «Интеллектуальные системы информационной безопасности» Института кибербезопасности и цифровых технологий РТУ МИРЭА Шамиль Магомедов.
🔸Он отметил, что многих беспокоит — не являются ли такие странные звонки способом сделать слепок голоса, чтобы в дальнейшем использовать его для доступа к банковским счетам и другой важной информации. Опасаться биометрии по голосу, которую предлагают банки, также не стоит, убежден Магомедов. Алгоритмы настроены таким образом, что идентификация происходит по целому ряду параметров: учитывается устройство, с которого происходит звонок, его местоположение, IP-адрес и номер телефона, перечислил он.