Как проходят профилактические визиты Роскомнадзора к операторам персональных данных

В 2023 году продолжает действовать мораторий на проведение плановых проверок бизнеса, в том числе и в рамках федерального государственного контроля (надзора) за обработкой персональных данных. Однако дружеские профилактические визиты остались, напомнил Роскомнадзор.

Профилактические визиты – эффективный способ повысить уровень правовой грамотности операторов в рамках соблюдения закона №152-ФЗ «О персональных данных», предотвратить возможные нарушения прав и законных интересов граждан.

Уведомления о предстоящем профилактическом визите получают те операторы, которые только в этом году приступили к обработке персданных. От проведения такого визита можно отказаться.

Во время визита сотрудники Роскомнадзора дают операторам разъяснения и рекомендации по организации обработки персданных. Предписания по итогам профилактических мероприятий не выносятся.

🇪🇺🇮🇹 Штраф за неправильную анонимизацию медицинских данных
🔸Кто: Garante per la protezione dei dati personali (Италия)
🔸Кого: Thin S.r.l.
🔸Когда: 2023.07
🔸За что: нарушение ст. 5(1)(a), 9(2), 13 GDPR
🔸Как: штраф €15,000
🔸Причина: компания Thin участвовала в реализации международного проекта, направленного на улучшение качества обслуживания пациентов путем сбора и анализа данных о состоянии здоровья. Терапевты, участвующие в проекте, должны были добавить в используемую систему управления (называемую "Medico 2000" и поставляемую ИТ-компанией, работающей в партнерстве с Thin) дополнительный функционал, который автоматически анонимизировал бы данные пациентов и передавал их в базу данных, принадлежащую Thin. Взамен врачи общей практики могли получить льготы, в том числе и финансовую компенсацию.
Дополнительный функционал в системе не позволял эффективно анонимизировать медицинские данные, т.к. простая замена идентификатора, присвоенного пациентам, системой шифрования или необратимым хэш-кодом ни при каких обстоятельствах не является надлежащей мерой в отношении требования об устранении особенностей, необходимых для квалификации операции обработки как анонимизации.
Таким образом, компания Thin основывалась на ошибочном предположении, что она обрабатывает анонимизированные данные, она фактически незаконно обрабатывала псевдонимизированные персональные данные.

Старший персональный менеджер отдела по работе с состоятельными клиентами дополнительного офиса одного из московских банков передавал информацию об открытых счетах, вкладах и персональных данных клиентов третьим лицам за денежное вознаграждение (см. "банковский пробив").

Районный суд г. Москвы признал 23-летнего персонального менеджера виновным по четырем эпизодам ч. 3 ст. 183 УК РФ (незаконные получение и разглашение сведений, составляющих коммерческую, налоговую или банковскую тайну) и назначил ему наказание в виде лишения свободы сроком на один год шесть месяцев с испытательным сроком один год шесть месяцев.

Google начнёт предупреждать пользователей об утечке их личных данных в Сеть.

Нововведение будет работать в поисковой системе Google, автоматически проверяя введённые пользователем данные, такие как адрес электронной почты или пароль, на предмет их утечки.
Если система обнаружит, что они ранее утекли, система предупредит пользователя и предложит рекомендации по усилению безопасности.

⚡В Госдуме предложили маркировать компании, допустившие утечку персональных данных
🔸Заместитель председателя Госдумы Борис Чернышов (фракция ЛДПР) направил министру цифрового развития, связи и массовых коммуникаций РФ Максуту Шадаеву письмо с предложением разработать и внедрить специальный знак "ненадежного оператора" для компаний, допустивших утечку персональных данных клиентов.
🔸По словам Чернышова, такой знак поможет россиянам при выборе той или иной компании сразу понять, стоит ли доверять ей или нет. Инициатива, продолжил он, повысит информированность особо уязвимых категорий - несовершеннолетних и пожилых людей, а также вынудит операторов персональных данных уделять больше внимания их защите.

😱 «Литрес» подтвердил утечку данных пользователей
🔸Согласно заявлению сервиса, злоумышленники получили доступ к адресам электронной почты, но не к платежным данным. Хакеры ранее заявили, что завладели базой данных, в которой содержатся также имена и фамилии и пароли в зашифрованном виде.

🤔Клавиатура шепчет, а микрофон слушает: как алгоритмы расшифровывают ваши тайны через микрофон
🔸Команда исследователей из британских университетов обучила модель глубокого обучения, которая может воровать данные о нажатиях клавиш клавиатуры, записанных с помощью микрофона, с точностью до 95%.
🔸При использовании Zoom для обучения алгоритма классификации звука точность предсказания снижалась до 93%. Однако даже этот показатель остается на опасно высоком уровне и является рекордным для данного средства коммуникации.
🔸Такая атака представляет серьезную угрозу безопасности данных, поскольку она может привести к утечке паролей, обсуждений, сообщений или другой конфиденциальной информации злоумышленникам.

😀В РКН подготовили рекомендации операторам персональных данных на фоне утечек
1️⃣В службе настаивают на «дроблении» личных сведений, то есть хранении каждой конкретной информации о человеке — имя, номер телефона, покупка — в разных базах вместо одной ячейки. Это уменьшит шансы мошенников привязать данные к конкретному физическому лицу в случае утечки сведений из нескольких баз.
2️⃣В РКН также предлагают сократить перечень персональных данных, используя лишь ту информацию, которая действительно необходима для оказания услуги, продажи товаров и иной деятельности.
3️⃣Операторам также стоит отказаться от накопления сведений о своих клиентах «на всякий случай» и от формирования их профилей, «если это не жизненно нужно для организации».
4️⃣В РКН отдельно настаивают на своевременном уничтожении персональных данных после «достижения цели обработки» — к примеру, после оказания услуги. Среди других рекомендаций — использование технических и программных средств, принадлежащих самому оператору, а не третьим лицам.

🏛️Антон Немкин: Информация о россиянах должна храниться только в России
🔸Собранные в результате опросов и другими методами данные о финансовых возможностях, предпочтениях и даже здоровье россиян могут быть использованы против них, если исследования проводят компании из недружественных стран. Именно поэтому возможность таких исследований решили ограничить законодательно, рассказал в рамках член Комитета Госдумы по информационной политике, информационным технологиям и связи Антон Немкин. Он также анонсировал увеличение штрафов за утечки персональных данных и оценил безопасность использования электронных виз.

❗️«Серые» сим-карты могут быть заблокированы по требованию РКН

Роскомнадзор требует от операторов связи блокировать номера абонентов, чьи персональные данные стали не актуальны. Под блокировку могут попасть несколько миллионов «серых» сим-карт.

Абонент, чей номер попадает в список номеров, данные которых нужно актуализировать, должен в течение 15 дней подтвердить персданные через Госуслуги или приложение мобильного оператора либо в салоне связи.

📢Глава думского ИТ-комитета Александр Хинштейн напомнил, что регулятор получил возможность блокировки еще в конце 2020 года, когда были приняты поправки к закону «О связи». Операторы обязаны проверять в Единой системе идентификации и аутентификации (ЕСИА) портала Госуслуг информацию, внесенную юридическими лицами и ИП, являющимися корпоративными абонентами, и о физических лицах.

«Роскомнадзор дал достаточно времени для подтверждения персональных данных пользователям мобильной связи. Операторы со своей стороны также проводят большую работу, чтобы донести до абонентов способы подтверждения персданных. Проблема «серых» сим-карт до сих пор остро стоит, их зачастую используют мошенники, причем не только с приставкой «кибер» — большая часть мобильников, передаваемых злоумышленниками в колонии, тюрьмы и изоляторы, работают именно с такими симками».

💡Исследование ИРИ: Цифровой контроль за сотрудниками (использование технологий мониторинга на рабочем месте)
🔸Цифровизация труда, в частности популяризация гибридного или удаленного формата работы, вызвала стремительное развитие технологий мониторинга рабочего процесса сотрудников.
🔸Почти 25% руководителей применяют более агрессивные функции отслеживания, чем годом ранее. Из всех программ мониторинга наиболее популярные функции наблюдения среди работодателей включают:
· отслеживание рабочего времени (96%);
· скриншоты экрана компьютера сотрудника (78%);
· видеонаблюдение (42%);
· кейлоггинг (40%);
· отслеживание по местоположению GPS (34%);
· запись звука сотрудника через внутренний микрофон устройства (8%).
🔸При этом 38% инструментов используются в скрытом режиме без ведома работника. Кроме того, эксперты отмечают, что более 80% сотрудников находятся под наблюдением в режиме реального времени. По оценкам экспертов в 78% случаев использование инструментов отслеживания указывается в условиях трудового договора.

67% российских компаний избегают публичных высказываний о произошедших инцидентах с утечкой данных, посчитали в "Серчинформ". Полностью избежать комментариев чаще получается у малых компаний, чье имя еще не стало брендом. Прямо подтвердить утечку в СМИ решила каждая 11 компания. Еще 7% компаний подтвердили утечку, но с оговорками о том, что утечка старая, была вызвана сторонним сервисом или содержала некритичные данные. Полностью отрицали утечку 5%, а 2% не смотря на отрицательный ответ СМИ, передали информацию об инциденте в Роскомнадзор.

🏛️ РКН проверит информацию о возможной утечке данных пользователей "ЛитРес"

🫠 В АБД прокомментировали законопроект об утечках данных: в настоящем виде он приведет к снижению инвестиций в IT, отметили в ассоциации
🔸Ассоциация больших данных (АБД) считает, что законопроект, которым ужесточается ответственность за утечки персональных данных, в нынешнем виде приведет к снижению инвестиций в IT-отрасль и не достигнет своих целей. Об этом говорится в отзыве ассоциации за подписью ее президента Анны Серебряниковой, направленной в адрес замминистра цифрового развития РФ Александра Шойтова.
🔸Кроме этого, в АБД указывают, что законопроект не предусматривает стимулы для участников рынка повышать безопасность обработки персональных данных и принимать дополнительные меры для их защиты. Также, согласно отзыву, термины, которые используются в законопроекте рассинхронизированы с законодательством о персональных данных, что препятствует внедрению передовых методов защиты данных. "Представляется также несправедливой методика расчета оборотных штрафов, которая не учитывает объем выручки на рынке, на котором произошло нарушение, а считается от оборота компании в целом, что создает максимальную финансовую нагрузку на компании с относительно небольшой выручкой", - добавили в ассоциации.

🏛️ Комитет Совета Федерации (СФ) по экономической политике, рассмотрев обращение кубанской ассоциации транспортников, попросил Минтранс России обратить внимание на работу обеспечивающих автобусные перевозки сервисов BlaBlaCar и «Едем.рф».
🔸Сенаторы согласились с кубанскими транспортниками в том, что агрегаторы не обеспечивают контроль за выполнением требований в области транспортной безопасности, а кроме того, не защищают персональные данные пользователей от утечки за границу. Эксперты отмечают, что такая позиция на уровне органов госвласти высказана впервые, а это может означать начало изменений в подходах к работе агрегаторов автобусных перевозок.

🇺🇸 Коллапс в сфере образования: вымогатели заполучили данные сотен тысяч учащихся и преподавателей в Колорадо

🏛️ Минздрав России определил угрозы безопасности персональных данных в информационных системах, используемых в здравоохранении, соответствующий приказ министерства опубликован на интернет-портале правовой информации.
🔸Как следует из приказа, актуальными угрозами для персональных данных являются особенности функционирования технических средств, несанкционированный доступ, воздействие вредоносных программ, использование социального и психологического воздействия на тех, кто имеет доступ к данным.
🔸Кроме того, к угрозам относится создание способов, подготовка и проведение атак на персональные данные, специально разработанные аппаратные средства и программное обеспечение, уточняется в документе.

🇮🇳 Индийские парламентарии одобрили законопроект о защите цифровых ПД граждан
🔸Нижняя палата индийского парламента одобрила законопроект о защите цифровых персональных данных (ПД) граждан (Digital Personal Data Protection Bill).
🔸Законопроект вводит обязательство для компаний, собирающих ПД индийцев, получать явное согласие пользователя прежде, чем обрабатывать их. Предусмотрен ряд исключений, например, платформы могут обрабатывать ПД без получения согласия, если данные передаются добровольно в ряде случаев, в частности, при предоставлении чеков или при оказании госуслуг.
🔸Digital Personal Data Protection Bill наделяет правительство полномочиями по созданию совета по защите данных и назначении его членов, включая председателя. Власти и совет получают иммунитет от судебного преследования.