🇨🇦 Студенты канадского Университета Ватерлоо обнаружили, что установленные в учебном заведении автоматы для продажи товаров под маркой M&M негласно собирают биометрические данные покупателей.
🔸Выяснилось это случайно, когда на дисплее одного из автоматов появилось сообщение об ошибке, свидетельствующей об использовании в автомате ПО для распознавания лиц.
🔸После изучения рекламного проспекта производителя автоматов, компании Invenda, один из студентов заявил, что аппараты способны определять примерный возраст покупателей и их пол, а затем пересылать данные вовне.
🔸Руководство Университета Ватерлоо пообещало отключить ПО торговых автоматов Invenda и позже избавиться от них.

🏛️ 22 февраля правительство РФ внесло в Госдуму законопроект, который корректирует обязательства банков по правилам удаленного обслуживания клиентов. В частности, предусматриваются правки в ст. 7 («Права и обязанности организаций, осуществляющих операции с денежными средствами или иным имуществом») закона о ПОД/ФТ (115-ФЗ). Согласно им, после идентификации клиента системно значимые банки (в настоящее время это 13 кредитных организаций) должны иметь возможность выдавать кредиты и открывать вклады удаленно и через сайт, и через мобильное приложение.
🔸Остальные банки с универсальной лицензией будут иметь выбор между этими двумя каналами. Это позволит сократить излишние издержки банков на ненужное развитие сервисов, отмечают эксперты.

⚖️ Может ли клиника разгласить юристам ФИО своего пациента при получении досудебной претензии?
🔸Пациентка, недовольная качеством оказанных ей медицинских услуг, потребовала у клиники вернуть ей 50 000 ₽ в счет снижения стоимости оказанных услуг. Клиника, понимая, что конфликт с пациентом может перерасти в судебное разбирательство, заключила с юридической компанией договор на оказание юридических услуг для защиты своих прав и законных интересов. В рамках исполнения этого договора юрист юрфирмы был ознакомлен с текстом досудебной претензии пациентки - без доступа к ее медицинской документации. Юрист подготовил соглашение о досудебном урегулировании спора, которое устроило обе стороны. Пациентка подписала это соглашение и немедленно пожаловалась на медорганизацию в Роскомнадзор, утверждая, что медики неправомерно и без согласия субъекта персональных данных (ПД) распространили (в адрес юрфирмы) ее персональные данные.
🔸Роскомнадзор, ознакомившись с ситуацией, расценил поведение клиники как, действительно, незаконную обработку (распространение без согласия субъекта ПДн и в отсутствие законных оснований) персональных данных пациентки, да не простых, а специальной категории - о случаях обращения за медицинской помощью. Поэтому надзорный орган направил клинике требование о недопущении нарушений и прекращении обработки персональных данных пациента юрфирмой.
🔸Три судебных инстанции пришли к выводу, что медорганизации запрещено без согласия пациента передавать любые его персональные данные (в том числе в объеме ФИО) приглашенным со стороны юристам, если они наняты для досудебного урегулирования конфликта с пациентом (Постановление Арбитражного суда Центрального округа от 02.02.2024 № Ф10-6795/23).

🇪🇺 Штраф за распространение сведений о дефекте кожи на корпоративном аккаунте в Instagram
🔸Кто: Garante per la protezione dei dati personali (Италия)
🔸Кого: David S.r.l. (эстетический центр «Dvora»)
🔸Когда: 2024.02
🔸За что: нарушение ст. 5(1)(a), 6, 9, 12 и 13 GDPR
🔸Как: штраф €8,000
🔸Причина: субъект данных, который был снят на видео во время процедуры эстетической медицины в эстетическом центре «Dvora» пожаловался на незаконное распространение его персональных данных на аккаунте контролера в Instagram. В ответ на жалобу контролер представил доказательства того, что субъект данных дал конклюдентное («молчаливое») согласие на обработку и публикацию своих данных и изображений в социальных сетях. Однако субъект данных заявил, что не давал согласия на съемку видео, на котором его лицо было бы узнаваемо вместе с расширенными во время эстетической процедуры порами кожи, которые, по мнению субъекта, относятся к состоянию его здоровья.
– Итальянский надзорный орган (Garante) пояснил, что чувствительный характер информации должен оцениваться также в зависимости от контекста упоминания. Несмотря на отсутствие явного указания на патологию, которой, возможно, страдает субъект данных, Garante расценил запись о недостатках лица субъекта данных как данные о здоровье, поскольку контролер утверждал, что проводит "безоперационную ринопластику" - процедуру, связанную с состоянием здоровья человека.
– По этой причине конклюдентное согласие субъекта данных не может считаться действительным, поскольку обработка подпадает под исключения из запрета на обработку чувствительных категорий данных согласно ст.9(2)(a) GDPR при условии, что они могут обрабатываться только на основании явно выраженного согласия субъекта данных. Таким образом, даже если субъект данных был осведомлен о съемках медицинских услуг, которые он проходил, это обстоятельство не равнозначно получению от субъекта данных информированного, конкретного и явного согласия на то, как данные, подлежащие той же записи, будут обрабатываться и, в данном случае, даже распространяться на социальных платформах.

⚡Санкт-Петербургское управление Федеральной антимонопольной службы (УФАС) выдало предупреждение администратору федерального сервиса по заказу лекарств Apteka.ru и потребовало устранить нарушения из-за навязывания рекламы при регистрации пользователей. Речь идет о невозможности регистрации и заказа лекарств на портале без согласия на получение рекламы.
🔸Проанализировав жалобы пользователей, УФАС пришло к выводу, что заполняемое при регистрации на сайте для покупок согласие на обработку персональных данных содержит безоговорочное согласие на рекламную рассылку СМС и писем по электронной почте.
🔸УФАС напомнило, что закон о рекламе не позволяет считать надлежащим согласие на получение рекламы, если потребитель был вынужден дать его для пользования услугой без каких-либо альтернатив. В связи с этим в действиях администратора сервиса Apteka.ru ведомство выявило признаки получения необоснованного преимущества на рынке аптечных услуг, что "может негативно сказываться на благополучии покупателей". Администратор Apteka.ru теперь должен изменить процедуру регистрации на сервисе и избавить клиентов от обязательной рекламы.

🏛️Зарегистрировать биометрические данные и повысить их уровень с упрощенного до стандартного и со стандартного — до подтвержденного станет проще. Новые нормы обозначены в проекте правительственного постановления, которое может вступить в силу с сентября 2024 г.
🔸Принятие поправок в постановления кабмина от 2022 года позволит упростить россиянам получение услуг с помощью биометрии, а также размещение этих данных в Единой биометрической системе (ЕБС), говорится в пояснительной записке. Добиться этого планируют благодаря «внедрению механизма очного подтверждения в банке биометрических персональных данных, размещенных в ЕБС самостоятельно через мобильное приложение». То есть сотрудник банка сможет подтвердить личность человека, уже имеющего биометрические слепки: фото и голос, выведя его данные таким образом на высший уровень. Это проще и быстрее, чем проходить всю процедуру с самого начала.

🏛️Депутаты Государственной думы отклонили в первом чтении законопроект, позволяющий раскрывать персональные данные из Единого государственного реестра недвижимости (ЕГРН) поставщикам коммунальных ресурсов, управляющим компаниям и региональным операторам по обращению с коммунальными отходами.
🔸С 1 марта 2023 года Росреестр не публикует сведения о собственниках в выписке из Единого государственного реестра недвижимости (ЕГРН), если ее заказали третьи лица. Эти данные из ЕГРН доступны только с согласия собственников объектов.
🔸Думский комитет по государственному строительству и законодательству не рекомендовал принимать данный законопроект, он не прошел первое чтение.

⚖️ Мировой судья в Москве назначил административный штраф в 1 млн руб. сервису знакомств Badoo Trading Limited за нарушение порядка локализации данных граждан РФ в России. Компания была признана виновной в неисполнении требования и локализации персональных данных граждан РФ на серверах, расположенных в России (ч. 8 ст. 13.11 КоАП РФ).

🇺🇸 Указ президента США Джо Байдена, запрещающий передачу персональных данных из Соединенных Штатов, будет направлен против России, Венесуэлы, Ирана, Китая, КНДР и Кубы.
🔸Байден в среду подпишет указ, который должен запретить передачу конфиденциальных данных шести странам. Президент США уполномочит Минюст подготовить правила, ограничивающие продажу информации о местонахождении, здоровье и генетике американцев России, Венесуэле, Ирану, Китаю, КНДР и Кубе, а также любым организациям, связанным с этими странами.
🔸Ограничения также коснутся финансовой информации, биометрических данных и других видов информации, которые могут идентифицировать личность, а также они затронут конфиденциальную информацию, связанную с правительством.

🇨🇳🇺🇸 Китай призвал США совместно работать над универсальными правилами обеспечения безопасности данных и способствовать упорядоченному потоку глобальных данных. Соответствующее заявление сделала на брифинге официальный представитель МИД КНР Мао Нин.
🔸"Китай требует, чтобы США, вместо того, чтобы клеветать на КНР, поддерживали открытую, справедливую и недискриминационную бизнес-среду, работали со всеми сторонами над формированием универсальных правил защиты безопасности данных, способствовали упорядоченному и свободному потоку глобальных данных", - отметила официальный представитель китайского внешнеполитического ведомства.

🇺🇸🇷🇺 Пентагон и разведка США активно используют технологии таргетированной рекламы для слежки за интересующими их «целями», т.е. конкретными людьми, в любой точке земного шара, написал во вторник журнал Wired со ссылкой на выдержки из книги американского журналиста Байрона Тау (Byron Tau) «Средства контроля: как тайный союз IT-компаний и правительства создаёт новое американское полицейское государство (How the Hidden Alliance of Tech and Government Is Creating a New American Surveillance State)».
🔸Некий IT-специалист Майк Игли (Mike Yeagley) смог получить доступ к данным о владельцах гаджетов, которые используются при проведении торгов на биржах цифровой рекламы. Победитель таких торгов получает право показать своё предложение конкретному пользователю. Во время аукциона рекламодателям становится доступна различная информация о пользователях устройств, включая их местоположение.
🔸Ряд компаний догадались, что данные о торгах можно не только просматривать, но и сохранять, а затем продавать. Эксперименты Игли показали: если задать географическую зону и проанализировать купленную через посредников информацию от бирж рекламы, например, данные о перемещении пользователя, можно выяснить, где работает владелец гаджета.
🔸При финансовой поддержке Минобороны США Игли разработал продукт для слежки под названием Locomotive. Всё, что требовалось для его работы – закупить у брокеров данных интересующую информацию за небольшие для агентства деньги – «пару сотен тысяч долларов в месяц». В материале утверждается, что продукт позволял следить за окружением президента РФ — водителями, охранниками, советниками – и знать, куда направляется российский лидер.

🏛️ Правительство своим постановлением расширило состав сведений, предоставляемых в режиме рассылки из единого регистра населения.
🔸«Режим рассылки» означает автоматическое предоставление (через СМЭВ) данных из регистра населения в информационные системы органов исполнительной власти. Кроме режима рассылки, есть ещё режим предоставления данных по запросу.
🔸В режим рассылки теперь включены следующие сведения:
- в отношении физического лица – дата смерти;
- в отношении записи акта гражданского состояния – дата внесения отметки об аннулировании и дата внесения отметки о восстановлении записи акта;
- в отношении записи акта о заключении брака – дата внесения отметки о признании брака недействительным;
- в отношении каждого ребёнка – место рождения и дата смерти;
- в отношении сведений о регистрации смерти – идентификаторы свидетельств о регистрации смерти и повторных свидетельств.

⚡Председатель партии «Справедливая Россия – За правду» Сергей Миронов призвал Правительство внимательно оценить риски от реализации нового приказа Минтранса, предполагающего массированный сбор персональных данных граждан. Подобные меры безопасности могут в итоге дать обратный эффект, отметил он.
🔸Минтранс разработал проект приказа, по которому с 1 сентября перевозчики должны передавать в единую базу все данные пассажиров, указываемые при покупке билетов. Включая номер телефона, адрес электронной почты, IP-адрес, логин и пароль к учетной записи пассажира, четыре последние цифры банковской карты, с которой совершается оплата. Как сообщают СМИ, меры якобы направлены на усиление безопасности и борьбу с преступностью.
🔸"Такой массированный сбор данных может существенно облегчить "работу" киберпреступников. Зная указанную информацию, в том числе пароль к одной учетной записи, можно получить доступ ко всем остальным, – указал Сергей Миронов. – Несмотря на все заверения чиновников, что закрытые базы надежно защищены, масштабные утечки регулярно случаются. Детальный сбор данных повысит вероятность утечек и взломов. Правительству стоит внимательно оценить риски от реализации предлагаемых норм. Не исключено, что подобное усиление безопасности может дать для граждан обратный эффект, ослабить их личную безопасность. Кроме того, перевозчики указывают, что выполнение новых требований повлечет дополнительные затраты. Эти затраты, скорее всего, также переложат на пассажиров, которые столкнутся с очередным подорожанием билетов".

А как вы совмещаете 100500 оснований обработки персональных данных во взаимодействии со своими субъектами?

Мы вот стараемся на совмещать, а получается... получается как получается :)

#ст9 #152фз

⚡Проект национального стандарта «Защита информации от утечки из программной среды информационных и автоматизированных систем. Общие положения» представили для обсуждения в Росстандарт ГК «Солар» и «Центр безопасности информации» (ООО «ЦБИ»).
🔸Новый ГОСТ позволит ввести в правовое поле понятие «утечка информации (из программной среды информационных (автоматизированных) систем)» и заложит методическую и нормативную базу для защиты от этого вида киберугроз и использования специальных технических средств защиты от утечки (DLP-систем).
🔸Разработка проекта была инициирована ГК «Солар» и осуществлялась в рамках работы технического комитета Росстандарта 362 «Защита информации». Предварительное обсуждение документа велось в формате экспертного сообщества, куда вошли регуляторы в сфере защиты информации, все ключевые разработчики DLP-систем, а также их эксплуатанты, научные организации. Такой подход, согласованный и поддержанный регуляторами, обеспечил соблюдение интересов всех сторон и отражение реального запроса бизнеса, говорится в сообщении.
🔸Совместными усилиями был сформирован понятийный аппарат стандарта. Раздел, содержащий описание технических средств, используемых для защиты информации от утечки, был сформирован таким образом, чтобы не нарушить конкурентное положение отдельных производителей DLP-систем. Для этого разработчиками была организована серия встреч и обсуждений, часть из которых прошла на площадках участников экспертного сообщества, чтобы создать равные условия совместной работы.

⚡🏛️ В России с 1 января 2025 г. могут отказаться от временных мораториев на проверки бизнеса. Об этом заявил президент РФ Владимир Путин в ходе послания к Федеральному Собранию.
🔸Путин подчеркнул, что временные моратории на проверки полностью оправдали себя. Президент выразил мнение, что компаниям, которые гарантируют высокое качество товаров и услуг, несут ответственность перед потребителями, действительно можно и нужно доверять.
🔸«Поэтому считаю возможным с 1 января 2025 г. отказаться от временных мораториев на проверки бизнеса и вместо этого, с учетом наработанного опыта, полностью перейти на рискоориентированный подход, закрепив его законодательным. Там, где риски отсутствуют, надо применять профилактические меры. И таким образом минимизировать число проверок», – объяснил Путин.

🏛️ Коллекторов будут штрафовать на 2 млн рублей за навязчивые звонки должникам
🔸Минюст подготовил законопроект, предусматривающий штрафы за нарушение правил общения с должниками. Для физлиц‎ наказание составит от 50 до 500 тысяч рублей, для должностных лиц — от 100 тысяч до 1 млн, для юрлиц — до 2 млн рублей. В Госдуме заявили, что штрафы для коллекторов необходимы, поскольку "они переходят все границы".

На ярмарке вакансий RPPA опубликована новая позиция:
🔸Специалист по комплаенс ИБ (направление защиты персональных данных) в ТАСС
🇷🇺⚡️👨‍💻 #вакансия #privacy #иб

🇪🇺 Meta* под огнем в ЕС: Политика компании "плати или соглашайся" вызвала многочисленные споры с правозащитниками
🔸С конца 2023 года Meta начала внедрять в ЕС изменения, предлагая пользователям «продолжить использование Facebook* и Instagram* с рекламой» или перейти на платную подписку без рекламы. Данный шаг был предпринят в попытке соответствовать законодательству ЕС, однако вызвал недовольство защитников прав на конфиденциальность.
🔸Например, организация NOYB (None Of Your Business) утверждает, что Meta предлагает платить за наслаждение фундаментальными правами в рамках законодательства ЕС, и оспаривает эту практику с ноября 2023 года, утверждая, что согласие на обработку данных должно быть предоставлено бесплатно, а не как альтернатива платежу.
🔸Meta оспаривает обвинения, заявляя, что серьезно относится к своим обязательствам по регулированию и уверена в соответствии своих действий GDPR. Компания утверждает, что ее модель подписки без рекламы соответствует последним регуляторным разработкам и решениям высших европейских судов.
* Компания Meta и её продукты признаны экстремистскими, их деятельность запрещена на территории РФ.

👨‍⚕️ В Приморье врач пойдет под суд за передачу данных умерших ритуальным агентствам
🔸Фигурантом по делу проходит 46-летняя женщина, сотрудник "Станции скорой медицинской помощи г. Владивостока". Она с апреля по июль 2023 года, работая в должности старшего врача, получила от представителя ритуальной фирмы ПАО "Стикс-П" взятку на сумму более 200 тысяч рублей. За это предоставляла информацию о смерти граждан, их персональные данные, номера телефонов родственников умерших.
🔸Прокурор Приморского края Сергей Столяров утвердил обвинительное заключение по уголовному делу о получении взятки должностным лицом в крупном размере (ч. 5 ст. 290 УК РФ). Женщина уже имела судимость за аналогичное преступление. Ранее ее заключили под стражу и наложили арест на ее автомобиль в качестве обеспечительной меры.

💡Большинство россиян не хотят делиться с компаниями персональными данными
🔸Большинство респондентов, 78%, признались, что не хотят делиться с коммерческими компаниями персональными данными, при этом практически половина опрошенных — 45% — готовы раскрывать свои покупательские предпочтения, особенно если могут получить за это скидку или персональное предложение.
🔸Рассказывать о своих предпочтениях и вкусах по запросу компании без дополнительных условий готовы 13% опрошенных. 17% сообщат такую информацию о себе только при условии получения бонусов или скидок от бренда, который проводит опрос, а 15% — если это поможет им получить персональные предложения.
🔸Личную информацию с большей готовностью доверят знакомым компаниям, чьими услугами или товарами пользуются на постоянной основе. Об этом сообщили почти 70% опрошенных. Каждый пятый готов передавать персональные данные лишь известным компаниям. Всего для 9% россиян не имеет значения популярность компании, они готовы рассказать о себе и своих вкусах бизнесу любого масштаба.
🔸Больше половины — 58% — россиян скорее предпочтут доверить личные данные представителям коммерческих компаний, чем искусственному интеллекту.