🏛️ Компании по кибербезопасности увидели риски в новых положениях УК
🔸Принятые в конце ноября поправки в Уголовный кодекс (УК), направленные на борьбу с утечками персональных данных, могут негативно отразиться на рынке кибербезопасности. Такие опасения высказали опрошенные РБК представители нескольких компаний, занимающихся информационной безопасностью.
🔸Цель нового закона — не ограничить законную деятельность специалистов в области кибербезопасности, а пресечь злоумышленное использование данных, сказал РБК член Совета Федерации, заместитель председателя Совета по развитию цифровой экономики при Совете Федерации Артем Шейкин. Преступлением, по его словам, будет считаться незаконный оборот компьютерной информации, которая получена незаконным путем и содержит персональные данные. Если специалисты по расследованию киберинцидентов действуют на основании договоров с заказчиками, соблюдают законы и не нарушают права третьих лиц, то их действия не подпадают под незаконный оборот, указал Шейкин. «Мы готовы рассматривать предложения отрасли, если практика применения закона потребует дополнительного обсуждения», — добавил сенатор.
🔸Глава комитета по информационной политике Госдумы Сергей Боярский передал через своего представителя, что к ним не поступали предложения от отрасли о внесении поправок в УК в части изменения нормы ответственности за нарушение законодательства о персональных данных. «Персональные данные, особенно биометрические персональные данные, — это очень чувствительная тема, и комитет последовательно выступает за то, чтобы закон максимально отвечал требованиям времени в части их защиты», — пояснил он.

🏛️ Совфед предлагает возобновить работу над регулированием рынка ЦОД
🔸Сенатор Артем Шейкин просит Минцифры возобновить работу над законопроектом от 2022 года о регулировании деятельности центров обработки данных (ЦОД). По его мнению, предложенная в законе модель регулирования отрасли ЦОД важна в условиях импортозамещения, а также потребности в появлении в России собственной системы сертификации — строители ЦОД до сих пор проводят сертификацию по американской системе, передавая данные об объектах за границу.

💡Почему бизнес хочет знать все про своих клиентов: как прогноз погоды может повлиять на продажи супермаркета, а рельеф местности ‒ на доходы страховщика
🔸Чем больше компания знает о своем покупателе, тем лучше может выполнить его запросы. Бизнесы тщательно собирают всю информацию, которую могут получить о клиентах, предлагают им заполнять анкеты, проводят опросы, запускают программы лояльности.
🔸Принято выделять собственные данные бизнеса (First Party Data) и данные партнеров (Second party data), которые компания получает от других организаций при наличии договоренности о передаче такой информации. Например, сеть отелей может сотрудничать с авиакомпанией. Third party data ‒ данные сторонних сервисов, специализирующихся на сборе и продаже информации о пользователях, например исследователей, проводящих опросы потребителей.
🔸Бизнес всегда стремится узнать о клиентах как можно больше, но процесс сбора и особенности использования информации могут привести к проблемам. Например, Uber в 2017 г. угодил в скандал после того, как была обнародована информация, что компания продолжает отслеживать перемещение пользователя какое-то время после завершения поездки. Uber отрицал этот факт, но работы лишились несколько менеджеров сервиса. Годом позже разразился еще более громкий скандал с британским стартапом Cambridge Analytica, который якобы собирал данные пользователей Facebook (принадлежит компании Meta, признанной экстремистской и запрещенной в России) при помощи развлекательных приложений и тестов, а затем использовал их для доставки контента, влияющего на решения людей, в том числе во время выборов президента США. Судебные разбирательства продолжались долго, и в декабре 2024 г. владеющая соцсетью компания согласилась выплатить австралийскому регулятору штраф в $31 млн за закрытие дела.

💡Вопрос: Вправе ли работодатель запрашивать в виде анкеты предоставление всех сведений о работнике, включая имущественные, финансовые, о семейном положении, об образовании, наличии родственников и сведения о родственниках, о знаниях и умениях, наличии заграничных документов, сроков и наличии образования, кредитные истории, адреса и регистрации в социальных сетях и пр.? И какие карательные действия он может предпринять в случае отказа?

🏛️Роструд: Трудовое законодательство не требует предоставления таких сведений о работниках. Если работник не желает предоставлять указанные в вопросе сведения, работодатель не вправе этого требовать, так как тем самым он нарушит конституционные права работника. Дисциплинарной ответственности за отказ предоставить такие сведения не предусмотрено.
Согласно ч. 1 ст. 23 Конституции РФ каждый имеет право на неприкосновенность частной жизни, личную и семейную тайну, защиту своей чести и доброго имени. Также ч. 1 ст. 24 Конституции РФ предусмотрено, что сбор, хранение, использование и распространение информации о частной жизни лица без его согласия не допускаются.

🇰🇿 Штрафы за незаконный сбор персональных данных в Казахстане увеличивают в три раза
🔸Одобренные Сенатом РК 26 декабря 2024 года поправки в Кодекс об административных правонарушениях предусматривают увеличение штрафов за незаконный сбор персональных данных в три раза.
🔸За незаконный сбор и (или) обработку персональных данных увеличен штраф для физлиц с 10 до 30 МРП, для субъектов малого предпринимательства, некоммерческих организаций, нотариусов, частных судебных исполнителей и должностных лиц – с 20 до 60 МРП, для субъектов среднего предпринимательства – с 30 до 100 МРП и для субъектов крупного предпринимательства – с 70 до 200 МРП.

🤷‍♂️ Частые сбои в работе ChatGPT могут привести к утечкам личных данных
🔸Масштабные сбои в работе продуктов компании OpenAI могут привести к утечкам пользовательских данных, считают эксперты. Вечером 26 декабря компания, создавшая ChatGPT, пережила массовое падение всех сервисов — его еще называют блэкаутом. На устранение проблем потребовалось более пяти часов, и это уже третий подобный случай в декабре. Всего за последние два года было 11 подтвержденных случаев утечек информации.

🇪🇺 VW хранил конфиденциальные данные о водителях электрокаров из разведки и полиции в «плохо защищённом облаке»
🔸Автомобильный концерн VW Group (марки Audi, VW, Seat, Skoda) хранил конфиденциальные данные о 800 тысячах электрокаров, включая информацию о владельцах машин из разведки и полиции, чьи персональные данные (ПД) должны охраняться особо, в «плохо защищённом облаке» Amazon. В облачном хранилище, в частности, содержались данные о местоположении электромобилей, уровне зарядки батарей, состоянии транспортного средства.
🔸Отмечается, что квалифицированный эксперт может связать данные электрокара с конкретным водителем, воспользовавшись онлайн-сервисами VW. Например, данные об 466 тысячах автомобилях оказались настолько исчерпывающими, что по ним можно было узнать о распорядке дня тех, кто эти машины водит.

🇷🇺👨‍💻🔥 #пд #privacy #нпа #инициативы #регулирование
Обновление дайджеста значимых событий (за предыдущие 2 недели), влияющих на регулирование персональных данных в РФ.

🔸Добавлены пункты (отмечены как New):
24. Федеральный закон от 28.12.2024 № 540-ФЗ о внесении изменений в 248-ФЗ "О государственном контроле (надзоре) и муниципальном контроле в РФ"
88. Законопроект о внесении изменений в ч.5 ст.18 и иные нормы 152-ФЗ "О персональных данных"
89. Законопроект о защите электронных сделок с недвижимостью с помощью биометрических данных
117. Проект приказа ФСБ о новых требованиях к защите информации в ГИС и ИС госорганов с использованием СКЗИ
118. Проект приказа Роскомнадзора об обязанности операторов связи передавать информацию для определения средств связи и пользовательского оборудования в интернете
119. Проект приказа ФСТЭК о новых требованиях к защите информации в ГИС и ИС госорганов
189. Инициатива собирать мобильные геоданные россиян у операторов
190. Инициатива возобновить работу над регулированием рынка ЦОД

🔸И немного статистики по количеству зафиксированных нами событий, связанных регуляторикой ПД:
📍2022 - 113;
📍2023 - 180;
📍2024 - 190.

🔸Спасибо, что остаётесь с нами все эти годы и до встречи в новом - 2025 - году 🤩🎄🥂

💡Об определении персональных данных как совокупности тождеств Idem и Ipse

🔸При анализе судебной практики за последние годы можно обнаружить, что в некоторых случаях Роскомнадзор более (см. решение Второго КСОЮ от 2022г. по делу Ookla) или менее (см. решение АС МО от 2023г. по делу СК «Арсеналъ») успешно применял подход к определению ПД через два свойства, совокупность которых позволяет отнести данные к конкретному физическому лицу:
▪️неизменность [при присвоении];
▪️уникальность.

🔸Хотя данный подход не всегда находит поддержку в судебной практике и у некоторых экспертов, под него, при желании, можно подвести определенную философско-логическую базу через совокупность тождеств Idem и Ipse, где Idem обозначает идентичность структурного порядка [неизменность], а Ipse – качественного [уникальность].

🔸Тождество Idem является логической структурой, в рамках которой можно утверждать, что данный человек или предмет – тот же самый, что был год назад, вчера, тот, кто совершил некое действие и т.п. Этот тип идентичности (Дерек Парфит называет его numerical identity, нумерической идентичностью) подразумевается неизменность во времени, пространственную идентификацию и, как следствие, количественную идентичность в смысле «тот же самый, а не другой» в рамках пары «тождественный – различный». Данного типа тождественность, описанная логическим языком с учетом временного оператора, выглядит следующим образом: предмет Р1 в момент времени t1 является тем же самым, что и предмет Р2 в момент времени t2 если и только если К(P1(t1),P2(t2)), где К – некоторый критерий диахронического тождества предметов Р1 и Р2 во времени.

🔸Другой тип тождества – это Ipse (самость, в терминологии Парфита qualitative identity, качественная идентичность). В этом аспекте два предмета являются тождественными, если все свойства и отношения, характеризующие один из них, характеризуют и другой, и наоборот. В ракурсе времени Ipse подразумевает, что у предмета или человека есть набор неизменных качеств, по которым можно его идентифицировать. Для образования этой идентичности принципиально, что в нее диалектически включается иное, то есть тождественность возникает относительно инаковости.

🏛️ Гражданам дали возможность с 1 марта 2025 получать информацию о себе из единого регистра населения
🔸Граждане смогут, используя единый портал госуслуг, получать сведения о себе из единого регистра населения, а также исправлять неверную информацию о себе.
🔸Обращение об изменении сведений в записи регистра и информирование о ходе и результатах его обработки могут обеспечиваться при наличии технической возможности с использованием и региональных порталов госуслуг.

#privacy #dataprotection #пд #dpo #трудовыебудни #юмор

🏛️ Установлена возможность обработки биометрических персональных данных без согласия субъекта этих данных в случаях, предусмотренных уголовно-процессуальным законодательством
🔸 Владимир Путин подписал Федеральный закон от 30.12.2024 № 519-ФЗ «О внесении изменений в статьи 10 и 11 Федерального закона «О персональных данных» и отдельные законодательные акты Российской Федерации».
🔸Федеральный закон устраняет правовой пробел в части, касающейся закрепления в Федеральном законе «О персональных данных» возможности обработки специальных категорий персональных данных, а также обработки биометрических персональных данных без согласия субъекта этих данных в случаях, предусмотренных уголовно-процессуальным законодательством.

🏛 Правительство утвердило Концепцию государственной системы противодействия преступлениям, совершаемым с помощью информационно-коммуникационных технологий
🔸Указанная государственная система в т.ч. будет включать в себя "организации, деятельность которых связана со сбором, хранением персональных данных".
🔸Одно из задач государственной системы заявлено обеспечение защищенности российского общества от противоправных посягательств в информационном пространстве, включая обеспечение безопасности персональных данных.

🇰🇿 Глава Казахстана Касым-Жормат Токаев 10 января подписал закон "О внесении изменений и дополнений в Кодекс Республики Казахстан об административных правонарушениях"
🔸В целом закон предусматривает внесение изменений и дополнений в 246 статей КоАП, а также корректировки 247 составов. В частности, ужесточаются штрафы по 43 статьям КоАП и 45 составам. К примеру, за нарушение законодательства о персональных данных и их защите (ст. 79 КоАП).
🔸Кроме того, вводятся новые статьи, устанавливающие ответственность, в т.ч. за нарушение банковского законодательства в сфере обеспечения информационной безопасности (ст. 215-1).

⚡Массовая утечка данных затрагивает всех пользователей – от смартфонов до спецслужб
🔸Хакеры заявили о взломе компании Gravy Analytics, продающей данные о местоположении смартфонов правительству США. Злоумышленники якобы получили доступ к большому объёму данных, включая списки клиентов, информацию об отрасли работы и точные геоданные пользователей.
🔸На форумах хакеры опубликовали образцы данных, включающие точные координаты пользователей, время перемещения и дополнительные классификаторы, например «вероятно за рулём». Среди данных обнаружены сведения о пользователях из разных стран, включая Россию, Мексику и Нидерланды. Некоторые данные уже использовались американскими агентствами для миграционных операций.
🔸Среди клиентов Gravy Analytics (материнская компания Venntel) упомянуты Apple, Uber, Comcast, Equifax, а также подрядчики правительства США, такие как Babel Street. Последняя ранее использовала данные для инструментов отслеживания, включая наблюдение за посетителями клиник для абортов.

💡Опубликован новый стандарт ISO/IEC 27562:2024 «Руководство по защите персональных данных для финансово-технологических услуг»
🔸В стандарте описаны все соответствующие бизнес-модели и роли в отношениях между потребителем и коммерческой организацией и между коммерческими организациями, а также связанные с ПД риски и требования к защите ПД, которые имеют отношение к финансово-технологическим услугам. Стандарт описывает специфические для финансово-технологических услуг меры и средства контроля и управления, используемые для обработки и смягчения рисков, связанных с ПД.

🏛️ Екатерина Мизулина выступила против закона о регулировании видеоигр
🔸Глава Лиги безопасного интернета Екатерина Мизулина не поддержала законопроект о регулировании видеоигр в его текущем виде. По ее мнению, документ требует серьезных доработок.
🔸Она отметила, что ее настораживает положение об обязательной идентификации геймеров. По ее мнению, непонятно, какие персональные данные будут собирать распространители игр. Кроме того, формулировки в части о маркировке игр остаются неоднозначными.
🔸Мизулина напомнила, что ранее Лига также не поддержала регулирующий видеоигры законопроект, уточнив, что ряд положений документа может привести к утечке персональных данных и нарушит конституционные права граждан России.
🔸Ранее в Госдуме раскрыли детали закона о маркировке видеоигр, согласно которому распространители игр будут обязаны идентифицировать геймеров через "Госуслуги", биометрию или номер мобильного. Также закон предполагает ввод предупреждений о наличии нецензурных выражений, сцен насилия, жестокости, употребления алкоголя или курения в игре.

🇪🇺 Верховный суд ЕС оштрафовал Еврокомиссию на 400 евро за нарушение закона о защите данных из-за передачи данных в США
🔸Решение было вынесено после того, как гражданин Германии заметил, что некоторые его личные данные были переданы в США при регистрации на конференции, организованной Еврокомиссией.
🔸Суд постановил, что комиссия не соблюдала Общий регламент по защите данных (GDPR), «который требует надёжной защиты персональных данных граждан ЕС при их передаче за пределы ЕС». Еврокомиссия не предоставила доказательств того, что приняла необходимые меры предосторожности для защиты данных при их отправке в США.