⚡РКН: в 2024 году большинство утечек произошло в сфере торговли и услуг
🔸"В 2024 году ведомство выявило 135 фактов утечек персональных данных, содержащих более 710 млн записей. Наибольшее количество утечек зафиксировано у компаний, работающих в сфере торговли и оказания услуг", - сообщили в ведомстве.
🔸По фактам утечек суды назначили штрафы, их сумма в 2024 году достигла 2 млн рублей.

🏛️ В 2026 году планируется промышленная эксплуатация платформы противодействия кибермошенничеству и принятие соответствующего профильного закона
🔸Заместитель министра цифрового развития, связи и массовых коммуникаций РФ Александр Шойтов: в национальных целях развития (в 39-м указе) появилась задача создания платформы противодействия кибермошенничеству. Предполагается создание центра управления самой платформы и мобильного приложения для граждан.
🔸Участниками предполагаются правоохранительные органы, Центробанк, операторы связи и банки. “Есть два основных акцента этой платформы, — пояснил замминистра. – Первостепенной задачей является предотвращение мошеннических действий. Важно не допустить, чтобы злоумышленник смог завладеть вниманием жертвы и вовлечь ее в свои схемы. Второе – это координация всех участников”.
🔸В мобильном приложении появится тревожная кнопка, чтобы каждый гражданин мог всегда спросить и получить соответствующий ответ, действительно ли происходит мошенническое действие по отношению к нему. Или просто нажать на нее, чтобы сообщить, что с ним происходят какие-то негативные и непонятные события. В 2025 году планируется пилотный запуск, а в 2026 принятие соответствующего профильного закона и промышленная эксплуатация.

🏛️Ведется разработка эффективных методов обезличивания для государственной информационной системы Минцифры
🔸Заместитель министра цифрового развития, связи и массовых коммуникаций РФ Александр Шойтов: в 2024 году было принято изменение закона о персональных данных. Обезличенные данные передаются в государственную информационную систему Минцифры, где они обрабатываются. Для такой системы этого необходимо иметь эффективные методы обезличивания, то есть те, которые с одной стороны хорошо обезличивают персональные данные и защищают информацию, с другой, сохраняют данные качественными.
🔸"Такие разработки есть в академии криптографии. Прототип разработан НТЦ ЦК и ближайшее время будет соответствующее внедрение этого решения", - рассказал Шойтов.
🔸Он также отметил такой вопрос, как создание протоколов обезличивания персональных данных применительно к большим генеративным ИИ-моделям. "Сегодня такая задача является очень актуальной", - заявил замминистра.

⚖️Судебный участок Таганского района Москвы рассмотрел ряд дел о нарушении требований по локализации баз с ПД россиян:
▪️Open Culture LLC (штраф 2М ₽ - КоАП ст.13.11, ч.8)
▪️Discord Inc (штраф 2М ₽ - КоАП ст.13.11, ч.8)
▪️Coursera Inc (штраф 2М ₽ - КоАП ст.13.11, ч.8)
▪️Spotify AB (штраф 10М ₽ - КоАП ст.13.11, ч.9)
▪️WhatsApp LLC (КоАП ст.13.11, ч.9) - отложено до 27.02.2025
▪️Match Group LLC (штраф 10М ₽ - КоАП ст.13.11, ч.9)

🤷‍♂️Кибербезопасность уперлась в доверие: страховаться решаются далеко не все компании
🔸Большинство компаний настороженно относятся к страхованию от утечек данных, а обладатели страховки нередко сталкиваются с неполучением страховой выплаты в случае инцидента. Однако главная причина такой ситуации — страхователи не доверяют страховщикам и боятся сообщать об утечках.
🔸По словам экспертов, повысить уровень проникновения страхования и увеличить долю страховых выплат могут только реальные претензии к бизнесу в случае утечек и отказа детализировать оценку ущерба.

🏛️Бастрыкин предложил ввести ответственность за передачу ЭСП подставным лицам
🔸Председатель Следственного комитета России (СКР) Александр Бастрыкин предложил ввести уголовную ответственность за передачу электронного средства платежа (ЭСП) подставным лицам. Данная инициатива позволит сократить утечку персональных данных в сети Интернет, уточнил господин Бастрыкин. Также глава СКР рассмотрел возможность признания криптовалюты имуществом.

⚖️Telegram оштрафовали на ₽240 тыс. за публикацию данных россиян
🔸Мировой судья Таганского района Москвы трижды оштрафовала Telegram на ₽80 тыс. по ч.1 ст.13.11 КоАП. Из оглашенных в суде материалов стало известно, что протокол составили после обращения в Роскомнадзор. Россиянка указала, что в Telegram незаконно разместили в открытом доступе данные граждан: ФИО, возраст, адрес места проживания и иные сведения. Дело рассмотрели единолично, стороны в суд не явились.

😎19 февраля RPPA.pro организует очный мастер-класс в Москве

⚡️О чем: Теория и практика моделирования угроз безопасности персональных данных

⭐️Спикеры:
🔸Валентина Миронова, канд.техн.наук, доцент НИУ ВШЭ,
Руководитель группы методологии и защиты персональных данных Купер
🔸Антон Жаболенко, CPO в Positive Technologies. Ранее заместитель генерального директора по информационной безопасности и противодействию мошенничеству в Wildberries.

📱Формат: оффлайн

📍Адрес: Турчанинов 6/2, БЦ Крымский мост

☀️Стоимость: 15 000 рублей

📎Регистрация: здесь

🏛️ В Госдуме предложили дать МВД доступ к результатам медосмотра мигрантов
🔸МВД будет иметь доступ к данным медосвидетельствования мигрантов, следует из поправок, которые готовит комитет Госдумы по охране здоровья, рассказал его глава Сергей Леонов.
🔸Для иностранцев также будет установлен срок в 30 дней после въезда в Россию на прохождение обязательного осмотра. Сейчас такое ограничение действует только для трудовых мигрантов, въезжающим на более чем 90 дней дается на это три месяца

⚖️«Совкомбанк» оштрафован на ₽500 тыс. за навязчивые звонки
🔸Омское УФАС оштрафовало «Совкомбанк» за ненадлежащую рекламу и навязчивые звонки омичу, который не давал своего согласия на получение рекламной информации. По ч. 4.1 статьи 14.3 КоАП РФ ПАО «Совкомбанк» оштрафовали на ₽500 тыс.
🔸Как выяснилось, клиент банка погасил кредит и отозвал свое согласие на обработку персональных данных, однако «Совкомбанк» продолжил навязчиво предлагать ему свои услуги. После поступления жалобы от омича, антимонопольная служба признала действия банка незаконными.

🏛️ Опубликован приказ Федеральной службы безопасности РФ от 04.02.2025 № 43 "Об утверждении требований к защите информации о деятельности органов федеральной службы безопасности, составляющей профессиональную тайну".
🔸На документах, содержащих информацию, составляющую профессиональную тайну, проставляется пометка "Для служебного пользования".

🏛️Кабмин РФ внес в Госдуму законопроект об ужесточении административной ответственности за нарушение требований о защите информации
🔸Законопроектом предусматривается внесение изменений в статью 13.12 Кодекса об административных правонарушениях.
🔸Предлагается установить штрафы от 10 до 20 тыс. ₽ для граждан, от 20 до 50 тыс. ₽ - для должностных лиц и от 50 до 100 тыс. ₽ - для юридических лиц за нарушение требований о защите информации, составляющей государственную тайну, если такие действия не содержат уголовно наказуемого деяния.
🔸Предлагается установить штрафы от 5 до 10 тыс. ₽ для граждан, от 10 до 50 тыс. ₽ - для должностных лиц и от 50 до 100 тыс. ₽ - для юридических лиц за использование несертифицированных информационных систем, баз и банков данных, а также несертифицированных средств защиты информации, если они подлежат обязательной сертификации.
🔸Использование несертифицированных средств, предназначенных для защиты информации, составляющей государственную тайну, предлагается наказывать штрафами в размере от 25 до 50 тыс. ₽ для должностных лиц и от 50 до 100 тыс. ₽ - для юридических лиц.
🔸Наказание за нарушение требований о защите информации, за исключением информации, составляющей государственную тайну, может составить от 5 до 10 тыс. ₽ для граждан, от 10 до 50 тыс. ₽ - для должностных лиц и от 50 до 100 тыс. ₽ - для юридических лиц.
🔸Срок давности привлечения к административной ответственности по ст.13.12 КоАП увеличивается до 1 года со дня совершения административного правонарушения.

🏛️ Главный радиочастотный центр (ГРЧЦ) Роскомнадзора обучит своих сотрудников навыкам OSINT — разведке по открытым источникам
🔸После обучения сотрудники ГРЧЦ должны уметь пользоваться различными источниками информации, находить и анализировать нужные данные, а также владеть набором практических методов киберразведки, следует из задания. Описание курсов состоит из 17 пунктов.
🔸В числе тем, предлагаемых к изучению — поиск по контактным данным (почта, номер телефона) имени человека, адреса, автомобиля, никнейма, фотографии и геолокации, методология поиска по социальным сетям, форумам и блогам, базам данных, георазведка, анализ сайтов, работа в даркнете, деловая/конкурентная разведка (проверка физических и юридических лиц). Много внимания на курсе планируется уделить и формированию запросов в сервисах «Яндекса», Google и других поисковых систем.

🇷🇺👨‍💻🔥 #пд #privacy #нпа #инициативы #регулирование
Обновление дайджеста значимых событий (за предыдущие 3 недели), влияющих на регулирование персональных данных в РФ.

🔸Добавлены пункты:
5. Законопроект об ужесточении административной ответственности за нарушение требований о защите информации
9. Инициатива создавать сервисы, позволяющие формировать цифровой портрет, и переходить к проектированию государственной монополии на персональные данные
10. Инициатива ловить телефонных мошенников с помощью базы биометрических данных
11. Инициатива ввести ответственность за передачу ЭСП подставным лицам
12. Сообщение о разработке эффективных методов обезличивания для государственной информационной системы Минцифры

⚖️ Неподтверждение факта утечки ПД при взломе сайта
🔸В марте 2023 года был осуществлен взлом и заражение интернет-сайта Администрации Кондопожского муниципального района Республики Карелия. Согласно проведенной проверке, инцидент выразился в заражении и порче главной страницы интернет-сайта, но не вызвал утечки ПД.
🔸31.03.2023 Администрация направила в РКН уведомление об утечке ПД, указав на произошедший взлом официального сайта, неработоспособность главной страницы, на несанкционированный доступ к персональным данным 481 граждан, содержащиеся в обращениях в объеме данных: ФИО, адрес, телефон, электронная почта, наименование организаций.
🔸04.04.2023 Администрация направила в РКН уведомление, указав в дополнении к ранее направленному уведомлению результаты внутреннего расследования инцидента, который произошел из-за наличия уязвимости ПО "Битрикс" устаревшей версии. Инцидент состоял во взломе и заражении сайте и порче главной страницы.
🔸07.11.2023 Администрация в ответ запрос РКН сообщила, что вышеуказанный инцидент состоял из заражения и порчи главной страницы интернет-сайта с использованием уязвимостей необновленного ПО, факт утечки ПД не подтвердился.
🔸26.01.2024 постановлением мирового судьи судебного участка № 2 Кондопожского района Республики Карелия Администрация Кондопожского муниципального района Республики Карелия признана виновной в требований ч.1 ст.6, ст.7 и ст.10.1 152-ФЗ, совершении административного правонарушения по ч.1 ст.13.11 КоАП и оштрафована на ₽60 тыс.
🔸07.02.2024 Кондопожский районный суд Республики Карели отменил постановление мирового судьи и прекратил административное производство, т.к. сам по себе факт взлома и заражения сайта вредоносными программами безусловно не означает предоставление Администрацией неустановленным лицам доступа к ПД. РКН не представлены доказательства взаимосвязи между заражением и порчи главной страницы интернет-сайта Администрации и неправомерным доступом третьих лиц к ПД граждан, содержащимся в разделе "Обращения граждан". Описанное в постановлении по делу об административном правонарушении событие является не более чем предположением о возможности утечки ПД, что недостаточно для утвердительного вывода о вине Администрации.
🔸26.11.2024 Третий кассационный суд общей юрисдикции оставил без изменения решение судьи Кондопожского районного суда, т.к. на день рассмотрения жалобы срок давности привлечения к административной ответственности по ч.1 ст.4.5 КоАП истек.

💡🇷🇺 Эксперты RPPA [РФ] подготовили аналитический материал о квалификации владельца облачного хранилища, оказывающего услуги по модели IaaS, в качестве «обработчика» ПД.

🔸Владелец облачного хранилища (провайдер) может выступать в качестве «обработчика» ПД при одновременном выполнении следующих критериев:

1️⃣ долгосрочное размещение ПД (в т.ч. хранение) пользователем и/или уполномоченными им лицами на вычислительных мощностях облачного хранилища;

2️⃣ осведомленность провайдера (когда провайдер знал, мог или должен был знать) о действиях пользователя и/или уполномоченных им лиц по целенаправленному использованию облачного хранилища для размещения ПД;

3️⃣ волеизъявление провайдера и пользователя хранилища на размещение ПД в облачном хранилище путем поручения обработки ПД провайдеру от пользователя хранилища в одной из двух форм, предусмотренных ч.3 ст.6 152-ФЗ (договор или акт), при этом согласованные сторонами условия поручения обработки ПД не обязательно должны содержаться в письменном договоре, но могут указываться, например, в электронной переписке или путем акцепта пользователем своими конклюдентными действиями оферты провайдера.

🏛️ Кабмин подготовил масштабные поправки для борьбы с кибермошенниками
🔸Правительство РФ подготовило комплексные изменения в законодательство для предупреждения преступлений, совершаемых с использованием информационно-коммуникационных технологий (ИКТ). Законопроектом предусмотрено создание государственных информационных систем по противодействию таким правонарушениям.
🔸Предлагается закрепить возможность онлайн-обмена информацией между госорганами, банками и цифровыми платформами. «Автоматический мониторинг позволит практически моментально выявлять подозрительные действия, блокировать их и уведомлять правоохранительные органы о потенциальных преступлениях», – говорится в пояснительной записке к проекту.
🔸Оператором информсистемы для выявления мошеннической информации будет Минцифры. Ожидается, что такая система позволит выявлять поддельные сайты, которые по оформлению и доменному имени похожи на настоящие сайты госорганов и различных сервисов. При выявлении мошеннических ресурсов ведомство может уведомлять о них Генпрокуратуру и Банк России.
🔸Пользователями информсистемы могут быть также Следственный комитет и другие органы власти, утвержденные кабмином. В законопроекте говорится, что в этой системе будут храниться векторы единой биометрической системы, которые получены на основании записи голосов мошенников и их телефонные номера.
🔸Предлагается ввести запрет сотрудникам госорганов, кредитных организаций, ЦБ, операторов связи, владельцев социальных сетей, агрегаторов товаров и услуг, сервисов размещения объявлений на использование зарубежных мессенджеров для служебной коммуникации или общения с пользователями. Перечень этих мессенджеров определит Роскомнадзор. Для служебной коммуникации сотрудники перечисленных структур смогут использовать российские мессенджеры, но только после того, как подтвердят свою личность через Единую систему идентификации и аутентификации (ЕСИА).
🔸Банки, операторы связи, крупные маркетплейсы и агрегаторы, социальные сети должны будут обеспечить пользователям возможность установить авторизацию через биометрическую систему. При этом микрофинансовые организации при дистанционном заключении договора потребительского кредита (займа) будут обязаны идентифицировать клиента путем подтверждения достоверности сведений о нем с использованием ЕСИА.
🔸Будет введена обязательная маркировка телефонных звонков, когда на экране пользователя будет отражаться наименование организации, от которой поступает вызов. Массовые телефонные вызовы в целях распространения рекламы не допускаются. Распространение рекламы по телефонной связи возможно только при условии предварительного согласия абонента. Он при этом вправе обратиться к своему оператору с требованием о прекращении получения всех вызовов с иностранных номеров или вызовов с виртуальных телефонных станций.
🔸Вводится запрет на передачу SIM-карт третьим лицам. Предложено также установить через «Госуслуги» возможность запрета заключения договора на оказание услуг сотовой связи без личного присутствия.

🫣 Бизнес опасается открытости коммерческих баз данных для силовиков
🔸Ассоциация больших данных (АБД; объединяет «Яндекс», VK, «Ростелеком», «МегаФон» и др.) обратилась в Госдуму с предложением уточнить предполагаемый порядок доступа правоохранительных органов к коммерческим базам персональных данных. В письме главы АБД Анны Серебрянниковой главе комитета ГД по информационной политике Сергею Боярскому от 22 января содержится предложение дать возможность редактировать информацию не напрямую, а через ЕСИА (Единая система идентификации и аутентификации в «Госуслугах»). После этого информация должна будет автоматически обновиться в базах данных банков, операторов связи и цифровых платформ.
🔸Поправки к ряду ФЗ («О ФСБ», «О государственной защите судей…», «О полиции» и т. п.) были внесены в Госдуму еще 3 августа 2023 года. Они предусматривают особый порядок работы с данными лиц специальных категорий — сотрудников силовых структур, судей и др., а также свидетелей, информаторов и потерпевших, которые находятся под защитой таких органов. В частности, предлагается разрешить ведомствам удалять и вносить записи, связанные с такими людьми, в том числе через удаленный доступ к базам данных.
🔸По мнению АБД, в нынешнем виде законопроект, подготовленный ко второму чтению, несет риски информационной безопасности для бизнеса, а также может привести к нарушениям прав граждан «из-за бесконтрольного доступа» к базам данных, следует из письма.
🔸Глава комитета Госдумы по информационной политике Сергей Боярский подтвердил получение письма и напомнил, что речи о доступе силовых органов «ко всем базам данных не идет». «Это принципиально разные подходы — доступ ко всем базам и возможность получать доступ, причем в том числе непрямой, к данным специальных категорий лиц, то есть своих сотрудников или защищаемых лиц»,— сказал депутат. По его словам, позицию АБД в комитете «изучили и приняли к сведению».

👮‍♂️В Жигулевске заведено дело о разглашении персональных данных ребенка в домовом чате
🔸В ходе проверки было установлено, что председатель товарищества собственников недвижимости опубликовала в общедомовом чате Telegram без согласия законного представителя несовершеннолетней персональные данные девочки — фамилию, имя и имеющееся заболевание.
🔸В отношении женщины-председателя было возбуждено дело об административном правонарушении по ч. 2 ст. 13.11 КоАП РФ «Обработка персональных данных без согласия в письменной форме субъекта персональных данных». «Материалы направлены для рассмотрения в мировой суд»,— заявили в надзорном ведомстве.

📸 Полиция Ростова хочет включить видеокамеры торговых сетей в «Безопасный город»
🔸Полиция Ростова прорабатывает вопрос об интеграции видеокамер, которые установлены в магазинах крупных торговых сетей, в систему «Безопасный город». Об этом начальник ростовского УМВД Александр Козырев заявил на заседании ростовской думы. По его словам, «решение данного вопроса назрело».
🔸По его словам, основное препятствие пока – это необходимость решения ряда правовых вопросов, связанных в первую очередь с передачей персональных данных граждан.
🔸Козырев также напомнил, что камеры торговых сетей интегрированы в систему «Безопасный город» в Москве, Санкт-Петербурге и Казани. «Это очень хорошо себя показывает и приносит большие плоды», – рассказал Козырев.