🇷🇺👨‍💻🔥 #пд #privacy #нпа #инициативы #регулирование
Обновление дайджеста значимых событий (за предыдущие 3 недели), влияющих на регулирование персональных данных в РФ.

🔸Добавлены пункты:
5. Законопроект об ужесточении административной ответственности за нарушение требований о защите информации
9. Инициатива создавать сервисы, позволяющие формировать цифровой портрет, и переходить к проектированию государственной монополии на персональные данные
10. Инициатива ловить телефонных мошенников с помощью базы биометрических данных
11. Инициатива ввести ответственность за передачу ЭСП подставным лицам
12. Сообщение о разработке эффективных методов обезличивания для государственной информационной системы Минцифры

⚖️ Неподтверждение факта утечки ПД при взломе сайта
🔸В марте 2023 года был осуществлен взлом и заражение интернет-сайта Администрации Кондопожского муниципального района Республики Карелия. Согласно проведенной проверке, инцидент выразился в заражении и порче главной страницы интернет-сайта, но не вызвал утечки ПД.
🔸31.03.2023 Администрация направила в РКН уведомление об утечке ПД, указав на произошедший взлом официального сайта, неработоспособность главной страницы, на несанкционированный доступ к персональным данным 481 граждан, содержащиеся в обращениях в объеме данных: ФИО, адрес, телефон, электронная почта, наименование организаций.
🔸04.04.2023 Администрация направила в РКН уведомление, указав в дополнении к ранее направленному уведомлению результаты внутреннего расследования инцидента, который произошел из-за наличия уязвимости ПО "Битрикс" устаревшей версии. Инцидент состоял во взломе и заражении сайте и порче главной страницы.
🔸07.11.2023 Администрация в ответ запрос РКН сообщила, что вышеуказанный инцидент состоял из заражения и порчи главной страницы интернет-сайта с использованием уязвимостей необновленного ПО, факт утечки ПД не подтвердился.
🔸26.01.2024 постановлением мирового судьи судебного участка № 2 Кондопожского района Республики Карелия Администрация Кондопожского муниципального района Республики Карелия признана виновной в требований ч.1 ст.6, ст.7 и ст.10.1 152-ФЗ, совершении административного правонарушения по ч.1 ст.13.11 КоАП и оштрафована на ₽60 тыс.
🔸07.02.2024 Кондопожский районный суд Республики Карели отменил постановление мирового судьи и прекратил административное производство, т.к. сам по себе факт взлома и заражения сайта вредоносными программами безусловно не означает предоставление Администрацией неустановленным лицам доступа к ПД. РКН не представлены доказательства взаимосвязи между заражением и порчи главной страницы интернет-сайта Администрации и неправомерным доступом третьих лиц к ПД граждан, содержащимся в разделе "Обращения граждан". Описанное в постановлении по делу об административном правонарушении событие является не более чем предположением о возможности утечки ПД, что недостаточно для утвердительного вывода о вине Администрации.
🔸26.11.2024 Третий кассационный суд общей юрисдикции оставил без изменения решение судьи Кондопожского районного суда, т.к. на день рассмотрения жалобы срок давности привлечения к административной ответственности по ч.1 ст.4.5 КоАП истек.

💡🇷🇺 Эксперты RPPA [РФ] подготовили аналитический материал о квалификации владельца облачного хранилища, оказывающего услуги по модели IaaS, в качестве «обработчика» ПД.

🔸Владелец облачного хранилища (провайдер) может выступать в качестве «обработчика» ПД при одновременном выполнении следующих критериев:

1️⃣ долгосрочное размещение ПД (в т.ч. хранение) пользователем и/или уполномоченными им лицами на вычислительных мощностях облачного хранилища;

2️⃣ осведомленность провайдера (когда провайдер знал, мог или должен был знать) о действиях пользователя и/или уполномоченных им лиц по целенаправленному использованию облачного хранилища для размещения ПД;

3️⃣ волеизъявление провайдера и пользователя хранилища на размещение ПД в облачном хранилище путем поручения обработки ПД провайдеру от пользователя хранилища в одной из двух форм, предусмотренных ч.3 ст.6 152-ФЗ (договор или акт), при этом согласованные сторонами условия поручения обработки ПД не обязательно должны содержаться в письменном договоре, но могут указываться, например, в электронной переписке или путем акцепта пользователем своими конклюдентными действиями оферты провайдера.

🏛️ Кабмин подготовил масштабные поправки для борьбы с кибермошенниками
🔸Правительство РФ подготовило комплексные изменения в законодательство для предупреждения преступлений, совершаемых с использованием информационно-коммуникационных технологий (ИКТ). Законопроектом предусмотрено создание государственных информационных систем по противодействию таким правонарушениям.
🔸Предлагается закрепить возможность онлайн-обмена информацией между госорганами, банками и цифровыми платформами. «Автоматический мониторинг позволит практически моментально выявлять подозрительные действия, блокировать их и уведомлять правоохранительные органы о потенциальных преступлениях», – говорится в пояснительной записке к проекту.
🔸Оператором информсистемы для выявления мошеннической информации будет Минцифры. Ожидается, что такая система позволит выявлять поддельные сайты, которые по оформлению и доменному имени похожи на настоящие сайты госорганов и различных сервисов. При выявлении мошеннических ресурсов ведомство может уведомлять о них Генпрокуратуру и Банк России.
🔸Пользователями информсистемы могут быть также Следственный комитет и другие органы власти, утвержденные кабмином. В законопроекте говорится, что в этой системе будут храниться векторы единой биометрической системы, которые получены на основании записи голосов мошенников и их телефонные номера.
🔸Предлагается ввести запрет сотрудникам госорганов, кредитных организаций, ЦБ, операторов связи, владельцев социальных сетей, агрегаторов товаров и услуг, сервисов размещения объявлений на использование зарубежных мессенджеров для служебной коммуникации или общения с пользователями. Перечень этих мессенджеров определит Роскомнадзор. Для служебной коммуникации сотрудники перечисленных структур смогут использовать российские мессенджеры, но только после того, как подтвердят свою личность через Единую систему идентификации и аутентификации (ЕСИА).
🔸Банки, операторы связи, крупные маркетплейсы и агрегаторы, социальные сети должны будут обеспечить пользователям возможность установить авторизацию через биометрическую систему. При этом микрофинансовые организации при дистанционном заключении договора потребительского кредита (займа) будут обязаны идентифицировать клиента путем подтверждения достоверности сведений о нем с использованием ЕСИА.
🔸Будет введена обязательная маркировка телефонных звонков, когда на экране пользователя будет отражаться наименование организации, от которой поступает вызов. Массовые телефонные вызовы в целях распространения рекламы не допускаются. Распространение рекламы по телефонной связи возможно только при условии предварительного согласия абонента. Он при этом вправе обратиться к своему оператору с требованием о прекращении получения всех вызовов с иностранных номеров или вызовов с виртуальных телефонных станций.
🔸Вводится запрет на передачу SIM-карт третьим лицам. Предложено также установить через «Госуслуги» возможность запрета заключения договора на оказание услуг сотовой связи без личного присутствия.

🫣 Бизнес опасается открытости коммерческих баз данных для силовиков
🔸Ассоциация больших данных (АБД; объединяет «Яндекс», VK, «Ростелеком», «МегаФон» и др.) обратилась в Госдуму с предложением уточнить предполагаемый порядок доступа правоохранительных органов к коммерческим базам персональных данных. В письме главы АБД Анны Серебрянниковой главе комитета ГД по информационной политике Сергею Боярскому от 22 января содержится предложение дать возможность редактировать информацию не напрямую, а через ЕСИА (Единая система идентификации и аутентификации в «Госуслугах»). После этого информация должна будет автоматически обновиться в базах данных банков, операторов связи и цифровых платформ.
🔸Поправки к ряду ФЗ («О ФСБ», «О государственной защите судей…», «О полиции» и т. п.) были внесены в Госдуму еще 3 августа 2023 года. Они предусматривают особый порядок работы с данными лиц специальных категорий — сотрудников силовых структур, судей и др., а также свидетелей, информаторов и потерпевших, которые находятся под защитой таких органов. В частности, предлагается разрешить ведомствам удалять и вносить записи, связанные с такими людьми, в том числе через удаленный доступ к базам данных.
🔸По мнению АБД, в нынешнем виде законопроект, подготовленный ко второму чтению, несет риски информационной безопасности для бизнеса, а также может привести к нарушениям прав граждан «из-за бесконтрольного доступа» к базам данных, следует из письма.
🔸Глава комитета Госдумы по информационной политике Сергей Боярский подтвердил получение письма и напомнил, что речи о доступе силовых органов «ко всем базам данных не идет». «Это принципиально разные подходы — доступ ко всем базам и возможность получать доступ, причем в том числе непрямой, к данным специальных категорий лиц, то есть своих сотрудников или защищаемых лиц»,— сказал депутат. По его словам, позицию АБД в комитете «изучили и приняли к сведению».

👮‍♂️В Жигулевске заведено дело о разглашении персональных данных ребенка в домовом чате
🔸В ходе проверки было установлено, что председатель товарищества собственников недвижимости опубликовала в общедомовом чате Telegram без согласия законного представителя несовершеннолетней персональные данные девочки — фамилию, имя и имеющееся заболевание.
🔸В отношении женщины-председателя было возбуждено дело об административном правонарушении по ч. 2 ст. 13.11 КоАП РФ «Обработка персональных данных без согласия в письменной форме субъекта персональных данных». «Материалы направлены для рассмотрения в мировой суд»,— заявили в надзорном ведомстве.

📸 Полиция Ростова хочет включить видеокамеры торговых сетей в «Безопасный город»
🔸Полиция Ростова прорабатывает вопрос об интеграции видеокамер, которые установлены в магазинах крупных торговых сетей, в систему «Безопасный город». Об этом начальник ростовского УМВД Александр Козырев заявил на заседании ростовской думы. По его словам, «решение данного вопроса назрело».
🔸По его словам, основное препятствие пока – это необходимость решения ряда правовых вопросов, связанных в первую очередь с передачей персональных данных граждан.
🔸Козырев также напомнил, что камеры торговых сетей интегрированы в систему «Безопасный город» в Москве, Санкт-Петербурге и Казани. «Это очень хорошо себя показывает и приносит большие плоды», – рассказал Козырев.

💡23-летний петербуржец привлек $7,3 млн на создание системы идентификации людей и ИИ
🔸Стартап Human бывшего сотрудника «ВКонтакте» и разработчика популярной онлайн-викторины «Клевер» Кирилла Аверьянова привлек $7,3 млн от американских фондов HF0, Soma Capital, Spearhead, Pioneer Fund, Hummingbird VC и бизнес-ангелов.
🔸Деньги пойдут на запуск «инфраструктуры доверия» на блокчейне, которая будет гарантировать, что ИИ-агенты (то есть автономные системы, выполняющие задачи без вмешательства человека), не используются в мошеннических целях.

🏦 Банкам расширят варианты блокировок для клиентов из базы мошенников
🔸Российские банки смогут ограничивать размер денежных переводов между физическими лицами суммой 100 тыс. руб. в месяц, если данные отправителя есть в мошеннической базе данных ЦБ, но против него не возбуждено уголовное дело.
🔸Сейчас кредитные организации могут либо полностью останавливать операции по таким картам, либо не принимать никаких ограничительных мер. Соответствующие поправки в 161-ФЗ «О национальной платежной системе» содержатся в доработанном законопроекте о периоде охлаждения при выдаче потребкредитов.

🏛️ Москалькова: нужна ответственность за передачу личных данных граждан мошенникам
🔸Уполномоченный по правам человека в РФ Татьяна Москалькова призывает установить ответственность за передачу персональных данных третьим лицам, если они используются для совершения преступлений. С таким предложением она выступила в связи с Международным днем безопасного интернета.

🫣Какие риски для клиентов скрывает курьерская доставка: утечки данных в сервисах приводят к неприятным инцидентам
🔸К курьерам попадают персональные данные человека, которыми он может воспользоваться в личных и даже преступных целях. О проблеме заговорили после инцидента в «Золотом яблоке», когда после доставки косметики девушке стали приходить угрозы и интимные снимки.
🔸Сегодня проблема с защитой персональных данных клиентов существует во многих курьерских службах. Сотрудники компаний имеют доступ к обширной информации о заказчиках: номера телефонов, адреса проживания, история заказов из различных интернет-магазинов. Несмотря на заявления о конфиденциальности, эти данные оказываются доступными множеству людей внутри системы доставки.
🔸Особенно сложно обстоит ситуация в сфере франчайзинговой доставки. Каждый франчайзи самостоятельно набирает персонал для обслуживания своей зоны и нередко экономит на зарплатах. При этом дополнительные риски создает практика привлечения сторонних логистических операторов. Многие компании, заявляющие о собственной службе доставки, фактически передают эту функцию подрядчикам. Значительная часть курьеров работает либо без официального оформления, либо по договору ГПХ. В результате курьеров сложнее контролировать или привлечь к ответственности в случае нарушений.

👮‍♂️Двух полицейских уличили в продаже персональных данных граждан России
🔸В Москве суд продлил до 8 апреля срок содержания под стражей двоих сотрудников УВД по Центральном административному округу (ЦАО) столицы, которых обвиняют в продаже персональных данных граждан России.
🔸Из материалов уголовного дела следует, что полицейские обвиняются в получении взятки и неправомерном доступе к компьютерной информации с использованием служебного положения. По данным следствия, они передали через интернет данные детализации и почтовых адресов россиян, получив денежное вознаграждение.

🏛️ Государство даст компаниям и физлицам доступ к собранным властями данным
🔸Государство откроет доступ бизнесу, госорганам и физлицам к наборам госданных для обучения и тестирования алгоритмов искусственного интеллекта (ИИ). Об этом рассказал представитель аппарата вице-премьера Дмитрия Григоренко.
🔸Уже в феврале 2025 г. госорганы и разработчики ИИ смогут заключать первые контракты на получение размеченных госданных на безвозмездной основе, уточнил представитель аппарата Григоренко. Контракты будут заключаться в рамках реализации федерального проекта «Искусственный интеллект», который входит в нацпроект «Экономика данных», добавил он. Григоренко является куратором нацпроекта.

🏛️ Законопроект о биометрии при сделках с недвижимостью дошел до чтения в ГД
🔸Госдума в феврале может принять в первом чтении законопроект правительства, согласно которому биометрию будут использовать для онлайн-регистрации прав собственности на недвижимость. Документ поддержали Счетная палата и правовое управление нижней палаты парламента. В них говорится об отсутствии замечаний к предлагаемым нормам.
🔸Первое чтение законопроекта планируется провести в феврале. Мы поддерживаем эту инициативу. Она поможет дополнительно защитить граждан от мошенников, которые зачастую могут продать квартиры дистанционно, без личного присутствия собственников, — пояснил зампред комитета Госдумы по информационной политике, информационным технологиям и связи Андрей Свинцов.

🇺🇲 Илон Маск ответит в суде за незаконный доступ к данным госслужащих
🔸Группа из 103 бывших и нынешних госслужащих подала коллективный иск против Илона Маска и возглавляемого им агентства DOGE за несанкционированный доступ к конфиденциальным кадровым данным. Иск инициирован Фондом Electronic Frontier Foundation (EFF) совместно с профсоюзами сотрудников. В деле также участвуют крупнейшие профсоюзы госслужащих, включая AFL-CIO, Американскую федерацию госслужащих (AFGE) и Ассоциацию административных судей. AFGE представляет интересы более 800 000 сотрудников.
🔸Согласно иску, агентство по управлению персоналом (OPM) предоставило сотрудникам DOGE административный доступ к своим системам без надлежащей проверки на соответствие национальной безопасности. Причем многие из получивших доступ были моложе 25 лет и ранее работали в частных компаниях Илона Маска.
🔸В иске утверждается, что OPM нарушило Закон о конфиденциальности, который запрещает неправомерный доступ к персональным данным между федеральными ведомствами. Объясняется, что «OPM передало миллионы записей сотрудников агентству DOGE, чьи представители не имели законного обоснования для такого доступа». Среди сотрудников DOGE упоминается 19-летний Эдвард Користин, известный в сети под псевдонимом «Big Balls», ранее уволенный из ИБ-компании после утечки данных.
🔸Юристы заявили, что DOGE использует незаконный доступ к данным для различных целей, включая сбор информации о госслужащих для требований выкупа, дискриминацию трансгендерных работников и необоснованные увольнения. Основная цель иска — запретить агентству дальнейший доступ к базам данных OPM, но адвокаты истцов отмечают, что это лишь «первая фаза» перед подачей более масштабного коллективного иска.

⚖️В Петербурге инспектор ДПС отправила знакомому личные данные граждан из базы МВД
🔸Выборгский районный суд Петербурга вынес приговор инспектору ДПС, которая «пробила» двух граждан в базе МВД (ФИС «ГИБДД-М») и передала их персональные данные своему знакомому.
🔸Инспектора обвинили по двум статьям УК РФ — 137-й и 285-й (нарушение неприкосновенности частной жизни с использованием служебного положения; злоупотребление должностными полномочиями), её знакомого — по 137-й (нарушение неприкосновенности частной жизни). Оба фигуранта признали вину, дело рассматривалось в особом порядке. В итоге суд назначил обоим штрафы. Сотрудница ДПС заплатит ₽110 тыс., её знакомый — ₽40 тыс.

🏛️ ФСТЭК России вводит новые требования по защите информации в ГИС с 2026 года
🔸ФСТЭК России подготовила новый свод требований по защите информации, который вступит в силу в марте 2026 года. Документ охватывает государственные информационные системы, а также системы других государственных органов, унитарных предприятий и учреждений.
🔸Документ охватывает защиту информации, содержащейся в государственных информационных системах, включая данные государственной тайны, персональные данные и информацию, относящуюся к критической информационной инфраструктуре.
🔸Документ вводит строгие временные рамки для реагирования на угрозы: Критические уязвимости — устранение в течение 24 часов. Высокие — не позднее 7 рабочих дней. Средние и низкие — в соответствии с внутренними регламентами организации.
🔸Операторы обязаны в течение 5 рабочих дней передавать в Банк данных угроз ФСТЭК информацию о ранее неизвестных уязвимостях. Это обеспечит оперативное выявление новых киберугроз и позволит быстрее реагировать на потенциальные риски. Новый подход к классификации упрощает процесс оценки рисков и выбора мер защиты, делая регулирование более прозрачным.

🥹 На «Госуслугах» появилась функция анонимного сообщения владельцу автомобиля
🔸На портале «Госуслуги» появилась новая функция для отправки анонимных сообщений автовладельцам. Теперь пользователи могут уведомить водителя, если его машина мешает проезду или срабатывает сигнализация. Обновление доступно на смартфонах.
🔸Среди возможностей новой функции — сообщение о блокировке проезда транспортом, дорожно-транспортном происшествии, эвакуации машины, срабатывании сигнализации, включенных фарах, открытом окне или спущенном колесе.
🔸Чтобы воспользоваться новой возможностью, нужно перейти в раздел «Транспортные права» и выбрать пункт «Сообщение о проблеме владельцу транспортного средства».

🏛️ Опубликованы проекты постановлений Правительства РФ во исполнение требований 233-ФЗ от 08.08.2024:
🔸Проект постановления о ГИС для обработки обезличенных ПД - ФГИС «Единая информационная платформа национальной системы управления данными» (НСУД) определяется в качестве государственной информационной системы для обработки обезличенных ПД (согласно ст.13.1 152-ФЗ) и предоставления доступа к ним, кроме того, уточняются полномочия оператора НСУД, а также вводится роль участников подсистемы обработки обезличенных данных (поставщики и пользователи обезличенных данных);
🔸Проект постановления о правилах проверки пользователей ГИС для обработки обезличенных ПД - для регистрации в подсистеме обработки обезличенных ПД в НСУД необходимо подавать запрос в Минцифры и пройти процедуру проверки соответствия (ч.7 ст.13.1 152-ФЗ), а при несоответствии требованиям пользователь не сможет получить доступ к системе.

🏛️ Законопроект о борьбе с кибермошенниками внесен в Госдуму.