Таким проектам как "Электронная Россия" или "Электронное правительство" уже давно пытаются сыграть 2-ю сонату Шопена, а точнее третью ее часть. Безусловно, основания для этого есть. Очередное подтверждение этому я сегодня нашел на Газета.Ru, где пишется о новой реформе целевой программы «Электронная Россия».
Сама целевая программа - дело отличное, нужное и даже обязательное, но как показывает российская практика, все, что не пошло сразу – не будет развиваться и дальше. К сожалению, помимо организационных и финансовых проблем, такие глобальные программы несут на себе тяжесть несовершенства нормативно-правовой базы. В бОльшей части это касается правового поля защиты персональных данных. Как я уже неоднократно писал и говорил, закон о персональных данных нанес таким проектам очередной, уже юридический, удар. Дело в том, что в существующее правовое поле очень сложно вписать любые интернет-сервисы (хотя бы из-за пресловутого письменного согласия на обработку). Конечно, специалисты уже научились обходить такие юридические припоны, и готовят описание систем так, что не придерешься. Но это единичные случаи. Основная масса операторов таких описаний для своих систем не имеет. Да и где логика? Зачем оправдываться, за хороший и необходимый ресурс?
Тем ни менее, помимо ценных и полезных ресурсов иногда в государственном секторе интернета появляются, мягко говоря, непонятные сервисы.
Как раз такой «непонятный» ресурс я нашел на сайте Управления Федеральной службы судебных приставов по Красноярскому краю.
Сервис позволяет получить информацию о наличии задолженности ЛЮБОГО жителя Красноярского края по заданным Фамилии, Имени и Району проживания. По данным агентства САН, при разработке сервиса вопросы защиты персональных данных граждан были предусмотрены, и для этого на сервисе не раскрывается информация о типе задолженности и сумме долга.
Навскидку я нашел данные 5 разных человек по имени Иванов Сергей:
Очевидно, что здесь мы видим персональные данные и они далеко не обезличенные.
Уважаемые коллеги из УФССП, вопросы защиты персональных данных вы не предусмотрели!
Само наличие такого ресурса противоречит действующему законодательству. Та информация, которая здесь содержится, потянет на класс персональных данных К3 (по типовой шкале), а при плохом юристе на К2. Здесь же они выложены в открытый доступ. Более того, рядом с именем судебного пристава-исполнителя (Козлов Виктор Петрович) есть его рабочий телефон, и при желании ЛЮБОЙ может с ним связаться, представиться Ивановым Сергеем Валентиновичем из села Богучаны, и я почти уверен пристав расскажет все остальное, что потянет на твердый К2.
А как из пяти одинаковых Сергеев был сделан вывод, что данные не обезличены?
По поводу позвонить приставу и узнать все остальное — это не совсем верно. Насколько мне известно, к приставам надо приходить с паспортом, по телефону о таких вещах не говорят.
Ну а проблема проектов электронной России не в том, что не могут, может попросту не хотят?
Ригель: Отчества у них разные
Данил Срогович: Очень чешутся руки провести эксперимент :-) . В принципе можно обратиться к знакомым общественникам, и они сделают свое исследование, но я почти уверен, что пойдет цепная реакция в виде написания жалоб и пр. В этих вещах я участвовать не хочу.
Мда… Евгений, какую-то вы панику подняли. Известных данных (ФИО, город, район проживания и тип задолженности) явно не хватает для термина ПДн («определенного или определяемому на основании такой информации субъекту персональных данных»).
Конечно методы соц.инженерии могут быть применимы и к конкретным приставам, но в данном контексте (ЗПДн) это к делу не относится…
27k — В поддержку Е. Царева: Никакой паники нет! Просто не все хотят читать Закон. Мое мнение, что вышеуказанные персональные данные — «ФИО, город, район проживания и тип задолженности»- все таки и есть термин ПДн, давайте не будем возвращаться к разговору про прайваси и ПДн! Уже имеется практика у РКН в плане незаконных размещений информации учреждениями ЖКХ (ЖЭК) списков должников на подъездах домов и т.п.
27k: Не хотел вас пугать ;-) , но с точки зрения закона, предоставленные данные – персональные данные. Конечно есть перегибы в правовой базе и сильные, но сейчас не об этом.
А фигушки они персональные — лицо-то не определяется, к которому они относятся.
Странные у нас интернет сервисы делают. Кому вообще нужно знать, что такой-то набор ФИО имеет задолжность. Допустим меня зовут «Иванов Сергей Алексеевич». Смотрю на сайте, такой набор ФИО в списке присутствует. Какой вывод? Никакого.Так как людей с таким набором ФИО может быть достаточно много. (Я позвоню по указанному телефону и узнаю, что информация не обо мне, тем самым потеряю время и потреплю себе нервы) Вот и выходит, что делая «бесполезный» ресурс, открывается «важная» (кому-нибудь) информация.
Хотя во время процветания Вконтакте.ру и Однокласники.ру такой ресурс — капля в море.
Уважаемый Ригель! Давайте допустим, что мое ИМЯ — Ригель, ОТЧЕСТВО — Ригелевич, и собственно ФАМИЛИЯ — Ригелев, т.е. хочу сказать, что у меня не может быть однофамильцев не толь в этом районе, городе, и даже стране — получается лицо-то определяется, к которому они относятся.
:-)
Ригель: Спор может быть вечным, но я очень сомневаюсь, что в селе Богучаны проживает много Ивановых Сергеев Валерьевичей, скорее всего он там один, а если их несколько, то во всей этой базе УФССП обязательно найдутся однозначно идентифицируемые субъекты.
Для Yurist:
Чтобы установить, что в регионе/стране/мире только один Ригель Ригелевич Ригелев (для Евгения Царева — Иванов Сергей Валерьевич), нужно чем-то воспользоваться. Если это нечто общедоступно, то имеем ПДн, но оно не общедоступно, поэтому ничего не имеем.
То Ригель:
Опять двадцать пять — сто Ивановых в базе — не ПДн!
Первое: уже много раз (и здесь тоже) было сказано, что любые данные, даже имя, если оно относится к конкретному (не воображаемому) лицу, является ПДн. И абсолютно не важно, сколько еще таких же «Иванов Ивановых» есть в БД.
Второе: нет понятия в ФЗ «обезличенные ПДн» — проверьте! Есть ПДн, которые прошли обезличивание и после этого идентифицировать, к кому они относятся, практически (sic!) не реализуемо (ну, все поняли).
Третье: идентификация субъекта по отрывочным данным настолько сильно зависит от контекста, что малейшее его изменение сводит результаты обезличивания на нет. Посему, всегда исходите априори из того, что если где-то лежит БД с ФИО и какой-то информацией, выуживать в ней однофамильцев бесполезно в 99,(9)%. Если вдруг субъект сменит фамилию или однофамильцев уберут из базы, субъект сразу однозначно идентифицируем. Если я не ленивый, я могу просто провести social engineering и установить субъекта — это как раз относится к способам (means), упоминаемым в конвенции 95/46/EC.
Четвертое: общедоступные ПДн — в отличие определения в 149-ФЗ, в 152-ФЗ указано, что на их распространение субъект обязательно должен дать согласие (именно так, про законы все понятно и так). Еще раз — регулятору наплевать, в каких одноклассниках вы выцепили информацию о субъекте, из какой базы с рынка, кто вам ее слил — доказывать, что субъект разрешил использовать эту информацию или всем, или именно вам, придется, как оператору, только вам. Жалкие оправдания — «ну оно там лежало/продавалось, я просто скопировал, ведь любой же может…» — не пройдут.
Кстати, в последнем посте:
«Если это нечто общедоступно, то имеем ПДн, но оно не общедоступно, поэтому ничего не имеем.»
видим яркую абберацию логики — так оно ПДн, а так оно нет! ФИО — ПДн по определению, не важно, сколько человек имеет доступ к этой информации. Забудьте на время о конфиденциальности, ФЗ защищает не только это.
Если Ваше «общедоступное» ФИО окажется в «плохой» базе, например, должников, даже без доп. информации, Вы сразу почувствуете (хрестоматийно — на границе), как важно обеспечить целостность перс. данных.
13. Олег Винокуров Says: Второе: нет понятия в ФЗ “обезличенные ПДн” – проверьте!
В 152-ФЗ действительно нет понятия «обезличенные ПДн». Данный термин появляется в «приказе трех» — учитывая, что он прошел регистрацию в Минюсте (Зарегистрировано в Минюсте РФ 3 апреля 2008 г. Регистрационный № 11462), данный термин имеет «право на жизнь».
Другой вопрос что именно относится к обезличенным ПДн… Споры по этому поводу пока не окончены… Я, все-таки, склоняюсь к тому, что под этим следует понимать «комплект имеющихся ПДн, не позволяющий на одновании исключительно данных этого комплекта (без привлечения дополнительных данных) однозначно идентифицировать субъекта». В противном случае приходится сталкиваться с очень переменной составляющией «лица, проводящего идентификацию» и практически полной неприменимостью термина.
То toparenko:
Про приказ трех — конечно так, но я не буду Вам рассказывать, насколько продуманный документ этот приказ — так что этот промах с «обезличенными» ПДн тянет на детскую неожиданность. Ну не разобрались люди, ну что поделать. Они и со спец. ИСПДН не сильно думали :-)
Я не буду вступать в споры, за меня реальные аффторы долго думали и решили (Opinion 4/2007) — я на этот документ уже устал ссылаться.
Прямая цитата из Европейской конвенции (в расово правильном переводе):
«(26) принимая во внимание, что принципы защиты должны применяться к любой инфор-мации, касающейся идентифицированного или идентифицируемого лица; принимая во внимание, что для определения того, является ли лицо идентифицируемым, следует при-нимать в расчет все средства, в равной мере могущие быть реально использованными ли-бо контролером, либо любым иным лицом для идентификации указанного лица; принимая во внимание, что принципы защиты не применяются к данным, сделанным обезличенны-ми таким образом, что субъект данных более не является идентифицируемым; принимая во внимание, что кодексы поведения в значении ст. 27 могут быть полезным инструмен-том для руководства в том, какими способами данные могут быть обезличены и сохране-ны в форме, в которой идентификация субъекта данных более невозможна;»
To Олег Винокуров: + 1
Следовательно, если этот приказ в определении «обезличенные ПД» противоречит 152-ФЗ, значит такое определение (из приказа) применяться не может…
Для Олега Винокурова:
Не надо столько риторики, прошу Вас (и копипейстов из мнения, которым я сам всем тычу 11 месяцев уже) — давайте ближе к сути.
Является ли определенным/определяемым лицо, от которого есть только ФИО и регион прописки?
Вот привожу я Вам какого-то Пупкина, у него даже и паспорт при себе — вот, пожалуйста: действительно Пупкин, действительно Красноярск.
Можете ли Вы сказать, тот ли это человек, у которого должок по базе числится?
То Ригель:
Я копирайт свято блюду, если не мое, всегда укажу. Не надо претендовать на единственного носителя истины.
Риторика — не понял, я стараюсь всегда обосновывать свое мнение сторонним источником? Отметили мое ораторское искусство? А я между зарабатываю не этим.
Теперь по конкретному вопросу:
Читайте внимательно мои посты — контекст какой?
Это перс. данные? Да, ФИО и паспорт, регион какого-то Пупкина — его перс. данные.
Обезличенные они? Зависит от контекста — если вы или иное лицо может выделить его из толпы — он определяем.
Вы мне привели Пупкина, а на проходной его сняла видеокамера. Если Вы мне не скажете, что это Пупкин, возможно видеозапись будет «обезличенными данными», а с наличием такой информации — все в полном порядке, я могу его идентифицировать на этой записи легко по времени и общему описанию.
Классический пример — Пупкин в рамках всей РФ, возможно (я не утверждаю!), может считаться обезличенной фамилией, а в рамках организации, БД оператора, или моего дома и офиса — определенный человек.
Если вдруг окажется, что в Красноярске проживал только один Пупкин или этих Пупкиных было несколько, но я позвонил в налоговую и мне инспектор по телефону дал уточняющую информацию (в какой он налоговой значится, фор экзампл, еще лучше ИНН) — вся теория об обезличенных данных рушится.
Резюме: вместо теорий и диссертаций по теме определения, насколько обезличена та или иная информация, надо исходить из жизни — скорее всего она не обезличена, если только оператор не произвел специальные действия для этого, с полным осознанием и обоснованием. Все остальное — пустая трата времени, я найду в БД уникального Пупкина-Тяпкина, и вам придется срочно останавливать обработку до приведения в соответствие 781-ПП.
> Теперь по конкретному вопросу
Конкретный вопрос звучал как «сможете ли Вы сказать, тот ли это человек, у которого должок», но спасибо за ответ — я прочитаю на досуге.
То Ригель:
Извините, что недоответил.
Ответ — с вероятностью ХХ % — это тот человек, у которого должок — Вам легче будет? Можно даже диссер написать, формулу вывести. К реальности какое это имеет отношение?
В любом случае, спасибо за оказанное внимание.
В подтверждение темы о ФИО = ПДн, давайте посмотрим про исключения которые указаны в п. 5 ч. 2 ст. 22 — оператор враве осуществлять …. обработку ПЕРСОНАЛЬНЫХ ДАННЫХ включающих в себя только ФАМИЛИИ, ИМЕНА И ОТЧЕСТВА субъектов персональных данных.
Посты выше — это спор логики и того, что реально написано в ФЗ 152.
Опять возвращаясь к бесполезности/опасности/незащищенности таких сервисов могу сказать, что по такому сервису уже можно создать базу должников по районам с заполненностью на XX% (полезную мб конторам перекупающим долги, тут смотря о каких видах задолжностей идет речь). За повторные запросы система не банит (проверено 10 раз набора подряд), защита в виде «введите цифры с картинки» обходится, так как цифры очень четко рисуются, выводятся в определенных зонах и не пересекаются (то, что цифры рисуются разными цветами на подборку не влияет, так как фон одноцветный: белый). Тем самым, программно перебирая соотношения фамилий и имен в реальные сроки можно создать базу «должников» (отклик системы достаточно быстрый).
Я это пишу не к тому, чтобы сподвигнуть кого-то выполнять эти действия. Я всего-лишь описываю слабую защиту сервиса. Предполагаю, что скажут, что список должников без телефонов/адресов бесполезен. На это отвечу, что есть форма разведки, когда из разных источников (телевидение, газеты) собирается казалось бы ограниченная/несекретная информация за определенный период; затем объединяется, анализируется и создается рабочая на XX% база знаний об исследуемом объекте/области. Так, что сопоставить полученный список с открытой(по чьим то ошибкам) базой, актуальной на 2004 год, не составит никакого труда.
То 22. Майя Ольшанская
Абсолютно в тему — как это реально в жизни бывает, IRL.
По конвенции это ситуация, когда третье лицо, используя определенные реальные средства (априори не очень большие по затратам, тут оценка рисков в тему), консолидирует данные и идентифицирует (определяет) субъекта и вытаскивает доп. данные по ряду признаков.
При этом ситуация сильно меняется во времени от эффективности принятых мер, наличия или отсутствия реальных угроз, заинтересованности нарушителя — ну это все сто раз говорено до меня.
Возможно, в капиталистических странах и странах бывшего соц. лагеря такая оценка пройдет — поищите PIA в интернетах.
У нас — не пройдет, обезличивайте данные до обработки или защищайте ИСПДн.
to 22 — 5+
to 22 Майя Ольшанская: Совершенно согласен, фактически выложена база и на основании ее можно, причем достаточно легко, получить сведения значительно большие, чем те ПДн, которые в ней сейчас хранятся. Ресурс не должен существовать как сточки зрения закона, так и с точки зрения здравого смысла.
25. Царев Евгений Says: Ресурс не должен существовать как сточки зрения закона, так и с точки зрения здравого смысла
С точки зрения «здравого смысла» все-таки есть определенная здравая логика: например, как человеку узнать, что у него есть долг — хотя бы для того, чтоб узнать об ограничении его выезда….
Но, как обычно, реализация «подкачала»….
«Благими намерениями выстлана дорога в Ад (с)»
Для Олега Винокурова:
> Ответ – с вероятностью ХХ % – это тот
Вероятность — это вообще не разговор.
С ненулевой вероятностью Олег Винокуров бороду бреет.
Не хотите ли предъявить претензию по поводу обработки и передачи без письменного согласия?
Дискуссии пройдут только на форумах и блогах,
в жизни — все проще.
Поверьте, проверяющим все-равно, что вы будете излагать в отношении своих данных как оператор ИСПДн. Только по формальному признаку: что обрабатываем, как классифицировали, какие приняли меры.
Обратите внимание — класс ИСПДн может быть подвергнут сомнению и вряд ли Вы что-нибудь докажете, если по формальным признакам класс должен быть выше.
ИМХО.
Понравился блог, информации по теме более чем достаточно.