دو هفته پیش، پایگاه داده های 600 هزار مشتری خدمات Avito و Yula در انجمن ها کشف شد که در میان آنها آدرس ها و شماره تلفن های واقعی وجود داشت. پایگاه های داده هنوز به صورت رایگان در دسترس هستند و هر کسی می تواند آنها را دانلود کند. فقط تصور کنید که چند نفر قبلاً پایگاه داده را با هدف ارسال هرزنامه یا حتی بدتر از آن برای جذب اطلاعات کارت پرداخت کاربر دانلود کرده اند. از آنجایی که مدیریت انجمن پایگاه های داده را حذف نمی کند آنها هیچ مشکلی در این وضعیت نمی بینند، حتی بیشتر تخلف، و می گویند که این سرقت اطلاعات شخصی نیست، بلکه جمع آوری داده های باز است.
اخبار در مورد نشت داده ها دیگر کسی را شگفت زده نمی کند.
جولای و آگوست 2020 مملو از اخبار مربوط به مسدود شدن TikTok به دلیل جمع‌آوری داده‌های غیرمجاز بود. و وظیفه من غافلگیر کردن نیست، بلکه این است که موضوع را درک کنم و به قولی که به یکی از خوانندگان هابر داده ام عمل کنم. به هر حال، نام من ویاچسلاو اوستیمنکو است، من مقاله را به همراه بلا فرزالیوا، وکیل فناوری اطلاعات از شرکت حقوقی بین المللی آیکن پارتنرز نوشتم.
چرا مهم است
موضوع حفاظت و پردازش داده های شخصی هر سال شتاب بیشتری می گیرد. حفاظت از داده های شخصی در مورد آزادی انتخاب یک فرد، فرهنگ جامعه و دموکراسی است. مدیریت یک فرد مستقل دشوار است، فریب دادن آن دشوار و کپی کردن آن غیرممکن است. این ایده توسط مقررات شناخته شده حفاظت از داده در اتحادیه اروپا (GDPR) و ایالات متحده آمریکا (CCPA) منتقل می شود. به صورت شخصی یک نظرسنجی انجام داد، حتی وکلا (90٪ از مشترکان من) هنوز در مسائل حفاظت از داده ها آگاه نیستند.
سوال به این صورت بود: "کدام یک از موارد زیر داده های شخصی است."
من یک اسکرین شات از نتایج نظرسنجی را پیوست می کنم.
حدود 20 درصد از رای دهندگان پاسخ صحیح را انتخاب کردند.
PS این واقعیت که من اهل اوکراین هستم و مقاله در مورد قوانین فدراسیون روسیه نباید شما خوانندگان عزیز را سردرگم کند، زیرا تخصص یک وکیل فناوری اطلاعات را نمی توان به یک کشور محدود کرد.
اطلاعات شخصی در فدراسیون روسیه چیست
تعریف داده های شخصی مطابق با قانون فدرال تفاوت زیادی با تعریف اروپایی یا اوکراینی ندارد .
داده های شخصی - هر گونه اطلاعاتی که به طور مستقیم یا غیرمستقیم به یک شخص حقیقی شناسایی شده یا قابل شناسایی مربوط می شود، ما در مورد هر داده ای صحبت می کنیم که توسط آن شخص می تواند شناسایی شود.
در روسیه، استفاده و حفاظت از داده های شخصی توسط بسیاری از اسناد تنظیم می شود، به ویژه، 152-FZ "در مورد داده های شخصی"، 149-FZ "در مورد اطلاعات، فناوری اطلاعات و حفاظت از اطلاعات"، قانون تخلفات اداری، جنایی قانون فدراسیون روسیه، قانون کار فدراسیون روسیه و قانون مدنی فدراسیون روسیه.
باز کردن اطلاعات شخصی این چه نوع حیوانی است؟
#بیایید از چشم کاربر به وضعیت نگاه کنیم
شاید خوانندگان هنوز به این فکر نکرده باشند که چگونه داده های شخصی می توانند باز باشند، زیرا شخصی به نظر شخصی می آید و صدای باز مانند عمومی است.
در عین حال، این احساس اعتماد به نفس مرا رها نمی کند که پس از یک مکالمه دیگر با فروشنده تلفنی، هر یک از ما به این فکر می کنیم که "شماره من را از کجا آورده است" یا "این تماس عجیب غریبه ای که بیشتر در مورد من می داند چیست؟ بیش از حد لازم.»
بنابراین، کاربرانی که چیزی را از طریق Avito برای فروش قرار می دهند، تعجب نکنید که در پایگاه داده های هکرها، ایمیل های هرزنامه یا تماس نامفهومی از کلاهبرداران یا "فروشندگان سرد" قرار گرفتند.
در چنین شرایطی فقط می توانید خودتان را سرزنش کنید، زیرا ناآگاهی از قوانین شما را از مسئولیت معاف نمی کند.
هر چیزی که خود کاربر در مورد خود برای بررسی عمومی پست کرده است، به عبارت دیگر در اینترنت، در دسترس عموم قرار می گیرد، یعنی داده های باز می شود و می تواند بدون رضایت کاربر ذخیره، توزیع و استفاده شود.
تایید از قانون
قسمت 1 ماده 152.2. قانون مدنی فدراسیون روسیه.
جمع آوری، ذخیره، توزیع و استفاده از هرگونه اطلاعات مربوط به زندگی خصوصی، به ویژه اطلاعات مربوط به مبدأ، محل اقامت یا سکونت، زندگی شخصی و خانوادگی وی، بدون رضایت مجاز نمی باشد، مگر اینکه به صراحت در قانون مقرر شده باشد. یک شهروند
جمع آوری، ذخیره سازی، توزیع و استفاده از اطلاعات مربوط به زندگی خصوصی یک شهروند در منافع دولتی، عمومی یا سایر منافع عمومی و همچنین در مواردی که اطلاعات مربوط به زندگی خصوصی یک شهروند قبلاً در دسترس عموم قرار گرفته یا توسط خود وی افشا شده است. نقض قوانین مقرر در بند اول این بند نیست. شهروند یا به میل او.
تاییدیه دیگه
بند 4 از ماده 7 قانون فدرال فدراسیون روسیه شماره 149-FZ "در مورد اطلاعات، فناوری اطلاعات و حفاظت از اطلاعات".
اطلاعات ارسال شده توسط صاحبان آن در اینترنت در قالبی که امکان پردازش خودکار را بدون تغییرات انسانی قبلی به منظور استفاده مجدد فراهم می کند، اطلاعات در دسترس عموم است که در قالب داده های باز ارسال شده است.
#نتیجه
مدیریت Avito به درستی ادعا می کند که پایگاه داده در انجمن های هکرها کاملاً شامل اطلاعات عمومی است که در وب سایت آنها موجود است و می توان آن را با تجزیه (جمع آوری خودکار اطلاعات با استفاده از برنامه های خاص) جمع آوری کرد، یعنی هیچ صحبتی در مورد نشت داده وجود ندارد. اینکه آیا از داده ها برای مقاصد قانونی استفاده می شود یا خیر، سؤال دیگری است که قطعاً نباید از Avito پرسیده شود.
اگر نمی خواهید کسی نمایه مصرف کننده شما را گردآوری، ارزیابی یا استفاده کند، اطلاعات کمتری درباره خود در منابع عمومی بگذارید.
در زیر یک نظر خنده دار (اما نه دقیق) از انجمن وجود دارد.
#بیایید به وضعیت از دید کسب و کار نگاه کنیم
بیایید همان Avito را به عنوان مثال در نظر بگیریم و سؤالات را در نظر بگیریم:
- این سایت اپراتور داده های شخصی است،
- آیا او نیاز به کسب رضایت برای پردازش داده ها دارد و خود را به Roskomnadzor اعلام می کند تا در ثبت اپراتورها گنجانده شود؟
- آیا آویتو واقعا بدون مجازات خواهد ماند؟
در شرایط نشت اطلاعات، آویتو واقعاً هیچ ربطی به آن ندارد. می توانید تصور کنید که Avito حصاری است که کاربر روی آن نوشته است "SELLING GARAGE" و نام، شماره تلفن یا سایر داده های ارتباطی خود را نشان می دهد و سپس شروع به عصبانیت می کند که چرا همه کسانی که از کنار حصار می گذرند داده ها را می دانند، کپی می کنند یا استفاده می کنند. .
تایید از قانون
ماده 10 قانون شماره 152-FZ.
شرکت یا فرد شخصی که رضایت کتبی مشتری را برای پردازش داده‌ها دریافت کرده است، اپراتور داده‌های شخصی در دسترس عموم می‌شود، اما قانون حداقل الزامات را برای حفاظت از داده‌های شخصی در دسترس عموم یا به عبارت ساده‌تر، داده‌های باز در مقایسه با سایر دسته‌ها اعمال می‌کند.
تاییدیه دیگه
بند 4، بخش 2، ماده 22 "در مورد داده های شخصی".
اپراتور این حق را دارد که داده های شخصی را که توسط موضوع داده های شخصی در دسترس عموم قرار داده شده است، بدون اطلاع دادن به سازمان مجاز برای حفاظت از حقوق افراد موضوع داده های شخصی، پردازش کند.
#نتیجه
Avito اپراتور داده های شخصی است. در مورد اعلان Roskomnadzor، استثنائاتی در قانون وجود دارد، اما آنها برای Avito اعمال نمی شوند، زیرا این سایت نه تنها داده های در دسترس عموم را جمع آوری و پردازش می کند. اما اگر سایت فقط با داده های باز کار می کند، نیازی به اطلاع رسانی و ثبت نام در Roskomnadzor نخواهد بود. آویتو بی گناه است و بنابراین مجازاتی در کار نخواهد بود.
داده‌ها را می‌توان نه تنها از پلتفرم‌های معاملاتی، بلکه از هر وب‌سایت یا از اپراتورهای تلفن همراه، از شبکه‌های اجتماعی، بانک‌ها، رجیستری‌ها به بیرون درز کرد یا به‌طور قانونی به دست آورد، می‌توان آنها را از دنباله تراکنش‌های تلفن همراه روی کارت بانکی یا با استفاده از عملکردهای پنهان استخراج کرد. برنامه های کاربردی گوشی های هوشمند، میلیون ها گزینه وجود دارد.
ضمناً همه می دانند که هابر انجمن نیست، اما امکان اظهار نظر وجود دارد و هدف مقاله تعجب نیست، بلکه درک موضوع است.
سوال
در واقعیت های سال 2020، باید مراقب ارسال اطلاعات شخصی در اینترنت باشید و مانند نظر خنده دار بالا عمل کنید، یا قوانین جدیدی را معرفی کنید، یا شاید به تازگی عصر جدیدی فرا رسیده است و ارزش دارد که با در دسترس بودن عمومی کنار بیایید. از داده های باز؟
منبع: www.habr.com