सार्वजनिक और व्यक्तिगत डेटा. एविटो से "डेटा लीक" मामले का विश्लेषण

दो सप्ताह पहले, मंचों पर एविटो और युला सेवाओं के 600 हजार ग्राहकों के डेटाबेस खोजे गए थे, जिनमें वास्तविक पते और फोन नंबर भी थे। डेटाबेस अभी भी स्वतंत्र रूप से उपलब्ध हैं और कोई भी उन्हें डाउनलोड कर सकता है। जरा कल्पना करें कि कितने लोगों ने पहले ही स्पैम भेजने या इससे भी बदतर, उपयोगकर्ता भुगतान कार्ड डेटा को लुभाने के इरादे से डेटाबेस डाउनलोड कर लिया है। फ़ोरम प्रशासन डेटाबेस को नहीं हटाता है उन्हें इस स्थिति में कोई समस्या नहीं दिखती, उल्लंघन तो बिल्कुल भी नहीं, और कहते हैं कि यह व्यक्तिगत डेटा की चोरी नहीं है, बल्कि खुले डेटा का संग्रह है।

डेटा लीक की खबरें अब किसी को हैरान नहीं करेंगी.

जुलाई और अगस्त 2020 अनधिकृत डेटा संग्रह के लिए टिकटॉक को ब्लॉक किए जाने की खबरों से भरे रहे। और मेरा काम आश्चर्यचकित करना नहीं है, बल्कि मुद्दे को समझना है, और उस वादे को निभाना है जो मैंने हैबर के एक पाठक से किया था। वैसे, मेरा नाम व्याचेस्लाव उस्तिमेंको है, मैंने अंतरराष्ट्रीय कानून फर्म आइकन पार्टनर्स के एक आईटी वकील बेला फरज़ालिवा के साथ मिलकर लेख लिखा था।

यह महत्वपूर्ण क्यों है?

व्यक्तिगत डेटा की सुरक्षा और प्रसंस्करण का मुद्दा हर साल गति पकड़ रहा है। व्यक्तिगत डेटा की सुरक्षा व्यक्ति की पसंद की स्वतंत्रता, समाज की संस्कृति और लोकतंत्र के बारे में है। एक स्वतंत्र व्यक्ति को प्रबंधित करना कठिन है, धोखा देना कठिन है और उसकी नकल करना असंभव है। यह विचार ईयू (जीडीपीआर) और यूएसए (सीसीपीए) में प्रसिद्ध डेटा सुरक्षा नियमों द्वारा व्यक्त किया गया है। व्यक्तिगत रूप से इंस्टाग्राम अकाउंट एक सर्वेक्षण किया, यहां तक ​​कि वकील (मेरे 90% ग्राहक) अभी भी डेटा सुरक्षा के मुद्दों में खराब पारंगत हैं।

सवाल यह था: "निम्नलिखित में से कौन सा व्यक्तिगत डेटा है।"
मैं सर्वेक्षण परिणामों का एक स्क्रीनशॉट संलग्न कर रहा हूं।

लगभग 20% मतदाताओं ने सही उत्तर चुना।

पुनश्च तथ्य यह है कि मैं यूक्रेन से हूं, और रूसी संघ के कानूनों के बारे में लेख आपको भ्रमित नहीं करना चाहिए, प्रिय पाठकों, क्योंकि एक आईटी वकील की विशेषज्ञता एक देश तक सीमित नहीं हो सकती है।

रूसी संघ में व्यक्तिगत डेटा क्या है?

संघीय कानून के अनुसार व्यक्तिगत डेटा की परिभाषा यूरोपीय या यूक्रेनी से बहुत अलग नहीं है, जिसके बारे में पिछले लेख में लिखा था.

व्यक्तिगत डेटा - किसी पहचाने गए या पहचान योग्य प्राकृतिक व्यक्ति से प्रत्यक्ष या अप्रत्यक्ष रूप से संबंधित कोई भी जानकारी, हम किसी भी डेटा के बारे में बात कर रहे हैं जिसके द्वारा किसी व्यक्ति की पहचान की जा सकती है।

रूस में, व्यक्तिगत डेटा का उपयोग और संरक्षण कई दस्तावेजों द्वारा नियंत्रित किया जाता है, विशेष रूप से, 152-एफजेड "व्यक्तिगत डेटा पर", 149-एफजेड "सूचना, सूचना प्रौद्योगिकी और सूचना संरक्षण पर", प्रशासनिक अपराध संहिता, आपराधिक रूसी संघ का कोड, रूसी संघ का श्रम संहिता और रूसी संघ का नागरिक संहिता।

व्यक्तिगत डेटा खोलें. यह किस प्रकार का जानवर है?

#आइए स्थिति को उपयोगकर्ता की नज़र से देखें

शायद पाठकों ने अभी तक यह नहीं सोचा है कि व्यक्तिगत डेटा कैसे खुला हो सकता है, क्योंकि व्यक्तिगत व्यक्तिगत जैसा लगता है, और खुला सार्वजनिक जैसा लगता है।

उसी समय, आत्मविश्वास की भावना मुझे नहीं छोड़ती है कि एक टेलीफोन विक्रेता के साथ एक और बातचीत के बाद, हम में से प्रत्येक सोचता है कि "उसे मेरा नंबर कहां से मिला" या "किसी अजनबी से यह अजीब कॉल क्या है जो मेरे बारे में अधिक जानता है" आवश्यकता से अधिक।”

इसलिए, जो उपयोगकर्ता एविटो के माध्यम से बिक्री के लिए कुछ डालते हैं, उन्हें आश्चर्य नहीं होना चाहिए कि वे हैकर डेटाबेस में पहुंच गए, स्पैम ईमेल प्राप्त हुए या स्कैमर्स या "कोल्ड सेलर्स" से एक समझ से बाहर कॉल प्राप्त हुई।

ऐसी स्थिति में आप केवल स्वयं को दोषी ठहरा सकते हैं, क्योंकि कानूनों की अज्ञानता आपको जिम्मेदारी से मुक्त नहीं करती है।

वह सब कुछ जो उपयोगकर्ता ने सार्वजनिक विचार के लिए अपने बारे में पोस्ट किया है, दूसरे शब्दों में, इंटरनेट पर, सार्वजनिक रूप से उपलब्ध हो जाता है, अर्थात, खुला डेटा और उपयोगकर्ता की सहमति के बिना संग्रहीत, वितरित और उपयोग किया जा सकता है।

विधान से पुष्टि
अनुच्छेद 1 का भाग 152.2. रूसी संघ का नागरिक संहिता।

जब तक अन्यथा स्पष्ट रूप से कानून द्वारा प्रदान नहीं किया जाता है, उसके निजी जीवन के बारे में किसी भी जानकारी का संग्रह, भंडारण, वितरण और उपयोग, विशेष रूप से उसकी उत्पत्ति, रहने की जगह या निवास, व्यक्तिगत और पारिवारिक जीवन के बारे में जानकारी, किसी नागरिक की सहमति के बिना अनुमति नहीं है। .

राज्य, सार्वजनिक या अन्य सार्वजनिक हितों में किसी नागरिक के निजी जीवन के बारे में जानकारी का संग्रह, भंडारण, वितरण और उपयोग, साथ ही ऐसे मामलों में जहां किसी नागरिक के निजी जीवन के बारे में जानकारी पहले सार्वजनिक रूप से उपलब्ध हो गई थी या स्वयं द्वारा प्रकट की गई थी, इस पैराग्राफ के पहले पैराग्राफ द्वारा स्थापित नियमों का उल्लंघन नहीं है। नागरिक या उसकी इच्छा पर।

एक और पुष्टि
रूसी संघ के संघीय कानून संख्या 4-एफजेड के अनुच्छेद 7 के खंड 149 "सूचना, सूचना प्रौद्योगिकी और सूचना सुरक्षा पर।"

इसके मालिकों द्वारा इंटरनेट पर एक ऐसे प्रारूप में पोस्ट की गई जानकारी जो पुन: उपयोग के उद्देश्य से पूर्व मानवीय परिवर्तनों के बिना स्वचालित प्रसंस्करण की अनुमति देती है, खुले डेटा के रूप में पोस्ट की गई सार्वजनिक रूप से उपलब्ध जानकारी है।

#निष्कर्ष

एविटो प्रशासन सही ढंग से दावा करता है कि हैकर मंचों पर डेटाबेस में पूरी तरह से सार्वजनिक जानकारी होती है जो उनकी वेबसाइट पर उपलब्ध होती है और इसे पार्सिंग (विशेष कार्यक्रमों का उपयोग करके जानकारी का स्वचालित संग्रह) द्वारा एकत्र किया जा सकता है, यानी, किसी भी डेटा रिसाव की कोई बात नहीं है। क्या डेटा का उपयोग कानूनी उद्देश्यों के लिए किया जाता है, यह एक और सवाल है जो निश्चित रूप से एविटो से नहीं पूछा जाना चाहिए।

यदि आप नहीं चाहते कि कोई आपकी उपभोक्ता प्रोफ़ाइल का संकलन, मूल्यांकन या उपयोग करे, तो सार्वजनिक संसाधनों पर अपने बारे में कम जानकारी छोड़ें।

नीचे मंच से एक मज़ेदार (लेकिन सटीक नहीं) टिप्पणी है।

#आइए स्थिति को व्यवसाय की नजर से देखें
आइए उसी एविटो को एक उदाहरण के रूप में लें और प्रश्नों पर विचार करें:

• क्या यह साइट व्यक्तिगत डेटा का संचालक है,
• क्या उसे डेटा प्रोसेसिंग के लिए सहमति प्राप्त करने और ऑपरेटरों के रजिस्टर में शामिल होने के लिए खुद को रोसकोम्नाडज़ोर के सामने घोषित करने की आवश्यकता है,
• क्या एविटो सचमुच सज़ा से बच जाएगा?

डेटा लीक की स्थिति में, एविटो का वास्तव में इससे कोई लेना-देना नहीं है। आप कल्पना कर सकते हैं कि एविटो एक बाड़ है जिस पर उपयोगकर्ता ने "सेलिंग गैराज" लिखा है और अपना नाम, फोन नंबर या अन्य संचार डेटा इंगित किया है, और फिर इस बात पर क्रोधित होना शुरू कर दिया कि बाड़ से गुजरने वाले सभी लोग डेटा को क्यों जानते थे, कॉपी करते थे या उपयोग करते थे .

विधान से पुष्टि
कानून संख्या 10-एफजेड का अनुच्छेद 152।

कंपनी या व्यक्ति एक व्यक्ति जिसे डेटा संसाधित करने के लिए ग्राहक की लिखित सहमति प्राप्त हुई है, वह सार्वजनिक रूप से उपलब्ध व्यक्तिगत डेटा का ऑपरेटर बन जाता है, लेकिन कानून अन्य श्रेणियों की तुलना में सार्वजनिक रूप से उपलब्ध व्यक्तिगत डेटा, या अधिक सरलता से, खुले डेटा की सुरक्षा के लिए न्यूनतम आवश्यकताएं लगाता है।

एक और पुष्टि
खंड 4, भाग 2, अनुच्छेद 22 "व्यक्तिगत डेटा पर"।

ऑपरेटर को व्यक्तिगत डेटा विषयों के अधिकारों की सुरक्षा के लिए अधिकृत निकाय को सूचित किए बिना व्यक्तिगत डेटा के विषय द्वारा सार्वजनिक रूप से उपलब्ध कराए गए व्यक्तिगत डेटा को संसाधित करने का अधिकार है।

#निष्कर्ष

एविटो व्यक्तिगत डेटा का संचालक है। जहां तक ​​रोसकोम्नाडज़ोर अधिसूचना का सवाल है, कानून में अपवाद हैं, लेकिन वे एविटो पर लागू नहीं होते हैं, क्योंकि यह साइट न केवल सार्वजनिक रूप से उपलब्ध डेटा एकत्र और संसाधित करती है। लेकिन यदि साइट केवल खुले डेटा के साथ काम करती है, तो Roskomnadzor को सूचित करने और पंजीकरण करने की कोई आवश्यकता नहीं होगी। एविटो निर्दोष है, और इसलिए कोई सजा नहीं होगी।

डेटा न केवल ट्रेडिंग प्लेटफॉर्म से, बल्कि किसी भी वेबसाइट से या मोबाइल ऑपरेटरों से, सोशल नेटवर्क, बैंकों, रजिस्ट्रियों से भी लीक या कानूनी रूप से प्राप्त किया जा सकता है, इसे बैंक कार्ड पर मोबाइल लेनदेन के अनुक्रम से या छिपे हुए कार्यों का उपयोग करके निकाला जा सकता है। स्मार्टफोन एप्लिकेशन में लाखों विकल्प हैं।

वैसे, हर कोई जानता है कि हैबर एक मंच नहीं है, लेकिन टिप्पणी करने की संभावना है, और लेख का उद्देश्य आश्चर्यचकित करना नहीं है, बल्कि मुद्दे को समझना है।

सवाल

2020 की वास्तविकताओं में, आपको इंटरनेट पर व्यक्तिगत डेटा पोस्ट करने से सावधान रहना होगा और उपरोक्त मजाकिया टिप्पणी के अनुसार कार्य करना होगा, या नया कानून पेश करना होगा, या शायद एक नया युग आ गया है और यह सामान्य उपलब्धता के साथ आने लायक है खुले डेटा का?

स्रोत: www.habr.com