נתונים ציבוריים ואישיים. ניתוח מקרה "דליפת נתונים" מאביטו

לפני שבועיים התגלו בפורומים מאגרי מידע של 600 אלף לקוחות של שירותי אביטו ויולה, ביניהם כתובות ומספרי טלפון אמיתיים. מסדי הנתונים עדיין זמינים בחינם וכל אחד יכול להוריד אותם. רק תארו לעצמכם כמה אנשים כבר הורידו את מסד הנתונים מתוך כוונה לשלוח דואר זבל או, גרוע מכך, לפתות את נתוני כרטיסי התשלום של המשתמש. הנהלת הפורום אינה מוחקת מאגרי מידע, שכן הם לא רואים שום בעיה במצב הזה, על אחת כמה וכמה הפרה, ואומרים שלא מדובר בגניבה של נתונים אישיים, אלא באיסוף נתונים פתוחים.

חדשות על דליפות נתונים לא יפתיעו אף אחד יותר.

יולי ואוגוסט 2020 היו מלאים בחדשות על חסימת TikTok לאיסוף נתונים לא מורשה. והמשימה שלי היא לא להפתיע, אלא להבין את הנושא, ולקיים את ההבטחה שהבטחתי לאחד מקוראי הבר. אגב, שמי ויאצ'סלב אוסטימנקו, כתבתי את המאמר יחד עם בלה פרזלייבה, עורכת דין IT ממשרד עורכי הדין הבינלאומי אייקון פרטנרס.

למה זה חשוב

נושא ההגנה והעיבוד של נתונים אישיים רק תופס תאוצה מדי שנה. הגנה על נתונים אישיים עוסקת בחופש הבחירה של אדם, בתרבות החברה ובדמוקרטיה. אדם עצמאי קשה לניהול, קשה לרמות ואי אפשר להעתיק אותו. רעיון זה מועבר על ידי תקנות הגנת המידע הידועות באיחוד האירופי (GDPR) ובארה"ב (CCPA). באופן אישי חשבון אינסטגרם ערכו סקר, אפילו עורכי דין (90% מהמנויים שלי) עדיין לא בקיאים בנושאי הגנת מידע.

השאלה הלכה כך: "איזה מהבאים הם נתונים אישיים."
אני מצרף צילום מסך של תוצאות הסקר.

כ-20% מהמצביעים בחרו בתשובה הנכונה.

נ.ב העובדה שאני מאוקראינה, והמאמר על חוקי הפדרציה הרוסית לא צריך לבלבל אתכם, קוראים יקרים, מכיוון שלא ניתן להגביל את המומחיות של עורך דין IT למדינה אחת.

מה זה נתונים אישיים בפדרציה הרוסית

ההגדרה של נתונים אישיים בהתאם לחוק הפדרלי אינה שונה מאוד מההגדרה האירופית או האוקראינית, לגביה כתב במאמר הקודם.

נתונים אישיים - כל מידע הנוגע במישרין או בעקיפין לאדם טבעי מזוהה או מזוהה, אנו מדברים על כל נתון שבאמצעותו ניתן לזהות אדם.

ברוסיה, השימוש וההגנה על נתונים אישיים מוסדרים על ידי מסמכים רבים, בפרט, 152-FZ "על נתונים אישיים", 149-FZ "על מידע, טכנולוגיות מידע והגנת מידע", קוד העבירות המנהליות, הפלילי הקוד של הפדרציה הרוסית, קוד העבודה של הפדרציה הרוסית והקוד האזרחי של הפדרציה הרוסית.

פתח נתונים אישיים. איזו מין חיה זו?

#בואו נסתכל על המצב דרך עיני המשתמש

אולי הקוראים עדיין לא חשבו כיצד ניתן לפתוח נתונים אישיים, כי אישי נשמע כמו אישי, ופתוח נשמע כמו ציבורי.

יחד עם זאת, תחושת הביטחון לא עוזבת אותי שאחרי שיחה נוספת עם מוכר טלפוני, כל אחד מאיתנו חושב "מאיפה הוא השיג את המספר שלי" או "מה זה השיחה המוזרה הזו מאדם זר שיודע עלי יותר ממה שצריך."

לכן, משתמשים שהעמידו משהו למכירה דרך Avito, אל תתפלאו שהם הגיעו למאגרי מידע של האקרים, קיבלו מיילים דואר זבל או קריאה לא מובנת מהרמאים או "מוכרים קרים".

אתה יכול להאשים רק את עצמך במצב כזה, כי אי ידיעת החוקים לא פוטרת אותך מאחריות.

כל מה שהמשתמש עצמו פרסם על עצמו לצורך שיקול דעת ציבורי, כלומר באינטרנט, הופך לזמין לציבור, כלומר לנתונים פתוחים וניתן לאחסן, להפיץ ולהשתמש בו ללא הסכמת המשתמש.

אישור מחקיקה
חלק 1 של סעיף 152.2. הקוד האזרחי של הפדרציה הרוסית.

אלא אם נקבע אחרת במפורש בחוק, איסוף, אחסון, הפצה ושימוש בכל מידע על חייו הפרטיים, בפרט מידע על מוצאו, מקום שהותו או מגוריו, חייו האישיים והמשפחתיים, אסורים ללא הסכמת אזרח. .

איסוף, אחסון, הפצה ושימוש במידע על חייו הפרטיים של אזרח באינטרסים ציבוריים ממלכתיים, ציבוריים או אחרים, וכן במקרים בהם מידע על חייו הפרטיים של אזרח הפך בעבר זמין לציבור או נחשף בעצמו, אינו מהווה הפרה של הכללים שנקבעו בפסקה הראשונה של פסקה זו.אזרח או לפי רצונו.

עוד אישור
סעיף 4 של סעיף 7 לחוק הפדרלי של הפדרציה הרוסית מס' 149-FZ "על מידע, טכנולוגיות מידע והגנת מידע".

מידע המתפרסם על ידי בעליו באינטרנט בפורמט המאפשר עיבוד אוטומטי ללא שינויים אנושיים מוקדמים לצורך שימוש חוזר הוא מידע זמין לציבור המתפרסם בצורה של נתונים פתוחים.

#סיכום

הנהלת אביטו טוענת בצדק שמאגר המידע בפורומי האקרים מורכב כולו ממידע ציבורי שזמין באתר שלהם וניתן לאסוף אותו בניתוח (איסוף מידע אוטומטי באמצעות תוכנות מיוחדות), כלומר אין דיבור על דליפת נתונים כלשהי. האם נעשה שימוש בנתונים למטרות משפטיות היא שאלה נוספת שבהחלט אסור לשאול את אביטו.

אם אתה לא רוצה שמישהו יקלוט, יעריך או ישתמש בפרופיל הצרכני שלך, השאר פחות מידע על עצמך במשאבים ציבוריים.

להלן תגובה מצחיקה (אך לא מדויקת) מהפורום.

#בואו נסתכל על המצב דרך עיני העסקים
בואו ניקח את אותו אביטו כדוגמה ונשקול את השאלות:

• האם האתר מפעיל נתונים אישיים,
• האם הוא צריך לקבל הסכמה לעיבוד נתונים ולהכריז על עצמו בפני Roskomnadzor להיכלל במרשם המפעילים,
• האם אביטו באמת יישאר ללא עונש?

במצב של דליפת נתונים, לאוויטו באמת אין שום קשר לזה. אתם יכולים לתאר לעצמכם שאביטו היא גדר שעליה המשתמש כתב "מוסך מכירה" וציין את שמו, מספר הטלפון או נתוני תקשורת אחרים, ואז התחיל להתמרמר על הסיבה שהנתונים ידועים, מועתקים או משתמשים בהם לכל מי שעבר במקום. הגדר.

אישור מחקיקה
סעיף 10 לחוק מס' 152-FZ.

חברה או אדם פרטי אדם שקיבל את הסכמת הלקוח בכתב לעיבוד נתונים הופך למפעיל של נתונים אישיים זמינים לציבור, אך החקיקה מציבה דרישות מינימליות להגנה על נתונים אישיים זמינים לציבור, או, בפשטות, נתונים פתוחים, בהשוואה לקטגוריות אחרות.

עוד אישור
סעיף 4, חלק 2, סעיף 22 "על נתונים אישיים".

למפעיל הזכות לעבד נתונים אישיים שזמינים לציבור על ידי נושא הנתונים האישיים מבלי להודיע ​​לגוף המוסמך להגנה על זכויותיהם של נושאי נתונים אישיים.

#סיכום

אביטו היא מפעילת הנתונים האישיים. באשר להודעת Roskomnadzor, ישנם חריגים בחוק, אך הם אינם חלים על Avito, שכן אתר זה אוסף ומעבד לא רק נתונים זמינים לציבור. אבל אם האתר עובד רק עם נתונים פתוחים, לא יהיה צורך להודיע ​​ולהירשם ב-Roskomnadzor. אביטו חף מפשע, ולכן לא יהיה עונש.

נתונים יכולים להיות דלפים או להשיג באופן חוקי לא רק מפלטפורמות מסחר, אלא גם מכל אתר אינטרנט או ממפעילים סלולריים, מרשתות חברתיות, בנקים, רישומים, ניתן לחלץ אותם מרצף העסקאות הניידות בכרטיס בנק או באמצעות פונקציות נסתרות של יישומי סמארטפון, יש מיליון אפשרויות.

אגב, כולם יודעים שהבר זה לא פורום, אבל יש אפשרות להגיב, ומטרת הכתבה היא לא להפתיע, אלא להבין את הנושא.

שאלה

במציאות של 2020, צריך להיזהר בפרסום נתונים אישיים באינטרנט ולפעול כמו בתגובה המצחיקה למעלה, או להכניס חקיקה חדשה, או שאולי בדיוק הגיע עידן חדש וכדאי להשלים עם הזמינות הכללית של נתונים פתוחים?

מקור: www.habr.com