公開データと個人データ。 Avitoからの「データ漏洩」事件の分析

600 週間前、Avito および Yula サービスの XNUMX 万人の顧客のデータベースがフォーラムで発見され、その中には実際の住所や電話番号も含まれていました。 データベースは今でも無料で利用でき、誰でもダウンロードできます。 スパムを送信する目的、あるいはさらに悪いことに、ユーザーの支払いカード データを誘い出す目的で、すでに何人の人がデータベースをダウンロードしているか想像してみてください。 フォーラム管理者はデータベースを削除しません。 彼らはこの状況に問題はなく、ましてや違反とは考えておらず、これは個人データの盗難ではなく、オープンデータの収集であると主張しています。

データ漏洩に関するニュースはもう誰も驚かないでしょう。

2020年XNUMX月とXNUMX月は、TikTokが不正なデータ収集のためにブロックされたというニュースでいっぱいだった。 そして、私の仕事は驚かせることではなく、問題を理解し、ハブルの読者の一人との約束を守ることです。 ちなみに、私の名前はヴャチェスラフ・ウスティメンコです。国際法律事務所アイコン・パートナーズのIT弁護士、ベラ・ファルザリエヴァと一緒にこの記事を書きました。

なぜこれは重要なのですか？

個人データの保護と処理の問題は、年々勢いを増すばかりです。 個人データの保護は、個人の選択の自由、社会の文化、民主主義に関わるものです。 独立した人は管理が難しく、だまされにくく、模倣することは不可能です。 この考えは、EU (GDPR) と米国 (CCPA) のよく知られたデータ保護規制によって伝えられています。 個人的には インスタグラムアカウント が調査を実施したところ、弁護士（購読者の 90%）でさえデータ保護問題についてはまだ十分な知識がありません。

質問は次のとおりです。 「個人データは次のうちどれですか。」
調査結果のスクリーンショットを添付します。

有権者の約 20% が正しい答えを選択しました。

PS: 私がウクライナ出身であるという事実と、ロシア連邦の法律に関する記事で読者の皆さんを混乱させないでください。IT 弁護士の専門知識は XNUMX つの国に限定されるものではないからです。

ロシア連邦における個人データとは何ですか

連邦法に基づく個人データの定義は、ヨーロッパまたはウクライナの定義とそれほど変わりません。 前の記事に書きました.

個人データ - 特定された、または特定可能な自然人に直接的または間接的に関連するあらゆる情報。これは、個人を特定できるあらゆるデータを指します。

ロシアでは、個人データの使用と保護は多くの文書、特に 152-FZ「個人データについて」、149-FZ「情報、情報技術および情報保護について」、行政犯罪法、刑事法によって規制されています。ロシア連邦法典、ロシア連邦労働法典、ロシア連邦民法典。

個人データを開きます。 これは何という動物ですか?

#ユーザーの目で現状を見てみよう

おそらく読者は、個人的なデータは個人的なもののように聞こえ、オープンなデータは公共のもののように聞こえるため、個人データをどのようにオープンにすることができるかについてまだ考えたことがないでしょう。

同時に、電話販売員ともう一度会話した後、私たち一人ひとりが「彼はどこから私の電話番号を入手したのだろう」とか、「私のことをよく知っている見知らぬ人からのこの奇妙な電話は何だろうか」と考えると、私は自信を失いません。必要以上に。」

そのため、Avito を通じて何かを売りに出したユーザーは、ハッカーのデータベースにたどり着いたり、詐欺師や「コールドセラー」からのスパムメールや理解できない電話を受信したりしても、驚くことはありません。

法律を知らなかったからといって責任が免除されるわけではないので、そのような状況では自分を責めるしかありません。

ユーザー自身が公衆の考慮を目的として自分自身について投稿したもの、つまりインターネット上で公開されたものはすべて公開、つまりオープンデータとなり、ユーザーの同意なしに保存、配布、使用することができます。

法律による確認
第 1 条 152.2 の第 XNUMX 部。 ロシア連邦の民法。

法律で明示的に定められていない限り、国民の同意がない限り、個人の私生活に関する情報、特に出身地、滞在地または居住地、私生活および家族生活に関する情報の収集、保管、配布、および使用は許可されません。 。

国家、公的またはその他の公共の利益のために、国民の私生活に関する情報を収集、保管、配布および使用すること。また、国民の私生活に関する情報が以前に公的に利用可能になった場合、または国民自身によって開示された場合にも、この段落の最初の段落で定められた規則に違反するものではなく、国民またはその意志によるものです。

別の確認
ロシア連邦法第 4-FZ 号「情報、情報技術および情報保護について」第 7 条第 149 項。

所有者がインターネット上に公開した情報を、再利用する目的で事前に人為的な変更を加えることなく自動処理できる形式で、オープンデータとして公開された公開情報です。

＃結論

Avito 政権は、ハッカー フォーラムのデータベースは完全に Web サイトで入手可能な公開情報で構成されており、解析 (特別なプログラムを使用した情報の自動収集) によって収集できる、つまりデータ漏洩の話はまったくないと正当に主張しています。 データが法的な目的で使用されるかどうかは、Avito に絶対に尋ねるべきではないもう XNUMX つの質問です。

誰かに自分の消費者プロフィールを編集、評価、使用してほしくない場合は、公開リソースに残す自分に関する情報を減らしてください。

以下はフォーラムからの面白い (ただし正確ではない) コメントです。

#ビジネスの視点で現状を見てみよう
同じ Avito を例として、次の質問について考えてみましょう。

• サイトが個人データの運営者であるか、
• 彼はデータ処理の同意を取得し、オペレーターの登録に含まれるようにロスコムナゾールに宣言する必要がありますか?
• アビトは本当に無罪になるのだろうか？

データ漏洩の状況では、Avito は実際には何の関係もありません。 Avito は、ユーザーが「SELLING GARAGE」と書いて自分の名前、電話番号、またはその他の通信データを示したフェンスのようなもので、その後、なぜフェンスを通り過ぎる人全員がそのデータを知っていて、コピーし、使用しているのかに憤り始めたと想像できます。 。

法律による確認
法律第 10-FZ の第 152 条。

企業または個人データを処理するためにクライアントから書面による同意を得た人は、公開されている個人データのオペレーターとなりますが、この法律では、他のカテゴリと比較して、公開されている個人データ、またはより簡単に言うとオープンデータの保護について最小限の要件が課されています。

別の確認
第 4 条第 2 部第 22 項「個人データについて」。

オペレーターは、個人データ主体の権利を保護するため、権限のある機関に通知することなく、個人データ主体によって公開された個人データを処理する権利を有します。

＃結論

Avito は個人データの管理者です。 Roskomnadzor の通知に関しては、法律には例外がありますが、Avito は公開されているデータだけを収集して処理しているわけではないため、それらは Avito には適用されません。 しかし、サイトがオープンデータのみで機能する場合は、Roskomnadzorに通知して登録する必要はありません。 アビトは無実であるため、処罰はありません。

データは、取引プラットフォームだけでなく、あらゆる Web サイトやモバイル通信事業者、ソーシャル ネットワーク、銀行、レジストリからも漏洩または合法的に取得される可能性があり、銀行カード上の一連のモバイル取引から、またはカードの隠された機能を使用して抽出される可能性があります。スマホアプリには何百万もの選択肢があります。

ちなみに、Habr がフォーラムではないことは誰もが知っていますが、コメントする可能性はあり、記事の目的は驚くことではなく、問題を理解することです。

質問

2020 年の現実では、インターネット上に個人データを投稿することに注意し、上記の面白いコメントのように行動するか、新しい法律を導入するか、あるいは新しい時代が到来したばかりであり、一般公開を受け入れる価値があるかもしれません。オープンデータの?

出所： habr.com