Персональные данные ждут защиты

Подозреваете, ваши личные данные используют сторонние организации или фирмы? Федеральная служба по надзору в сфере массовых коммуникаций, связи и охраны культурного наследия — та структура, куда следует обращаться при малейшем подозрении.

Закон «О персональных данных» появился в России благодаря тому, что мы присоединились к Европейской конвенции по правам человека. А соблюдение прав личности требует защиты персональных данных. С 1 января 2010 года в России начнут действовать требования Федеральной службы по техническому и экспертному контролю (ФСТЭК) к информационным системам, хранящим конфиденциальную информацию. Согласно им, любой компьютер должен быть оборудован надежной системой защиты от кражи персональных данных. Нет защиты? Ответит работодатель или субъект.

Федеральную надзирающую структуру у нас представляет управление Россвязьохранкультуры по Челябинской области. Заместитель руководителя управления Алексей Ушаков рассказывает о недостатках закона, кто и почему его нарушает, какое наказание ожидает ослушников и как нам нужно защищать свои персональные данные.

На дверях меня не вешать!

— Анкеты в магазинах, именная реклама в почтовом ящике, а недавно у меня затребовали копию паспорта для внесения платежа на транспортную карту. Надо бы отказать банку, но они не хотят в таком случае брать деньги. Полный абсурд.

— В таких случаях надо жаловаться нам, — говорит Алексей Ушаков. — Жалоба в ходе проверки наверняка будет признана обоснованной, и банку пригрозят санкциями за повторные нарушения. Здесь вступают в противоречие закон, о котором мы говорим, и нормативно-правовые акты банка. Конкретно по вашему случаю: у них действует закон о банковской деятельности, противодействующий легализации доходов, полученных преступным путем. На ваши 500 рублей они требуют подтверждения, потому что так им велит должностная инструкция. А инструкций у нас боятся больше, чем нарушений закона.

— Банк требует немыслимое количество информации по кредиту, а потом передает ее коллекторскому агентству. Это законно?

— Деятельность банков расписана их инструкциями до мельчайших подробностей. Нарушение можно усмотреть в том, что на этапе приема заявки на кредит они, по сути, занимаются обработкой персональных данных. Но не всегда делают это правильно и не признают обработкой. Передавать же сведения коллекторам без добровольного на то согласия клиента не имеют права.

Если в документе нет строки «согласен с обработкой моих персональных данных» и вашей подписи, смело идите в суд. Выиграете. И доказывать, что вы якобы давали согласие, будете не вы, а магазин или банк.

Свежий пример. В Златоусте некая жилконтора передала все данные по должникам коммунальных услуг вышибалам-коллекторам. Суд городской, потом и областной, признал передачу незаконной.

— Что относится к персональным данным?

— Все, что может помочь идентифицировать вашу личность: фамилия, имя, телефон, адрес, уровень дохода, пол и так далее. Обратили внимание, например, что Уралсвязьинформ присылает теперь счета в конвертах? Щепетильный метод неразглашения чужих данных.

— Как расценивается факт вывешивания фамилий должников за коммунальные услуги на дверях подъездов?

— Явное нарушение закона. Они пытаются включить некий воспитательный механизм, а кто им это позволил? Есть у них некое ограниченное количество законных методов воздействия на должника, вот и пользуйтесь ими. Пусть в суд обращаются.

— Как быть, когда пытаются утаить от СМИ фамилии чиновников, совершивших должностные преступления, либо других правонарушителей и при этом ссылаются на закон о персональных данных?

— Надо внимательнее читать. Там расшифровывается: «в соответствии с Административным и Уголовным кодексом информация о правонарушении не является конфиденциальной». Представьте, какого воспитательного эффекта мы бы лишились, если бы закрыли всю информацию о преступлениях. Без огласки воспитательная функция невозможна.

— Юристы некоторых СМИ побаиваются закона о персонализации: непонятно, как строить защиту, если для судьи аргументом является тот довод, что в законе ни слова не сказано о распространении данных. Получается, журналисты тоже постоянно нарушают закон?

— Нет, не нарушают. В законе идет речь об обработке персональных данных, а она расшифровывается как любые действия с ними — накопление, хранение, передача и распространение. Просто не все знают положения закона. Он действует только два года, и по России пока нет громких прецедентов за его нарушение. Хотя в нашей практике уже есть примеры, почему не стоит баловаться с его неправильным использованием. Абонент нам пожаловался: при заключении договора с компанией «Евросеть» у него затребовали ксерокопию паспорта. Данные паспорта, да, пожалуйста, но все остальное он не хотел бы афишировать. Мы объяснили сотрудникам «Евросети», что они нарушили принцип достаточности и должны прекратить такую деятельность. Прекратили.

Этим законом пренебрегают в Интернете, когда заставляют в каких-либо социальных сетях заполнять графы в анкете, помеченные красной обязательной звездочкой, не объясняя, для чего собирают информацию и не гарантируя ее конфиденциальность.

— Вы проверили около десятка различных контор на предмет защиты персональных данных. Что обнаружили?

— С резким противодействием мы не сталкиваемся. В компьютер сразу не лезем, как ФСТЭК например. Спрашиваем, знают ли о таком законе. Объясняем, если не знают. Смотрим договоры с абонентами: например, у сотового оператора есть ли согласие клиента на обработку его личных данных. Далее смотрим, какой персонал допущен к служебной базе, делаем замечания.

Труднее всего приходится с турагентствами: они собирают информацию не только в рамках договора, но и базы хранят, потом прозванивают. Удивительно то, что персонал не осведомлен об ответственности за утечку информации. Доступ к служебной информации должны иметь только избранные, которые должны знать: утечка данных чревата служебным расследованием и неприятными последствиями для виновников. Все лишние USB-порты на машинах должны быть надежно закрыты от проникновения как своих, так и чужих.

— Любые базы данных можно спокойно купить на рынке: в Челябинске на толкучке у радиозавода. Получается, закон не работает?

— Я там месяц назад был, да, продают. Мало того, продают устаревшие базы данных. Воруют обычно свои же сотрудники, а не хакеры со стороны. Привлечь напрямую мы их не можем: надо, чтобы к нам обратился гражданин, пострадавший от их действий, пришел с диском, написал заявление, и мы потом будем ходить с ним по судам, отстаивать его интересы и привлекать к ответственности продавцов чужих персональных данных.

Но, думаю, такая продажа — явление временное, вызванное недостаточной популяризацией закона. Скоро все станет на свои места, как в европейских странах. С января 2010 года начнут действовать требования ФСТЭК, которые они уже разработали, к информационным системам, хранящим конфиденциальную информацию. То есть любой компьютер должен быть оборудован надежной системой защиты от кражи персональных данных.

— И начнутся повальные проверки компьютеров как физических, так и юридических лиц…

— Все будет в рамках закона. Никто к вам в дом не вломится без законных на то оснований. Желаете вы или нет, но ФСТЭК и ФСБ будут отслеживать в своем режиме за установкой систем защиты там, где нужно и правомерно. Акцент — на разъяснительно-воспитательную работу.