Что такое персональные данные и какими они бывают
Определение термина дается в федеральном законе «О персональных данных». Читаем: «персональные данные – это любая информация, относящаяся прямо или косвенно к определенному или определяемому физическому лицу». Если перевести эту формулировку на житейский язык, персональные данные – это совершенно любая информация, по которой можно распознать конкретного человека. Например, Ф.И.О и номер телефона в совокупности представляют собой персональные данные, потому что, сопоставив их, можно понять, что вы – это вы.
Казалось бы, ситуация предельно ясна. Однако в судебной практике применяется не столь однозначный подход. Приведем два примера. Ситуация первая: гражданину без его согласия поступали многочисленные звонки из коллекторской компании. Коллекторы звонили, руководствуясь исключительно этим набором цифр и не имея иных данных о своем собеседнике. Суд усмотрел в этом нарушение закона о персональных данных. Ситуация вторая: гражданин посчитал, что коммерческая компания незаконно подписывала инженерные проекты фамилией и инициалами, которые совпадали с его собственными, в то время как он лично к этим проектам отношения не имел. По мнению гражданина, это вредило его репутации. Однако поддержки в суде он не нашел: как указал Вологодский областной суд, без дополнительной информации о лице, разработавшем и подписавшем указанные проекты (например, полного имени и отчества, даты рождения, должности), невозможно определить его как субъекта этих персональных данных, поэтому в данном случае нарушения законодательства не произошло.
То есть, персональными данными можно признать информацию практически любого рода, но ее отличительный признак – предоставление возможности идентифицировать конкретного человека.
Существует много разновидностей персональных данных. Например, «Васильев Василий Васильевич, 29.07.1998 г. рождения, проживающий по адресу: г. Москва, Н-ая улица, д. 5» – это персональные данные. К подобной категории данных также относят номера телефонов, логины и пароли и т.д.
Если указать, что данный человек исповедует христианство и придерживается консервативных политических взглядов, то это будет примером специальной категории персональных данных. Она указывает на расовую и национальную принадлежность, политические взгляды, религиозные и философские убеждения, состояние здоровья и т.д.
Если Василий Васильевич предоставит свои отпечатки пальцев и код ДНК, то это будет примером биометрических персональных данных. Они уникальны, неповторимы, заложены в нас природой от рождения. Вопрос сбора, хранения и обработки столь «чувствительной» категории данных вызывает множество дискуссий.
Биометрические персональные данные представляют собой сведения, характеризующие физиологические и биологические свойства человека, по которым можно установить его личность.
Биометрия уже активно задействуется в различных сферах нашей жизни: при выдаче загранпаспортов, дактилоскопической регистрации иностранцев и граждан России, оформлении виз в упрощенном порядке и т.д. С их применением мы встречаемся и в более будничных ситуациях: например, фитнес-клубы для идентификации клиентов часто используют в пропускных системах изображения лиц или отпечатки пальцев. Пользуясь теми же данными, мы можем самостоятельно настроить разблокировку смартфона, и т.д.
Удивительно, но в современных реалиях даже биометрические данные не являются полностью достоверным вариантом идентификации личности. Приведем интересный пример: на Международном хакерском конгрессе в Германии Ян Крисслер, известный как Starbug, показал, как можно легко подделать отпечатки пальцев по фотографиям. Ему удалось создать рабочий макет подушечки пальца Урсулы фон дер Ляйен (тогда – министра обороны Германии) по нескольким фотографиям политика. Так что наиболее точно идентифицировать человека сегодня возможно только по совокупности целого ряда категорий персональных данных.
В связи с молниеносным развитием технологий появляются и совсем новые виды персональных данных. Особый интерес вызывают cookies, согласие на обработку которых так «назойливо» просят многие российские и зарубежные сайты. На самом деле они таким образом выполняют требования законодательства.
Cookies – небольшие записи (фрагменты данных), которые отправляются веб-сервером и хранятся в браузере пользователя.
У файлов cookie есть ограничения домена: если вы зайдете на нужный вам сайт через поисковую систему, он не получит cookies, которые были присвоены поисковиком. Но на самом сайте в cookie-файлы будет записываться информация о видах вашей активности: во сколько и с какого устройства была открыта интернет-страница, какие передвижения по сайту вы совершили, какими продуктами интересовались, в каком городе находитесь и т.д.
Технологию cookies используют для различных целей. Среди них есть вполне безобидные – обеспечивающие функционирование сайта и удобство пользователей. Другие виды cookies используются для сбора различных характеристик (предпочтений пользователей, статистики посещений сайта). Cookies бывают временными и постоянными: первые удаляются сразу после того, как вы покидаете страницу, вторые хранятся дольше. Постоянные cookie-файлы изначально были призваны упростить работу с сайтом – например, сохранить в корзине подобранные, но не оплаченные товары, избавить от необходимости авторизации при каждом заходе на сайт и т.д. Позже cookies стали использоваться для настройки таргетированной рекламы. Отметим, что использование временных и постоянных cookies законно, и их можно удалять – для этого нужно открыть раздел с настройками конфиденциальности в вашем браузере.
Также существуют виды cookies, нарушающие приватность и отслеживающие путь пользователя по сайтам и приложениям, IP-адреса и пр. Эти данные могут использоваться мошенниками, которые смогут получить доступ к вашей личной информации, логину и паролю, настроить спам-рассылку рекламы и т.д.
Ограничить сбор информации о себе можно с помощью изменения настроек браузера. Кроме того, некоторые антивирусные программы позволяют ограничить показ рекламных баннеров и сбор данных с помощью программ вэб-аналитики.
Режим инкогнито и VPN – «гарантии безопасности»?
Возникает вопрос: как же ограничить мониторинг вашей активности в цифровом пространстве со стороны сайтов, рекламодателей и злоумышленников? Многие считают, что режим инкогнито защитит их от вредоносного ПО, попыток взлома, мошенничества и кражи данных (например, платежной информации или паролей), поскольку эти сведения не сохраняются. Увы, это не так.
Режимы конфиденциального просмотра действительно ограничивают сбор данных о вашей активности: например, браузер не будет записывать и сохранять историю просмотров, cookie-файлы. Однако интернет-провайдер все равно будет использовать ваш IP-адрес, и он будет оставаться доступным. То есть, вашу активность в интернете можно будет обнаружить.
Совсем недавно программные ошибки и даже установка расширений браузера становились причиной утечек данных об истории поиска и посещений в режиме «инкогнито».
Еще один широко известный способ защиты конфиденциальности данных – использование VPN. Этот вопрос настолько обширен, что ему можно посвятить отдельную статью. В рамках обсуждаемой темы стоит упомянуть, что виртуальная частная сеть (от англ. virtual private network) маскирует IP-адрес, зашифровывает интернет-трафик и личные онлайн-данные.
Однако даже в этом случае ваше устройство не будет «по умолчанию» защищено от вредоносного и шпионского ПО, вирусов, ботов, кражи данных, поддельных сайтов. В целях безопасности следует с большой осторожностью относиться к подбору VPN, не скачивать первую попавшуюся программу, поддавшись на «заманчивое предложение», и пользоваться только теми VPN, которые выполняют требования российского законодательства.
Обработка персональных данных
Перейдем к более практическим вопросам. Мы достаточно часто слышим словосочетания «обработка персональных данных», «согласие на обработку персональных данных». Эти формулировки могут казаться скучными или странными, но, тем не менее, они очень важны.
Обработка персональных данных представляет собой любое действие с ними, в том числе сбор, хранение и непосредственно обработку. С такими процессами мы сталкиваемся ежедневно и порой не придаем им значения. Так, покупатель, приобретая товар через интернет, передает сайту свои данные (указывает ФИО, адрес, телефон), которые сохраняются в электронной базе.
Владелец сайта, в свою очередь, осуществляет сбор и начинает хранение персональных данных покупателя.
Главное условие обработки персональных данных – это наше согласие.
Без него обработка осуществляться не должна, и это очень важный момент. Согласие должно быть оформлено должным образом. Есть два пути: оформление письменного согласия или получение его иным способом – например, через проставление галочки при регистрации на сайте (и довольно часто мы проставляем их, не задумываясь, а затем возмущаемся многочисленной навязчивой рекламе). Но последствия безответственного отношения к персональным данным могут быть гораздо серьезнее «завала» почты спам-сообщениями.
2020 год был особенно богат на масштабные инциденты в сфере кибербезопасности. Было взломано более 737 миллионов файлов. Самая большая утечка произошла в косметической компании Estee Lauder, где 440 миллионов записей «утекли» в руки к хакерам. В файлах содержалось неопределенное количество адресов электронной почты клиентов, хранившихся в виде простого текста.
Похищенные данные преступники выгрузили на открытых ресурсах, и вся не защищенная паролем база данных была обнаружена в конце января исследователем безопасности Джереми Фаулером. Расследование инцидента продолжается до сих пор.
1 февраля 2020 года в сети были обнаружены данные клиентов одного из брокеров, который собирает заявки, помогает выбрать и получить заем в банке. База содержала более 44 тысяч записей. В каждой были указаны инициалы клиента, сумма и вид запрашиваемого кредита, номер телефона, адрес и регион проживания.
Подобные утечки персональных данных, к сожалению, не редкость, и, как правило, носят масштабный характер. Они могут быть вызваны не только субъективными факторами (хакерские атаки, корыстные цели персонала, небрежность сотрудников), но и объективными (например, техническим сбоем).
Чем же могут быть чреваты подобные утечки? Если детально разобраться в проблеме, то последствия таких ситуаций могут быть колоссальными. Заполучив персональные данные человека, злоумышленник может получить доступ к средствам на банковских картах, взять кредиты на чужое имя. Самое неприятное, что до тех пор, пока лицо не признают жертвой мошенничества, все долги по кредитам будут взыскивать именно с пострадавшего. После получения доступа к персональным данным возможно совершение незаконных манипуляций с недвижимостью, перевод долгов, открытие «фирм-однодневок» и так далее.
Утечка может привести к созданию злоумышленниками вашей фейковой страницы, с помощью которой они могут разрушить вашу жизнь, обмануть ваших родных, друзей и знакомых. Ваши персональные данные могут стать «оружием» в руках лиц, осуществляющих кибербуллинг или кибергруминг.
Список возможных последствий можно продолжать еще долго, главное – подключить воображение. В XXI веке информация – это сила, которая требует ответственного подхода.
Что делать в случае утечки персональных данных
Защититься от незаконной обработки персональных данных в настоящее время возможно. Сознательные граждане активно защищают свои права, обнаружив утечку личной информации. Приведем лишь несколько кейсов.
Интересный случай произошел во Владивостоке. Его житель смог взыскать 10 тысяч рублей с Пенсионного фонда России за то, что сотрудники разместили на стенде в качестве образца заявления о выдаче дубликата страхового свидетельства заполненный документ с указанием персональных данных этого гражданина: ФИО, даты рождения, адреса, паспортных данных и СНИЛС. А житель Республики Башкортостан обнаружил, что юрист, представлявший его интересы в деле о смерти сестры, разместил персональные данные умершей (фамилию, инициалы и дату смерти) в составе рекламы своих услуг в интернете. Поскольку брат не давал на это согласия, суд взыскал в его пользу 7 тысяч рублей. Такие активные действия по защите своих прав – хороший пример.
Команда МЦО рекомендует ответственно относиться к своим персональным данным. Их размещение на сомнительных сайтах и платформах сети «интернет» может обернуться для вас весьма трагично, поэтому стоит научиться ограничивать круг предоставляемой личной информации. Уже совсем скоро мы начнем подробно прорабатывать тему персональных данных с нашими экспертами, чтобы создать для вас интерактивные мастер-классы.
А пока для можем дать вам несколько простых рекомендаций, которые снизят риски утечек:
- устанавливайте надежные пароли,
- периодически удаляйте файлы Cookie,
- выходите из социальных сетей при просмотре веб-страниц,
- используйте приватный просмотр или режим «инкогнито»,
- проверяйте официальный характер сайтов.
Если нарушение в области персональных данных все же произошло, необходимо сохранить доказательства – например, сделать скриншоты.
В таком случае самым надежным вариантом сохранения доказательств будет обеспечение их нотариусом. Затем для пресечения нарушения ваших прав обратитесь к администратору сайта или в правоохранительные органы с просьбой об удалении информации. Если распространение ваших персональных данных привело к серьезным последствиям (например, причинен ущерб чести или достоинству), необходимо обратиться в суд с соответствующим иском.
Следите за нашими публикациями и будьте в безопасности.
Автор — Молодежный цифровой омбудсмен.
