Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор, РКН) выступила с инициативой отказаться от массового сбора согласий граждан на обработку их персональных данных (ПДн) и заменить его на отраслевые стандарты обработки информации. Стандарты будут разработаны, а для разных сфер деятельности установлен свой перечень необходимых сведений. Свои предложения РКН уже направил в Правительство для включения во второй пакет мер по борьбе с мошенничеством. Председатель комиссии по финансовой безопасности рынков Совета Торгово-промышленной палаты РФ Тимур АИТОВ комментирует инициативы РКН специально для Национального банковского журнала (NBJ).

NBJ: Как помогут инициативы и новые стандарты РКН бороться банкам с мошенничеством – какая здесь связь?

Т. АИТОВ: Прямой связи с мошенничеством нет, но, вот, полностью отказываться от сбора согласий граждан, на мой взгляд, точно не следует: зачем столько лет 152-ФЗ мы обсуждали, столько лет вырабатывали понимание бизнесом важного процесса защиты персональных данных…

NBJ: Но, может, действительно устарели все эти бумаги? У нас же сегодня всё в цифре, и уже никто всерьёз эти «согласия» не воспринимает…

Т. АИТОВ: «Согласие» действительно не защищает. Основная цель его – снять ответственность с любого оператора персональных данных (ОПД). Бумага – это своего рода «соломка», которую ОПД подстелил, чтобы ответить в случае утечки: «А вы же мне разрешили». РКН обещал сделать еще и общий реестр этих «согласий» на обработку ПДн и разместить на «Госуслугах», но не сделал. Раз «согласий» нет, то и реестр делать теперь не нужно.

NBJ: Какие основные проблемы в сфере ПДн вы бы выделили? Например, что именно считать ПДн? Депутаты высказывают порой самые разные суждения…

Т. АИТОВ: С определениями всегда была беда – не только у депутатов. Проблема возникла ещё при описании возможностей цифрового рубля – до сих по, ведь, нет у него определения, кроме того, что это некая новая, третья форма денег. Нигде в законах определения нет, что именно считать цифровым рублём. Почему так? Любой термин существует не сам по себе – он описывает какой-то объект в более общей концепции с тем, чтобы можно было строить теорию дальше, опираясь именно на это определение. Поскольку общей теории ПДн нет, каждый волен давать определение, исходя из собственного представления о том, что такое персональные данные.

NBJ: Можно считать, что ПДн – это информация, относящаяся к физическому лицу – это понятно. Его ФИО, домашний адрес, телефон, более специальные персональные данные (сведения о здоровье), биометрические (ДНК, отпечатки пальцев) и иные данные индивидуума (его фотографии и даже IP-адрес, если он связан с конкретным человеком). А вот, скажем, вес или рост? Это тоже персональные данные?

Т. АИТОВ: Да, рост и вес являются персональными данными, поскольку характеризуют физиологические особенности человека. Если эти данные используются для идентификации личности (например, в совокупности с именем или фотографией), они считаются биометрическими ПДн, что влечёт за собой более строгие требования к их обработке, такие как письменное согласие.

Однако в некоторых случаях, например, когда рост и вес нужны только для подбора одежды работнику, они относятся к персональным данным, но не к биометрическим. Отмечу, были прецеденты, когда суд не признал ПДн телефон и адрес электронной почты, потому что рядом с ними не было ФИО владельца.

NBJ: Каким образом должны быть организованы регламенты сбора ПДн  с учетом требований 152 ФЗ,  если «согласия» действительно устарели?  

Т. АИТОВ: На мой взгляд, более правльным будет всякий раз при сборе ПДн  оформлять не бумажку-«согласие», а контракт, в котором чётко прописать: кто собирает эти данные (какой банк), как будет хранить, как будет защищать и, что ещё важнее, — как он уничтожит собранные данные, если они будут ему больше не нужны.

Именно эти положения и содержатся в требованиях 152-ФЗ. Никакая нынешняя «бумажка» не содержит ответов на вопросы этого списка. Считаю, что сбор бумажек-согласий правильно заменить на персональные договоры с клиентами, которые бы фиксировали правовую ответственность банка как ОПД на всех этапах обработки ПДн.

Возможно, это будет не отдельный договор на обработку персональных данных (его всё равно мало кто читает), а договор присоединения к типовому договору об обработке ПДн.

NBJ: И вместо одного листочка банковским клиентам придется предлагать подписать четыре страницы. И пойдут привычные жалобы на банки – опять мелким шрифтом вставили не понятно что в мой контракт?

Т. АИТОВ: Клиенты, которые не контролируют и не читают, что они подписывают, потом также переводят свои деньги на «безопасный счёт» или снимают их в банкомате по «сигналам МВД». Напомню, и банки, и Ассоциация развития финансовой грамотности (АРФГ), созданная под эгидой ЦБ РФ, и профильные ассоциации постоянно ведут разъяснительную работу в этом направлении — учат не подписывать всё подряд. И прогресс есть.

NBJ: Не получается ли так, что нынешнее предложение РКН с будущими «отраслевыми» стандартами отбирает у граждан возможность выбора? Вроде, не такой был замысел 152-ФЗ?

Т. АИТОВ: Если пройдёт новое предложение РКН, то любой ОПД и не только банки, будут ограничены исключительно отраслевым стандартом (которого тоже пока нет). РКН его только планирует создать. Защита ПДн останется, но ПДн можно будет собирать и использовать без ведома клиента. В этом, я считаю, ключевой замысел концепции РКН.

Хотя, возможно, было бы правильнее, если стандарты будут не ВМЕСТО согласия, а ВМЕСТЕ с ним. Это сразу переведет существующий 152-ФЗ на новый уровень детализации: например, отсечет избыточный сбор ПДн разными мелкими ОПД. Тогда новации РКН действительно помогут бороться с мошенниками. Не секрет, что общества с ограниченной ответственностью (ООО) весомые источники утечек ПДн. 

Инициативу РКН о стандартах, конечно, следует одобрить, хотя задача эта непростая и гораздо сложнее, чем просто сделать реестр «согласий» граждан.

И РКН придётся как и раньше собирать представителей медиа-бизнеса, банкиров и слушать их мнения  о том, что именно является стандартом ПДн для той или иной отрасли.

NBJ: Если говорить о проблеме сохранности ПДн в целом: кто-нибудь делал самый общий анализ того, на что сегодня дают «согласие», что реально утекает, что используется, а что уничтожается?

Т. АИТОВ: Наверное, кто-то тихо и делал, когда писал диссертацию.

Собрать статистические данные непросто, особенно в части уничтожения ПДн: например, банки сразу честно заявили, что ничего «стирать» не будут. Думаю, и другие ОПД мало что стирают, но привычно помалкивают. Что касается мошенников, то они пользуются тем, что давно и многократно украдено.

Кроме банкиров, ещё важные потребители ПДн находятся в рекламном бизнесе — там пользуются метаданными, тегами, статистикой и прочим, это также важная проблема, поэтому и противников регулирования оказывается много, и они гораздо богаче сторонников.

Необходим анализ проблемы с оценкой реального рынка персональных данных, кто чем пользуется, на что влияют согласия и т.д. Эти данные РКН, видимо, предоставит, когда направит свои идеи в Правительство и потом ещё и в Госдуму. Полагаю, правильнее было бы все новые идеи предварительно прокрутить в регуляторных «песочницах».

Много на рынке и небольших компаний, которые не заинтересованы ни в каких штрафах и никаком контроле — эти компании небольшие, но их миллионы. Что творится с персональными данными в них – не известно. Регулятора по защите клиентских баз данных в нашей стране не существует. Наверно, когда-то он появится. Но спасёт ли это ситуацию и утечки действительно начнут уменьшаться – мне неизвестно.

Этот факт тоже, думаю, нужно отразить в предложениях РКН в Правительство.

NBJ: А сам РКН? Он что, за этими ООО не следит — за этими миллионами компаний?

Т. АИТОВ: РКН — надзорный орган, отвечающий только за соблюдение общего законодательства и защиту прав граждан. РКН ведёт реестр операторов, обрабатывающих персональные данные. Защищает права субъектов персональных данных, реагирует на обращения граждан и представляет их интересы в суде. Осуществляет проверки организационных мер защиты. Все.

NBJ: Что бы вы подсказали еще РКН включить в новые инициативы?

Т. АИТОВ: При работе с ОПД разумно учитывать их объёмы — в Китае ОПД, обрабатывающие 100 000+ человек, должны пройти особую сертификацию у уполномоченных организаций. Особые требования к сертификации применяются для чувствительных данных (медицинские, биометрические) даже при меньшем объёме обработки. Физические лица имеют право на доступ, исправление, удаление, отзыв согласия и переносимость данных.

Ещё бы добавил, что нужно подумать над механизмами безусловного возмещения операторами ОПД вреда, нанесенного субъектам ПДн в результате конкретной утечки. Самим пострадавшим сегодня чаще всего предлагают самостоятельно подавать иски в суд с требованием о компенсации вреда.