Как интернет узнает ваши телефоны и адреса. Что не так с хранением персональных данных

В законе "О персональных данных", принятом в 2006 году, объясняется, что это "любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных)". 

Проще: к ним относятся все данные, указанные в ваших документах: ФИО, дата и место рождения, адрес, семейное положение, данные об образовании, состоянии здоровья и профессии. 

А также биометрические данные — отпечатки пальцев, скан сетчатки глаза. Данные, написанные на вашей банковской карте, — тоже. И даже то, что открыто указано в вашем профиле в любой соцсети.

Утечки — это действительно большая проблема. С каждым годом их становится больше.

В первом полугодии прошлого года в мире произошло 1039 утечек конфиденциальной информации, что на 12% больше, чем в первой половине 2017 года, по данным аналитического центра InfoWatch.

В результате скомпрометировано 2,39 млрд записей персональных и платежных данных — это номера социального страхования, реквизиты пластиковых карт. 21 случай относится к мегаутечкам: в результате каждой из них "утекло" более 10 млн записей.

По-разному.

За данными охотятся хакеры — они могут использовать программы-вымогатели и взламывать корпоративную почту. Но информация может стать общедоступной случайно, по халатности или по злому умыслу сотрудника.

Исследователи безопасности — те, кто ищет уязвимости в системах защиты, — почти каждый день сообщают о незащищенных облачных серверах.

"Зачастую технические специалисты забывают закрыть свободный доступ к хранилищам, компрометируют их из-за неверных настроек при организации совместной работы", — говорится в отчете InfoWatch.

Обычно эти базы продают в даркнете ("темный", нелегальный интернет — это часть интернета, работающая по своим протоколам и алгоритмам для достижения максимальной анонимности). 

Чтобы вы понимали, о каких суммах идет речь: в 2018 году на одном из форумов за 8 биткойнов (цена одного биткойна сейчас — 418,1 тыс. рублей) продавали сведения о 70 млн пользователей Telegram.

Самое безобидное, что можно сделать с вашими данными, — продать компаниям, которые станут звонить и предлагать товары и услуги. А если злоумышленники получили платежные данные — они могут увести с вашего счета деньги. 

Иногда персональные данные могут обнародовать just for fun. В 2017 году произошла утечка данных актеров "Игры престолов". Хакеры выложили в общий доступ их номера телефонов, домашние адреса и электронную почту. Другие пользователи временно завладели аккаунтами продюсерской медиакомпании. 

Это не поможет.

Только в 2018 году от утечек данных пострадали ЦРУ, ФБР, министерства обороны США, Великобритании, Международный олимпийский комитет, Народный банк Китая, говорится в отчете InfoWatch.

Сообщалось о компрометации данных пользователей BitTorrent, GitHub, Skype, Tinder, WhatsApp, YouTube.

Из чего следует вывод, что неуязвимых систем нет. Все, что вы можете сделать для своей безопасности, — это выполнять правила кибергигиены. Здесь можно почитать о том, как часто менять пароли, где их хранить, что нельзя разрешать приложениям. "Но не всякую утечку можно предотвратить со стороны пользователя, — уточняет Герман Наместников,  специалист в области информационной безопасности. — Многие из них происходят по вине компаний, не обеспечивающих достаточную защищенность данных. Но минимизировать риск можно, следуя приведенным таким советам".

Для компаний, которые допустили утечку, есть штрафы.

Если российская компания допустила утечку в результате хакерской атаки, на нее могут наложить административный штраф в соответствии со ст. 13.11 КОАП "Нарушение законодательства РФ в области персональных данных".

"Размеры штрафов — от 4 тыс. до 10 тыс. рублей для должностных лиц, от 10 тыс. до 20 тыс. рублей для индивидуальных предпринимателей, от 25 тыс. до 50 тыс. рублей для юридических лиц, — разъясняет Ашот Оганесян, основатель компании DeviceLock. — Но на практике в России контролируется скорее формальная сторона — наличие регламентов и прочих документов, и если они в порядке, компании ничего не грозит в случае утечки".

И кстати, наказание для российских и европейских компаний сильно различается. Это, правда, только пока. Есть тенденция: во всем мире требования к охране персональных данных становятся строже.

"С мая 2018 года в Евросоюзе действует жесткий регламент обработки персональных данных (GDPR), — продолжает Оганесян. — Там и требования к защите данных сформулированы однозначно, и штрафы — до 4% общемировой выручки компании. GDPR только начинает действовать — ведомства, ответственные за его соблюдение, набираются опыта, приводится в соответствие местное законодательство — до совершенства новой норме еще далеко".

Для хакеров предусмотрены санкции в Уголовном кодексе РФ.

Если персональные данные, входящие в базу, охранялись как коммерческая тайна и были похищены продавцами левых баз данных, то они должны отвечать по ст. 183 УК РФ "Незаконные получение и разглашение сведений, составляющих коммерческую, налоговую или банковскую тайну", добавляет Станислав Мачихин, начальник юридического департамента SearchInform. Максимальное наказание — лишение свободы на срок до семи лет.

"И не стоит забывать про ст. 137 УК РФ, которая запрещает незаконный сбор или распространение сведений о частной жизни лица, составляющих его личную или семейную тайну, без его согласия", — уточняет Мачихин.

Базу с вашими контактами могли купить на черном рынке. Или легально взять у компании, которой вы разрешили обрабатывать ваши данные при получении карты клиента или регистрации на сайте. Возможно, подписывая договор, вы разрешили не только обрабатывать, но и передавать ваши контакты третьим лицам.

Вы, кстати, можете отозвать согласие на обработку персональных данных у любой компании. Правда, не факт, что у вас получится остановить навязчивые звонки и SMS. Одна компания может передавать сведения о вас не только двум-трем партнерам, а десяткам подрядчиков. К тому же оператор имеет право использовать их минимум, пока не закончился срок договора. Почитать об этом подробнее можно в нашем эксперименте (три редактора ТАСС разбирались, что компании делают с их данными).

"Мы за один день можем передать свои персональные данные для обработки нескольким компаниям, — говорит Олег Черкасов, ведущий юрист Европейской юридической службы. — Установить, кто допустил утечку, почти нереально".

Но в случае, если ваши данные незаконно передали и вы каким-то образом смогли установить этот факт, виновных накажут штрафами по ст. 13.14 КоАП РФ. Штрафы — до 50 тыс. рублей для юрлиц. А если клиентскую базу продали менеджеры, им грозит штраф до 5 тыс. рублей.

"Для оператора могут наступить и последствия гражданско-правового характера, — добавляет Черкасов. — Человек, который считает, что его права были нарушены, может предъявить требования компенсации морального вреда, имущественного ущерба и убытков".

В ближайшие два-три года, согласно плану госпрограммы "Цифровая экономика", произойдут реформы.

Для примера: сейчас вы можете не знать, что сведения о вас "утекли", скажем, из банка в результате кибератаки. Банк не обязан вам сообщать об этом. Хотя вы можете запросить в индивидуальном порядке информацию: что происходило с вашими персональными данными, которые вы разрешили обрабатывать, все ли с ними в порядке. Но, как говорилось выше, трудно вспомнить, где вы вообще оставляли свои контакты.

Предполагается, что появятся удобные сервисы, с помощью которых вы сможете быстро проверить: у кого есть информация о вас, как ее используют, куда ее передавали. Там же вы сможете отозвать разрешение на обработку своих данных. Эксперты, правда, признают, что эти реформы крайне сложны в воплощении с технической стороны.