— Персональные данные сегодня нередко «всплывают» в интернете. Как Роскомнадзор с этим борется?
— По искам Федеральной службы судами к сегодняшнему дню закрыт 22 интернет-сайта, где были размещены такие сведения. Вроде, и немного, но ведь нельзя дом построить за день. Мы нарабатываем практический опыт. Есть сложности с тем, как разбирают такие дела разные суды, иногда возникает недопонимание при взаимодействии с прокуратурой.
— Имела ли продолжение нашумевшая летом история с «Яндексом», которыйиндексировал SMS абонентов «Мегафона»?
— Напомню, что по этому случаю в действиях ОАО «МегаФон» нарушений законодательства в области персональных данных выявлено не было, поскольку тексты не позволяли идентифицировать их отправителя.
Были установлены факты нарушения законодательства в области связи в части обеспечения соблюдения тайны связи. «Мегафон» был оштрафован по исковому заявлению Роскомнадзора за нарушение лицензионных условий деятельности на 30 тыс. рублей. Оператор, правда, обжаловал решение, и рассмотрение этой жалобы назначено на 26 октября.
— В свободном доступе летом обнаружились и сведения о покупателях интернет-магазинов. Какие меры приняты Роскомнадзором?
— Несмотря на отсутствие жалоб со стороны этих покупателей, Роскомнадзор установил более 80 интернет-магазинов, информация о клиентах которых попала в открытый доступ. Мы определили 15 интернет-магазинов, которые предоставили доступ к наиболее широкому перечню сведений о покупателях, и направили документы в органы прокуратуры. На сегодняшний день дела об административном правонарушении возбуждены в отношении владельцев шести сайтов.
— Уже скоро зима, а дела возбуждены лишь в шести случаях. Почему так мало?
— Вы затронули одну из проблем надзорной деятельности в сфере персональных данных, которая ждет своего решения. Дело в том, что установленный срок для привлечения к административной ответственности по статье 13.11 КоАП РФ — три месяца. Дела по этой статье имеют право возбуждать только органы прокуратуры, которые зачастую перегружены и не всегда могут во время рассмотреть наши документы.
— Можно ли как-то изменить эту ситуацию?
— Анализируя ее, мы вышли в Госдуму с инициативой по внесению изменений в законодательство. Суть инициативы в том, чтобы полномочия по возбуждению дел в области нарушений закона «О персональных данных» передать Роскомнадзору. Принятие поправок, рассмотрение которых должно состояться уже этой осенью, позволит существенно сократить время возбуждения и передачи в суды административных дел. Но главное, что будет соблюден принцип неотвратимости наказания.
— Считаете ли вы, что наказания, предусмотренные за нарушение закона о защите персональных данных, недостаточно жесткие?
— Мы выдвинули законодательную инициативу, согласно которой, ответственность за нарушения закона об охране персональных данных будет ужесточена. Я уверен, что ужесточение ответственности повысит защищенность данных. Сейчас максимальный штраф в отношении юридического лица — 10 тысяч рублей, а суды обычно выписывают всего 3-5 тысяч рублей за нарушение.
Кроме того, я считаю, что ответственность должна быть дифференцирована в зависимости от степени вреда. Разумеется, должны быть разработаны и четкие критерии, которые позволят степень вреда определить. Пока никакой градации нарушений у нас нет, но насколько я знаю, наша идея с дифференциацией ответственности находит поддержку и в Госдуме.
Мы хотим, чтобы штрафы соотносились с единоразовыми затратами операторов персональных данных на организацию адекватной защиты. Оператор должен понимать, что единожды потратив деньги на необходимые организационно-технические мероприятия, он, во-первых, будет избавлен от многих проблем с защитой персональных данных, а во-вторых, избежит штрафов, которые могут самым негативным образом сказаться на результатах деятельности его организации, а где-то — и на устойчивости бизнеса.
— Много ли вообще Роскомнадзор выявил нарушений в области защиты персональных данных?
— С 2008 года Роскомнадзор провел более 3 тысяч проверок в отношении операторов, осуществляющих обработку персональных данных, выдано более 4 тысяч предписаний об устранении нарушений, составлено и направлено на рассмотрение в суды 6,5 тысячи протоколов об административных правонарушениях. Суммарно все нарушители оштрафованы на сумму свыше 10,8 миллиона рублей.
— Как же все же добиться того, чтобы персональные данные не оказывались в свободном доступе в интернете? Или хотя бы минимизировать риски?
— Проблема неприкосновенности частной жизни в интернете будет существовать до тех пор, пока граждане будут продолжать доверять ресурсам сомнительного происхождения. В свою очередь, операторы для минимизации риска и сокращения расходов на защиту должны обезличивать обрабатываемые персональные данные.
— Вернемся в офлайн, в реальную жизнь. Нередко при входе, например, в бизнес-центры у нас требуют паспорт, часто — снимают его копию. Законно ли это?
— Требование предъявить документы не является незаконным. Но если у вас попросили документ и внесли ваши данные при посещении других организаций, эти данные должны быть удалены после вашего ухода.
— А как люди могут это проконтролировать?
— В соответствии с законом «О персональных данных» у каждого гражданина есть право обратиться к оператору, осуществляющему обработку персональных данных, и запросить у него перечень обрабатываемых персональных данных, цели их обработки и сроки хранения. В этом смысле охранное предприятие — тоже оператор персональных данных.
По закону оператор, в свою очередь, обязан, в том числе, отвечать на запросы граждан. Если обращение в ЧОП вам не помогает, вы можете обратиться в Роскомнадзор, и если мы выявим нарушение, предприятие будет привлечено к ответственности.
— По все тому же закону бюджетные и часто далеко не богатые организации, такие как поликлиники, детские сады, школы должны будут тоже позаботиться о защите персональных данных. Действительно ли у них найдутся средства для обеспечения такой защиты?
— Новая редакция закона «О персональных данных», которая вступила в силу с 1 июля, установила более гибкие подходы к обеспечению безопасности обрабатываемых персональных данных. Сейчас каждая организация сама определяет модели угроз для себя и самостоятельно определяет набор организационно-технических мер, которые эти угрозы парируют.
Вместе с тем, закон действует с 2007 года, и руководители должны были все эти расходы заранее спланировать. Для государственных предприятий есть программа «Информационное общество», выделены расходы на информатизацию…. Пожалуйста, закладывайте эти расходы, регистрируйте свои информационные системы в реестре федеральных государственных информационных систем и получайте на их развитие и поддержку государственное финансирование.
Снижению издержек может способствовать и привлечение сторонней организации, которая займется обработкой персональных данных. Сейчас закон это допускает.
— Международная конференция по защите персональных данных, инициатором которой стал Роскомнадзор, проводится второй год подряд, и означает ли это, что она оказалась востребованной у специалистов разных стран?
— Убежден, что да. Об этом можно судить хотя бы по количеству участников 2-й конференции, в том числе из-за рубежа. В прошлом году на конференцию приезжали представители уполномоченных органов по защите персональных данных стран СНГ. Сейчас же мы ждем высоких гостей ещё и из стран Центральной и Восточной Европы, Балканского полуострова. Всего участие в конференции подтвердили представители 16 государств.
Для Роскомнадзора, как уполномоченного органа в России, конференция приобретает особый смысл, так как на нас возложены полномочия по сотрудничеству с аналогичными органами из других стран.
— Планируется ли подписать на конференции какие-либо документы?
— Мы предложим коллегам присоединиться к Меморандуму о сотрудничестве уполномоченных органов, что позволит нашим гражданам чувствовать себя защищенными в любой стране.
На прошлогодней конференции Меморандум вместе с нами подписали Республика Молдова, Республика Кыргызстан. Позднее к нему присоединилась Республика Армения. Знаю, что у ряда других стран есть заинтересованность присоединиться к «первопроходцам».
— Каковы практические результаты вашего международного сотрудничества по защите персональных данных?
— Преимущественно нам оказывают содействие в закрытии интернет-сайтов, на которых размещены базы с персональными данными граждан России. Так, в мае Роскомнадзор направил в адрес американского регистратора MarkMonitor письмо с просьбой прекратить делегирование доменного имени shockcrim.blogstop.com. Компания MarkMonitor перенаправила письмо в адрес администратора доменного имени, который закрыл сайт.
Аналогичным образом мы поступили и по сайту Rusleaks.com — направили письмо администратору в США. Ответ пока не получили. Помимо этого, подано исковое заявление в Таганский районный суд Москвы о признании деятельности сайта незаконной.
Всего же в 2011 году Роскомнадзор направил регистраторам доменных имен в США материалы по 13 сайтам. На сегодняшний день по результатам рассмотрения материалов Роскомнадзора американскими и индийским регистраторами, в общей сложности, прекращено делегирование шести доменных имен.
— Всегда ли обращения в другие страны заканчиваются удовлетворением ваших требований?
— К сожалению, не всегда на наши обращения реагируют так, как нам бы хотелось. К примеру, мы обратились в Республику Беларусь с аналогичной RusLeaks ситуацией, просили привлечь гражданина Белоруссии к ответственности. Но белорусы нам ответили, что на сегодняшний день у них нет норм в законодательстве, которые позволили бы это сделать.
Этот факт еще раз подтверждает, сколь нова эта сфера деятельности для многих стран, и что необходимо максимально плотное сотрудничество для выработки единых, сопряженных мер противодействия злоупотреблениям в сфере защиты персональных данных.
Ответственность за персональные данные станет жестче: 2 комментария