Госдума может принять законопроект об увеличении штрафов за нарушение требований законодательства в области персональных данных

Законопроект, внесенный группой сенаторов во главе с первым вице-спикером Совфеда Андреем Турчаком, предлагает расширить статью 13.11 КоАП РФ (нарушение законодательства в области персональных данных).

Среди изменений можно выделить введение штрафов за утечку информации, содержащей медицинские данные пользователей. Штраф за такое нарушение может составить от 300 до 400 тысяч рублей для граждан, от 1,5 млн до 2 млн рублей – для должностных лиц, и от 10 млн до 15 млн рублей – для юрлиц. При повторном нарушении интервалы штрафов возрастают: от 500 до 800 тысяч рублей для граждан, от 3 до 5 млн – для должностных лиц, и от 20 до 500 млн – для юрлиц.

Движение Рак излечим неоднократно поднимало тему, связанную с утечкой персональных данных пациентов. Слишком много данных запрашивают информации НКО, Фонды и прочие организации, при этом предоставляя помощи человеку на сумму, никак не сопоставимую с рисками.

Напомним, пару лет назад сообщалось, что в даркнете появилась база данных клиентов «Гемотеста», в которой 31 млн строк. В ней содержались ФИО, дата рождения, адрес, телефон, электронная почта, серия и номер паспорта, номера страховки и СНИЛС. Утверждалось, что база появилась в закрытом доступе «у очень ограниченного числа лиц» в начале весны 2022, а точное количество строк немного меньше — 30,5 млн.

Предположительно данные были получены из-за уязвимости в IT-системе лаборатории. На том же интернет-форуме разместили объявление о продаже базы «Гемотеста» с 554 млн заказов, а также «уязвимости для доступа к серверу базы данных».

Об этом писли в РБК, Коммерсанте, Forbes, Известиях и прочих крупных изданиях. А РЕН ТВ обратил внимание, что там также есть информация о тестах на ВИЧ.

Руководитель информационной безопасности «Гемотеста» Иван Осипов заявил, что в компании инициировали проведение внутреннего служебного расследования. Он отметил, что упомянутая информация, якобы оказавшаяся в открытом доступе, составляет коммерческую тайну. Если сведения об утечке подтвердятся, лаборатория намерена подать заявление в полицию.

«Также... принято решение о дополнительном ужесточении технических мер, направленных на обеспечение надлежащего уровня защиты конфиденциальной информации и безопасности данных»,— сказал «РИА Новости» И. Осипов.

Однако после этих сообщений мы не получили от компании подтверждений того, что система безопасности работает должным образом и компания Гемотест гарантирует, что больше база "не утечет".

Роскомнадзор направил запрос в прокуратуру о проведении проверки по факту утечки данных клиентов «Гемотеста», прошла проверка, в компании подтвердились нарушения, выписан штраф. В постановлении суда говорится, что компания признана виновной по ч. 1 ст. 13.11 КоАП (нарушения при обработке персональных данных) и ей назначен штраф в размере 60 тыс. руб.

Пострадавшие граждане в течение трех лет имеют право требовать компенсации, в том числе в судебном порядке.

«Гемотест» располагает 1250 лабораторными отделениями в 500 городах России, Киргизии, Таджикистана и Казахстана, говорится на сайте компании. По их подсчетам, в год в компании обслуживается почти 12 млн человек. Особый приток клиентов за последние два года был связан с пандемией, так как востребованными услугами компании стали ПЦР-тестирование и тесты на антитела. Помимо этого, лаборатория проводит широкий спектр других исследований на платной основе. Компания проводит более 105 млн исследований ежегодно.

Документов, регулирующих сферу персональных данных, в России хватает. Один из основных — федеральный закон «О персональных данных» от 27 июля 2006 № 152-Ф.

— Закон обеспечивает защиту прав и свобод человека при обработке персональных данных, — объясняет Мария Спиридонова, член Ассоциации юристов России, управляющий партнер «Легес Бюро». — В статье 19 закрепляется обязанность принимать все необходимые меры для защиты персональных данных.

Во время работы с персональными данными организации обязаны назначить ответственных лиц за обработку персональных данных, издавать локальные акты по вопросам обработки персональных данных, проводить внутренний контроль обработки персональный данных.

Непосредственно следят за защитой персональных данных либо ответственные структуры в самой компанией, либо сторонняя организация, уполномоченная компанией-заказчиком.

— В случае ООО «Лаборатория Гемотест», согласно политике в отношении обработки персональных данных, утвержденной приказом генерального директора от 20.12.2021 № 662, самостоятельно осуществляет меры по защите персональных данных, — пояснила юрист.

Юрист напомнила, что без согласия гражданина организация не имеет право получать, собирать и хранить личные сведения лица.

— Наличие документа гарантирует субъекту персональных данных то, что информация о нем будем применяться для строго определенных целей и будет защищена от неправомерных действий. Чаще всего российские компании размещают на официальном сайте политику обработки персональных данных. Но даже такой акт может оказаться декларативным, так как зачастую попросту отсутствуют механизмы для реальной защиты и контроля за обработкой персональных данных, например, таких как режим хранения и разграничения прав доступа к персональным данным, — уточняет юрист.

— На данных момент наказание за нарушение законодательства о персональных данных обходится дешевле, чем его исполнение. Расходы на приобретение технических средств защиты информации и их обслуживание может оказаться намного дороже уплаты штрафа. Но законодатель не стоит на месте, и с целью принудить организации выполнять требования закона предлагается ввести оборотные штрафы за утечку персональных данных, — рассказывает эксперт.

Напомним, ранее в интернете на всеобщее обозрение была выложена база данных клиентов сервиса «Яндекс Еда». Внутреннее расследование установило, что в результате недобросовестных действий одного из сотрудников были опубликованы телефоны клиентов и информация об их заказах: состав, время доставки. Утечка не коснулась банковских, платежных и регистрационных данных пользователей, то есть логинов и паролей. К слову, в базе содержались сведения о клиентах на территории России, Белоруссии и Казахстана. Мировой суд в Замоскворечье назначил компании штраф в 60 тыс. рублей за нарушение закона о персональных данных.

Вооруженные чужими паспортными данными преступники могут получить доступ к средствам банковских карт жертвы, взять кредиты в нескольких банках, открыть так называемые фирмы-однодневки, говорит Спиридонова.

В случае если гражданин узнал об утечке своих данных, ему необходимо обратиться в суд за возмещением морального вреда и потребовать удалить сведения из публичного доступа. Иногда для более оперативного устранения утечки сначала лучше обратиться напрямую к нарушителю, советует юрист Спиридонова.

— Для стимулирования операторов персональных данных соблюдать конфиденциальность стоит ввести оборотный штраф за утечку; запретить компаниям и частным лицам создавать общедоступные базы с персональными данными, собранными из государственных и муниципальных информационных систем; если организации поручают обработку данных другому лицу, необходимо проводить контроль подрядчика и отвечать за его действия, — делится член АЮР возможными путями решения проблемы утечек.

Координатор Центра безопасного интернета, ведущий аналитик РОЦИТ Урван Парфентьев объяснил «360», что такие данные мошенники могут использовать самыми разными способами. Самый безобидный из них, по мнению эксперта, уточнение рекламных кампаний через полученные данные, в том числе и о медицинских запросах.

«Как максимум данные могут использовать для вымогательства, шантажа. Например, [если человек захочет] скрыть некую информацию о социально резонансных диагнозах — допустим, о том же ВИЧ. Либо просто о факте, что человек обращался за проведением анализа — дескать, если обращался, тебе есть что скрывать», — сказал Парфентьев.

Стоит приготовиться и к активизации уже привычных телефонных мошенников, которые могут представляться сотрудниками банков, а также правоохранительных органов. Не стоит забывать и про мошенничество в интернете — в том числе при регистрации на различных сайтах и при переходах по фишинговым ссылкам.

«Стоит очень внимательно относиться к тому, что происходит вокруг у вас. Если у вас есть предположение, что кто-то пытается провести некую потенциально мошенническую операцию в отношении вас, конечно, сразу же нужно на это реагировать. Например, уведомлять тот же банк. Но не по тем координатам, которые вам прислали мошенники, а по тем, которые вы возьмете с сайта банка», — подчеркнул он.

Также специалисты напомнили о том, что сотрудники полиции не звонят гражданам, а в случае необходимости присылают официальную повестку. Также и сотрудники служб безопасности банков никогда сами не связываются с клиентами финансовых организаций.

При этом главный вывод из очередной утечки данных, по мнению Парфентьева, должны сделать законодатели. Эксперт подчеркнул, что им стоит задуматься о необходимости хранения подобных чувствительных данных в необезличенном формате в целом.

Главное, что нужно сделать, — это понять, что некоторые чувствительные данные, в том числе данные социального характера, медицинские данные, если они находятся в обороте в электронной форме, должны быть исключительно в обезличенном виде.

Источники:

https://www.rbc.ru/business/25/07/2022/62de89d49a7947ed356e7be3?from=copy.

https://www.kommersant.ru/doc/5339983

https://360tv.ru/tekst/obschestvo/vspomnit-o-bezopasnosti-zabyt-o-stereotipah/

https://iz.ru/1330469/ivan-petrov/bazovye-tcennosti-dannye-millionov-klientov-gemotesta-utekli-v-set

Источник: iz.ru

Комментарии: