Сотрудник ВМК МГУ рассказал о персональных данных

Персональные данные принято считать новой нефтью. Вы и ваши данные представляют интерес для огромного множества компаний, а ваш номер телефона жизненно необходим, например, организациям для продвижения своих товаров и услуг.

Денис Гамаюнов, кандидат физико-математических наук, старший научный сотрудник кафедры информационной безопасности ВМК МГУ и руководитель спецсеминара «Информационная безопасность и сети ЭВМ», в интервью рассказал о персональных данных, их использовании и защите.

Персональные данные – это любые факты жизни конкретного человека, полное имя, место работы, фотографии мест, где он живёт – в общем всё, что можно связать с человеком, и что может выделить этого человека среди других. Некоторые персональные данные мы обычно не воспринимаем как конфиденциальные, например, имя или номер мобильного телефона (по крайней мере, с лёгкостью делимся этими данными с посторонними сервисами в Интернете). В то же время диагностированное заболевание чаще всего мы склонны не афишировать, и любой вопрос об этом воспринимаем с настороженностью.

Стоит более внимательно относиться к номеру своего телефона и в интернет-сервисах выбирать альтернативные способы регистрации, например, через электронную почту.Если говорить о номере телефона без указания ФИО, то эту информацию обычно не считают персональными данными, а в сочетании с ФИО это без сомнения персональные данные. Но это позиция многочисленных регуляторов, а ведь номер телефона сейчас стал стандартным способом идентификации пользователей в мессенджерах и социальных сетях, и поэтому иногда достаточно одного номера телефона, чтобы сопоставить с ним учетные записи в Telegram или WhatsApp, и, скорее всего, успешно сопоставить его с человеком.

Насколько мне известно, уже сейчас нельзя просто так публиковать фотографии, на которые попали лица прохожих, даже если вы их не знаете и не можете сопоставить фотографии с ФИО. На практике так всё ещё делают сплошь и рядом, формально это незаконно, и человек, обнаружив фото с собой на публичном ресурсе, может потребовать убрать публикацию. А с появлением публично доступных поисковых систем, которые могут по фотографии искать «похожих» людей в Интернете, смысла в определении фото как персональных данных всё больше. В любом случае, даже ваша фотография с городской камеры видеонаблюдения или снятая незнакомым фотографом для репортажной съёмки с юридической точки зрения будет содержать ваши персональные данные.

Вопрос про особенности защиты биометрических персональных данных относится скорее к ответственности компаний и организаций, которые такие данные обрабатывают. Медицинские данные имеют одну из самых высоких категорий защиты с точки зрения закона. Лично у меня больше всего вопросов в этом плане вызывают сервисы генетического тестирования (23andMe и их последователи). Они предлагают определить по вашему геному предрасположенность к некоторым заболеваниям, или географическое происхождение ваших предков по гаплогруппам, то есть небольшую кратковременную пользу в форме удовлетворения любопытства и чувства прикосновения к фронтиру науки, при этом на горизонте человеческой жизни наличие ваших исходных генетических данных в базе данных частной компании могут иметь непредсказуемые последствия.

Защита персональных данных – это вопрос сохранения тайны частной жизни и финансовой безопасности. В 2020 году мы видели насколько «спустя рукава» относятся к сохранности данных по заболеваемости коронавирусом многие ответственные организации, и насколько легко получить доступ к собранным ими данным кому угодно, причем бесплатно, без какого-либо подкупа.

Организации часто относятся к защите персональных данных именно как к скучной рутине, формальности для выполнения требований регуляторов, а если могут игнорировать регулятора, то так и делают. Как результат – появился и расширяется черный рынок «слитых» баз персональных данных, которые настоящие преступники используют, насколько хватит фантазии: звонки мошенников от имени службы безопасности вашего банка, бот-атаки на сайты ваших любимых магазинов, чтобы монетизировать ваши бонусные баллы, ну и регистрация подставных фирм на основе утекших сканов вашего паспорта и других документов.

Между автоматизированной и ручной обработкой данных сложно провести границу, ведь результатами автоматизированной обработки потом может воспользоваться оператор, который вручную будет что-то искать, анализировать выборку по какому-то срезу.

Чтобы стать экспертом по защите персональных данных нужно учиться информационной безопасности. А ещё относиться к ним серьёзно. Ведь персональные данные ничем не отличаются от любой другой информации, которую надо защищать – разве что их всегда много. Плюс «заказчики», то есть субъекты персональных данных, часто сами не считают эти данные каким-то там секретом, что не облегчает задачу. Но не всё так плохо – некоторые крупные компании прилагают большие усилия и совместно с учеными создают математические методы, которые в ближайшем будущем позволят обрабатывать анонимизированные данные без потери качества результата, и компании смогут хранить, например, медицинские данные в форме, которая не позволит сопоставить конкретную запись с конкретным человеком.

Источник: m.vk.com

Комментарии: