Ознакомьтесь с видеороликом

Сегодня мы поговорим о конфиденциальности информации и о том, зачем она нужна. Процессы обработки информации сопровождают огромное количество повседневных дел – от регистрации в приложении для знакомств до просмотра рекламы. Большинство повседневных операций связаны с генерацией, получением, изменением и передачей различной информации. При этом мы редко задумываемся над тем, кто и как обрабатывает наши данные, кто может их использовать и на этом заработать, какие риски мы несем при невнимательном отношении к информации.

Приведем несколько примеров:

Предположим, вы оставили реальные данные о себе (включая фамилию, имя, отчество, номер телефона, место жительства) в незаслуживающем доверия приложении для заказа еды. Далее случается утечка информации о вас и ваших заказах. После этого вам начинают поступать непрекращающиеся назойливые звонки разного содержания, а любой потенциальный злоумышленник осведомлен о том, где именно вы живете, каков ваш примерный доход, и уже сейчас может планировать кражу вашего имущества.
Вместе с тем впоследствии вы можете получить небольшую компенсацию морального вреда, а компания, допустившая утечку может столкнуться с серьезными штрафами: от 3 до 15 миллионов рублей, а если утечка является для компании повторной, то от 20 до 500 миллионов рублей или до 3 процентов выручки за год, в зависимости от того, что больше (ч. 12,14,15 ст. 13.11 КоАП РФ).

Другой пример: якобы представитель «службы безопасности банка» звонит доверчивой жертве и сообщает о том, что кто-то оформил заявку на кредит на имя жертвы и ей необходимо назвать смс-коды, которые поступят во время звонка, для отмены операции. Все необходимые данные по жертве и ее карте злоумышленник уже получил с фишингового ресурса, где жертва сама их и оставила. Жертва называет коды, после чего с ее счета списываются деньги. Часто найти преступника невозможно, как и взыскать средства с банка ❏.

Для того, чтобы знать, какие потенциальные риски несет раскрытие информации, нужно понимать, о какой именно информации идет речь, каковы особенности ее правового режима: права и обязанности субъектов, какова ответственность за нарушение правового режима соответствующего вида информации ❏.

Типы информации

В целом всю информацию можно разделить на три типа ❏:

В качестве примеров общедоступной информации можно привести информацию о юридических лицах в Едином государственном реестре юридических лиц ❏, информацию в системе гос. закупок ❏, адреса интернет-страниц ❏.

К информации ограниченного доступа относятся государственная ❏, коммерческая ❏, служебная ❏, адвокатская ❏, банковская ❏, страховая ❏, нотариальная ❏, врачебная ❏, аудиторская ❏, налоговая ❏ и иные виды тайн, а также персональные данные ❏.

Правовые режимы информации могут пересекаться. Так, например, сведения о клиентах банка (их ФИО, номера карт, номера телефонов) могут являться и персональными данными, и информацией, составляющей банковскую, коммерческую тайны. При наличии такого пересечения необходимо соблюдать все требования законов, относящиеся ко всем перечисленным правовым режимам информации, а при возникновении противоречий нужно руководствоваться наиболее рестриктивными, ограничительными положениями закона.

Информация также может быть представлена в форме результатов интеллектуальной деятельности: произведений, компьютерных программ, баз данных, ноу-хау, которые охраняются гражданским законодательством.

Примеры запрещенной к распространению информации: информация о способах изготовления наркотиков, самодельного изготовления взрывчатки, призывы к массовым беспорядкам, осуществлению экстремистской деятельности и некоторые другие виды информации, прямо установленные в Законе об информации ❏.

Общедоступная информация, то есть общеизвестные сведения и иная информация, доступ к которой не ограничен.

Информация ограниченного доступа.

Для примера рассмотрим правовой режим банковской тайны. В рамках этого режима охраняются 3 категории сведений:

Сведения о клиенте.

Сведения о счетах и вкладах клиента или корреспондента.

А также сведения об операциях по счету клиента ❏.

Обязанность по сохранению конфиденциальности сведений, составляющих банковскую тайну, несут следующие субъекты: кредитная организация, Банк России, организация, которая осуществляет обязательное страхование вкладов, в том числе работники этих организаций ❏.

Перечень случаев предоставления информации, которая составляет банковскую тайну, ограничен законом с учетом его толкования судами и Банком России. Сведения, составляющие банковскую тайну, могут быть предоставлены клиентам или их представителям, третьим лицам по согласию клиента, а также лицам, прямо указанным в законе. Например, банки (как источники формирования кредитной истории) во исполнение закона представляют соответствующую информацию в бюро кредитных историй ❏.

За незаконное собирание, разглашение или использование таких сведений, лицо может быть привлечено в том числе к гражданско-правовой ❏, дисциплинарной ❏, административной ❏ или уголовной ответственности ❏.

Приведем один известный пример. Работник банка выгрузил на флешку информацию о клиентах, счетах и картах, об операциях по картам клиентов. Далее он передал покупателю данные о части клиентов банка. За указанные действия работник банка получил вознаграждение на Bitcoin-кошелек. Впоследствии за эти действия он был осужден по ч. 3 ст. 183 УК РФ на 2 года 10 месяцев лишения свободы ❏. Этот и множество других кейсов подчеркивают необходимость знать и соблюдать правовые режимы информации ограниченного доступа.

Соблюдение правового режима информации, доступ к которой ограничен законом или ее обладателем, является строго обязательным ❏. Незнание закона не освобождает от ответственности! От незнания или небрежного отношения к данным можете пострадать не только вы и ваши близкие, но и ваша компания, ваши клиенты.

Урок 9 Персональные данные

Ознакомьтесь с видеороликом

Персональными данными могут быть любые сведения, независимо от формы их представления. Это может быть обычный текст, код, изображение, звук. Источник получения этих данных значения не имеет – данные могут быть собраны от самого субъекта или получены от третьего лица, а также могут появиться в результате использования субъектом технических устройств, путем аналитики или иной переработки исходной информации. Достоверность данных может не иметь значения. Для признания персональными данными возможность достоверно установить фамилию и инициалы человека не так уж значима. Так, покупатель в интернет-магазине может при осуществлении покупок пользоваться псевдонимом или даже просто просматривать интересующие его товары для будущих покупок без регистрации. Для показа ему релевантной рекламы его ФИО значения не имеет, важны идентификаторы его устройств, рекламные идентификаторы, сведения о предыдущих покупках и просмотрах, привязанные к таким идентификаторам.

Персональные данные – это любая информация, которая относится к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных) ❏.

Сведения должны прямо или косвенно относиться к физическому лицу. Это может быть размер заработной платы и премий конкретного лица, оценка его благонадежности, геолокация. Сама по себе информация о «красном автомобиле определенной марки» не является персональными данными, но как только эта информация «присоединяется» к идентификатору физического лица, например, его фамилии, имени, отчеству, она входит в пул персональных данных.

Информация должна обладать идентифицирующим потенциалом. То есть с помощью этой информации можно будет выделить нужное лицо из множества лиц, идентифицировать его (в том числе с привлечением иной доступной информации).

Персональными данными является информация именно о физическом лице, в том числе, зарегистрированном в качестве индивидуального предпринимателя. Юридическое лицо не является субъектом персональных данных.

В качестве примеров персональных данных, можно привести: различные идентификаторы ❏ физического лица (включая ФИО ❏, ИНН ❏, СНИЛС, никнейм, IP-адрес, рекламные идентификаторы), номер мобильного телефона ❏, адрес электронной почты, адрес проживания, информацию о социальном и имущественном положении ❏, доходах физического лица ❏, информацию о трафике абонента ❏, геолокацию, историю браузера, cookie-файлы ❏ (то есть небольшие фрагменты данных о действиях пользователя, которые веб-сайт запрашивает у браузера, используемого на компьютере или мобильном устройстве).

Категории персональных данных

Существуют разные категории персональных данных:

Обычные, простые или иные персональные данные, например: фамилия, имя, отчество, ИНН, номер мобильного телефона.

Специальные категории персональных данных, то есть данные, которые касаются расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья ❏. Это может быть диагноз, рентгеновские снимки, сведения о членстве в религиозной организации.

Биометрические персональные данные, то есть сведения, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность. Такими данными могут быть изображения лица, дактилоскопические данные (отпечатки пальцев), радужная оболочка глаз, даже обычная фотография на пропуске ❏.

Обезличенные персональные данные ❏ – это данные, которые не позволяют определить их принадлежность к конкретному субъекту без использования других данных. Например, когда оператор заменил часть персональных данных на обезличенные идентификаторы, тем не менее, сохранил таблицу соответствия для проведения деобезличивания.

Персональные данные, разрешенные субъектом персональных данных для распространения. Например, когда вы как субъект персональных данных даете отдельное согласие на их распространение, доступ к таким данным будет предоставлен оператором неограниченному кругу лиц.

Персональные данные, включенные в общедоступные источники (справочники, адресные книги) ❏.

Определившись с тем, что такое персональные данные и какие виды персональных данных бывают, необходимо установить, кто и на каких условиях может их обрабатывать, какие права возникают у нас в связи с обработкой персональных данных и как нам их осуществить.

Какие права в сфере персональных данных есть у субъекта, то есть у каждого из нас?

Право на получение от оператора информации, которая касается обработки персональных данных ❏.

Право на получение уведомления об обработке, если оператор получил персональные данные не от самого субъекта, за рядом исключений.

Право на уточнение персональных данных.

Право требовать блокирования или уничтожения персональных данных, если данные получены незаконно или не являются необходимыми для цели обработки ❏.

Права субъекта в сфере персональных данных

Право отозвать данное согласие на обработку персональных данных ❏ или право обратиться к оператору с требованием о прекращении обработки персональных данных ❏.

Право обжаловать действия оператора в Роскомнадзор или обратиться за судебной защитой своих прав ❏.

Ознакомьтесь с видеороликом

Поговорим о кибербезопасности и основных правилах обращения с данными. Для обеспечения конфиденциальности информации, во избежание причинения вреда вам или вашему работодателю, необходимо соблюдать правила обработки и защиты информации, которые предусмотрены в законодательстве и локальных правовых актах.

Эти правила зависят от того, какие именно данные защищаются, кем они защищаются и от каких угроз безопасности ❏.

Про то, какие именно данные могут подлежать защите, мы говорили ранее. Очевидно, что к информации, составляющей государственную тайну, будут применяться одни требования защиты, а к конфиденциальной информации, которая не составляет коммерческую тайну, но передается по NDA (соглашению о неразглашении конфиденциальной информации) – совсем другие.

Обычно выделяется три вида угроз информационной безопасности:

Угрозы нарушения конфиденциальности данных, например, утечка персональных данных.

Угрозы нарушения целостности, например, когда нарушители изменяют информацию о балансе виртуальной валюты на счете игрока.

Угроза нарушения доступности информации, например, невозможность получения доступа к сайту в результате DDOS атаки (то есть направления злоумышленниками множества автоматизированных запросов с разных устройств, с целью привести к невозможности ресурса ответить на запросы обычных пользователей) ❏.

Простые советы по защите персональных данных

Есть правила, которыми должен руководствоваться каждый при обращении со своими персональными данными для обеспечения их защищенности.

Используйте надежные пароли и регулярно меняйте их ❏. Это касается вашего домашнего wi-fi ❏, ваших личных и корпоративных устройств, учетных записей на сайтах или в приложениях. Рекомендации по созданию надежного пароля легко находятся в интернете. Также рекомендуется использовать двухфакторную аутентификацию для наиболее важных ресурсов ❏: корпоративных приложений, социальных сетей и мессенджеров. Двухфакторная аутентификация представляет собой такой метод аутентификации, при котором используются данные двух типов, например, пара логин-пароль и смс-код. Сохраняйте конфиденциальность ваших паролей, кодов доступа и подтверждения операций.

Научитесь распознавать фишинговые рассылки ❏ и сайты. Избегайте перехода на подозрительные сайты и скачивания подозрительных файлов ❏. Если сомневаетесь, не открывайте письмо, не переходите по ссылкам ❏, не передавайте свои персональные данные. Проблемы информационной безопасности обычно кроются не столько в средствах защиты, сколько в людях. Именно человек оказывается зачастую слабым звеном в механизме защиты, так как именно на него направлены различные инструменты социальной инженерии.

Проявляйте осторожность при предоставлении своих данных. Особенно это касается данных банковских карт, логинов/паролей, основных персональных данных: ФИО, номера телефона, адреса ❏. Прежде чем решить, стоит ли предоставлять ваши данные, сначала хорошо подумайте. Основные мошеннические схемы рассчитаны на необдуманные и опрометчивые решения жертв. Задайте себе несколько вопросов. Кто собирает информацию? Уверены ли вы в его личности? Как она будет обрабатываться? Для каких целей? Не является ли она избыточной? Каковы возможные негативные последствия ее предоставления ❏?

Проверяйте настройки конфиденциальности и рекламы в приложениях и на сайтах, в которые вы входите впервые или которые периодически посещаете. Это же относится и к уведомлению об использовании cookies. Мы обычно бездумно соглашаемся на обработку всех cookies во всех целях, в соответствующем окне-уведомлении, не понимая, что для нашей работы на ресурсе достаточно лишь обязательных технических cookies. Откажитесь от того, что вам действительно не нужно ❏. Настройте ограничения видимости ❏. Часто это можно сделать в соответствующем разделе с настройками приложения или сайта ❏. Управление файлами cookies доступно в настройках браузера ❏.

Создайте почту для рассылок. Для ненужных вам рассылок рекламного характера можете использовать отдельный адрес электронной почты ❏.

Устанавливайте приложения только из проверенных источников ❏. При скачивании приложения вашего банка, медицинской организации или иного приложения, доступ к данным которого может нанести вам существенный ущерб, убедитесь в надежности источника ❏.

Установите надежный антивирус, даже если вы ни разу не сталкивались с вирусным заражением вашего компьютера ❏.

1.

2.

3.

4.

5.

6.

7.

Регулярно обновляйте ПО. Не откладывайте этот вопрос в долгий ящик. Обновления могут устранять дыры информационной безопасности прошлых версий ❏. Помимо решения проблем безопасности обновления программного обеспечения часто содержат улучшения и новые функции ❏.

Блокируйте устройства, если отходите от них. Желательно не оставлять без присмотра устройства, которые вы используете для входа в наиболее важные приложения ❏.

Закрывайте веб камеру на ноутбуке, если она не используется во избежание получения данных о вас программами слежения или удаленного доступа, которые могли случайно попасть на ваш компьютер ❏.

Делайте резервное копирование – чтобы не потерять личную и рабочую информацию старайтесь регулярно, хотя бы раз в год, осуществлять бэкап. Храните материальные носители резервных копий в надежном месте.

Руководствуйтесь надежными источниками информации. Не делайте опрометчивых выводов и публичных заявлений, основываясь на непроверенных, фейковых новостях и дезинформации ❏.

При онлайн покупках проверяйте как сайт, через который вы осуществляете покупку, так и продавца. Посмотрите отзывы. Если цена на товар занижена, спросите себя, чем это обусловлено? Нежелательно платить за товар переводом по карте, лучше использовать соответствующий инструмент для оплаты на сайте. Помните, вы рискуете не только получить контрафактный товар, но и просто потерять свои деньги ❏.

Проявляйте должную степень внимательности и осмотрительности при использовании социальных сетей. Если друг просит у вас взаймы, то подумайте, действительно ли это он, или его аккаунт был взломан? Не публикуйте лишнюю информацию о себе и по возможности ограничьте доступ к своей странице ❏. При публикации контента в социальных сетях постарайтесь остановиться и подумать, кому доступен такой контент, что будет, если он попадет вашему потенциальному работодателю, малознакомым людям, потенциальным злоумышленникам. Спросите согласия перед публикацией изображений или иных персональных данных третьих лиц ❏.

8.

9.

10.

11.

12.

13.

14.

Относитесь бережно к своим персональным данным. Старайтесь не передавать в мессенджерах информацию по банковским картам, чувствительную информацию о себе, даже если мессенджер обеспечивает шифрование. Вы не знаете, кому именно будут пересланы ваши сообщения и кто получит доступ к вашей информации ❏.

При использовании VPN рекомендуется выбирать платные и наиболее надежные сервисы с учетом их блокирования. Прежде чем устанавливать VPN, почитайте про него в интернете, посмотрите обзоры. Не исключена продажа данных вашего трафика ❏.

Осуществляйте и защищайте свои права в сфере персональных данных. Отзывайте вынужденные или ненужные согласия на обработку персональных данных. Не стесняйтесь обращаться в Роскомнадзор при нарушении ваших прав как субъекта персональных данных.

15.

16.

17.

Эксперты-разработчики курса:

СберБанк

Елена Лукьянцева,

Исполнительный директор Управления правового сопровождения внутрибанковской деятельности

Герман Сабиров,

Руководитель направления правовой защиты данных и интеллектуальной собственности Центра правовой защиты технологий и данных Правового департамента Сбера

Юлия Яшкова,

Главный юрисконсульт Центра правовой защиты технологий и данных

Таисия Чиркова,

Руководитель направления Управления правового сопровождения внутрибанковской деятельности

СберУниверситет

Ольга Щербакова,

Руководитель Академии финансов и рисков

Татьяна Старокадомская,

Директор проектов Академии финансов и рисков

Поздравляем!
Вы завершили курс «Правовая грамотность»