Российские власти планируют ужесточить наказание компаний за факты утечек персональных данных и обязать их сообщать о происшествиях данного плана в уполномоченный госорган.
В Государственную думу членами Совета Федерации внесен законопроект, направленный на ужесточение борьбы с утечками персональных данных.

Документ предлагает обязать российские компании сообщать о любых утечках конфиденциальной пользовательской информации в уполномоченный государственный орган. Законопроект также предусматривает существенное увеличение штрафов за факты утечек. Авторы документа считают, что размер подобных штрафов должен быть поднят до «адекватных наносимому ущербу уровней».

При этом, отечественным операторам данных предлагается самим выбрать для себя соответствующую их профилю «модель угроз». Как предполагается, от выбранной модели будут зависеть предъявляемые к компании требования по уровню защищенности данных и степень ее ответственности за их утечку, сейчас компании часто просто умалчивают об утечках, чтобы избежать финансовых и репутационных потерь.
Разработкой этих стандартных моделей в настоящее время занимаются сразу несколько ведомств и министерств (на момент внесения законопроекта в Думу модели еще не были представлены).

Кроме того, согласно тексту внесенного в Думу документа, компании планируется наделить возможностью получать дистанционное согласие гражданина на обработку его персональных данных. В настоящее время сделать это можно только при личном присутствии человека.

Отдельный раздел законопроекта посвящен новым правилам регулирования так называемой трансграничной передачи данных. Теперь договор об обработке информации, заключаемый зарубежной компанией и пользователем из России, может быть признан законным только в том случае, если иностранная организация обезпечивает «адекватный российскому уровень безопасности» всех собираемых ей личных сведений.

Стоит отметить, что Россия занимает одно из лидирующих мест по числу утечек персональной информации в мире. Так, по данным компании Infowatch, по количеству утечек информации о держателях банковских карт, страна занимает третье место после США и Великобритании. На банковские утечки в 2012 году пришлось более 30 процентов всех краж, совершенных из российских процессинговых компаний, банков и магазинов.

Для информации о наших «правах»

Информация о человеке становится товаром
Новым хозяевам нужно знать о нас все. Для того чтобы в этом убедиться, обратимся к международным документам, во исполнение которых и проводится в России опасная для нас «модернизация».
В 2005 году Российская Федерация ратифицировала Конвенцию Совета Европы «О защите физических лиц приавтоматизированной обработке персональных данных» (Страсбург, 28января 1981 г.). На первый взгляд, название Конвенции обнадеживает, кажется, что речь пойдет о защите данных человека. Но так ли это? Остановимся на главных понятиях этого документа.
Персональные данные – это не только фамилия, имя, отчество, место жительства, как мы привыкли понимать. В соответствии с Конвенцией это уже любая информация о каждом из нас.
Автоматическая обработка – накопление, проведение логических или арифметических операций, изменение данных, стирание, восстановление и распространение.
Контролер базы данных (оператор) – физическое или юридическое лицо, государственный орган, ведомство или любая другая организация, которая наделена полномочиями решать, для какой цели создается автоматизированная база данных, какие категории персональных данных будут накапливаться и какие операции с ними будут осуществляться.
С ратификацией Конвенции наша страна и мы, ее граждане, вступили в совершенно новую социально-экономическую формацию, в которой полномочия государства и права человека вторичны относительно прав «операторов». Причем понятие «оператор» гораздо шире и значительнее, чем это кажется.
Во исполнение Конвенции в 2006 году в России поспешно принят ФЗ-№152 «О персональных данных» (далее ФЗ-№152), который во всех базовых положениях повторяет международный акт.
В соответствии со статьей 3 ФЗ-№ 152:
– персональные данные – это любая информация, относящаяся прямо или косвенно к физическому лицу;
– оператор-государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.
Мы видим, что право решения о том, какие персональные данные о человеке собирать и что с ними делать, принадлежит оператору.