28 января отметили день защиты персональных данных. Этот вопрос сейчас актуален, как никогда: в Бурятии, как и в целом в России фиксируется рост жалоб на распространение персональных данных. Вашу фамилию опубликовали на постороннем сайте? Вам звонят фирмы, которым вы не давали такого разрешения и предлагают товары? Какие данные о себе лучше не размещать в социальных сетях? Подробности Восток-Телеинформ выяснял у руководителя Управления Роскомнадзора по Бурятии Цырена Батомункуевича Мункожаргалова. 

- Цырен Батомункуевич, какая информация считается персональными данными? Кто имеет право их запрашивать, а кому лучше их не предоставлять? Кто по закону относится к числу операторов персональных данных, а в каких случаях граждане могут обратиться по поводу нарушения законодательства о персональных данных?

- Персональные данные – это любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных); а оператор – это государственный орган, муниципальный орган, юридическое или физическое лицо, которые самостоятельно или совместно с другими лицами организует обработку персональных данных, определяют цели, состав персональных данных и так далее. Это могут быть поликлиники, школы, управляющие компании, финансово-кредитные организации, любая организация, которая обрабатывает персональные данные граждан. Операторы имеют право обрабатывать персональные данные только в случае согласия на то субъекта персональных данных или в случаях, напрямую предусмотренных законодательством (ст.6 №152-ФЗ «О персональных данных»).

Обратиться в Роскомнадзор можно по поводу любого нарушения законодательства в сфере персональных данных, в том числе в случаях, предусмотренных статьей 13.11 КоАП РФ. Например, обработки персональных данных без согласия, нарушения режима доступа к политике организации по обработке персональных данных, отказа оператора заблокировать или уничтожить персональные данные, если они являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки.

- Сколько жалоб приходит к вам по персональным данным? Кто чаще всего нарушает и какую несет ответственность? Вообще, какие меры предпринимаются по жалобам от граждан?

- За 2019 года в Управление Роскомнадзора по Республике Бурятия поступило 217 обращений граждан в области персональных данных. По итогам 2019 года обращения граждан и юридических лиц рассмотрены Управлением в установленные сроки. Чаще всего граждане жаловались на неправомерную обработку персональных данных банками 28,23% (по вопросам возврата просроченной заложенности, неправомерной обработки персональных данных третьих лиц, рассылкой предложений о кредитах), интернет-сайтами 29,66% (по вопросам отсутствия политики конфиденциальности, незаконному сбору персональных данных), однако фактов нарушения установлено не было.

Сотрудники Управления принимают все необходимые и достаточные меры для решения поставленных вопросов, направляются запросы для выяснения сложившейся ситуации, осуществляется выезд и сбор пояснений по конкретному обращению, и в случае обнаружения признаков административного правонарушения в области персональных данных применяется ст.13.11 КоАП РФ, в обратном случае выносится определение об отказе в возбуждении дела об административном правонарушении и дается разъяснение действующего законодательства.

- С 26 ноября 2019 года операторы связи должны были начать ограничивать доступ к сайтам, которые незаконно размещают персональные данные россиян. Что это могут быть за сайты, кто может попасть под блокировку и после каких процедур?

- В соответствии с частью 1 статьи 9 Федерального закона «О персональных данных» субъект персональных данных принимает решение о предоставлении своих персональных данных и дает согласие на их обработку своей волей и в своем интересе. Таким образом, субъект персональных данных реализует свое право запрещать или разрешать обработку своих персональных данных. Если у владельца Интернет-ресурса отсутствует информация, подтверждающая наличие согласия граждан на обработку их персональных данных либо иных законных оснований на обработку указанных персональных данных, можно считать, что администратором указанного Интернет-ресурса допущено нарушение упомянутого выше требования части 1 статьи 9 и требования конфиденциальности, установленного статьей 7 Федерального закона «О персональных данных». Незаконное распространение персональных данных гражданина в Интернете нарушает права и свободы человека и гражданина, в том числе, право на неприкосновенность его частной жизни, личную и семейную тайну.

Существует реестр нарушителей прав субъектов персональных данных, в который включаются доменные имена и (или) указатели страниц сайтов в сети «Интернет», содержащих информацию, обрабатываемую с нарушением законодательства Российской Федерации в области персональных данных, сетевые адреса, позволяющие идентифицировать сайты в сети «Интернет», содержащие информацию, обрабатываемую с нарушением законодательства Российской Федерации в области персональных данных, указание на вступивший в законную силу судебный акт, информация об устранении нарушения законодательства Российской Федерации в области персональных данных, дата направления операторам связи данных об информационном ресурсе для ограничения доступа к этому ресурсу. Основанием для включения в такой реестр является вступивший в законную силу судебный акт.

- Как часто проходят проверки операторов персональных данных, и есть ли здесь какие-то особенности?

- Такие проверки проводятся ежегодно, запланированы они и на 2020 год. 24 декабря 2019 года в Управлении Роскомнадзора по Республике Бурятия прошел семинар с операторами, в отношении которых в 2020 году запланированы плановые выездные проверки по вопросу соблюдения законодательства Российской Федерации в сфере персональных данных. В ходе семинара разъяснены основные требования при проведении выездных плановых проверок, а также доведена информация о действиях мошенников. Существуют организации, причем как в Улан-Удэ, так и других городах, которые смотрят план деятельности Управления на следующий год и затем начинают обзванивать указанные в нем компании, предлагают за деньги подготовить все пакеты документов, необходимые для успешного прохождения проверки Роскомнадзора. Суммы запрашивают различные, но не маленькие и после прохождения проверки операторы персональных данных, у которых мы выявили нарушения, предъявляют нам претензии. Говорят, что заплатили немалые деньги, и проверка должна была пройти нормально, какие же могут быть еще нарушения? В таких случаях разъясняем, что данные операторы стали жертвами мошенников. Были случаи, когда такие организации представлялись нашими сотрудниками и таким образом вымогали деньги за успешное прохождение проверки.

Есть еще другая практика. Компании, чаще всего зарегистрированные далеко за пределами Бурятии, сами обращаются в организации – операторам персональных данных, выдают им якобы предписания и представляются при этом Госкомнадзором либо Росгоснадзором. Звучит похоже, не так ли. И некоторые компании попадаются на это, оплачивают штрафы и потом уже только обращаются к нам за разъяснениями.

- Есть ли нарушение персональных данных в ситуации, когда звонят на мобильные номера с нежелательной рекламой и предлагают взять кредит, получить услугу и так далее? Ведь эти люди где-то взяли фамилию и отчество человека, а также его номер, куда жаловаться в таких случаях и что можно сделать?

- Обращения, содержащие жалобы на звонки неизвестных лиц с нежелательной рекламой и предложениями о кредите, получении услуги и так далее не входят в компетенцию Роскомнадзора и перенаправляются Управлением в УФАС по Республике Бурятия и Роспотребнадзор по Республике Бурятия в соответствии с их компетенцией. В случае, если звонящий называет ФИО владельца номера телефона, и при этом гражданин не давал соответствующего согласия на данные действия указанному Оператору, тогда жалобу необходимо направить в ТО Роскомнадзора по месту жительства гражданина.

Кроме этого, разъясняю, что если звонящий не называет ФИО владельца номера телефона, то номер без дополнительных сведений не будет являться персональными данными, поскольку не позволяет идентифицировать человека, как конкретного субъекта персональных данных.

- В России в конце прошлого года прошла информация о том, что неизвестные звонят гражданам различных регионов, просят представиться, добиваются ответа «да» в различных вариациях – биометрические материалы подпадают под закон о персональных данных и чем беседы с неизвестными гражданами могут грозить людям?

- Для начала уточним, что именно относится к биометрическим данным. В соответствии со статьей 11 Федерального закона «О персональных данных» биометрические персональные данные - это сведения, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность (биометрические персональные данные) и которые используются оператором для установления личности субъекта персональных данных, могут обрабатываться только при наличии согласия в письменной форме субъекта персональных данных, за исключением случаев, предусмотренных частью 2 той же статьи.

Обработка биометрических персональных данных может осуществляться без согласия субъекта персональных данных в связи с реализацией международных договоров Российской Федерации о реадмиссии, в связи с осуществлением правосудия и исполнением судебных актов, а также в случаях, предусмотренных законодательством Российской Федерации об обороне, о безопасности, о противодействии терроризму, о транспортной безопасности, о противодействии коррупции, об оперативно-розыскной деятельности, о государственной службе, уголовно-исполнительным законодательством Российской Федерации, законодательством Российской Федерации о порядке выезда из Российской Федерации и въезда в Российскую Федерацию.

Тем не менее, гражданам необходимо бережно относиться к своим персональным данным и не сообщать их неизвестным (посторонним) людям, а также избегать разговоров с незнакомыми лицами, в том числе по телефону. Кто, когда и в каких целях может воспользоваться такими данными, прогнозировать невозможно.

- Можно ли размещать в СМИ изображения детей?

- Размещать в СМИ изображения детей можно, но при условии соблюдения некоторых требований ФЗ «О персональных данных». Так, при публикации фото ребенка с указанием его персональных данных требуется согласие одного из родителей. Если ребенок старше 14 лет, то требуется также согласие и от него. Отмечу, что директор школы не имеет права его давать. При этом если съемка проводится в публичном месте, а ребенок – не основной объект на изображении, публиковать данные снимки можно без упомянутого согласия.

Также в соответствии с законом о СМИ запрещено распространение информации о несовершеннолетнем, пострадавшем в результате противоправных действий или бездействия, которая позволяет прямо или косвенно установить его личность, включая: ФИО и дату рождения; фото- и видеоизображения несовершеннолетнего, его родителей и иных законных представителей; аудиозапись его голоса; место его жительства, временного пребывания, учебы или работы.

Незаконное распространение информации о таких несовершеннолетних без согласия законных представителей является злоупотреблением свободой массовой информации. Таким образом, распространять информацию, которая идентифицирует ребенка, можно при соблюдении двух условий:

Первое - наличие согласия родителей (если ребенку не исполнилось 14 лет) или согласия и родителей, и ребенка (если исполнилось 14 лет и старше). Обращаю внимание на то что, в соответствии с частью 7 статьи 9 федерального закона о персональных данных, в случае смерти субъекта персональных данных (в данном случае несовершеннолетнего) согласие на обработку его персональных данных дают наследники субъекта персональных данных, если такое согласие не было дано субъектом персональных данных при его жизни. Второе: наличие цели в виде защиты прав и интересов этого ребенка, например, если нужно найти потерявшегося ребенка или преступника. Важно, что информацию нельзя распространять после того, как достигнута цель.

- Какие данные о себе и детях лучше не выкладывать в социальные сети и чем это может быть чревато? Почему не стоит выкладывать фотографии авиабилетов на своих станицах в сетях?

- К сожалению, реальность такова, что люди выдают слишком много информации о себе в Интернете, испытывая при этом ошибочное убеждение, что принадлежащая им информация является конфиденциальной. Но как только информация попадает в сеть, контролировать ее дальнейшее использование уже практически невозможно. Также повторюсь: кто, когда и в каких целях может воспользоваться такими данными, прогнозировать невозможно. В Интернете нет кнопки «Удалить», чтобы убрать информацию, размещённую там. Вы можете пожалеть о создании, например, комментария в виде замечания по отношению к любому человеку, потом, удалив его в течение часа, крайне удивиться, что этот комментарий уже прочитан десятками или сотнями людей и столько же людей перенаправили его по разным адресам.

Каждое действие, совершаемое в сети Интернет, оставляет определенный цифровой след. Следы оставляет информация, которую вы добровольно размещаете в сети Интернет, например, фотографии в социальных сетях, высказывания на форумах, «лайки» новостей и многое другое. Кроме того, цифровые следы оставляет та информация, о наличии которой вы можете и не подозревать, например, информация о посещенных сайтах, о совершенных покупках, о вашем географическом месторасположении и так далее. Если обработать всю эту информацию, то получится очень точный портрет («профайл»), который можно использовать для принятия решений в отношении конкретного человека. Например, направить ему адресную рекламу в соответствии с предпочтениями, «лайками» или отказать в поступлении на работу и так далее.

А выложив фотографию с авиабилетами в социальной сети, к которой имеют неограниченный доступ другие пользователи сети, в том числе злоумышленники, мошенники, грабители, вы даёте понять всем пользователям о том, что временно покидаете своё жильё, оставляя его без присмотра, что может послужить наводкой для осуществления злоумышленных действий.

- Перед распродажами в Интернете активизируются мошеннические сайты, которые под видом предоставления услуг собирают персональные данные о людях. Как отличить настоящую страницу интернет-магазина от сайта мошенников? Есть такие инструменты?

- В первую очередь, чтобы отличить настоящую страницу интернет-магазина от сайта мошенников необходимо уделять особое внимание отзывам покупателей. Поскольку положительные отзывы могут быть оставлены самим владельцем данного интернет-магазина, необходимо учитывать наличие и содержание отрицательных отзывов по его деятельности. В случае, если отрицательных отзывов множество, то стоит избегать услуг подобных интернет-ресурсов. Вместе с тем, необходимо понимать, что полное отсутствие отрицательных отзывов также не говорит о его надёжности.

Во-вторых, необходимо проверять адресные строки, выходить в сеть «Интернет» только с материальных носителей, защищенных лицензионной антивирусной системой, не выкладывать лишнюю информацию о себе в свободный доступ, позволяющую Вас идентифицировать. При входе на сайты внимательно изучать пользовательские соглашения, размещенные на них и не оставлять свои данные для регистрации и др. (например, не заполнять анкеты на сайтах, не писать открытые комментарии, содержащие персональные данные) предварительно не ознакомившись с политикой конфиденциальности (политикой обработки персональных данных), особое внимание необходимо уделять срокам хранения информации и способам обеспечения сохранности ваших персональных данных.

Марина Иванова-Денисова, Восток-Телеинформ.