На страже цифрового мира

Российское законодательство vs зарубежное законодательство

Пользовательские данные сегодня – цифровое золото, добыча которого обусловлена особыми правилами. Эти правила только формируются и должны учитывать большое количество различных нюансов. Зарубежное законодательство вопросом защиты персональных данных озаботилось основательно. 

Так, например,  GDPR  направлен прежде всего на то, чтобы дать гражданам контроль над собственными персональными данными, и на упрощение нормативной базы для международных экономических отношений путем унификации регулирования в рамках ЕС. 

Александр Борисов, директор  АНО «ННЦК» , рассказал о том, чем GDPR выгодно отличается от  152-ФЗ  и на что нужно обратить внимание компаниям, которые хотят безболезненно для себя встретить ввод  оборотных штрафов . По мнению эксперта, такие штрафы выполняют не только превентивные функции, а также являются источником дохода бюджета, поэтому их введение – лишь вопрос времени. Кроме того, оборотные штрафы, предусмотренные европейским законодательством, уже доказали свою эффективность.

Александр привел данные опроса общественного мнения, который собрал неутешительную статистику – лишь четверть опрошенных россиян были готовы поверить, что компании заботятся об их данных. Низкий уровень пользовательского доверия оправдан тем, что сегодня нарастает объем утечек. 

С момента принятия европейского закона о персональных данных стало очевидно, что и в России нужна подобная инициатива. Однако даже после принятия 152-ФЗ кажется, что создатели GDPR более тщательно подошли к проработке вопроса защиты чувствительных данных пользователей. Вот его некоторые выгодные отличия от российского закона:

• правила распространяются на все организации, которые обрабатывают  ПДн  резидентов и граждан ЕС;

• экстерриториальность ; 

• оборотные штрафы;

• оператор обязан предоставить субъекту информацию об утечке его данных в течение трех дней после инцидента;

• субъект ПДн имеет право на перенос и получение копии своих данных.

Как российской компании понять, попадает ли она под действие GDPR? Достаточно соответствовать хотя бы одному из следующих признаков:

• у компании есть  аффилированное юридическое лицо  или иная форма присутствия на территории ЕС;

• компания принимает оплату в евро или других валютах;

• доступна версия сайта компании на одном из европейских языков, и на этом сайте ведется сбор персональных данных и статистических данных о его посещаемости;

• компания реализует товары или предоставляет услуги на территории ЕС.

Кодекс этики использования данных

Правовые механизмы, регулирующие использование персональных данных, можно органично дополнить этическими. Об одной из таких инициатив рассказала Ольга Саваровская, заместитель руководителя Департамента управления данными Аналитического центра при Правительстве РФ. 

Кодекс этики использования данных – сравнительно молодой проект. Он был принят 12 декабря 2019 года. На сегодняшний день уже около 40 компаний присоединились к кодексу и стремятся выстраивать процессы в соответствии с его положениями.

Кодекс дополняет «Белая книга» – сборник лучших практик работы с данными. Она освещает наиболее широкие практики этичной обработки персональных данных. Например: 

• дополнительная верификация для противодействия мошенничеству;

• руководство «Что делать в случае отказа пользователя от маркетинговых рассылок»;

• борьба с объявлениями о запрещенных товарах и услугах.

Ожидается, что со временем в «Белую книгу» войдут и специфические практики, которые существуют внутри отдельных отраслей. Например, Международная ассоциация рекламодателей уже выпустила руководство по этике данных для брендов. 

Что касается положений самого кодекса, они не высечены в камне, объясняет Ольга Саваровская, Совет по совершенствованию работы с данными постоянно улучшает кодекс. Совет также помогает компаниям оценивать этичность их решений в отношении пользовательских данных.

Принципы кодекса могут служить своеобразным чек-листом для тех, кто запутался в нюансах использования ПДн. Помимо простой небрежности, сегодня учащаются и случаи злонамеренной утечки данных: их воруют, продают на черном рынке. 

Примеры халатного обращения с данными и этического регулирования таких вопросов:

• Данные, полученные в обход систем защиты, признаются собранными недобросовестно.

Пример. В 2019 году компания  IBM Research выложила на своем сайте большой  датасет  фотографий для обучения систем распознавания лиц. СМИ с восторгом встретили эту новость, предполагая, что большое количество открытых данных поможет сделать лучше проблемную с точки зрения этики технологию. Однако через несколько месяцев выяснилось, что фотографии были получены из интернета без согласия изображенных на них персон. Даже после удаления датасета с сайта компании остался открытым вопрос о том, как предотвратить дальнейшее использование этих фото. Например, должны ли быть уничтожены вероятностные модели и алгоритмы, для обучения которых был использован незаконный датасет, и если да, то как обеспечить исполнение этой меры?

• Анализировать данные с помощью алгоритмов можно, но недопустима дискриминация граждан по результатам такого анализа.

Пример. В 2013 году профессор Гарварда Латанья Суини  загуглила свое имя, и таргетированная реклама на странице поиска предложила ей «проверить, арестована ли Латания Суини». После этого она ввела имя известного преступника, которое при этом не могло быть однозначно связанно с определенной расой, и такой рекламы не последовало. Это вызвало у профессора Суини подозрения, что рекламные алгоритмы могут быть источником дискриминации. После этого в Гарварде было проведено большое исследование дискриминационных алгоритмов, результаты которого повлияли на правовые и регуляторные механизмы использования персональных данных.

• Недопустима фальсификация результатов аналитики. Фальсификация аналитики может быть непреднамеренным следствием непрофессионализма людей, которые работают с данными. 

Пример. Разработка алгоритма искусственного интеллекта обязательно заканчивается его тестированием. При этом критично, чтобы аналитика качества итогового алгоритма проходила в тех же условиях, в которых он будет использоваться в дальнейшем для принятия решений. Возвращаясь к случаю с гарвардским профессором, можно предположить, что алгоритм, принимающий решение о показе рекламы, был протестирован на неполной выборке имен, нерепрезентативной по отношению к многообразию реальных имен пользователей поисковика по всему миру. Если бы в тестовой выборке было больше отличных друг от друга имен, дискриминационные наклонности алгоритма можно было бы выявить и предотвратить еще на этапе разработки, не причинив вреда пользователям.

• Нельзя собирать данные под видом исследований рынка или используя  «темные паттерны» .

Темные паттерны – уловки для обмана пользователей, которыми пользуются недобросовестные создатели интерфейсов. Галочка по умолчанию в графе подписки на спам-рассылку, принудительное автоматическое продление платной подписки, маскировка рекламных баннеров под контент, важная информация мелким неразборчивым шрифтом, манипуляции расположением элементов сайта – вот лишь некоторые из таких уловок, которые не только управляют поведением пользователя, но и неправомерно собирают его персональные данные. 

Пример. Некоторое время назад при регистрации на LinkedIn пользователю предлагалось ввести номер телефона, чтобы сделать свою учетку «безопасной». Мелким шрифтом ниже уточнялось, что «по номеру телефона вас смогут находить другие участники сети».

Ольга Саваровская также упомянула и о других трендах в области персональных данных в России и в мире, таких как  Generative Artificial Intelligence  и  Data Fabric . 

Один из спикеров высказал опасение, что недискриминационный подход к разработке алгоритмов ИИ может затормозить развитие области. Саваровская объяснила, что на практике применение этого подхода, напротив, расширяет возможности технологии, устраняя ограничивающий фактор, которым зачастую и являются неразнообразные, нерепрезентативные данные. «Скошенные» данные привносят в обучающийся на них алгоритм так называемый  bias  – систематическую ошибку, негативно влияющую на способность математической модели обобщать и делать правильные выводы по отношению к максимально широкой и разнообразной совокупности примеров, с которыми алгоритму придется столкнуться в реальном мире.

В качестве иллюстрации такого влияния Ольга привела алгоритм, который с меньшей вероятностью одобряет кредит персонам без высшего образования, в результате чего человек, не имевший в юности возможности воспользоваться привилегией платного обучения, позже оказывается лишенным доступа к еще одному благу – кредиту, который он мог бы потратить на развитие своих талантов или опять же на получение образования. Другой пример – приложение, присудившее некоему району звание менее безопасного, чем соседние, побудило мелкий бизнес покинуть эту местность, после чего район превратился в гетто.

Причины утечки персональных данных

Персональные данные сегодня являются одной из самых уязвимых категорий больших данных с точки зрения интересов общества. ПДн стали привлекательным объектом для атак киберпреступников. Ежегодно в сеть утекают миллионы аккаунтов из государственных и коммерческих организаций.

С технической точки зрения в ответе за это сама цифровизация, которая сделала возможным единовременное покушение на большие объемы чувствительной информации. Но она является далеко не единственной причиной роста нарушений в области оборота ПДн, считает Урван Парфентьев, координатор Центра безопасного интернета, ведущий аналитик  РОЦИТ .

Еще одна причина кроется в том, как сервисы запрашивают и используют избыточные данные, не являющиеся необходимыми для предоставления конкретной услуги. 

Низкая культура обращения с собственными данными среди пользователей также играет важную роль в том, что данные оказываются в руках преступников. 

Пользователь зачастую является слабым местом в системе финансовой безопасности, что подтверждается расцветом телефонного мошенничества.

Кроме того, не стоит недооценивать и сверхконцентрацию данных, обусловленную правовыми причинами. 

Способы снизить риски:

• распределенное хранение;

• четкая политика по обработке ПДн. 

Децентрализация хранения данных повышает стоимость незаконной добычи персональных данных, а профессионально составленное пользовательское соглашение предполагает строго ограниченный срок хранения данных оператором.

Интересный факт

Согласия на обработку персональных данных зачастую составляются таким образом, чтобы предоставить оператору ПДн максимальное количество данных и максимальную свободу в обращении с ними на едва ли не бесконечный срок.

Практика дачи согласия на каждую конкретную единицу персональных данных конкретному оператору на определенный срок встречается редко. 

Пример сбора избыточных данных: портал государственных услуг при запросе узконаправленной образовательной услуги стремится получить большое количество ПДн вплоть до информации о владении недвижимостью и водительских данных заявителя. 

подробнее

По мнению Урвана Парфентьева, неотрегулированность  комплаенса  в области ПДн в первую очередь обусловлена отсутствием реальных санкций за нарушения, связанные с оборотом персональных данных. Решением проблемы могло бы стать создание работающих, четко отлаженных правовых механизмов. 

В первую очередь усилия по совершенствованию законодательства при этом должны быть направлены в сторону уменьшения избыточности и сверхконцентрации данных вкупе с развитием механизмов избирательного пользовательского контроля над ПДн.

Политика конфиденциальности

Проинформировать пользователей о защите их персональных данных призвана  политика конфиденциальности  сервиса, который эти данные собирает. Однако и тут не все прозрачно и просто. Зачастую пользователи просто не читают написанные мелким шрифтом несколько десятков листов текста соглашения об обработке данных. 

Роскачество совместно с  АНО «ПравоРоботов»  озаботились этической стороной этого вопроса и запустили проект по выявлению лучших практик и цифровых сервисов для населения. Всего в рамках исследования было проверено порядка десяти направлений, включающих более 140 сервисов.

Никита Куликов, генеральный директор АНО «ПравоРоботов», в своем докладе поделился любопытными фактами о том, как обстоят дела с политиками конфиденциальности наиболее популярных категорий сервисов.

• При проверке сервисов родительского контроля выяснилось, что антивирус McAfee следит не только за устройством пользователя, но и за остальными устройствами в сети, не скрывая, что собирает данные для маркетинговых целей, в частности, рассылки рекламных сообщений.

• Сравнение 14 мобильных браузеров показало, что лишь малая часть их политик имеет указание о хранении данных на территории РФ и соблюдении российского законодательства.

• Практически ни один из сервисов каршеринга не прописывает в договоре-оферте свою ответственность за сбои в приложении и оставленные в салоне вещи.

• Неплохие результаты показали менеджеры паролей, хотя и в этой категории нашелся сервис (Bitwarden), который передает информацию о пользователе третьим лица, не называя эти лица конкретно. Лишь три менеджера паролей из 15 при этом имеют русскоязычную версию политик конфиденциальности.

• Недостаточно хорошо дела обстоят в отрасли доставки продуктов. Даже у больших компаний, которые переводят свою доставку из офлайна в онлайн, политики конфиденциальности были далеки от идеала.

• Интересно, что у социальной сети «Одноклассники» были обнаружены сразу две действующие политики конфиденциальности на русском языке. Выяснилось, что одна из политик была оформлена на российскую, а другая – на кипрскую компанию. Причем над второй политикой приоритет имела ее англоязычная версия.

• Хорошей практикой является составление сокращенной версии политики доступным языком, но счет внедривших ее компаний идет на единицы.

Антон Куканов, заместитель руководителя Роскачества, дополнил доклад Никиты Куликова интересными выводами об этичном использовании данных: 

• 4% сервисов в политике не указывают объем, вид и категорию обрабатываемых персональных данных;

• 34% передают данные третьим лицам, не указывая идентификаторы;

• 59% не указывают точного срока обработки и хранения ПДн; 

• 16% вообще не указывают срок хранения и обработки; 

• 9% не прописывают требования по получению согласия у субъекта на передачу ПДн;

• 20% сервисов передают данные третьим лицам для рекламной и маркетинговой активности;

• при этом более 50% россиян не читают договоры перед подписанием.

В будущем планируется, что результаты этих исследований станут основой для онлайн-сервиса по анализу политик конфиденциальности, где простой индикатор поможет пользователю решить, насколько он готов доверять тому или иному сервису, а также пользователь сможет скачать понятное руководство по чтению политик. Такой подход позволит не только призвать компании к более этичному обращению с чувствительной информацией, но и научить пользователей быть осторожными, когда дело касается предоставления доступа к их персональным данным.