Персонально ваш

Адреса, телефоны, долги, счета и покупки граждан перестали быть их личным делом: персональная информация продается на каждом углу. Справится ли с электронным разбоем новое законодательство?

Утечки

«Пятьсот рублей, но можно поторговаться, — молодой мужчина нагибается к стеклу автомобиля. — Девушек ведь часто обижают на дорогах, может быть, и вам понадобится адрес хулигана». Такую цену попросили за «самую свежую базу ГИБДД». Предприимчивый парень предлагал систематизированные персональные сведения в ассортименте, например, БТИ, МГТС. Причем «все самое новое, 2006 года».

«Работает» молодой человек в центре Москвы, на углу Серебрянической набережной и Яузской улицы. Но таких же «дилеров» можно встретить еще на десятке оживленных перекрестков. А чтобы не полагаться на случай, можно приехать на любой радиорынок и выбрать то, что нужно. Есть еще более простой путь — заказать информацию через Интернет. Причем во всех выше перечисленных случаях продавцы остаются совершенно безнаказанными.

Описанный выше разговор состоялся буквально на следующий день после того, как стало известно об очередном скандале — утечке информации о клиентах крупных сетевых магазинов, оформлявших покупки в кредит. В середине августа ряд банков и бюро кредитных историй получили по электронной почте предложения купить эту базу. По словам продавцов, она содержит информацию о более чем 700 тысячах заемщиков: их фамилии, имена и отчества, домашние адреса и телефоны, магазины, где были совершены покупки, сумма покупки и кредита, просрочки и так далее и тому подобное. За такие детали продавцы просят 90 тысяч рублей.

«Итоги» задались вопросом, сможет ли остановить тотальный электронный разбой недавно подписанный президентом Закон «О персональных данных», авторы которого считают, что их детище прогрессивнее европейских аналогов.

В помощь разведчику

Нелегальная торговля информацией держится, разумеется, не на тех, кто хотел бы сделать сюрприз, прислав любой девушке букет цветов с курьером. «Это серьезное подспорье в бизнес-разведке, — считает один из авторов нового закона «О персональных данных» Михаил Якушев, ранее возглавлявший департамент правового обеспечения Мининформсвязи России, а теперь являющийся директором по правовым и корпоративным вопросам Microsoft в России и СНГ — Ведь утечка из информационных систем персональных данных может выявить фамилии и домашние адреса учредителей любой компании, а по данным из налоговой инспекции и таможни можно определить, как там идут дела». В России этот бизнес возник в начале 90-х годов. Первой его «жертвой» стала МГТС — информация о ее абонентах появилась в продаже в 1992 году и обновляется с завидной регулярностью. В 1996 году в открытом доступе оказались сведения об абонентах сотового оператора «ВымпелКом», а в 2002 и 2003 годах — МТС. В том же 2003 году в Санкт-Петербурге «достоянием гласности» стали списки абонентов компаний «Мегафон», «Телеком XXI», «Северо-Западный Телеком» и «Петерстар».

Ну а в феврале 2005-го случилось, казалось бы, немыслимое: в продажу поступила информация о банковских операциях Центробанка в 2003—2004 годах, которую с мая того же года можно приобрести уже в обновленной редакции. Дальше — больше. В ноябре прошлого, 2005 года были обнародованы данные о доходах почти 10 миллионов жителей Москвы и области. Сегодня в Интернете можно отыскать данные о регистрации и адресах фактического проживания более 1 б миллионов частных лиц, о сделках по жилым и нежилым помещениям Москвы с подробной информацией о собственниках и арендаторах. База «Таможня-2006» содержит подробную информацию о покупателе и поставщике, о банках, обслуживающих сделку, и даже предполагает ежемесячное обновление. Можно узнать все подробности обо всех пассажирских перевозках по земле и по воздуху. Словом, добыть можно почти все что угодно. Цена вопроса — не более 1000 рублей. Есть спрос, значит, есть и предложение.

Информационное поле

Конечно, такое публичное «раздевание» мало кому нравится. Если в одной из продаваемых баз вы вдруг найдете собственный адрес, телефон, паспортные данные, то можете подать в суд на то юридическое лицо, которое должно было обеспечивать безопасность информации. Можете даже попробовать урегулировать конфликт в досудебном порядке, написав жалобу. Но в лучшем случае придется довольствоваться официальными извинениями. Как пояснили «Итогам» в Мининформсвязи, практики компенсации ущерба в подобных ситуациях в нашей стране до сих пор нет. Чтобы получить возмещение, надо доказать, что ущерб — моральный или материальный — был нанесен. «Сегодня эти вопросы решаются в порядке гражданского судопроизводства, — поясняет Якушев. — И вы должны самостоятельно доказывать, что вам причинен ущерб и кто именно его нанес». А это мало кому удается.

До суда и приговора было доведено лишь дело о торговле через сайт в Интернете данными об абонентах «Билайна», МТС и «Мегафона». Среди злоумышленников оказались и сотрудники «Вымпел-Кома». Нарушителей обязали выплатить штрафы (максимум — 93 тысячи рублей). Однако сайт функционирует до сих пор. Как и множество других подобных ему интернет-ресурсов. Во всех остальных случаях конкретных виновников не нашли.

По поводу последнего случая с утечкой кредитных историй тоже пока нет никаких официальных сведений. До сих пор доподлинно неизвестно, на каком этапе произошла утечка — в магазине, банке, бюро кредитных историй или же Центральном каталоге кредитных историй. «Ни бюро кредитных историй, ни ЦККИ ни при чем, — заверяет «Итоги» глава Национального бюро кредитных историй Александр Викулин. — В Центральном каталоге хранится лишь ссылка, в каком бюро есть информация о данном заемщике. А в самом бюро данные о заемщике хранятся в различных файлах и собрать их в единую базу проблематично». Участники рынка склоняются к тому, что в воровстве информации виновны сотрудники магазинов или банков. Дескать, далее банка информация, в каком именно магазине была совершена покупка, не идет. И вообще банкиры, включая главу Ассоциации российских банков Гарегина Тосуняна, уверены, что база фальшивая. Видимо, из-за разгоревшегося скандала ни милиции, ни банкам пока не удалось заполучить ее полностью, а значит, и установить ее подлинность.

Правда, авторитетный эксперт в информационных технологиях, пожелавший остаться неизвестным, уверен, что банки все же причастны к этому делу хотя бы косвенно. «Еще до возникновения кредитных бюро банки обменивались стоп-листами по заемщикам, — рассказал наш источник. — В основном такие черные списки обращаются между службами безопасности банков на условиях бартера. Отчего же не поделиться с коллегами информацией? » Подавляющее большинство записей в таких стоп-листах касалось физических лиц, которым в принципе нельзя выдавать кредит. Например, это те, кто находится в федеральном розыске или имеет непогашенную судимость. Содержалась там и информация о недобросовестных плательщиках. Но главное то, что при таком активном обмене каналов для утечки становится значительно больше, а доверия к банкам и кредитным бюро — меньше. Когда прошлым летом кредитные истории начали сводить в единый каталог, банкиры клялись и божились, что тайна будет охраняться на самом высоком уровне. Как говорится, не прошло и года.

Личное дело

27 июля президент РФ подписал сразу два закона — «Об информации, информационных технологиях и о защите информации» и «О персональных данных». Первый регулирует общие положения в сфере поиска, получения, передачи и распространения информации, а также ее защиты. По этому закону, в частности, запрещается требовать от гражданина предоставления информации о его частной жизни. Второй определяет меру ответственности организаций и частных лиц по защите личной информации граждан. Михаил Якушев поясняет: «После вступления этого закона в силу любые персональные данные по общему правилу могут быть опубликованы только с согласия гражданина». После вступления закона в силу за защитой своих интересов нужно будет обращаться в специальный надзорный орган. Какой именно, законодатели еще не определили, но большинство экспертов склоняются к тому, что его функции возьмет на себя Россвязьнадзор.

У этой структуры Мининформсвязи уже есть и соответствующий опыт, и разветвленная сеть. Как говорят в министерстве, новый уполномоченный орган возьмет на себя защиту частных интересов. Причем санкции могут быть применены не только по отношению к непосредственным продавцам, но и к тем, кто, пользуясь служебным положением, добывает, или, проще говоря, ворует сведения. То есть если случилась утечка информации, например о клиентах компании мобильной связи, то претензии будут предъявлены соответствующему юрлицу. «Этот (надзорный) орган потребует от оператора предъявить письменное заявление, в котором вы разрешаете ему распространять ваши персональные данные», — пояснили нам в Мининформсвязи. Без письменного разрешения клиента никакие данные не могут выходить за пределы той организации, что их собирает.

«Закон «О персональных данных» прогрессивнее, чем его европейские аналоги», — говорят в Мининформсвязи. Если сейчас надо писать заявление и платить деньги оператору фиксированной связи, чтобы он убрал номер вашего домашнего телефона из своей базы данных, то по новому закону, наоборот, оператор должен будет заручиться вашим согласием на публикацию та кой информации.

Существенно сузится и круг организаций, которые будут иметь право собирать подобные сведения. По мнению разработчиков, на сегодняшний день слишком много желающих переписывать наши паспортные данные. Во многих компаниях, в том числе и некоторых государственных, службы безопасности копируют паспорта, оформляя пропуск визитерам. «Скоро их действия окажутся вне закона. Да и какая может быть законная цель у охранников какой-то торгово-закупочной компании, когда они собирают паспортные данные посетителей? » — недоумевает Михаил Якушев. В отдельных случаях надзорный орган, может, и разрешит продолжать такую практику, но придется объяснять, зачем собирается информация и как она будет использована в дальнейшем.

Другой характерный пример — дисконтные карты. Чтобы получить по ним скидку, необходимо совершить покупку на определенную сумму. Зачем при этом администрации магазина знать домашний и электронный адрес покупателя, действительно непонятно, теперь у них такой возможности не будет.

Авторы закона рассчитывают и на то, что расследования по искам граждан позволят обнаружить источник утечки той или иной информации.

Правда, как будут наказываться нарушители Закона «О персональных данных», пока неизвестно. Законодатели собираются определиться с наказаниями во время осенней сессии, чтобы успеть к тому моменту, когда закон вступит в силу. Причем если авторы закона прописали лишь административную ответственность, то депутаты настроены более жестко, они готовы ввести и уголовную. В данном случае они ориентируются на Запад: в странах Евросоюза за подобные нарушения злоумышленнику грозят гигантские штрафы — до полумиллиона евро -и даже тюремное заключение.

Поможет ли такой подход пресечь воровство баз данных? Верится в это с трудом, ведь хорошо известно, что главный фактор снижения преступности — это не суровость наказания, а его неотвратимость. Но с правоприменительной практикой у нас проблемы, большинство продаваемых баз данных и так представляют собой какую-либо охраняемую законом тайну, например коммерческую. Однако о громких делах в связи с подобной утечкой информации что-то не слышно. Да и поймать за руку нарушителей нелегко.

Рынок нелегальных баз данных претерпел за последние два года существенные изменения. «Раньше он контролировался четырьмя фирмами, оказывавшими, помимо прочего, вполне легальные услуги, — рассказывает эксперт по информационным технологиям. — Они вполне могли позволить себе принимать оплату по безналичному расчету, якобы оказывая консультационные услуги». Оборот этого нелегального рынка был примерно два миллиона долларов в год, но эта цифра отражает лишь объем розничной продажи. А стоимость некоторых заказов может достигать и нескольких тысяч долларов. При этом ущерб от распространения информации, составляющей коммерческую, банковскую и прочие тайны, подсчитать просто невозможно. Ведь конкуренцию крупным игрокам составляют полчища студентов-технарей, которые копируют и продают базы данных на конвейерной основе. Попробуй их перелови.

Разработчики закона рассчитывают на то, что само общество будет активно противостоять нелегальным умельцам. Спору нет, население становится юридически более грамотным и готово бороться за сохранность своих секретов. Если появится реальная перспектива того, что претензии будут разбираться, а нарушители наказываться, то можно не сомневаться, что на надзорный орган обрушится лавина исков. Обращены они будут не к мелким жуликам, а к компаниям, формирующим базы данных и отвечающим за их конфиденциальность по новому закону. Тогда им и придется всерьез позаботиться о защите информации.

Автор: Милена Бахвалова

Источник: «Итоги» № 35, 28.08.2006