Идентификация без согласия

Об опасности превращения обезличенных данных в персональные

Рекламные агентства, поисковики, социальные сети и многие другие интернет-площадки давно собирают сведения о посетителях. А нейронные сети умеют их обрабатывать. Таким образом, в условиях правового вакуума сформировался рынок больших пользовательских данных (БПД). В России созданы рабочие группы экспертов, обсуждающих новеллы закона, который должен обозначить стандарты доступа и методы обработки массивов личной информации.

Собирают все

Популярные технологии таргетинга могут изменить жизнь человека. Но в повседневности контекстные адресные объявления фоном сопровождают пользователей в интернет-поиске.

Корпорации не скрывают, как с помощью файлов cookie [1] персонализируют предложения. Пользователям гарантирована конфиденциальность и даже возможность уйти из фокуса рекламодателей.  

Обезличенные данные об интересах и привычках людей в интернете собирают все, кому не лень. Социальные сети, разнообразные счетчики на сайтах, камеры, поисковики, фитнес-трекеры… Эксперты иронизируют, что спецслужбам уже не нужна слежка за человеком – для получения нужных сведений достаточно подключиться, например, к медицинскому гаджету.

Недавно технологию обработки данных о поведении клиентов приобрел «Сбербанк». Платформа Segmento позволит кредитному учреждению использовать самый большой на российском рынке объем данных о поведении покупателей. 

[1] Технологии cookies дают обезличенную информацию о посетителях сайтов. Применяются для статистического отслеживания моделей устройств, локации, трафика, интересов пользователя.

Продажа массивов информации

Как и в каких целях глобальный бизнес будет через несколько лет использовать накапливаемую сегодня информацию, никому не известно, отметил на конференции «Защита персональных данных 2017» генеральный директор компании «Ашманов и партнеры» Игорь Ашманов.

В условиях правового вакуума происходит утечка и перепродажа больших пользовательских данных за рубеж, отметил эксперт. Действительно, в США в 2017 году был принят закон о свободной продаже БПД операторами.
 
Интернет-профиль при этом оценивается в 10-20 долларов. Конечные покупатели данных неизвестны, что создает риски для миллионов граждан. Эксперты считают, что БПД – хотя и являются сырой информацией, но позволяют вычислить персональные данные (ПД). Сведения из разных источников дают аналитикам возможность выявлять повторяющиеся паттерны в процессах, чего нельзя достичь при одномоментном исследовании.

О том, что у посторонних людей есть возможность с помощью рекламных сообщений воспользоваться пользовательскими данными, недавно сообщили исследователи из Вашингтонского университета. Они продемонстрировали, как злоумышленник, создав на карте сеть объявлений, настроенных на конкретного человека, получает карту его перемещений.  

Пользовательские данные – собственность нации

О необходимости регулирования рынка услуг, связанных с оборотом личностных идентификаторов и их производных не раз говорил руководитель Роскомнадзора Александр Жаров. В том числе на международных площадках. На конференции в Китае в декабре 2017 года глава ведомства отметил, что «цифровая личность» формируется и хранится трансграничными мировыми сервисами, находящимися в частной собственности. «И отдельные пользователи, и национальные, страновые интересы попадают в зависимость от конкретного трансграничного обработчика массивов данных», - заявил глава РКН.
 
О сегодняшней глубокой идентификации личности, которая не была предусмотрена российским законом «О персональных данных», принятым в 2006 году, еще в 2015 году упоминал помощник президента Игорь Щеголев.  

Он обратил внимание на то, что с развитием интернета вещей данные, по которым можно будет однозначно вычислить человека, не всегда могут быть квалифицированы напрямую как персональные.
 
И. Ашманов считает, что ПД являются подмножеством БПД. И нормы соответствующего закона должны быть интегрированы с положениями закона «О персональных данных».  

О том, что БПД надо отделить от собственно ПД не единожды высказывался и замминистра связи Алексей Соколов.

В ноябре 2017 года глава РКН сообщил, что работа над детальной проработкой регуляторики в области БПД – от понятийного аппарата до конкретных правовых актов - уже идет на нескольких площадках отрасли.
 
СМИ рассказывали, что в ноябре 2016-го к этой теме подключились Минкомсвязь и Институт развития интернета (ИРИ). Совместно с Координационным центром национального домена сети интернет они создали рабочую группу (РГ). В нее вошли А. Соколов и советник президента по интернету Герман Клименко. Рассматривается в том числе идея создания госоператора для регулирования БПД.  

По словам заместителя директора Координационного центра доменов .RU/.РФ по правовым вопросам, руководителя рабочей группы (РГ) по большим данным Сергея Копылова, за время деятельности РГ были составлены словарь основных терминов и основные рекомендации для разработки норм правового регулирования индустрии Big Data. Ориентировочно в феврале 2018 года планируется открытое заседание РГ, на котором будет представлен отчет, который сегодня проходит ряд согласований.

БПД должны стать собственностью нации, поскольку пользователи пока не могут их контролировать, считает И. Ашманов. Об этом заявляла и гендиректор InfoWatch Наталья Касперская.  

Стоит отметить, что вопросы регулирования «цифровых следов» пользователей входят в госпрограмму «Цифровая экономика». В частности, в документе говорится о принятии национальных стандартов обработки массивов больших данных и многом другом.

Михаил Емельянников, управляющий партнер консалтингового агентства «Емельянников, Попова и партнеры»:

Пока и в России, и в мире «большие пользовательские данные» – достаточно абстрактный термин, обозначающий данные, формально не подпадающие под определение персональных данных, но характеризующие конкретного пользователя сети Интернет, абонента мобильной связи, чье местоположение известно, человека, попавшего в поле зрения систем видеонаблюдения, пассажира метро или автобуса, предъявившего на входе социальную карту, владельца автомобиля, передающего телеметрическую информацию производителю или в автосервис. Этот человек, может быть, и не был идентифицирован оператором, т.е. его имя и иные признаки, устанавливающие его личность, оператору не известны, но оператор отличает его от других посетителей сайта, покупателей магазина, пассажиров, водителей и так далее.

Если собрать данные от различных источников и свести их вместе, тому, кто может это сделать, станет известно о человеке значительно больше, чем он предполагал, посещая сайт или входя в метро. Поэтому никакой единый, а тем более государственный оператор таких данных не нужен, и регулирование должно заключаться только в одном – полном и тотальном запрете консолидации данных из таких разнородных источников у одного лица без явного и доказываемого на то согласия субъекта персональных данных. И нет необходимости плодить новые сущности, все эти сведения вполне подпадают под существующее определение персональных данных, и Роскомнадзор уже минимум два года привлекает в судах к административной ответственности операторов связи, продающих рекламораспространителям профили пользователей сети Интернет для таргетирования рекламы, квалифицируя это не только как нарушение закона о персональных данных, но и как нарушение лицензионных требований к оператору связи об охране тайны связи. И никакие дополнительные законы для этого не нужны.

Безусловно, новая реальность, в которой живет цифровая личность, строго говоря, не известная, не верифицированная и не идентифицированная владельцем интернет-ресурса, со временем потребует законодательного и нормативного регулирования. Для этого надо будет решить очень много вопросов – является ли аккаунт пользователя социальной сети с неподтвержденным именем, с неизвестно чьим фото или пользователя, присутствующего в сети под никнеймом, его персональными данными, что из содержащегося в cookie-файлах является персональными данными, а что – нет. Я, например, очень сомневаюсь, что сведения о поддержке браузером Java-скриптов являются персональными данными пользователя, как и динамические IP-адреса.

И пока эти вопросы не решены и выработано какое-то консолидированное мнение, регулировать эти вопросы не только не надо, но и очень опасно, тем более, что целью регулирования должна стать защита прав и свобод пользователя, а вовсе не ограничение деятельности оператора или консолидация таких данных у какого-то одного лица.

Алексей Королюк, генеральный директор REG.RU:

В большинстве своем обмен пользовательскими данными отрегулирован законодательствами стран, в том числе законом о защите ПД в РФ. Подобные законы сами по себе четко защищают чувствительную для граждан информацию. Иные данные, которые пользователь может предоставить системам анализа и сбора данных, носят анонимный характер.

В Европе в мае 2018 года вступает в силу закон, описывающий требования и условия оборота ПД, который требует уведомлять и специальным образом охранять данные граждан Евросоюза.

Говорить о том, что большие персональные данные являются дорогостоящими, некорректно, поскольку в интернете и в любом цифровом товаре цена всегда стремится к нулю, поскольку возможна бесконечная повторяемость/копируемость полученных данных.

Иван Шевельков, генеральный директор юридического центра «Высшая инстанция»:

В сериале «Карточный домик» был эпизод – выяснилось, что один из участников президентской гонки собирает данные о предпочтениях и поведении пользователей. Он смог объяснить избирателям, что целью такой работы была максимальная вовлеченность в проблемы граждан, но изначально факт был обнародован противниками в ожидании снижения доверия к политику. Такая ситуация, хоть и в художественном повествовании, многое говорит о реакции масс на внедрение подобных технологий.

Действительно, вопрос о регулировании пользовательских данных можно воспринять в качестве попытки всего лишь усилить контроль над каждым гражданином. И здесь, смею предположить, будет масса недовольства, так как любого вида внедрение в личное пространство многие не приветствуют. Кроме того, привлечение мобильных и интернет-операторов к этой работе, наверное, повлечет за собой повышение тарифов на связь, так как сбор больших объемов данных затратен сам по себе. Популярность вопроса о Telegram – снова на горизонте. Также важно отметить, что контроль работы операторов при этом должно осуществлять государство, так как, если оставить это без контроля, данные могут использоваться во вред гражданам и системе в целом.

Законотворчество могло бы стать эффективнее, если бы система обработки позволяла гражданам получать информацию и участвовать в обсуждении норм, как имеющихся, так и формирующихся в режиме онлайн.

Алексей Ефремов, ведущий научный сотрудник Центра технологий госуправления РАНХиГС при президенте РФ:

Регулирование обработки больших данных тесно связано с вопросами защиты ПД. Например, в Совете Европы в январе 2017 года Консультативный комитет Конвенции о защите прав физических лиц при обработке персональных данных (T-PD) разработал Руководящие принципы защиты физических лиц в отношении обработки персональных данных в мире больших данных.  

Данные принципы содержат ряд рекомендаций:

• любая обработка больших данных с использованием ПД должна соответствовать требованиям свободного, конкретного, информированного и четкого согласия, а также принципам ограничения задачи, справедливости и транспарентности;

• те, кто обрабатывают данные, должны предоставлять легкий и адаптированный для пользователя технический способ для отдельных лиц отзывать свое согласие;

• контролеры и обработчики данных должны оценивать возможное влияние обработки больших данных на права человека, например, путем создания комитетов по этике. Они должны осуществлять оценку риска и разрабатывать решения регулирования рисков целевым способом или по умолчанию;

• техническое обезличивание данных может сочетаться с юридическими или договорными обязательствами о предупреждении возможной повторной идентификации соответствующих лиц.

Указанные рекомендации могут быть реализованы и в российском законодательстве. Создание государственного оператора больших пользовательских данных, по моему мнению, не окажет существенного влияния на улучшение защиты прав граждан, однако само по себе несет дополнительные риски информационной безопасности.

Александр Смоленский, директор по развитию бизнеса «Цифра»:

Лидеры общественного мнения в индустрии и руководители крупнейших организаций говорят, что информация - это новая нефть, главный товар наступающей цифровой экономики. При этом у рынка есть некоторое невысказанное ожидание, что добывать эту новую нефть будут все желающие, без концессий и налогов. Ожидание это, прямо скажем, слишком оптимистично. Есть вполне различимый голос поставщиков цифровых решений, операторов связи и в целом IT-компаний, обращенный к крупным промышленным предприятиям, финансовым организациям и другим владельцам данных: «Что же вы такие, «феодалы»? В таком подходе со стороны владельцев данных нет ничего удивительного. Если в информации есть ценность, то у нее есть стоимость. И рассчитывать на то, что кто-то будет кидать в вашу сторону денежные средства, довольно наивно.

Нам нужен рынок, в котором те, кто создает или аккумулирует данные, несомненно их контролирует, но не имеет на них безусловных неотъемлемых прав. Должна быть возможность их получить по определенным правилам: купить на рынке, выиграть в государственном тендере, взять в концессию, положить на условный «депозит». Не должно быть ситуации, когда монополист или просто очень крупный в своей области игрок просто сидит на своем «феоде» и не подпускает туда никого.

Рынок еще даже не начинали регулировать, но первые прецеденты можно называть положительными. Например, в октябре этого года суд отклонил иск «Вконтакте» к компании Double Data, которая использует открытые данные для предоставления своих услуг. На мой взгляд, данные дочерних организаций не должны принадлежать материнской компании напрямую, особенно у компаний с госучастием. Данные обработанные, проанализированные и обогащенные это не то же самое что первичные данные, и принадлежат они тому, кто их создал, а не источнику первичных данных.

Возможно, имеет смысл создать не единого государственного оператора больших пользовательских данных, а организации в рамках каждой индустрии (по принципу СРО), которые будут обеспечивать управление данными, определять принципы их передачи, обмена, продажи. На первый взгляд, это дополнительный бюрократический орган. Но если мы оставим рынок «как есть», то его участники будут вести себя консервативно, бояться «продешевить», и в результате внедрение цифровой экономики затянется на долгие десятилетия.

Яков Гродзенский, руководитель направления информационной безопасности компании «Системный софт»:

Вопрос больших пользовательских данных, фактически — это вопрос пользовательских данных одного человека, но с эффектом масштаба. Речь идет о базовых правах граждан с точки зрения защиты конфиденциальности их ПД. 

Сейчас в России нет обязательного использования строгой аутентификации в соцсетях, а также правовых механизмов, позволяющих однозначно определить, что человек предоставил свои данные площадке добровольно. Из-за этого уже есть судебные прецеденты выигранных исков против операторов Big Data, собирающих информацию о пользователях соцсетей. По причинам, указанным выше, эти данные нельзя считать общедоступными и соответственно использовать их. 

Я полагаю, что ограничивать право на использование информации пользователей без их согласия надо. Но я абсолютно не уверен, что оператор больших данных должен быть государственным.

Изображение: RSpectr.com, lori.ru