Аналитический центр RPPA

🏦 Ответ ФНС на письмо АРБ "О проблеме раскрытия персональных данных представителей кредитных организаций при оформлении МЧД"
🔸АРБ ранее в своем письмо указало на то, что зная уникальный номер МЧД, ИНН доверителя, ИНН представителя возможно получать персональные данные руководителя банка / ЕИО, а также представителя банка по МЧД в неограниченном доступе и неограниченное количество раз (как при проверке МЧД на действительность на сайте ФНС России (по реестру ФНС), так и путем скачивания МЧД в формате PDF). В формате PDF также подгружается и изображение собственноручной подписи руководителя банка / ЕИО с его собственноручной расшифровкой в читаемом виде (не зашифрованной).
🔸В рамках рассматриваемой проблемы усматриваются существенные риски недобросовестного использования охраняемых действующим законодательством раскрываемых в избыточном объеме персональных данных представителей банков, а также собственноручной подписи руководителя банка / ЕИО, что особо актуально в настоящее время по причине увеличения видов и форм совершения мошеннических действий в финансовой сфере.
🏛️ Ответ ФНС: единое блокчейн хранилище машиночитаемых доверенностей (МЧД) – распределенный реестр ФНС России обеспечивает выполнение всех требований текущего законодательства и нормативных правовых актов Российской Федерации в части отмены, хранения, использования и предоставления машиночитаемых доверенностей.

В первой половине апреля банки должны отчитаться перед ЦБ о способах анализа деятельности их платежных агентов. Внимание регулятора может стать еще более пристальным из-за трагедии в «Крокусе» — неконтролируемые P2P-платежи, в том числе через созданную ЦБ систему быстрых платежей (СБП) с использованием подставных лиц используются при финансировании терроризма. Пока ни регулятор, ни законодатели ограничивать такие переводы не хотят, однако правила идентификации при трансакциях могут стать строже.

“Ъ” стали известны подробности уголовного преследования топ-менеджеров АО «Сирена-Трэвел» (разработчик системы бронирования авиабилетов Leonardo) Игоря Ройтмана и Александра Кальчука. По версии следствия, они не обеспечили хранение и защиту компьютерной информации, что привело к получению хакерами персональных данных пассажиров авиакомпаний.
Их вина в том, что данные пассажиров достались хакерам, предположительно связанным с Украиной, по версии следствия, была подтверждена показаниями ряда свидетелей, заключением специалистов, привлеченных следствием, и письмом ФСТЭК.
Оба стали подозреваемыми в совершении преступления, предусмотренного ч. 5 ст. 274.1 УК РФ (нарушение правил эксплуатации, хранения, обработки и передачи охраняемой компьютерной информации, содержащейся в критической информационной инфраструктуре Российской Федерации).

Замглавы по IT в компании «Сирена-Трэвел» (разработчик системы бронирования авиабилетов Leonardo) Игорь Ройтман задержан по делу о неправомерном воздействии на критическую инфраструктуру России

Банки кроме биометрии смогут использовать еще один способ идентификации клиентов — усиленную неквалифицированную электронную подпись приложения «Госключ». Внедрение этого инструмента предложили члены комитета Госдумы по финансовому рынку. https://www.banki.ru/news/lenta/?id=11001451&utm_source=yxnews&utm_medium=mobile&utm_referrer=https%3A%2F%2Fdzen.ru%2Fnews%2Fsearch%3Ftext%3D

Пилот по обслуживанию в отделениях МФЦ по биометрии без паспорта запустят до конца года, сообщили «Известиям» в аппарате вице-премьера Дмитрия Григоренко. Протестировать нововведение планируют в Челябинской, Липецкой и Ленинградской областях, а затем могут распространить и на другие регионы РФ.

В КоАП предлагают ввести новую статью за преследование и нарушение частной жизни. Если при этом используют информационно-телекоммуникационные сети, в том числе интернет (интересно, а как без него —ПД), то это будет отягчающим обстоятельством. Просто за преследование предлагают штраф — 2 тысячи рублей, с использованием интернета — 3 тысячи. Такой законопроект подготовил к внесению в Госдуму глава комитета по труду Ярослав Нилов. Сегодня в РФ нередки случаи анонимного преследования публичных людей, бывших супругов, подростков, но ситуация пока никак не регулируется.

Проблема «серых» SIM-карт, казалось бы, достаточно понятна телеком-отрасли. И всё же она стала тем самым «слоном в комнате», которого упорно стараются не замечать. С мошенничеством мы сегодня сталкиваемся чуть ли не каждый день, и телефонные номера — участник почти каждой скам-схемы.

Повод поднять эту проблему дал билайн своим документальным фильмом «Темная сторона телекома», который вышел на YouTube. Конечно, фильм в первую очередь будет интересен простому абоненту, но надеемся, что он даст старт осознанной общественной дискуссии, в которой поучаствуют как телеком-операторы, так и государство.

Президент ПАО «ВымпелКом» Александр Панков положил этой дискуссии начало и предлагает вполне реализуемые меры. Приводим некоторые:

➖ Ограничение количества сим-карт, которые можно выдать «в одни руки»
Вряд ли одному пользователю понадобится их больше, скажем, ста, как это показано в видео билайна на графике — а мошенники регистрируют их как раз сотнями.

➖ Подключить к проблеме Роскомнадзор
Ситуация с «серыми» SIM вполне однозначная: штрафы в адрес нарушителей были бы справедливой мерой.

➖ Активация SIM только после регистрации абонента
Такой подход позволит добавить больше контроля в процесс выдачи и использования сим-карт.

Даже странно, что нечто подобное до сих пор не реализовано.

У разработчика российской системы бронирования Leonardo «Сирена-Трэвэл» (входит в «Ростех») проходят обыски, сообщили «Ъ» источники на рынке. По данным одного из собеседников, оперативные мероприятия в офисе компании на Ленинградском проспекте проводят сотрудники МВД, ФСБ и Росгвардии.
По словам другого знакомого с ситуацией источника, «действия связаны с масштабными атаками на IT-инфраструктуру российской системы бронирования билетов, с которыми компания столкнулась осенью прошлого года». https://www.kommersant.ru/doc/6616311?tg
Компания уведомила правоохранительные органы «об инцидентах в сфере информационной безопасности, предоставляет доступ ко всем необходимым документам и данным в ходе расследования».
28 сентября 2023 года система Leonardo подверглась масштабной хакерской атаке, из-за которой у российских авиакомпаний, в частности всей группы «Аэрофлот», «Уральских авиалиний» и Red Wings, возникли перебои с регистрацией пассажиров.

Совет Федерации одобрил закон о введении штрафов до 1 млн рублей за спам-звонки от роботов и автоинформаторов, а также об ужесточении наказания для микрофинансовых организаций, размещающих неполную информацию об условиях займа: для юридических лиц - от 600 тыс. до 1,6 млн рублей (в действующей редакции - до 50 тыс. рублей и до 800 тыс. рублей соответственно)..

В России в 2024 г. может появиться единый центр исследования безопасности в сфере искусственного интеллекта (ИИ) по принципу CERT, т. е. обмена данными между участниками разных рынков и разработчиками ПО.

Правительство РФ предлагает во втором чтении законопроекта о введении огромных штрафов за нарушение в области персональных данных внести уточнения, касающиеся "соразмерности и возможности исполнения такого наказания". Проект положительного отзыва на законопроект есть в распоряжении ТАСС.
"В качестве смягчающего административную ответственность обстоятельства следует предусмотреть осуществление оператором денежной компенсации предполагаемого вреда, нанесенного правам субъектов персональных данных, а также осуществление оператором существенных ежегодных расходов в течение не менее трех лет, предшествующих правонарушению, на мероприятия по обеспечению информационной безопасности персональных данных", - следует из документа.

«Отпечаток мозга» по аналогии с отпечатком пальца научились делать российские ученые. В Институте проблем управления им. В. А. Трапезникова РАН провели исследование идентификации личности человека по активности головного мозга.

13% пользователей отказываются от входа в интернет-магазин при сложных требованиях к паролю, 23% — из-за отсутствия удобного способа авторизации. При этом сложные пароли люди часто забывают и сбрасывают (40%). Для того чтобы сохранить заветные буквы и цифры пользователи записывают их (33%), запоминают (20%) или пользуются менеджерами паролей (14%).
Такие результаты показало исследование Edna.
Удобнее всего пользователям авторизовываться через код в SMS (27%), социальные сети (VK ID) (24%), электронную почту (23%), биометрию (20%), мессенджеры (19%).
С 1 декабря 2023 года в силу вступил закон, запрещающий авторизацию на российских сайтах через иностранные сервисы, такие, как Google и Apple ID. Изменения направлены на улучшение защиты персональных данных. Теперь пользователи могут авторизоваться с помощью мобильного телефона (с российского номера), портала госуслуг, биометрии или российских VK ID и "Яндекс ID".

Россияне 30,6 млн раз воспользовались цифровым профилем в 2023 году, посчитал ЦБ. С ним работали 66 банков, 29 микрофинансовых организаций, восемь страховых организаций, три ОФП, три УК, одна НКО, один НПФ и ГК "АСВ". Организации использовали цифровой профиль для заполнения кредитных анкет, получения кредитов (в том числе ипотечных), страховых услуг (включая оформление полисов ОСАГО и каско), микрозаймов и других услуг.
Станислав Шилов из BSS считает, что 30 млн — это немного. "Для сравнения, в среднем в 2023 г. через "Госуслуги" подавалось свыше 48 млн заявлений в месяц - если к этому прибавить еще количество обращений банков и иных финансовых организаций за данными в государственные системы, то число будет больше на несколько порядков", - объяснил Станислав Шилов.

Мошенники стали выдавать себя за сотрудников налоговой службы и рассылать по электронной почте письма с требованием предоставить декларацию о доходах, предупредили в Центробанке. Новая схема опасна прежде всего тем, что злоумышленники могут получить доступ к персональным данным человека и информации о реквизитах банковской карты. "Известия" разбирались, как бороться с этим явлением.
Руководитель юридической службы IDX Михаил Тевс считает, что бороться с мошенничеством можно двумя способами. Во-первых, повышением сетевой и финансовой грамотности пользователей. Второе — это развитие сервисов идентификации, прозрачности и доверия.

Инсайдер РКН: и далее без шуток, к сожалению

Прошел очередной ивент с участием РКН во Франко-российской торгово-промышленной палате. РКН представлял Юрий Евгеньевич Контемиров. Мы, как всегда, собрали любопытные тезисы.

🔵И все же бизнес может обезличивать ПД в соответствии с Приказом № 996. Для этого, однако, потребуется правовое основание. Какое? РКН сделал акцент только на основании п. 9 ст. 6 152-ФЗ (обработка ПД в статистических или иных исследовательских целях), по мнению регулятора оно подходит для большинства потребностей бизнеса.

🔵Если происходит сличение фото и видео с камер видеонаблюдения с информацией в социальных сетях / иных открытых и не только источниках, то такая обработка может подпадать под признаки обработки биометрических ПД. Это очевидно. А РКН спасибо за то, что напомнил всем – для признания аутентификации биометрической вовсе не обязательно, чтобы условный вектор лица метчился с идеальным образцом, подкрепленным, например, паспортными данными. Акцент на самом алгоритме работы. Отговорки в стиле – мы установили, что это кто-то похожий на Ваню, но не наверняка, да мы и не знаем точно ли это Ваня – не пройдут!

🔵Не планируется перенос ответственности за утечку на провайдера облачных услуг. Ведь у оператора есть полномочия проводить систематические проверки своего подрядчика, в том числе в части соблюдения требований безопасности ПД. Признавайтесь, когда последний раз проверяли своего облачного провайдера? 🙂

🔵24 часа на уведомление об инциденте начинаются с момента установления факта утечки, даже если факт установлен в выходной или праздничный день. Да-да, у нас такое было однажды 5 января, и РКН ждал уведомление под Рождество...

🔵Для нестрогих согласий на обработку ПД следует собирать информацию о третьих лицах, обрабатывающих ПД, в отдельный список по ссылке из согласия. Такой список должен быть опубликован на официальном сайте оператора. В этом списке должны быть указаны цели передачи ПД третьим лицам.

🔵Не так страшен Приказ Минцифры России № 1187, как его малюют: три факта несоответствия информации в уведомлении и в Политике конфиденциальности должны быть установлены в разные временные периоды. РКН сравнивает уведомление, Политику конфиденциальности и доступные ему процессы обработки ПД. Смотрят в том числе цели обработки ПД, информацию об обрабатываемых ПД, категориях субъектов ПД, действиях с ПД.

🔵Основание обработки ПД представителя контрагента – договор между оператором и контрагентом + или исполнение требований ГК, если выдана контрагентом представителю доверенность, или трудовой договор, если представитель контрагента взаимодействует с вами в рамках своих трудовых обязанностей. В общем какая-то неразбериха. А почему все так сложно? Верно, потому что законный интерес все еще не материализовался для РКН 🙂

Для урегулирования претензий в рамках судебного иска о слежке за пользователями, которые запускали режим «инкогнито» в браузере, Google обязался уничтожить «миллиарды записей», связанных с приватным поиском в Интернете.
Иск был подан в 2020 году, компанию обвинили в нарушении конфиденциальности миллионов интернет-пользователей путём отслеживания их онлайн-действий через браузеры, запущенные в private-режиме. В прошлом году Google согласился выплатить $5 млрд. Теперь стали известны и другие детали.
Помимо уничтожения данных, IT-гигант обязуется обновить раскрываемые сведения с целью информировать пользователей о том, какие данные собирает компания каждый раз, когда человек включает режим «инкогнито».

В ближайшие пять лет Google также должен предоставить возможность пользователям, задействовавшим приватный режим, блокировать сторонние файлы cookie.

⚡ Что делать, если военкомат отказал в ИТ-отсрочке от срочной службы

Ежегодный призыв на срочную службу стартовал в России 1 апреля. ИТ-специалистам, соответствующим ряду критериев, положена отсрочка. Для её получения айтишники заранее подавали заявления на Госуслугах. Теперь с 1 апреля по 15 июля призывная комиссия будет принимать решения об отсрочке от срочной службы.

Если вдруг в вашем военкомате возникла техническая накладка и вас не нашли в списках, пишите нам на help@digital.gov.ru. Все вопросы находятся на контроле и решаются Минцифры в ручном режиме максимально оперативно.

Что нужно написать сотруднику на указанную почту
⚫️ ФИО
⚫️ название компании с указанием ИНН
⚫️ номер заявления на Госуслугах
⚫️ суть проблемы
⚫️ мобильный телефон для связи
⚫️ фото повестки (обязательно, без неё не рассматриваем)

Основные случаи, по которым военкомат может не найти сотрудника в списках
➖ компания ошиблась в данных специалиста
➖ специалист поменял военкомат, когда списки уже были поданы
➖ специалист поменял место работы, и новый работодатель не успел подать списки

❗ Ещё раз обращаем внимание компаний и специалистов. Важно придерживаться установленных правил: вовремя подавать списки на Госуслугах, а также соответствовать всем критериям для отсрочки. В рамках весеннего призыва заявления от сотрудников принимались до 6 февраля.

@mintsifry

Министерство обороны России вместе с регионами прорабатывает увеличение спектра социальных услуг, которые будут подключаться к электронному удостоверению ветерана боевых действий. Об этом сообщил начальник направления Главного военно-политического управления Вооруженных сил РФ Николай Данилов.
Карта объединяет в себе сразу три продукта: это непосредственно само удостоверение, банковская карта и социальная карта. На карту поступает денежное довольствие, все положенные выплаты. Также на нее можно подключить федеральные и региональные соцвыплаты. На обратной стороне карты указаны персональные данные, номер удостоверения для идентификации военнослужащего, сообщили в МО.
Между тем, пока нет информации, что кто-то из военнослужащих получил эту замечательную карту.