Проработка проблемы персональных данных - вопрос актуальный. Только в Петербурге и Ленобласти зарегистрировано около 344 тысяч юридических лиц, каждое из которых так или иначе запрашивает, обрабатывает и хранит информацию о своих работниках и клиентах. При этом Роскомнадзор проводит лишь около 28-30 проверок в год, что явно не позволяет понять, все ли компании соблюдают правила.
Случается, что коммерческие компании манипулируют имеющимися сведениями по своему желанию и обрабатывают куда больше данных, чем нужно. Цели, кстати, достаточно простые. Это может быть "безобидное" выстраивание отношений с клиентами - будущими покупателями новых услуг. Для этого учитываются данные о поле, возрасте, социальном и демографическом статусе человека, его финансовых возможностях. Своеобразный психологический портрет, с которым затем работают маркетологи. Или - что куда опаснее - продажа данных на теневой рынок который уже сегодня оценивают в сотни миллиардов рублей.
Наряду с размытостью термина "персональные данные" стоит и проблема их удаления из информационных структур. Как показывает практика проверок, зачастую компании не избавляются от информации по достижении целей ее обработки. Многие организации используют системы, попросту не обладающие таким функционалом. По словам ведущего консультанта Центра информационной безопасности "Инфосистемы Джет" Павла Новожилова, в этом и заключается одна из основных коллизий в законодательстве.
- С одной стороны, в нормативно-правовой базе указано, что по достижении целей обработки персональных данных допускается их обезличивание и уничтожение. С другой - на практике представители Роскомнадзора считают обезличивание информации нарушением закона. Для устранения разночтений в настоящий момент подготовлено предложение о внесении изменений, четко разрешающее оба варианта действий, - поясняет эксперт.
Сегодня также отсутствует регулирование сбора и дальнейшей передачи различной метаинформации о пользователях. Под метаинформацией понимаются сведения, которые к персональным данным отнести сложно, но при использовании специальных средств они могут дать много интересной информации о человеке. Например, куки - текстовые файлы, в которые браузер записывает данные с посещенных сайтов. Они отлично подходят для получения информации о целевой аудитории.
В первую очередь в качестве возможного выхода из проблем специалисты предлагают увеличить денежные штрафы за невыполнение требований ФЗ "О персональных данных". Сегодня, к примеру, за "обработку персональных данных без письменного согласия субъекта" с юрлица могут взыскать лишь от 15 до 75 тысяч рублей. Также эксперты предлагают сделать прозрачную систему обработки данных.
По словам юриста Павла Патрикеева, нужно не только уточнить понятие, но и ввести категорию специальных операторов персональных данных.
- Законодательство не знает оттенков: данные либо персональные, либо нет. Отсутствует ряд понятий, существующих на практике, но недоступных в теории: "регистратор доменных имен", "хостинг-провайдер". Именно они должны определять специфику деятельности оператора. Также необходимо уточнить и обновить ряд процедур на уровне подзаконных нормативных актов, связанных с лицензированием деятельности по обработке и передаче данных, сделать их понятнее, - уверен эксперт.
Нужно отметить, что после того как Фонд развития интернет-инициатив подготовил проект изменений в закон "Об информации", в Сети произошел "наплыв" новостей о том, что теперь граждане смогут зарабатывать на своих персональных данных неплохие деньги: от 15 до 60 тысяч рублей в год. Как оказалось, эти цифры не только не обоснованы, но и выдуманы: им просто неоткуда взяться - у разработанного проекта совсем иной смысл. По словам участника рабочей группы ФРИИ Антона Городецкого, речь в документе идет об информации, "не позволяющей определить, к какому конкретному физическому лицу она относится" - а значит, разговор о выплате в пользу отдельных физических лиц просто невозможен.
Законопроект, наоборот, предполагает, что операторы создадут на своих сайтах личные кабинеты, где люди смогут запрашивать информацию, касающуюся их персональных данных, получать ее в доступном и понятном виде, а также отзывать, полностью или частично, данное ранее согласие на обработку.