Коми­тет Гос­ду­мы по инфор­ма­ци­он­ной поли­ти­ке, инфор­ма­ци­он­ным тех­но­ло­ги­ям и свя­зи пла­ни­ру­ет углуб­лён­но разо­брать инци­дент с утеч­кой дан­ных жите­лей Моск­вы, пере­бо­лев­ших коро­на­ви­рус­ной инфек­ци­ей. Депу­та­ты и ранее регу­ляр­но полу­ча­ли обра­ще­ния от моск­ви­чей по пово­ду каче­ства защи­ты дан­ных из сто­лич­ных систем. Об этом «Пар­ла­мент­ской газе­те» ска­зал гла­ва коми­те­та Алек­сандр Хинштейн.

Лич­ные дан­ные трёх­сот тысяч жите­лей Моск­вы, пере­бо­лев­ших коро­на­ви­ру­сом, попа­ли в откры­тый доступ. В рас­по­ря­же­нии пуб­ли­ки ока­за­лись их име­на, пас­порт­ные дан­ные, номе­ра СНИЛС и мобиль­ных теле­фо­нов, диа­гно­зы и даже адре­са пунк­тов сда­чи ана­ли­за.

В бли­жай­шее вре­мя про­бле­му защи­ты дан­ных в сто­лич­ных струк­ту­рах обсу­дит Коми­тет Гос­ду­мы по инфор­ма­ци­он­ным тех­но­ло­ги­ям. Там же уже гото­вят зако­но­про­ект об уси­ле­нии ответ­ствен­но­сти за неза­кон­ный обо­рот пер­со­наль­ных дан­ных, выяс­ни­ла «Пар­ла­мент­ская газе­та». Но кто поне­сёт ответ­ствен­ность за дан­ный инци­дент и что делать жерт­вам утечки?

Столичные власти подтвердили утечку персональных данных переболевших COVID-19 москвичей

Архи­вы дан­ных с пер­со­наль­ны­ми дан­ны­ми паци­ен­тов опуб­ли­ко­ва­ли в теле­грамм-чатах в ночь на 9 декаб­ря. В тот же день гла­ва Депар­та­мен­та инфор­ма­ци­он­ных тех­но­ло­гий (ДИТ) Моск­вы Эду­ард Лысен­ко под­твер­дил факт утеч­ки. По его сло­вам, систе­мы пра­ви­тель­ства Моск­вы никто не взла­мы­вал, а сама утеч­ка про­изо­шла «вслед­ствие чело­ве­че­ско­го фактора».

По дан­ным «Ком­мер­сан­та», в Сеть утек­ло более 300 тек­сто­вых и гра­фи­че­ских фай­лов общим весом око­ло одно­го гига­бай­та. Из них мож­но узнать име­на, адре­са, номе­ра теле­фо­нов и поли­сов ОМС, а так­же диа­гно­зы паци­ен­тов, про­хо­див­ших лече­ние от коро­на­ви­рус­ной инфек­ции в пери­од с апре­ля по июнь 2020 года. Ещё есть фото­гра­фии смарт­фо­нов с уста­нов­лен­ным мобиль­ным при­ло­же­ни­ем по мони­то­рин­гу само­изо­ля­ции, скрин­шо­ты из про­грам­мы «Мони­то­ринг забо­ле­ва­е­мо­сти 1С», где вид­ны пас­порт­ные дан­ные моск­ви­чей. В сво­бод­ном досту­пе ока­за­лись клю­чи досту­па к систе­ме учё­та паци­ен­тов, отме­ча­ют поль­зо­ва­те­ли Сети, изу­чив­шие «сли­тый» архив.

Иллюзия безопасности

Из утек­ших дан­ных вид­но, что для учё­та паци­ен­тов исполь­зо­ва­лись Google-таб­ли­цы. Факт при­ме­не­ния ино­стран­ных про­грамм гово­рит уже не про­сто о нека­че­ствен­ной защи­те дан­ных, а о низ­кой про­фес­си­о­наль­ной ком­пе­тен­ции и халат­но­сти чинов­ни­ков, счи­та­ет гла­ва Коми­те­та Гос­ду­мы по инфор­ма­ци­он­ной поли­ти­ке, инфор­ма­ци­он­ным тех­но­ло­ги­ям и свя­зи Алек­сандр Хин­штейн.

«Мы счи­та­ем, что уро­вень защи­щён­но­сти дан­ных, кото­рые соби­ра­ет Депар­та­мент инфор­ма­ци­он­ных тех­но­ло­гий Моск­вы, не соот­вет­ству­ет сего­дняш­ним тре­бо­ва­ни­ям и не явля­ет­ся без­опас­ным», — ска­зал он «Пар­ла­мент­ской газе­те». Он доба­вил, что его коми­тет полу­ча­ет мно­го обра­ще­ний от моск­ви­чей по этим вопро­сам, и в бли­жай­шее вре­мя пла­ни­ру­ет углуб­лён­но разо­брать инцидент.

Уро­вень защи­щён­но­сти дан­ных, кото­рые соби­ра­ет Депар­та­мент инфор­ма­ци­он­ных тех­но­ло­гий Моск­вы, не соот­вет­ству­ет сего­дняш­ним тре­бо­ва­ни­ям и не явля­ет­ся безопасным

По сло­вам Хин­штей­на, сто­лич­ный бюд­жет не жале­ет средств на внед­ре­ние новых тех­но­ло­гий, но то, как это испол­ня­ет­ся, «наво­дит на груст­ные мыс­ли: что эти день­ги не дохо­дят до конеч­но­го резуль­та­та, а рас­тво­ря­ют­ся где-то на полпути».

«Уве­рен, что мэр горо­да в дан­ном слу­чае явля­ет­ся таким же постра­дав­шим, как и моск­ви­чи, посколь­ку его обма­ны­ва­ют под­чи­нён­ные», — доба­вил парламентарий.

Кто ответит за утечку

По мне­нию Алек­сандра Хин­штей­на, пер­вым делом нуж­но уста­но­вить кон­крет­ных людей, при­част­ных к пуб­ли­ка­ции дан­ных паци­ен­тов. «Но так­же ответ­ствен­ность долж­ны нести и руко­во­ди­те­ли Депар­та­мен­та инфор­ма­ци­он­ных тех­но­ло­гий Моск­вы, кото­рые, повто­ряю, не суме­ли обес­пе­чить без­опас­ность и сохран­ность дан­ных», — под­черк­нул депутат.

Зако­но­да­тель­ство опре­де­ля­ет пер­со­наль­ные дан­ные как любую инфор­ма­цию, кото­рая пря­мо или кос­вен­но отно­сит­ся к кон­крет­но­му чело­ве­ку. Соглас­но зако­ну «О пер­со­наль­ных дан­ных», защи­щать такую инфор­ма­цию от раз­лич­ных угроз, в том чис­ле от непра­во­мер­но­го и слу­чай­но­го досту­па или утеч­ки, обя­за­ны опе­ра­то­ры пер­со­наль­ных дан­ных. Этим тер­ми­ном опре­де­ля­ют любые ком­па­нии и орга­ны вла­сти, кото­рые для сво­их нужд соби­ра­ют те или иные дан­ные о граж­да­нах. Служ­ба достав­ки взя­ла у чело­ве­ка номер теле­фо­на и его адрес — она счи­та­ет­ся опе­ра­то­ром пер­со­наль­ных дан­ных. Боль­ни­ца внес­ла в элек­трон­ную кар­ту диа­гноз и план лече­ния паци­ен­та — она ста­ла опе­ра­то­ром пер­со­наль­ных дан­ных. Депар­та­мент собрал со всех боль­ниц ста­ти­сти­ку о посту­пив­ших паци­ен­тах — он стал оператором.

Если опе­ра­тор пору­чит дру­гой ком­па­нии обра­ба­ты­вать дан­ные, то ответ­ствен­ность перед самим граж­да­ни­ном всё рав­но будет нести первый.

Сей­час след­ствию пред­сто­ит разо­брать­ся, отку­да имен­но про­изо­шла утеч­ка и кто кон­крет­но дол­жен нести ответ­ствен­ность, ска­зал «Пар­ла­мент­ской газе­те» зам­пред­се­да­те­ля Коми­те­та Гос­ду­мы по инфор­ма­ци­он­ной поли­ти­ке, инфор­ма­ци­он­ным тех­но­ло­ги­ям и свя­зи Андрей Свин­цов.

«Вооб­ще, утеч­ки дан­ных про­ис­хо­дят регу­ляр­но, и не все­гда они при­во­дят к нега­тив­ным послед­стви­ям. В любом слу­чае постра­дав­шие могут обра­тить­ся в суд, когда ста­нет поня­тен мас­штаб ущер­ба», — посо­ве­то­вал депутат.

Он напом­нил, что закон закреп­ля­ет пра­во субъ­ек­тов пер­со­наль­ных дан­ных (в нашем слу­чае это паци­ен­ты) обжа­ло­вать в судеб­ном поряд­ке дей­ствия или без­дей­ствие опе­ра­то­ра, если есть подо­зре­ние в том, что он не выпол­ня­ет тре­бо­ва­ния зако­но­да­тель­ства, в том чис­ле не защи­тил дан­ные от несанк­ци­о­ни­ро­ван­но­го досту­па. Такие граж­дане ещё впра­ве обра­тить­ся в суд с иском о воз­ме­ще­нии мораль­но­го вреда.

Что грозит виновным

За нару­ше­ние зако­но­да­тель­ства в части сохра­не­ния пер­со­наль­ных дан­ных преду­смот­ре­на как адми­ни­стра­тив­ная, так и уго­лов­ная ответственность.

Кодекс об адми­ни­стра­тив­ных пра­во­на­ру­ше­ни­ях поз­во­ля­ет при­влечь, напри­мер, за исполь­зо­ва­ние несер­ти­фи­ци­ро­ван­ных средств защи­ты инфор­ма­ции. Граж­да­нам за это могут выпи­сать штраф до 2,5 тыся­чи руб­лей, долж­ност­ным лицам — до трёх тысяч руб­лей, юри­ди­че­ским лицам — до 25 тысяч руб­лей. Ещё мень­ше запла­тит тот, кому вме­нят нару­ше­ние тре­бо­ва­ний о защи­те инфор­ма­ции: граж­да­нин — тыся­чу руб­лей, чинов­ник — две тыся­чи, ком­па­ния — 15 тысяч руб­лей.  За раз­гла­ше­ние све­де­ний с огра­ни­чен­ным досту­пом (к коим отно­сят­ся и пер­со­наль­ные све­де­ния) с граж­да­ни­на так­же взы­щут тыся­чу руб­лей, а с долж­ност­ных лиц — до пяти тысяч рублей.

Чуть серьёз­нее санк­ции для опе­ра­то­ров, не поза­бо­тив­ших­ся о сохран­но­сти обра­ба­ты­ва­е­мой инфор­ма­ции, что откры­ло к ним непра­во­мер­ный доступ или поз­во­ли­ло ско­пи­ро­вать и рас­про­стра­нить. В этом слу­чае граж­дане попла­тят­ся штра­фом в две тыся­чи руб­лей, долж­ност­ные лица — до деся­ти тысяч руб­лей, ИП — до 20 тысяч руб­лей, юрли­ца — до 50 тысяч рублей.

Суще­ству­ю­щие санк­ции, конеч­но, не отве­ча­ют тяже­сти соде­ян­но­го, кон­ста­ти­ру­ет Алек­сандр Хин­штейн. «С раз­ви­ти­ем циф­ро­ви­за­ции вопро­сы без­опас­но­сти дан­ных всё более акту­аль­ны. Сей­час про­филь­ный коми­тет с заин­те­ре­со­ван­ны­ми ведом­ства­ми гото­вит зако­но­да­тель­ные ини­ци­а­ти­вы, уси­ли­ва­ю­щие ответ­ствен­ность за неза­кон­ный обо­рот пер­со­наль­ных дан­ных, за их утеч­ку», — сооб­щил он «Пар­ла­мент­ской газете».

Про­филь­ный коми­тет с заин­те­ре­со­ван­ны­ми ведом­ства­ми гото­вит зако­но­да­тель­ные ини­ци­а­ти­вы, уси­ли­ва­ю­щие ответ­ствен­ность за неза­кон­ный обо­рот пер­со­наль­ных данных

Так как попав­шие в Сеть дан­ные содер­жа­ли диа­гно­зы и адре­са паци­ен­тов, то это гово­рит о раз­гла­ше­нии не про­сто лич­ных дан­ных, но и вра­чеб­ной тай­ны и тай­ны част­ной жиз­ни, кото­рая охра­ня­ет­ся Кон­сти­ту­ци­ей. Неза­кон­ное рас­про­стра­не­ние таких дан­ных вле­чёт уже уго­лов­ную ответ­ствен­ность, кото­рая пред­по­ла­га­ет несколь­ко вари­ан­тов нака­за­ния: от штра­фа в 300 тысяч руб­лей до лише­ния сво­бо­ды на четы­ре года.

Дей­ствия тех, кто при­ча­стен к инци­ден­ту, так­же могут ква­ли­фи­ци­ро­вать по ста­тье УК РФ о непра­во­мер­ном досту­пе к охра­ня­е­мой зако­ном ком­пью­тер­ной инфор­ма­ции, что повлек­ло её копи­ро­ва­ние. За это мож­но попасть в тюрь­му на два года или отде­лать­ся штра­фом до 200 тысяч рублей.

Источ­ник: «Пар­ла­мент­ская газета»