Тезисы вебинара «Антифрод 3.0: персональные данные и противодействие кибермошенничеству»
На вебинаре обсудили предлагаемые изменения в регулировании персональных данных, связи и интернет-сервисов, задачи «Антифрод 3.0», его возможное влияние на бизнес и вопросы, требующие уточнения.
Зачем нужен «Антифрод 3.0»
- Кибермошенничество превратилось из отдельной проблемы связи и финансового сектора в системный вызов для операторов, банков, интернет-платформ и государства.
- Предыдущие пакеты мер закрыли часть мошеннических схем, но злоумышленники быстро адаптируются и используют новые технологии.
- Среди актуальных угроз названы серые SIM-карты, подмена номеров, массовые рассылки и социальная инженерия.
- Третий пакет рассматривается как продолжение работы, начатой в 2022 году, и как способ распространить регулирование на новые сегменты цифровой инфраструктуры.
- Меры вводятся поэтапно, поскольку государству и бизнесу требуется время на создание или перестройку систем противодействия мошенничеству.
- Одновременное введение всех требований могло бы привести к длительной адаптации бизнеса и затруднить практическое исполнение закона.
- Рассматривается перспектива дальнейшего развития регулирования: после согласования текущей редакции может начаться работа над «Антифродом 4.0».
Персональные данные: новые правила и основания обработки
- Проект предполагает, что нормативные акты будут определять для отдельных целей обработки состав персональных данных и допустимые действия с ними.
- Возможность принимать такие акты предусматривается для федеральных органов власти; соответствующие полномочия могут получить также региональные и муниципальные органы и Банк России.
- Общий запрет на согласие как основание обработки не предлагается. Сохраняется принцип добровольности, а требовать согласие можно только в предусмотренных случаях.
- Новые требования могут затронуть не только согласия, но и обработку данных на основании договора или законного интереса.
- Если специальные нормативные акты не будут приняты, компаниям, вероятно, придётся опираться на другие законные основания и учитывать сложившуюся практику.
- Законный интерес может стать более востребованным основанием, но для его применения потребуется обосновывать цель обработки, интерес организации и соблюдение прав субъекта данных.
- Договор не должен использоваться как повод для избыточного сбора данных. В него не следует включать обработку сведений, не необходимых для исполнения договора.
- Обсуждалась необходимость пересмотреть формулировки пользовательских соглашений, в том числе положения о согласии, которое якобы возникает из-за бездействия пользователя.
Согласия в ЕСИА
- Предполагается собрать сведения о согласиях в ЕСИА, чтобы человек мог узнать, кто и какие данные о нём обрабатывает.
- Через систему может быть предусмотрена возможность отозвать согласие и обратиться с жалобой в надзорный орган.
- Единый перечень согласий потенциально упростит гражданам контроль за использованием персональных данных.
- Пока неясно, какие именно согласия и сведения потребуется передавать в систему, а также какие из них будут доступны самому субъекту данных.
- Остаётся открытым вопрос, как связывать согласие с конкретным человеком, если в нём указаны идентификаторы, не совпадающие с данными ЕСИА.
- На сайтах часто оставляют имя, номер телефона или электронную почту; эти сведения могут быть неполными, меняться или не совпадать с идентификаторами пользователя в государственной системе.
- Не определено, как в ЕСИА будут отражаться согласия, полученные в бумажной форме, и потребуется ли переводить их в машиночитаемый вид.
- Интеграция может потребовать выполнения дополнительных требований к информационной безопасности. Не у каждой небольшой или средней компании есть ресурсы для самостоятельного подключения.
- Обсуждался риск дублирования данных и затрат на их хранение в нескольких форматах и системах.
- Возможность оформить согласие на распространение персональных данных через портал Роскомнадзора, согласно обсуждаемой редакции, предлагается исключить: согласие планируется получать непосредственно у оператора.
- Компании должны будут провести аудит процессов, убрать согласия «на всякий случай» и определить, где обработка может основываться на договоре, законе или законном интересе.
- Для DPO и юридических подразделений это означает дополнительную работу: пересмотр договоров, локальных документов и оснований обработки, а также оценку действий подрядчиков, которым поручена обработка данных.
- В ходе обсуждения также отмечалось, что в судебной практике встречается использование иных правовых оснований вместо согласия на поручение обработки или распространение данных.
Идентификация, SIM-карты и хранение данных
- В отношении интернет-сервисов обсуждается требование идентифицировать пользователя: доступ к услуге должен быть связан с конкретным человеком и его данными.
- Продолжается работа над контролем оборота SIM-карт и использованием eSIM.
- В частности, обсуждаются ограничения на повторное использование абонентского номера при переходе с обычной SIM-карты на eSIM без дополнительной идентификации клиента.
- В рамках третьего пакета рассматриваются меры для провайдеров хостинга и вопросы, связанные с сертификатами безопасности и национальной инфраструктурой удостоверения.
- Обсуждались и правила идентификации иностранных граждан при использовании отдельных услуг электронной коммерции.
- Отдельный блок касается хранения сведений об авторизации и попытках входа в информационные системы.
- В обсуждаемой версии фигурирует срок хранения до трёх лет, однако окончательные требования к сроку и объёму информации ещё не определены.
- Для компаний длительное хранение может означать существенные расходы на оборудование и инфраструктуру.
- В качестве возможных решений обсуждались переходный период для бизнеса и сокращение срока хранения.
- В ходе дискуссии напоминалось, что требования к хранению данных и техническим системам в прошлом уже вводились постепенно и корректировались с учётом практических трудностей.
- Отдельно обсуждалась работа систем оперативно-разыскных мероприятий. Подчёркивалось, что технические обязанности бизнеса не означают автоматического доступа к любым данным: применимы установленные законом ограничения и требования о защите тайны частной жизни и переписки.
- В качестве предполагаемой даты вступления изменений в силу называлось 1 марта 2028 года. При этом отсутствие переходного периода в проекте вызывает вопросы о сроках подготовки компаний.
Массовые рассылки и агрегаторы SMS
- Обсуждается ограничение на использование персональных данных в массовых рассылках, если для этого нет надлежащего правового основания.
- Предполагается, что массовое сообщение в общем случае не должно содержать персональные данные получателя, если такая обработка не обоснована.
- Практическое применение нормы пока не вполне ясно: многое будет зависеть от вида рассылки, её цели и имеющихся у отправителя оснований обработки.
- Одной из задач регулирования называется борьба с недобросовестными агрегаторами SMS-рассылок.
- Заказчик может передавать посреднику список абонентских номеров, но происхождение данных и законность их использования не всегда прозрачны.
- Оператор связи располагает сведениями о своих абонентах и несёт перед ними ответственность, поэтому обсуждается усиление роли операторов при оказании таких услуг.
- Отдельное лицензирование агрегаторов рассылок в рамках обсуждаемой инициативы не планируется.
- Наряду с этим затрагивалась более широкая тема реформы лицензирования в сфере связи: действующая система лицензий, по оценке участников обсуждения, нуждается в обновлении.
Интернет-звонки и возможность повлиять на регулирование
- Обсуждалась работа сервисов, которые передают голос через интернет, а затем позволяют совершать звонки в телефонные сети.
- Для таких услуг рассматривается специальная нумерация и обновление правил её использования.
- Предполагается, что отдельный абонентский номер может применяться как для общения внутри приложения, так и для выхода на обычные телефонные сети.
- Речь идёт о регулировании услуги, а не об отказе от неё: интернет-звонки востребованы, но их предоставление должно соответствовать требованиям связи.
- Отдельные сервисы, не соблюдающие требования российского законодательства, могут подпадать под меры надзора.
- Участвовать в обсуждении проектов можно через портал regulation.gov.ru: для этого предлагается направлять обоснованные и мотивированные замечания.
- Замечания и предложения регистрируются, а регулятор должен рассмотреть их и дать мотивированный ответ.
Риски регулирования и зарубежный опыт
Главный риск дальнейших изменений — чрезмерное количество запретов и блокировок, способное затормозить развитие новых услуг.
При разработке мер важно одновременно защищать граждан, учитывать потребности бизнеса и сохранять возможность технологического развития.
Российский подход к противодействию мошенничеству описывался как особый; прямое сравнение с другими странами затруднено из-за различий в масштабах населения, географии и инфраструктуре.
В качестве примера обсуждались возможные ограничения на работу агентов и субдилеров операторов связи.
Такая мера могла бы затронуть большое количество небольших предпринимателей и точек продаж, поэтому при её разработке важно учитывать последствия для рынка.
Что компаниям стоит сделать уже сейчас
В заключительной части вебинара прозвучала рекомендация не ждать окончательного принятия всех норм, а уже сейчас провести аудит бизнес-процессов.
Аудит поможет выяснить, какие данные собираются, для чего они нужны и на каком основании обрабатываются.
Практическая подготовка включает пересмотр согласий, договоров и внутренних документов, отказ от избыточного сбора данных и проверку работы подрядчиков.
Окончательные требования будут зависеть от итоговой редакции закона и подзаконных актов, содержание которых на момент вебинара ещё обсуждалось.
