Публикую обещанную открытую часть материалов. По ссылке можно прочитать обзор 16 удостоверяющих центров из которых 9 государственные и во всех из них можно получить персональные данные в виде ФИО, места работы, email, ИНН и СНИЛС по физ. лицам через общедоступные реестры сертификатов. В общей сложности это около 63 тысяч записей о физ. лицах.

Ссылка на исследование: https://begtin.tech/pdleaks-p1-uc/

Это очень длинный лонгрид, с документированными примерами и скриншотами по каждому случаю, а также последовательностью воспроизведения.

Обратите внимание на то что:
- исследование проводилось в августе-сентябре 2018 года и в некоторых случаях проблема уже исправлена, но в это меньшая часть УЦ в которых вскрылась подобная ситуация;
- никаких несанкционированных действий в отношении УЦ не проводилось, был анализ только общедоступной информации;

В данном конкретном случае с удостоверяющими центрами проблема в регулировании и в применении этого регулирования УЦ. Подробнее об этом в тексте.

И, я ещё раз оговорюсь, публикуемое - это меньшая часть общего исследования по ситуации с персональными данными в созданных или регулируемых государством информационных системах. Во многих других случаях ситуация значительно хуже.

#data #privacy #personaldata

⚡️ Иван всегда был моим героем, но сегодня он герой на всю страну. И дело тут не в хайпе. А потому что нормальные деловые вопросы с государством (или связанными структурами) почему-то решаются зачастую только хайпом. С другой стороны - это ведь и есть одна из задач СМИ и рычаг общественного контроля. Итак:
ПЕРСОНАЛЬНЫЕ ДАННЫЕ В РФ И ИХ СОХРАННОСТЬ
https://t.iss.one/begtin/1385

3-ю часть исследования про персональные данные из государственных информационных систем я не публиковал сам, а передал РБК. Почему? Вы поймёте это прочитав только что вышедшую статью https://www.rbc.ru/politics/15/05/2019/5cdac8469a79479a27bd4eca о том чьи паспортные данные оказались в открытом доступе. И не только паспортные данные.

В открытом доступе я на днях опубликую открытую часть, без методик воспроизведения.

После прошлой публикации мне "оборвали телефон" журналисты так что сразу ответы на несколько вопросов:
1. Всё это было передано журналистам через 8(!) месяцев после того как материалы передавались Роскомнадзору и они даже отвечали в форме "с чем-то мы согласны, с чем-то несогласны". Роскомнадзору это передавалось после того как значительно ранее часть госорганов я предупреждал что такая проблема в их информационных системах есть, не прореагировал _никто_.
2. По наиболее серьёзным утечкам перс-данных органы власти, операторы систем были предупреждены ещё 8 месяцев назад, а то и раньше. Некоторые по нескольку раз. Лично я понял что механизм предупреждения любыми неформальными способами - не работает.
3. В этот раз проблема не в объёме, а в том чьи данные раскрываются.
4. Особо про Минюст. Я скажу максимально вежливо - очень много вопросов по профессионализму тех кто ведёт их реестры. Утечки перс данных - это лишь один из примеров крайне низкого качества данных в целом.

И да, конечно же, это не все государственные информационные ресурсы на которых публикуют персональные данные. Это та их часть до которой у меня дошли руки полгода назад всё задокументировать.

Самый быстрый способ со мной связаться это почта [email protected] или телеграм https://t.iss.one/ibegtin
Я обычно, почти никогда не беру звонки с городских телефонов, и могу не взять звонок с неизвестного телефона если сижу на совещании. Поэтому лучше писать чем звонить.

Но в принципе в статье в РБК всё понятно изложено.

#privacy #security #personaldata

#гильотина #PersonalData
#Законопроект о внесении изменений в ФЗ «О персональных данных», разработанный #Минцифра #Минкомсвязи, согласно заключению нашего эксперта из #РАНХиГС, содержит коррупциогенные факторы, в том числе связанные с нарушением самого порядка «регуляторной гильотины»:
- нормативные коллизии: в карточке проекта указано одно наименование, в файле – другое;
- определение компетенции по формуле "вправе": обязательные требования «могут устанавливаться», а не устанавливаются;
- юридико-лингвистическая неопределенность: в части новых обязательных требований о «целеполагании» обработки персональных данных;
- установление неопределенных, трудновыполнимых и обременительных требований: новое требование о «целеполагании» персональных данных не прошло #ОРВ, что могло бы потребовать соразмерной отмены иных требований в соответствии с принципом #1in1 #ОдинЗаОдин
- чрезмерная свобода подзаконного нормотворчества: в части установления обязательных требований к правовым основаниям обработки персональных данных, в том числе в подзаконных НПА (сами правовые основания, по сути, и так являются обязательными требованиями)

💥 Резонансный проект постановления Правительства РФ о передаче операторами связи информации, необходимой для мониторинга достоверности сведений об абонентах вызвал широкое обсуждение в СМИ - @izvestia публикуют мнение доцента ВШЭ и заместителя председателя профильной комиссии Московского отделения АЮР Александра Савельева, которое цитируют каналы @privacyexperts @Orwell_Reality
✍ Не отрицая значимость аргументов, указанных А.Савельевым, отметим, что операторам связи стоит поучиться у @usher2 тому, как писать в Минэкономразвития (@MinEconomyrf) жалобы по факту неверного определения степени регулирующего воздействия проекта.
🎯 Потому что переквалификация на высокую степень воздействия сразу же "включает" правило #ОдинЗаОдин #1in1out об отмене соразмерного объема требований, которое разработчику придется как-то исполнять.
👉 Обращаем внимание, что публичное обсуждение проекта продлится до 5 апреля 2021 г.
#Минцифры #ОРВ #связь #телеком #PersonalData #data #данные

Монетизация обезличивания

Активное обсуждение проекта федерального закона, посвященного изменению регулирования обезличенных персональных данных идет последние две недели во многих каналах:
@rspectr @ict_moscow_ai @DataEconomyRU @GDPRru @privacyexperts @bureaucraticsecurity @Lgltech @Persdata @rks_legal_talk @roskomsvoboda @antidigital
Но пока аргументы всех сторон про обезличивание / анонимизацию носят исключительно качественный характер.
Ни пояснительная записка к законопроекту, ни традиционно пустое ФЭО, ни обсуждаемые поправки не содержат никаких расчетов:
- издержки операторов персональных данных на сбор / хранение согласий на обработку данных;
- издержки операторов на обезличивание;
- оценка ущерба субъектов персональных данных при использовании их данных без согласия или при де-обезличивании;
- объем рынка big data (ведь весь сыр-бор именно из-за него) и перспективы его роста в России.
При отсутствии этих данных любые правовые модели носят исключительно умозрительный характер, скрывая реальные цели лоббистов любой из продвигаемых моделей регулирования.
Короче, покажите ваши мозоли расчёты!
#PersonalData #data #данные #BigData #EvidenceBased

Принуждение к ОдинЗа Один. Кейс # 1. Часть 2

Роскомнадзор не учел заключение нашего эксперта из #РАНХиГС на проект своего приказа, устанавливающего требования к согласию на обработку персональных данных, разрешенных к распространению.
В данном случае очевидна противоречивость позиции РКН, поскольку он сам определил степень регулирующего воздействия как высокую, а теперь в ответе эксперту утверждает, что новые обязанности "для граждан и операторов не устанавливаются".
При этом, видимо, под влиянием заключения, в доработанном сводном отчете таки отражена оценка расходов (п. 11), однако РКН указал в качестве адресатов регулирования только субьектов персональных данных, оценив их расходы в 0. Предположим, что ноль, но почему не дана оценка издержек операторов персональных данных??
👨🏻‍🏫 Остается надеяться, что коллеги из Минэкономразвития (@MinEconomyrf) учтут сии обстоятельства при подготовке заключения об ОРВ на данный проект.
#ОРВ #АКЭ #РКН #PersonalData #ОдинЗаОдин #1in1out #SCM #МСИ