LINUX.ORG.RU

Законопроект об ответственности за неправильную систему авторизации на сайтах

 ,

Законопроект об ответственности за неправильную систему авторизации на сайтах

2

4

Группой депутатов во главе с первым зампредом комитета по информационной политике, информационным технологиям и связи Антоном Горелкиным внесен в Госдуму законопроект, устанавливающий административную ответственность за авторизацию в интернете на сайтах/приложениях/информационных системах не предусмотренными законом способами.

Сами требования к авторизации пользователей вступили в силу с 01 декабря 2023 года, однако за их неисполнение до настоящего времени не предусмотрено какой-либо ответственности.

Данные требования установлены частью 10 статьи 8 закона «Об информации, информационных технологиях и о защите информации». Они предусматривают, что если владельцем интернет сайта/программы/информационной системы является российское физическое или юридическое лицо и оно осуществляет свою деятельность в сети Интернет на территории РФ, то авторизация пользователей, находящихся на территории РФ, должна производиться c применением:

  1. номера мобильного телефона;
  2. госуслуг;
  3. биометрии;
  4. российских сервисов авторизации (типа vk.com, mail.ru, yandex.ru, банковских ID).

Если авторизация пользователей в принципе не осуществляется, то на этот случай требования данной статьи не распространяются.

Предполагаются следующие суммы штрафов:

  1. на граждан – от 10 до 20 тыс. руб.;
  2. на должностных лиц – от 30 до 50 тыс. руб.;
  3. на юр. лиц – от 500 до 700 тыс. руб.

При этом не следует путать первоначальную регистрацию пользователей на каком-либо ресурсе и его авторизацию в каждый раз при входе на него (как я ошибочно видел на одном из новостных сайтов). В законе речь идет об авторизации пользователей. Таким образом, сохранить для уже зарегистрированных пользователей старый порядок авторизации не получится.

>>> Страница законопроекта



Проверено: hobbit ()
Последнее исправление: hobbit (всего исправлений: 4)
Ответ на: комментарий от thegoldone

Phone Verified Account. Их продают сотнями и тысячами.

Ну тут я бы уточнил,что договориться с «маргинальной личностью» об оформлении симки на его паспорт мне,как обычному человеку, не составляет проблемы. А вот купить PVA или левую симку на «профильных ресурсах» я даже близко не представляю как. Вот прихожу я в местный офис сбербанка со своим паспортом и прошу перевести деньги за это (куда?). А потом еще и по своему паспорту получаю бандероль с симкой на местной почте? Как-то слишком странно это выглядит.

watchcat382
()
Ответ на: комментарий от watchcat382

Вот прихожу я в местный офис сбербанка со своим паспортом и прошу перевести деньги за это (куда?). А потом еще и по своему паспорту получаю бандероль с симкой на местной почте? Как-то слишком странно это выглядит.

PVA – это без сим-карты. Но они не дают возможности принять СМС. Просто аккаунт, который уже подтверждён через телефон. А вход по логину и паролю. Но это старая тема. Для подтверждения входа они не подойдут. Я лишь имел ввиду, что телефоны не проблема для создания поддельных аккаунтов. Большое количество не проблема.


Можно просто зайти на ресурс, который предоставляет виртуальный телефон. Обычно все бесплатные телефоны уже везде где только можно зарегистрированы. Но за отдельную плату можно купить пачку чистых. Арендовать. Плата за аренду номера на время. Или множества номеров. Причём всё официально и легально. Где-то за границей сервис. Номера разных стран на выбор.

Вы заходите на сайт. Там список СМС которые пришли. И на какой номер. Ваш личный кабинет.

thegoldone ★★
()

Поясните для тупых. У меня есть сайт, в котором рега по капче:

  1. username
  2. password
  3. captcha

Всё, больше ничё нет. Ни почты, ни телефона. Просрал пароль - соболезнуем, сбросить не получится. А логинятся юзеры так:

  1. username
  2. password

Так чо, по этому закону мне надо прикручивать телепхоне намбер, почту или госуслуги или всё сразу или не нужно? Спосибо.

lesopilorama
()
Ответ на: комментарий от praseodim

какая логика за всем вот этим вот стоит

Чот заржал. Какая ещё логика?) Движуха (с).

piyavking ★★★★★
()
Ответ на: комментарий от recei

Я это про то что это не истинная цель этого закона.

mx__ ★★★★★
()
Ответ на: комментарий от watchcat382

надо предложить и пряник

разве у вас нет возможности аутентификации на сайте через: госуслуги, яндекс, сбер, ВК, … ? Есть. Пользуйтесь. А вот гугл, фейсбук, инстграм, твитер/х, … использовать не надо. Просто ведь

futurama ★★★★★
()
Последнее исправление: futurama (всего исправлений: 2)
Ответ на: комментарий от lesopilorama

Так чо, по этому закону мне надо прикручивать телепхоне намбер, почту или госуслуги или всё сразу или не нужно? Спосибо.

Закон определяет понятие персональных данных очень широко. Буквально это «любая информация» которая относится (прямо или косвенно) к конкретному человеку. Известна ли личность данного человека, при этом не важно. Важна лишь принципиальная возможность установления его личности. В интернете такую принципиальную возможность дают IP-адреса. Для установления личности по IP-адресу нужны две половинки информации: со стороны internet service provider’a и со стороны владельца сайта, на который зашел человек,– но принципиально это дело не меняет. А если на сайте установлен сторонний сервис аналитики (типа google analytics, cloudflare insigts, yandex metrica) или рекламы, то становится возможна идентификация пользователей и иными способами (cookies, browser cache, tls session IDs, fingerprinting и т.п.).

Поэтому как только на сайте появляется профиль/аккаунт/личный кабинет пользователя, можно считать, что начинается обработка персональных данных (т.к. начинает копиться информация, которая относится к конкретному человеку). А с началом обработки персональных данных сразу же начинает работать закон, требующий определенных способов «авторизации» (термин из закона) на сайте.

Закон называет несколько допустимых способов авторизации. Можно использовать один или несколько из них. Другие способы авторизации использовать нельзя.

Самым простым из доступных способов выглядит следующий. Пользователь должен иметь адрес электронной почты у одного из крупных российских провайдеров (типа mail.ru, yandex.ru, rambler.ru). Для каждого входа на сайт пользователь должен ввести на этом сайте свой адрес электронной почты, получить по почте одноразовый проверочный код для входа на сайт, ввести его на сайте и, таким образом, войти на сайт. Если не требовать одноразового пароля в каждый раз для авторизации на сайте, то не будет происходить «использования иной информационной системы», как того требует закон. А как еще использовать электронную почту, как не для получения электронных писем?

В законе от 27.07.2006 N 149-ФЗ этому способу соответствует пункт 4 части 10 статьи 8: авторизация «с использованием иной информационной системы, обеспечивающей авторизацию пользователей сайтов и (или) страниц сайтов в сети «Интернет», и (или) информационных систем, и (или) программ для электронных вычислительных машин и соответствующей требованиям о защите информации, установленным статьей 16 настоящего Федерального закона, владельцем которой является гражданин Российской Федерации, не имеющий гражданства другого государства, или российское юридическое лицо…».

Тут еще возникает проблема, что на новый способ авторизации необходимо переводить уже имеющихся пользователей.

Это с формальной точки зрения. Другое дело, насколько на практике будут зажимать владельцев мелких сайтов.

Пользователей, находящихся в момент входа на сайт за пределами РФ (отличать их, очевидно, можно по IP-адресам), можно авторизовывать на сайте какими душе угодно способами (по старинке).

Zaruba
() автор топика
Последнее исправление: Zaruba (всего исправлений: 6)
Ответ на: комментарий от mx__

Довольно жалкая попытка сохранить ощущение контроля. Блокировки происходят не по инициативе билайна, поэтому на них через билайн повлиять никак нельзя. Даже если суд решит поразвлечь плебсов, билайн просто поднимет цены чтобы вернуть ущерб.

Gary ★★★★★
()
Ответ на: комментарий от futurama

аутентификации на сайте через:

А почему должно быть вообще «через»? Почему нельзя как на ЛОРе - просто логин и пароль? Да и на большинстве околотехнических форумах также.

watchcat382
()
Ответ на: комментарий от watchcat382

Можно автономно. Через иностранные нельзя (для персональных данных граждан РФ)

futurama ★★★★★
()
Ответ на: комментарий от justAmoment

Мне в четверг Сбербанк блокирнул карту за оплату своего же билайна, к которому привязан и сбербанк-онлайн аж на 1400 рублей.

А мошенники миллионы туда-сюда проводят

One ★★★★★
()
Ответ на: комментарий от Zaruba

Согласно закону, «персональные данные - это любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных)».

Вот именно, по этому в независимости от метода авторизации и её наличия выполнять 152-ФЗ надо. Это касается любого сайта. Ибо тот должен вести лог, а значит хранить ip.

Но это не значит, что нужно выполнять сертификацию рабочего места по требованиям ФСТЭК. У этих требований свои области применения. Ты представляешь что бы было СО ВСЕМИ владельцами сайтов, веб-разработчиками и хостерами, если бы с них требовали сертифицированное рабочее место?

  • Какие персональные данные собирает и обрабатывает ЛОР указано в разделе «Личная информация о пользователях» правил форума.

  • Данные хранятся в РФ.

  • Владелец ?

  • Процедуры по защите данных, я надеюсь, выполняются (обновление ПО, хранение хэшей паролей вместо них самих, и т.д. и т.п.).

Что ещё надо?

AlexVR ★★★★★
()
Ответ на: комментарий от CrX

в случае, если доступ к информации, размещенной на его сайте и (или) странице сайта в сети «Интернет», и (или) в его информационной системе, и (или) программе для электронных вычислительных машин, предоставляется пользователям, прошедшим авторизацию

Здесь ключевое - «если доступ к информации ... предоставляется пользователям, прошедшим авторизацию». То есть, если доступ к информации предоставляется и пользователям, не прошедшим авторизацию, то и закон на такие сервисы не распространяются.

Поэтому форумы, например тот же ЛОР, под действие закона не попадают. Потому что ЛОР предоставляет информацию для всех пользователей, независимо от того, зарегистрированы они или нет. Авторизация на форуме нужна только для возможности писать на форуме. Никакого «доступа к информации, предоставляемой пользователям, прошедшим авторизацию» на форумах не происходит.

Xintrea ★★★★★
()

Было бы прекрасно жить в мире, где люди хотя бы пытались ознакомиться с законом или законопроектом, прежде чем его комментировать.

P.S. Вас таких красивых почитаешь и не только о принудительном входе везде через госуслуги возмечтаешь, но и чтоб перед заходом на сайт проводился обязательный тест на стабильность кукухи как в «Бегущем по лезвию».

ugoday ★★★★★
()
Ответ на: комментарий от AlexVR

Вот именно, по этому в независимости от метода авторизации и её наличия выполнять 152-ФЗ надо. Это касается любого сайта. Ибо тот должен вести лог, а значит хранить ip.

Если какой-либо контролирующий орган захочет кому-либо что-либо предъявить, то ему придется доказывать обоснованность своих действий. Одно дело, если у него в наличии будут одни лишь IP-адреса, которые могут принадлежать не только физическим лицам, но и юридическим лицам и ботам, а также при помощи которых сложно установить количество уникальных посетителей. И другое дело, когда в добавок к этому можно посчитать количество учетных записей пользователей на сайте, для регистрации которых, как правило, требуются определенные дополнительные телодвижения (подтверждение адреса электронной почты, прохождение защиты от ботов и т.п.). Их требования будут выглядеть (например в глазах суда) уже более обоснованными.

Но это не значит, что нужно выполнять сертификацию рабочего места по требованиям ФСТЭК. У этих требований свои области применения. Ты представляешь что бы было СО ВСЕМИ владельцами сайтов, веб-разработчиками и хостерами, если бы с них требовали сертифицированное рабочее место?

Выше я писал о том, что аттестация объектов информатизации (тут должны подразумеваться и рабочие места, и серверы), не передающих сведения в государственные информационные системы, не требуется. Что касается использования сертифицированного ПО и оборудования на рабочих местах, то рабочее место - это скорее для веб-разработчика, а в случае с сайтами и хостерами речь идёт в первую очередь о серверах. Насколько жесткими на практике являются требования к сертификации программных и программно-аппаратных средств для серверов, я не знаю, т.к. в этой сфере не работаю. Могу наблюдать лишь со стороны общую тенденцию ко всё более жесткой регламентации всякой деятельности в интернете, а также то, что у нас то практика обгоняет законы, то законы обгоняют практику.

Zaruba
() автор топика
Последнее исправление: Zaruba (всего исправлений: 1)
Ответ на: комментарий от Xintrea

То есть, если доступ к информации предоставляется и пользователям, не прошедшим авторизацию, то и закон на такие сервисы не распространяются.

Согласно тому же закону, «информация – сведения (сообщения, данные) независимо от формы их представления». При столь широком определении под неё попадает вообще всё что угодно, что есть на сайте.

Поэтому я полагаю, что закон следует трактовать так, что, если нас сайте есть какой-либо функционал, доступный только авторизованным пользователям, то должны выполняться установленные этим законом требования к способам авторизации пользователей.

Zaruba
() автор топика

«Дайте нам все ваши данные! Мы будем их защищать!».

unixnik ★★★★★
()
Последнее исправление: unixnik (всего исправлений: 1)
Ответ на: комментарий от mumpster

Попробуй в дипсике зарегистрироваться с почтой на своем домене ;)

Есть конечно шанс, что им не понравилось слово bullshit в имени ящика, но это не точно ;)

ncrmnt ★★★★★
()
Последнее исправление: ncrmnt (всего исправлений: 1)
Ответ на: комментарий от Zaruba

да, и админка, куда ходит только сам хозяин сайта - туда же!

законы трактуются буквально, по крайней мере в судах
*исключая дело Зловещей Долины и прочих $бучих бабок

mumpster ★★★★★
()
Ответ на: комментарий от AlexVR

Процедуры по защите данных, я надеюсь, выполняются

ты сам-то ознакомился с «процедурами»? ;-)

то что ты перечислишь - и близко не лежало к «процедурам» по 152-фз. на деле у тя должен быть талмуд с оценкой рисков и т.п. хурмой. вообще это всё сделано чтобы работать можно было только своим, либо с отчислением денег куда надо.

mumpster ★★★★★
()
Ответ на: комментарий от One

ну вот так в РФ всё и работает. по методе «хотели как лучше».

ИЧСХ - бабкам это не мешает переводить миллионы и просирать квартиры

mumpster ★★★★★
()
Ответ на: комментарий от Zaruba

Ну тогда как только этот закон примут, я первый напишу комплейн на linux.org.ru за то что он не выполняет требований законодательства. Если, конечно же, не будет входа через Госуслуги.

Xintrea ★★★★★
()

Вот здесь написано явное вреньё:

Они предусматривают, что если владельцем интернет сайта/программы/информационной системы является российское физическое или юридическое лицо и оно осуществляет свою деятельность в сети Интернет на территории РФ, то авторизация пользователей, находящихся на территории РФ, должна производиться c применением:
* номера мобильного телефона;
* госуслуг;
* биометрии;
* российских сервисов авторизации (типа vk.com, mail.ru, yandex.ru, банковских ID).

Четвертый пункт - это введение в заблуждение аудитории.

По факту, в законе написано так:

4) с использованием иной информационной системы, обеспечивающей авторизацию пользователей сайтов и (или) страниц сайтов в сети «Интернет», и (или) информационных систем, и (или) программ для электронных вычислительных машин и соответствующей требованиям о защите информации, установленным статьей 16 настоящего Федерального закона, владельцем которой является гражданин Российской Федерации, не имеющий гражданства другого государства, или российское юридическое лицо.



Если открыть статью 16, то можно обнаружить, что это довольно старая «Статья 16. Защита информации». Там перечислены организационные и технические меры, направленные на:

1) обеспечение защиты информации от неправомерного доступа, уничтожения, модифицирования, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий в отношении такой информации;

2) соблюдение конфиденциальности информации ограниченного доступа;

3) реализацию права на доступ к информации.

То есть, ни о каких «российских сервисов авторизации (типа vk.com, mail.ru, yandex.ru, банковских ID)» речи не идет. Если ресурс сам соблюдает меры защиты информации, так он сам и осуществляет авторизацию.

Мало того, федеральный государственный контроль (надзор) за соблюдением требований в связи с распространением информации в информационно-телекоммуникационных сетях следит за соблюдением юридическими лицами, индивидуальными предпринимателями и физическими лицами обязательных требований в связи с распространением информации.

А обязательным является «соблюдение конфиденциальности информации, доступ к которой ограничен федеральными законами и актами Президента РФ» (Статья 9, п.2). То есть, если на ресурсе нет конфиденциалки, а на тех же частных интернет-форумах ее нет и в помине, то государственного контроля, по сути, нет: никто к тебе не будет приходить и требовать оформления работы по конфиденциальным требованиям.

Таким образом, частным ресурсам достаточно просто соблюдать закон об информации в части распространения информации. Так его и так все ресурсы исполняют.

Xintrea ★★★★★
()
Ответ на: комментарий от mx__

Я плачу за интернет чтобы у меня был доступ к техническим и игровым сайтам.

Твои мотивы никому не интересны. Доступ , который ты оплатил, предоставляется же? Предоставляется. Всё. Остальное —не проблема провайдера доступа...

Там нет ничего запрещеного.

Возможно. Но не ты это решаешь. В любой, следует заметить, стране — не ты. :)

80% процентов таких сайтов не работают.

Это твоя проблема. Доступ в интернет, оплаченный тобой, тебе предоставляется. А что там, в этом большом и страшном тырнете, «не работает», это да, твоя проблема.И да, так бывает, что сайты не работают... :)) Для кого-то всё ещё новость?? Ну... И такое бывает, да....

Кто мне вернет деньги?

Никто: нет оснований.

Somebody ★★★★
()
Ответ на: комментарий от Somebody

Доступ , который ты оплатил, предоставляется же? Предоставляется.

Нет. Не предоставляется.

Когда вы платите за воду то это означает что вода текет из вашего крана, а не за то что кто воду в эти трубы подает.

mx__ ★★★★★
()
Ответ на: комментарий от Xintrea

А обязательным является «соблюдение конфиденциальности информации, доступ к которой ограничен федеральными законами и актами Президента РФ» (Статья 9, п.2). То есть, если на ресурсе нет конфиденциалки, а на тех же частных интернет-форумах ее нет и в помине, то государственного контроля, по сути, нет…

Доступ к персональным данным ограничен федеральным законом «О персональных данных», а статья 7 ФЗ «О персональных данных» прямо указывает на их конфиденциальный характер:

Статья 7. Конфиденциальность персональных данных

Операторы и иные лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом.

Для лучшего понимания текста законов могу еще раз рекомендовать пользоваться сайтом consultant.ru с его отсылочным материалом. Ты ссылаешься на часть 2 статьи 9 федерального закона от 27.07.2006 N 149-ФЗ «Об информации, информационных технологиях и о защите информации»:

Статья 9. Ограничение доступа к информации

2. Обязательным является соблюдение конфиденциальности информации, доступ к которой ограничен федеральными законами и актами Президента Российской Федерации.

В системе КонсультантПлюс слово «законами» представляет собой гиперссылку, при переходе по которой открывается любопытный сам по себе многостраничный документ, составленный сотрудниками КонсультантПлюс, представляющий из себя список всех видов информации, отнесенной законодательством к категории ограниченного доступа, со ссылками на соответствующие нормативные правовые акты. В нем поименованы еще 8 федеральных законов, указывающих на конфиденциальный характер персональных данных.

Кстати, процитированная выше нами статья 9 ФЗ «Об информации…» в части 9-ой также прямо упоминает персональные данные:

Статья 9. Ограничение доступа к информации

9. Порядок доступа к персональным данным граждан (физических лиц) устанавливается федеральным законом о персональных данных.
Zaruba
() автор топика

По здравом размышлении получается, что действующие требования к обработке персональных данных (ФЗ «О персональных данных») и к их защите при обработке (постановление Правительства РФ от 01.11.2012 N 1119) существуют уже много лет. Необходимость использования сертифицированных средств защиты информации при обработке персональных данных вытекает из постановления Правительства РФ от 21.04.2010 N 266 (пункт 6 утвержденного им Положения), принятого еще в 2010 году в соответствии с частью 4 статьи 5 ФЗ от 27.12.2002 N 184-ФЗ «О техническом регулировании». Также много лет существует административная ответственность за всяческие нарушения в области обработки персональных данных (в первую очередь это статья 13.11 КоАП РФ) и их защиты при обработке (статья 13.12 КоАП РФ). Однако до сих пор как-то не наблюдается, чтобы контролирующие органы сильно усердствовали в предъявлении многих из названных требований, связанных с обработкой/защитой персональных данных, к некрупными игроками рынка и не на объектах критической инфраструктуры и прочих объектах специальных категорий, в особенности на всяких любительских сайтах.

Поэтому вполне вероятно, что и добавление еще одного подобного требования в общую копилку ничего не изменит для тех игроков, которых до сих пор не трогали с другими требованиями. А если и начнут предъявлять более жесткие требования, то возможно, что не сразу со штрафов, а с профилактических мер.

Zaruba
() автор топика
Ответ на: комментарий от mx__

Нет. Не предоставляется.

И что, совсем нет доступа в интернет?? Или под вашим «не предоставляется» следует понимать, что у вас не получается зайти на некоторые сайтики, которые «не работают»? ;)) Так это тогда другое совсем, буквально. :)

Когда вы платите за воду то это означает что вода текет из вашего крана, а не за то что кто воду в эти трубы подает.

Мдя?? ;)) Сег'ёзно?.. ;)

Вы либо давно, либо вообще никогда не встречались в суде с теми, «кто воду в эти трубы подает»... ;P ;)) :)))

Somebody ★★★★
()
Ответ на: комментарий от Somebody

И что, совсем нет доступа в интернет??

Интернет, это всего лишь канал, какой смысл в этом канале если нет контента нужного? Я уже давно просил снизить мне тариф в 2 раза, зачем мне 100 мегабит? Я мерил у меня канал 90% процентов простаивает. Почему то не делают. Походу нужно просто идти к другому провайдеру или вообще отказываться от инета.

mx__ ★★★★★
()
Ответ на: комментарий от mx__

Интернет, это всего лишь канал

Интернет — это не только «канал». RTFM.

какой смысл в этом канале если нет контента нужного?

А это уж каждый сам для себя определяет...

Но платишь ты именно за техническую возможность доступа, а не за «контент нужный».

Я уже давно просил снизить мне тариф в 2 раза, зачем мне 100 мегабит? Я мерил у меня канал 90% процентов простаивает. Почему то не делают. Походу нужно просто идти к другому провайдеру или вообще отказываться от инета.

Видимо, так «просил»... :)))

«Переехать» с одного тарифа, имеющегося у провайдера, на другой — не проблема. Но, подозреваю, ты «просил» изменить параметры существующего тарифа. Это нереально. никто для тебя этого делать не станет. Ни в одной стране, причём. «Рылом не вышел», потому, что... Мелок ты для них...

Походу нужно просто идти к другому провайдеру или вообще отказываться от инета.

Валяй! :))

Somebody ★★★★
()
Последнее исправление: Somebody (всего исправлений: 1)
Ответ на: комментарий от Somebody

А это уж каждый сам для себя определяет…

Ничего, когда вас коснется то поймете про что я.

«Переехать» с одного тарифа, имеющегося у провайдера, на другой — не проблема.

Дело в том что тарифа менее 100мбит сейчас нет, и вообще (только что глянул) на проводной инет только один тариф - 100 мегабит и все. Причем как я не хотел (мой тариф был вроде 50 давно) поднимать свой тариф, так меня не слушали, присылали уведомление что скорость теперь у вас выше и будете платить больше. Я пытался отказаться от новых условий, фиг мне.

Берешь поиск, задаешь технический вопрос, куча ссылок, практически все не открываются … 21 век.

mx__ ★★★★★
()
Ответ на: комментарий от mx__

Ничего, когда вас коснется то поймете про что я.

Ути-пути, какие мы загадочные... :))) И никто, кроме вот этого «знатока», «не понимает», ага... ;D :))

Я пытался отказаться от новых условий, фиг мне

Значит, плохо пытался, неправильно, безграмотно...

Почему-то мне ничего вопреки моей воле и желанию за многие годы навязать не смогли. Даже со скидками в цене... :)

Somebody ★★★★
()
Ответ на: комментарий от ncrmnt

Та же фигня, дипсик мой домен не оценил. Пришлось с яндекса регаться.

hobbit ★★★★★
()
Ответ на: комментарий от Zaruba

По здравом размышлении получается, что действующие требования к обработке персональных данных (ФЗ «О персональных данных») и к их защите при обработке (постановление Правительства РФ от 01.11.2012 N 1119) существуют уже много лет. Необходимость использования сертифицированных средств защиты информации при обработке персональных данных вытекает из постановления Правительства РФ от 21.04.2010 N 266 (пункт 6 утвержденного им Положения), принятого еще в 2010 году в соответствии с частью 4 статьи 5 ФЗ от 27.12.2002 N 184-ФЗ «О техническом регулировании». Также много лет существует административная ответственность за всяческие нарушения в области обработки персональных данных

Уже много раз об этом говорили: бессмысленно отталкиваться от определения «персональные данные - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных)». Если так делать, то:


  • Мальчик Ваня, записавший по просьбе мамы телефон тети Глаши, автоматически становится оператором персональных данных, потому что тетя Глаша не является членом семьи, а телефон тети Глаши мальчик Ваня использует не для личных целей: он передал его другому лицу - мальчику Пете, потому что тетя Глаша - преподаватель английского.
  • Требуется навесить председателю домового комитета Василию Петровичу нарушения в области обработки персональных данных за то, что он при сборе бюллетеней для голосования о замене канализации не использовал сертифицированные средства защиты информации при обработке персональных данных. Василий Петрович понятия не имеет что это такое, да и ему никто эту инфраструктуру не обеспечивает, тем более в его собственной квартире.
  • Флейтистка Элеонора, оплатившая установку форумного движка на купленом домене flutefun.ru, и открывшая форум любителей флейты, становится злобным нарушителем закона о ПД, потому что собирает адреса электронной почты при регистрации на форуме.


Вы сейчас возбудились от третьего пункта. А почему первые два пункта вас не интересовали с 2006 года, когда приняли закон?

Xintrea ★★★★★
()
Ответ на: комментарий от Xintrea

А почему первые два пункта вас не интересовали с 2006 года, когда приняли закон?

Закон о ПД распространяется только на автоматизированную обработку. На бумаге хоть на голове стой, если ты уничтожаешь эти бумаги после достижения целей использования, либо сдаёшь в архив.

Aceler ★★★★★
()
Ответ на: комментарий от Aceler

Закон о ПД распространяется только на автоматизированную обработку

Нет, в первой же статье закона:

"...физическими лицами с использованием средств автоматизации, в том числе в информационно-телекоммуникационных сетях, или без использования таких средств, если обработка персональных данных без использования таких средств соответствует характеру действий (операций), совершаемых с персональными данными с использованием средств автоматизации..."

Считай что бумажная записная книжка Вани - это средство автоматизации. Ведь в ней можно искать данные по имени.

Xintrea ★★★★★
()
Последнее исправление: Xintrea (всего исправлений: 3)
Ответ на: комментарий от Aceler

Дальше читать будем?

А зачем им это самое «дальше»? :))

Somebody ★★★★
()
Ответ на: комментарий от Aceler

Дальше читать будем?

"...соответствует характеру действий (операций), совершаемых с персональными данными с использованием средств автоматизации, то есть позволяет осуществлять в соответствии с заданным алгоритмом поиск персональных данных, зафиксированных на материальном носителе и содержащихся в картотеках или иных систематизированных собраниях персональных данных, и (или) доступ к таким персональным данным."

Чем тебе записная книжка мальчика Вани не картотека контактов, содержащая систематизированное собрание персональных данных, зафиксированная на материальном носителе? В которой мальчик Ваня осуществляет действие «поиск», когда ищет телефон тети Глаши на странице с буквой Г?

Совершив такое над данными физического лица, не входящего в состав его семьи, он передал телефон тети Глаши мальчику Пете, чем нарушил требование использовать ПД только для личных целей.

Ни дай боже, тетя Глаша узнает, что у мальчика Вани есть записная книжка, где записаны ее персональные данные! Если тетя Глаша по каким-то причинам захочет немножко потрепать семейный бюджет мальчика Вани, она с чувством полной правоты может подать заявление на действия Вани, и я не вижу никаких причин, почему мальчика Ваню или его родителей не должны привлекать к ответу за такие неправомочные действия.

Или ты хочешь весь закон читать? Я его весь прочитал, мне это не сложно.

Xintrea ★★★★★
()
Ответ на: комментарий от mister_me

Новость о намерениях)

(Но думаю, что примут)

9999% что примут, имхо, у нас «депутаты картонные» и почему-то решившие, что им обязательно надо всегда «в одну дудку дуть», да и уже кучу раз были вбросы,а потом вдруг «одним днем все приняли как есть»…

Здраствуй цифровой гулаг (испытания которого, кстати, похоже проводятся на хабрянах, там тебе и контролируемые мнения и пессимизация прав в связи с «низким социальным рейтингом» и т.д.)

Sm0ke85
()
Ответ на: комментарий от mx__

Дело в том что тарифа менее 100мбит сейчас нет, и вообще (только что глянул) на проводной инет только один тариф - 100 мегабит и все. Причем как я не хотел (мой тариф был вроде 50 давно) поднимать свой тариф, так меня не слушали, присылали уведомление что скорость теперь у вас выше и будете платить больше. Я пытался отказаться от новых условий, фиг мне.

У меня получалось оставаться на старом тарифе (дешевле и скорость типа пониже), когда з-ны еще работали, но и тогда они просто этот тариф отправляли в «архив» и просто задирали цену на него…

Sm0ke85
()
Ответ на: комментарий от vitalif

А российская электронная почта (mail.ru) чем не российский сервис авторизации? :)

Тем что с недавних пор она норовит вк-ид подпихнуть и вместо маилру-почты подпихивает вк-почту, я в связи с этим уже рассматриваю вариант миграции, а жаль - там ящику лет 25 уже наверное исполнилось, он у меня со времен интернетов по карточкам)))

Sm0ke85
()
Закрыто добавление комментариев для недавно зарегистрированных пользователей (со score < 50)