Поделиться
Роскомнадзор собрался торговать данными мобильных абонентов России
В Росии разработан проект законодательных поправок, которые предусматривают возможность для Роскомнадзора собирать данные обо всех абонентах мобильной связи и продавать их банкам для скоринга и антифрода. Это вызывает опасения участников рынка, которые выступают за сохранение прямого взаимодействия операторов и банков без посредника в виде упомянутого ведомства. Концентрация таких сведений в одном месте также несет риски утечек, считают на рынке.
В новой системе
Пакет законодательных поправок, направленный на создание информационной системы проверки сведений о мобильном абоненте россиян, был раскритикован участниками заседания комиссии по связи Российского союза промышленников и предпринимателей (РСПП), состоявшегося 29 мая 2023 г. Об этом пишет Forbes.
Во встрече принимали участие представители Минцифры, Ассоциации больших данных (VK, «Ростелеком», МТС, «Газпромбанк» и пр.), операторы связи и другие участники рынка.
Поправки в законы «О связи» и «О противодействии отмыванию доходов и финансированию терроризма» были внесены депутатами Госдумы во главе с Анатолием Аксаковым еще в 2018 г., но не прошли дальше первого чтения в марте 2019 г. Основной целью законопроекта была обозначена упрощенная идентификация банковских клиентов посредством телефонного номера и борьба с телефонными мошенниками. Планировалось организовать единую информационную систему проверки сведений об абонентах операторов связи (ЕИС ПСА) и предоставить к ней доступ банкам.
В 2021 г. «Коммерсант» сообщал о том, что в поправки были внесены изменения: теперь доступ к системе должны были получить также силовые ведомства, коллекторы и бюро кредитных историй.
Теперь, в апреле 2023 г. законопроект был вновь переписан, сообщают Forbes. Новая версия документа предполагает, что проверять данные об абонентах будет Роскомнадзор. Для этого планируется доработать ведомством существующую систему для борьбы с телефонным мошенничеством и рынком «серых» сим-карт, которая была создана в рамках исполнения поправок к закону «О связи» от декабря 2020 г. Корпоративные клиенты сотовых операторов должны зарегистрировать конечных абонентов на портале Госуслуг. Исполнение этих требований проконтролирует также Роскомнадзор.
Новая формулировка законопроекта расширила действие системы и на частных абонентов. Плюс ко всему, в отличие от действующей системы по проверке данных корпоративных абонентов, обновленные поправки предполагают хранение и обработку данных об абонентах, а пользователями системы станут ЦБ, операторы, банки и иные организации утвержденные Правительством.
Из документа следует, что операторы связи будут вносить в эту систему информацию о корректности паспортных данных, номера телефонов, данные сим-карт и фактах их замены, идентификационные номера устройств и их смены, а также о фактах включения и выключения переадресации. Роскомндазор будет собирать данные сведения и передавать их банкам. Планируется также запретить прямые договора между операторами связи и банками для системы оценки клиентов (скоринга).
Законопроект предполагает принудительную передачу операторами сведений обо всех абонентах Роскомнадзора для дальнейшего использования, в том числе в коммерческих целях. При этом служба получит возможность вести самостоятельную коммерческую деятельность, получать плату за предоставление сведений об абонентах и передавать часть вознаграждения операторам связи, отмечает Комиссия РСПП по связи в своем предварительном отзыве на документ, с которым ознакомился Forbes.
Комиссия РСПП по связи отмечает, что создание дополнительного посредника при передаче данных снижает общий уровень безопасности системы и создает новую «точку отказа». Это крайне нецелесообразно в условиях, когда Минцифры разработан законопроект, предусматривающий оборотные штрафы за утечку пользовательских данных. Кроме того, Роскомнадзор получит возможность вести самостоятельную коммерческую деятельность, получать плату за предоставление сведений об абонентах и передавать часть вознаграждения операторам связи.
Операторы видят трудности
В пояснительной записке к законопроекту утверждается, что услуга проверки сведений об абонентах не доступна средним и малым финансовым организациям. Вместе с тем, условия и цены подключения услуги доступны публично на сайтах операторов, сказали CNews в пресс-службе «Мегафона». Более того, текущие цены при простой калькуляции показывают, что небольшой банк заплатил бы за обслуживание своей базы 150-200 тыс. руб. в месяц, а стоимость обслуживания клиентской базы среднего банка составила бы 350-500 тыс. руб. в месяц. Тезис о недоступности или дороговизне услуги для финансового сектора не выдерживает критики, говорят в компании.
Под этот, можно говорить о том, что создается довольно опасный прецедент — законопроектом предлагается ограничить операторов связи в праве напрямую передавать информацию отдельным категориям заинтересованных организаций, использующих ее в целях защиты от мошенничества. Банкам передаются не персональные данные, а информация об изменении статуса абонента, продолжают в «Мегафоне».
Авторы законопроекта хотят создать за счет средств операторов связи и кредитных организаций систему, дублирующую уже существующие системы операторов. При этом система проектируется не в качестве шлюза, а предполагает хранение и обработку полученной информации.
С учетом чувствительности передаваемых данных в рамках законопроекта Аксакова, потенциальная их утечка может привести к доступу к ним злоумышленников, сказали CNews в пресс-службе МТС. Там отметили, что банки будут ограничены в возможности получать информацию напрямую у операторов, которая уже сейчас помогает предотвращать мошенничество. При том, что законопроект уже несколько лет находится в Госдуме,пока еще не готовы проекты подзаконных актов, которые могут повлиять на работу как банков, так и операторов.
Директор по работе с органами государственной власти «Вымпелкома» Виталий Недыхалов сказал CNews, что в его понимании сейчас важно сохранить прямые договоры, это дает вариативность взаимодействия, например расширять перечень сведений, важных для противодействия мошенничеству в банковской сфере, а также развивать и совершенствовать сервис. Сегодняшняя модель взаимодействия с главным банком предполагает, что кредитная организация, понимая, каким номером телефона пользуется его клиент, определяет, нужно ли мониторить события по его номеру. Одна из проблем текущей редакции законопроекта — прописанная обязанность операторов отгружать данные в систему даже в том случае, если ни один заказчик в них не нуждается. Это создает дополнительные риски несанкционированного доступа к критичной информации об абонентах, уверен эксперт.
В начале были утечки
В начале мая 2023 г. подведомственный Роскомнадзору «Главный радиочастотный центр» (ГРЧЦ) был признан виновным в утечке персональных данных. Решение принял мировой судья Симоновского района Москвы. Согласно судебным документам, осенью 2022 г. ведомство подверглось хакерской атаке, которую не смогло отразить — киберпреступники сумели проникнуть в его внутреннюю компьютерную сеть и унести с собой информацию, признанную персональными данными сотрудников ГРЧЦ. В частности, в их руках оказались «фрагменты общения сотрудников».
В апреле 2023 г. глава Минцифры Максут Шадаев предложил закрыть россиянам общий доступ к ведомственным данным, а сами данные зашифровать с целью обезопасить их от утечек. «Наша позиция следующая: многие данные надо точно убирать из оперативного контура, хранить в шифрованном виде, ограничивать к ним доступ, они точно не должны быть в такой базовой доступности, про которую мы в последнее время говорим», – отмечал министр. Какие именно данные входят в категорию «многие», он не уточнял.
Ранее директор Центра правовой помощи гражданам в цифровой среде (входит в Главный радиочастотный центр, подведомственный Роскомнадзору (РКН) Людмила Куровская заявляла, что компании слишком много знают об интернет-пользователях. На этом фоне в закон «О персональных данных» планируют внести поправки, которые будут регулировать правила сбора персональных данных (ПД) и заключения пользовательских соглашений.
Как отмечала Куровская, в российском законодательстве нет четкого определения пользовательского соглашения. Оно может содержать абсолютно разную информацию: от описание функций сервиса, до правила копирования авторских материалов. Как подчеркнула эксперт, пользовательское соглашение «должно быть конкретным и исключать негативные последствия для граждан».
«Например, мы предлагаем запретить внесение в него положений об автоматическом согласии на обработку ПД с момента перехода на сайт», — уточняла Куровская, добавив, что унификация правил должна сократить случаи необоснованного сбора и обработки персональных данных и минимизировать риски их утечки.
Короткая ссылка
