С 1 марта 2021 года в России заработали новые правила обработки персональных данных. Теперь нельзя собирать и использовать доступные в интернете сведения об отдельном лице или массово извлекать их с сайтов в автоматическом режиме, если на это не получено согласие каждого пользователя. РБК Тренды разобрались, как меняется законодательство о персональных данных и как с ними работают власти и бизнес.
Дорогие данные
Как выяснили аналитики InfoWatch, в 2020 году в России доля умышленных утечек конфиденциальных данных среди всех «сливов» превысила мировую и достигла 79,7%. При этом еще в 2019 году этот показатель в России составлял 47,7%, а в мире — 65,7%. В настоящее время наша страна занимает долю в 16,9% в мировом объеме утечек информации. Более 40% из них приходится на сферы технологий и финансов. Всего за год утекло более 100 млн записей персональных данных и платежной информации.
Эксперты InfoWatch говорят, что утечки намеренно организуют сотрудники государственного и частного сектора, чтобы монетизировать данные россиян на фоне нестабильной экономической ситуации в стране.
Доминирующим типом информации в утечках по-прежнему остаются персональные данные (более 86%). В InfoWatch отмечают, что их можно использовать для электронного маркетинга, фишинговых атак и мошенничества с кредитами. Так, число утечек из российских финансовых организаций за 2020 год выросло на 36,5%. Хакеры сохраняют также интерес и к конфиденциальной информации — сведениям, которые удобно использовать в конкурентной борьбе, при шантаже или при организации стартапов. А вот привлекательность платежных данных для злоумышленников продолжает падать. Такую информацию становится все сложнее использовать для извлечения денежных средств, так как скомпрометированные банковские карты обычно оперативно блокируются.
По информации другой компании кибербезопасности Check Point Research, в 2020 году на 47% выросли число и масштабы утечек данных из российских организаций по вине сотрудников. Совокупный ущерб превысил ₽1,8 млрд.
Данные в законе
В июне 2021 года правительство подготовило поправки в закон об экспериментальных правовых режимах в сфере цифровых инноваций. Они запрещают операторам связи свободно распространять сведения об абонентах за исключением информации о том, какое их число находится в определенный период времени на определенной территории. Эти поправки разработали, несмотря на позицию чиновников Минэкономики, которые в 2020 году предложили дать компаниям ограниченный доступ к тайне связи, переписки и телефонных переговоров, а также врачебной тайне.
Минцифры же хотело разрешить бизнесу использовать данные, полученные в результате обезличивания, но лишить операторов возможности персонализировать их, то есть передавать дополнительную информацию, которая позволит идентифицировать личность.
Такая мера фактически позволила бы агрегаторам данных, в том числе банкам, операторам связи, страховым компаниям, ретейлерам, поставщикам CRM, продавать обезличенные базы рекламодателям. В Фонде развития интернет-инициатив (ФРИИ) увидели в этом потенциальные риски для конфиденциальности.
Минцифры также поддержало доступ частных компаний, которые разрабатывают интеллектуальные решения для диагностики болезней, к медицинским данным россиян из ГИС Минздрава.
Одновременно чиновники планировали ужесточить требования по обработке обезличенных данных, приравнять их к персональным и запретить любое использование этой информации без разрешения человека. Исключение намерены сделать для исследовательских и статистических целей.
При этом в мае 2021 года Минцифры предлагало разрешить бизнесу обезличивать персональные данные россиян без их согласия и передавать их государству. Также их предложили использовать для разработки сервисов на искусственном интеллекте спустя три года. Однако правительство отклонило эту идею.
После этого Минцифры предложило предоставить разработчикам в сфере искусственного интеллекта платный доступ к базам государственных данных. Как объясняли представители АНО «Цифровая экономика», в такие датасеты входят любые данные, в том числе о медицинских обследованиях и диагнозах, уровне цен в различных регионах, составе почвы для сельскохозяйственных работ и прочие. По задумке, их обезличиванием должны заняться госоператор, аккредитованные организации или сами ведомства. Стоимость доступа к базам при этом будет варьироваться в зависимости от их сложности и объема. Большие массивы данных, имеющие ту или иную степень секретности, смогут получить организации, аккредитованные ФСБ, а доступ к датасетам с общедоступной информацией будет бесплатным. Сами организации при получении такого доступа смогут пополнять базы коммерческими данными.
Вице-премьер Дмитрий Чернышенко говорил, что такое агрегирование данных сделает «государство уникальным оператором, который имеет в своем распоряжении практически неограниченное количество датасетов и их комбинаций». По его словам, наборы данных «станут основой машинного обучения для организаций и предприятий, представляющих ключевые отрасли экономики».
Попытки монетизации
Власти Москвы вложат ₽132 млн в создание витрины с обезличенными данными жителей столицы, к которой смогут подключаться внешние пользователи. Предполагается, что доступ к базе получат только ведомства. Однако эксперты считают, что особый правовой режим в Москве позволит открыть эту базу и для компаний.
Витрина будет включать обезличенную информацию из интегрированных информационных систем московской мэрии, в том числе Единой мобильной платформы города и Единой геоинформационной системы. Это будут данные о событиях из жизни горожан, информация об их объектах недвижимости и транспорте, автомобилях, счетах за коммунальные услуги и многое другое. Система заработает к 31 августа 2022 года.
Одновременно Департамент информационных технологий Москвы разрабатывает информационную систему для анализа поведения пользователей на различных ресурсах. Она позволит формировать витрины интересов интернет-посетителей по результатам аналитики посещаемых ими ресурсов правительства Москвы и других сайтов, чтобы делиться ими с внешними потребителями.
Правительство Москвы также планирует создать общегородскую платформу для анализа данных о жителях города. Идея состоит в том, чтобы проводить совместные вычисления на основе агрегированных данных от государственных и частных учреждений, минуя сторонние компании или агентства. Разработчики платформы обещают использовать протоколы совместных конфиденциальных вычислений. Таким образом, чиновники не будут видеть исходные данные о жителях города, а получат лишь выводы анализа. Это позволит властям и бизнесу работать с данными о гражданах, не нарушая закон «О персональных данных».
Все эти шаги осуществляются в рамках принятой в 2018 году стратегии Москвы «Умный город — 2030», которая предполагает цифровизацию всех сфер услуг и внедрение высоких технологий.
Сотовые операторы торгуют обезличенными данными абонентов с 2015 года. Власти Москвы закупают их, чтобы развивать транспортную систему с учетом передвижений жителей города. По скорости переподключения абонента от одной вышки к другой оператор определяет, идет он по улице пешком или едет на автомобиле. Если телефон подключен к определенной станции в ночное время, значит, человек ночует неподалеку.
В 2020 году «Сбер» объявил, что рамках пилотного проекта запустит сервис, который будет анализировать банковские транзакции россиян. Он будет интегрирован с 2ГИС, чтобы сопоставлять данные о транзакциях с расположением торговых площадок. Сервис будет рекомендовать бизнесу, к примеру, где выгоднее разместить новый магазин. Его также можно будет использовать, чтобы анализировать перемещения в мегаполисах и между городом и пригородом для планирования схем городского транспорта.
В рамках проекта платформа «СберАналитика» будет заниматься экспертизой для предпринимателей, предоставлять аналитические отчеты и составлять портреты целевой аудитории. Ключевыми сферами работы станут госсектор, недвижимость, крупный и средний бизнес. Аналитики будут собирать данные о денежных потоках людей и организаций, транзакциях в терминалах «Сбера», а также использовать открытые данные, информацию от партнеров и «дочек» банка. «Сбер» пообещал, что вся информация будет обрабатываться в обезличенном виде.
До «Сбера» аналогичную геоплатформу разработали ВТБ и «Ростелеком». С ней работает их совместная компания «Платформа больших данных», которая анализирует обезличенные данные с применением методов автоматического машинного обучения. Полученная информация позволяет прогнозировать спрос, потоки клиентов и другие показатели в конкретных локациях. Бизнес использует данные для принятия решений о расположении торговых точек, офисов, рекламных объектов, а также оценки инвестпривлекательности зданий и земельных участков.
В 2019 году «Яндекс» совместно с Объединенным кредитным бюро и бюро кредитных историй «Эквифакс» запустили проект по оценке кредитоспособности заемщиков банков. Кредитные бюро передавали «Яндексу» адрес электронной почты и мобильный телефон клиента в зашифрованном виде. ИТ-компания использовала более тысячи факторов для оценки поведения человека, которые она не раскрывала. По итогам анализа «Яндекс» присваивал клиенту банка определенный рейтинг. Однако спустя несколько месяцев проект закрыли, как сообщалось, из-за репутационных рисков.
Идеи для людей
Инициатив относительно прямой монетизации данных пользователями не так много. Фонд развития интернет-инициатив в 2019 году предложил разрешить свободный оборот персональных данных на рынке. Эксперты фонда заявили, что на продаже информации о себе в деперсонизированном виде граждане смогут заработать от ₽15 тыс. до ₽60 тыс. в год.
ФРИИ предлагал:
- разрешить гражданам продавать бизнесу свои персональные данные за вознаграждение в различных формах;
- покупать эти данные бизнесу, если гражданин даст согласие на их обработку, и отчислять в его пользу процент от полученной прибыли;
- дать гражданам право на запрет обработки своих данных.
В настоящее время сбор и обработка персональных данных в деперсонифицированном виде происходит без вознаграждения, а иногда и без согласия пользователя, говорили эксперты.
Представители отрасли тогда заявили, что ФРИИ назвал нереальными цифры потенциальных доходов граждан. По их оценкам, выплаты за персданные могли в таком случае составить триллионы рублей.
Как выгодно продаться
На самом деле, пользователь может сам продавать данные о себе. Для этого в интернете существуют специальные площадки. Так, приложение для продажи своих персональных данных DataWallet позволяет любому желающему самостоятельно выбрать, какой именно информацией он готов поделиться (местом учебы, но не датой рождения, и из какого источника — Facebook, Twitter и т.д.). Приложение собирает все данные, обезличивает их, объединяет в аналитические отчеты, которые затем продает брокерам данных. Вырученные деньги распределяются между всеми пользователями, чьи данные вошли в купленный отчет. В среднем пользователь может получить от $1 до $50.
Другая платформа, Datacy, позволяет собирать и продавать свои данные напрямую предприятиям. Речь идет о просмотрах сайтов и данных при использовании приложений. Площадка обезличивает эту информацию, смешивая ее с аналогичными данными других пользователей. Datacy обещают соблюдать принцип прозрачности и не передавать информацию без разрешения владельца, а также обезопасить ее от доступа третьих лиц. Оплата зависит от ряда факторов: ценности данных для компаний, их количества и полноты, а также правильной классификации.
Такие блокчейн-проекты как Presearch и Bitclave предлагают пользователям получить токен и вознаграждение в виде своей криптовалюты при просмотре веб-страниц. Продавцы данных могут выбирать, какой информацией о себе делиться и с кем. В Bitclave также можно подключить персонализированный кэшбэк-сервис LimitlessReward, где пользователь указывает свои интересы, участвует в опросах и устанавливает бесплатные приложения за вознаграждение.