Авторы: Мушвиг Мамедов, официальный представитель «Лаборатории Касперского» в Азербайджане и Эльчин Сулейманлы, адвокат, Член Коллегии Адвокатов Азербайджанской Республики.

— Что относится к персональным данным?

Мушвиг Мамедов: Персональные данные — это сведения, при помощи которых можно идентифицировать физическое лицо: имя, фамилия, отчество, пол, место рождения и адрес проживания, семейное положение. То есть информация, позволяющая прямым или косвенным образом установить личность человека. К персональным данным так же можно отнести различные медицинские данные или сведения об имуществе.

Однако помимо юридической формулировки, существует определение, которое используется в сфере кибербезопасности. Там под персональными данными понимается любая информация, которую злоумышленники могут использовать во вред пользователю.

— Для чего компании хранят персональные данные?

Эльчин Сулейманлы: Компании хранят эту информацию для простоты использования и идентификации при будущих взаимодействиях с данными владельцев. Целью защиты персональных данных является защита основных прав и свобод человека и гражданина, в том числе права на неприкосновенность частной и семейной жизни. Законодательная основа и общие принципы сбора, обработки и защиты персональных данных определяются Законом Азербайджанской Республики «О персональных данных».

— Что нужно знать о получении разрешений на обработку персональных данных?

Эльчин Сулейманлы: В соответствии с Законом Азербайджанской Республики «О персональных данных», информация, позволяющая установить личность субъекта на основании согласия субъекта на обработку персональных данных, цели сбора и обработки персональных данных, по истечении установленного срока хранения персональных данных в соответствующей информационной системе либо после смерти субъекта включаются сроки уничтожения или архивирования собранных персональных данных в порядке, определяемом законодательством. Предоставление доказательств получения согласия субъекта на сбор и обработку его персональных данных является обязанностью владельца или оператора, если обработка персональных данных об умерших лицах не запрещалась при жизни субъекта.

— Возможно ли получение согласия на обработку персональных данных по телефону?

Эльчин Сулейманлы: Закон Азербайджанской Республики «О персональных данных» не содержит каких-либо положений, в том числе запрета на получение согласия на сбор и обработку персональных данных по телефону. Согласно закону, письменное согласие и соблюдение указанных условий считаются достаточными для сбора и обработки персональных данных.

— Что является доказательством получения согласия на обработку персональных данных при покупке товаров в интернет-магазинах?

Эльчин Сулейманлы: Закон Азербайджанской Республики «О персональных данных» не содержит каких-либо положений об особенностях обработки персональных данных при покупке товаров в интернет-магазинах. Я считаю, что это должно определяться совокупным толкованием общих требований закона. Таким образом, при заполнении веб-формы заявки на приобретение товара на сайте интернет-магазина в информационно-телекоммуникационной сети Интернет, не учитывается критерий, свидетельствующий о получении оператором согласия субъекта на обработку его данных является электронная цифровая подпись. Кроме того, в ряде случаев предложения оператора (интернет-магазина) о продаже товаров могут считаться открытой офертой. Это само по себе является предложением, адресованным неопределенной группе лиц.

Согласно статье 408.2 Гражданского кодекса Азербайджанской Республики, реклама и иные предложения, адресованные неопределенному кругу лиц, рассматриваются как приглашение делать оферты, если иное прямо не указано в предложении. Таким образом, субъект подчеркивает указанное предложение, совершая тем самым подразумеваемые действия, выражающие его волю и согласие на обработку его персональных данных, предоставленных при оформлении заявки на приобретение товара. Еще раз хочу заявить, что получение согласия на обработку персональных данных посредством телефона и SMS-сообщений не определено действующим законодательством.

— Чем опасно распространение персональных данных для человека?

Мушвиг Мамедов: Распространяя любые данные о себе, во-первых, человек может стать жертвой социальной инженерии. Злоумышленник легко может составить психологический портрет пользователя, если тот часто выкладывает фотографии с отметкой конкретных мест посещения и делиться подробной информацией о себе. Обладая такими сведениями, мошенник легко может втереться в доверие пользователю и попытаться обмануть его. И чем больше у злоумышленника личной информации, тем более достоверным может выглядеть разговор с мошенником.

Воспользовавшись личными данными, злоумышленники могут украсть денежные средства пользователя. Один из самых распространенных способов мошенничества – звонок из службы поддержки банка. Если пользователь оставил в сети свои ФИО, номер карты и телефона, велик риск, что ему позвонят мошенники используют ее и каким-либо образом попытаются выманить информацию, необходимую для получения доступа к счетам жертвы в онлайн-банке. В последнее время мы фиксируем всё более изощрённые схемы, которыми пользуются злоумышленники, чтобы обмануть пользователей.

Информация из персональные данных (девичья фамилия мамы, день рождения) часто используется для создания паролей к учетным записям. Злоумышленники, ей завладевшие, могут получить доступ к аккаунту пользователя.

Также персональные данные могут быть использованы для обмана родителей пользователя, его друзей или коллег. Так, зная данные об автомобиле, злоумышленник может попытаться сымитировать звонок от якобы попавшего в аварию родственника. Или, имея доступ к медицинским данным, предложить лечение или медикаменты «по выгодным ценам».

— Кому можно передавать свои персональные данные, а кому нельзя?

Мушвиг Мамедов: Стоит обращать внимание, кому и как вы передаёте свои данные. Наша повседневная жизнь складывается таким образом, что мы вынуждены делиться ими довольно часто. Обезопаситься от утечки наверняка довольно сложно. Но что можно сделать наверняка – не упрощать жизнь злоумышленникам. Например, не выкладывать сканы документов или номера телефонов в социальные сети или облачные хранилища. Делиться персональными данными в зашифрованном виде. Использовать надежные и отдельные для каждого аккаунта. Всегда нужно быть готовым к тому, что злоумышленники могут попытаться воспользоваться вашими данными, чтобы ввести вас в заблуждение.

— Как уменьшить цифровой след или сделать свою информацию более анонимной?

Мушвиг Мамедов: Лучше избегать раскрытия излишней информации в социальных сетях. Можно проверить параметры конфиденциальности в социальных сетях – этот шаг поможет скрыть публикации от лишних глаз. Также стоит удалить неиспользуемые учетные записи в соцсетях – это так же снижает вероятность утечки данных.

Важно помнить, что у многих сервисов можно запросить данные, которые они «знают» о пользователе, а затем попросить удалить их.

— Какие существуют средства защиты от мошенников, если данные человека уже попали к ним?

Мушвиг Мамедов: При малейшем подозрении, что ваши данные могли быть скомпрометированы в результате взлома, стоит незамедлительно сообщить об этом ответственной организации. Например, в случае финансовых данных – банку. Также необходимо сменить все пароли, которые могли быть раскрыты.

— Выделите, пожалуйста, несколько основных правил, как защититься от утечки персональных данных в современной жизни?

Мушвиг Мамедов: Подписывая документы об обработке персональных данных, стоит уточнить у оператора, зачем он их собирает, собирается ли передавать третьим лицам или выгружать в сеть.

Важно регулярно обновлять программное обеспечение – вредоносные ссылки в 90% случаев используют уязвимости в популярном программном обеспечении.

Нужно использовать сложные надежные пароли – от 12 знаков с буквами в разном регистре, цифрами и спецсимволами. Они не должны быть связаны с жизнью человека – родственниками, хобби, датами.

Главная рекомендация – быть бдительным. Если пользователь получил ссылку от знакомого, с которым они уже давно не общались, это должно вызвать подозрения.