ENG
В Госдуме обсуждается законопроект о «цифровых профилях», в которых соберут все сведения о каждом жителе страны. Обещают, что так госуслуги станут доступнее, а мы сможем сами решать, кому предоставлять персональные данные. Но под обложкой ни слова о том, как идея будет реализована, а собранные базы — защищены. И это проблема.
Проект должен заработать с 2023 года, к окончанию нацпрограммы «Цифровая экономика». Внешне — для пользователей — это будет выглядеть как расширение функционала и настроек приватности на портале государственных услуг. Внутри планируется свести воедино базы всех госструктур, которые собирают персональную информацию о жителях страны, чтобы обеспечить сквозной доступ к данным без дополнительных запросов. Надстройкой к реестру станет платформа, к которой смогут подключаться коммерческие компании, чтобы запрашивать информацию о гражданах, а те в свою очередь — разрешать или запрещать к ней доступ. С виду все хорошо, но о «начинке» проекта известно немного. Нет конкретики по стоимости, необходимым ресурсам, технологиям, которые будут использоваться. Даже к целям — и целесообразности — возникают вопросы.
Идея — виртуальная
Недавнее исследование EY показало, что одной из главных причин массовых утечек в России является переизбыток сервисов, куда людям приходится предоставлять свои данные. Эксперты прогнозируют снижение рисков, если данные о гражданах будут храниться централизованно, а компании запрашивать их, а не собирать самостоятельно. В этом смысле идея закрепить роль оператора цифровых профилей россиян за государством выглядит позитивно.
Но проблема в том, что законопроект не предполагает монополию государства на сбор и хранение персональных данных. Они обрабатываются сотнями компаний, в том числе иностранными IT-сервисами. Ни технологических (вспомним Telegram), ни юридических (локальные ФЗ не действуют в другой стране) рычагов воздействия на ситуацию на данный момент просто не существует.
К тому же законопроект описательный, а не прикладной. Например, он вводит понятия, которые раньше никак юридически закреплены не были — тот же цифровой профиль, который рассматривают как совокупность данных о гражданине в электронном виде. Здесь есть плюсы: в правовом поле наконец появится разделение цифровой формы данных и других форматов, с разными требованиями по их хранению и обработке. Без этого невозможно гибкое и четкое правоприменение. Но пока не существует таких совокупностей данных, которые описывает проект, его принятие выглядит преждевременным.
Технические непонятки
А вот с точки зрения практической реализации идея не фантастическая. Речь идет не о создании принципиально новых технологий, а о переработке большей части существующих, но на более высоком уровне.
У крупных технологичных компаний (например, отечественного «ВКонтакте») накоплен опыт использования систем управления согласием на обработку персданных. Реализована и трансграничная передача личных сведений — практически любой сервис поддерживает сквозную авторизацию через аккаунт соцсети с согласия пользователя. Подробный отчет об истории передачи такой информации тоже имеется. Часть технологий есть у самого государства: например, ЕСИА (Единая система идентификации и аутентификации).
Что касается формирования общей базы данных, то оно уже ведется в рамках создания Единого реестра сведений о населении. Его к 2025 году запустит ФНС, и записи реестра будут содержать всю информацию, на которую претендуют цифровые профили. Если придать им такой статус, не придется делать двойную работу.
Но пока инициативы не дополняют, а спорят друг с другом. На бумаге все выглядит так, будто параллельно будут созданы две базы с одинаковым охватом, но для разных целей. К тому же нет четких директив, какие технологии потребуются — и не придется ли изобретать велосипед, если авторы откажутся использовать наработки рынка.
Защита — не самоцель
В числе прочих идею цифровых профилей раскритиковала ФСБ. В ведомстве считают, что собирать в одном месте столько критических сведений небезопасно. Хотя ранее разработчики публично заверяли, что предусмотрели риски и не собираются хранить данные на одном сервере.
Вот только даже распределенная система хранения обезопасит разве что в случае физической кражи оборудования или хакерской атаки. Но основная угроза — не снаружи. По оценке EY, 88% утечек персональных данных в России происходит по вине сотрудников компаний, которые запрашивали данные. В новом сервисе неограниченный доступ к личным сведениям россиян дадут тысячам госслужащих, которые к тому же получают скромные зарплаты. EY указывает, что в среднем по стране это 27 тыс. рублей — столько же можно получить за продажу даже небольшой, на 300–500 строк, базы записей с персданными на черном рынке. Низкую оплату труда привилегированных пользователей баз персональных данных эксперты называют главной причиной утечек.
На сегодня возможные меры наказания неадекватны возможному вреду от «сливов». Серьезная ответственность (по ст. 137 УК РФ) наступает только в случае неправомерного доступа к персональной информации. А госслужащим право дает должностная инструкция. Если «сольют» не медицинскую, банковскую, налоговую или гостайну, то максимум, что может грозить виновникам, — административный штраф до 2 тыс. рублей (для физических лиц) или до 10 тыс. рублей (для должностных). Это не те деньги, которыми можно напугать потенциальных нарушителей.
Так что проекту нужна жесткая директива, как хранить, защищать и работать с цифровыми профилями. Не помешает зарегламентировать действия сотрудников госструктур, имеющих доступ к данным, и обязать работодателей контролировать движение этих данных в организации. Для этого есть средства полного сканирования на предмет неправомерного хранения данных (классы решений eDiscovery и DCAP); системы мониторинга передачи информации по всем сетевым каналам и на внешние устройства хранения (DLP); системы контроля активности сотрудников; инструменты расследования. Если законодательно не обязать использовать эти средства во всех организациях, которые получат доступ к единой базе, риск и ущерб от инсайдерства не снизится.
Что в итоге?
Законопроект о цифровых профилях пока не принят, у авторов есть время учесть ошибки и внести правки. Но даже если проект удастся довести до ума, цели инициативы будут достижимы лишь частично. В законодательной системе пока нет инструментов, чтобы контролировать все риски. Нет влияния на иностранные сервисы, которые могут собирать и хранить персданные россиян вне «государственной» системы. Нет директив по обработке таких сведений, стандартов защиты, регламентированных методов контроля за теми, кто работает с данными по должностным обязанностям. Наконец, нет надежных санкций, которые останавливали бы нарушителей. Проблема комплексная.
Показательно, что при критике одних инициатив параллельно активно развиваются другие — почти идентичные (снова вспомним Единый реестр). Государство полным ходом движется к цифровизации, но пока сосредоточено только на оптимизации работы собственных структур. По сути инициативы работают не на защиту или хотя бы ответственный контроль за оборотом данных граждан, а облегчают их учет. И пока приоритеты расставлены таким образом, наращивать безопасность на практике будет непросто.
