🏛️💡 Статья ведущего специалиста-эксперта отдела контроля и надзора за соблюдением законодательства в сфере персональных данных Управления Роскомнадзора по Самарской области "Правовая природа политики приватности: практический аспект". Автор статьи предлагает, помимо прочего:
🔸ввести административную ответственность за ненадлежащее оформление оператором содержания Политики приватности;
🔸дополнить ст. 18.1 152-ФЗ «О персональных данных» положениями об обязанности оператора обеспечить оформление Политики приватности в краткой, прозрачной, понятной и легкодоступной форме;
🔸разработать официальный конструктор (генератор) Политик приватности под эгидой Роскомнадзора.

🏛️ Опубликовано постановление Правительства РФ от 23.03.2024 № 367 об актуализации отдельных актов Правительства, предусматривающих использование ЕБС
🔸Изменения внесены в целях приведения актов Правительства в соответствие с положениями Федерального закона № 572-ФЗ. Также скорректирован состав сведений, размещаемых в ЕБС: теперь в ней подлежат размещению в том числе страховой номер индивидуального лицевого счета физлица, представившего в МФЦ отказ от сбора и размещения биометрических персональных данных в целях проведения идентификации и (или) аутентификации (в случае отсутствия отзыва такого отказа); информация о виде электронной подписи, которой подписано согласие на размещение и обработку персональных данных в единой системе идентификации и аутентификации и биометрических персональных данных в единой биометрической системе, в том числе на передачу векторов ЕБС; векторы ЕБС.

🏛️ Ткачев: Заселение в отели по биометрии позволит защитить персональные данные
🔸Первый зампред Комитета Госдумы по информационной политике, информационным технологиям и связи Антон Ткачев, комментируя «Парламентской газете» нововведение, отметил, что правильная, прогрессивная и комфортная для клиентов мера, позволяющая к тому же быстрее получить услугу. Он отметил, что такая система сейчас активно применяется в банках — можно оплатить покупку или взять кредит без паспорта, потому что «паспортом» является лицо.
🔸«Когда человек сдает биометрию, оператор — отель или турбаза — не берет никаких персональных данных, он по факту производит сверку с Единой биометрической информационной системой. Максимум, что остается у оператора — это слепок подтверждения того, что данные, предоставленные человеком, совпадают с данными, которые находятся в ЕБС. И это большой плюс с точки зрения безопасности оборота персональных данных граждан», — сказал депутат.
🔸Регистрироваться в гостиницах, пансионатах и других средствах размещения, а также в медицинских организациях и учреждениях уголовно-исполнительной системы теперь можно будет не только по паспорту, но и биометрическим данным. Соответствующее постановление Правительства вступает в силу 30 марта.

🏛️ В Московском парламентском центре состоялось заседание круглого стола на тему «Биометрия: вызовы времени. Угрозы и риски для человека» 
🔸По итогам заседания участники круглого стола сформулировали ряд рекомендаций. В частности, предлагается государственным органам, владеющим информационными системами, обеспечивающими аутентификацию физических лиц с использованием векторов единой биометрической системы, и (или) осуществляющим функции их оператора, предупреждать граждан о сборе персональных биометрических данных, информировать о возможности отказа от предоставления таких данных. Депутатам Государственной Думы ФС РФ рекомендовано внести изменения в уголовное законодательство РФ, предусматривающие санкции за передачу персональных биометрических данных третьим лицам.
🔸По мнению участников круглого стола, Правительству РФ целесообразно инициировать проведение оценки эффективности и финансово-экономической целесообразности масштабного внедрения дорогостоящих систем сбора (хранения, использования) персональных биометрических данных. Также предложено Министерству обороны РФ, Федеральной службе безопасности РФ, Генеральной прокуратуре РФ проанализировать риски, связанные с несанкционированной утечкой персональных биометрических данных. Предложения в проект резолюции принимаются в течение недели.

🇺🇸 Оператор связи США AT&T сообщил об утечке личных данных 73 млн пользователей
🔸"AT&T начал тщательное расследование с привлечением внутренних и внешних экспертов по кибербезопасности. Согласно нашим предварительным данным, [попавший в даркнет] набор данных содержал сведения начиная с 2019 года или ранее. Это коснулось примерно 7,6 млн нынешних и около 65,4 млн бывших пользователей AT&T", - говорится в заявлении компании.
🔸Информация, включая имена и номера социального страхования клиентов, попала в теневой сегмент интернета примерно две недели назад, но источник утечки еще не обнаружен. Компания заявила, что пока инцидент не влияет на ее работу.

🇰🇿 "Казахтелеком" и Air Astana привлечены к ответственности за утечку данных
🔸Ранее на ресурсе GitHub неизвестные опубликовали материалы одной из хакерских группировок, где в том числе содержались персональные данные казахстанцев, датированные 2019-2022 годом. В опубликованной утечке фигурировали сведения казахстанских операторов связи со служебной информацией об абонентах, а также упоминались АО "Казахтелеком", АО "Единый накопительный пенсионный фонд", АО "Air Astana".
🔸Министерством цифрового развития Казахстана совместно с Комитетом национальной безопасности и АО "Государственная техническая служба" был проведен анализ состояния информационной безопасности операторов мобильной связи.
🔸Также были проведены внеплановые проверки на предмет соответствия требованиям по информационной безопасности в отношении АО "Казахтелеком", АО "Единый накопительный пенсионный фонд", АО "Air Astana". В результате АО "Казахтелеком" и АО "AirAstana" привлечены к административной ответственности по пункту 2 части 1 статьи 641 Кодекса РК "Об административных правонарушениях", выданы предписания со сроком на один год для устранения нарушений. Примечательно, что в АО "ЕНПФ" нарушений не выявлено.

🇷🇺👨‍💻🔥 #рф #нпа #инициативы #регулирование
Обновление дайджеста значимых событий (за предыдущие 2 недели), влияющих на регулирование персональных данных в РФ.

🔸Добавлены пункты (отмечены как New):
8. Постановление Правительства РФ от 20.03.2024 № 341 о заселении в отели по биометрии
9. Постановление Правительства РФ от 20.03.2024 № 342 об обязанности ОРИ хранить информацию о геолокации и способе платежа
10. Постановление Правительства РФ от 23.03.2024 № 367 об актуализации отдельных актов Правительства, предусматривающих использование ЕБС
27. Законопроект о расширении перечня сведений в Едином регистре населения
28. Законопроект об ужесточении административной ответственности за спам-звонки
39. Проект приказа Минцифры о консолидации данных учащихся в регионах в федеральную систему «Моя школа»
55. Инициатива обязать компании иметь резерв для выплаты компенсаций за утечки данных
56. Инициатива о введении уголовной санкции за передачу персональных биометрических данных третьим лицам

#privacy #dataprotection #пд #юмор #1апреля

🏛️ Кабмин предложил уточнить штрафы в законопроекте об ужесточении санкций за утечку данных
🔸Правительство РФ предлагает во втором чтении законопроекта о введении штрафов за нарушение отдельных требований законодательства в области персональных данных внести уточнения, касающиеся "соразмерности и возможности исполнения такого наказания".
🔸"Проектируемые размеры административных штрафов нуждаются в уточнении на предмет соразмерности и возможности исполнения такого наказания лицами, привлеченными к административной ответственности, что необходимо для достижения целей административного наказания", - указано в проекте отзыва.
🔸По мнению кабмина, предлагаемую административную ответственность за утечку персональных данных специальной категории требуется дифференцировать в зависимости от характера административного правонарушения и степени общественного вреда.
🔸"В качестве смягчающего административную ответственность обстоятельства следует предусмотреть осуществление оператором денежной компенсации предполагаемого вреда, нанесенного правам субъектов персональных данных, а также осуществление оператором существенных ежегодных расходов в течение не менее трех лет, предшествующих правонарушению, на мероприятия по обеспечению информационной безопасности персональных данных", - следует из документа.
🔸Кроме того, кабмин предлагает включить в перечень обстоятельств, отягчающих административную ответственность по проектируемым нормам, совершение административного правонарушения, предусмотренного статьей 13.6 КоАП. Речь идет об использовании средств связи или несертифицированных средств кодирования (шифрования), не прошедших процедуру подтверждения их соответствия установленным требованиям. "С учетом изложенного правительство Российской Федерации поддерживает законопроект при условии его доработки с учетом указанных замечаний", - указано в проекте отзыва.

⚡Источник заявил об отсутствии фактов взлома баз ФСИН
🔸Фактов взлома систем и баз Федеральной службы исполнения наказаний России не зафиксировано. Об этом ТАСС сообщил источник, близкий к ФСИН.
🔸Ранее телеканал CNN сообщил, что хакеры атаковали компьютерную систему ФСИН, похитили базу данных о заключенных, а также взломали интернет-магазин для заключенных под стражу и осужденных. "Фактов взлома баз ФСИН не зафиксировано. Идет проверка озвученной информации", - сказал собеседник агентства. Он также пояснил, что ФСИН-магазин является юридическим лицом, которое не имеет непосредственного отношения к ведомству.

🇺🇸 Google удалит миллиарды записей, содержащих личную информацию о более чем 136 млн жителей США, пользующихся веб-браузером Chrome
🔸Компания согласилась на уничтожение данных в рамках судебного процесса: в отношении цифрового гиганта подан коллективный иск. Его обвиняют в незаконной слежке за пользователями – в частности, в отслеживании интернет-активности пользователей Chrome, даже когда они переключили браузер в режим «Инкогнито».
🔸Иск, направленный против системы контроля конфиденциальности Google, был подан в июне 2020 г., но благодаря работе адвокатов Google судебный процесс не начинался на протяжении трех лет. В конце 2023 г. Google и адвокаты истцов сообщили, что судебный процесс разрешен. Отмечается, что истцы не получат никаких выплат.

🇪🇺💡🏛⚖️ #gdpr #ес #аналитика
Обновлена презентация Механизмы и специфика GDPR (+70 слайдов, всего 1212 слайдов, 52 МБ):
🔸Обзор контекста принятия и механизмов GDPR
🔸Персональные данные, принципы обработки и права субъектов
🔸Accountability и демонстрация соответствия
🔸Records of processing activities и сроки хранения данных
🔸Прозрачность обработки данных и повышение осведомленности
🔸Processing grounds and Legitimate Interests Assessment
🔸Data Protection (Privacy) by Design and by Default
🔸Data Protection Impact Assessment
🔸Data Breach Management
🔸Data Protection Officer
🔸Роли в обработке персональных данных
🔸Соглашения об обработке и защите персональных данных
🔸Интернет-ресурсы, профилирование и прямой маркетинг (реклама)
🔸Обработка данных персонала и соискателей
🔸Биометрические данные и видеонаблюдение
🔸Обработка данных несовершеннолетних лиц
🔸Большие данные, искусственный интеллект, машинное обучение и блокчейн
🔸Автоматизация Privacy и Data Protection
🔸Технические и организационные меры защиты персональных данных
🔸Псевдонимизация и анонимизация
🔸Территориальная сфера действия GDPR
🔸Трансграничная обработка данных и Transfer Impact Assessment
🔸EU-US Data Privacy Framework
🔸Рекомендации, руководства и практические пособия
🔸Международные стандарты
🔸Правоприменительная практика
🔸Штрафы – базы дел и аналитика
🔸Штрафы – интересные кейсы
🔸Иные санкции и меры принуждения
🔸Судебная практика – базы решений и интересные ситуации
🔸Влияние GDPR на бизнес
🔸Итоги применения GDPR в 2018-2023гг. и дальнейшие перспективы
🔸Законодательные инициативы о персональных данных в ЕС и США
🔸Эра пост-GDPR в Великобритании
🔸Подборка ресурсов по GDPR
🔸Модернизация Конвенции 108 и влияние GDPR на РФ

На ярмарке вакансий RPPA опубликованы две новые позиции:
🔸Начинающий специалист по работе с персональными данными в Росатом
🔸Юрист/стажер по специальности IP/IT в Центр DPO Сбера
🇷🇺⚡️👨‍💻 #вакансия #privacy #compliance

⚡В ЦБТ заявили, что идентификация по биометрии в гостиницах не будет обязательной
🔸Идентификация с помощью Единой биометрической системы (ЕБС) не будет являться обязательной для гостиничного бизнеса, а сам сервис поэтапно начнет внедряться во второй половине 2024 года в ранее определенных гостиницах. Об этом журналистам сообщили в пресс-службе Центра биометрических технологий (ЦБТ), который является оператором системы.
🔸"Возможность заселения в отели с помощью ЕБС будет реализована во второй половине текущего года. Сервис будет внедряться поэтапно - по мере технической готовности гостиниц, присоединившихся к пилотному проекту. Идентификация с помощью ЕБС не является обязательной для гостиничного бизнеса", - сообщили в пресс-службе.

🏛️ Цифровую гигиену могут добавить в школьную программу - проработать этот вопрос поручил Владимир Путин
🔸Преподавание цифровой гигиены позволит обезопасить детей от кибербуллинга, утечки личной информации и других киберпреступлений, полагают эксперты.

🇬🇧 Принцесса Кейт Миддлтон рассказала о раке из-за утечки ее данных
🔸Инсайдер из окружения королевской семьи заявил, что Кейт Миддлтон призналась, что у нее рак из-за утечки персональных данных. По словам источника, кто-то связался с сотрудниками Кенсингтонского дворца и сообщил, что знает о диагнозе принцессы. Жена принца Уильяма в срочном порядке записала видеообращение, чтобы опередить анонима.
🔸21 марта появилась информация, что полиция Великобритании начала расследование в отношении сотрудников частной клиники The London Clinic, в которой проходила лечение Кейт Миддлтон. Журналисты писали, что злоумышленники якобы пытались получить доступ к медицинским данным супруги наследника британского престола.

🏛️ Минцифры обсуждает с отраслью создание единого центра безопасности в области ИИ
🔸Минцифры уже ведет работу по созданию CERT по ИИ с заинтересованными участниками, подтвердил замминистра Александр Шойтов. «С учетом того что вопросы безопасности ИИ в отдельных компаниях и госструктурах развиваются, создание единого центра исследований информационной безопасности (ИБ) искусственного интеллекта как единой точки исследований необходимо», – сказал он.

⚡🏛️ Совфед одобрил закон о наказаниях за спам-звонки
🔸Нарушение установленных требований к рекламе, "распространяемой по сетям электросвязи", а именно её распространение при помощи спам-звонков, повлечёт за собой наказание в виде наложения штрафа на граждан в размере от 10 до 20 тысяч рублей, на должностных лиц – от 20 до 100 тысяч рублей, на юрлиц – от 300 тысяч до 1 миллиона рублей.

💡Краткое содержание статьи 'Security and Privacy Challenges of Large Language Models: A Survey' (Проблемы безопасности и конфиденциальности больших языковых моделей: Обзор), опубликованной в феврале 2024 года, авторами которой являются Бадхан Чандра Дас, М. Хади Амини и Янжао Ву из Международного университета Флориды.

🔸Несмотря на впечатляющие возможности LLM (large language model), они подвержены угрозам безопасности и конфиденциальности, таким как взлом, отравление данных (data poisoning) и утечка персональных данных (ПД).

🔸В статье представлен обзор этих уязвимостей в LLM и рассматриваются риски, связанные с такими отраслями, как транспорт, образование и здравоохранение. Оцениваются новые угрозы безопасности и конфиденциальности, рассматриваются потенциальные стратегии защиты, определяются существующие пробелы в исследованиях и предлагаются направления будущих исследований.

🔸Атаки на системы безопасности LLM классифицируются по их целям и методам, основной целью которых является защита системы от несанкционированного доступа или неправомерного использования и обеспечение конфиденциальности ПД.

🔸Рассматриваются несколько основных типов угроз безопасности:
- prompt hacking, включая джейлбрейк и атаки с внедрением;
- adversarial attacks, включая атаки с использованием бэкдоров и отравления данных;
- privacy attacks, в т.ч. градиентная утечка, membership inference attack (MIA) атаки для раскрытия ПД.

🔸Механизмы защиты от угроз безопасности и конфиденциальности в LLM сосредоточены на нескольких направлениях:

1. Prompt Injection: Этот подход использует такие техники, как перефразирование и повторная токенизация, для предотвращения и обнаружения инъекций подсказок, а также проверки целостности данных подсказок для выявления компрометации.

2. Jailbreaking Attacks: Предполагает предварительную обработку и фильтрацию для блокирования нежелательного контента, включая такие тактики, как самонапоминание и пометка определенных ключевых слов для снижения коэффициента успешности.

3. Backdoor Attacks: Используются такие методы, как тонкая настройка и обрезка моделей, а также алгоритмы кластеризации, такие как CUBE, для отделения отравленных данных от чистых и противодействия атакам.

4. Data Poisoning Attacks: Для защиты от отравления используется валидация и очистка данных, а также обнаружение аномалий и ограничение эпох обучения. Выявление отравленных примеров является ключевым моментом, для этого используются такие стратегии, как проверка на недоуменность.

5. Gradient Leakage Attack: Стратегии защиты включают добавление шума, применение дифференцированной конфиденциальности и использование гомоморфного шифрования для предотвращения атак на основе градиента при сохранении полезности.

6. Membership Inference Attack (MIA): Борьба с MIA с помощью отсева, суммирования моделей, дифференциальной конфиденциальности и состязательной регуляризации для уменьшения избыточной подгонки и повышения обобщения.

7. PII Leakage (Утечка ПД): Уменьшение количества запомненного текста и удалении ПД с помощью дедупликации, очистки ПД и использование дифференциально приватного стохастического градиентного спуска (DP-SGD) во время предварительной обработки.

⚖️ Мировой суд в Москве оштрафовал по ч. 1 ст. 13.11 КоАП РФ на 60 тыс. рублей ООО "МВМ" (юрлицо в структуре группы "М.Видео-Эльдорадо") из-за появления в сети базы данных участников бонусной программы магазинов.
🔸Как следует из материалов дела, Роскомнадзор в ходе мониторинга выявил факт наличия в интернете базы данных ООО "МВМ", содержащей персональные данные участников бонусной программы и пользователей магазина, а именно: ФИО, адрес электронной почты, телефон, количество бонусных рублей. Всего 317 тыс. записей.

🏛️ В КоАП предлагают ввести новую статью за преследование и нарушение частной жизни
🔸Такой законопроект подготовил к внесению в Госдуму глава комитета по труду Ярослав Нилов. Законопроектом подразумевается введение в КоАП отдельной статьи «Преследование». Под этим термином предлагается понимать систематическое совершение действий, направленных на причинение жертве нравственных страданий. Это может быть выражено, в частности, в направлении сообщений — по телефону, в соцсетях, письмах и др. Использование информационно-телекоммуникационных сетей, например, мобильной связи, соцсетей, будет отягчающим обстоятельством.
🔸Если правонарушение совершено в первый раз, то гражданину будет грозить штраф в 2 тыс. рублей. За те же действия с использованием информационно-телекоммуникационных сетей, включая интернет, предлагается установить взыскание до 3 тыс. Если человек уже привлекался к ответственности по этой статье, то его предлагается наказывать штрафом в 5 тыс. рублей либо административным арестом на срок до 15 суток.