Социальные сети и ПДн - Форум по вопросам информационной безопасности

Прошу оценить такую трактовку закона.

"персональные данные - любая информация, относящаяся к определенному или определяемому на основании такой информации физическому лицу.."

Если в соцсети может регистрироваться каждый, а администрация не проверяет правдивость вводимых данных, то эти данные не могут являться персональными.

Поскольку для произвольно взятой записи невозможно однозначно установить, относятся ли эти данные к определенному лицу (никто же их не проверял), равно как и невозможно определить по этим данным физическое лицо (данные ведь могут быть и подставными).

Вот если бы в оцсеть регистрировались лично, предъялвляя паспорт, по тогда это конечно ПДн. А так - вообще непойми что.

Прошу оценить такую трактовку закона.

Сейчас во многих случаях соцсети просят предоставить им скан паспорта, а значит это уже реальные ПДн, а не какие то выдуманные. Не важно для каких целей они их берут, если берут, то значит уже должны приниматься соответствующие меры.

Ну а вообще каждый в праве выбирать, писать ли ему реальные свои данные или врать направо и налево.

Закон не ставит "персональность" данных в зависимость ни от их достоверности, ни от идентификации субъекта оператором.

Что касается достоверности, в законе явно оговаривается, что недостоверные персональные данные все равно являются персональными, например:

"Статья 21. ...

1. В случае выявления недостоверных персональных данных ... при обращении или по запросу субъекта персональных данных или его законного представителя либо уполномоченного органа по защите прав субъектов персональных данных оператор обязан осуществить блокирование персональных данных, относящихся к соответствующему субъекту персональных данных, с момента такого обращения или получения такого запроса на период проверки"

Что касается невозможности идентифицировать субъекта, то в законе не случайно используется слово "определить", а не "идентифицировать". В русском языке слово "определить" означает не столько "установит личность", но и "указать". Скажем, фраза: "Маринка, которая отшила тебя на первом курсе, ..." - вполне себе определяет лицо, данные о котором в этой фразе содержатся.

malotavr,

Откуда вы узнали, что Маринка меня отшила??!!
(шутка)

Получается, что если взять список фамилий, имен и отчеств из справочника, в случайном порядке их перемешать, то получаются персональные данные и их надо защищать?

Кстати, если используются только фамилия и имя, то без отчества они частью Пдн не являются, правильно я понимаю?

В каждой соц. сети свои условия предоставления "информационного пространства" и соблюдения требований законодательства. В частности, от ПДн'оских требований некоторые "уходят" в форме предоставления аренды информационных ресурсов с кучей нюансов, а некоторые берут соответствующее согласие перед размещением своих ПДн.
По статусу соц. сети, типа одноклассники, вконтакте и подобные, не могут быть ограниченными, т.е. все, кто размещает там свои ПДн, сам же их и распространяет (и не просто распространяет, а обнародует, т.к. круг лиц неограниченный).

msergey,

Надо ли в таком случае понимать, что в случае одноклассников защищать Пдн не надо, потому что в соглашении пользователь соглашается с тем, что данные будут как раз незащищенными?

Ответить однозначно на Ваш вопрос сложно. По крайней мере по двум причинам:
1) Надо смотреть условия соглашения (или договора), которое пользователь "заключает" перед размещением своих ПДн. Скажу честно, такое соглашение я не читал, поэтому про их условия ничего сказать не могу. Знаю точно, что владельцы подобных ресурсов знают о проблеме ПДн и используют свой вариант решения проблемы.
2) Повторяю: все, кто размещает там свои ПДн, сам же их и распространяет (и не просто распространяет, а обнародует, т.к. круг лиц неограниченный). Сложно защищать информацию, которую собственник сам же и обнародовал. Разве, что по параметру обеспечение целостности, т.к. требования к конфиденциальности и доступности обнародованием отменены самим собственником.
На мой взгляд абсурдно заниматься защитой информации, где за её достоверность никто ответственности не несёт, главная цель защиты - обеспечение конфиденциальности - противоречит открытому и безграничному общению в подобной соц. сети...

> Получается, что если взять список фамилий, имен и отчеств из справочника, в случайном порядке их перемешать, то получаются персональные данные и их надо защищать?

Нет, конечно :) Но мы ведь говорим не о генераторе случайных ФИО, а о вполне конкретных социальных сетях.

" 6.1. Пользователь вправе размещать на Сайте информацию _О СЕБЕ_, _СВОИ_ фотографии..."

Предоставив пользователю подобное право, оператор социальной сети взял на себя все корреспондирующие обязанности по обращению с этой категгорией сведений, в том числе - установленные законом. Поэтому в даном случае предложенная вами отмазка не катит.

> Надо ли в таком случае понимать, что в случае одноклассников защищать Пдн не надо, потому что в соглашении пользователь соглашается с тем, что данные будут как раз незащищенными?

Договоры, существенные условия которых противоречать требованиям законодатедльства, не подлежат исполнению как минимум в той части, которая противоречит законодательству. Поэтому подобное согласие не имеет юрилической силы

Кроме того, пользователь не соглашается на незащищенность ПД: если бы у Одноклассников был нормальный договор, а не то недоразумение, которое они называют "Правилами...", то это было бы согласие на публикацию их ПД в общедоступном источнике. Такое согласие снимает с оператора обязанность обеспечить конфиденциальность ПД, но остаются требовани по обеспечению доступности и целостности.

> Такое согласие снимает с оператора обязанность обеспечить конфиденциальность ПД, но остаются требовани по обеспечению доступности и целостности.

Есть основания полагать, что о доступности здесь речи не может быть, т.к. размещаемая информация в соц. сети становится общедоступной: выставлена для всего неопределённого круга участников сети, эту информацию можно "неутённым" образом размножать, копировать, отсылать другим и т.д. А пароль на входе больше похожа на средство идентификации пользователя и то с натяжкой.
Про целостность данных вопрос спорный.