Ранее на этой неделе невзаимозаменяемый токен (NFT) вирусного видео YouTube «Charlie Bit My Finger» («Чарли укусил мой палец») был продан за $ 761 тысячу. Изначально предполагалось, что оригинал видео удалят с YouTube, чтобы «увековечить его в блокчейне», но новый владелец цифровых прав передумал.

DRC Group и «РосКомСвобода» опубликовали свой «Рейтинг соблюдения цифровых прав». Хабр оказался на 4-м месте.

«РосКомСвобода» опубликовала свой «Рейтинг соблюдения цифровых прав». В этом году он вышел в обновленном формате: эксперты оценивали обязательства по соблюдению прав человека на приватность и свободу информации у 11 наиболее популярных сервисов Рунета и соцсетей. Участниками первого рейтинга стали «Хабр», Яндекс, «ВКонтакте», «Авито», «Рамблер», Mail, «Одноклассники», Ozon, HeadHunter, Wildberries и Сбербанк. Во втором рассматривают vk.com, odnoklassniki.ru, my.mail.ru, zen.yandex.ru, pikabu.ru, mirtesen.ru, livejournal, habr.ru.

НАСТОЯЩИЙ МАТЕРИАЛ (ИНФОРМАЦИЯ) ПРОИЗВЕДЕН И (ИЛИ) РАСПРОСТРАНЕН ИНОСТРАННЫМ АГЕНТОМ «РОСКОМСВОБОДА» ЛИБО КАСАЕТСЯ ДЕЯТЕЛЬНОСТИ ИНОСТРАННОГО АГЕНТА «РОСКОМСВОБОДА». 18+

29 января в формате онлайн, с подключением экспертной площадки из Казахстана, состоялась конференция Privacy Day 2024. Мероприятие было приурочено к Международному дню защиты данных. Организаторами выступили DRC Group и Privacy Accelerator. Партнёры конференции — международные и российские IT-компании, правозащитные и общественные организации, юридические ассоциации и СМИ, а также прайваси-стартапы. 

В первом треке гости обсудили проблемы приватности в бизнесе и госрегулировании (текст здесь). Во втором треке эксперты рассказали про слежку за журналистами через шпионские программы, проиллюстрировав её кейсами. Отдельное внимание также получила ситуация с блокировками VPN-сервисов и возможностями их работы в регионах с высоким уровнем цензуры. 

Кто и зачем следит за независимыми СМИ?

НАСТОЯЩИЙ МАТЕРИАЛ (ИНФОРМАЦИЯ) ПРОИЗВЕДЕН И (ИЛИ) РАСПРОСТРАНЕН ИНОСТРАННЫМ АГЕНТОМ «РОСКОМСВОБОДА» ЛИБО КАСАЕТСЯ ДЕЯТЕЛЬНОСТИ ИНОСТРАННОГО АГЕНТА «РОСКОМСВОБОДА». 18+

На стадии общественного обсуждения находится проект постановления Правительства РФ, который расширяет полномочия Роскомнадзора по блокировке сайтов, где публикуются способы и методы обхода ограничений доступа к уже заблокированным интернет-ресурсам. 

! «Роскомсвобода» считает, что в случае принятия документа в неизменном виде риск попасть под блокировку за любую публикацию о возможностях VPN, прокси, анонимайзеров, Tor и т.д. резко возрастает. 

!! До 15 сентября идёт этап открытого общественного обсуждения проекта постановления. Любой желающий может направить своё мнение о нём. 

Для этого нужно:

НАСТОЯЩИЙ МАТЕРИАЛ (ИНФОРМАЦИЯ) ПРОИЗВЕДЕН И (ИЛИ) РАСПРОСТРАНЕН ИНОСТРАННЫМ АГЕНТОМ «РОСКОМСВОБОДА» ЛИБО КАСАЕТСЯ ДЕЯТЕЛЬНОСТИ ИНОСТРАННОГО АГЕНТА «РОСКОМСВОБОДА». 18+

Рассказываем о том, как и развивается self-hosted сервис для развёртывания собственной VPN. 

Amnezia VPN — простое и бесплатное приложение для запуска self-hosted VPN (для самостоятельного развертывания VPN-сервера) с высокими требованиями к приватности. Это приложение разработано на основе открытого исходного кода (не только клиентской, но и серверной части). По словам разработчиков, их решение позволяет получать доступ к заблокированному контенту, не раскрывая конфиденциальность даже провайдерам VPS (виртуального сервера) — благодаря отсутствию логирования и сбора различных метрик. Последний пункт зашифрован и в названии: AmneziaVPN — это сервис, который ничего «не помнит» о пользователях. Таким образом, продукт решает две задачи: помогает получить доступ к заблокированным ресурсам и при этом максимально сохраняет приватность пользователей.

Инструмент не является VPN-сервисом, подчёркивают создатели проекта. Работает он следующим образом: необходимо указать IP-адрес, логин и пароль виртуального сервера, и программа автоматически всё настроит для подключения через VPN.

«Вы не подключаетесь к нашим серверам и не платите нам ничего. Для подключения используете свой или приобретаете любой [сервер] VPS у любого провайдера. Приложение также бесплатное. Вы полностью контролируете свои данные. Приложение не собирает и не передаёт никакой статистики, логов и другой информации о пользователях и их данных», — поясняется на главной странице проекта.

Победителями стали команды literalLegends, Get_site_copy и SecurityBand. Они работали над созданием бота в мессенджерах, который будет делиться мостами Tor с пользователями, и телеграм-ботом, способным сделать заблокированную информацию снова доступной. Команды разделили призовой фонд в 120 тысяч рублей. 

21-22 мая «Роскомсвобода» и Privacy Accelerator при поддержке «Теплицы социальных технологий» провели Demhack 4 — онлайн-хакатон в области приватности и свободы интернета. Уже который год мы помогаем командам искать технические решения для защиты цифровых прав и расширения цифровых возможностей пользователей. В этом году отбор прошли 11 заявок.

«Решения все разные, — говорит ментор хакатона, сo-founder & Creative Director in Fancy Interactive Илья Розовский. — Если лично от себя говорить, некоторые проекты показались мне персонально очень полезными и перспективными. Но это не делает другие проекты хуже. Там были и прекрасные специализированные проекты. И это, если честно, даже важнее, потому что решение должно находится для всех. И то, что у этих проектов будет 100 пользователей, как по мне, ценнее, чем проекты на многие тысячи, если эти 100 больше нигде решения найти бы не смогли».

На хакатоне было четыре трека: приватность в условиях военного времени; доступ к информации; русскоязычное сообщество за границей; доступ россиян к технологиям. Перед участниками были поставлены соответствующие задачи, которые они решали на протяжении двух дней. Всем была оказана помощь менторов.

«Считаю, что поставленные задачи были охвачены, — говорит ментор хакатона, юрист и эксперт «Роскомсвободы» Владимир Ожерельев. — Проекты были по всем обозначенным темам. При этом участники работали очень спокойно, не предлагая «экстремальных» решений, подходили к ситуации взвешенно и реалистично».

Для Казахстана, как для крупнейшего государства Центральной Азии, все дальше идущего по пути цифровизации и государства, и общества, более и более становятся актуальными вопросы сбора и защиты персональных данных граждан страны — причем как со стороны госорганов, так и со стороны интернет-компаний, собирающих и хранящих эти данные. При этом, защита цифровых прав пользователей соцсетей и онлайн-сервисов разного рода  становится приоритетом первого порядка.

Чтобы достичь этой цели, недостаточно лишь изменять законы, регулирующие эту сферу (используя образцы, применяемые крупнейшими игроками в области сбора, хранения и использования личной информации — то есть Китаем, Россией и Европейским Союзом). Гораздо важнее повышать киберправовую грамотность и цифровую гигиену жителей Казахстана, объясняя и/или напоминая им о важности  защиты персональных данных.

А сейчас — поговорим подробнее о том, как на законодательном уровне решаются вопросы персональных данных и их использования в Республике Казахстан. Начать следует с того, что страна не является участником Конвенции о защите физических лиц при автоматизированной обработке персональных данных ETS от 28.01.1981 № 108. Тем не менее, подходы к регулированию рассматриваемой сферы вполне близки к принципам и положениям данного документа. Общая структура регулирования содержит минимально необходимый набор нормативных актов, включая основной закон о персональных данных и их защите и подзаконные акты в виде постановлений Правительства РК и приказов “профильного” Министерства цифрового развития, инноваций и аэрокосмической промышленности республики.

Этим “legal corpus” регулируются общественные отношения в сфере персональных данных, а также определяет цель, принципы и правовые основы деятельности, связанные со сбором, обработкой и защитой персональных данных безотносительно характера действий (как с использованием средств автоматизации, так и без таковых). Регулирование обработки и защиты персональных данных императивно вынесено за пределы действия закона  в части отношений, касающихся: 

● личных и семейных нужд; 

● формирования, хранения и использования архивных документов; 

● защиты государственных секретов; разведывательной, контрразведывательной, оперативно-розыскной деятельности; 

● осуществления охранных мероприятий по обеспечению безопасности охраняемых лиц и объектов.

Понятийный аппарат казахстанского закона о персональных данных, как отмечают эксперты, “является достаточно развитым и в целом соответствует положениям Конвенции от 28.01.1981 № 108”. Согласно закону от 21 мая 2013 года, персональные данные — это «сведения, относящиеся к определенному или определяемому на их основании субъекту персональных данных, зафиксированные на электронном, бумажном и (или) ином материальном носителе». Главной целью этого закона является «обеспечение защиты прав и свобод человека и гражданина при сборе и обработке его персональных данных» (ст. 2), при этом о хранении речи пока не идет.

Заметим, что указанное определение персональных данных вполне естественным образом порождает вопрос о юридическом статусе тех из них, которые сообщены устно или же с помощью средств голосовой связи. 

Законодательство Казахстана опирается на базовый субинститут предоставления субъектом персональных данных своего явно выраженного согласия. При этом отсутствует указание на такие условия правомерности обработки персональных данных, как конклюдентные действия субъекта и на договорные отношения между субъектом и собственником (оператором). Законодатель также фиксирует возможность обработки персональных данных в иных установленных законодательством случаях. Особенностью является правомерность обработки персональных данных в случае неисполнения субъектом своих обязанностей по представлению персональных данных в соответствии с действующими НПА.

Также в казахстанском законе о персональных данных де-факто отсутствует общий концепт оператора, роль которого выполняют «собственник базы, содержащей персональные данные» (лицо, реализующее в соответствии с законами право владения, пользования и распоряжения базой, содержащей персональные данные) и «оператор базы, содержащей персональные данные» (лицо, осуществляющее сбор, обработку и защиту персональных данных). Другой особенностью регулирования является отсутствие в определении собственника и оператора такого квалифицирующего признака как целеполагание обработки персональных данных. Тем самым, реализована схема из двух основных полномочий субъекта персональных данных – права на доступ к данным и права на обжалование действий или бездействия собственника (оператора). 

В ноябре 2020 года вступил в силу приказ Министерства цифрового развития, инноваций и аэрокосмической промышленности Республики Казахстан «Об утверждении правил сбора, обработки персональных данных». Правила распространяются на отношения, возникающие между собственниками, операторами, субъектами, а также третьими лицами в процессе сбора и обработки персональных данных. Согласно документу, сбор и обработка собственником или оператором персональных данных допускается в объеме, определенном перечнем персональных данных, необходимом и достаточном для выполнения осуществляемых задач.

При этом перечень персональных данных определяется и утверждается в соответствии с правилами определения собственником или оператором перечня персональных данных. Сбор и обработка собственником или оператором персональных данных допускается в объеме, определенном перечнем персональных данных, необходимом и достаточном для выполнения осуществляемых задач. При этом перечень персональных данных определяется и утверждается в соответствии с правилами определения собственником или оператором перечня персональных данных.

Отдельно говорится об обработке персональных данных в деятельности судов. Так, тексты судебных актов Верховного суда Казахстана, местных и других судов, за исключением текстов судебных актов, предусматривающих положения, которые содержат сведения, составляющие государственную или иную охраняемую законом тайну, а также судебные акты по делам, рассмотренным в закрытом судебном разбирательстве, размещаются на сервисах «Судебный кабинет», «Банк судебных актов» интернет-ресурса Верховного суда в полном объеме. Для обеспечения безопасности участников судебного процесса и защиты охраняемой законом тайны при сборе и использовании либо распространении третьими лицами судебных актов из них исключаются (обезличиваются) персональные данные. При этом третьи лица принимают на себя обязательства по обеспечению выполнения требований закона

Что касается вопросов безопасности персональных данных при их обработке, то следует отметить, что в действующем на сегодняшний день законодательстве Казахстана присутствует только лишь частичная регламентация необходимых правовых, организационных и технических мер для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий. 

Тем не менее, существуют отдельные императивные нормы о предотвращении несанкционированного доступа к персональным данным, о своевременном обнаружении фактов несанкционированного доступа к персональным данным, если такой несанкционированный доступ не удалось предотвратить, и о минимизации неблагоприятных последствий несанкционированного доступа к персональным данным.

Трансграничная передача персональных данных определена как передача персональных данных на территорию иностранных государств безотносительно статуса получающей стороны. Иначе говоря, трансграничной будет признана передача персональных данных с территории Казахстана на территорию другого государства, даже в том случае, если такая передача производится внутри одной базы данных, собственником либо оператором которой является резидент РК. Особенностью является отсутствие субинститута получения предварительного разрешения уполномоченного органа для передачи персональных данных на территорию иностранного государства, если оно не обеспечивает удовлетворительный уровень защиты персональных данных. Кроме того, существует норма о «локализации» персональных данных, а именно: «хранение персональных данных осуществляется собственником и (или) оператором, а также третьим лицом в базе, которая хранится на территории Республики Казахстан».

30 декабря 2021 года Президентом РК Касым-Жомартом Токаевым был подписан Закон № 96-VII ЗРК, который вносит изменения в нынешнее законодательство о персональных данных. Поправки, среди прочего, закрепили обязанности собственника и оператора персональных данных:

● утверждать документы, определяющие политику оператора в отношении сбора, обработки и защиты персональных данных,

● предоставлять по запросу уполномоченного органа по защите персональных данных в рамках рассмотрения обращений физических и юридических лиц информацию о способах и процедурах, используемых для обеспечения соблюдения собственником и оператором требований законодательства о защите таких данных.

В настоящее время регулятор уделяет пристальное внимание нарушениям при обработке персональных данных в интернете. Неправильное оформление процессов обработки  персональных данных может привести к нарушению казахстанского закона "О персональных данных и их защите" и европейского Регламента по защите данных, General Data Protection Regulation (в случае, если предприятие из Казахстана целенаправленно работает на рынок ЕС), и, как следствие, к достаточно высокому административному штрафу. Максимальный размер штрафа:

по национальному законодательству — до 306 300 тенге (ст.641 КоАП РК);

по европейскому законодательству — до 20 000 000 евро или до 4% от годового мирового оборота компании (ст.83 GDPR).

Все юридические лица Казахстана обязаны оповещать уполномоченный орган — Министерство цифрового развития, инноваций и аэрокосмической промышленности — об инцидентах в информационной безопасности, связанных с незаконным доступом к персональным данным. Кроме того, они обязаны предоставлять доступ Государственной технической службе по запросу последней для проведения обследования по обеспечению защищенности персональных данных.

DRC Group совсем недавно пришла на IT-рынок Казахстана, однако уже успела открыть свои представительства сначала в Алматы, а несколько дней назад — и в столице республики Нур-Султане. Юристы Digital Rights Center Qazaqstan оказывают всестороннюю защиту и помощь компаниям - операторам ПД, а также лицам, пострадавшим от утечки или незаконной обработки персональных данных в интернете. Мы готовы проверить вашу компанию, отдельные процессы, продукты и программные обеспечения на соответствие национальному законодательству Республики Казахстан и GDPR. В результате перед вами откроется полная картина работы с персональными данными внутри вашего бизнеса, что позволит устранить имеющиеся недочеты, продемонстрировать Privacy Compliance партнерам и надзорным органам.

TL;DR: Эксперты делятся видением проблем в России, связанными с цифровым правом на приватность.

12 и 13 сентября Теплица социальных технологий и РосКомСвобода проводят хакатон по цифровому гражданству и цифровым правам demhack.ru. В преддверии мероприятия организаторы публикуют последнюю статью, посвященную картированию проблемного поля для того, чтобы программисты и активисты смогли найти для себя интересный вызов. Предыдущие статьи:

В сентябре «Роскомсвобода» и «Теплица социальных технологий» провели хакатон Demhack для активистов и ИТ-специалистов из разных областей разработки программного обеспечения (программистов, дизайнеров, менеджеров, разработчиков). Они встретились для создания ИТ-решений в сфере цифрового гражданства. На хакатоне разрабатывались проекты в области защиты персональных данных, свободы слова и борьбы с фейковыми новостями и т.д.

Ценность таких мероприятий, как Demhack заключается в возможности разным специалистам встретиться для решения социальных социальных проблем и общественно важных вопросов с помощью цифровых сервисов, считают менторы, члены жюри хакатона и сами участники. Программисты могут предложить общественникам решения, а общественники — продвигать гуманистические идеи в ИТ-мир. UX-специалист команды Common data Вероника Волкова считает, что сочетать «технологические истории с социальными» — хорошая идея. «Только тогда решения будут работать. Технологии в отрыве от социальных проблем — гиблое дело», — заключила она.

Мероприятие реализуется в рамках концепции цифрового гражданства, где ключевой элемент — это взаимоотношения между гражданами и государством и непосредственно между самими гражданами с помощью электронных платформ, сервисов, устройств и ресурсов. В условиях цифровизации, когда большая часть процессов и коммуникации переходит в онлайн-среду, а потребности и запросы, права и интересы удовлетворяются и защищаются в Сети, новая концепция получает особую актуальность.

РосКомСвобода в деле! Хотим рассказать про наши ближайшие онлайн-мероприятия.

Мы запустили сбор заявок на конкурс-хакатон для помощи здравоохранению и гражданскому обществу — Pandemic Hackathon. Тему выбрали актуальную и важную, потому что искренне верим в то, что лишь совместными усилиями сможем пережить этот непростой для всех период. Призовой фонд хакатона составляет 1,5 млн рублей, подать заявку на участие можно до 22 мая.

А 21 мая мы проводим вторую ежегодную конференцию Privacy Day. В этот раз она пройдёт в онлайн-формате по всем понятной причине.

Кстати, в обоих мероприятиях активное участие принимает Хабр: в конкурсе-хакатоне в качестве партнёра, а на конференции будет спикер.

К обоим мероприятиям приглашаем присоединиться и вас!

TL;DR: Эксперты делятся видением проблем в России, связанными с цифровым правом на анонимность.

12 и 13 сентября Теплица социальных технологий и РосКомСвобода проводят хакатон по цифровому гражданству и цифровым правам demhack.ru. В преддверии мероприятия организаторы публикуют вторую статью, посвященную картированию проблемного поля для того, чтобы смогли найти для себя интересный вызов. Предыдущие статьи: по праву на публикацию цифровых произведений можно найти здесь (часть 1) и на доступ к информации – здесь (часть 2).

Цифровая эпоха диктует свои законы и юриспруденция вынуждена поспевать за неустанным технологическим прогрессом и трансформацией экономических отношений. На глобальном уровне взвешенное и прогностическое правовое регулирование цифровой среды становится значительным конкурентным преимуществом государства, позволяет обеспечить приток инвестиций и стабильность экономического роста. В российских же реалиях, при столь интенсивной работе Государственной Думы по принятию новых (и зачастую сырых) законов, регулирующих отношения в цифровом пространстве, сложно разобраться не только предпринимателям, которые уже ведут или собираются вести какой-то бизнес в онлайне, но и юристам, которые уже имеют опыт работы по консультированию и защите прав своих доверителей. Без сомнений, для отдельных юристов и конкретных юридических компаний знания правовых особенностей отношений в цифровой среде становится залогом их успеха и процветания их бизнеса в современных условиях.

Персональные данные – это, безусловно, “валюта” современной экономики. Сбор, анализ и перемещение персональных данных по всему миру приобрели огромное экономическое значение. Касается это и территории “Большой Европы”. 

Защита персональных данных в Европейском союзе рассматривается в качестве неотъемлемого элемента фундаментальных прав и свобод человека и гражданина наряду с неприкосновенностью личности. Право граждан на защиту персональных данных гарантировано учредительными договорами ЕС. Так, согласно статье 8 (1) Хартии основных прав Европейского союза и статье 16 (1) Договора о функционировании Европейского союза предусматривается, что каждый имеет право на защиту персональных данных, касающихся его или ее. При этом это право распространяется не только на граждан Евросоюза, но и на граждан третьих стран, находящихся на законных основаниях на территории ЕС, вне зависимости от длительности их пребывания (речь идет о бизнесменах, туристах, студентах, научных работниках, сезонных рабочих, сотрудниках международных организаций и транснациональных компаний, гражданах третьих стран и лицах без гражданства,

обратившихся с ходатайством о предоставлении убежища, и др.).

Изначально основой нормативно-правовой базы ЕС в этой сфере являлись международные инструменты – Рамочные принципы ОЭСР в области защиты неприкосновенности частной жизни и трансграничной передачи персональных данных 1980 г. и Конвенция Совета Европы о защите физических лиц при автоматизированной обработке персональных данных, открытая для подписания в 1981 г., в рамках которых впервые в мировой правовой практике было выделено в качестве объекта защиты право граждан на защиту их персональных данных.