8 принципов обработки Персональных Данных

Как быстро проверить, правильно ли обрабатываются Персональные Данные? Особенно, если это ваши ПД и вы хотите понять, что те кому вы их вверяете понимает свои обязанности.

Google and Privacy

Google внес изменения в текст политики обработки информации, поступающей от пользователей сервисов компании. Как к этому относиться?

Уроки Сноудэна: Персональные данные

Какой прок в этих всех Законах о защите Приватности, если "заинтересованные органы ... вполне могут получать всю необходимую информацию..."? (из дискуссии о рисках и проблемах, возникающих в связи с созданием централизованной базы пассажиров в России )

(не) Очевидное: Личные данные в социальных сетях

Периодически на глаза попадаются сетования, что люди очень беспечны в социальных сетях, когда не отдавая себе отчет  «выставляют на показ» :

Не всяк Бонус в радость

Увидел свет отчет «Первого экспертного исследования российского рынка ИБ». Название, первые страницы заинтриговали и дали надежду на то, что материал будет интересным. Пробежав глазами Содержание и увидев раздел «Bonus. Рынок информационной
безопасности Украин ы (обзор)».
Решил ознакомится с отчетом «с конца». Вот лучше бы я этого не делал…

Парадокс парадоксов

Интересное эссе о парадоксах, которые могут возникать у рекрутеров в связи с требованиями действующих положений Закона Украины «О защите персональных данных», связанных с обязательным получением согласия Субьекта на обработку его ПД, даже для тех случаев, когда данные собираются из открытых публичных источников, более того, представлены самим Субьектом.
Предлагая такой подход законодатель явно руководствовался самими благими намерениями, для того, что бы максимально защитить личность от вмешательства в его жизнь.
Но давайте посмотрим на данную защиту более внимательно…

Век живи – век учись

В ноябре, в далекой заокеанской многомиллионной стране, произошли события, которые активно обсуждались в англоязычной блогсфере посвященной ИБ. К моему глубочайшему удивлению русскоязычные эксперты уделили данному событию очень мало внимания.

Да, я понимаю, может и не актуально описывать историю, когда «директор ЦРУ  подает в отставку из-за любовной интрижки». Во-первых, у нас нет ЦРУ, во-вторых, да разве интрижка у нас это повод, а может это и не интрижка, а  задание такое…

Мне же, некоторая информация получившая огласку и приведшая к отставке директора ЦРУ Дэвида Петреуса (David Petraeus) показалась очень и очень интересной, потому как иллюстрирует ошибки часто встречаемые на практике…

Законы vs Мошенников

Замечательный пост опубликовал Михаил Емельянников. Очень рекомендую к прочтению и распространению среди знакомых.

DLP: Применять? Не применять? Как применять?

Если рассматривать построение технической системы защиты ПД, то одно из возможных решений, направленное на предотвращение несанкционированной передачи ПД третьим лицам, есть использование сиcтем DLP (Data Leak Prevention), т е сиcтем созданных для предотвращения утечек конфиденциальных данных.

Верить или не верить? Вот в чем вопрос

Пару дней назад, просматривая блоги экспертов в области информационной безопасности, натолкнулся на http://personal-data.livejournal.com/319360.html . Что привлекло? Ну конечно заглавие. Ведь о Украине речь.

В пятницу после работы: "Знеособлена" история

Ввиду того, что самые жаркие дискуссии, на этой неделе*, у нас происходили вокруг Закона о защите ПД решил задать вопрос который меня гложет с первого дня прочтения и дискуссию вокруг которого я не разу не встретил за ПОЛТОРА года. Речь пойдет о пункте 9 статьи 6:
«Використання персональних даних в історичних, … цілях може здійснюватися лише в знеособленому вигляді»

Это как? Упоминая создателя нашей группы в ЛинкидИН-е, мы должны обезличить его ПД и добиться эффекта, когда никто не поймет, кто это был? Потому как  «знеособлення персональних даних - вилучення відомостей, які дають змогу ідентифікувати особу»…

Кто-то может пояснить, что имел ввиду Законодатель?

---

* - в первую очередь имеется ввиду дискуссии в группе UISG на LinkedIN-е

В пятницу после работы: Цели и общедоступные источники

Красной нитью Закона Украины о Защите Персональных Данных есть требование, что обработка ПД должна осуществляется в рамках законных целей, но самое главное - цель обработки должна быть согласованна с Субьектом ПД (п 1 ст 6 и пп 1 п 2 ст 8).

С моей точки зрения здесь появляется нюанс: цель с которой Субьект разместил данные в общедоступных источниках и цель, с которой эти данные были собраны и подвергнуты обработке, могут быть разными.

Вопрос: Можете ли вы навести примеры таких ситуаций? Как необходимо оценивать сложившеюся ситуацию? Или проблема надумана?

Причина вопроса: сбор данных происходит без уведомления Субьекта ПД (п 3 ст 12)

Унификация защиты Персональных Данных: Классификация

Рано или поздно Базы персональных данных нужно будет не только регистрировать, но и защищать, а учитывая «вселенский охват», ой как помогли бы типовые рекомендации...

Несколько месяцев, на сайте Державної служби України з питань захисту персональних даних  был размещен Проект «РЕКОМЕНДАЦІЇ щодо забезпечення захисту персональних даних у базах персональнихданих від незаконної обробки, а також від незаконного доступу до них».

В поисках взаимопонимания: ПД, паспорт, псевдоним…

«Либимого узнаю  по походке»

Нельзя построить эффективную защиту не понимая обьект защиты. Нельзя давать полезные советы, если люди толкуют одно и то же понятие по-разному.

---

Идет дискуссия, потихоньку стороны начинают понимать друг друга, а тут бац «вторая смена», вновь подключившийся к дискуссии вносит сумятицу в еще не окрепшие умы: «если собранные персональные данные (ПД) не подтверждены документально, например, посредством предьявления оригинала паспорта, то нельзя такие данные считать «персональными данными», а следовательно под действие Закона Украины «Про защиту персональных данных» собранная информация не попадает» (попытался культурно, получилось длинно). На просьбу аргументации утверждения, ответ как правило один: «нельзя утверждать, что данные настоящие, потому как они могли были искажены самим субьектом ПД»…

И так, где же истина? Что же есть «персональные данные»? Считаю, что вопрос даже требует уточнения: «какую информацию следует считать «персональными данными»? Почему мы смотрим на одно и то же, но видим разное?

Закон гласит:  «персональні дані  -  відомості  чи  сукупність відомостей про фізичну  особу,  яка  ідентифікована  або  може   бути   конкретно ідентифікована» («персональные данные - сведения или совокупность сведений о физическом лице, которое идентифицировано или может быть конкретно идентифицировано»)

И вот перед главная причина,  почему мы не понимаем друг друга: закон не определяет процесс идентификации.  Причем именно процесс в самом широком его толковании: нам не навязывают Что анализировать, Как, Чем и совсем незаметный нюанс: Кто должен проводить анализ. Последнее мне кажется предельно интересным моментом: вы можете считать (искренне), что у Вас «в руках» галиматья какая-то, а сторона, предъявляющая Вам претензию легко демонстрирует, что это не галиматья и Вам придется отвечать «по всей строгости…»

Как следствие,  имеем ситуацию, когда каждый человек под идентификацией начинает предлагать свое видение данного процесса, которое чаще всего иллюстрирует или ограниченные познания в данной области и/или когнитивные искажения.

Так, например, если взять слайд посвященной теме когнитивных искажений из моей призентации на UISGv7, то первые пять примеров могут абсолютно точно характеризовать поведение нашего собеседника (а список достаточно не полный)




Где выход? Он очевиден: учить, обьяснять, расширять кругозор. Побольше примеров, особенно тех о которых  мозг собеседника просто «забыл» в круговерти нашей жизни.

В качестве иллюстрации, давай те рассмотрим такое явление как Псевдоним.  Бытует мнение, что человек изменив (исказив) свои данные, например, представившись «вымышленным лицом», создает условия, когда эти данные не могут быть отнесены к ПД. Так то оно так, но часто до поры до времени:  кого Вы скорее идентифицируете (например, укажете на фотографии) Максима Горького или Алексея Пешкова, Ани Лорак или Каролину Куек, Тину Кароль или Татьяну Либерман, Xaocuc-а или Sapran-а???? Для кого-то все написанное есть ПД, а для кого-то только половина, и то не та.

---

«Либимого узнаю  по походке»…  и кому после этого еще нужен паспорт?

Какая База ПД самая главная?

На прошлой неделе, провел краткую встречу-консультацию для любимых клиентов о необходимых действиях во исполнение ЗУ «Про захист персональних даних», где мы установили, что изречения «У нас Баз персональных данных НЕТ» и «В СССР Секса НЕТ» принадлежат перу одного автора и что закон действует даже там где «СУБД не стоит на балансе» (из уст финансиста это звучало сногсшибательно) и вернулся к размышлениям о «РЕКОМЕНДАЦІЯХ щодо забезпечення   захисту   персональних   даних…»

Находясь под впечатлением встречи и анализируя свои ответы на поставленные вопросы, в голову пришла мысль, которая раньше меня не посещала: какая «База ПД» самая ценная для владельца/распорядителя? 

Оказывается та о которой мы меньше всего говорим: База где хранятся полученные разрешения на обработку ПД и/или ссылки на источники подтверждающие легальность получения обрабатываемых данных (особенно в случае открытых источников).

Если такая база База ПД будет утеряна, то вся обработка персональных данных становится «вне закона».

А вы считаете иначе?

В пятницу после работы: Какая База ПД самая главная?

Утрата (не утеря) какой базы Персональных Данных может вызвать самые большие неприятности для владельца/распорядителя ПД?

Парк развлечений и отдыха

Вы когда-нибудь замечали, как меняется поведение людей, когда они узнают, что их действия записывают?

Представьте огромный Парк с различными аттракционами, кафе, кинотеатрами и разными прочими приятными заведениями. Парк огромен. Места много. Зеленая трава. Специальная крыша: никакого тебе дождя или снега. Всегда только солнце, тепло, а где надо приятная прохлада.

Вы хотите отдохнуть? Провести деловые переговоры? Нет проблем, здесь всегда найдется удобное местечко в удобное для Вас время.

А дети-то как любят здесь отдыхать и резвиться. Если бы не Ваша воля, то они бы от сюда никогда бы и не уходили.

Все хорошо, но есть один нюанс. Что бы Вы не делали (гуляли, говорили, работали, с кем встречались и т.п.)  все Ваши действия будут записаны. Даже будет сделана попытка (часто в ненавязчивой форме) записать Ваши Имя, Фамилию и все остальное, что Вы сообщите, чем похвастаете…

Да не просто записаны, а надежно сохранены. Сохранены и защищены от случайной потери. Большинство записей будет доступно каждому для ознакомления и копирования, причем в любой точке замечательного Парка. А если, вдруг Вам захочется, что то припрятать – не проблема, Вы только  скажите ЧТО и Вам тут же выдадут листок нужного размера, растения специального: инжир называется (также известен под именем смоква или фига)…

Как туда попасть? Найти дорогу в Парк не сложно. Вход бесплатен, разве, что дорогу оплатить придется.

Хотя как я погляжу – Вы уже здесь!

Добро пожаловать в Интернет!