📌 > - Уведомления об утечке данных содержат пункты, установленные законом. Необходимо указывать, что, когда и в каком количестве было утечено, а также контактные данные для подачи жалоб. Если этого нет, можно потребовать их предоставления. > - "Жалоба" бывает двух видов. Жалоба, которую бизнес-оператор подает в Комитет по защите прав потребителей и т.п., и жалоба, которую жертва подает в Центр сообщений о нарушениях конфиденциальности, – это разные процедуры. > - Не заканчивайте только подачей жалобы. Необходимо включать требования об удалении и приостановке обработки, чтобы сообщение действительно прекратилось.
Содержание 1. Вопрос, начавшийся с одного SMS-сообщения 2. Три пункта, отсутствовавшие в уведомлении 3. Различение двух "жалоб" 4. Как утекла база данных 5. Выбор того, что указать в заявлении 6. Почему включены удаление и приостановка обработки 7. Ответ, пришедший через восемь недель 8. Что делать, если вы получили уведомление об утечке персональных данных
Я – административный агент, офис которого расположен в Сонгдо, Ёнсугу, Инчхон. Я расскажу об одном случае, с которым столкнулся в процессе работы.
Если раньше вопросы, связанные с персональными данными, в основном поступали от представителей компаний, то сейчас все наоборот. Теперь гораздо чаще люди, пострадавшие от утечки, спрашивают: "Куда и как подать жалобу?". Это связано как с изменениями в законодательстве, так и с тем, что люди начали ощущать, насколько далеко распространяются их данные.
И этот случай тоже начался так же. Это было SMS-сообщение.
1. Вопрос, начавшийся с одного SMS-сообщения Клиентка – женщина в возрасте около тридцати лет, воспитывающая двух детей школьного возраста. Первый контакт был по электронной почте, вместе с четырьмя скриншотами.
На трех скриншотах были рекламные SMS-сообщения. Подписка на учебные пособия, английский лагерь и кружок, названия которого она никогда не слышала. Все три сообщения содержали точные имена детей. Не "мама ○○", а "мама ○○, ученик 3-го класса". Даже класс был указан верно.
Проблемным оказался четвертый документ. Это была фотография уведомления, отправленного местным частным репетиторством, которое закрылось четыре месяца назад. Под двумя абзацами объявления о закрытии была добавлена одна строка. В ней говорилось, что обнаружены факты утечки данных членов кружка во внешнюю среду.
Именно эта строка была важна.
Она сказала, что тогда отнеслась к этому уведомлению без особого внимания. Сначала бросилось в глаза известие о закрытии кружка, а нижняя строка показалась ей формальной фразой. Но примерно через два месяца начали поступать сообщения. Сначала их было немного, около одного-двух в месяц, а в последнее время их стало четыре-пять в неделю.
Она сама пыталась выяснить, откуда взялись номера. Она звонила по номеру, указанному в сообщении, и спрашивала, откуда они знают ее номер. Консультант отвечал только: "Список получен от партнеров" и не назвал ни одного из партнеров. Она блокировала номер, но сообщения приходили с других номеров. И в это же время увеличивалось количество сообщений с именами детей.
В конце электронного письма она написала: "Меня пугает не то, что утекла моя информация, а то, что имена и классы моих детей продолжают распространяться".
2. Три пункта, отсутствовавшие в уведомлении Консультация была назначена на пятницу следующей недели. До этого я изучил уведомление.
Закон о защите персональных данных обязывает обработчика персональных данных уведомлять субъекта данных о факте утечки. И в этом уведомлении должны быть указаны пункты, установленные законом. Это утечка информации, время и обстоятельства утечки, способы минимизации ущерба для субъекта данных, меры реагирования обработчика и процедуры урегулирования ущерба, а также контактные данные отдела и контактные данные для подачи жалоб и консультаций.
В уведомлении, которое получила клиентка, отсутствовали три пункта. Не было указано, что было утечено, когда и как это произошло, и куда нужно подавать жалобу.
Эта проверка важна, потому что все последующие документы начинаются с нее. В зависимости от того, утекло ли только имя и номер телефона или адрес и школа, содержание жалобы будет меняться. Без знания времени утечки невозможно связать ее с последующими сообщениями.
Поэтому первым документом был требование о дополнении уведомления. Это короткий и деловой документ, в котором содержится просьба заполнить отсутствующие пункты, предусмотренные законом. В нем указаны применимые положения закона, отсутствующие пункты перечислены по номерам, и указан срок ответа.
У этой тактики есть и практические причины. Если бизнес-оператор отвечает, то обстоятельства утечки остаются зафиксированными в его словах. Если он не отвечает, сам факт этого становится записью. Это можно использовать на следующем этапе.
3. Два «сообщения» (заявления) нужно различать На консультации в пятницу я в первую очередь разобрался в значении слова «сообщение».
Информация, которую он нашел в интернете, была перемешана. В одних текстах говорилось, что нужно подавать жалобу в Комитет по защите персональных данных, в других – в Центр сообщений о нарушениях персональных данных. В третьих – подавать заявление о разрешении споров. Он был в замешательстве, одинаковы ли эти три вещи или разные.
Это разные процедуры. Если их рассмотреть последовательно, то они выглядят так.
- Сообщение, которое подает предприятие: в случае утечки данных в объеме, превышающем установленный, или при наличии конфиденциальной информации и уникальной идентификационной информации, обработчик персональных данных обязан сообщать об этом в Комитет по защите персональных данных или в специализированное агентство. Это обязанность предприятия, а не процедура, которую выполняет пострадавший.
- Сообщение, которое подает пострадавший: если пострадавший считает, что нарушены его права или интересы, связанные с его персональными данными, он может подать сообщение в Центр сообщений о нарушениях персональных данных. Полученные дела приводят к расследованию, рекомендации по исправлению и, при необходимости, к решению.
- Разрешение споров: это процедура урегулирования споров между сторонами, например, о возмещении ущерба. Противоположная сторона – это «человек», являющийся предприятием, и если спор касается денежных средств, он переходит в эту область.
Наша работа – составлять и подавать формы сообщений и ходатайства в административные органы. В этом деле целью было прекращение рассылки сообщений и удаление списка, поэтому оно относилось к первой категории.
Я снова спросил о его цели. Ответ был ясен. Ему не нужны деньги, он хотел, чтобы список с именем его ребенка исчез.
Когда цель ясна, документы тоже становятся ясными.
4. Как список был передан? На следующей неделе во вторник, от стороны предприятия пришел ответ. Это произошло быстрее, чем ожидалось.
Это было короткое электронное письмо, отправленное человеком, который отвечал за управление школой во время ее закрытия. В нем говорилось, что в процессе ликвидации предприятия, учетная запись, использовавшаяся для управления программой для студентов, была оставлена без изменений, и есть основания полагать, что бывший сотрудник, имевший доступ к этой учетной записи, скачал список и передал его другим. В переданных элементах были указаны имя студента, класс, имя опекуна, номер телефона опекуна. Предполагается, что это произошло за две недели до закрытия предприятия.
Здесь меня насторожило одно. Независимо от факта закрытия предприятия, персональные данные должны быть без промедления уничтожены после истечения срока их хранения или достижения цели обработки. Если школа закрылась, по сути, не должно быть причин для дальнейшего хранения информации о студентах. Но список оставался в программе.
То есть в этом деле было два аспекта. Один – утечка списка неавторизованным лицом, другой – проблема управления информацией, которая должна была быть уничтожена. В форме сообщения мы решили разделить эти два аспекта. Если написать их в одном блоке, это будет прочитано только как «несчастный случай, когда сотрудник тайно забрал», что даст предприятию возможность легко избежать ответственности за управление.
И само это письмо стало важным материалом. В нем были записаны словами предприятия обстоятельства утечки, элементы и время. Здесь проявилась причина, по которой мы сначала отправили запрос на дополнение уведомления.
5. Выбор того, что записать в форме сообщения Наибольшее время при составлении формы сообщения было потрачено не на шлифовку предложений, а на выбор того, что нужно исключить.
У него было много слов. Он много говорил о том, насколько надоели сообщения, о том, как он разочаровался в школе, о том, что сказал своему ребенку, увидев его имя в сообщении. Все это было правдой, но если включить все это в форму сообщения, это размоет суть дела. То, что должны видеть те, кто проводит расследование, – это не эмоции, а факты и нарушения.
Поэтому мы разделили это на три категории.
Во-первых, что, когда и как было передано. Мы перенесли элементы, время и обстоятельства, указанные в письме предприятия, и приложили это письмо в качестве материала.
Во-вторых, какие обязательства не были выполнены. Мы отдельно записали, что уведомление об утечке данных не содержало обязательных элементов, что информация не была уничтожена после закрытия предприятия и что управление доступом не было осуществлено. На один пункт было достаточно двух-трех строк.
В-третьих, проявились ли последствия утечки. Эта часть была самой сильной в этом деле. Тот факт, что рекламные сообщения с именем и классом ребенка приходили из нескольких компаний, показывал, что список был распространен не в одном, а во многих местах. Мы создали таблицу с датой отправки и датой получения сообщений, которые он нам предоставил. За восемь месяцев было двадцать шесть сообщений.
Как только мы создали таблицу, ее характер изменился. «Сообщения продолжали приходить» – это мольба, а когда это становится таблицей, это становится фактом: «восемь компаний отправили двадцать шесть сообщений за восемь месяцев».
В этот момент он создал небольшую суматоху. Во время организации материалов он случайно удалил три сообщения. Когда позвонили, его голос был очень напряженным. К счастью, они были сохранены благодаря функции хранения сообщений оператора связи, и мы смогли их восстановить. С тех пор он начал делать скриншоты каждого нового сообщения и сохранять их отдельно.
6. Почему были включены удаление и приостановка обработки Остановится ли текст, если просто подать заявление? Нет.
Заявление ведет к расследованию и корректировке, но это занимает время. Тем временем список остается в системе отправки компаний. Поэтому, помимо заявления, мы решили подать два запроса к компаниям, отправляющим текст, отдельно от заявления.
Закон "О защите персональных данных" (Закон о защите персональных данных) предоставляет субъекту данных право требовать доступа к его персональным данным, исправления, удаления и приостановки обработки. Это право можно использовать не только в отношении места, где данные были предоставлены, но и в отношении места, где они сейчас находятся и обрабатываются.
- Запрос на доступ: Узнайте, какие данные о вас хранит компания и откуда она их получила.
- Запрос на удаление: Требуйте удалить данные, если нет законных оснований для их хранения.
- Запрос на приостановку обработки: Требуйте остановить такие действия, как отправка рекламы, даже до удаления данных.
Причина такой последовательности заключается в следующем: если требовать только удаления, компания может затягивать время, утверждая, что "проводит проверку", в то время как текст продолжает поступать. Если включить приостановку обработки, это создает основание для остановки отправки и в этот период. Если поставить запрос на доступ на первое место, компания должна будет сообщить, откуда она получила список, и этот ответ станет ключом к отслеживанию пути распространения.
Мы отправили запросы одинакового формата восьми компаниям. Содержание было одинаковым, различались только название компании и история получения текста. В отношении двух оставшихся компаний номер отправителя был номером агента по интернет-рассылке, что затрудняло определение владельца бизнеса, и этот факт был указан в заявлении.
Мы также предоставили дополнительную информацию: такие запросы имеют установленные сроки ответа, и если не ответить или отклонить, необходимо указать причину. Поэтому мы попросили их сохранять ответы, а не выбрасывать. Отсутствие ответа само по себе станет следующим материалом.
7. Ответ, полученный через восемь недель Первый контакт после регистрации заявления был вопросом для проверки фактов. Нас попросили повторно предоставить период получения текста, количество компаний и оригинальный электронный адрес ответа компании. Благодаря сводной таблице мы смогли ответить в тот же день.
Реакция компаний была разной. Четыре из шести компаний сообщили об удалении данных. Две из них также указали, от кого они получили список, и в обоих случаях это был один и тот же посредник. Одна компания ответила только "получено законным образом от партнера". Последняя компания не ответила.
Тот факт, что один и тот же посредник был упомянут дважды, был представлен как дополнительный материал. Это указывает на то, что список распространялся не из разных мест, а через одно место.
Отправка текста заметно уменьшилась примерно через шесть недель после подачи заявления. Она не прекратилась полностью. Отправка текста компаний, ответивших на запрос о приостановке обработки, прекратилась, а в отношении тех, кто не ответил, она продолжалась. В отношении этой компании был отправлен отдельный повторный запрос.
Мне запомнилось, что сказала она в последнем телефонном разговоре: хотя текст еще не исчез полностью, теперь она меньше боится, когда получает его, потому что знает, что делать. Она сказала, что нужно сделать скриншот, указать дату и отправить запрос.
Результаты административных процедур не всегда бывают чистыми. Однако разница между тем, когда знаешь, что произошло, и что можно сделать дальше, и когда не знаешь, огромна.
8. Если вы получили уведомление об утечке персональных данных ① Сначала убедитесь, что в уведомлении есть все необходимые элементы. Оно должно содержать информацию об утечке, время и обстоятельства, действия обработчика, процедуру урегулирования ущерба, каналы для уведомлений и консультаций. Если чего-то не хватает, вы можете потребовать дополнения, и этот ответ станет материалом для последующего использования.
② Различайте, к какому уведомлению относится "заявление". Уведомление, которое подает компания в Комитет по защите, и заявление, которое подает пострадавшее лицо в центр сообщений о нарушениях конфиденциальности, - это разные процедуры. Споры о возмещении ущерба относятся к сфере примирительных переговоров или судебных разбирательств.
③ Организуйте факты о причиненном ущербе в таблицу, а не в эмоциональную форму. Создание списка с номером отправителя, датой получения и элементами персональных данных, содержащимися в тексте, превратит "это раздражает" в "двадцать шесть сообщений от восьми компаний в течение четырех месяцев".
④ Вместе с заявлением подайте запрос на доступ, удаление и приостановку обработки. Само заявление не остановит уже распространившийся список. Совместное использование этих трех элементов создает основу для остановки отправки в течение периода расследования.
⑤ Не выбрасывайте ответы, а собирайте их. Тот факт, что не было ответа, тот факт, что не удалось предоставить обоснование, также являются материалами.
⑥ Даже если компания ликвидирована, ее ответственность не исчезает. Принцип необходимости незамедлительного уничтожения данных по окончании цели обработки применяется и после ликвидации.
Процедуры и органы, в которые следует обращаться, могут различаться в зависимости от масштаба и элементов утечки, и решения органов могут различаться в зависимости от обстоятельств дела. Перед подачей заявления необходимо уточнить это в соответствующем органе.
Эта статья основана на реальных консультациях и переработана, имена, названия компаний и названия мест и цифры не связаны с конкретными людьми или событиями.
