オープンで個人的なデータ。Avitoによる「データリーク」ケースの分析

2週間前、AvitoおよびYulaサービスの60万人のクライアントのデータベースがフォーラムで見つかりました。その中には、実際の住所と電話番号があります。データベースは引き続き無料で利用でき、誰でもダウンロードできます。スパムを送信したり、さらに悪いことに、ユーザーのペイメントカードデータをだましたりする目的で、すでにデータベースをダウンロードしている人の数を想像してみてください。フォーラムの管理は、拠点を削除しません。彼らは、違反は言うまでもなく、この状況で問題を認識しておらず、これは個人データの盗難ではなく、オープンデータの収集であると述べています。

データ侵害のニュースで誰も驚かないでしょう

2020年7月と8月には、TikTokが不正なデータ収集のためにブロックされているというニュースが満載です。そして私の仕事は驚くことではなく、問題を理解し、Habrが読者の一人に与えた約束を守ることです。ちなみに、私の名前はVyacheslav Ustimenkoです。この記事は、国際的な法律事務所IconPartnersのIT弁護士であるBellaFarzalievaと一緒に書きました。

どうしてそれが重要ですか

個人データの保護と処理の問題は、毎年勢いを増しています。個人データの保護とは、個人の選択の自由、社会の文化、民主主義に関するものです。独立した人は、管理するのが難しく、欺くのが難しく、コピーするのが不可能です。このアイデアは、EU（GDPR）と米国（CCPA）のよく知られたデータ保護規制によって実行されます。私は個人のInstagramアカウントで調査を実施しましたが、弁護士（加入者の90％）でさえデータ保護の問題にまだ精通していません。



質問は、「次のうち、個人データはどれですか」でした。

調査結果の画面を添付します。



正解は投票者の約20％が選んだ。







PS私がウクライナ出身であるという事実と、ロシア連邦の法律に関する記事は、IT弁護士の専門知識を一国に限定することはできないため、読者の皆様を混乱させることはありません。

ロシア連邦の個人データとは

連邦法に従った個人データの定義は、前の記事で説明したヨーロッパやウクライナの定義と大差ありません。



個人データ-特定のまたは識別可能な自然人に直接的または間接的に関連する情報。私たちは、人を識別できるデータについて話します。



ロシアでは、個人データの使用と保護は多くの文書、特に152-FZ「個人データについて」、149-FZ「情報、情報技術、情報保護について」、行政法典、ロシア連邦刑法、ロシア連邦労働法、ロシア連邦民法によって規制されています。

個人データを開きます。それはなんて獣なのでしょう。

＃ユーザーの目を通して状況を見てみましょう。



個人は個人のように聞こえ、公開のように公開されているため、読者は個人データをどのように公開できるかについてまだ考えていません。



同時に、電話販売業者との別の会話の後、私たち一人一人が「彼はどこで私の番号を入手したのか」または「必要以上に私のことを知っている見知らぬ人からのこの奇妙な電話は何ですか」と考えるという自信を残しません。



したがって、Avitoを通じて何かを売りに出したユーザーは、ハッカーデータベースにアクセスしたり、メールでスパムを受信したり、詐欺師や「コールドセラー」から理解できない電話を受けたりしても驚かないでください。



法律を知らなくても責任を免除されないので、そのような状況でのみ自分を責めることができます。



ユーザー自身が公開検討のために、つまりインターネット上に投稿したものはすべて公開されます。つまり、オープンデータであり、ユーザーの同意なしに保存、配布、使用できます。







結論



Avito政権は、ハッカーフォーラムのデータベースは、ウェブサイトで入手でき、解析（特別なプログラムを使用した情報の自動収集）によって収集できる公開情報で完全に構成されていると正当に主張しています。つまり、データ漏洩の問題はありません。 ..。データが正当な目的で使用されているかどうかは、Avitoについて絶対に尋ねるべきではないもう1つの質問です。



誰かに消費者の肖像画を作成、評価、または使用させたくない場合は、公開リソースに自分に関する情報をあまり残さないでください。



以下は、フォーラムからの面白い（しかし正確ではない）コメントです。







＃ビジネスの

視点から状況を見てみましょう同じAvitoを例として取り上げ、次の質問について考えてみましょう。

• サイトが個人データの運営者であるかどうか、
• 彼がデータ処理に同意し、Roskomnadzorにオペレーターの登録に含まれることを宣言することが義務付けられているかどうか、
• Avitoが本当に罰せられないかどうか。

データ漏洩のある状況では、Avitoは実際にはそれとは何の関係もありません。Avitoは、ユーザーが「SELL GARAGE」と書いて、名前、電話番号、またはその他の通信データを示したフェンスであり、フェンスを通過したすべての人がデータを知っている、コピーしている、または使用している理由に憤慨し始めたと想像できます。







＃結論



Avitoは個人データオペレーターです。 Roskomnadzorの通知に関しては、法律に例外がありますが、このサイトは公開されているデータだけでなく収集および処理するため、Avitoでは機能しません。ただし、サイトがオープンデータのみで機能する場合は、Roskomnadzorに通知して登録する必要はありません。 Avitoは無実であるため、罰はありません。



データは、市場だけでなく、任意のWebサイトやモバイル事業者、ソーシャルネットワーク、銀行、レジストリから漏洩したり、合法的に取得したりする可能性があります。データは、銀行カードを使用した一連のモバイルトランザクションから、またはスマートフォンアプリケーションの隠し機能を使用して抽出できます。百万のオプション。



ちなみに、Habrはフォーラムではないことは誰もが知っていますが、コメントする機会があり、記事の目的は驚くことではなく、問題を理解することです。

質問

2020年の現実では、インターネットへの個人データの投稿に注意し、上記のばかげたコメントのように行動するか、新しい法律を導入する必要があります。あるいは、新しい時代が到来したばかりで、オープンデータの公開に同意する必要がありますか？