Ответственность за сбор и обработку персональных данных пользователей веб-сайтов в Узбекистане

Тенденции последних годов четко показывают стремление граждан Узбекистана пользоваться интернет-ресурсами, которые требуют у них персональные данные для идентификации. Своеобразный бум интернет-магазинов потенциально может привести всеобщему обнародованию персональных данных пользователей ресурсов, не отвечающих требованиям информационной безопасности. В связи с этим, необходимость регуляции отношений в этом ключе в правовом поле очевидна. Необходимо четко прописать понятие «оператор персональных данных», зону ответственности оператора персональных данных, внести в административный кодекс изменения или дополнения, устанавливающие вид и степень ответственности за несоблюдение требований о защите и конфиденциальности персональных данных а также обработку персональных данных без согласия их владельца.
Является ли обычный гражданин оператором персональных данных, если он хранит в контактах телефона имена и номера телефонов знакомых и близких?
Под ответственность не должны подпадать персональные данные, которые обрабатывают для личных и семейных нужд. Это могут быть контакты нужных людей в телефонном справочнике, визитки коллег и партнеров, профили друзей на фейсбуке. Это исключение действует, только если их данные не публикуются в общем доступе, и не передаются третьим лицам без их согласия. Как пример, распространение приложения «GetContact», собирающая список контактов, номера телефонов, и раскрывающая уже имеющуюся на базе извлеченных ранее контактов по номеру телефона, должно являться грубым нарушением этого закона, и должна быть установлена ответственность раскрытия номеров телефона и название контакта привязанная к телефону, которая в большинстве случаев это Имя владельца номера телефона.
Приведем пример, чтобы было понятно. Есть сайт, условно «abc.uz», который предоставляет услуги для зарегистрированных пользователей, например продает канцтовары. Для регистрации требуется Ф.И.О., дата рождения, электронная почта, номер телефона человека, а также формирование логина и пароля для дальнейшей аутентификации. По воле случая или из-за халатности программиста, который разработал этот сайт, пароли хранятся в базе данных в открытом виде, и сайт имеет уязвимость характера «SQL Injection» с помощью которого можно получить несанкционированный доступ к этим персональным данным. В данном случае, злоумышленник может беспрепятственно получить персональные данные пользователей взломанного ресурса. Если учесть, что среднестатистический пользователь использует один и тот же пароль для всех используемых сети Интернет сервисов, включая социальные сети, почту, дистанционное банковское обслуживание и т.д., то с вероятностью более 80% пароль идентичности параметров аутентификации на них, например, электронной почты. А имея доступ к электронной почте, можно легко сбрасывать пароли в других ресурсах через механизмы восстановления пароля. В данном случае пользователь, во-первых, теряет неприкосновенность частной жизни, во-вторых, деньги, если злоумышленник получит доступ к ресурсам управления его денежными средствами. Даже если пароли хранятся в хешированном виде, имея личные данные человека, сделать с ними можно многое и, как правило, в ущерб владельцу этих персональных данных.
Какова в данном случае должно быть ответственность владельца сайта «abc.uz»? Какие действия должны быть предприняты, чтобы другие владельцы сайтов не допустили этого? И как удостоверится рядовому пользователю, что введенные им данные не будут впоследствии обнародованы или не переданы третьим лицам?
Пока эти вопросы остаются открытыми…
Batafsil | Подробно | Read more... InfoCOM