Тысячи обученных и новая угроза: итоги пятилетки защиты персональных данных в Беларуси

Именно для противодействия этим угрозам пять лет назад и был принят специальный закон о защите персональных данных, а также начал работу Национальный центр, который следит за его применением. За прошедшие годы специалистами центра проделана большая работа по увязке законодательства в этой сфере – уже более 850 нормативных правовых актов увязаны между собой.

«Убирались излишние сроки хранения, очищалось правовое поле от сбора ненужных документов. Например, при осуществлении административной процедуры больше не требуется бумажное согласие на обработку сведений, которые для этой процедуры не нужны», – добавил Андрей Гаев.

Выросло и понимание важности темы у граждан и бизнеса. По данным социологических исследований около 80% белорусов считают персональные данные важными и уверены, что их нужно защищать. Еще примерно 13% согласны, что это важно, но полагают, что из-за современных технологий защитить их невозможно. В итоге более 90% граждан говорят, что эта тема для них значима.

«Среди юридических лиц более 90% считают законодательство о персональных данных важной системой норм, а более половины говорят, что надлежащее применение закона дает им конкурентное преимущество», – привел статистику специалист.

Отдельно Андрей Гаев остановился на утечках данных граждан из крупных организаций. Эта ситуация, по его словам, остается достаточно стабильной, и даже наблюдается некоторое уменьшение количества крупных утечек. Это не противоречит росту киберпреступлений: мошенники чаще атакуют самих граждан, а не взламывают базы организаций.

«Никто в мире не придумал технологии, которые позволяли бы стопроцентно защитить тот или иной ресурс. Но серьезные организации стали относиться к защите информационного контура более ответственно», – отметил специалист.

В текущем году в центр поступило около 47 уведомлений об инцидентах, связанных с персональными данными. За пять лет таких уведомлений было около 150, из них с утечками связано около 20%. Большая часть инцидентов этого года связана с деятельностью конкретных сотрудников, а не с техническими сбоями.

Нейросети и утечки через GPT

Одна из новых тревожных тенденций, на которой Андрей Гаев остановился отдельно, – выгрузка значимых массивов данных в нейросети и другие ресурсы на основе искусственного интеллекта. По его словам, этими ресурсами нужно пользоваться осознанно. Показательный пример – жалобы, которые граждане составляют с помощью нейросетей, загружая туда свои чувствительные данные.

«Человек жалуется на соседа или нанимателя, требует защитить его права, а сам сведения о своем здоровье и месте работы загружает в ресурсы, о которых ничего не понимает. Данные, попавшие туда, останутся там навсегда», – заметил специалист.

В самом Национальном центре к работе с нейросетями подходят серьезно. В текущем году руководство направило половину работников центра на курсы повышения квалификации именно по направлению работы с нейросетями и искусственным интеллектом.

Председатель отделения специалистов по защите персональных данных при Белорусском республиканском союзе юристов Кирилл Лаптев добавил, что организации ищут разные подходы к регламентации использования ИИ. Первый – использовать стандартные механизмы, локальные правовые акты и политику обработки персональных данных, не адаптируя их под новые технологии. Второй – внедрять отдельный локальный акт, который регламентирует использование систем искусственного интеллекта.

Профессиональное сообщество и правоприменение

За пять лет в Беларуси сложилось профессиональное сообщество тех, кто отвечает за защиту персональных данных. Изначально подобные позиции вводились в организациях исключительно по требованию закона.

«Основная задача по защите персональных данных лежит на самой организации: именно она определяет, как обрабатывать данные, какие процессы для этого нужны и для каких целей они собираются», – пояснил Кирилл Лаптев.

Со временем специалистам стало тесно в неформальном общении – переписке в чатах и разовых встречах. Понадобилась постоянная площадка, где можно системно обсуждать профессиональные вопросы, делиться практикой и вырабатывать общие подходы. Ею стало отделение специалистов по защите персональных данных при Белорусском республиканском союзе юристов, который существует с 1990 года. Отделение начало работать в декабре прошлого года.

«Только за первые сутки на открытое мероприятие по вопросам практики и тенденций зарегистрировалось более 200 желающих, именно специалистов. То есть интерес к этой тематике есть, и формат себя оправдывает. В этом году к отделению присоединились около 40 человек», – рассказал Кирилл Лаптев.

Отдельно Андрей Гаев остановился на штрафах. По его словам, в белорусском законодательстве для организаций они небольшие – 50 базовых величин. Речь идет об ответственности по статье 23.7 КоАП, которая предусматривает наказание за незаконные сбор, обработку, хранение или предоставление персональных данных, разглашение данных, а также за несоблюдение мер по их защите. Обсуждался вопрос об увеличении штрафов, в том числе оборотных, но мировой опыт показывает, что заградительные меры не являются панацеей.

«Надо все усилия направлять на правильное правоприменение, на формирование надлежащей правоприменительной практики, на создание условий для исполнения закона, на правовое просвещение и правовое воспитание», – считает директор центра.

Именно поэтому центр сделал ставку на обучение. За пять лет более 20 тыс. человек прошли обучающие мероприятия в центре, более 50 тыс. приняли участие в профилактических просветительских мероприятиях. Такой подход, по мнению спикеров, работает лучше, чем рост штрафов, потому что формирует культуру обращения с данными, а не страх перед наказанием.

Ответы на вопросы

Отвечая на вопрос о том, где хранятся персональные данные белорусов, Андрей Гаев отметил, что в государственном секторе все основные ресурсы локализованы в стране.

«Что касается организаций коммерческого характера деятельности, то ситуация тут отличается: кто-то на территории Беларуси, кто-то за пределами. Для того чтобы понять, где эти данные находятся, рекомендуется обращаться к документам, определяющим политику работы этих организаций с персональными данными – они должны быть в свободном доступе», – уточнил он.

Говоря о планах на ближайший год, Андрей Гаев отметил, что работа продолжится в том же режиме. Центр будет анализировать, как закон о персональных данных применяется в разных отраслях, и обобщать эту практику – то есть выпускать методические материалы, которые помогают организациям понять, как именно им действовать в их сфере.

«В текущем году мы готовили материалы, связанные с работой предпринимательского сообщества, оказывали консультативную помощь представителям этой сферы, составляли чек-листы для того, чтобы проще было субъектам малого бизнеса ориентироваться в законодательстве и настроить свои процессы», – рассказал он.

Продолжится анализ чувствительных сфер – здравоохранения, образования и других. Центр будет развивать сайт и социальные сети, проводить мероприятия для детей, молодежи и взрослого населения.

«Мы только в начале пути, и путь предстоит большой. Но радует, что и организации, и граждане все лучше понимают важность этой темы и адаптируются к жизни в цифровой среде», – резюмировал Андрей Гаев.