Комментарии
Что о вас знают цифровые гиганты вроде Гугла, как используют эту информацию и стоит ли заметать свои «цифровые следы»
Пользовательские данные в интернете
Что о вас знают цифровые гиганты вроде Гугла, как используют эту информацию и стоит ли заметать свои «цифровые следы»
Если пару лет назад новости об утечках пользовательских данных вызывали скандалы и возмущение общественности, то теперь же это — обычное дело. Утечка здесь, утечка там. Чотакова-то?! «Моя хата скраю», чего волноваться. В этой статье разберёмся, какие ваши данные и кому доступны, стоит ли переживать, что они в любой момент могут стать не очень-то персональными, стоит ли бояться Роскомнадзора из-за сбора чужих данных, а также — как избежать слежки за каждым кликом.
Предыстория
Разговоры о незаконном использовании персональных данных начались после громкого скандала с Фейсбуком, в котором была замешана Cambridge Analytica. Напомним, что этой лондонской компании приписывали использование личных данных 50 миллионов фейсбучных пользователей для влияния на результаты американских президентских выборов 2016-го.

Дело было в коварной викторине «Это ваша цифровая жизнь», с помощью которой Cambridge Analytica собрала информацию о профилях пользователей, а уж что сделала с ней далее — довольно тёмная история.

Позже к этому скандалу присоединились новые подробности: якобы Фейсбук скрытно заключает сделки с множеством технологических компаний, предоставляя им доступ к закрытой информации пользователей.
Летом 2018-го Фейсбук сам признался, какие данные собирает:

  • дан­ные об устрой­стве: опе­ра­ци­он­ная систе­ма, про­грамм­ное обес­пе­че­ние, при­ло­же­ния и пла­ги­ны;

  • доступ­ное место для хра­не­ния фай­лов, тип бра­у­зе­ра, типы и назва­ния при­ло­же­ний и фай­лов;

  • све­де­ния об опе­ра­ци­ях: сколь­ко и как часто выпол­ня­ет­ся каж­дое дей­ствие в окне с вклад­кой соц­се­ти;

  • иден­ти­фи­ка­то­ры (сим­воль­ное или циф­ро­вое имя, при­сва­и­ва­е­мое поль­зо­ва­те­лю), а так­же учет­ные запи­си из при­ло­же­ний;

  • сиг­на­лы устрой­ства: уро­вень заря­да бата­реи, мощ­ность сото­во­го сиг­на­ла, Bluetooth-под­клю­че­ние, све­де­ния о бли­жай­ших пунк­тах досту­па к Wi-Fi, радио­ма­я­ках и сото­вых выш­ках. Так­же ана­ли­зи­ру­ют­ся дви­же­ния мыши на устрой­стве поль­зо­ва­те­ля и сиг­на­лы с каме­ры в при­ло­же­нии Facebook;

  • све­де­ния о настрой­ках устрой­ства: мета­дан­ные фото­гра­фий (дата и вре­мя созда­ния изоб­ра­же­ния, гео­ло­ка­ция, модель каме­ры и пара­мет­ры созда­ния сним­ка, инфор­ма­ция о его соб­ствен­ни­ке), име­на и типы фай­лов на устрой­стве. Кро­ме того, доступ­ны све­де­ния о сво­бод­ном месте на дис­ке и кон­так­ты из адрес­ной кни­ги;

  • сеть и связь: мобиль­ный опе­ра­тор и про­вай­дер, язык, часо­вой пояс, номер мобиль­но­го теле­фо­на, ско­рость свя­зи. Сопря­жен­ные устрой­ства так­же «рас­сек­ре­чи­ва­ют» всю инфор­ма­цию;

  • сookie-фай­лы, кото­рые хра­нят­ся на устрой­стве поль­зо­ва­те­ля, в том чис­ле ID и настрой­ки.
В конце 2018-го газета The New York Times опубликовала данные собственного расследования, в ходе которого выявила, что Фейсбук в разные годы потенциально мог делиться всеми этими данными с цифровыми гигантами вроде Apple, Sony, Microsoft, Amazon, Netflix, Spotify и прочими именитыми компаниями и сервисами (за деньги, конечно же). Дополнительный профит Фейсбука с этого — увеличение вовлеченности и рост доходов от рекламы.

В июле 2019-го Фейсбуку опять досталось: Федеральная торговая комиссия США оштрафовала соцсеть на $ 5 млрд из-за проблем с хранением данных пользователей. Это касалось телефонных номеров, полученных в ходе двухфакторной аутентификации, а также данных, полученных при помощи технологии распознавания лиц, которая работала по умолчанию.

Другая относительно свеженькая история касается голосовых помощников — от инсайдеров просочилась информация, что Сири на айфонах может вас тайно подслушивать, активируясь произвольно. Например, от звука расстегивания молнии (!).

Ещё одна история — про Гугловский Ютуб, который без зазрения совести использовал личные данные пользователей для показа рекламы, а поскольку в нём сидят даже малолетние дети, родители сильно этим недовольны — по закону данные для таргетинга можно использовать, только если ребенку уже есть 13 лет.
Эксперимент The New York Times
В августе 2019 один из журналистов издания опубликовал занятный материал о том, как и какие рекламные (и не только) трекеры гонялись за ним в сети. Отследить их все он смог с помощью особой версии браузера Firefox, которая фиксирует все посещенные сайты, все серверы отслеживания рекламы, которые наблюдали за его интернет-серфингом, и все полученные данные. Получилась вот такая инфографика.
Некоторые трекеры получили практически точные геоданные пользователя, другие — узнали точный адрес и даже индекс. Более того, у каждого пользователя существует несколько уникальных идентификаторов из 19 цифр (нет, это не IP) — на иллюстрации выше отслеживание одного из них показано розовой пунктирной линией.
Такие идентификаторы создали, чтобы повысить точность целевого маркетинга. У каждого сайта есть свои куки-файлы, которые до внедрения идентификатора каждый раз нужно было синхронизировать между собой при переходе пользователя от одного ресурса к другому (поскольку ресурсы не могли считывать куки друг друга). В процессе часто возникали ошибки, а на само сопоставление идентификаторов тратилось какое-то время (пусть и почти незаметное пользователю).

В 2017-м появился the Advertising ID Consortium, созданный компаниями LiveRamp, MediaMath и AppNexus. Всё ради идеи идентификации пользователей на всех устройствах с помощью решения IdentityLink — технология объединяет наборы данных о миллионах пользователей (те самые разрозненные куки) и создаёт анонимный профиль пользователя. Тот самый 19-значный ID.
Прочие трекеры собрали данные об устройстве, с которого автор исследования сёрфил в интернетах — точность вплоть до размера экрана, типа браузера и типа операционной системы. Особенно пристально действия посетителей отслеживают новостные сайты.

Может показаться, что Гугл и Фейсбук в этой схеме белые и пушистые — их собственные домены не содержат много трекеров. Но дело в том, что львиную долю своих трекеров они размещают на других ресурсах — автор исследования утверждает, что трекеры Гугла присутствовали на каждом сайте, что он посетил, и собрали всю возможную информацию о нём.

Самое забавное — единые идентификаторы, о которых говорилось выше, якобы соответствуют требованиям относительно свеженького европейского регламента GDPR, который отвечает за защиту персональных данных.
GDPR — General Data Protection Regulation
25 мая 2018-го вступил в силу документ, ужесточающий правила сбора пользовательских данных в Евросоюзе — GDPR. Он защищает персональные данные (далее — ПД), права и свободы людей в отстаивании прав на эти данные и ограничивает перемещение ПД на территории Евросоюза.

Что фактически это значит? Документ затрудняет сбор данных о пользователях — европейские сайты теперь должны спрашивать разрешение на доступ к данным пользователя, следовательно, теперь компании получают меньше данных для своих маркетинговых и прочих активностей. По оценкам экспертов, некоторые компании после внедрения GDPR теряли по 10% выручки с каждого пользователя еженедельно.

Если вам показалось, что вас эта штука не касается, проверьте своих контрагентов: если хоть один из Европы (и вы храните и обрабатываете его персональные данные — скажем, внесли его данные в CRM-ку), то увы, вы тоже должны соответствовать требованиям европейского документа. А значит, придётся иметь на сайте отдельный раздел с политикой по обработке персональных данных, где нужно прописать, зачем вам эти данные, как вы будете их хранить и как защищать. Плюсом ваши страницы регистрации и профиль пользователя тоже должны соответствовать GDPR — полный перечень требований смотрите здесь.

GDPR действует больше года, но статистика в странах Европы пока так себе:

  • 7 из 10 сайтов устанавливают куки для сбора статистики без согласия от пользователей.
  • 5 из 10 сайтов отслеживают пользователей с помощью куки в маркетинговых целях без их предварительного согласия.
  • 3 из 10 сайтов, обрабатывающих персональные данные, не используют SSL.
Сколько стоит привести свой сайт/приложение в соответствие с GDPR? Мы узнавали — очень по-разному.
100 — 3 000 тыс. рублей
ориентировочная вилка цен на подготовку к соответствию GDPR
Максим Лагутин
Основатель и эксперт по защите персональных данных в Б-152
Стоит понимать, что не очень опытный специалист может запросить в районе 100 тысяч, а компании из большой четвёрки — от 3-х миллионов. Сбербанк в 2017-м был готов заплатить 67,4 млн руб. за аудит собственных практик обработки персональных данных и рекомендации по приведению их в соответствие с GDPR.
В мероприятия по подготовке входит несколько этапов: сначала специалисты проведут комплексное обследование: изучат информационную систему и процесс обработки ПД. Второй этап — разработка организационно-распорядительной документации. Третья стадия — оценка воздействия на конфиденциальность. Нужна для минимизации рисков для субъектов персональных данных (тех пользователей, чьи данные вы собираете).
Сергей Воронкевич
Консультант и тренер по вопросам защиты данных (GDPR), CEO of Data Privacy Office, LLC
Если внутри этих этапов нет инвентаризации данных и процессов, реализации мер информационной безопасности, спроектированной приватности (privacy by design), обучения сотрудников и т. д. — собранных данных будет недостаточно для приведения процессов в соответствие с GDPR. И это может стоить вам бизнеса.
А что в России?
В России действует 152-ФЗ «О персональных данных», принятый в 2006-м для упрощения международной торговли с Евросоюзом. Его требования касаются чуть ли не каждого: к понятию «информационной системы» (проще — базы данных пользователей), которое фигурирует в законе, можно отнести и бухгалтерские, и кадровые, и платежные системы. А ещё — колл-центры, бюро пропусков, ваши экселевские таблички с данными на всех сотрудников и, конечно, всю информацию о клиентах и покупателях в 1C или в CRM-ке (ну или где вы там её храните).

Оператор персональных данных — любой, кто хранит и обрабатывает их. Собрали электропочты через форму подписки на сайте — вы оператор. Собрали номера телефонов на конференции или через анкеты в офлайн-магазинах — тоже. И всё, что вы с этими данными будете делать далее, будет считаться их обработкой.
Какие данные можно считать персональными?
По истечении нескольких судебных дел к ПД стали относить данные о поведении пользователя на сайте, cookie, сведения о его геопозиции и IP-адрес.

В списке запрашиваемой РКН информации, который подготовили сотрудники из компании Б-152, есть такая ремарка:

«Под данными посетителей и зарегистрированных пользователей сайтов и мобильных приложений Оператора понимаются все данные о посетителях, собираемые с помощью функционала указанных сервисов, а также те данные, которые сервисы сами собирают и обрабатывают на своих вычислительных мощностях, а именно:

  • псевдоним пользователя, адрес пользователя или адрес устройства пользователя, посредством которого пользователь зашел на сайт Оператора, а также сведения о пользователе, включающие:
  • ip-адрес,
  • поисковые запросы пользователя,
  • интернет-адреса веб-страниц, посещаемых пользователем,
  • тематику информации, размещённой на посещаемых пользователем интернет-ресурсах Оператора,
  • идентификатор пользователя, преобразованный Оператором при помощи хеш-функции или других модификаций,
  • географический адрес точки подключения пользователя к сети Интернет,
  • информация, не позволяющая однозначно идентифицировать пользователя или конкретное физическое лицо, но обеспечивающая формирование достаточного для предоставления пользователю рекламной информации».

Советуем обратить отдельное внимание на п. 4 этого документа — они актуальны для сайтов и мобильных приложений.
Что сделать для соблюдения закона
Базовые требования (полный перечень — здесь):
1
Привести формы ввода данных (регистрация, заявка, обратная связь) в соответствие — везде добавить текст про согласие на обработку персональных данных со ссылкой на документ (само согласие).
2
Разработать и опубликовать на сайте политику обработки ПД.
3
Назначить ответственного за обработку ПД (подчиняется непосредственно гендиру и у него есть полномочия давать указания руководителям подразделений).
4
Утвердить перечень лиц, у которых есть доступ к ПД.
5
Утвердить перечень мест хранения ПД.
6
Проводить аудит документов — лишние уничтожать (иначе ждите штрафа в размере до 50 тысяч рублей).
7
Письменно ознакомить сотрудников с законом о ПД (либо создать отдельный документ, либо включить положения в трудовой договор).
8
Уведомить территориториальный орган РКН о том, что вы планируете обрабатывать ПД (и уведомлять его о любых изменениях сведений из этого уведомления).
9
Уточнить у хостинг-провайдера или ЦОДа адрес расположения вашего сервера (как вы уже догадались, он должен находиться на территории РФ).
В 2016—2017 из-за несоблюдения закона о локализации персональных данных РКН заблокировал пачку ресурсов — в том числе LinkedIn. Позже была долгая история противостояния с мессенджером Telegram (которая, как мы знаем, пока ничем не увенчалась). Рядовые же владельцы сайтов, так или иначе собирающие ПД, не особенно переживали из-за законодательных требований: им проще было в случае чего заплатить штраф (см. таблицу с возможными суммами штрафов вот в этом материале).
Максим Лагутин
Основатель и эксперт по защите персональных данных в Б-152
На своих днях открытых дверей и конференциях представители Роскомнадзора каждый раз говорят, что трактовка правонарушений в КоАП позволяет накладывать штрафы как в целом за факт, так и за каждый случай (например, за каждого клиента, с кем нужно было заключать согласие на обработку персональных данных, а оно не заключалось).
Кстати, РКН разрешено проводить мониторинг без взаимодействия с компанией — а значит, они в любой момент могут зайти к вам на сайт, обнаружить нарушения и выписать штраф. Согласно данным самого РКН, сумма штрафов — растёт.
309 000 рублей

сумма штрафов, наложенных РКН на компании в 1-м полугодии 2019-го по результатам рассмотрения жалоб граждан
419 000 рублей

сумма штрафов, наложенных РКН на компании в 2018-м по результатам рассмотрения жалоб граждан
10 сентября 2019 в ГосДуме приняли в первом чтении документ, который вносит правки в закон о персональных данных — законопроект ужесточает ответственность за отказ хранить ПД в дата-центрах на территории РФ (Паша, привет!).
За первое нарушение закона штраф для физлиц — 30−50 тысяч рублей, для должностных лиц — 200−500 тысяч рублей, для юридических лиц — 2−6 миллионов рублей.

Повторное правонарушение предполагает штраф для физлиц — 50−100 тысяч рублей, для должностных лиц — от 500 тысяч до 1 миллиона рублей, для юрлиц — 6−18 миллионов рублей.
Так что, если все персональные данные, что вы храните, попадут в недобрые руки — помимо скандала, разборок, так-себе-репутации, вы можете «прилипнуть» на несколько десятков, сотен или даже миллионов штрафных выплат (если законопроект всё-таки согласуют на следующих этапах и его подпишет Президент). А согласно исследованиям, самая популярная причина утечек данных в России — не хакеры, а сотрудники.
Максим Лагутин
Основатель и эксперт по защите персональных данных в Б-152
Персональные данные — новая валюта, и то, что её стали регулировать — плюс для рынка и пользователей. Хотя для компаний соблюдение законодательства требует силы воли и затрат.
Ничьи данные не храню, но и своими делиться не хочу
Окей, про ответственность за хранение ПД мы вас предупредили. Но все эти множащиеся истории про слежку в интернетах, послушивание устройствами и отслеживание каждого вашего шага браузером … напрягают, по меньшей мере.

Из множества источников можно составить цифровой портрет на каждого из нас. А если такие портреты собрать вместе — это уже будет биг дата. Польза биг даты в том, что такая информация помогает выявить неочевидные закономерности, определять тенденции, прогнозировать производственные показатели и оптимизировать расходы в разных сферах жизни: от государственного управления до телекоммуникации.
Global Forest Watch 2.0 — проект по сохранности лесов от World Resource Institute и Google. За счёт внедрения решений аналитики больших данных в 2013 году темпы обезлесения Амазонии снизились на 80% по сравнению с 2004 годом.
Некоторые компании (вроде Tazeros Global Systems) предлагают бизнесу аналитические исследования на основе собираемых массивов больших данных. А собирать они их могут повсеместно: из социальных сетей, блогов, форумов, государственных реестров, мобильных приложений и так далее. Клиентами могут быть реклам­ные агент­ства, гос. органы и част­ные заказ­чи­ки. Скажем, данные сотовых операторов, собранные на основе геоаналитики, могут подсказать удачные места для размещения торговых точек.

Принято считать, что биг дата — это всегда обезличенные данные. Но те же самые компании, что занимаются большой аналитикой, предлагают услуги по удалению данных на конкретного пользователя. Поэтому звучит немного сомнительно :)
Черный рынок данных
Несложно догадаться, что все данные покупаются и продаются. Так вот, в первой половине 2019 года цена на данные банковских клиентов-физлиц на чёрном рынке выросла в 3−7 раз. Эксперты считают, что это связано с высоким спросом на личные данные пользователей, а также с изменением типа атак — социальная инженерия вытесняет технические методы (на её счету более 90% хищений).

С помощью данных вашего паспорта можно не только навесить на вас парочку кредитов, но ещё и зарегистрировать контору, обмануть людей на сайтах объявлений (прикрываясь сканом вашего паспорта в качестве «гарантии») — и ещё много чего :)
Если вам не нравится быть песчинкой в море биг даты, и вы не хотите делиться своими личными данными в интернетах (с банками и госорганами сложнее), то советуем предпринять некоторые меры.
Как минимизировать свой цифровой след
1. Откажитесь от Chrome и Safari

Попробуйте браузер Firefox Quantum c защитой от отслеживания рекламными трекерами, режимом инкогнито и встроенным VPN. Или Waterfox — разработку для любителей конфиденциальности.

Непопулярный браузер DuckDuckGo в своем блоге пишет много разоблачительных статей о страшных делишках Гугла: якобы корпорация хранит всю-всю-всю историю поиска за всю вашу жизнь, а трекеры Гугла присутствуют на 75% сайтов в интернете. В ответ на такую вопиющую слежку энтузиасты-разработчики создали свой браузер DuckDuckGo и клянутся-божатся, что не хранят никакие ваши данные, никому их не продают и никак не используют для рекламных целей. Кстати, для мобилок тоже есть версия.

Среди других безопасных браузеров можно потестить Tor, Epic Privacy Browser, Puffin (для iOS и Android).

2. Поаккуратнее с социальными сетями

Если перечень собираемой Фейсбуком информации вас не впечатлил (вдруг вы там раз в год появляетесь), то вот данные, которые собирает соцсеть ВКонтакте:

  • лич­ные дан­ные из про­фи­ля, под­пис­ки на сооб­ще­ства и исто­рия под­пи­сок;
  • тех­ни­че­ская инфор­ма­ция: модель устрой­ства, вре­мя, дата и IP;
  • запи­си с пер­со­наль­ной стра­ни­цы, спи­сок дру­зей и исто­рия их добав­ле­ния;
  • спи­сок загру­жен­ных аудио- и видео­за­пи­сей, фото­аль­бо­мы, заклад­ки;
  • исто­рия бло­ки­ро­вок страницы пользователя;
  • дей­ствия дру­гих поль­зо­ва­те­лей в отношении этого пользователя (напри­мер — отмет­ки на фото­гра­фи­ях и видео).

Можете запросить архив дан­ных о сво­ем про­фи­ле — в нём наверняка помимо вышеупомянутых пунктов также будет вся ваша переписка с момента создания аккаунта (и даже голосовые сообщения). По ссылке — списки того, что отслеживают Твиттер, Майкрософт и Яндекс.

Это всё мы к чему — не хотите, чтобы вас преследовала реклама в духе «Тебе 48 и тебя зовут Васисуалий? Тогда наш продукт для тебя!», обратите внимание на свои аккаунты в социальных сетях: чем меньше там данных о вас, тем меньше шансов ими воспользоваться в рекламных (и иных) целях.


3. Поищите альтернативы своим мессенджерам

И хотя WhatsApp говорит об end-to-end-шиф­ро­ва­ни­и, мы напомним, что он принадлежит Фейсбуку. А значит, всё может быть. Телеграм — понятно. Раз уж он работает в обход блокировок и ничем дело с ключами шифрования не кончилось, его можно считать условно безопасным :)

Можете также попробовать Signal, который очень нравится Эдварду Сноудену :) Ещё один вариант — Peerio, межплатформенное приложение со сквозным шифрованием (не только обмен сообщениями и файлами, но и облачное хранилище). Также можете протестировать ODI.chat, обещающий анонимность.


4. Почистите аккаунты в интернет-магазинах и сервисах

Загляните в свой почтовый ящик — наверняка он ломится от рассылок магазинов и сервисов и хранит историю ваших регистраций на каждом из них. Если вы не пользовались личным кабинетом на сайте какого-то магазина долгое время — безжалостно удаляйте. Хотя, это может оказаться не так-то просто: интернет-магазины не любят терять клиентов и часто усложняют процесс удаления учетной записи. Посмотреть, насколько сложно удалиться с конкретного сайта, можно на сайте Just delete me.
5. Поищите альтернативы своей электронной почте

Про Гугл и говорить нечего — если он собирает информацию о ваших действиях в браузере, то и почта GMail вряд ли будет конфиденциальной и защищенной. А ещё — в вашем почтовом ящике есть реклама. Наверняка вам это не нравится :)

Обратите внимание на почтовые сервисы вроде Proton Mail или Tutanota — один из Швейцарии, второй из Германии. Оба обещают соответствие стандартам GDPR, конфиденциальность и сквозное шифрование.
Максим Лагутин
Основатель и эксперт по защите персональных данных в Б-152
Заведите отдельный e-mail и телефон для ваших активностей в интернете: регистраций на сайтах сервисов, интернет-магазинов и прочего. Хоть даже кнопочный :) Личный номер телефона и почту лучше использовать по-минимуму и там, где без них не обойтись, — например, для регистрации на том же Фейсбуке.
Возможно, так сильно конспирироваться вам и не потребуется — с 15 октября Гугл начнёт удалять из Chrome Web Store расширения, которые собирают лишние данные пользователей. Теперь любое расширение должно запрашивать минимум личной информации, а также им официально запрещено передавать третьим лицам логины и пароли, данные о платежах и об активности в сети. Например, для:

  • таргетированной рекламы;
  • исследований рынка;
  • email-кампаний;
  • трекинга;
  • других несвязанных целей.

Не знаем, как сильно это повлияет на работу самого Гугла и его вездесущих аналитических счётчиков, которые натыканы на большинстве сайтов — покажет только время.
Выводы
1
Скандал с Фейсбуком и Cambridge Analytica запустил цепную реакцию — теперь к утечкам пользовательских данных приковано пристальное внимание, а в Европе действует особый регламент GDPR.
2
Если храните персональные данные клиентов из Европы (и хотите добавить их список маркетинговой рассылки без их спроса, например) — можете нарваться на серьезные штрафы. Ну и самом собой, вам придётся соответствовать требованиям GDPR.
3
В России есть закон о персональных данных, но не все компании спешат его исполнять. И зря — РКН всё пристальнее наблюдает и грозит ещё более жестокими штрафами.
4
Соответствовать регламентам лучше, чем сидеть и бояться внезапным проверок. Привести сайт или приложение в соответствие с GDPR — дорого, но того стоит. Штрафы за неисполнение 152-ФЗ хотят ужесточить (так что не стоит тянуть с подготовкой своих проектов к соответствию законодательству).
5
Чтобы избавиться от настойчивой слежки Гугла, вы можете перейти на другие браузеры и мессенджеры, а чтобы минимизировать маркетинговый спам — почистить социальные сети и удалить личные кабинеты в интернет-магазинах, в которых вы давно ничего не покупаете.