Новая редакция пакета антимошеннических законопроектов «Антифрод 3.0», разосланная Минцифры на межведомственное согласование, не содержит нормы об обязательном трёхлетнем хранении данных о регистрации и авторизации пользователей сайтов, приложений и информационных систем. Об этом сообщают «Известия» со ссылкой на ознакомленные с документом источники.
Изначально норма задумывалась как инструмент для ретроспективного анализа действий злоумышленников при расследовании киберпреступлений. Как пояснил экс-министр цифрового развития Вологодской области Ахметжан Махмутов, в делах о мошенничестве, фишинге и незаконном использовании персональных данных критически важно восстановить хронологию событий: кто, когда и с какого устройства заходил на ресурс.
Однако от этой идеи отказались по ряду причин:
— Финансовая нагрузка на бизнес. Хранение трёхлетнего массива данных требует значительных затрат на техническую инфраструктуру и защиту информации, что для небольших ресурсов может быть неподъёмно.
— Размытость требований. В законопроекте чётко не определено, что именно считать «данными о регистрации» — только логин и электронную почту или также IP-адрес, цифровые отпечатки устройств, историю смены паролей.
— Риски утечек. Как отметил руководитель направления «Разрешение IT&IP споров» фирмы «Рустам Курмаев и партнёры» Ярослав Шицле, утечка журнала входов опаснее утечки анкетных данных, поскольку позволяет восстановить круг сервисов и распорядок жизни человека, а при сопоставлении нескольких массивов — деанонимизировать пользователя.
Эксперт НТИ по беспроводной связи Олег Яблоков добавил, что чем дольше хранится информация, тем больше потенциальный ущерб от её утечки. Журналы входов содержат идентификаторы аккаунтов, номера телефонов, IP-адреса и время активности, что упрощает адресный фишинг и позволяет связывать разные аккаунты.
Кроме того, из новой редакции исключены и другие положения: передача согласия на обработку персональных данных через «Госуслуги», обязанность интернет-площадок проверять достоверность телефонных номеров иностранных работников и ряд других норм.
В Минцифры пояснили, что окончательная версия законопроекта ещё обсуждается, а все предложения прорабатываются с учётом баланса между безопасностью и правами пользователей.