можно ли давать чужой номер телефона третьим лицам
Является ли номер телефона персональными данными
В данной статье рассмотрим, является ли номер телефона персональными данными и можно ли передавать номера телефонов абонентов третьим лицам (например, при осуществлении СМС рассылок).
В соответствии со статьей 7 Федерального закона « О персональных данных» от 27 июля 2006 года № 152-ФЗ лица (далее-Закон), получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных. В настоящее время все чаще номера телефонов передаются без согласия абонента, так как в законодательстве четко не указано, что они являются персональными данными.
Казалось бы, набор цифр номера телефона никак не может персонифицировать субъекта персональных данных, он полностью обезличен. Но добавьте к этим цифрам ФИО и ситуация в корне изменится. Плюс, если этот номер закреплен за конкретным физическим лицом по договору с оператором связи, то говорить об обезличенности набора цифр вовсе не приходится.
Кроме того, ст. 3 Закона вводит понятие обезличивания персональных данных, которое включает в себя действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных. Данная же статья закрепляет, что обезличивание персональных данных входит в процесс обработки персональных данных, и значит, в соответствии со статьей 9 Закона перед обезличиванием субъект персональных данных доложен дать согласие на их обработку. То есть сам по себе номер телефона без указания сведений о его владельце, также является конфиденциальной персональной информацией.
Ст. 44.1. Закона «О связи» 07.07.2003 N 126-ФЗ с изменениями, вступившими в силу 21.10.2014г., также закрепляет, что если по номеру телефона можно как-либо идентифицировать абонента, то необходимо согласие абонента, например, на рассылку рекламной информации.
Выводы:
За абонентом могут закрепить право передавать мобильный номер третьему лицу
 |
| LDProd / Depositphotos.com |
Депутаты Госдумы предлагают внести в ст. 45 Федерального закона от 7 июля 2003 № 126-ФЗ «О связи» изменения, дополнив ее п. 7, в котором прописать возможность предоставления пользователю мобильной связи дополнительной услуги в виде сохранения выделенного абонентского номера за собой, а также распоряжения им, в том числе передачи третьему лицу на возмездной или безвозмездной основе с уведомлением об этом оператора мобильной связи. В случае подключения такой услуги и отсутствия в течение 6 месяцев оплаты услуг мобильной связи оператор сможет не оказывать оговариваемую дополнительную услугу.
В пояснительной записке к законопроекту 1 указывается, что в настоящее время, учитывая совершенствование услуг телефонной связи, абонентские номера становятся более ценными, о чем свидетельствует, например, продажа «красивых» абонентских номеров за дополнительную плату, а также возможность сохранения абонентского номера при смене оператора связи. При том, что абонентский номер не является самостоятельным видом имущества, и абонент не выступает в качестве его собственника, вопрос сохранения и дальнейшего использования абонентского номера особенно актуален.
Все важные документы и новости о коронавирусе COVID-19 – в ежедневной рассылке Подписаться
В качестве примера авторы законопроекта приводят ситуацию, когда абонент, лишившись по какой-то причине абонентского номера, может потерять доступ к аккаунту популярного канала в соцсетях, к криптовалютным биржам, к онлайн-бизнесу в целом, а дальнейшее восстановление, переоформление абонентского номера может доставить определенные неудобства. Ожидается, что с принятием законопроекта пользователь сможет выступать своего рода собственником в отношении выделенного ему абонентского номера с правом дальнейшего распоряжения им.
В этой связи представляется, что положение законопроекта об указанной дополнительной услуге, предполагающей распоряжение абонентским номером, в том числе о его передаче третьему лицу на возмездной или безвозмездной основе можно трактовать, например, как возможность передачи абонентского номера по наследству, в дар (безвозмездная передача), либо в аренду или с целью реализации третьему лицу (возмездная передача) с предварительным уведомлением оператора мобильной связи.
1 С текстом законопроекта № 978343-7 «О внесении изменения в статью 45 Федерального закона «О связи» и материалами к нему можно ознакомиться на официальном сайте Госдумы.
Банки и операторы нашли способ борьбы с подменой номеров мошенниками
Крупнейшие банки и мобильные операторы из «большой четверки» нашли способ бороться с подмененными номерами, которые используют мошенники, чтобы звонить банковским клиентам под видом кредитной организации. Антифрод-платформы разработали Теле2, МТС, «МегаФон» и «ВымпелКом» (работает под брендом «Билайн»). Банки, среди которых Тинькофф Банк, ВТБ, Газпромбанк, Райффайзенбанк, Московский кредитный банк (МКБ) и МТС Банк, уже тестируют системы или собираются это делать. Об этом РБК рассказали представители банков и сотовых операторов.
«Операторы мобильной связи — «МегаФон», МТС и Tele2 — разработали специальное технологическое решение, которое позволяет банку в режиме реального времени получать информацию о любых подозрительных вызовах их клиентам», — сказал РБК директор по предотвращению мошенничества и потерь доходов «МегаФона» Сергей Хренов.
По словам собеседника РБК, близкого к одному из операторов, эти три компании разрабатывали собственные решения на базе программного обеспечения шведской компании Hexagon, двое из них занимались этим на протяжении последних пяти лет. В декабре 2019 года все они объединили усилия.
Эпидемия социальной инженерии
Мошенники используют подмену собственных номеров на официальные номера банков, чтобы связываться с банковскими клиентами от имени кредитной организации и путем обмана выводить деньги через их личные кабинеты или просто с карт. Социальная инженерия стала самым распространенным способом кражи денег у банковских клиентов по итогам 2018 года: на ее долю пришлось 97% всех случаев хищений.
За июнь—август 2019 года ЦБ направил операторам связи информацию о более чем 2,5 тыс. телефонных номеров, с которых поступали звонки банковским клиентам. Подмена номеров была выявлена операторами в 198 случаях в ответ на сообщение ЦБ.
За 2018 год, по данным ЦБ, общий объем несанкционированных операций по банковским картам составил 1,4 млрд руб. — это на 44% превышает показатель предыдущего года (961,3 млн руб.). Число выявленных несанкционированных транзакций за год выросло почти на треть, до 417 тыс., а средняя сумма одной операции составила 3,3 тыс. руб. (рост на 9,6% по сравнению с 2017 годом).
Как работают системы
Оператор Tele2 вместе с Тинькофф Банком уже протестировал платформу для определения разных видов мошенничества: звонков клиентам с подмененных номеров банка, звонков в call-центр банка с подставных клиентских номеров и вызовов из «тюремных call-центров», сообщил представитель «T2 РТК Холдинга» (работает под брендом Tele2). В Тинькофф Банке участие в проекте подтвердили. Сейчас «T2 РТК Холдинг» ведет переговоры еще с десятью крупнейшими банками, рассказали в компании. По утверждению «T2 РТК Холдинга», работающее решение в настоящее время есть только у Tele2. «Мы инициировали переговоры с другими участниками, чтобы запустить универсальную платформу для защиты абонентов всех операторов. Надеемся, что другие операторы выведут на рынок аналогичное решение», — сказал представитель холдинга.
МТС запустила систему по защите абонентов от телефонных мошенников в декабре 2019 года, рассказал представитель компании Алексей Меркутов. Участие в проекте подтвердили МТС Банк и Тинькофф Банк. По словам Меркутова, ее тестируют еще четыре крупных банка.
«МегаФон» информирует банки о звонках с номеров из черного списка.
«ВымпелКом» не раскрывает детали работы своего специально созданного антифрод-сервиса. Представитель «ВымпелКома» Анна Айбашева отметила только, что сервис работает со всеми крупными банками.
Кто включился в проекты
Тинькофф Банк участвует в пилотных проектах двух операторов — Tele2 и МТС. По словам его представителя, сотрудничество с МТС только началось и его результатов пока нет, а проект с Tele2 уже «в самом разгаре».
Газпромбанк рассматривает возможность пилотного применения антифрод-решений от двух операторов сотовой связи — МТС и «МегаФона», сказал представитель банка. Пилотное использование антифрод-систем проводит и ВТБ, однако не раскрывает деталей. «По нашим оценкам, клиентам ВТБ ежемесячно совершается порядка 500 тыс. звонков с подмененных номеров. Кроме того, в call-центр банка ежемесячно поступают десятки звонков с подмененных номеров клиентов», — отметил представитель банка.
Представитель Сбербанка сообщил РБК, что банк не тестировал отдельные системы, но вместе с операторами внедрил механизм, исключающий мошеннические звонки с номеров Сбербанка и звонки в call-центр банка якобы от имени клиентов.
Сотрудничество в борьбе с подмененными номерами с одним из крупнейших сотовых операторов обсуждает Московский кредитный банк, сказал РБК директор департамента информационной безопасности МКБ Вячеслав Касимов. «В случае если происходят звонки с подменой номера на банковский, но на самом деле используется номер третьей стороны, у оператора сотовой связи есть такого рода информация, он в состоянии сверить истинный номер звонящего с перечнем номеров для банка и заблокировать ненастоящий звонок», — отмечает он. Предложения операторов изучает и Райффайзенбанк, сообщил руководитель отдела информационной безопасности банка Денис Камзеев.
Не все банки задействованы в проектах. Например, в них не участвовал Промсвязьбанк. «Стоит отметить, что мошенники постоянно меняют телефонные номера. Поэтому, на наш взгляд, более высокую эффективность по части защиты от мошенничества демонстрирует регулярное информирование клиентов, учитывая, что именно на них нацелены основные усилия звонящих с подмененных номеров», — объяснил его представитель. Банк и так фиксирует сокращение числа мошеннических звонков клиентам, «речь идет о единичных инцидентах», добавил он.
Если мошенники будут использовать при подмене официальные номера банков, то подобные системы потенциально могут предотвратить часть звонков, говорит ведущий антивирусный эксперт «Лаборатории Касперского» Сергей Голованов. Однако нужно анализировать и другие факторы. «Например, если операция проводится через интернет-банкинг, то необходимо оценивать множество параметров, в том числе модель устройства, версию операционной системы, часовой пояс, пассивную биометрию, поведение пользователя и т.д.», — предупреждает он.
У новых систем есть риски, предупреждают эксперты. Любая передача большого объема информации за пределы компании, где она агрегировалась и обрабатывалась, повышает вероятность ее утечки просто потому, что к ней будет иметь доступ большее количество субъектов, предупреждает руководитель департамента консалтинга центра информационной безопасности компании «Инфосистемы Джет» Николай Антипов. Синхронизация всей базы контактов между всеми операторами и всеми банками — это огромный трудоемкий процесс, пока же они не могут синхронизировать даже информацию о смене сим-карты клиента, указывает заместитель руководителя лаборатории компьютерной криминалистики Group-IB Сергей Никитин: из-за этого мошенники могут выпускать сим-карты клоны и получать несанкционированный доступ в интернет-банк клиента.
Что относится к персональным данным. Кому их можно передавать, как хранить и уничтожать
В последние годы вопрос о персональных данных стал крайне острым ввиду активной цифровизации, а следовательно, и с ростом рисков по утечке и мошенническом использовании информации. При проведении проверок инспекторы обращают внимание на документы, относящиеся к персональным данным, их наличие, хранение, согласие работников на обработку и т.д.
Что такое персональные данные и что к ним относят
Персональные данные — это любая информация, прямо или косвенно относящаяся к физическому лицу, и позволяющая его определить. Это из статьи 3 ФЗ «О персональных данных», от 27.07.2006 № 152-ФЗ (далее — Закон).
К персональным данным, согласно данному закону, относят:
Но стоит учитывать, что некоторые из этих данных сами по себе, без связки с другими данными, персональными являться не могут. Если номер телефона сам по себе не является персональными данными, то в базе оператора, с указанием ФИО владельца — является. Адрес электронной почты в формате petrov_sergey_1987@mail.ru — тоже относится к персональным данным, как и ФИО, с привязкой к ИНН, номеру телефона или месту регистрации.
Также существует классификация персональных данных. Их подразделяют на:
Такая классификация дана в Постановлении Правительства от 1 ноября 2012 г. № 1119.
Немного подробнее по каждой категории.
Общедоступные — те, на доступ к которым дано согласие субъекта персональных данных, а не те, которые можно найти в общем доступе в интернете.
Специальные — информация о расе, национальности и религии; политических и философских взглядах, здоровье, подробностях личной жизни,
Биометрические — информация о физиологических и биологических особенностях человека. Это отпечатки пальцев, генетическая информация, рисунок радужной оболочки глаз, образцы голоса, фотографии.
Но здесь тоже важна определенная привязка к личности. Например, отпечаток пальца, используемый для идентификации сотрудника для входа в офис. Или скан радужной оболочки глаза.
К иным данным относится все остальное. Это как папка «разное» на большинстве компьютеров. Это электронная почта или геолокация,
информация о принадлежности к определенной социальной группе,
Обработка персональных данных
Любой договор с физлицом, содержащий его личные данные (а он и будет их содержать, если это не публичная оферта), должен в обязательном порядке содержать раздел о персональных данных. Без письменного согласия человека, обработка персональных данных оператором, а также их передача третьим лицам — запрещена.
Вообще, обработка персональных данных — это вообще любые действия, которые с ними делают. Сюда входит:
В свою очередь, обработка может осуществляться тремя путями:
После того, как персональные данные обработаны они отправляются на хранение в архив. Это может быть и отдельное специализированное помещение (если речь о бумажных документах) и электронное хранилище (например, облачное). В любом случае вам впоследствии нужно иметь возможность оперативно найти данные и уничтожить их (по требованию субъекта) или передать (в силу закона).
Что будет, если нарушить законодательство о персональных данных
Следит за соблюдением законодательства в этой сфере организация, которая у многих на слуху — Роскомнадзор. Применяемая статья — 13.11 КоАП.
Если собирать персональные данные о гражданах РФ на серверы, расположенные за пределами РФ — штраф до 6 миллионов.
Что делать, чтобы не попасть под штрафы
Чтобы собирать, хранить и обрабатывать ПД, нужно соблюдать требования Закона № 152-ФЗ. Краткий чек-лист:
Все нужна регистрация в Роскомнадзоре?
Может возникнуть ощущение, что уже давно всем работодателям нужно бежать в Роскомнадзор и регистрироваться как оператору персональных данных. Однако это не так. Вот исключения:
Во всех остальных случаях — регистрация обязательна!
Не забудьте, что в Делис Архив действует акция «Новогодняя» — дарим полезные подарки действующим и будущим клиентам!
3 злободневных вопроса об обработке персональных данных: ищем ответы в свежих разъяснениях регулятора и судебных делах
Консультант Центра информационной безопасности компании «Инфосистемы Джет»
специально для ГАРАНТ.РУ
Разобраться в нюансах обработки персональных данных бывает не просто даже опытным специалистам. Это связано с тем, что положения Федерального закона от 27 июля 2006 г. № 152-ФЗ «О персональных данных» (далее – Закон № 152-ФЗ) содержат общие формулировки, которые могут трактоваться по-разному. Позиции Роскомнадзора и суда по одному и тому же вопросу могут различаться, более того, встречаются судебные дела с противоположными решениями. При построении процессов обработки персональных данных руководители компаний часто не понимают, на что им ориентироваться, чтобы не допустить нарушений Закона № 152-ФЗ.
При этом вопрос защиты персональных данных год от года становится более острым. За последние два года в КоАП РФ внесены поправки об увеличении штрафов за невыполнение требований Закона № 152-ФЗ. Кроме того, сейчас готовится проект закона об увеличении штрафов за утечку персональных данных. Ежегодно Роскомнадздор фиксирует более 50 тыс. жалоб физических лиц и выписывает организациям административные штрафы, общая сумма которых превышает 1 млн руб. Возможные последствия для компаний не ограничиваются одними штрафами: регулятор может заблокировать сайт организации, что является неотъемлемой частью бизнеса для тех, кто предоставляет онлайн-сервисы или развивает продажи в интернете.
В данной колонке я рассмотрю три важных вопроса, которые мне регулярно задают предприниматели, сравнив положения Закона № 152-ФЗ и позицию Роскомнадзора. А также поделюсь личным опытом участия в проверках службы.
Использование фотографий в системах контроля управления доступом (СКУД) – распространенная практика в компаниях. Поэтому многих волнует вопрос: относится ли фотография в СКУД к биометрическим персональным данным? Ведь в этом случае организация должна будет получить согласие субъекта персональных данных в письменной форме, указанной в ст. 9 Закона № 152-ФЗ.
Что говорит законодательство?
Закон № 152-ФЗ дает слишком общее определение биометрических персональных данных, которое не дает четкого ответа на вопрос, относится ли к ним фотография. Так, в ст. 11 Закона № 152-ФЗ говорится, что под биометрическими персональными данными понимаются сведения, характеризующие физиологические и биологические особенности человека, которые используются оператором для установления личности субъекта данных.
Что говорит Роскомнадзор?
На сайте службы опубликованы разъяснения 1 о том, что фотография в СКУД используется для установления личности субъекта персональных данных и, следовательно, является биометрическими персональными данными.
На дне открытых дверей в январе текущего года представители регулятора пояснили, при каких условиях фотография относится к биометрическим персональным данным. Так, если она:
сделана в соответствии с требованиями ГОСТ Р ИСО/ МЭК 19794-5-2013 к изображению (освещение, положение головы, расположение камеры, разрешение изображения и т.д.);
отнесена к биометрическим персональным данным нормативно-правовым актом (например, при обработке в Единой биометрической системе).
При данном пояснении регулятора можно сделать вывод, что обработка фотографии в системе СКУД к биометрическим персональным данным не относится. Кроме того, на последних проверках Роскомнадзора с нашим участием компании не получали замечаний о том, что фотография в СКУД относится к биометрическим персональным данным. Однако нам встречались и примеры с противоположным решением регулятора.
Что говорит судебная практика?
Владелец фитнес-клуба в Казани пытался оспорить в суде постановление Роскомнадзора и штраф в размере 10 тыс. руб. (решение Cоветского районного суда города Казани от 26 сентября 2019 г. по делу № 12-1526/2019). В спортивном клубе использовали систему СКУД для идентификации посетителей по фотографии при проходе через турникет без их письменного согласия. Суд сослался на разъяснения службы о том, что фотография, используемая для идентификации личности, является биометрическими персональными данными, и оставил жалобу без удовлетворения.
Компании часто спрашивают, считаются ли номера телефонов без привязки к ФИО и другой информации пользователя персональными данными, и нужно ли в этом случае получать согласие владельца номера на обработку персональных данных.
Что говорит законодательство?
Напомним, согласно ст. 3 Закона № 152-ФЗ, персональные данные – это любая информация, относящаяся прямо или косвенно к определенному или определяемому физическому лицу (субъекту персональных данных).
Что говорит Роскомнадзор?
На дне открытых дверей представители службы также объяснили, что к персональным данным относится информация, которая характеризует человека. Телефонный номер – это не характеристика человека, а атрибут аппаратного средства связи, и значит, персональными данными не является.
По моей практике участия в проверках Роскомнадзора, представители службы не требуют получения согласия на обработку номера телефона без привязки к другим данным.
Что говорит судебная практика?
Житель города Белгорода обратился в суд (решение Октябрьского районного суда г. Белгорода от 12 сентября 2019 г. по делу № 12-393/2019) с жалобой на размещение его телефонного номера в Интернете компанией ООО «Яндекс Справочник». Роскомнадзор не увидел в этом нарушений, так как номер телефона был опубликован без указания его владельца. Суд согласился с регулятором в том, что номер телефона не относится к персональным данным, так как по нему нельзя идентифицировать человека.
Между тем, суд в Москве, рассматривая подобный вопрос, вынес другое решение (решение Черемушкинского районного суда г. Москвы от 18 июня 2019 г. по делу №12-973_2019). Гражданину поступали звонки от коллекторской компании без его согласия. При этом других данных, кроме номера телефона, у взыскателей о человеке не было. Суд посчитал, что такая обработка персональных данных коллекторской компанией, а именно номера телефона, является нарушением Закона № 152-ФЗ.
Роскомнадзор придерживается позиции, что номер телефона без привязки к другим данным не относится к персональным данным, а значит, не нужно получать согласие его владельца на обработку данных. Однако правоприменительная практика говорит о том, что стоит заручиться согласием субъекта на обработку таких данных. Оно может быть оформлено в любой форме, позволяющей подтвердить факт его получения (например, галочка на сайте).
Часто компании задаются вопросом, нужно ли отдельно получать согласие, если персональные данные обрабатываются с целью выполнения обязательств по договору, или договор сам по себе является правовым основанием для обработки.
Что говорит законодательство?
В ст. 6 Закона № 152-ФЗ говорится, что обработка персональных данных допускается:
для исполнения договора, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных;
для заключения договора по инициативе субъекта персональных данных или договора, по которому субъект будет являться выгодоприобретателем или поручителем.
Что говорит Роскомнадзор?
На официальном сайте Роскомнадзора 2 размещена информация о том, что согласие не требуется, если обработка персональных данных необходима для исполнения договора.
По моему опыту участия в проверках регулятора отсутствие согласия может быть нарушением в следующих случаях:
персональные данные избыточны по отношению к цели обработки или обрабатываются с целью, которая не указана в договоре. В качестве примера можно привести обработку копий паспортов, не требующихся для исполнения договора, или рассылку рекламных SMS-сообщений клиентам;
не указан перечень организаций, в которые передаются персональные данные;
требуется согласие на обработку персональных данных в письменной форме (для специальных категорий данных, биометрических данных, трансграничной передачи персональных данных и т.п.).
Что говорит судебная практика?
Рассмотрим два примера с противоположными решениями суда.
В пятом арбитражном апелляционном суде Владивостока рассматривался случай обработки персональных данных собственников помещения ресурсоснабжающей организацией. Судебная коллегия определила, что при наличии договора согласие субъекта на обработку данных не требуется, поскольку она необходима для исполнения договора (постановление Пятого арбитражного апелляционного суда от 3 апреля 2019 г. № 05АП-367/19 по делу № А51-19080/2018).
В другом деле апелляционный суд Воронежа установил, что подписание договора не может считаться согласием собственника помещения многоквартирного дома на обработку персональных данных (постановление Девятнадцатого арбитражного апелляционного суда от 27 декабря 2018 г. № 19АП-8727/18). Согласие должно быть выражено с соблюдением требований ст. 9 Закона № 152-ФЗ с обязательным указанием сроков обработки персональных данных.
В судебной практике есть пример, где наличие договора не является согласием. Роскомнадзор тоже не требует согласия, если персональные данные обрабатываются с целью исполнения договора, но проверяет выполнение условий, приведенных выше.
Тема обработки персональных данных всегда вызывает много вопросов из-за неоднозначности формулировок Закона № 152-ФЗ, и у каждого специалиста по персональным данным своя интерпретация правильного выполнения требований. Встречаются ситуации, когда в судебном порядке оспариваются постановления службы. Более того, по одному вопросу можно найти противоположные решения суда. Подход Роскомнадзора меняется со временем, появляются новые разъяснения на сайте службы и открытых мероприятиях, а также решения судебных дел. Я рекомендую при построении процессов обработки персональных данных оценивать совокупность факторов и выбирать решение, которое минимизирует риски получения предписаний и штрафов, на периодической основе проверять процессы обработки персональных данных на соответствие новым подходам Роскомнадзора. Кроме того, стоит обратить внимание на разработку организационно-распорядительных документов, которые должны соответствовать выбранной позиции по спорным вопросам, а также отражать актуальные изменения процессов обработки персональных данных в компании.