«Известия»: из «Антифрода 3.0» убрали требование о трёхлетнем хранении данных о регистрациях

Владельцам сайтов, информационных систем и приложений не надо будет хранить данные о регистрации пользователей, её отмене и авторизациях в привязке к номеру телефона в течение трёх лет. Это следует из новой редакции третьего пакета антимошеннических законов (так называемый «Антифрод 3.0»), пишут «Известия». Минцифры уже разослало документ на межведомственное согласование, утверждает ресурс, знакомый с чиновниками нескольких профильных ведомств.

Сейчас третий пакет мер по борьбе с мошенничеством находится в стадии обсуждения, следовательно говорить о том, какие меры войдут в итоговую версию, пока рано, сообщили изданию в Минцифры. «Все предложения прорабатываются с учётом баланса между безопасностью и правами пользователей. Их цель — усилить защиту граждан от мошенников в интернете», — отметили там.

Хранение регистрационных данных — не единственное положение, исключённое из новой версии законопроекта. В частности, из него исчез блок, предусматривавший передачу согласия на обработку персональных данных и его отзыв через «Госуслуги». Удалена норма, требующая от интернет‑площадок проверять достоверность сведений о телефонных номерах работающих на них иностранцев, и ряд других.

Хранение регистрационных данных задумывалось как инструмент для ретроспективного анализа действий злоумышленников, рассказал экс‑министр цифрового развития Вологодской области Ахметжан Махмутов. «В делах о кибермошенничестве, фишинге, незаконном использовании персональных данных критически важно восстановить хронологию: кто, когда и с какого устройства заходил на ресурс, какие действия совершал, как менял учётные данные. Мошенники часто заметают следы — удаляют аккаунты, используют одноразовые сим‑карты, прокси‑серверы, виртуальные машины. Если владелец сайта хранит информацию о регистрации и авторизации в течение нескольких лет, у следствия появляется функция вернуться и выстроить доказательную базу», — объяснил он «Известиям».

Но такая практика привела бы к росту нагрузки на бизнес, продолжил Махмутов. Хранение трёхлетнего массива данных о действиях пользователей требует не только технической инфраструктуры, но и соблюдения требований по защите информации — для небольших интернет‑ресурсов это зачастую неподъёмно, объяснил он. Также не всегда понятно, что именно считать «данными о регистрации» — только логин и адрес электронной почты или ещё и IP‑адрес, цифровые отпечатки устройства, историю смены паролей. Накопление таких объёмов персональных данных само по себе создаёт огромные риски утечек. Вероятно, регулятор пришёл к выводу, что польза от хранения не перевешивает потенциальный вред, считает Махмутов.

Руководитель направления «Разрешение IT&IP споров» фирмы «Рустам Курмаев и партнёры» Ярослав Шицле считает, что юридически у нормы были уязвимые места. В частности, под неё подпадал любой источник с личным кабинетом, от интернет‑магазина до отраслевого сервиса, а не только площадки, представляющие интерес для правоохранителей. В финансово‑экономическом обосновании к законопроекту говорилось только об отсутствии расходов бюджета, но затраты бизнеса на построение и защиту хранилищ логов в нём не оценивались вовсе, добавил Шицле. Наконец, утечка журнала входов опаснее утечки анкетных данных, так как позволяет восстановить круг сервисов и распорядок жизни конкретного лица, а при сопоставлении нескольких массивов деанонимизировать пользователя, указал юрист.

Партнёр ComNews Research Леонид Коник отметил, что для регистрации на информационных сайтах пользователи часто оставляют вымышленные имена и второстепенные электронные адреса, заведённые на бесплатных хостингах. Следовательно такая данные малопригодна для выявления конкретной персоны, полагает он.

В целом риски утечки данных перевешивают необходимость введения новых антимошеннических инструментов, считает основной редактор аналитического издания Runet Владимир Зыков. Сейчас эти риски обострились в свете развития ИИ, отмечает он. Последние недели показали — ИИ‑модели всё чаще взламывают защищённые информационные системы компаний. Поэтому отказ от создания дополнительного источника возможных утечек — логичный шаг, заключил эксперт.