«Деловая Россия» предложила изменить законодательство, приравняв платежные данные наших сограждан к персональным. Об этом говорится в письме, направленном общественной организацией в кабинет министров.
Причиной для подобной инициативы стал недавний скандал, когда стало известно о массовой утечке персональных данных 55 тысяч клиентов различных финансовых организаций, приобретающих товары на китайском маркетплейсе Joom.
Из истории вопроса
В конце прошлой недели Центробанк и платежная система Visa предупредили, что на специализированных сайтах, а также в Telegram-каналах появились объявления о продаже баз данных, содержащих первые шесть и последние четыре цифры номера банковской карты россиян, указание платежной системы и банка, который выпустил пластик. Кроме того, в базе раскрывались фамилия, имя и отчество клиента, а также его контактные данные – телефон, электронная почта и адрес проживания.
В частности, в открытом доступе оказались данные клиентов Сбербанка, Россельхозбанка, «Открытия», Райффайзенбанка, Промсвязьбанка и иных финансовых организаций, причем как российских, так и зарубежных.
А накануне стало известно, что сильнее других пострадал от хакеров ВТБ, у которого выкрали файл с данными 31 тысячи банковских карт.
Как подсчитали в «Деловой России», около 30% платежей по всем российским картам через интернет уходят в адрес лидеров зарубежной электронной коммерции, таких как iTunes, AliExpress, Airbnb, Google и других. В настоящее время объем таких трансакций превышает 300 миллиардов рублей.
«При приобретении товаров на зарубежных сайтах покупатель указывает свои данные, фамилию, имя и отчество, адрес доставки и номер карты, то есть те данные, которые в понимании профильных законов [152-ФЗ и 161-ФЗ. – «Фингазета»] относятся к персональным данным физических лиц, а также являются персональными платежными данными. Хотя в законодательстве нет такого определения», ‒ поясняет «Коммерсанту» глава компании ChronoPay Павел Врублевский, участвовавший в разработке документа.
Он подчеркнул, что из-за несовершенства закона персональные платежные данные не защищены при трансграничных платежах. Как указывает эксперт, сейчас данные покупателя вводятся прямо на сайте иностранного продавца и там же аккумулируются. Вместе с тем банк ‒ эмитент карты не несет ответственности за их сохранность вне территории России, поскольку трансграничные операции выходят за рамки закона.
Вместе с тем при внутрироссийских трансакциях существует дополнительное звено, которое сохраняют первую копию персональной платежной информации. Это так называемые платежные шлюзы. По словам господина Врублевского, таких независимых компаний в России около 30.
Инициатива «Деловой России» сводится к тому, чтобы обязать Центробанк и иные органы принять изменения в законы, дабы международные платежные системы осуществляли трансграничные интернет-расчеты по картам россиян только через российские платежные шлюзы. По мнению главы ChronoPay, это позволит защитить персональные данные и затруднить их использование социальными инженерами для хищения средств.
Впрочем, опрошенные эксперты не разделяют оптимизма «Деловой России», называя предложенные меры бессмысленными.
«Обязать следить за сохранением платежных персональных данных тех, кто вообще с такой информацией не работает, это более чем странная идея», ‒ полагает исполнительный директор Национальной платежной ассоциации Мария Михайлова.
Согласна с ней и директор «КартСтандарта» Майя Глотова.
«Предлагаемые изменения не решают декларируемых задач. Уже принят пакет Яровой, который обеспечивает хранение в России копии всех данных, передаваемых через интернет. Сейчас эта обязанность возложена на операторов связи, а дополнительное их хранение банками не решит никакой задачи», ‒ указывает она.
Тем временем финансовый аналитик Виталий Калугин и вовсе нашел парадоксальное решение проблемы – он считает, что единственным действенным способом защиты от утечки данных может стать полный отказ от онлайн-покупок.
«Если вы хотите сохранить свои данные в тайне, то ничего не покупайте в интернете. Потому что все, что вы вбиваете в компьютерный механизм, однажды может оказаться в общем доступе», ‒ предупреждает эксперт.
Когда статья была готова к публикации
Окончательно право доступа к тем или иным персональным данным должен предоставлять сам пользователь. Такую точку зрения на встрече с молодыми учеными и предпринимателями в Краснодаре высказал сегодня Михаил Мишустин.
«Важно, чтобы человек сам разрешал доступ к данным своим и использовал по возможности тот способ, которому он доверяет», ‒ заявил премьер.