Что могут сделать граждане, ставшие жертвами кибератак на цифровые государственные сервисы? Разъяснения Национального центра по защите персональных данных

Лица, считающие, что стали жертвами кибератаки на цифровые государственные сервисы, имеют право обратиться к оператору за разъяснениями и, возможно, воспользоваться правами, гарантированными Законом о защите персональных данных, сообщил 28 октября Национальный центр по защите персональных данных (CNPDCP).

Центр вновь подчеркивает важность защиты персональных данных и разумного использования электронных услуг. В этой связи, по данным учреждения, ответственность за безопасность обрабатываемых данных лежит на операторах, которые должны принимать соответствующие меры для предотвращения несанкционированного доступа и защиты прав физических лиц.

Агентство электронного управления (AGE) уведомило центр о выявленном нарушении безопасности персональных данных в некоторых государственных электронных сервисах. По предварительной информации, было выявлено около миллиона попыток несанкционированного извлечения наборов персональных данных и приблизительно 750 тысяч предположительно несанкционированно извлеченных наборов данных.

По данным центра, эти цифры являются предварительными и могут быть обновлены после дополнительной проверки и устранения возможных наложений. Информация, которая может быть затронута, включает следующие категории данных:

• идентификационные данные: имя, фамилия, идентификационный номер гражданина (IDNP), дата и место рождения, фотография;
• данные о семье: информация о родителях и детях;
• данные о здравоохранении и социальной защите: статус застрахованного лица, семейный врач, социальные пособия, пенсии и пособия по ограничению возможностей;
• данные об активах и экономической деятельности: водительские права, принадлежащие транспортные средства, принадлежащие или управляемые компании;
• финансовые и налоговые данные: IBAN, налоговые обязательства и задолженности, история платежей через государственный сервис MPay.

“Этот список отражает предварительную оценку потенциально затронутой информации и не означает, что все категории данных были извлечены для каждого человека или через каждую соответствующую услугу (…).

Несанкционированное разглашение персональных данных может подвергнуть субъектов данных определенным рискам (таким как кража личных данных, финансовое мошенничество, попытки манипуляций с помощью социальной инженерии и другие злоупотребления). Однако возникновение инцидента безопасности не означает автоматически, что затронутые данные будут использованы в мошеннических целях. Оценка риска должна основываться на подтвержденной информации и результатах проверок компетентных органов.

Закон № 195/2024 о защите персональных данных устанавливает, что обработка данных должна осуществляться законно, справедливо и прозрачно, в определенных и законных целях и в объеме, необходимом для выполнения этих задач. Одновременно операторы должны обеспечивать точность данных и их безопасность, включая защиту от несанкционированного доступа и обработки, посредством соответствующих технических и организационных мер. В случае утечки данных оператор обязан незамедлительно уведомить центр, по возможности, не позднее чем через 72 часа с момента обнаружения инцидента. AGE уведомило центр о зарегистрированных инцидентах. 8

Согласно закону, если нарушение может представлять высокий риск для прав и свобод физических лиц, оператор данных обязан незамедлительно уведомить субъектов данных. Если предоставление информации отдельным лицам требует несоразмерных усилий, может быть проведено публичное информирование или другая столь же эффективная мера. На данном этапе установлено, что AGE приняло меры по информированию граждан через публичные каналы связи.

Следует отметить, что центр не управляет базами данных или системами учета и не обладает полномочиями по обеспечению безопасности и конфиденциальности персональных данных, обрабатываемых в таких базах данных. В соответствии с законодательными положениями, операторы, владеющие и управляющие базами данных/системами учета, обязаны и несут ответственность за внедрение соответствующих технических и организационных мер для обеспечения надлежащего уровня безопасности. В пределах законных полномочий центр осуществляет надзор, мониторинг и расследование соблюдения законодательства о защите персональных данных. В соответствующих случаях выявленные обстоятельства и принятые центром меры будут обнародованы”, — говорится в заявлении.

Для снижения риска мошенничества или неправомерного использования персональных данных центр рекомендует гражданам:

• будьте бдительны в отношении подозрительных телефонных звонков, SMS и электронных писем;
• не разглашайте пароли, коды аутентификации или другую конфиденциальную информацию;
• не переходите по незнакомым ссылкам и не авторизуйте платежи по запросу неизвестных лиц;
• проверяйте подозрительные запросы, обращаясь непосредственно в учреждение или банк по официальным каналам;
• проверяйте любые сообщения с известного номера телефона, в которых близкий человек утверждает, что изменил свой номер телефона или счет;
• не реагируйте импульсивно на тревожные сообщения, ссылающиеся на членов семьи или срочные ситуации. Сначала проверьте информацию!

В случае подозрения на несанкционированное использование данных или попытку мошенничества, в зависимости от ситуации, сообщите в полицию, банк, центр или компетентные органы в области кибербезопасности.

Фото иллюстративное: Reuters