Как утекают паспортные данные?

Бегтин привел алгоритм получения персональных данных с каждой из упомянутых площадок. Все они к моменту начала работы над материалом РБК работали. После обращения РБК к представителям «Сбербанк АСТ» система закрыла возможность скачивания данных.

Механизм скачивания документов с персональными данными на всех перечисленных площадках совпадает. В большинстве случаев данные можно было найти (в чем убедился РБК) в хранящихся там решениях об одобрении открытых аукционов. На некоторых из них также размещены адреса электронной почты, номера СНИЛС и сведения о трудоустройстве участников аукционов.

Почему данные оказались в открытом доступе?

Причина, по которой на электронных площадках размещаются персональные данные, заключается в том, что решения об одобрении крупных сделок в большинстве случаев содержат информацию о тех, кто эту сделку одобрил, а также об их представителях.

Представитель «РТС-Тендер» сообщил РБК, что по закону для аккредитации участников на электронной площадке необходима передача определенного перечня документов — его компания и загружала на сайт. Генеральный директор «Сбербанк АСТ» Николай Андреев заявил РБК, что согласно утвержденному порядку в реестре участников указываются сведения о наименовании организации, ОГРН, ИНН, а также дата начала и окончания аккредитации. В открытом реестре участников закупок, который обязаны вести все операторы электронных площадок в соответствии с нормами 44-ФЗ, иногда могут встречаться данные персонального характера, отметили в пресс-службе «Росэлторга». Однако вся отображаемая в реестре информация и документы готовятся самими участниками торгов, и операторы электронных площадок обязаны публиковать их в неизменном виде, пояснил представитель компании.

По мнению Бегтина, проблема — в двух больших прорехах в законодательстве. «Первая — это требования по публикации в открытом доступе решений о согласовании крупных сделок, в которые по российской практике часто включают паспортные данные учредителей», — пояснил он. Вторая — в практике использования квалифицированной электронной подписи для публикации документов заказчиками и поставщиками. «Подпись, приложенная к такому файлу, содержит те же метаданные, что и электронная подпись — Ф.И.О., e-mail, СНИЛС», — сказал Бегтин РБК.

Нарушает ли закон открытое размещение паспортных данных?

Обработка персональных данных участников торгов требует их согласия и регламентируется законом «О персональных данных», указал аналитик ГК InfoWatch Андрей Арсентьев. «Разумеется, наличие персональных данных в открытой среде является нарушением. Судя по всему, электронные торговые площадки не всегда уделяют достаточно внимания защите данных участников торгов, поскольку нет жесткой ответственности за нарушения», — пояснил он.

Разглашение паспортных данных может подпасть под ст. 137 УК (уголовная ответственность за нарушение неприкосновенности частной жизни), говорит советник юридической компании CMS Константин Бочкарев. Он приводит пример из судебной практики, когда Мосгорсуд признал телефонный номер личной или семейной тайной. При публикации такой информации нарушается и ст. 13.11 КоАП РФ (нарушение законодательства Российской Федерации в области персональных данных), утверждает юрист.

После выхода публикации первый заместитель гендиректора «НЭП-Фабрикант» (электронная площадка) Мария Семенова заявила РБК, что компания направила запрос в Казначейство и Минфин с вопросом, распространяются ли на операторов электронных площадок требования о сокрытии информации при отсутствии соответствующего урегулирования в 44-ФЗ. «Для исключения возникновения подобных рисков необходимо оперативно внести изменения в ст. 24.2 и ст. 62 44-ФЗ, которые будут четко регламентировать, какие данные участников закупок должны быть доступны в открытом доступе на площадках, а какие предоставляться заказчикам в установленном порядке», — отметила она.

Что делать, если вы узнали об утечке своих данных?

По мнению юристов, физлицо, обнаружившее утечку своих данных, может обратиться в суд за возмещением убытков. Однако, если нет доказательств факта материальных убытков, добиться компенсации будет сложно, убежден Бочкарев. «Для обычного гражданина, который не может позволить себе долгий и затратный судебный процесс, самый эффективный способ — обратиться напрямую к той площадке, где данные опубликованы, и попросить их убрать», — убежден он.

Кроме того, у Роскомнадзора есть право по сообщению в прессе об утечке персональных данных, даже без наличия жалоб со стороны физических лиц, оштрафовать электронную площадку. «В этом случае данные тоже быстро удалят», — добавил Бочкарев. Он отметил, что для электронных площадок подобная «небрежность» грозит репутационными рисками.