Представим, что частная компания в Молдове нарушила закон о защите персональных данных. Чем ей это грозит? Штрафом до 2 миллионов леев.
А теперь представим другую ситуацию.
Закон нарушила не частная компания, а государственное учреждение. Под угрозой оказались не данные нескольких клиентов, а персональная информация 750 тысяч граждан. Сведения, которые, попав не в те руки, могут стать инструментом мошенничества, шантажа и кражи личных данных.
И здесь возникает вопрос, который должен задать себе каждый налогоплательщик: кто заплатит за этот провал?
Учреждение, которое не смогло защитить свои базы данных? Руководство, обязанное обеспечить их безопасность? Ответственные лица, проигнорировавшие риски? Или сами граждане — из денег, которые они перечисляют государству в виде налогов, сборов и НДС?
Именно здесь начинается административный абсурд.
Государственное учреждение могут оштрафовать, а деньги от штрафа поступят в государственный бюджет. Но ведь этот бюджет формируется за счёт тех же граждан. Другими словами, государство может просто переложить деньги из одного государственного кармана в другой, тогда как люди, чьи данные оказались скомпрометированы, останутся один на один с рисками, неопределённостью и возможными последствиями.
Кто-то допускает ошибку, учреждение платит штраф, а граждане оплачивают его из собственных налогов.
Разумеется, с юридической точки зрения всё не так однозначно. Государственные учреждения могут быть наказаны за нарушение законодательства о защите персональных данных, а пострадавшие вправе требовать возмещения ущерба в установленном законом порядке. Однако штраф, наложенный на учреждение, вовсе не означает, что непосредственно виновный человек выплатит эту сумму из собственного кармана. Персональная ответственность должна устанавливаться отдельно — на основании конкретных обстоятельств и применимых правовых норм.
Если частным компаниям за нарушение правил грозят серьёзные санкции, то утечка данных, затронувшая 750 тысяч человек, должна предполагать не менее строгий подход к установлению виновных.
Недостаточно просто узнать, что произошла утечка. Необходимо выяснить, существовали ли известные уязвимости, игнорировались ли предупреждения, соблюдались ли стандарты безопасности и кто по закону отвечал за предотвращение подобного инцидента.
Пресс-релиз не возместит причинённый ущерб. Само по себе создание комиссии не гарантирует, что подобное больше не повторится. А обещания усилить защиту информации не заменяют ответственности за то, что уже произошло.
Защита персональных данных — не бюрократическая формальность
Личная информация может использоваться для мошенничества, кражи персональных данных, попыток шантажа и других злоупотреблений. Граждане обязаны предоставлять свои данные государственным учреждениям, чтобы получать необходимые услуги. Но ответственность государства перед людьми не заканчивается в момент сбора информации. Напротив, именно с этого момента начинается его обязанность обеспечить её защиту.
Поэтому финансовый штраф не может быть единственным показателем ответственности. Необходимы прозрачное расследование обстоятельств произошедшего, конкретные меры по снижению рисков для пострадавших и, если будут установлены нарушения, соразмерные санкции и привлечение виновных к ответственности в соответствии с законом.
Иначе получается, что гражданин платит дважды: сначала за работу государственного учреждения, а затем — за его провал. Первый платёж называется налогом. Второй может обернуться потерей контроля над собственными персональными данными, угрозами личной безопасности и косвенной оплатой штрафов из государственных средств.
В государстве, которое заявляет о защите прав своих граждан, компрометацию персональных данных 750 тысяч человек нельзя считать обычной технической проблемой. Это проверка способности государственных институтов нести ответственность за свои действия.
И результат этой проверки должен выражаться не только в заявлениях и обещаниях, но и в реальных последствиях для тех, кто допустил произошедшее.