Очередная встреча дискуссионного клуба «Цифровая реальность» была посвящена регулированию в сфере искусственного интеллекта. Участники встречи обсудили проблему гиперперсонализации и связанные с ней риски, а также вопросы установления рамок приемлемого применения искусственного интеллекта. Они согласились с тем, что искусственный интеллект сегодня стал одним из драйверов изменений информационного пространства, однако последствия его проникновения в цифровую среду не всегда носят позитивный характер.

За последние несколько лет информационное пространство сильно поменялось. Во многом это связано с популярностью соцсетей: в них появляются новые инструменты, а искусственный интеллект становится основой для множества информационных сервисов, и в первую очередь выдачи контента.

«Для пользователей это происходит незаметно и делает более комфортным использование социальных платформ. Самое главное, что принес искусственный интеллект, — это именно гиперперсонализация, делающая пользование платформой более интересным и заставляющая проводить в ней больше времени», — подчеркнул Юрий Колотаев, член молодежного совета Координационного центра доменов RU/РФ.

Термин «гиперперсонализация» подразумевает существенную разницу в объеме данных, привлекаемых для персонализации контента, и используемых для этого инструментах. Персонализация выполняется не только по гендерной принадлежности, семейному положению и предпочтениям, но и по последним действиям потребителя сервиса, геолокации и т. п. Однако проблема заключается в том, что такой подход влечет создание длинного цифрового следа каждого пользователя. Это может быть довольно чувствительная информация, о раскрытии которой человек даже не подозревает. И возможность ее нечистоплотного использования уже стала реальностью. Самая большая проблема — возможность точно таргетировать информационные атаки. Персонализированная выдача информации — первое, что может нанести вред.

«Цифровая реальность ставит ребром многие вопросы. Часто возникают ситуации, когда людьми легко манипулировать», — констатировал Колотаев. То, что мы видим в Сети, не всегда прозрачно, иногда сложно заметить границу между реальностью и эмоциональной составляющей информации.

Данные в руках террористов

Как отметила Дарья Базаркина, ведущий научный сотрудник отдела исследований европейской интеграции Института Европы Российской академии наук, информационные атаки активно берутся на вооружение террористическими организациями.

Террористы манипулировали аудиторией и до появления искусственного интеллекта. Они всегда использовали психологические приемы, позволявшие создать видимость широкой поддержки их действий и массовости сторонников. Однако искусственный интеллект расширяет возможности пропаганды. Террористы, несмотря на архаичность взглядов, готовы использовать в работе самые продвинутые инструменты. Например, вербовщику всегда требовалось значительное время, чтобы войти в доверие к человеку, определить его сильные и слабые стороны. Анализ тональности поведения жертвы на различных ресурсах может радикально ускорить этот процесс. Для убеждения людей начинают применять технологию дипфейков, когда для продвижения идей используют наиболее привлекательную для конкретного человека персону. Именно поэтому террористические организации активно привлекают в свои ряды разработчиков инструментов манипуляции сознанием.

Удобство имеет свою цену

«Мы часто готовы платить высокую цену за удобство — это черта человека, о которой многие забывают», — напомнила Наталья Клюева, доцент философского факультета МГУ. Скажем, распознавание клиента по лицу и оплата товаров одним касанием подразумевают довольно большой объем раскрываемой информации.

Тем не менее гуманитарные аспекты развития и применения технологий становятся все более актуальными, и это говорит об их развитии: общество ждет новых ориентиров их использования. Очевиден общественный интерес к этическим вопросам в сфере искусственного интеллекта. И этика присутствует в национальных стратегиях развития искусственного интеллекта, хотя во многих случаях такая тема не раскрывается подробно, а документы носят рекомендательный характер. Тем не менее достигнуто общее понимание того, что принципы действия искусственного интеллекта должны соответствовать моральным установкам общества.

Андрей Игнатьев, руководитель аналитического направления Центра глобальной ИТ-кооперации, говоря о регулировании искусственного интеллекта, заметил, что человек борется со злом на протяжении всей истории и одним из важных элементов этой борьбы является поиск морально-нравственных ориентиров внутри себя. «Искусственный интеллект не этичен по определению. Говоря о его этике на нынешнем этапе развития, надо подразумевать именно этику людей, принимающих участие в создании и эксплуатации таких систем», — заявил он.

Выбирая между удобством и безопасностью, следует оценивать, насколько велики побочные эффекты этого удобства: доступность результатов нашей жизнедеятельности в цифровом мире может быть использована против нас. В идеале мы должны сами определять рамки своей прозрачности. Это можно сравнить с выходом человека в море на судне: он расширяет свои возможности, но принимает сопутствующие этому риски.

Экспериментальные правовые режимы (ЭПР) в области работы с данными напрямую связаны с реализацией национальной стратегии развития искусственного интеллекта. Наше государство всерьез рассчитывает на серьезный технологический прорыв в этой области. Для этого важна поддержка как бизнеса, так и научного сообщества. В ходе круглого стола, организованного на форуме BIG DATA 2021, представители правительственных структур и эксперты отрасли рассказали о том, что такое экспериментальные правовые режимы, как работать с данными в новых реалиях и как крупный бизнес планирует участвовать в этих инициативах.

По мнению Анны Серебряниковой, президента Ассоциации больших данных, создание ЭПР – смелый шаг со стороны государства. Говоря простыми словами, ЭПР – это установление новых, временных правил для проведения согласованных экспериментов. Такой подход хорошо понятен бизнесу, но очень трудно воспринимается государством: эксперимент может оказаться неуспешным, а это всегда болезненно. Тем не менее, политическая воля сложилась и необходимый закон был принят, а сейчас уже готовятся подзаконные нормативные акты, регулирующие применение ЭПР.

Начнут с наиболее перспективных кейсов

Анна Серебряникова: «Подход экспериментальных режимов хорошо понятен бизнесу, но очень трудно воспринимается государством: эксперимент может оказаться неуспешным, а это всегда болезненно»

Как признала Оксана Тарасенко, заместитель министра экономического развития РФ, для Минэкономразвития принятие экспериментальных правовых режимов (так называемых песочниц) стало действительно большим достижением.

«Это ключевой фактор для развития любых инноваций, в том числе технологий искусственного интеллекта. Нами за последний год проведена большая работа по подготовке необходимой правовой базы, а также отбору проектов, которые будут запущены в рамках первых ЭПР», — заявила Тарасенко.

В конце января вступил в силу 258-ФЗ «Об экспериментальных правовых режимах», предусматривающий создание условий для проведения правовых экспериментов для тестирования в реальной жизни цифровых инноваций. Сопутствующие подзаконные акты призваны исключить законодательные препятствия для тестирования новых технологий в рыночной среде. Они охватывают семь наиболее перспективных направлений, таких как беспилотный транспорт, телемедицина, заключение договоров с помощью биометрии и т.п. Тарасенко выразила уверенность, что первые ЭПР будут запущены уже в нынешнем году.

«Это тот случай, когда государство услышало запрос бизнеса», — подчеркнул Дмитрий Тер-Степанов, заместитель генерального директора АНО «Цифровая экономика». Регулятор стоит на защите прав граждан, а бизнес продвигает инновации, и между этими «минусом» и «плюсом» возникает напряжение, которое снимается законом про ЭПР. Предметом ЭПР является именно то, до чего до сих пор не удалось договориться и что воспринимается регулятором как поле для рисков. У сообщества есть три года, чтобы на ограниченной территории попробовать доказать, что эти риски преувеличены.

В поисках разумного компромисса

«Введение ЭПР – хорошая практика в развитых странах, она позволяет апробировать новые технологии и провести их оценку. Но ЭПР могут нести вполне ощутимые риски, и в первую очередь это связано с использованием данных о гражданах», — отметила Татьяна Матвеева, начальник управления по применению ИТ в развитии электронной демократии Администрации президента РФ. Таким образом, общая задача – найти взвешенное решение и разумные компромиссы, которые позволят обеспечить защиту интересов граждан. Важно осознать допустимые пределы ЭПР, прежде всего с точки зрения защиты прав человека.

По словам Матвеевой, в рамках международных конвенций есть примеры ограничений и изъятий из основных требований по защите прав человека, но они главным образом направлены на обеспечение национальной безопасности и общественного порядка. России как участнику этих конвенций необходимо осторожно подходить к реализации ЭПР, и принципиально важно, чтобы по завершении эксперимента была дана оценка их эффективности.

Предлагаемые бизнесом эксперименты чаще всего связаны с развитием клиентского опыта. В маркетинговых целях компаниям хочется знать о гражданах всё: не только действия, но даже их мысли. Важно не только обезличивание таких данных, четкие правила их загрузки в «песочницы» и правила допуска к ним участников, но и дальнейшие правила уничтожения данных после проведения эксперимента, а также порядок внепланового прекращения эксперимента.

«Нам по силам найти баланс между внедрением новых решений, за которыми будущее, и защитой интересов людей, как того требует национальная стратегия развития искусственного интеллекта. Этот баланс обеспечит интересы и людей, и бизнеса, и государства», — уверена Матвеева.

«Маленький рекомендательный сервис»

Мария Поликанова: «Важно предложить гражданам сервис, который сейчас они не могут себе позволить, – хороший консалтинг по составлению финансового плана и прогнозу развития бизнеса»

В качестве одного из первых экспериментов планируется запустить создаваемый Ассоциацией больших данных сервис «Собственное дело» – платформы, которая подскажет будущим предпринимателям перспективные сферы для открытия бизнеса.

«Регуляторы много говорят о том, что надо соблюдать права человека. Но одним из таких прав является право на труд», — напомнила Мария Поликанова, руководитель стратегического комитета Ассоциации и идейный вдохновитель сервиса «Собственное дело». Не секрет, что огромное количество стартапов «умирают» уже в самом начале — 80% компаний закрываются в первый год. Чтобы избежать этого, важно предложить гражданам сервис, который сейчас они не могут себе позволить, – хороший консалтинг по составлению финансового плана и прогнозу развития бизнеса.

Разрабатывая стратегию развития рынка больших данных, в Ассоциации оценили, что это направление может принести стране до 0,3% роста ВВП. Если таким сервисом за год воспользуются хотя бы 250 тыс. человек, то в экономике будет получен дополнительный оборот 4,8 трлн руб., а это 325 млрд руб. дополнительных поступлений в бюджет. Такой эффект может «дать один маленький рекомендательный сервис».

По словам Поликановой, в этом проекте участвуют восемь крупных конкурирующих компаний, которые смогли договориться и создать принципиально новый сервис. Он будет реализован в режиме времени, близком к реальному, и должен быть настолько простым, чтобы им могла воспользоваться даже домохозяйка.

Столица — как обычно, в авангарде

Иван Бутурлин: «Столица становится площадкой для апробации многих новшеств. Для нас эксперимент в сфере искусственного интеллекта – уже просто жизненная необходимость»

Москва планирует запустить собственные эксперименты в рамках ЭПР. Это крупнейший и наиболее развитый рынок в стране, он является ориентиром для многих.

«Столица становится площадкой для апробации многих новшеств. Для нас эксперимент в сфере искусственного интеллекта – уже просто жизненная необходимость», — констатировал Иван Бутурлин, руководитель проектного офиса по ЭПР ДИТ Москвы. Цифровые технологии составляют 6% ВРП города, а в ИТ-отрасли Москвы работают 600 тыс. человек. Даже без экспериментов в городе функционируют продукты, использующие возможности искусственного интеллекта – например, в вопросах коммуникаций с жителями, безопасности и здравоохранения.

В 2018 году Москва вошла в топ-10 городов мира, готовых к внедрению искусственного интеллекта. С точки зрения технологий уже тогда все было отлично, однако город занимал лишь 20-ю позицию по готовности нормативно-правовой базы. Принимаемые сейчас законы устраняют эту дисгармонию.

Как подчеркнул Бутурлин, задачи ЭПР охватывают не только вопросы работы с данными. Столичный ДИТ смотрит чуть дальше по производственной цепочке и готов проходить весь жизненный цикл решений – от предоставления данных до создания алгоритмов и готовых решений. При этом предстоит решить множество практических вопросов, для этого и нужен эксперимент.

Выход из эксперимента не менее важен

Участники круглого стола согласились, что нельзя пренебрегать вопросами этики использования искусственного интеллекта. Но не надо забывать, что до сих пор речь идет лишь о рекомендательных системах. Технология еще слишком незрелая, и не следует ее ограничивать слишком жесткими рамками, с учетом того, что до сих пор нет ни одной реальной системы, способной полностью подменить человека при принятии решений.

В любом случае, реализация ЭПР для тестирования новых технологий на государственном уровне стала чуть ли не уникальным случаем, когда Минэкономразвития и бизнес-сообщество пошли по довольно сложному пути «рука об руку». По-другому добиться столь амбициозных целей, поставленных на уровне страны, будет невозможно.

Важен не только вход в эксперимент, но и выход из него – ведь он реализуется именно для того, чтобы затем поменять общие правила на рынке. До сих пор остается открытым вопрос, где и в каких пределах можно рассчитывать на изменение режимов, а в каких случаях государство не сможет пойти на изменение регулирования.

25 мая исполнится год, как вступил в силу принятый странами Евросоюза Общий регламент по защите данных (General Data Protection Regulation). Исполнительный директор Центра цифровых прав Денис Лукаш рассказал Computerworld о том, что такое GDPR, нужно ли исполнять его российским компаниям и почему сделать это им в любом случае будет трудно.

- Каковы ключевые принципы GDPR?

Законность, справедливость, прозрачность обработки персональных данных, ограничение использования данных целями обработки и целями целостности хранимых данных, минимизация использования, точность, подотчетность. Некоторые из них хорошо знакомы российским гражданам благодаря 152-ФЗ (федеральный закон «О персональных данных», принятый в первоначальной редакции в 2006 году. — М.С.). Из нововведений — право на забвение и право на переносимость, хотя это не принципы, их тоже стоить упомянуть.

- Довольно размытые формулировки. Как они будут работать?

Четкости здесь нет, но она и не задумывалась. Регламент — юридический документ, а не технический. Понятие персональных данных дается довольно широко. Регламент задумывался как технически нейтральный акт.

Неясно, как право на переносимость будет реализовываться. Оно подразумевает возможность выгрузки данных в некотором формате. Но непонятно, что это за формат, что с ним делать, куда данные можно перенести.

Право на забвение — понятие юридическое. Диспозиция будет толковаться из баланса частного и публичного права.

- Что такое персональные данные «по GDPR»?

Это любая информация, относящаяся к идентифицированному или неидентифицируемому лицу. Все идентификаторы, включая совокупность факторов — биологических, психологических экономических и других, по которым можно определить то или иное лицо, например присваиваемый онлайновый номер. Ранее использовалось более узкое понятие, без указаний на онлайн-идентификаторы; GDPR его расширил.

В 152-ФЗ это понятие еще более узко. Сейчас, спустя десятилетие, приходим к пониманию, которое было заложено европейцами. Роскомнадзор тоже полагает, что любые идентификаторы — это персональные данные.

Для определения персональных данных нужно исходить из контекста и понимать, действительно ли эти данные относятся к физическому лицу, есть ли там какие-либо идентифицирующие физическое лицо признаки. Скажем, если на сайте есть регистрация по электронной почте, то данная электронная почта относится к персональным данным, поскольку служит для отделения одного физического лица от другого для совершения с ним каких-то юридически значимых действий. Или если установлен сервис с метрикой, которая считывает действия пользователей. Идентификаторы, которые передаются на сайт статистического сервиса, тоже будут являться персональными данными. В Data Protection Directive это уже было, да и Роскомнадзор согласен с этим. При работе со статистикой, особенно с привлечением сторонних сервисов, мы должны это понимать и декларировать, что собираем, обязательно делать схемы потоков персональных данных.

Любопытно, что по GDPR психологический тест для ребенка содержит персональные данные, потому что эти данные в совокупности относятся к определенному ребенку. Роскомнадзор своего мнения об этом не высказал. В Европе тенденция признать такие вещи персональными данными прослеживалась и ранее. Думаю, в России тоже к этому придут.

- Чем GDPR отличается от предшествующей ему директивы Data Protection Directive? Зачем понадобился регламент?

В Евросоюзе есть два вида актов — директивы и регламенты. Регламенты обязательны и имеют прямое действие на территории ЕС. Директивы — нет. Страны, опираясь на Data Protection Directive, создавали национальные документы и перестраивали в дозволенных рамках положения директивы, как им было удобно, включая ответственность, как им было удобно. Общей практики в ЕС не было, плюс проблемы с приватностью накапливались. Поэтому и приняли регламент, обязательный на всей территории ЕС. Несмотря на разницу в местных законодательствах, все споры в конечном итоге будут решаться в Европейском суде с учетом GDPR. И штрафы будут устанавливаться единообразно.

- Какие сдерживающие меры приняты помимо штрафов?

Особых отличий от директивы здесь нет. Но количество нарушений и надзорных мероприятий стало больше. Это, например, обязанность сообщать об утечках персональных данных и делать оценку соответствия на субъекта персональных данных, публиковать определенные сведения. Надзорные мероприятия стали весомее: вырос вес обращения субъекта персональных данных

- Как GDPR влияет на Россию?

Действие GDPR экстерриториально. Хоть Роскомнадзор и не согласен, но, если хотите продавать на территории ЕС, будьте добры учитывать GDPR. Если ваш рынок ограничен Россией, наверное, регламент не страшен, однако наверняка найдутся партнеры, которые откажутся с вами работать, так как работают с европейцами, для таких — российских — партнеров вы также должны соответствовать GDPR. Если есть желание идти в Европу или работать с международными компаниями в России, надо все это учитывать.

Допустим, вы предоставляете сервисы статистики, облачные базы данных и т. п. Перед заключением сотрудничества с вами у вас поинтересуются, соответствуете ли вы GDPR. Если нет, могут и отказаться.

Если вы предоставляете свои услуги в Европе, но зарегистрированы в России, то напрямую вас, может, не накажут, не дотянутся, однако могут применить санкции, например по ограничению доступа к сайтам или разделегированию доменов. Подобных мер пока нет, но они прорабатываются. Могут быть индивидуальные меры против генерального директора, что создаст ему проблемы при посещении стран Евросоюза.

Причиной соблюдать GDPR могут стать требования инвесторов или даже требования работников самих компаний, например тех, которые заняты в сфере информационной безопасности и рассчитывают на возможное расширение своих полномочий.

В целом выполнять GDPR полезно: соответствуя регламенту, вы соответствуете большинству международных требований, за исключением, может быть, требований по локализации данных (они, кстати, есть не только в России). 152-ФЗ проще GDPR. Интересна разница между ними: 152-ФЗ требует по большей части защищать персональные данные, в то время как GDPR — права субъектов персональных данных, защита персональных данных уже следствие.

- Россия движется в сторону такого понимания персональных данных?

В России сейчас есть разные подходы, но уйти от Конвенции 108+ (подписанная государствами — членами Союза Европы «Конвенция о защите физических лиц при автоматизированной обработке персональных данных». — М.С.) мы не можем. Для гармонизации нашего и европейского законодательства нужно дать больше прав субъектам персональных данных, перенести административную ответственность на лицо, осуществляющее обработку по поручению, убрать согласие на передачу третьим лицам. Но самое главное — повысить защиту государственных информационных систем, привести ее к соответствию хотя бы с действующими критериями ФСТЭК. Это проблематично, а потому наше государство, как мне кажется, будет в первых рядах «антилоббистов» GDPR. Пока Роскомнадзор — единственный орган, который выступает за то, чтобы двигаться в этом направлении. Впрочем, у него на то могут быть собственные причин: по GDPR надзорные органы должны быть независимы, обладать большими полномочиями, иметь выборного, а не назначенного главу. Возможно, в Роскомнадзоре стремятся расширить свои полномочия, как, например, это происходит с так называемым суверенным Рунетом.

- Как по шагам перестроить работу организации, чтобы она не нарушала GDPR?

Российским компаниям во многих случаях все придется делать с нуля, если процессы выстроены по 152-ФЗ. Однако тех, у кого по 152-ФЗ все правильно, очень мало. Некоторые делают видимость соблюдения регламента на бумажках, но это легко вычисляется. Первым делом надо честно взглянуть на то, что есть в компании. Если все хорошо структурировано и прописано, посмотрите на то, как соблюдаются права субъектов согласно GDPR. Далее нужно пересмотреть ПО. В соответствии с GDPR, приватность должна начинаться еще на этапе проектирования такого ПО. После предварительного анализа нужно составить оценку воздействия на субъекта персональных данных. Для тех, у кого мало опыта подобной работы, это единственный путь избежать или хотя бы снизить количество ошибок. Оценку лучше делать даже тогда, когда по GDPR она не обязательна. К тому же есть возможность направить ее в европейский надзорный орган, который может, хотя и не быстро, дать полезные рекомендации: вы не будете теряться в догадках. Оценка останется как документ, который будет подтверждать соответствие GDPR.

Далее нужно составить необходимые политики и процедуры. Можно привлечь эксперта, который проверит все документы или поможет с их изготовлением на основе вашей оценки. После выполнения всех пунктов, кстати, вы можете обнаружить, что все равно не будете соответствовать GDPR. Возможно, стоит подумать об изменении бизнес-стратегии. В общем, процедура непростая, но после прохождения всех мытарств у вас появится опыт; в дальнейшем разрабатывать бизнес-процессы, соответствующие GDPR, станет легче.

Важно, что Россия не считается страной, которая обеспечивает адекватную защиту персональных данных европейцев, в то время как Европа нам ее обеспечивает. Из-за этого тоже возникают сложности. В целом вы можете соответствовать GDPR, но наше же законодательство мешает этому проявиться в полной мере. Так, из-за части 5 статьи 18 152-ФЗ и из-за «закона Яровой» операторы обязаны в отдельных случаях хранить данные пользователей на территории России.

- Европа не перестанет сотрудничать с Россией?

Россия сама теряет малый ИТ-бизнес, который хочет работать с Европой. Сейчас выбор таких предпринимателей — регистрировать компании в Европе, так легче. Из-за этого теряем налоговые поступления. Многие обращаются к нам за консультацией по GDPR, намереваясь уйти в Европу еще до того, как в РФ появится альтернативный сценарий необходимой легализации.

- Есть ли в мире аналоги GDPR? Как в других странах складывается регулирование персональных данных?

У развитых стран есть подобные акты с определенными отличиями. Развивающиеся страны большей частью их копируют.

В США много разных законов в этой области, в том числе и на уровне штатов. Калифорнийский акт — один из самых строгих. Он делает акцент не на штрафе, а на компенсации морального вреда, обычно в диапазоне 100-750 долл. для одного затронутого субъекта. В Англии с видом на Brexit подготовили акт, напоминающий GDPR, однако там ряд статей уделен и национальной безопасности.

В Китае ориентируются на защиту государства, а не на права человека.

Если говорить о странах СНГ, то в Белоруссии вообще нет соответствующего федерального закона. А вот в Армении он приближен к европейским понятиям.

У России свой путь. На мой взгляд, нам нужно легализовать оборот больших данных. Грамотно, с проработкой всех рисков. Нужно приблизить 152-ФЗ к Конвенции 108+. Кстати, США в целом тоже не обеспечивают европейцам адекватную защиту, но у них с ЕС есть особый договор на эту тему, так что бизнес может не бояться. У нас же до него пока никому нет дела. Средний и малый бизнес вообще не учитывают: мы живем пока интересами государства и корпораций.

Российский рынок данных только формируется, и многие правовые вопросы, включая базовые, еще не урегулированы. Непонятно, какие данные могут оборачиваться на рынке относительно свободно, неясно кто является правомочным владельцем данных. В отсутствие четких нормативных требований компании-агрегаторы считают себя вправе распоряжаться собранными «пользовательскими» данными, которые не относятся к категории персональных. Государство стремится формализовать все по максимуму, тем самым загоняя рынок в «серую» зону. Граждане между тем полагают, что их данные разворованы: по данным ВЦИОМ, так считают 70%.

Хотя работа над нормативной базой в этой сфере только началась, позиции участников рынка важно формировать уже сегодня. Нерешенные правовые вопросы в области регулирования оборота данных, отношения государства и бизнеса, а также возможности достижения баланса интересов бизнеса и граждан эксперты обсудили на традиционном форуме BIG DATA 2019, организуемом издательством «Открытые системы».

«Ни в России, ни в Европе в данный момент нет понятной юридической конструкции, позволяющей компаниям обрабатывать большие пользовательские данные легально», — констатировала Екатерина Калугина, главный юрист IT Legal Consulting.

Но поскольку потребность работать с данными очевидна, рынок становится «серым». Примечательно, что главной задачей, для решения которой компании приобретают данные, является не маркетинг и реклама. Примерно половина сделок с данными осуществляется в целях борьбы с мошенничеством, сообщила Светлана Белова, генеральный директор компании «Системы управления идентификацией». И когда, например, каршеринговым компаниям удается добыть нужные данные, уровень мошенничества снижается на 25-30%.

Право на профиль

Поправки в законы об информации и защите персональных данных обсуждаются в нашей стране уже два года. При этом преобладают два основных подхода. В одном интересы граждан традиционно представляет главным образом государство, и основное внимание уделяется доступу к данным в государственных информационных системах. В другом акцент делается на возможности граждан самостоятельно принимать решения в отношении использования своих данных.

В конце марта Минкомсвязь вынесла на общественное обсуждение законопроект о цифровом профиле граждан и юридических лиц. «Сейчас государство выступает большим аналоговым посредником между нами и нашими данными в информационных системах или бумажных картотеках», — говорит Мария Шклярук, генеральный директор «Центра перспективных управленческих решений». По ее мнению, единый алгоритм доступа к записям в государственных реестрах, единый идентификатор и цифровой профиль, отражающий то, как видит нас государство, устранят такое посредничество.

Мария Шклярук: «Государство выступает большим аналоговым посредником между нами и нашими данными в информационных системах или бумажных картотеках»

«Единственное, что мешает бизнесу торговать данными легально, — отсутствие согласия конечных пользователей (субъектов данных)», — полагает Белова. По ее мнению, все противоречия в интересах исчезнут, когда человек, а не только частные компании и государство, получит информацию о собираемых данных, возможность распоряжаться их использованием и извлекать из них доход. То есть человек станет полноправным участником рынка данных, заинтересованным в качестве и полноте своего цифрового профиля.

В Европе вступление в силу регламента по защите данных (GDPR) вынудило даже американские компании Facebook и Google сделать API, чтобы пользователь мог скачать из сети свои данные — «цифровую тень». Затем то же самое сделали Whatsapp и Telegram. По словам Беловой, сегодня у пользователя уже есть возможности сформировать свой цифровой профиль, отрегулировать, какие данные и кому он хочет предоставлять, а какие — нет, и монетизировать свои данные.

Но пока это касается только части интернет-сервисов. Во ФРИИ сейчас разрабатываются поправки в ФЗ-152, предусматривающие создание механизма, который позволит гражданину видеть, какие его данные у кого находятся и что с ними делают. При этом предполагается, что гражданин будет иметь возможность отозвать данные как полностью, так и частично.

Искусственный интеллект на голодной диете

Текущая неопределенность в правовых вопросах мешает развивать столь необходимые в цифровую эпоху технологии машинного обучения. К примеру, медицинскими данными сегодня фактически владеют не пациенты, а медицинские организации, что серьезно затрудняет не только получение медкарты в поликлинике, но и обучение нейросетей для систем поддержки принятия врачебных решений. «Поскольку нет понятного нормативного поля, медицинские организации ведут себя как собака на сене, сидя на огромных массивах данных, которые можно было бы использовать», — отметил Борис Зингерман, директор Ассоциации разработчиков и пользователей искусственного интеллекта «Национальная база медицинских знаний». В этих условиях непонятно, как объединять имеющиеся в клиниках данные в пулы Больших Данных для исследований и как обеспечивать обогащение этих данных из других источников. Но если обмен медицинскими документами через личный кабинет «Мое здоровье» на портале госуслуг заработает так, как это предусмотрено в концепции развития ЕГИСЗ, то фактическим владельцем медицинских данных станет пациент. И тогда можно будет говорить о появлении рынка медицинских данных, полагает Зингерман.

В настоящее время некоторые принципы законодательства о защите данных, (как ФЗ-152, так и GDPR) несовместимы с технологиями машинного обучения, использующими большие пользовательские данные, напомнила Калугина. К примеру, обработка персональных данных по закону ограничивается заранее определенными конкретными целями, в то время как при использовании данных в системах ИИ необходимо их повторное использование в целях, которые могут отличаться от первоначальных. В биотехнологиях важна возможность комбинировать различные категории данных для поиска закономерностей и подтверждения гипотез. Между тем по закону объединять базы, содержащие персональные данные, обработка которых осуществляется в разных целях, недопустимо. Стандартные методики обезличивания, анонимизации данных сегодня становятся малоэффективными, поскольку существующие технологии способны идентифицировать личность посредством установления связей между несколькими фрагментами данных.

Коварные данные

Самый острый из нерешенных вопросов в сфере Больших Данных — общественная позиция по защите «цифровых прав», поскольку в мире уже известны прецеденты по использованию цифровых решений для прогнозирования совершения преступлений и ограничения людей в правах на базе «социальных рейтингов».

«Вопрос, можно ли доверять системе принятие решений, уже не стоит, — считает Иван Бегтин, руководитель Ассоциации участников рынка данных. — Нет никаких технологических ограничений для использования искусственного интеллекта, например, правоохранительными органами для профилактики правонарушений. Вопрос, что мы будем делать, когда принятие решений искусственного интеллекта окажется неизбежным».

Критерии алгоритмов, заложенных в систему искусственного интеллекта, не должны противоречить ключевым общественным интересам и должны быть справедливыми по отношению к пользователям. Кроме того, необходим контроль корректности принимаемых искусственным интеллектом решений, проверка, не повлекут ли эти решения дискриминацию в отношении каких-либо групп пользователей. Но как этого добиться?

Опрос центра социологических исследований РАНГХиС «Евробарометр в России» показывает, что мы относимся к технооптимистам, то есть значительная часть граждан готова доверить решение юридических вопросов судье-роботу. «Это говорит об уровне репутации нашей судебной системы и степени доверия к людям, все думают, что алгоритм будет честнее, — поясняет Шклярук. — С другой стороны, робота-юриста нельзя обучить на тех решениях, которые есть сейчас, потому что они воспринимаются как несправедливые».

«Данные, на которых мы обучаем систему, напрямую влияют на результат, поэтому просто давать системе возможность принимать решения очень опасно», — уверена Дженифер Трелевич, исполнительный директор TGPO Consult. С этим легко согласиться, вспомнив истории с чат-ботом Microsoft, который начал демонстрировать асоциальное поведение всего через сутки общения в Twitter, а также с чат-ботами Facebook, которые быстро перешли к общению между собой на языке, непонятном их создателям.

По мнению Калугиной, следует внести в законодательство изменения, предусматривающие, с одной стороны, специальный режим больших пользовательских данных и специальные основания обработки таких данных, а с другой — эффективные механизмы контроля использования данных алгоритмами машинного обучения и требования к безопасности. При этом в сами системы искусственного интеллекта необходимо закладывать алгоритмы самоконтроля и защиты данных.

Список нерешенных вопросов может сократиться, если все упомянутые законотворческие инициативы будут реализованы. Но, учитывая масштаб и сложность трансформации, которая предстоит рынку данных, к теме нормативного регулирования предстоит возвращаться еще не один раз.

Генеральный директор Facebook Марк Цукерберг заявил, что его компания берет на себя обязательство выстроить новую «платформу, которая будет ориентирована на приватность» и послужит моделью для организации взаимодействия в социальной сети.

Вместе с тем в своем выступлении, посвященном долгосрочным планам компании, Цукерберг почти не затронул вопросов рекламы и полностью проигнорировал тему фейковых новостей и другой ложной информации, чаще всего подвергаемой критике в социальных сетях.

Основой описываемой Цукербергом будущей модели должен стать сервис WhatsApp. «Я убежден в том, что в перспективе коммуникации начнут смещаться в сторону конфиденциальных, шифруемых сервисов, где люди могут быть уверены в полной безопасности передаваемых ими сообщений, а контент не будет храниться вечно, – указал он. – В этом будущее, и, я надеюсь, мы поможем превратить его в реальность».

По мнению Цукерберга, основными способами общения в социальной сети станут Messenger и WhatsApp, а не Facebook. Оба мессенджера активно перестраиваются, становясь еще быстрее и проще, усиливая конфиденциальность и безопасность коммуникаций.

Что это значит? В условиях нарастающей со стороны властей разных стран и пользователей критики Цукерберг и Facebook стремятся выправить ситуацию. Вопрос заключается в том, могут ли пользователи доверять социальной сети? В последнее время Facebook регулярно предпринимает попытки изменить свою политику в области приватности, но скандал следует за скандалом.

По словам Цукерберга, намеченная эволюция базируется на нескольких основных принципах, к которым относятся: конфиденциальное общение, шифрование, безопасность, интероперабельность и защита хранимых данных. Каждый из этих принципов оказывает влияние на дальнейшее развитие приложений Facebook.

Цукерберг, в частности, убежден в том, что все личные сообщения должны шифроваться, а со временем и удаляться, если только сам пользователь не укажет обратное. Вместе с тем мы видим борьбу двух противоположных тенденций: с одной стороны, пользователи хотят удаления компрометирующих их старых фотографий, а с другой - предпочитают использовать Facebook в качестве персонального цифрового архива.

По словам Цукерберга, компания планирует повышать интероперабельность своих сервисов обмена сообщениями, с тем чтобы у пользователей была возможность отправлять и принимать сообщения с помощью того сервиса, который они больше всего любят. «Мы планируем реализовать возможность отправки сообщений вашим контактам из любого нашего сервиса, который вы выберете, – указал он. – В дальнейшем интероперабельность дойдет и до СМС-сообщений. Естественно, все это будет происходить лишь при согласии пользователей, и при желании они смогут хранить свои учетные записи отдельно друг от друга».

При этом Цукерберг готов согласиться с блокировкой Facebook в тех странах, которые требуют локализации личных данных пользователей-граждан этих стран. «Если бы мы построили в этих странах дата-центр и хранили там личные данные, не ограничиваясь только кэшированием не слишком чувствительной информации, властям таких государств было бы проще получать интересующие их сведения», – подчеркнул он.

Тем не менее, угрозы американского конгресса и властей других стран с пристрастием изучить деятельность социальной сети, а также появляющиеся сообщения о том, что компания отдает формирование политик в отношении наиболее чувствительного контента на аутсорсинг, свидетельствует о том, что Facebook еще предстоит ответить на массу вопросов. Зарегистрироваться в социальной сети очень легко, однако на вас тут же обрушивается поток фейковых новостей. Обеспечение конфиденциальности частной переписки – замечательная цель, но, похоже, при этом игнорируется необходимость более широкого обсуждения роли социальных сетей в современном обществе.

О приватности

Управляющий партнер «Центра цифровых прав» Саркис Дарбинян провел правовой ликбез о том, что нужно знать для защиты приватности. Он рассказал, что объектами защиты могут быть доброе имя человека, его честь и достоинство, деловая репутация, изображения, персональные данные, частная жизнь, конфиденциальная переписка. Защищаются эти объекты разными статьями КоАП, ГК, ТК и УК РФ. Ответственность за нарушения может быть административной, гражданской, дисциплинарной, уголовной. За соблюдением законодательства следят правоохранительные и разные надзорные органы (от МВД до трудовой инспекции и Роскомнадзора), причем многие из них весьма неохотно работают с нарушениями прав на персональные данные, посетовал Дарбинян. Судебной работой занимаются суды общей юрисдикции и арбитражные суды.

Для того чтобы расследовать инциденты, соответствующие уполномоченные органы должны определить правовую природу публикации (является ли она утверждением о факте или мнением), проанализировать, что представляет собой онлайн-ресурс (СМИ это или соцсеть, кто автор, регистратор домена, какова целевая аудитория), зафиксировать нарушения и подготовить доказательства. Здесь в ход идут осмотр сайта нотариусом, электронные копии страниц, заключение специалистов и т.д.

О больших и персональных данных

Исполнительный директор «Центра цифровых прав» Денис Лукаш подробнее рассказал о российском законодательстве в области больших и персональных данных. Большие данные — это и объект, и механизм обработки. Точного определения в российском законе, однако, нет, как нет, соответственно, и специальных правил сбора, обработки, использования и продажи больших данных. По закону «Об информации» большие данные можно охарактеризовать как объект публичных, гражданских и иных правоотношений. Большие данные могут являться персональной информацией или только частично содержать ее. В GDPR, кстати, понятие личных данных расширено и уточнено. Так, ими может стать и результат психологического теста ребенка, ведь по нему модно понять его состояние, особенности, отношение к родителям, профессию последних и т.д. Примечательно, что соцсети, по словам эксперта, не делают данные общедоступными, пусть некоторым участникам рынка и хотелось бы так думать.

Торговля данными продолжает иметь место в России и происходит за счет фактического отсутствия проверок ФСТЭК и ФСБ коммерческих компаний, придуманных перед проверками Роскомнадзора договоров, описывающих притворную сделку, ссылки на то, что обработка персональных данных нужна для исследований, перехода в теневой рынок и других ухищрений. По мнению эксперта, при работе с персональными данными компаниям опасно отрицать, что они персональные, и дейсттвовать без юридической экспертизы и оценки рисков.

О GDPR в России

Старший юрист PwC в России Артем Дмитриев рассказал, что принятый в Евросоюзе Общий регламент по защите данных GDPR может быть применим к российским компаниям напрямую или косвенно. Прямая применимость подразумевает деятельность предприятия в странах ЕС (наличие филиала, дочерней компании), предложение товаров и услуг и мониторинг поведения в местах присутствия (аналитика, контроль за работниками). Косвенная применимость возникает в трех случаях. Первый — наличие совместных операторов, у которых общие с российскими ИТ-системы и др. Второй — оператор в ЕС является обработчиком информации в России. Здесь он арендует серверы и мощности, проводит аутсорсинг корпоративных услуг, оказывает ИТ-услуги. Наконец, третий случай — оператор в ЕС является оператором и в России. Он покупает данные у агрегаторов, взаимодействует с банками, ведет отчетность.

Если российская организация занимается хотя бы одной из вышеперечисленных работ, она подпадает под GDPR. Каким же образом соблюдать его? Спикер обозначил два пути. Это комплексное проведение всей деятельности организации в соответствие с кодексом или, наоборот, локальное внедрение новых норм в отдельные бизнес-процессы. Интересно, что, хоть GDPR и российский 152-ФЗ «О защите персональных данных» и развиваются в одном векторе, между ними, конечно же, есть различия, которые заставляют оператора балансировать между двумя векторами регулирования.

Об утечках в компаниях

Старший консультант PwC в России Николай Дегтярев представил доклад о том, как реагировать на утечку персональных данных клиентов. Он предложил компаниям начать с создания доступного и удобного перечня компетенций по персональным данным, единого центра компетенций по персональным данным и перечня заинтересованных сторон. Реагировать на утечки можно с помощью технических средств, каналов получения информации от людей, мониторинга информационного пространства и внеплановой проверки. При этом очень важно заранее определить и протестировать порядок реагирования.

Если утечка уже произошла, следует идентифицировать ее и создать рабочую группу по реагированию, контролировать промежуточные сроки по выполнению мер на каждом этапе, документировать происходящее вплоть до итоговой отчетности и принять компенсирующие меры. Кстати говоря, документирование реакции на утечку — требование GDPR.

Нельзя забывать об информировании об инцидентах регулирующих органов, а также затронутых субъектов, головного офиса и контрагентов. Особняком в рекомендациях стоит взаимодействие с отделами маркетинга и PR, которые также должны быть готовы отразить информационную атаку, правда уже немного другого свойства.

В ходе международного форума Cyber Security Forum, прошедшего 14 февраля, эксперты обсудили вопросы кибербуллинга, цифровой грамотности, позитивного контента, фальшивых новостей, персональных данных, программно-технических угрозах и др. Computerworld побывал на некоторых секциях.

Fake news: спасет фактчекинг

Специалист Института развития Интернета Виктор Леванов считает, что люди создают фейки часто непреднамеренно, и очень часто — из-за ошибок СМИ. Так, в Кемерове на записях видеокамеры в сгоревшем ТЦ «Зимняя вишня» увидели человека в черном с сумкой и обвинили в поджоге. Обвинение оказалось ошибочным, но пока это выяснилось, человека успели затравить в соцсетях. Также фейки могут давать непреднамеренный косвенный эффект в плане осложнения работы экстренных служб.

Если же говорить о преднамеренном распространении фальшивых новостей, то делается это с разными целями - посеять панику, совершить мошенничество, нанести медийный урон (причинение вреда репутации) публичным персонам, провести финансовые махинации (например, обрушить акции компании), способствовать лоббизму каких-либо законодательных инициатив и проч.

Бороться с фальшивыми новостями можно с помощью фактчекинга, опровержений, официальных заявлений властей, опровержения через суд, опровержения источником новости. Помимо этого необходимо поощрять волонтерство по борьбе с фейками и повышать свою личную грамотность, считает Ливанов. Однако стопроцентного решения проблемы нет, предупредил эксперт.

Ведущий аналитик РОЦИТ Урван Парфентьев рассказал, как специальная программа, в основе которой лежат нейротехнологии, на видео «подменяет» одного человека другим. Если кратко и упрощенно, автокодировщик сжимает изображения двух персон, и совмещает их, от одного взяв, допустив, черты лица, от другого – мимику и жесты. На выходе получается, что Барак Обама выступает с речью, которую произнес другой человек специально для фальшивой новости. Впрочем, сделать это не так легко, как выглядит на первый взгляд: для правдоподобной подмены требуются до 2 тыс. фото этих людей с разных ракурсов. К слову, данная технология может использоваться не только для мошенничества, но и во благо, например, для реконструирования изображений повзрослевших некогда пропавших детей.

Чтобы не попадаться на удочку фальшивых новостей, эксперт советует каждому лично проводить фактчекинг по официальным каналам, а государству – заняться детектированием оборота такого рода контента.

Персональные данные: GDPR и кодекс этики

Эксперт по защите персональных данных Максим Лагутин рассказал о том, распространяется ли GDPR на Россию. По его словам, если часть какой-то работы отечественной компании проводится за рубежом, задуматься о европейском законодательстве просто необходимо.

Лагутин подметил разницу между российским законом о защите персональных данных и GDPR. Чтобы добиться соответствия требования отечественного законодательства, нужно провести надлежащую работу один раз, в то время как исполнение GDPR — постоянный процесс. Нельзя заполнить бумажки и полагать, что на том заботы о соблюдении GDPR на этом закончились.

Лагутин также полагает, что реализация требований GDPR поможет добиться соответствия 152-ФЗ «О персональных данных».

Член экспертного совета комитета Госдумы по информационной политике, информационным технологиям и связи Марина Рожкова считает, что для регулирования ситуации с персональными необходим этический кодекс. При этом он должен защищать именно людей, а не сами данные. Кому же принадлежат эти данные – до сих пор большой вопрос. По словам Рожковой, законы отстают от экономической ситуации, законодатели пытаются решить вопросы, не понимая их сути, не успев разобраться в них. Но, по мнению эксперта, законодательство и не должно успевать за технологиями. Однако в такой ситуации можно рассчитывать только на добросовестность тех, кто работает с данными, а значит, раз нет законов, сработать может только кодекс этики.

Рожкова объяснила, перед кодексом не ставится задачи все отрегулировать сразу, он должен лишь формулировать вопросы (в том числе и о том, что должно регулироваться) и «позволить рынку оборота данных существовать».

Биометрия: осторожность и внимательность

Директор по исследованиям аналитического центра НАФИ Аймалетдинов Тимур рассказал, что думают о биометрических персональных данных россияне. Во-первых, они не понимают, почему должны делиться сведениями о себе. Во-вторых, считают, что данные не защищены (так ответили 54% опрошенных). В-третьих, стоят на позиции патернализма: данные отдам, но за их безопасность должны отвечать те, кто их собирают.

Наиболее удобными россияне считают идентификацию по отпечатку пальцев (34%) и по сетчатке глаза (17%). Дальше идет распознавание по лицу и по голосу (11% и 7% соответственно). Примечательно, что второй по популярности ответ – 18% — звучит как «ничего из перечисленного». Самыми надежными способами снова указана идентификация по отпечаткам пальцев и по сетчатке глаза (31 и 27%).

62% респондентов признают, что не способны защитить свою персональную информацию в Интернете. 40% испытывают тревогу, когда вводят данные на сайтах, но все же делают это. 17% страхом не терзаются. Больше всего пользователи доверяют банкам (58%), государству (52%) и мобильным операторам, которые заметно отстают от первых двух (33%). Аймалетдинов прогнозирует, что далее борьба государства и банков за доверие клиентов будет возрастать.

В качестве критериев надежности защиты данных респонденты назвали опыт родственников (24%) и знакомых в использовании сайтов, известность бренда (22%) и сложность процедуры входа в личный кабинет (12%). Рейтинг, рекомендации по защите от компании, аудитория, дизайн и пр. не имеют такого значения.

Куратор школы ИТ и безопасности HackerU Алексей Гришин постарался развеять мифы об опасности биометрии. По его словам, биометрические данные не хранятся в чистом виде – это неудобно. Из изображений берутся только ключевые точки, из которых строятся так называемые графы соответствия. Они-то и собираются в базах. Тем не менее стопроцентной безопасности все же не бывает. Так, основная потеря биометрических данных происходит при передаче их по каналам связи. Вторая уязвимость заключается в том, что на каждую логическую операцию требуется время, которое зависит от входных данных. Располагая точными измерениями времени для разных операций, атакующий может восстановить входные данные. Наконец, существуют технологии, позволяющие подменять отпечатки пальцев. Если данные украли, следует изменить алгоритм, которыми модифицировали входные параметры.

Самой главной защитой и здесь остаются осторожность и внимательность самих пользователей.

Компания Google первой из ИТ-гигантов подверглась штрафу за нарушение Общего регламента о защите данных (General Data Protection Regulation, GDPR), который вступил в силу в Европейском союзе в мае 2018 года.

Интернет-компания была оштрафована французским регулятором вопросов конфиденциальности данных CNIL за нарушение требований GDPR. Это первый подобного размера штраф с момента вступления GDPR в действие.

В CNIL заявили, что первые жалобы на Google поступили еще в мае 2018 года. Пользователи жаловались на то, что компания не имела законного права обрабатывать их персональные данные, особенно в целях последующей демонстрации рекламы. Претензии были поданы австрийской и французской группами защиты цифровых прав None Of Your Business (NOYB) и La Quadrature du Net (LQDN).

Пользователи не имели полного доступа к информации, связанной с обработкой их данных компанией Google, равно как и к порядку использования этих данных. Выяснилось, что пользователи не давали своего полного согласия, а там, где оно было получено, трактовка Google оказалась неоднозначной.

К числу сервисов, которые нарушают требования GDPR, относятся YouTube, Поиск, Карты, а также магазин приложений Google Play.

Впрочем, штраф в размере 50 млн евро совершенно несравним с максимально возможным в рамках GDPR наказанием, которое может достигать 4% от глобального годового оборота компании-нарушителя. Согласно отчетности, опубликованной Google в апреле 2018 года, ее годовой оборот составил 31,15 млрд долл.

В настоящее время NOYB рассматривает вопросы политик прав доступа тяжеловесов отрасли потоковых сервисов Netflix, Spotify и YouTube.

После аналитиза сервисов этих компаний – а также им подобных, в частности, Amazon и Apple – выяснилось, что потоковые сервисы нарушают Статью 15 Общего регламента, закрепляющую за субъектом данных право знать, подвергаются ли его данные обработке. Если подвергаются, он должен иметь доступ к соответствующим данным.

В пресс-службе Google ожидаемо заявили, что интернет-компания в своей деятельности придерживается «самых высоких стандартов прозрачности и контроля».

Выступление генерального директора Apple Тима Кука на 40-й Международной конференции по защите данных и конфиденциальности стало тревожным звонком, предупреждающим о том, что наши персональные данные активно собираются, обрабатываются, покупаются и продаются.

«Принадлежащая нам информация – от повседневной до глубоко личной – используется против нас с поистине боевой эффективностью, – цитирует Кука TechCrunch. – В результате процесса, который уже доведен до совершенства, создается цифровой профиль, позволяющий компаниям узнать вас лучше, чем вы знаете себя сами. Ваш профиль доступен набору алгоритмов, которые обрабатывают сведения о вас все более агрессивно, причиняя вред нашим безвредным предпочтениям. Последствия этого не стоит недооценивать. За нами следят повсюду».

Заявление довольно мрачное. Некоторые, впрочем, могут подумать, что Кук просто печется о собственных интересах. Бизнес-модель Apple заключается в продаже дорогих устройств, а не в монетизации ваших данных. Компания прилагает все усилия к тому, чтобы собирать как можно меньше данных, шифруя при этом как можно больше, и стремится анализировать данные (для Siri, Photos и т.д.) непосредственно на устройствах. На странице, посвященной конфиденциальности, преобладают не юридические, а маркетинговые термины, подчеркивающие, насколько Apple уважает тайну вашей частной жизни. И крики генерального директора компании о том, что из-за нарушения конфиденциальности «небо рухнет на землю», лишь помогают Apple продавать свои продукты. Не так ли?

Тим Кук прав

В тот же день, как будто сговорившись, New York Times опубликовала историю о термометре Kinsa. Обладателями этого термометра являются полмиллиона домохозяйств, а он, между тем, собирает данные о том, у кого температура повышена, а у кого нет, и продает их разным агрегаторам рекламы вроде Clorox, которые уже бомбардируют вас целевыми рекламными предложениями.

Ай-яй-яй, вы плохо себя чувствуете? Позвольте мне уведомить об этом моих рекламодателей, которые расскажут вам о дезинфицирующих салфетках…

В сегодняшнем мире умных гаджетов, простудившись, вы даже не можете измерить себе температуру без того, чтобы данные об этом не были собраны и проданы! И тут заявления Кука о так называемом «промышленном комплексе данных» уже не кажутся такими надуманными.

Что можно сделать?

Простое следование призыву покупать продукты Apple вряд ли поможет защитить ваши данные. Помимо того, что практически все они стоят очень дорого, компания еще и не собирается существенно расширять спектр своих устройств. В ближайшее время ждать от Apple умного термометра уж точно не приходится. Так что же нам делать?

В своем выступлении Кук обратился к регуляторам в США с просьбой защитить тайну частной жизни граждан. Для этого нужно придерживаться четырех правил: минимизировать объем собираемых о пользователях данных, обеспечить прозрачность самого факта и характера сбора, предоставить пользователям доступ к собранным о них данных и потребовать от компаний защитить данные о клиентах.

В одном из своих редких твитов Тим Кук похвалил GDPR и призвал к регулированию вопросов конфиденциальности в США

Все это очень напоминает закон GDPR, принятый в Евросоюзе. Неудивительно, что Кук похвалил в Twitter этот закон, назвав его примером удачной политики и проявлением политической воли.

Поддержка таких законодательных инициатив в США станет огромных шагом на пути к защите конфиденциальности. Даже если вы не проживаете в США, принятие соответствующего закона все равно вас затронет, если учесть, какое число крупных технологических компаний находится в Соединенных Штатах и каково влияние рынка США на потребителей высокотехнологичных продуктов. Политика, проводимая здесь, найдет отражение в самых разных уголках мира.

Между тем, возможно, вам просто не стоит покупать гаджеты, подключаемые к сети, если в этом нет острой необходимости, или попробовать отключить сетевые интерфейсы, если вы ими не пользуетесь. К примеру, если вы не используете функции «smart TV», просто отключите их.

В этом году в Китае без лишней шумихи опубликовали финальную версию нового государственного стандарта конфиденциальности данных, — еще более строгого, чем европейский общий регламент по защите данных GPDR, и уж во всяком случае гораздо более близкий к последнему, чем закон о данных.

Об этом напомнила Самм Сакс, старший научный сотрудник программы технологической политики американского Центра стратегических и международных исследований (CSIS), выступая на прошедшей в Лондоне конференции CloudFlare Internet Summit. До этого Сакс удалось обстоятельно пообщаться с человеком, который руководил разработкой проекта китайского закона о конфиденциальности.

Работа над китайским законом о безопасности Интернета началась еще в 2014 году, когда генеральный секретарь Коммунистической партии Китая Си Цзиньпин был назначен руководителем Центральной руководящей группы по делам киберпространства. Именно тогда слова «соблюдение кибербезопасности» были впервые внесены в китайское законодательство. Закон о кибербезопасности, вступивший в силу в июне 2017 года, охватывает множество областей, от критической инфраструктуры до руководства данными.

Сакс начала выступление, постаравшись развеять распространенные ошибочные представления о принципах работы Интернета в Китае, упомянув два, казалось бы, противоречащих друг другу факта.

Первое: в Китае развернута одна из самых обширных и сложных систем цензуры в мире. Второе: в то же самое время цифровая экономика в Китая — одна из самых развитых в мире. Со стороны может показаться, что введение крайне строгих правил конфиденциальности может противоречить последнему, но по словам Сакс, «цифровая экономика нужна для расширения возможностей коммерческих компаний, а средства контроля — для расширения возможностей государства».

«В правительстве осознали, что его способности контролировать и отслеживать новые технологии отстают от реальности и именно поэтому ввели в действие одну из самых обширных в мире систем законодательного регулирования в сфере киберпространства, — продолжила она. — Она опережает все остальные с точки зрения принципов регулирования цифрового контента — того, что в Китае называют 'критической информационной инфраструктурой' — и контроля над типами данных, которые могут поступать в страну и исходить из нее».

По ее словам, существует ошибочное представление о том, что в Китае в принципе не осведомлены о вопросах конфиденциальности данных: например, еще в прошлом году в китайских социальных СМИ появлялись гневные записи от пользователей, возмущавшихся тем, что их данные незаконно анализируются частными компаниями и продаются на черном рынке.

«Имел место ряд скандалов, и в конце прошлого года в Китае опубликовали первый в стране стандарт защиты данных, — напомнила Сакс. — В нем указаны очень подробные правила относительно согласия на использование, — условия, при которых компании могут собирать, обрабатывать, хранить, распространять и передавать ваши личные данные».

При этом по словам эксперта, китайский закон фактически создан «по мотивам» GDPR: «Я общалась с ведущим составителем этого стандарта, желая разобраться в целях его создания. Хотите верьте, хотите нет, но он был разработан по образцу GDPR, — в частности, он содержит положения, нацеленные на повышение степени контроля китайских пользователей над своей информацией».

GDPR затрагивает каждого ИТ-менеджера в Европе, но влияние этого обширного регламента о защите данных ощущается и за ее пределами. По словам Сакс, в некоторых китайских компаниях «пришли в ужас» от нового европейского закона, и вплоть до последнего дня перед вступлением его в силу в Китае оставались предприятия, которые «лихорадочно» принимали меры по выполнению требований GDPR: «Знаю компанию, в которой недоумевали — неужели теперь придется требовать от всех пользователей соглашаться с нашей политикой конфиденциальности. Эта и многие другие компании сейчас осваивают европейский рынок, и совершенно неясно, как они собираются обеспечивать соблюдение регламента».

«Танцы» с правительством

Генеральный менеджер Alibaba по региону EMEA (страны Европы, Ближнего Востока и Африки) Йемин Ван подтвердил, что в компании намерены наращивать активность в Европе, бросая вызов гигантам наподобие Google Cloud Platform и AWS.

Ван также подчеркнул, насколько велики масштабы деятельности Alibaba в Китае. Например, он сообщил, что в «день холостяков» — китайский аналог «черной пятницы» компания обрабатывает 360 тыс. транзакций в секунду, а ее приложение для онлайн платежей Ant Financial обслуживает более 500 млн пользователей.

Стремление гигантов вроде Alibaba и Tencent выйти за пределы домашнего рынка вполне очевидно. Совсем недавно в Alipay объявили о планах начать работу еще в 20 европейских странах в этом году.

Однако по словам Сакс, этим частным предприятиям постоянно приходится вести «танец» с китайским правительством, чтобы обойти барьеры, мешающие росту на местном и зарубежных рынках.

«Я общалась с представителями Alibaba и Tencent, и судя по тому, что мне удалось услышать, в Китае вы находитесь в относительно закрытой экосистеме, — я имею ввиду государственную политику в сфере киберпространства и ее влияние на возможность освоения мирового рынка. В компаниях вроде Alibaba хотят работать и на европейских, и на азиатских рынках, но это для них непросто, учитывая действия правительства. Вместе с тем, в апреле Си Цзиньпин выступил с речью, разъясняя свою позицию по киберпространству, в которой он в очередной раз говорил о том, что китайские онлайн-компании должны быть большими и сильными. В своем предыдущем выступлении он упоминал конкретные наименования — Alibaba, Tencent и Huawei. Так что, казалось бы, правительство готово способствовать глобальному росту. Другими словами иногда при наблюдении за этим 'танцем' возникает ощущение, что правительство заодно с компаниями-гигантами. В этой связи можно вспомнить высказывание основателя Alibaba Джека Ма по поводу его отношений с Пекином: 'Если вы кого-то любите, это не значит, что вам нужно сочетаться браком'».

Речь идет о компаниях, продолжает Сакс, чей успех невозможен без поддержки китайского правительства. С другой стороны, это частные предприятия, финансируемые из средств частных инвесторов.

«На мой взгляд, они смогут добиваться успеха на мировом рынке только если им удастся избавиться от государственного вмешательства, — добавила она. — Если говорить по поводу закона о кибербезопасности — крайне жестких нормативных инструментов, которые применяются к компаниям, Alibaba является одной из тех, к кому имеют самое прямое отношение механизмы контроля над передачей данных через границы. Alibaba пытается расширять активность в Европе и Азии, но как компании это делать, если у нее нет возможности отправлять данные за пределы Китая? Вот что я имею ввиду, говоря о 'танцах'».

Конкурирующие модели

Будучи мировой сверхдержавой, Китай имеет возможность предложить миру альтернативную модель политики в отношении Интернета. Запад внешне традиционно был витриной открытой демократической модели (правда, с тайной слежкой за пользователями без их ведома, как выяснилось в 2013 году благодаря Эдварду Сноудену, а также с отмененным в США сетевым нейтралитетом).

Но страны, менее подверженные американскому влиянию, могли бы активнее обращать внимание на Китай как на пример, которому можно следовать в области управления инфраструктурой и доступом к Интернету, полагает Сакс.

Недавно, например, закон о кибербезопасности, очень похожий на китайский, подготовили во Вьетнаме. А в Танзании тесно сотрудничают с китайскими законодателями, отвечающими за киберпространство, разрабатывая собственный план цифровой экономики, который предусматривает и средства цензуры, и локализацию данных, и ввод новых стандартов.

«Думаю, мы являемся свидетелями появления первой в истории альтернативной конкурентоспособной модели политики в отношении Интернета, — говорит Сакс. — Речь идет о Китае и странах, в которые Китай инвестирует, — в них начинают следовать примеру Пекина в том, что касается контроля над Интернетом. Во многих странах видят определенные плюсы китайской модели киберполитики — ведь Интернет можно использовать как оружие против людей, я имею ввиду ксенофобские высказывания, использование социальных сетей для пропаганды вражды в отношении национальных меньшинств, как в Мьянме. Для подобных стран, возможно, в методах Пекина есть свои преимущества. Не хочу, чтобы меня поняли неверно — я не думаю, что у китайского правительства есть некий грандиозный план продвижения альтернативы западной модели Интернета. На мой взгляд, в каких-то случаях в других странах самостоятельно принимают решение, видя определенные плюсы в китайской модели. Но в случае Танзании, например, действительно имеет место прямое участие и влияние Китая, направленное на распространение своей модели».