Имена и паспортные данные граждан, оштрафованных за нарушение самоизоляции в Москве, оказались доступны для просмотра на сайтах оплаты штрафов по номеру начисления. Так, данные горожан можно увидеть путем перебора уникальных идентификаторов начислений (УИН, присваивается каждому штрафу) при помощи простого софта.
Так, начальник отдела информационной безопасности "СерчИнформ" Алексей Дрозд отметил, что собрать персональные данные методом перебора УИН вручную почти невозможно, зато программа в автоматизированном режиме сможет выполнить эту работу. Дрозд также рассказал "Коммерсанту", что для защиты от таких утечек система должна блокировать попытки многократного введения УИН, а сами данные должны публиковаться в частично обезличенном виде. Однако сайты для оплаты штрафов обычно не имеют никакой защиты от перебора, рассказал основатель компании DeviceLock Ашот Оганесян.
Напомним, штрафы в 4 тыс. рублей москвичам, которые обязаны находиться дома и соблюдать самоизоляцию, выписывает приложение "Социальный мониторинг", которое подвергается критике за необоснованные штрафы и неудовлетворительную работу в целом. По данным на 10 мая через приложение выписали 35 тыс. штрафов. При этом столичные власти называли маловероятными ошибочные штрафы, хотя некоторые постановления все же были аннулированы.
Комментируя сообщения о доступности данных горожан, в пресс-службе департамента информационных технологий (ДИТ) Москвы подчеркнули, что номер УИН предназначен только для привлеченного к административной ответственности гражданина, а если он передает третьим лицам или выкладывает в интернет скриншоты постановления с УИН штрафа (так делали некоторые москвичи, несогласные со штрафами), это не означает нарушения законодательства о персональных данных. Проверка начислений по УИН в любом сервисе идет через Государственную информационную систему о государственных и муниципальных платежах (ГИС ГМП), к которой ДИТ не имеет отношения. В Федеральном казначействе, которое ведет ГИС ГМП, комментарий не предоставили.
По мнению председателя комиссии по правовому обеспечению цифровой экономики московского отделения Ассоциации юристов России Александра Журавлева, наличие паспортных данных граждан в практически открытом доступе нарушает законодательство о персональных данных, а пострадавшие могут обратиться в Роскомнадзор с просьбой принять меры. Однако если регулятор все же назначит штраф в размере до 75 тыс. рублей, то он пойдет в доход бюджета, а не на компенсацию пострадавшим. Потребовать взыскания ущерба можно через суд, но до сих пор ни один такой иск не был удовлетворен.
