На волне новостей про существенное ужесточение ответственности за утечки персональных данных и введение оборотных штрафов, хочу обратить внимание на нарушение которое ближе, чем кажется. Это сбор персональных и других конфиденциальных данных через Google Формы, а из них в Google Таблицы.
Встречаю этот кейс еженедельно. В школе собирают данные детей, включая медицинские данные, для оформления карт и льгот. Приходят приглашения и регистрации на мероприятия, в том числе от ИБ-вендоров. И естественно маркетологи любят использовать привычный инструмент.
Во-первых, использование Google Форм для сбора персональных данных нарушает законодательство (ФЗ №152) и связано с юридическим рисками.
- *️⃣ По закону, персональные данные российских граждан должны храниться на серверах (с использованием баз данных), находящихся на территории РФ. Сервера Google находятся за границей, а юр. лицо в процессе банкротства, следовательно, перс. данные из заполненных форм, попадают прямиком на сервера зарубежом. Это приводит к нарушению требований о локализации данных.
- *️⃣ При использовании Google Форм происходит трансграничная передача данных. В соответствии со ст. 3 ФЗ № 152 — это передача персональных данных на территорию иностранного государства органу власти этого государства, иностранному физическому или юридическому лицу. С 1 марта 2023 года компании обязаны уведомлять Роскомнадзор (РКН) о трансграничной передаче данных в любую страну до начала передачи.
Во-вторых, кроме прямого нарушения законодательства, есть и нарушение здравого смысла в сложившейся геополитической обстановке.
❓Что будет после того как Google удалит учетные записи российских пользователей и собьются настройки доступа у Google Таблиц? Данные точно не удалятся, а возможно и попадут в индекс поисковой системы и станут общедоступными. Блокирование аккаунтов это актуальная перспектива. Уже наблюдаются ограничения на получение СМС-уведомлений при регистрации новых аккаунтов, а лично мой аккаунт Google Data Studio (Looker) заблокировали без возможности экспортировать данные.
*️⃣ Кроме того, в условиях СВО, передача персональных данных в недружественную страну может повлечь целенаправленную "утечку" в сторону врага с пополнением базы для неправомерных и мошеннические действий.
Количество идентификаторов в отдельно взятой собранной форме конечно не большое, чтобы признать существенную утечку. Однако в совокупности они хорошо структурированы, являются целевыми и чувствительными - список учеников школы, ИТ-специалистов, главных ИБшников, и собираются прямиком в базу данных недружественного государства.
Исключите использование сервисов Google, российских продуктов существует достаточно для решения аналогичных задач.
Дискуссия