Правительство официально заявило: за MAX перед гражданами не отвечает

Минцифры указало, что Правительство не вступает в договорные отношения с пользователями MAX, а при взломе аккаунта гражданин должен самостоятельно обращаться к оператору, в Роскомнадзор, МВД или в суд. При неработающей техподдержке ведомство предлагает направить бумажное письмо в ООО «МАХ».

Напомним, что мы обратились с запросом в Правительство РФ о том, кто является оператором персональных данных при использовании MAX и соответственно – кто несет ответственность за утечки при его использовании, а также - какие обязательства принимает на себя Правительство РФ, принимая распоряжения об использовании MAX гражданами?

Эти вопросы требуют срочного разрешения, поскольку при использовании МАХ граждане сталкиваются с противоправными действиями третьих лиц, но остаются без какой-либо защиты, помощи и поддержки.

При этом, руководствуясь вышеуказанными распоряжениями Правительства РФ, отказаться от использования МАХ многие граждане не могут, коль скоро не хотят лишиться работы, конфликтовать в школе или хотят просто записаться на прием к врачу.

1)    С кого должен быть «спрос», у кого просить помощи и защиты, кого наделить ответственностью за ошибки, возможно, Правительство РФ?

Отвечая на наш запрос, директор Департамента развития государственных платформ Минцифры России Я.О. Ярополов разъясняет: «По вопросам, связанным с обязательствами Правительства Российской Федерации, отмечаем следующее. Определение Правительством Российской Федерации организации, обеспечивающей создание и функционирование сервиса MAX, не означает вступления Правительства Российской Федерации в договорные отношения с пользователями сервиса.»

Безусловно, с точки зрения законодательства, Правительство РФ не является субъектом правоотношений, однако, это орган государственной исполнительной власти, который организует реализацию внутренней и внешней политики Российской Федерации (п. 1 ч. 1 ст. 13 Федерального конституционного закона от 6 ноября 2020 г. N 4-ФКЗ "О Правительстве Российской Федерации".

Кроме того, обязанность Правительства "обеспечивать реализацию национальных целей, национальных проектов, формировать... планы действий и обеспечивать их реализацию" (п. 5 ч. 1 ст. 13 ФКЗ N 4) носит достаточно абстрактный характер.

В связи с изложенным, осуществление созидательной функции Правительства РФ зависит от основы, от возможности созидать. Поэтому действительно, Правительство РФ наделено распорядительно-властными полномочиями, но не может и не должно вторгаться непосредственно в правоотношения, заменить собой их субъектов и принять на себя их обязательства, грубо говоря, не может сделать само чужую работу.

2)    Тогда возможно, наделить ответственностью можно только оператора персональных данных мессенджера МАХ?

На вопрос о том, кто данным оператором является, нам разъяснено: «Согласно действующей Политике конфиденциальности сервиса MAX и сведениям реестра операторов персональных данных Роскомнадзора ООО «МАХ» является оператором персональных данных, обрабатываемых в целях регистрации пользователей, предоставления и обеспечения функционирования основного функционала сервиса MAX. При использовании отдельных цифровых сервисов состав участников обработки персональных данных может различаться. В частности, при передаче сведений из государственных информационных систем ООО «МАХ», в предусмотренных

Политикой конфиденциальности случаях, осуществляет обработку персональных данных, получаемых из соответствующей государственной информационной системы. Организация, получающая сведения по инициативе пользователя, а также разработчик отдельного приложения выступают самостоятельными операторами персональных данных в отношении полученных ими сведений.

Таким образом, оператор персональных данных определяется с учетом конкретного функционала сервиса, состава обрабатываемых сведений, целей и правовых оснований их обработки. Сведения об операторах персональных данных, за исключением сведений о средствах обеспечения безопасности персональных данных при их обработке, размещаются Роскомнадзором в общедоступном реестре по адресу: https://pd.rkn.gov.ru/».

То есть оператора нужно еще установить.

Как это сработает на практике – непонятно. Если возникнет судебный спор, либо будет рассматриваться уголовное дело, либо дело об административном правонарушении, то помимо прочих больших хлопот, придется еще и устанавливать субъектный состав: искать ответчика или лицо ответственное, доказывать, устанавливать и тп – все это будет самостоятельное дело внутри основного дела.

И как общаться с оператором? Все жалуются, что техническая поддержка практически полностью отсутствует, на заявления и вопросы никто не отвечает.

В запросе мы этот вопрос тоже подняли, на что получили рекомендацию о направлении письменное обращение по адресу ООО «МАХ»: 125167, Москва, Ленинградский проспект, д. 39, стр. 79.

И как эта рекомендация коррелирует с возможностью защититься? Например, у гражданина похитили его аккаунт, нужно заблокировать. Очевидно, что такая ситуация требует действовать немедленно. А пострадавшему придется идти на почту отправлять бумажное письмо?

«В связи с этим, законодательством предусмотрена совокупность способов защиты: обращение к оператору сервиса, государственный контроль Роскомнадзора, обращение в правоохранительные органы и судебная защита. Отсутствие ответа службы технической поддержки не препятствует направлению письменного обращения непосредственно в ООО «МАХ», а также обращению в Роскомнадзор, МВД России или суд в зависимости от характера нарушения».

Да, с правовой, формальной точки зрения, все так и есть, все правильно. Но реализуемо ли на практике? Идти в суд – нужно нанять юриста, а дело рассматривается месяцами, в МВД заявление могут не принять, не установив состав правонарушения или нарушителей. И куда идти, что делать обычному человеку?

Вот здесь задача оператора – защитить, обезвредить угрозы и профилактировать их, обеспечить всесторонней технической поддержкой.

Таким образом, со стороны оператора или операторов персональных данных многофункционального сервиса МАХ не предпринято достаточно действий, направленных на эффективное и безопасное использование сервиса.

3)    Тогда может быть, в данном случае нас защитит само по себе законодательство о персональных данных?

В ответе на наш запрос указано: «Положения Пользовательского соглашения применяются постольку, поскольку они не противоречат обязательным требованиям законодательства Российской Федерации, и не могут ограничивать установленные законом права пользователя на защиту персональных данных, возмещение убытков и компенсацию морального вреда».

Указанные положения и не ограничивают права, но и никак их не защищают, поскольку оператор ПД (владелец исключительных прав на МАХ) в данном случае счел возможным ограничиться общими формулировками, размытостью и обобщенностью целей ОПД.

Возможно, простых смертных данный вопрос и вовсе не интересует, тк не все читают пользовательское соглашение. Для граждан главное – безопасность, наличие надежной и эффективной технической поддержки.

Мессенджер MAX интегрируется с Единым порталом государственных и муниципальных услуг и позволяет совершать различные финансовые операции, такие как денежные переводы и оформление сделок купли-продажи, без предъявления паспорта.

В соответствии с Федеральным законом от 8 июня 2020 г. N 168-ФЗ "О едином федеральном информационном регистре, содержащем сведения о населении Российской Федерации" ранее был установлен порядок сбора персональных данных для единого регистра сведений о населении, который предусматривает порядка 30 видов сведений о личности, включая информацию об имуществе, акты о рождении, смерти.

Такой подход противоречит части 2 ст. 5 Федерального закона от 27 июля 2006 г. N 152-ФЗ "О персональных данных", согласно которой обработка персональных данных должна ограничиваться исключительно достижением конкретных, заранее определенных и законных целей.

Мессенджер, который позиционируется как национальная цифровая инфраструктура, не может считаться серьезным, если при взломе аккаунта его владелец фактически остается один на один с мошенниками.

К нам обращаются тысячи граждан, которые сообщают, что направляли обращения в техническую поддержку MAX по поводу взлома аккаунтов. По их словам, они не получили ни одного ответа, который позволил бы оперативно заблокировать доступ злоумышленников или восстановить контроль над аккаунтом.

Это уже не вопрос удобства интерфейса. Это вопрос безопасности.

Вместо работающей поддержки гражданину предлагают самому установить, кто именно обрабатывал его данные, собрать доказательства, определить ответственного оператора, обратиться в Роскомнадзор, МВД или суд, а если не удалось восстановить доступ — направить бумажное письмо в ООО «МАХ». При этом человек должен потратить время и деньги на юридическую помощь, хотя техническая информация, необходимая для проверки инцидента, находится у самого оператора.

Получается, оператор контролирует систему и все технические данные, а гражданин должен доказывать, что система его не защитила.

Куда это годится? Человеку взломали аккаунт, связанный с важными цифровыми сервисами или аккаунтом ребенка, а в ответ ему предлагают не экстренную блокировку, а бюрократический маршрут: поддержка, бумажное письмо, надзорный орган, полиция, суд. И это при том, что само ведомство прямо признает: техническая поддержка может не ответить.

Такой сервис нельзя считать надежной национальной инфраструктурой. Это частная платформа с публичными амбициями, но без понятного механизма публичной ответственности и оперативной помощи гражданам.

Поэтому перед регистрацией в MAX стоит задать себе простой вопрос:

Если мой аккаунт взломают, кто конкретно и в какой срок защитит меня, моего ребенка и мои данные?

Из ответа Минцифры это не следует. Следует только, что разбираться с последствиями гражданину придется самостоятельно — за свой счет и в свободное от работы время.