Законы об уведомлении о нарушении безопасности данных

В 2018 году в Австралии вступила в силу поправка к закону о приватности — англ. Privacy Amendment (Notifiable Data Breaches) Act 2017^[10]. Она внесла изменения в англ. Privacy Act 1988, установив обязательное уведомление об инцидентах утечки персональных данных, которые могут привести к тяжёлым последствиям. Теперь организации, подпадающие под действие закона, обязаны информировать как англ. Office of Australian Information Commissioner (OAIC), так и затронутых лиц о всех «значимых инцидентах нарушения данных»^[11]. Принятие закона было реакцией на крупные утечки, в том числе взлом Yahoo! в 2013 году, когда пострадали тысячи правительственных служащих, и инцидент с некоммерческой организацией Австралийский Красный Крест, опубликовавший данные о 550 тысячах доноров крови.

Критика закона связана с существованием необоснованных исключений для некоторых субъектов (например, малого бизнеса), а также с тем, что комиссар по приватности не обязан публиковать сведения о нарушениях данных в общем публичном реестре для последующих исследований. Кроме того, обязательства по уведомлению не унифицированы на уровне отдельных штатов^[12].

В середине 2017 года в Китае был принят новый закон о кибербезопасности (англ. Cyber security Law), который предусмотрел требования по уведомлению о нарушениях безопасности данных^[12].

В 1995 году Европейский союз принял англ. Data Protection Directive, который впоследствии был заменён в 2016 году на Общий регламент по защите данных (англ. General Data Protection Regulation, GDPR) — комплексный наднациональный закон о защите и уведомлении при утечке персональных данных. GDPR ввёл более строгие требования к защите и уведомлению об инцидентах, а также новые права, например, на переносимость данных. В ряде случаев нормы о нарушениях дополняются иными законами о безопасности данных^[12].

Пример — внедрение с 2009 года в Евросоюзе закона о специальных уведомлениях об утечках персональных данных у телекоммуникационных компаний и интернет-провайдеров (англ. Directive on Privacy and Electronic Communications)^[13]. Закон определяет ряд обязательств по информированию, в том числе обязанность удалить трафиковые данные после их использования или сразу после окончания срока необходимости хранения (для целей биллинга согласно Закону Европейского союза, статья 6, пункты 1-6^[14]). Для использования данных в маркетинговых целях требуется отдельное согласие абонента; также оператор обязан информировать о типах обрабатываемых данных и сроках хранения. Все операции должны быть ограничены необходимой целью, а доступ разрешён только уполномоченным лицам.

Обязательства по уведомлению включены и в Директиву о безопасности сетевых и информационных систем (NIS Directive), что распространяется на поставщиков цифровых услуг и важнейших инфраструктур. В случае серьёзных нарушений они обязаны немедленно информировать компетентные органы или команды реагирования на инциденты кибербезопасности (CSIRTS).

Как и в США, множественные и несовпадающие требования на уровне законодательства разных стран и отраслей создают сложности для компаний при реализации уведомительных процедур^[12].

В 2015 году Япония внесла поправки в закон о защите персональной информации (англ. Act on the Protection of Personal Information, APPI) в связи с масштабными утечками данных, в частности после скандала с компанией Benesse Corporation в 2014 году (утечка данных почти 29 миллионов клиентов). Новые нормы предусматривают уголовную ответственность за незаконную передачу данных, однако в самом APPI нет прямого требования об обязательном уведомлении о нарушениях. Вместо этого политика защиты персональных данных рекомендует добровольное раскрытие информации об утечках бизнес-операторами^[15].

Исследователи Каори Исии и Таро Комукаи объясняют это особенностями японской культуры: серьёзное порицание со стороны общества и СМИ ведёт к быстрой потере доверия, снижения стоимости бренда и даже к убыткам. Например, после утечки данных у компании Softbank в 2004 году потери составили 107 миллиардов иен, а Benesse Corporation потеряла 940 тысяч клиентов, после чего компании вынуждены добровольно раскрывать информацию об утечках^[15].

Хотя прямой связи между отсутствием формального закона и поведением компаний не доказано, наблюдается, что инциденты утечек данных в Японии ведут к серьёзному ущербу как репутации, так и финансам^[16][17].

Новый закон о приватности в Новой Зеландии (англ. Privacy Act 2020) вступил в силу 1 декабря 2020 года, заменив акт 1993 года. Новый закон сделал обязательными уведомления о нарушениях приватности^[18]. Организации, которые получают и хранят персональные данные, теперь должны сообщать о любых утечках, которые, по их мнению, могли или могут привести к серьёзному ущербу.

Законы об уведомлении о нарушении безопасности данных действуют во всех 50 штатах США, а также в Округе Колумбия, Гуаме, Пуэрто-Рико и на Виргинских островах США. По состоянию на август 2021 года ни одна попытка принять федеральный закон успеха не имела^[19].

Первый такой закон, подписанный в Калифорнии (англ. California Senate Bill 1386), был введён в 2002 году и вступил в силу 1 июля 2003 года^[20]. Закон появился в ответ на угрозу кражи личности и мошенничества^[7][21]. Согласно тексту закона, его требования распространяются на госорганы и бизнесы, работающие в Калифорнии и владеющие/использующие компьютерные базы данных с персональной информацией. При факте (или обоснованном подозрении) несанкционированного доступа к нешифрованной информации резидента Калифорнии необходимо уведомить его специальным образом. Закон также предусматривает отсрочку уведомления по требованию органов правопорядка, если это нужно для расследования преступления.

Большинство других законов штатов следуют базовой модели Калифорнии: компании должны незамедлительно (как правило, письменно) уведомлять клиентов об утечке^[22]. Далее законодательство было расширено для учёта медицинских и страховых данных. Отличия законов состоят прежде всего в порогах масштабности инцидента (например, уведомления Генерального прокурора штат требуется при затрагивании 500 или 1000 человек и более), требованиях по раскрытию информации, определении чувствительных данных и санкциях. Некоторые штаты (например, Калифорния) публикуют уведомления о нарушениях на официальных сайтах правительства. Если «чувствительная персональная информация» считается похищенной, компании обязаны уведомлять субъектов данных, если предполагается возможность значительного вреда^[23]. Уведомление об утечке зашифрованных данных или случаев без потенциального вреда обычно не требуется.

англ. National Conference of State Legislatures ведёт перечень принятых и предлагаемых законов. Законы в Алабаме и Южной Дакоте были приняты последними — в 2018 году.

Основные различия между штатами проявляются в порогах значимости нарушения, необходимости оповещения определённых органов, расширенности определения персональных данных и наказаниях^[12].

По состоянию на август 2021 года федеральный закон об уведомлении об утечке данных в США отсутствует. Первый соответствующий закон был предложен конгрессу в 2003 году, но не дошёл до обсуждения^[5]. Последующие попытки также не привели к результату^[5]. В 2015 году президент США Барак Обама предложил проект закона о 30-дневном сроке уведомления после обнаружения инцидента^[24], однако и он не вышел из комитета^[5].

Исследователи Хлотиа Гаррисон и Кловия Хэмилтон полагают, что одной из главных причин отсутствия федерального закона могут быть вопросы прав штатов: все 50 штатов имеют собственные, не совпадающие по содержанию законы. Существуют частные законы, обязывающие уведомлять об утечках в определённых ситуациях, например, Акт о Федеральной торговой комиссии, Закон Грэмма—Лича—Блайли и Закон о переносимости и отчетности медицинского страхования (HIPAA)^[12].

Большинство экспертов (например, Анджела Дэйли) считают, что разнородность законодательства штатов затрудняет соблюдение и повышает расходы на выполнение требований^[12].

Сторонники локальных (штатных) законов считают, что они обеспечивают большую гибкость и позволяют быстрее реагировать на изменения в области киберугроз, а также эффективнее тратить ограниченные ресурсы^[9]. В 2018 году большинство генеральных прокуроров американских штатов выступали против принятия единого федерального закона, который отменил бы положение их собственных^[25].

Причины возникновения утечек данных могут быть как техническими (например, ошибки в программном коде), так и экономическими (недостаточная кооперация между компаниями в вопросах безопасности)^[26]. Законы об уведомлении о нарушениях разрабатываются для предотвращения и минимизации ущерба компаниям и обществу.

Одной из самых опасных форм последствий утечек данных является кража личности. В этом случае злоумышленники используют полученные сведения для финансового мошенничества, незаконного получения медицинских услуг и даже для совершения преступлений под чужим именем^[27]. Согласно данным Федеральной торговой комиссии США, введение уведомлений об утечке данных позволило снизить случаи кражи идентичности на 6,1 % с 2002 по 2009 год^[28].

В целом, извещение об утечках данных приводит к снижению рыночной стоимости компаний: публичные компании теряют капитализацию после публикации сведений об инциденте^[29][30]. Прочие последствия — потеря доверия клиентов, снижение бизнеса, перерасход ресурсов и вероятность привлечения к юридической ответственности^[30]. Особую роль играет тип утёкших данных: компрометация чувствительной информации влечёт за собой серьёзные экономические санкции^[31].

Иски по поводу утечек данных в США обычно подают пострадавшие, требуя компенсации за кражу личности, эмоциональный ущерб и риск повторных убытков. Обычно это коллективные иски против крупных корпораций с использованием различных юридических оснований, а большинство дел заканчивается мировым соглашением или закрывается в суде^[32].