Содержание
Введение
В Казахстане практическая каждая банковская организация имеет свои приложения для пользователей, которые могут иметь доступ к своим счетам в режиме онлайн.
Приложения с каждым годом обновляются, добавляется новый функционал, некоторые банки становятся суперприложениями (приложение с большим количеством функций и сервисов, удерживающий пользователя в рамках одной экосистемы), имеющими свой маркетплейс по продаже не только техники, но и с возможностью заказа и доставки продуктов питания, а также с сервисами инвестиций, страхования, переводов и так далее.
В этом материале мы поговорим о функции переводов физических лиц в банковских приложениях, и как удобство может привести к нарушению вашей приватности, вплоть до сталкинга, а точнее киберсталкинга, так как действие происходит онлайн.
Сталкинг в законодательстве Казахстана
Сталкинг — это нежелательное, навязчивое внимание к человеку и его преследование. Психолог, координаторка стажерской программы «ИНГО. Кризисный центр для женщин» Хана Корчемная, объясняет:
Большинство сталкеров абсолютно здоровы и преследуют не всех подряд, а конкретных людей, которые не могут ответить им равноценно. Примеры преследования — настойчивые попытки общаться с человеком, несмотря на его нерасположенность к контакту (обычно навязчивые звонки и сообщения), слежка в реальной жизни или социальных сетях, подглядывание, попытки проникнуть в квартиру.
К тому же потенциальный сталкер может злоупотреблять системой банковских переводов: «Современная разновидность сталкинга — через онлайн-переводы денег: даже если преследователя заблокировали во всех соцсетях, с помощью денежных переводов он сможет оставлять сообщения».
В Казахстане законодательством не предусмотрена ответственность за сталкинг. Однако, если вы знакомы с человеком, который вас преследует, его можно привлечь к ответственности по статье 73 КоАП «Противоправные действия в сфере семейно-бытовых отношений». Например, преследователь — ваш бывший молодой человек или муж, с которым вы решили прекратить общение.
Если вы не знаете преследователя, но можете предоставить доказательства того, что за вами следят (видео, показания свидетелей, скриншоты переписок), наказать человека можно по статье 434 «Мелкое хулиганство». Она включает в себя оскорбительное приставание к физическим лицам.
Однако Жанна Урабахова, адвокат Алматинской городской коллегии адвокатов, отмечает:
В своей практике я ни разу не слышала, чтобы в Казахстане кого-то за оскорбительное приставание, именно навязчивых ухажеров, привлекли к ответственности даже по административному кодексу, к сожалению, пока преследование и навязчивые ухаживания не перерастут в серьезные нарушения типа угроз, избиения, попыток физической расправы, правоохранительные органы не могут наказать человека.
Дания Ермеккызы
Переводы без согласия + сообщение = нарушение приватности?
Функцию переводов поддерживает практически любой банк. Можно переводить на счета внутри банка, на счета других банков, есть опция международных переводов (если ваш банк, конечно, не включен в санкционные списки).
Некоторые банки включают дополнительно функцию добавления сообщения к переводу. Обычно данная функция работает внутри банковской системы определенной организации. При перечислении в другой банк хоть и можно добавить примечание, маловероятно, что получатель перевода увидит сообщение. Например, сообщения доступны только в переводах между клиентами Kaspi Bank, однако при переводе на счёт не клиента Kaspi сообщение прикрепить нельзя, либо же прикрепленное сообщение не будет отражено у получателя перевода денег.
Функционал переводов используют во многих целях: например, поздравить члена семьи или коллегу с днем рождения или с другим знаменательным праздником, возместить часть средств за обед, направить материальную помощь и так далее.
Однако некоторые люди могут злоупотреблять этим функционалом и заниматься киберсталкингом, то есть навязчивым преследованием жертвы в онлайн среде.
Так, минимальный перевод в приложении Kaspi равен 100 тенге, к нему можно прикрепить сообщение размером 50 символов, в Forte Bank — 70 символов, в Сбербанк — 40 символов.
Киберсталкеры даже в случае такого жесткого ограничения количества символов умудряются нарушать приватность клиентов банка в виде назойливых сообщений с переводом определённой суммы, как правило минимальной, чтобы перевод дошёл до получателя денег.
Обычно до нежелательных банковских переводов дело доходит лишь после того, как жертва киберсталкинга решила ограничить или заблокировать прием сообщений и звонков от киберсталкера в мессенджерах, социальных сетях и, собственно, в настройках самого телефона. В таком случае киберсталкер прибегает к использованию различных банковских приложений, где сидит объект киберсталкинга.
В связи с тем, что в Казахстане наиболее популярный банком является Kaspi bank, то, в первую очередь, киберсталкеры обращаются к его услугам переводов физическим лицам.
Киберсталкеру нужно знать номер телефона или счёт Kaspi Gold жертвы, чтобы перевести как минимум 100 тенге и прикрепить сообщение. Жертва, в свою очередь, не имеет возможности:
- ответить (дается на выбор лишь определенные ответные сообщения в виде подтверждения перевода, либо несколько эмодзи);
- внести отправителя денег в черный список;
- ограничить функционал сообщения, в части отказа от приема сообщений.
Невозможность блокировки аккаунта в приложении подтвердил и сам банк в ответе на вопрос одного из своих клиентов в социальной сети.
В договоре банковского обслуживания и иных документах Kaspi не указаны этические принципы общения с другими лицами посредством сервиса перевода, однако банк имеет возможность читать назначение перевода согласно Политики конфиденциальности и обработки персональных данных мобильного приложения Kaspi.kz. Этические принципы не указаны и не предусмотрены и у других банков, таких как Сбербанк, Forte Bank и др.
Проектируемая приватность
В целом же можно возразить, что клиенты согласны с предоставлением текущих банковских услуг, и «вредные» сообщения являются личной проблемой частных лиц, а не банка. Однако считаю, что банкам, с учётом роста популярности своих приложений и возможности коммуникаций по отправке и приёму сообщений, следует озаботиться вопросами проектируемой приватности (privacy by design).
«Проектируемая приватность» — это концепция, которую ещё в 90-х годах разработала Энн Кавукиан (Ann Cavoukian), Ph.D., Уполномоченный по вопросам информации и защиты приватности (Онтарио, Канада), в связи с постоянно растущими и системными проблемами информационных и коммуникационных технологий и крупномасштабных сетевых систем данных.
«Проектируемая приватность» исходит из того, что в будущем приватность, т.е. защита личной информации, не может быть обеспечена исключительно соблюдением нормативно-правовых актов; скорее, защита личной информации должна в идеале стать одним из высших приоритетов (более того, «правилом по умолчанию») в работе любой организации.
«Проектируемая приватность» охватывает целую триаду приложений: 1) информационные системы; 2) практику деловых отношений; 3) устройства, оборудование, сооружения и сетевую инфраструктуру.
Принципы «Проектируемой приватности» применимы ко всем типам личной информации, но в особенности — к строго конфиденциальным данным, таким как медицинские или финансовые данные. Степень защиты данных должна, как правило, быть соизмерима со степенью их приватности.
Цели «Проектируемой приватности» — защита личной информации и обеспечение персонального контроля над ней, а для организаций — получение устойчивого конкурентного преимущества. Эти цели могут быть достигнуты посредством применения следующих семи основополагающих принципов*:
1. Превентивные (проактивные) меры, а не только устранение последствий
Встраивание приватности в конструкцию системы должно быть активным, а не ограничиваться лишь мерами по устранению последствий. Такой подход предвидит и предотвращает случаи нарушения приватности еще до того, как они происходят. Подход «Проектируемая приватность» не ждёт, пока факторы риска материализуются, и отнюдь не предлагает средства лечения уже возникших проблем; наоборот, он стремится не допустить их возникновения. Иными словами, личная информация должна быть защищена до того, как система запущена в работу, а не после выявления нарушений приватности.
2. Приватность по умолчанию (Privacy by default)
Как известно, параметры по умолчанию часто являются определяющими (многие пользователи вообще их никогда не меняют). «Проектируемая приватность» стремится достичь максимальной степени защиты личной информации, гарантируя, что персональные данные защищены автоматически в той или иной информационной системе или деловых отношениях. Даже если индивид не предпринимает никаких мер, его личная информация остается надёжно защищённой. Не требуется никаких действий со стороны индивида для защиты личной информации, — система уже изначально содержит в себе необходимые установки.
3. Встроенная приватность (embedded privacy)
Защита персональных данных должна стать неотъемлемой частью архитектуры любой информационной системы или деловых отношений. Это не какой-то дополнительный компонент, внесённый в систему постфактум. В результате приватность становится краеугольным камнем системы. Иными словами, защита личной информации — это неотъемлемая часть структуры, полностью сохраняющая функциональность системы.
4. Полная функциональность с позитивной суммой (positive sum game)
«Проектируемая приватность» стремится учесть все законные интересы и цели «беспроигрышным» способом, т.е. получить в итоге положительную сумму результатов. Подход с нулевой суммой, при котором делаются ненужные компромиссы, является устаревшим. «Проектируемая приватность» не ищет предлогов для ложной дихотомии, таких, например, как укрепление безопасности системы в противовес защите личной информации, демонстрируя, что можно обеспечить и то, и другое.
5. Защита личной информации на протяжении всего цикла её сбора, хранения, обработки и уничтожения
Приватность должна быть встроена в систему ещё до начала сбора данных. Более того, эта защита должна надёжно распространяться на весь цикл хранения и обработки данных; иными словами, сохранность данных имеет важное значение для приватности от момента запуска системы и до конца её существования. Это гарантирует надёжное хранение данных, а по окончании их использования — надёжное и своевременное уничтожение. Таким образом, «Проектируемая приватность» обеспечивает полную сохранность данных на протяжении всего цикла.
6. Доступность и прозрачность
«Проектируемая приватность» стремится гарантировать всем заинтересованным сторонам, что, вне зависимости от вида бизнеса или технологии, система действительно работает в соответствии с заявленными принципами и целями (это должно быть подтверждено независимой проверкой). Все компоненты и операции «Проектируемой приватности» остаются прозрачными и доступными, как для пользователей, так и для обеспечивающих данный вид сервиса. Иными словами, доверяй, но проверяй.
7. Уважение приватности пользователей: система должна быть ориентирована на пользователя
«Проектируемая приватность» требует от разработчиков и операторов системы соблюдения, в первую очередь, интересов индивидуальных пользователей. Это достигается такими мерами, как защита личной информации по умолчанию, своевременное уведомление о сборе личной информации, предоставление пользователю свободы выбора в удобной и понятной форме. Иными словами, система должна быть ориентирована на пользователя.
*Перевод Dr. Sagi Leizerov and Ekaterina Shangina, Ernst & Young LLP; and Dr. Alex Stoianov, IPC Адаптация под терминологию приватности перевода сделана Сергеем Воронкевичем в 2017 г.
Изменения:
1) возврат в текст термина «приватность», который был заменен в переводе на «конфиденциальность» во избежание путаницы с одноименным принципом информационной безопасности (см. ISO 27001);
2) термин transparency переведен дословно как «прозрачность» (в первом варианте перевода — открытость);
3) термин privacy by default переведен как «приватность по умолчанию».
Российский контекст
В России уже задумались о проблематике переводов без согласия получателя. В июне 2018 года Центральный Банк России разместил для публичного обсуждения проект изменений в положение «О правилах осуществления перевода денежных средств». Документ предусматривает установление обязанности банков запрашивать у клиентов согласие на зачисление денег на счет, в случае если при переводе использовался «идентификатор, позволяющий однозначно установить номер банковского счета».
Как сообщает Газета РБК со ссылкой на ЦБ России, поправки направлены, например, на то, чтобы исключить случаи перевода денег на счета клиентов без их согласия через интернет и мобильные приложения, если в качестве идентификатора используется только номер телефона. Банки, согласно новым правилам, должны будут запрашивать у клиента разрешение на зачисление средств в случае, если номер используется в качестве идентификатора.
Фото: Руслан Шамуков / ТАСС
В информационном агенстве banki.ru пользователи задавали данный вопрос Сбербанку. Например, одна из пользователей пожаловалась, что приложение не имеет функционала по блокировке пользователя в отличие от мессенджеров. Другие комментаторы поддержали автора поста и пожаловались, что получают назойливые сообщения, в том числе угрозы, однако сменить номер не могут, так как пользуются им продолжительное время. Учитывая, что абонентский номер в большинстве сервисов играет роль логина для входа в аккаунт либо используется в двухфакторной аутентификации, то переход на новый номер в условиях современного мира является проблематичным. Представитель Сбербанка заявил, что запрос был передан разработчикам Сбербанк Онлайн, однако запретить другому человеку отправлять деньги с комментариями они не могут.
Вывод
В условиях, когда функции банковских приложений становятся всё больше и шире, а сами приложения становятся суперприложениями, вопрос защиты приватности пользователей этих приложений должен ставиться на первое место. Пользователь при использовании супераппа не должен чувствовать дискомфорт, стресс, чувство преследования и уязвимость от найзойливых сообщений и угроз от киберсталкеров. Банки, как и социальные сети и мессенджеры, должны активно включаться в упорядочивание средства коммуникации между пользователями, при этом сохранив конфиденциальность данных. Каким образом это сделать — указано ниже в рекомендациях.
Рекомендации
Банковским организациям рекомендуется предусмотреть возможность следующих настроек приватности пользователя:
- внесение в черный список пользователей;
- отказ в получении денежных переводов от незнакомых пользователей (так называемый белый список);
- отказ в получении денежных переводов в принципе (по номеру телефона или по номеру счета);
- ограничение получения сообщений к денежным переводам. Соответствующая настройка приватности пользователя показывается в виде уведомления отправителю перед направлением перевода.
Image from netxonline.net
