Ի՞նչ անել ֆինանսական ոլորտում խարդախությունների զոհ չդառնալու համար. Հարցազրույց

ArmDaily.am-ի հարցազրույցը Անձնական տվյալների պաշտպանության գործակալության պետ Գեւորգ Հայրապետյանի հետ։

-Պարոն Հայրապետյան, վերջին շրջանում բազմաթիվ ահազանգեր ենք ստանում քաղաքացիների վստահությունը չարաշահելով նրանց անձնական տվյալների օգտագործմամբ բանկերից և վարկային կազմակերպությոններից առցանց վարկերի ձևակերպմամբ հափշտակություններ կատարելու դեպքերի մասին։ Դուք արդյոք նման ահազանգեր ստացե՞լ եք, թե՞ ոչ եւ ի՞նչ քայլեր եք ձեռնարկել։

-Այո, տարբեր առիթներով նման ահազանգեր ստացել ենք: Որպես կանոն սոցիալական ցանցերում օգտատերերը մեզ նշում են համապատասխան գրառումների մեկնաբանություններում՝ երբեմն ի գիտություն, երբեմն որեւէ կոնկրետ հարցով խորհրդատվություն ստանալու համար: Եթե խոսենք կոնկրետ դիմումների վերաբերյալ, ապա տարբեր դեպքերում՝ կախված նրանից, թե ինչպես եւ ինչ խնդրանքով են Անձնական տվյալների պաշտպանության գործակալությանը դիմում, մեր լիազորությունների շրջանակում ընթացք ենք տալիս նման դիմումներին. տրամադրում խորհրդատվություն, իրականացնում ուսումնասիրություններ, հարցումներով ստանում պարզաբանումներ եւ այլն: Սակայն պետք է նկատի ունենալ, որ նման դեպքերում խոսք է գնում առերեւույթ հանցագործության մասին, ուստի, Գործակալությունը հիմնականում նման դեպքերում դիմումները վերահասցեագրում է ոստիկանությանը:

Տարեսկզբին նույնպես նման ահազանգ եղավ, երբ սոցիալական ցանցում օգտատերը նշեց, որ «չարագործն» իր անունից բանկից առցանց վարկ է վերցրել՝ օգտագործելով իր էլեկտրոնային դրամապանակի տվյալները (համապատասխան հավելվածը): Այս հրապարակման առիթով այլ օգտատերեր նույնպես նշեցին նման դեպքերի կամ նման դեպքերի փորձի մասին: Սա առիթ դարձավ, որ Գործակալությունը նախ համապատասխան հրապարակային խորհրդատվություն տրամադրի, բացի այդ սկսի համապատասխան ուսումնասիրություն. հունվարի վերջում համապատասխան հարցմամբ Գործակալությունը դիմել է ՀՀ-ում գործող բոլոր բանկերին՝ ստանալու համար տեղեկություն այն մասին՝ հնարավո՞ր է արդյոք առանց ֆիզիկապես առնվազն մեկ անգամ բանկ այցելելու և անձնապես նույնականացման գործընթաց անցնելու դառնալ բանկի հաճախորդ (բանկի հետ մտնել քաղաքացիաիրավական հարաբերությունների մեջ՝ ձեռք բերել իրավունքներ, պարտականություններ, օրինակ, ստանալ վարկեր այլն), եւ եթե այո, ապա Գործակալությունը խնդրել է նկարագրել առանց ֆիզիկապես բանկ այցելելու նույնականացվելու եւ բանկի հաճախորդ դառնալու ընթացակարգը և գործիքակազմը:

Ստացված տեղեկությունների ուսումնասիրության արդյունքում նաեւ հանդիպում ենք ունեցել բանկերից մեկի ներկայացուցիչների հետ, նաեւ աշխատանքային կարգով կապ ենք պահում Կենտրոնական բանկի մեր գործընկերների հետ, ինչպես նաեւ պարբերաբար հրապարակային խորհրդատվություն տրամադրում:

-Բանկերի գործունեության նկատմամբ վերահսկողություն իրականացնողը ԿԲ-ն է, բայց արդյոք այս մասով ԿԲ-ն ունի՞ որեւէ լծակ ազդելու բանկերի վրա, վերջիվերջո, օնլայն վարկավորումից բանկային բիզնեսը չի կարող հրաժարվել, հազարավոր քաղաքացիների համար այն փրկություն է, հարյուրավորների համար էլ՝ խարդախության միջոց։ Ի՞նչ անել։

-Կենտրոնական բանկի գործիքակազմի մասով հարցի հասցեատերը հենց Կենտրոնական բանկն է: Ինչ վերաբերում է անձնական տվյալների պաշտպանությանը եւ անձնական տվյալներ մշակող նոր գործիքներին, ապա գիտությունն ու տեխնոլոգիաները զարգանում են, եւ մի կողմից մարդիկ օգտվելու են դրա արդյունքներից, մյուս կողմից դա կարող է մարդկանց տվյալների ոչ իրավաչափ միջամտության նոր ռիսկեր առաջացնել: Բայց իրականում այստեղ երկընտրանիքի խնդիր չկա. անձնական տվյալների մշակման կանոնները եւ սկզբունքները սահմանված են Անձնական տվյալների պաշտպանության մասին օրենքով, վերաբերում են անձնական տվյալների մշակման բոլոր ձեւերին՝ եւ էլեկտրոնային, եւ ոչ էլեկտրոնային, եւ առցանց, եւ անցանց, եւ եթե տվյալները մշակվում են օրենքի պահանջների խախտմամբ, ապա կամ պետք է խախտումը վերացվի, կամ պետք է դադարեցվի տվյալների մշակումը՝ անկախ տվյալների մշակման ձեւից:

-Անձնական տվյալների գործակալությունը՝ որպես «Անձնական տվյալների պաշտպանության մասին» օրենքով լիազոր մարմին, ի՞նչ գործիքակազմ ունի ազդելու բանկերի վրա՝ որպես անձնական տվյալներ մշակող եւ տիրապետող, որպեսզի, օրինակ, ավելի կոշտ քաղաքականություն իրականացնեն գաղտնիության երաշխիքներ տրամադրելու մասով։

-Այս հարցի պատասխանը մասամբ նշվեց վերեւում. Անձնական տվյալների պաշտպանության մասին օրենքով սահմանված՝ տվյալների մշակման սկզբունքները եւ կանոնները վերաբերում են բոլոր անձնական տվյալներ մշակողներին՝ պետական կառավարման կամ տեղական ինքնակառավարման մարմիններին, պետական կամ համայնքային հիմնարկներին կամ կազմակերպություններին, ֆիզիկական եւ իրավաբանական անձանց, այդ թվում՝ բանկերին: Հետեւաբար, Գործակալությունը, որպես անձնական տվյալների աշտպանության լիազոր մարմին, այս դեպքում ունի օրենքով սահմանված այն նույն իրավազորությունները, ինչ այլ անձնական տվյալներ մշակողների դեպքերում: Օրինակ, ինչպես նշեցի առաջին հարցի պատասխանում, ուսումնասիրություն իրականացնելու իր լիազորության շրջանակում օրենքով սահմանված հարցմամբ Գործակալությունը դիմել էր բանկերին եւ բանկերը, որպես անձնական տվյալներ մշակողներ,  օրենքով սահմանված կարգով պարտավոր էին հարցումը ստանալուց հետո 5-օրյա ժամկետում Գործակալությանը տրամադրել տվյալների մշակման վերաբերյալ ակնկալվող տեղեկությունները: Ընդ որում, բանկերը պատրաստակամորեն համագործակցում են, եւ Գործակալությունն, օրինակ, բոլոր բանկերից ստացել է հարցմամբ ակնկալվող տեղեկությունները:

-Որքանո՞վ է նորմալ, երբ բանկերը հայտարարում են, թե քաղաքացին է տվել իր հեռախոսին եկած կոդը, իրեն հասանելի անձնական տվյալը, հետեւաբար իրենք ոչինչ չեն կարող անել։ Այսինքն՝ կոնկրետ այս հափշտակությունների դեմ քաղաքացին միայնակ է եւ անզոր, հատկապես եթե հաշվի առնենք, որ հանցագործությունները չեն բացահայտվում կամ բավականին ուշ են բացահայտվում, մասնավոր ոլորտը ձեռքերը լվանում է, պետությունը համալիր քայլեր չի ձեռնարկում լուծելու խնդիրը, իսկ մարդիկ հայտնաբերում են իրենց անունով ձեւակերպված միլիոնավոր վարկեր․․․

-Մենք այս հարցին առիթ ունեցել ենք անդրադառնալ խորհրդատվությամբ, երբ նշվել էր, որ հաճախորդի տվյալների պաշտպանությունը/անվտանգությունն առաջին հերթին հաճախորդի պարտականությունն է:

Անձնական տվյալների պաշտպանության մասին օրենքն անձնական տվյալների անվտանգության ապահովման հարցում տվալների սուբյեկտի համար սահմանում է իրավունքներ, իսկ պարտականություններ սահմանում է տվյալներ մշակողի համար, ավելին, օրենքը հենց տվյալներ մշակողի վրա է դնում անձնական տվյալներն անօրինական միջամտությունից ապահովելու, տվյալների անվտանգության ապահովման պարտականությունը:

Ուստի, նման բառակազմով ընդհանուր պնդումը, թե քաղաքացին է տվել իր հեռախոսին եկած կոդը, իրեն հասանելի անձնական տվյալը, հետեւաբար իրենք ոչինչ չեն կարող անել, խնդրահարույց է, այնքանով, որքանով կմեկնաբանվի օրենքին ոչ համապատասխան, այսինքն այն, որ մարդը սխալվել է եւ իր տվյալները տրամադրել է այլ անձանց, դեռ պատրվակ չէ, որ տվյալներ մշակողը հրաժարվի օրենքով սահմանված իր պարտականություններն իրականացնելուց:

Մյուս կողմից, պետք է նկատի ունենալ, որ սեփական անձնական տվյալների նկատմամբ ուշադրությունը, բնականաբար, կարեւոր նախապայման է անձնական տվյալների պաշտպանությունն ընդհանրապես եւ անձնական տվյալների անվտանգությունը մասնավորապես ապահովելու համար: Ուստի, ճիշտ չի լինի նաեւ հակառակ ընդհանուր այն պնդումը, թե ցանկացած դեպքում մեղավորը տվյալներ մշակողն է:

Կարծում եմ, որ նման դեպքերում ճիշտ կլինի հաշվի առնել կոնկրետ դեպքերը եւ ձեռնպահ մնալ ընդհանուր կատեգորիկ պնդումներից: Այսպես, մի դեպքում հնարավոր է, որ տվյալներ մշակողն իսկապես պատշաճ իրականացրած լինի տվյալների անվտանգության ապահովման իր պարտականությունները, ձեռնարկած լինի հնարավոր բոլոր կազմակերպչական եւ տեխնիկական միջոցները՝ տվյալների նկատմամբ անօրինական միջամտությունը կանխելու համար, իսկ տվյալների սուբյեկտը, անտեսելով կամ խախտելով տվյալների մշակման բոլոր պայմանները եւ կանոնները, անփութորեն հնարավոր դարձնի իր ինքնության գողությունը (identity theft, кража личности) եւ իր տվյալների անօրինական օգտագործումը: Եւ հակառակը, մեկ այլ դեպքում անկախ տվյալների սուբյեկտի անզգուշությունից՝ հաճախորդի ինքնության գողությունը կամ տվյալների անօրինական մշակումը հնարավոր է հաջողվի այն պատճառով, որ տվյալներ մշակողը չի իրականացրել տվյալների անվտանգությունն ապահովելու համար բավարար տեխնիկական եւ կազմակերպչական միջոցներ:

-Խնդրի լուծման ուղիներից մեկը, իհարկե, գրագիտության, զգոնության բարձրացումն է, բայց քանի որ սա երկարատեւ, հետեւողական աշխատանք է, արդյոք կարճաժամկետ քայլեր իրականացնելու հնարավորություն չկա։

-Տվյալների մշակման հարցերում մարդկանց գրագիտության, սեփական տվյալների նկատմամբ ուշադրության կարեւորության մասին իրազեկման բարձրացմանը զուգահեռ այլ քայլեր նույնպես արվում են. օրինակ, բոլոր բանկերի ներգրավմամբ սկսված գործընթացը, որի մասին նշեցի վերեւում: Նման քայլերն արվում են զուգահեռաբար, սակայն, մեր համոզմամբ, դրանք չեն կարող փոխարինել մարդկանց իրազեկման բարձրացմանն իրենց արդյունավետությամբ:

Օրինակ, 2020 թվականին անձնական տվյալների պաշտպանության բնագավառում առկա իրավիճակի վերաբերյալ հանրային հաշվետվտությամբ Գործակալությունը նշել էր, որ հաջողված կիբեռհարձակումների, տարբեր քաղաքացիների առցանց հարթակների էջերին տիրանալու եւ անձնական տվյալների արտահոսքերի դեպքերի ուսումնասիրությունը ցույց է տալիս, որ անձնական տվյալների անօրինական հասանելիություն հաքերները կարողացել են ստանալ որպես կանոն ոչ թե անձնական տվյալներ պարունակող տեղեկատվական համակարգերի անվտանգության արգելքները (տվյալների անվտանգության տեխնիկական միջոցառումները) հաղթահարելով, այլ տեղեկատվական համակարգերի կամ առցանց հարթակների օգտատերերին որեւէ կերպ կոտրելու միջոցով (օրինակ, ամենատարածված գործիքներից մեկը ֆիշինգն է): Որպես եզրահանգում՝ անձնական տվյալների պաշտպանության ոլորտում հիմնական խնդիրներից մեկը շարունակում է մնալ անձնական տվյալների պաշտպանության վերաբերյալ անիրազեկվածությունը եւ չիմացությունը: Այդ պատճառով է, որ շեշտադրում ենք հասարակության տարբեր խմբերի ուսուցումներն անձնական տվյալների պաշտպանության ոլորտում:

-Ի՞նչ խորհուրդներ կտաք մեր քաղաքացիներին ֆինանսական ոլորտում խարդախությունների զոհ չդառնալու համար։ Ի՞նչ անելիքներ եք տեսնում պետական քաղաքականության մասով, գուցե պետություն-մասնավոր համագործակցության արդյունքում։

-Նախ, որպես ուղենիշային ընդհանուր խորհուրդ՝ լավ հնարք է համացանցում անձնական տվյալների պահանջի ցանկացած դեպք պրոեկտել ֆիզիկական կյանքի վրա. օրինակ, տան բանալին մարդիկ չեն տրամադրում անծանոթներին, հետեւաբար, պետք չէ նաեւ առցանց հարթակների բանալիները (գաղտնաբառ, հարթակ մուտք գործելու վավերացման կոդ եւ այլն) տրամադրել այլ անձանց... կամ, մարդիկ փողոցում մոտեցած պատահական անցորդի չեն տրամադրի իրենց անձնագրի պատճենը, հետեւաբար համացանցում նույնպես պետք չէ անձնագրի լուսապատճենն ուղարկել անծանոթ պատահական օգտատերերի... կամ, եթե որեւէ նկար պաստառի վրա չէիք հրապարակի դրսում՝ բոլորի աչքի առաջ, ապա իմաստ ունի մտածել՝ արդյոք արժի այդ նույն նկարը հրապարակել սոցիալական ցանցում՝ բոլորի համար հասանելի (public) ձեւաչափով եւ այլն:

Ցանկացած կասկած պետք է մեկնաբանել ի օգուտ տվյալները չտրամադրելու: Եթե տվյալներ պահանջողը հանդես է գալիս որեւէ կազմակերպության անունից կամ որեւէ ընկերոջ նկարով, ապա ճիշտ կլինի կապի այլընտրանքային միջոցով (օրինակ՝ այցելելով կամ հայտի իրական հեռախոսահամարով) կապվել կազմակերպության կամ ընկերոջ հետ եւ ճշտել՝ իսկապես համացանցում հանդես եկողն իրենք են, թե՝ ոչ:

Կարեւոր է նաեւ ոչ թե պարզապես նշել, իբր ծանոթացել եք, այլ իսկապես ծանոթանալ հավելվածների, հատկապես՝ բանկերի, վարկային կազմակերպությունների, էլեկտրոնային դրամապանակների եւ անձնական անձնական տվյալներ մշակող այլ հարթակների գաղտիության քաղաքականությանը, տվյալների մշակման պայմաններին. դրանք որպես կանոն պարունակում են զգուշացում այն մասին, թե որ տվյալները երբեք չի կարելի փոխանցել այլ անձանց:

Եվ վերջապես, կարող են Գործակալության խորհրդատվություններին, ուղեցույցներին (հասանելի են այստեղ՝ https://moj.am/page/610), օրինակ, ուղեցույցին՝ ինչպես պաշտպանել անձնական տվյալները համացանցում եւ չդառնալ ֆիշինգի զոհ (հասանելի է այստեղ՝ https://moj.am/storage/uploads/2020Phishing.pdf), կամ գործակալության հրապարակային խորհրդատվություններին Գործակալության ֆեյսբուքյան էջում, ինչպես նաեւ կարող են ցանկացած կասկածի դեպքում կարող են դիմել Գործակալությանը՝ խորհրդատվության համար (Գործակալության ֆեյսբուքյան էջը՝ https://www.facebook.com/PersonalDataArmenia):