#регулирование

Сегодня, французский регулятор SNIL оштрафовал гугл на 50 миллионов евро за нарушение GDPR (может, не такой уж и пшик получится).

Найденные нарушения:
1. Сложно понять, что гугл делает с нашими данными — информация об этом разбросана между несколькими документами, для доступа к некоторым из них требуется 5-6 кликов.
2. Компания утверждает, что получает разрешение пользователей на сбор их личных данных для персонализации рекламы, но это разрешение не имеет законной силы по двум причинам:
i) новый пользователь не до конца понимает, на что он соглашается — нет единого документа со списком сервисов, информация о пользовании которыми агрегируется и анализируется вместе;
ii) а) разрешение не «явно» — галочки проставлены заранее. По закону, человек должен отметить их своей рукой, чтобы согласие имело силу; б) разрешение не «детализировано» — список собираемой информации скрыт за ссылкой «больше настроек», её можно проскочить целиком; этот пункт должен быть обязательным этапом.

Будет ли гугл подавать аппеляцию (какой там вообще процесс аппеляции?) и, что гораздо важнее — будет ли он менять процедуру регистрации из-за этого штрафа? Напомню, что 50 миллионов евро — это только начало. Максимальный штраф — до 4% годовой прибыли компании — 5 миллиардов долларов. 🍿🍿🍿

3 года потребовалось Роскомнадзору, чтобы догнать, что стратегия FB, Twitter, Google и вообще всех западных компаний (кроме Microsoft) в отношении законов о локализации данных в России — тянуть время и ничего не делать. В ответ, Роскомнадзор подаст на них в российский суд и тот оштрафует компании на … 50 долларов.

Мастеркард крупно накололся, а The Verge сделал работу журналиста.

Новые правила Mastercard будут относится только к физическим товарам :( Как можно было допустить такую ошибку в пресс-релизе компании стоимостью 206 миллиардов долларов? Не боги горшки обжигают.

Центробанк РФ, твой шанс! И даже депутаты! Вот он, полезный закон.

Спасибо Денису Золотареву за наводку. Приношу вам свои извинения, дорогие подписчики.

Правительством России опубликованы правила идентификации в мессенджерах. Вообще, это указание мессенджерам (и операторам связи), как реализовать закон, принятый почти год назад. No news, расходимся...

tl;dr: все аккаунты в мессенджерах должны быть привязаны к номеру телефона. Телефоны у нас все регистрируются на паспортные данные → профит.

Для аккуратной обработки краевых случаев, например, смены владельца номера, операторам связи нужно хранить таблицу соответствия «номер телефона - аккаунт в соцсети» и рассылать всем соцсетям уведомления, например, при разрыве контракта клиентом. Добавьте к этому MNP (смену оператора с сохранением номера) и получается куча программирования на стороне операторов и мессенджеров. Всё это расписано в постановлении. Вот четырехстраничный pdf, можете сами его прочитать.

Практическое следствие — нельзя сделать легальный в России мессенджер, у которого пользователи не привязаны к номерам телефонов.

А ещё — документ в определении «мессенджера» aka «сервиса обмена мгновенными сообщениями» cсылается на федеральный закон «Об информации, информационных технологиях и о защите информации». Я не уверен, но, судя по определению, либо email тоже является мессенджером, либо все federated протоколы могут спать спокойно. Ну что, gmail, как там у тебя с интеграцией с МТС и Билайном? Дорогой РКН, кажется, я знаю какой сервис нужно срочно заблокировать ради борьбы с терроризмом и прочей педофилией. Соблюдайте свои законы-2018.

P.S. Вот нормальный разбор от Т-Ж, респект им.

Признаюсь, я откладывал реализацию GDPR в RAWG, думал «вот получу комментарий от наших дорогих (в смысле оплаты) юристов и потом буду действовать согласно их рекомендациям».

А потом прочитал вот эту статью «истерия по поводу GDPR» и понял, что для малого и среднего бизнеса юристы по поводу GDPR нафиг не сдались.

Я лично двигаюсь по отличному чеклисту и интерактивному тесту от UK ICO (нет, Британия не выпускает криптовалюту, это Information Commissioner's Office, аналог, как ни странно, Роскомнадзора).

Ну и самое важное — acting in good faith. У меня сильно наследие российских реалий, где нужно соответствовать букве закона, иначе любой регулятор (при желании/заказе) тебя нагнет и 7 шкур снимет. Все, с кем я общаюсь про GDPR повторяют — пойми дух закона, действуй по нему, если не уверен — попроси помощи у своего местного регулятора. Если посмотреть со стороны, «взглядом марсианина» — так и должно всё работать.

EFF (в лице Кори Доктороу) разразился длинной (23 экрана!) статьей «почему DRM это плохо».

Идея в том, что технологическая часть менее важна, чем закон, который запрещает ковырять DRM.

Во-первых, по этому закону вполне себе можно посадить любого исследователя безопасности, ищущего уязвимость в системе. Особенно если он постит свои открытия о стыдных ошибках в твоем продукте у себя в твиттере (см предыдущий пост).

Во-вторых, корпорации используют его для борьбы с конкурентами. Шифруешь свой контент с помощью DRM -> если кто-то его расшифрует (а это обычно не сложно) -> тут же подаешь на него в суд.

Этот закон позволяет перевести многие битвы из технической плоскости в юридическую.

https://www.eff.org/deeplinks/2017/10/drms-dead-canary-how-we-just-lost-web-what-we-learned-it-and-what-we-need-do-next

Интересно, что самое большое заблуждение о биткоинах — их анонимность.

Одна из основ биткоина — полная прозрачность всех транзакций. Всем видно, кто кому и сколько передал.

Есть два способа сохранить анонимность:

1) купить биткоины анонимно, за наличные (вот самая большая биржа, где можно найти продавца https://localbitcoins.com)

2) воспользоваться миксером — сервисом, который примет монеты от разных людей, смешает их вместе и вернет вам деньги на другой кошелек

У каждого из способов есть проблемы:

1) если в биткоины придет государство — скорее всего оно запретит анонимную продажу монет (борьба с терроризмом, как обычно)

2) доверять миксерам — это как доверять банкам, только хуже.

Есть и анонимные криптовалюты, но угадайте, какие incentives будут у государства, поддерживающего криптовалюту?

Мне кажется, у многих компьютерщиков (особенно западных) есть иллюзия, что в цифровом пространстве можно быть более свободным, чем в обычной жизни. У вас, знакомых с Роскомнадзором, надеюсь, таких иллюзий нет.

Власть IT-мега-корпораций меня пугает. FAMGA: Facebook, Apple, Microsoft, Google и Amazon контролируют практически всю цифровую жизнь планеты. При этом, в отличие от государств не имеют даже видимости прозрачности и подконтрольности обществу.

Вот свежая история-страшилка. Журналист-ученый исследует судебное дело Челси Мэннинг, смертные приговоры и многое другое. Данные многих лет исследований хранит в Google Docs. Youtube блокирует её видео по спорным претензиям → блокирует Youtube аккаунт, а потом — и основной Google аккаунт со всеми гугл-доками. Брр.

https://alexaobrien.com/archives/3647

Кажется, пора как с телефонными сетями — считать, что крупнейшие онлайн-сервисы — это уже в каком-то смысле public goods и регулировать их соответствующим образом.