Search
Write a publication
Pull to refresh
13
1.4
Игорь Агиевич @shanker

Инженер по безопасности (AppSec) в финтехе

Send message

 Достаточно почитать любое лицензионное соглашение - продавец ни за что не несет ответственности

Вы сейчас про какую юрисдикцию? В РФ есть Закон о защите прав потребителей, п 16 которого указывает на ничтожность условий договора, нарушающих законы РФ. И этот же закон действует на приобретаемое ПО (п 3 Обзора судебной практики по делам о защите прав потребителей" (утв. Президиумом Верховного Суда РФ 20.10.2021)). Так что лицензионное соглашение, где "продавец ни за что не несет ответственности" - не имеет юридической силы.

Добавлю, что я в целом не против ИИ. И не буду искать оператора по принципу где нет ИИ. Я против реализации "для галочки": когда невозможно пробиться к оператору (в случае бесполезности ИИ в конкретной ситуации). Ну, и подход: "ИИ переспросит абонента через 20 мин и если тот не успеет ответить - закроем обращение", - для меня тоже показатель качества обслуживания и отношения к пользователю.

Банк России опубликовал кодекс этики в сфере разработки и применения искусственного интеллекта для финансовых организаций. В т.ч. кодекс рекомендует компаниям информировать клиентов, когда они взаимодействуют с ИИ, и давать возможность отказаться от такого взаимодействия.

Проверяли на звонке именно Мегафона? То, что от других ИИ можно так перейти к оператору - я в курсе. Но, Мегафон, видимо, решил, что это слишком просто. Поэтому когда на звонке голосом зовёшь оператора - просит сообщить тему обращения "для перевода на оператора". А после озвучивания - оператора не зовёт, а предлагает какие-то несвязанные ответы. И так по кругу.
У меня примерно такой диалог был:

- Оператор.
- Уточните: вопрос связан с недоступностью интернета?

- нет

- в вашей зоне обнаружены проблемы со связью, мы ими уже занимаемся. Есть ещё вопросы?

- Оператор

- Уточните: вопрос связан с недоступностью интернета?

- нет

- в вашей зоне обнаружены проблемы со связью, мы ими уже занимаемся. Есть ещё вопросы?

И так по кругу. Если это масштабное исследование как можно быстро раздражать людей - то тут просто 100% попадание в яблочко.

На МТС: у них лучше покрытие сети в тех местах ЛенОбласти, где мы бываем (проверял). А ещё - есть возможность получить лучшие условия тарифа за меньшие деньги. Вопрос смены оператора и так давно витал в воздухе, сейчас ИИ стал последней каплей.

А ещё - Мегафон надоел спамом. Пришлось обращаться в УФАС. Вот по моему обращению возбуждено дело: https://spb.fas.gov.ru/news/12344

Похоже, речь идёт о первой инстанции. Т.е. точку в деле рано ставить. Есть ещё апелляция, кассация, Верховный Суд (+ Конституционный, но, я не знаю могут ли там права защищать компании, а не физ лица). Вопрос в том как далеко захочет зайти МТС в обжаловании.

Забыл добавить. Я работаю в финтехе AppSec инженером. В т.ч. участвую в триаже закрытой багбаунти программы. И ни разу в процессе триажа мы не взаимодействовали с PR службой.

А при чём тут PR служба? Речь шла об официальной bug bounty программе (например: https://bugbounty.bi.zone/). Думаете, технические отчёты в рамках обращения по приватной bug bounty разбирают не технические специалисты, а PR?

получил за два года через суды больше миллиона рублей компенсаций от недобросовестных рекламораспространителей

В какой-то части раскроете детали? В скольких случаях ответчики перечислили эти средства после решения суда самостоятельно? В скольких случаях пришлось самому добиваться исполнения решения суда и как именно: в банк (где есть счёт ответчика) с исполнительным листом или в федерльную службу судебных приставов? В скольких случаях уже не получить причитаемое т.к. ответчик обанкротился?

Важное замечание: вопрос о налогообложении сумм компенсации за причиненный моральный вред остается открытым на сегодняшний день.

Тоже увлекаюсь юриспруденцией (в основном по ГПК), самостоятельно участвую в судах (не имея юридического образования). Есть чем поделиться. Данный вопрос с 2022 года уже не является открытым:

Пункт 62 Постановления Пленума Верховного Суда Российской Федерации от 15 ноября 2022 года № 33 "О практике применения судами норм о компенсации морального вреда"

Ввиду того, что моральный вред признается законом вредом
неимущественным, государственная пошлина подлежит уплате на основании
подпункта 3 пункта 1 статьи 33319 Налогового кодекса Российской
Федерации (далее – НК РФ).
При этом судам следует иметь в виду, что в предусмотренных законом
случаях истцы освобождаются от уплаты государственной пошлины.
Например, от уплаты государственной пошлины освобождены истцы по
искам о компенсации морального вреда, причиненного нарушением
трудовых прав гражданина, морального вреда, возникшего вследствие
причинения увечья или иного повреждения здоровья или смерти лица,
морального вреда, причиненного преступлением либо в результате
незаконного уголовного преследования, морального вреда, причиненного
ребенку, морального вреда, причиненного нарушением прав потребителей
(подпункты 1, 3, 4, 10 и 15 пункта 1 статьи 33336 НК РФ, пункт 3 статьи 17
Закона Российской Федерации «О защите прав потребителей»).

закон не запрещает присудить мизерную компенсацию, например, в размере одного рубля

Пункт 30 Постановления Пленума Верховного Суда Российской Федерации от 15 ноября 2022 года № 33 "О практике применения судами норм о компенсации морального вреда"

Судам следует иметь в виду, что вопрос о разумности присуждаемой
суммы должен решаться с учетом всех обстоятельств дела, в том числе
значимости компенсации относительно обычного уровня жизни и общего
уровня доходов граждан, в связи с чем исключается присуждение
потерпевшему чрезвычайно малой, незначительной денежной суммы, если
только такая сумма не была указана им в исковом заявлении.

Я уже проверил очень простой способ предоставления данных о доходах (для официально трудоустроенных): в Госуслугах запросить справку о доходах (вроде, 2 НДФЛ). Через сутки или раньше будет готова справка с цифровой подписью. Справку с этой цифровой подписью скачиваем, и далее через ГАС "Правосудие" (https://ej.sudrf.ru) прикладываем к материалам дела (или в рамках иска или в рамках ходатайства, если к иску сразу не приложили). Цифровая подпись будет показателем легитимности документа. Делал так по гражданским делам - пока проблем никаких не было. Если не считать игнорирование судами первых инстанций при расчёте моральной компенсации: судьи первых инстанций, которые мне попадались, до сих пор не в курсе этого Постановления (а апелляция, что была - считает его необязательным - и вообще не очень разбирается во всех его пунктах).

Жаль, что подобные статьи не пользуются по пулярностью в профильных каналах в сфере блокчейна. Там основные тезисы: если бы были уязвимости, блокчейн бы умер, а взломщики бы обогатились. Тем более есть всякие багбаунти программы с большой выплатой. Из этого (по их мнению) следует, что блокчейны безопасны. Тот простой нюанс, что внедрение таких бекдоров в криптографии нужно не для того, чтоб украсть деньги у пользователей и подорвать доверие в блокчейну, а чтобы контролировать финансовые потоки (США вряд ли отказались от этой идеи со времён утечки секретных международных торговых соглашений TISA) им в голову не приходит. Игнорируют они и чудное везение у биткоина (сильно увеличившее его капитализацию) там, где у других были бы очень большие проблемы - надовящее на мысли о помощи сильных мира сего.

Да, я в 2023 году предлагал такое решение (но, там есть нюансы).

Цитата из той статьи

Для проверки выпуска новых сертификатов можно сделать следующее: сначала получить текущую хеш-сумму записей о сертификатах для домена (вместо DOMAIN вставить свое доменное имя). Лучше использовать формат JSON для уменьшения объема получаемых данных.

wget -O DOMAIN -nv "https://crt.sh/?CN=DOMAIN&output=json" 1>&2 2>/dev/null | md5sum DOMAIN >DOMAIN.md5

Далее необходимо сравнить значения с эталоном:

wget -O DOMAIN -nv "https://crt.sh/?CN=DOMAIN&output=json" 1>&2 2>/dev/null | md5sum DOMAIN|md5sum -c DOMAIN.md5

У этого способа есть нюансы. Во-первых, сервис crt.sh может периодически не работать. Во-вторых, опыт показал, что при выпуске нового сертификата на сайте появляется 2 записи. Сначала появляется запись типа precertificate и только через некоторое время, в дополнение к precertificate, появляется новая запись типа leaf certificate. Возможно, лучшим решением будет независимый мониторинг записей CT Logs.


Ну, и процесс отзыва нелегитимных сертификатов открыт: так и не нашёл готового мануала - просто рекомендация обращаться туда, где серт был выпущен (сколько по времени займёт от запроса до отзыва и какие есть подводные камни - информации не нашёл тогда).

В части штрафов - обошли самое важное: условие для этих штрафов. Например, п 12-14 ст 13.11 КоПА РФ указывает условия по утечкам, за который предусмотрен штраф (согласно п 6 закона с изменениями к КоАП):

12. Действия (бездействие) оператора, повлекшие неправомерную передачу (предоставление, распространение, доступ) информации, включающей персональные данные от одной тысячи до десяти тысяч субъектов персональных данных и (или) от десяти тысяч до ста тысяч идентификаторов, если эти действия (бездействие) не содержат признаков уголовно наказуемого деяния, -

влекут наложение административного штрафа на граждан в размере от ста тысяч до двухсот тысяч рублей; на должностных лиц - от двухсот тысяч до четырехсот тысяч рублей; на юридических лиц - от трех миллионов до пяти миллионов рублей.

13. Действия (бездействие) оператора, повлекшие неправомерную передачу (предоставление, распространение, доступ) информации, включающей персональные данные от десяти тысяч до ста тысяч субъектов персональных данных и (или) от ста тысяч до одного миллиона идентификаторов, если эти действия (бездействие) не содержат признаков уголовно наказуемого деяния, -

влекут наложение административного штрафа на граждан в размере от двухсот тысяч до трехсот тысяч рублей; на должностных лиц - от трехсот тысяч до пятисот тысяч рублей; на юридических лиц - от пяти миллионов до десяти миллионов рублей.

14. Действия (бездействие) оператора, повлекшие неправомерную передачу (предоставление, распространение, доступ) информации, включающей персональные данные более ста тысяч субъектов персональных данных и (или) более одного миллиона идентификаторов, если эти действия (бездействие) не содержат признаков уголовно наказуемого деяния, -
влекут наложение административного штрафа на граждан в размере от трехсот тысяч до четырехсот тысяч рублей; на должностных лиц - от четырехсот тысяч до шестисот тысяч рублей; на юридических лиц - от десяти миллионов до пятнадцати миллионов рублей.

Т.е. для этих штрафов нужно: чтоб утечка была масштабной. А также разобраться с вопросом, что такое "неправомерная передача идентификаторов"

Статья выглядит так, будто её написал человек без юридического опыта. Никаких ссылок на КоАП. Никакого обоснования: что именно (какие действия приводят к наличию и составу правонарушения) является правонарушением, приводящим к штрафу и чем это обосновывается. Я лишь подскажу, что речь про ответственность по ст 13.11 КоАП РФ и её дополнение согласно Федеральный закон от 30.11.2024 N 420-ФЗ "О внесении изменений в Кодекс Российской Федерации об административных правонарушениях".

P.S. Проблема затрагивания юридических вопросов людьми без юридического опыта - не редкость. Мне в багбаунти программах часто представители компании отвечают что-то вроде "телефон клиента не является персональными данными". Вот что бывает, когда юридические вопросы остаются в зоне отвественности технических специалистов.

Что очень-очень сложно составить нормальное заявление, которое будет рассмотрено по существу.

Учитывая, что есть целый год (с момента вынесения определения Верховного Суда) на составление жалобы в КС РФ? И кучу материала на сайте самого суда о том, какие ошибки бывают в зявлении, какие рекомендации по составлению, какие требования в каких нормативных актах регулируют возможности КС РФ в части жалоб граждан? А также кучу определений\постановлений (с фильтрами) на сайте КС РФ, где можно поискать какие постановления и по какой причине выносились КС по аналогичным жалобам? В теории за год можно успеть составить 2 жалобы: первую "черновую". А после получения определения КС РФ об отказе в рассмотрении - составить вторую, учитывая результат по первой.

Что реально сложно - так добиться рассмотрения по существу жалобы в Верховный Суд РФ - там вполне легально делают отписки при отказе в передачи дела в Судебную коллегию, не обосновывая как суд пришёл к такому выводу. И это по закону не является нарушением (КС РФ тоже об этом говорил). У КС РФ же отписок я не видел.

Насчёт "типового отворота КС РФ" - что Вы этим хотели сказать? Что КС РФ делает отписки? Или что люди, подающие в КС РФ, не желают прочитать требования к жалобе (учитывая, что на сайте КС РФ есть целый раздел для этого)? Сам этим разделом пользовался при составлении жалобы в КС РФ, И почему КС РФ у Вас особняком стоит? В другие инстанции требований к заявлению как будто нет? Вкратце - у КС РФ есть особенность: нужно описывать какие именно статьи Коституции РФ были нарушены принятыми ранее определениями\решениями судов. При этом это нарушение должно быть видно в тексте решения, а не в материалах дела (т.к. КС РФ по закону материалы дела не изучает). Поэтому все эти жалобы, что КС РФ не стал рассматривать т.к. нарушен порядок (сразу в КС РФ, а не после Верховного Суда), материалы дела не изучают или игнорируют нарушение судами таких-то норм права (при этом не указывая какие статьи Конституции этим нарушаются) - это аргументы в пользу бедных: "вот я там что-то в жалобе написал в свободной форме - пусть КС РФ разбирается. А нет - буду рассказывать об ужасной стране, где суды не работают"

Если говорить про КАС РФ (просто у меня ещё опыт и по ГПК и даже по УПК), то первая инстанция - 300 руб, апелляция - 3 000 руб, кассация - 5 000 руб. Сейчас предстоит Верховный Суд - там 7 000 руб. Всё это есть в налоговом кодексе: НК РФ Статья 333.19
Конституционный - вроде, не зависит от формы КАС/ГПК/УПК и стоит 450 руб.
Вашем случае, видимо, стоит ещё разобраться - что именно в иске: оспаривании (полностью или частично) нормативных правовых актов (нормативных актов) государственных органов или о признании ненормативного правового акта недействительным и о признании решений и действий (бездействия) государственных органов, органов местного самоуправления, иных органов, должностных лиц незаконными: там разные пошлины (и, возможно, сроки подачи жалобы).

P.S. Если хотите сэкономить себе время (хотя всё равно его потратится немало даже так) - рекомендую поискать в каталоге Конституционного Суда решения по аналогичным делам: КС РФ - это, можно сказать, истина в последней инстанции, его решения обжалованию не подлежат. В отличие от Верховного Суда, у которого тоже есть поиск по решениям, но они могли быть оспорены в Конституционном Суде и потому не слишком стоит на них ориентироваться. При этом на сайте Конституционного Суда можно искать решения прям по статьям Конституции - через расширенный поиск (по ст 29 ч 4 выдал 747 решений). А по поиску в тексте решения "Роскомнадзор" - 3 решения (могу ошибаться, но, кажется эти решения не про Ваш случай)

Поиск по "Роскомнадзор"
Поиск по ст 29 ч 4 Конституции РФ



Я сам выработал по спорным моментам такой подход: ищу постановления Пленума Верховного Суда по определённым делам (их не так много) - вот они обязательны для нижестоящих судов - в части разъяснений нижестоящим судам по вопросам применения и трактовки законов (ст 126 Конституции РФ, п 4 Постановления Пленума Верховного Суда РФ от 19.12.2003 N 23 "О судебном решении"). Обычно этого уже достаточно для понимания ситуации. Но, иногда приходится лезть в поиск решений Конституционного Суда (а поиск там не очень, и очень много результато приходится разгребать). В редких случаях - ещё искать решения предстоящих судов (https://sudact.ru/) - т.к. в решении Конституционого Суда не указаны номера дел и приходится ещё по фамилии и суду искать решения. На сайте соотвествующего суда может не быть решения. Но, есть его номер - и с ним идти искать решение через https://sudact.ru/

Пару моментов от меня как опытного любителя ходить по судам самостоятельно:
1. Подать в любой суд (начиная с уровня районного и до кассационного) можно онлайн через https://ej.sudrf.ru/
2. Обжалование действий\ бездействия - в порядке КАС ст 218 Срок обжалования - 3 месяца (КАС ст 219). Судя по тексту статьи, сроки давно прошли. Как вариант - попробовать написать повторну жалобу. И уже после ответа на неё - обжаловать. Но, тут придётся хитьрить и переделывать - т.к. велика вероятность получить ответ вроде: "ответ по существу был Вам направлен в рамкаж предыдущей жалобы" - сильно сомневаюсь, что суды будут рассматривать жалобу на такой вот ответ: скажут, сроки судебного обжалования в прошлый раз пропущены - это не повод "хитрить" и пытаться ожаловать ответ по предыдущей жалобе.

буду подавать в Таганский районный суд Москвы, с пожалуй, не самой лучшей репутацией​. Ну а дальше пожалуй, Конституционный суд.

Понимаю желание дойти сразу до Конституционного суда. Но, огорчу Вас. Путь туда такой: подача в суд первой инстанции, апелляция, кассация, Верховный суд. А только после - Конституционный. И, кстати, рекомендую сразу посмотреть размер пошлин на каждый из этих шагов: там прям не бюджетно. Если нужно - могу чуть подробнее расписать всё это (со ссылками) - как время найду

У меня была другая практика: уже после моего увольнения HR компании связался со мной, объясняя, что мне нужно изменить резюме: их не устраивает, что я указал некоторую информацию о выполняемой работе в их компании. Выслушав их предложения о переформулировках - отказался, т.к. ничего не устраивало уже меня. Через какое-то время со мной связались их юристы по тому же вопросу. У меня сложилось впечатление, что они пытаются меня запугать: начали рассказывать о последствиях - в т.ч. указывать статьи из уголовного и административного кодексов. На мой вопрос: что конкретно из резюме, на их взгляд, попадает под эти правонарушения - выяснилось, что они сами толком не знают: что у меня в резюме. Но, это не мешает им гнуть свою линию о последствиях. Сказал, что готов изменить формулировку, если предложат устраивающую меня + договоримся о выплате: я трачу кучу личного времени на общение с сотрудниками компании, а время - деньги. После чего от меня отстали.

1
23 ...

Information

Rating
1,659-th
Location
Санкт-Петербург, Санкт-Петербург и область, Россия
Registered
Activity