Защита персональных данных в мобильных приложениях: как не нарушить закон

Вот прямо с самого начала у автора полное непонимание ПДн.

Для начала мелкий комментарий, это еще не ошибка:

Для начала вспомним, что же из себя представляют персональные данные и зачем мы на каждом шагу соглашаемся с их обработкой.

Мы на каждом шагу соглашаемся с обработкой потому, что очень мало кто понимает в области обработки ПДн. Люди запрашивают согласие там, где они НЕ ИМЕЮТ ПРАВА его запрашивать. Например, если вы заключаете договор и используете ПДн исключительно в целях исполнения договора, то вы обрабатываете данные по закону. А если вы запросили согласие на обработку ПДн в этом случае, тогда вы ввели пользователя в заблуждение тем, что он может отозвать данное согласие, но в реальности это не так. Поэтому вы нарушили закон. И соответственно перед обработкой вы должны выяснить для себя на основании чего вы будете ПДн обрабатывать. И только в ОЧЕНЬ редких случаях брать согласие.

А вот дальше уже ошибки автора:

Грубо говоря, любая информация, которая позволяет однозначно идентифицировать человека, является ПДн. На примере ФИО: ФИО и номер телефона, ФИО и адрес электронной почты и другие сочетания имени и уникального идентификатора.

Это распространенные заблуждение. Например, человек купил в интернет-магазине анальную пробку, накладные груди и кучу косметики. Он оставил данные, которые позволяют ему доставить покупку с указание фио и адреса. Так вот ПДн в данном случае будут не просто фио и адрес. ВСЕ - в том числе и то, что он заказал - это ПДн.

Дальше по тексту возникает ощущение, что автор считает мобильное приложение обработчиком ПДн. Это в корне ошибочно. На телефоне приложение может иметь доступ ко всему содержимому телефона, но обработчиком ПДн до тех пор, пока приложение не передает что-то на сервер, является исключительно владелец телефона. Если же приложение передает ПДн на сервер, тогда уже владелец сервера (или автор или еще кто) становится обработчиком ПДн. И законность обработки определяется не тем, что владелец сервера подсунул пользователю портянку согласия. Поэтому меня, например бесит, когда голосование Единой России требует при авторизации через госуслуги от меня согласия на передачу моего телефона и дня рождения. Очевидно, что ни то, ни другое для процедуры голосования не требуется, и соответственно запрашивается не в целях проведения голосования, т.е. по факту НЕЗАКОННО.

Отсюда, имея ошибки в понимании базы, автор делает выводы...

как не нарушить закон

Можно попробовать не собирать персональные данные.

Открываем окна, сейчас будет душно. Есть постановление правительства РФ 687

1. Обработка персональных данных, содержащихся в информационной системе персональных данных либо извлеченных из такой системы (далее - персональные данные), считается осуществленной без использования средств автоматизации (неавтоматизированной), если такие действия с персональными данными, как использование, уточнение, распространение, уничтожение персональных данных в отношении каждого из субъектов персональных данных, осуществляются при непосредственном участии человека.

2. Обработка персональных данных не может быть признана осуществляемой с использованием средств автоматизации только на том основании, что персональные данные содержатся в информационной системе персональных данных либо были извлечены из нее.

Таким образом, получаем, что если человек руками вписал свои данные в БД приложения, а другой их выгрузил на стороне оператора - такая обработка не будет автоматизированной. Так что РКН может гулять со своими определениями про то, что любая обработка со средствами автоматизации - автоматизированная. А Правительство в данном случае наделено 152-ФЗ правом определять такие особенности. А вот, чтобы выгрузить из с телефона на сервер - пожалуйте в 21 ФСТЭК или 378 ФСБ (с скзи вообще беда на мобилках). Наткнулся на то, что мало операторов (и даже тех, кто им бумаги делает), кто это понимает и может отстоять свои права.

Кстати, п.4 все того же постановления гласит:

4. Персональные данные при их обработке, осуществляемой без использования средств автоматизации, должны обособляться от иной информации, в частности путем фиксации их на отдельных материальных носителях персональных данных (далее - материальные носители), в специальных разделах или на полях форм (бланков).

Так что просто оставить валяться данные в файловой системе нельзя. Тут, как минимум, нужно монтирование отдельного раздела (не работаю с мобилками, не знаю, можно так или нет, не кидайте камни, пожалуйста)

Не раскрыта тема шифрования данных при передаче от МП в систему(гост, tls), хотя вопрос очень важный, тем более в свете импортозамещения удостоверяющих центров.

Допустим есть сайт блог, для регистрации на нём нужна почта + пароль. Вопрос - почта в этом случае попадает под ПД? Если да, то можно ли её хранить в БД не шифруя? Также, достаточно ли простого https соединения для выполнения требований по передачи ПД? (От браузера пользователя на сервер)