Узбекистан. Тотальная слежка или забота?

Что меняется в законе о персональных данных и почему это важно
Совсем скоро все персональные данные граждан Узбекистана нужно будет хранить на территории страны — это касается как местных операторов, так и зарубежных, например, Facebook или Telegram.
Что теперь изменится? Означает ли это, что СГБ получит доступ ко всем вашим фото и видео? К чему подобные законы могут привести и есть ли в них что-то полезное? Давайте разбираться вместе с Hook.report.

Что за поправка? Впервые слышу
С середины апреля вступит в силу поправка к Закону «О персональных данных», которая обязывает хранить все данные граждан Узбекистана на территории страны. Простыми словами, тем же Google и Facebook придется организовать здесь свои сервера, чтобы данные не перетекали за физическую границу.
«Собственник и (или) оператор при обработке персональных данных граждан Республики Узбекистан с использованием информационных технологий, в том числе во всемирной информационной сети Интернет, обязан обеспечить их сбор, систематизацию и хранение в базах персональных данных на технических средствах, физически размещенных на территории Республики Узбекистан и зарегистрированных в установленном порядке в Государственном реестре баз персональных данных», — говорится в дополнении.

Персональные данные — это мой номер телефона?
Не только. Персональные данные — любая информация, которая может идентифицировать человека. Это могут быть ФИО, дата и место рождения, пол, образование, место жительства, семейное положение, должность, и сложно представить, сколько тысяч компаний сейчас имеют доступ к данным практически любого человека.
Каждый из нас оставляет за собой цифровой след — мы соглашаемся на использование сведений о себе в банке, соцсетях, при установке приложений и еще в сотне других ситуаций. Между тем личные данные могут попасть к третьим лицам и использоваться во многих неприятных для нас сценариях.
Закон о персональных данных позволяет их удалить, изменить, а также потребовать отчитаться об их использовании, но не всегда. В некоторых случаях государство может получить к ним доступ.

Зачем государству это нужно?
Если персональные данные узбекистанцев будут находиться в другой стране, правительство не сможет контролировать выполнение местных законов — они не работают на чужой территории. Конечно, государство может потребовать от той или иной компании отчеты о безопасности хранения, но никогда нет гарантии, что эти отчеты будут правдивыми, поэтому теоретически новые поправки обоснованы.
Однако в законе не прописан запрет на параллельную обработку персональных данных за рубежом, и есть вероятность, что сведения узбекистанцев по-прежнему будут находиться за пределами республики, только в виде копий.
Подобные, но не идентичные законы действуют в Казахстане, Евросоюзе, Австралии, Вьетнаме, Индонезии, Индии, Канаде, Китае, Малайзии, Нигерии и т. д.
Основное отличие между странами в том, насколько хорошо государство соблюдает права и свободы своих граждан.

У правительства теперь будет больше контроля?
На первый взгляд получить доступ к персональным данным узбекистанцев будет не так уж и просто. Причины запроса должны соответствовать прописанным полномочиям того или иного госоргана (от МВД до СГБ), и если этого не будет, то им откажут в доступе.
Или не откажут, если в дело вступит дискреция.
Дискреция означает, что некоторые полномочия не указаны, но и не запрещены — закон их не регулирует, и это дает право госорганам действовать по своему усмотрению, что создает почву для злоупотреблений. Остается только надеяться на порядочность чиновников.

А если они будут злоупотреблять?
Прояснить ситуацию может опыт других стран. Например, России, где практически идентичный закон действует с 2015 года.
Истории о том, что в России кого-то в очередной раз посадили за экстремизм после публикации картинки с мемами, за репосты и даже за лайк, часто на слуху. И действительно, исходя из статистики информационно-аналитического центра «Сова», который ежегодно анализирует правоприменительную практику российского законодательства об экстремизме, количество подобных дел постоянно увеличивается.
Безоговорочный лидер по приговорам — пользователи «Вконтакте», пишет BBC. Согласно докладу «Совы» за 2017 год, 138 постов, привлекших внимание следователей, были размещены в «Вконтакте», по 2 — в Facebook, «Живом журнале» и на YouTube.
Судебная практика «Агоры» позволяет делать вывод, что администрация «ВКонтакте» активно сотрудничает со следственными органами, раскрывает данные пользователей, их адреса, телефоны, время выхода в интернет.
Но самое интересное в этой ситуации то, что некоторые уголовные дела возбуждали из-за картинок в закрытых альбомах. Выходит, настройки приватности могут снизить риск преследования, но не гарантируют стопроцентную защиту, пишет «Медуза».
Фейковый аккаунт — тоже не панацея. Женщина, которую посадили за картинку, опубликовала ее через фейковый аккаунт под другим именем и фамилией, а связь конкретного человека с конкретным профилем сотрудники органов установили с помощью данных, которыми делится социальная сеть.
Сложившаяся в РФ ситуация ярко иллюстрирует, как государство может использовать и локализацию данных, в том числе в своих интересах. Как это будет в Узбекистане — пока не ясно.
А еще подобные законы можно использовать как основание для блокировки иностранных соцсетей и сервисов. Именно таким образом в РФ заблокировали Linkedin, когда соцсеть отказалась хранить персональные данные российских пользователей на серверах, расположенных в РФ.
Локализация данных россиян у Facebook и Twitter обсуждается с IT-гигантами с 2015 года, пишет DW.

Как запретить обработку своих данных?
Запретить обработку личных данных можно всем, кроме органов государственного управления. Но отказаться предоставлять им данные без объяснения причин — законно.
Также данные можно изменить, и оператор обязан это сделать не позднее трех дней с момента такого обращения. Если же данные ложные, изменить их должны безотлагательно.
Отозвать согласие на обработку данных нужно в той форме, в какой оно было дано, — либо в письменной, либо в электронной. Например, если человек захочет, чтобы его персональные данные удалила мобильная компания, он должен обратиться именно туда. Как только согласие отзывается, данные уничтожаются.
Но оператор может и отказать в предоставлении информации, касающейся обработки его персональных данных, если:

• человек ранее был уведомлен об осуществлении обработки его персональных данных;
• персональные данные получены из общедоступного источника;
• предоставление такой информации приведет к нарушению прав и законных интересов физических и юридических лиц.

Уведомление об отказе должно прийти в письменной форме в течение десяти дней. Решение можно оспорить в суде.

А у наших ничего не пропадет?
Способны ли узбекские дата-центры обеспечить надежную защиту данных и не уступают ли они в этом международным компаниям?
На этот вопрос трудно ответить наверняка, но если вспомнить громкие случаи — утечку паспортных данных для IMEI, путаницу с данными по прописке и т. д., — то появляются сомнения по поводу технической готовности Узбекистана к реализации этой поправки.
Кроме этого, трудно представить, что за три месяца как местные, так и международные компании вроде Google успеют локализовать сервера в Узбекистане. Это трудоемкий и дорогостоящий процесс. Как упоминалось выше, в РФ с этим до сих пор есть проблемы, в результате чего происходят и блокировки, и постоянные суды. При этом в России к принятию подобного закона готовились за пару лет.
Пойдет ли этот закон на пользу гражданам Узбекистана или больше навредит — будет видно чуть позже. Сейчас он вызывает больше вопросов, на которые нет ответов. Как показывает практика, данный закон наиболее полезен для граждан в странах с развитой демократией, где закон работает одинаково для всех, а законодательство прописано четко и односмысленно.