Спам по дружбе

Мой адрес электронной почты <ailev@asmp.msk.su> входит в число первых ста пятидесяти Интернет-адресов, выданных еще в бывшем СССР. Мне он дорог как память, и я не хотел бы его менять. Но у него есть существенный недостаток: "с возрастом" на него приходит все больше и больше непрошеных (unsolicited) писем. Злобные спаммеры бродят по Сети и выискивают адреса. Находят они и мой. В результате бездушные роботы присылают мне мегабайты приглашений немедленно купить акции, срочно завести сверхвыгодный домашний бизнес и познакомиться с горячей Молли, которая ждет меня прямо на сайте под системными часами.

В последний год спаммеры начали просить помощи у моих друзей - и не без успеха. Обычно спаммеры покупают друзей задешево, организуя какую-нибудь лотерею или предлагая пустяковый бесплатный сервис. Типичная схема: в Сети вывешено приглашение дать информацию о почтовых адресах друзей, а в обмен предлагается возможность выиграть CD-плейер или даже ноутбук. Люди падки на дармовщинку и, в обмен на обещание включить в список розыгрыша, с удовольствием делятся информацией о друзьях. Ведь это же не допрос партизан? Это же сделка!

Далее уже друзья получают не просто письмо от какой-то фирмы, а личное приглашение от товарища поучаствовать в дальнейшем сборе списка, сообщив фирме информацию уже о друзьях друзей.

Спаммер не дремлет. Он спит и видит, как ему стучат ваши почтовые адреса, а еще лучше - пользовательский профиль. Он готов купить эту информацию. И перепродать ее затем кому угодно. Или просто использовать в коммерческих целях. Или даже в некоммерческих - он, например, с удовольствием (или даже без удовольствия) поделится накопленной информацией с сотрудниками спецслужб. Не нужна никакая СОРМ - друзья помогут...

Эта схема гуляет по Сети с мелкими вариациями. Инфоартовская "перепись населения" - как раз из той же серии. Международный характер Сети делает возможным участие россиян и в иностранных пирамидах - только сегодня меня (и еще человек пять, из которых я знал двоих) кое-кто пригласил поучаствовать в очередном розыгрыше призов в США. Спаммер тщательно замаскировал, кто именно, - мне не нужно знать друзей-стукачей...

Есть и другие схемы. Некоторые мои друзья любят, например, разослать в сотню известных им адресов понравившийся им анекдот. Обычно это хорошие анекдоты. Но однажды после подобной рассылки какой-то из друзей друга-анекдотчика вдруг ответил replay all, и все получатели вечерней шутки вдруг приняли с утренней почтой его коммерческую рекламу.

Еще один вид дружеского спама - "святые письма". В них обычно объявляется какая-либо жуткая напасть (страшный вирус, божья кара, отсутствие миллиона пользователей ICQ, перевод бесплатной службы на платную и т. д.) и указывается путь "спасения": немедленно разослать текст письма всем своим друзьям. Иначе хана.

Использовать ваши персональные данные можно и не так грубо. Например, я дал свой Интернет-адрес, чтобы узнавать о семинарах РОЦИТ из соответствующего списка рассылки. В ноябре я получил пока только одно сообщение о семинаре, зато уже несколько пресс-релизов о веб-активности фирмы "Ви6". Я понимаю близость коммерческих интересов этой фирмы сердцам большинства руководителей РОЦИТ. Но налицо нецелевое использование моей персональной информации. Это легко остановить, каждое сообщение РОЦИТ содержит инструкцию по прекращению подписки. Но как тогда я буду узнавать о семинарах, для чего изначально и был предназначен список?

Я думаю, что все эти неприятности случаются не по злому умыслу, а от незнания принципов защиты персональных данных, известных как "кодекс честных информационных практик". Эти международно признаваемые принципы были впервые формально зафиксированы европейской организацией ОЭСР (Организация экономического сотрудничества и развития) в 1980 году. США и Канада тоже их признали. Принципы вводят ограничения на сбор и использование персональных данных, подразумевают ответственность указания цели сбора данных, декларируют необходимость открытости, прозрачности, подконтрольности, а также важность прав индивидуального доступа и исправления. Цитирую все восемь:

• Ограничение сбора. Ограничивает сбор персональных данных; данные должны быть получены законным и честным путем и, где это возможно, при знании или согласии субъекта данных.
• Качество данных. Персональные данные должны соответствовать целям, для которых они должны быть использованы, и в этом отношении должны быть точны, полны и актуальны.
• Спецификация цели. Цели, для которых собираются персональные данные, должны быть специфицированы не позднее, чем ко времени сбора данных, а последующее использование данных ограничивается удовлетворением этим целям или другим таким, которые не являются несовместимыми с этими целями, и подобная спецификация происходит при каждом случае изменения целей.
• Ограничения использования. Персональные данные не должны раскрываться, делаться доступными или другим образом использоваться для целей, не специфицированных в соответствии с Параграфом 9 [принцип спецификации цели], за исключением:
  а) с согласия субъекта данных или
  б) в соответствии с законом.
• Средства безопасности. Персональные данные должны быть защищены разумными средствами безопасности от таких рисков, как потеря или несанкционированный доступ, уничтожение, использование, модификация или раскрытие данных.
• Открытость. Должна быть общая политика открытости по разработкам, практикам и политикам в отношении персональных данных. Должны быть всегда доступные средства для установления существования и природы персональных данных, главной цели их использования, как и их подлинности, а также обычного местонахождения контролера данных.
• Индивидуальное участие. Индивидуум должен иметь право
  a) получать от контролера данных (или иначе) подтверждение, имеет ли контролер данные, относящиеся к нему;
  b) при общении с ним получать относящиеся к нему данные
  
  
  i) в разумное время,
  
  ii) за не избыточную плату, если она есть,
  
  iii) разумным способом и
  
  iv) в форме, действительно доступной ему для понимания;
  
  c) узнавать причины отклонения запросов по подпараграфу (a) или (b) и быть способным оспорить такие отклонения;
  d) оспаривать данные, относящиеся к нему, и, если это успешно, получить стирание, очистку, завершение или актуализацию данных.
• Подотчетность. Контролер данных должен быть подотчетен за соблюдение мер, которые позволят работать согласно вышеприведенным принципам.