Журналист «Медузы» запросил у «ВКонтакте» полный архив своих данных. Он получил файл на шесть миллионов строк — и в нем не хватало информации

Администрация соцсети «ВКонтакте» после уголовных дел за мемы и обвинений в активном сотрудничестве с правоохранительными органами пообещала дать российским пользователям возможность скачивать всю свою информацию с сайта. Дело в том, что представители соцсети выдавали данные подозреваемых правоохранительным органам, а, как оказалось, получить такой же набор данных самому пользователю было невозможно. Журналист «Медузы» Султан Сулейманов воспользовался этим правом досрочно — по европейскому регламенту защиты персональных данных GDPR. Вот что оказалось в огромном текстовом документе, который ему предоставили во «ВКонтакте».

Процедура

В конце мая 2018 года в Евросоюзе заработал общий регламент по защите данных (GDPR). Он, в частности, обязывает все компании, хранящие данные граждан ЕС, по запросу предоставлять им собранную о них информацию. Чтобы соответствовать GDPR, «ВКонтакте» создала отдельную страницу с политикой приватности на английском языке — в ней, в частности, прописано право пользователей запрашивать всю информацию о себе, хранящуюся в соцсети.

Пока ВК выдает данные только людям, живущим в Европе, — жителям России советуют обратиться с письменным запросом на официальный адрес компании или подождать, пока появится соответствующий механизм. 21 августа 2018 года я из Риги попросил службу поддержки предоставить данные о себе в соответствии с GDPR.

Чуть меньше, чем через месяц, 17 сентября, я получил ссылку на зашифрованный архив. Никаких документов или других доказательств, что запрос пришел именно от меня, представители соцсети не запрашивали. Представителя службы поддержки, приславшего ссылку, смутила просьба предоставить пароль от архива. Но оказалось, что для открытия архива было достаточно ввести аббревиатуру GDPR.

Можно предположить, что сотрудник службы поддержки тоже мог скачать и разархивировать все мои данные. Но в пресс-службе «ВКонтакте» меня заверили, что технически у него такой возможности нет: документ скачивается, только если пользователь войдет под своим аккаунтом.

Что внутри

В архиве оказался один текстовый файл размером 178 мегабайт — в нем было почти шесть миллионов строк, содержавших сразу все наборы данных: от изменения прикрепленных номеров телефона до личных сообщений и записей на стене.

Вот какие данные были в документе:

Чего в архиве не оказалось

Даже если предположить, что ВК не сохраняет историю местоположения устройства, с которого пользователь зашел соцсеть; посещенные сайты и другие действия пользователя, которые можно получить косвенным путем, архив нельзя считать полным. В нем отсутствуют несколько разделов с информацией на странице — такие, как образование, военная служба, текущие и прошлые места работы, языки, которыми владеет пользователь, или ссылки на аккаунты родственников (вся эта информация у меня была заполнена).

Также в отчете не хватает:

В пресс-службе ВК мне рассказали, что соцсеть по запросу пользователя «стремится» отдать ему «всю необходимую информацию», но у возможностей выгрузки данных могут возникать «серьезные технические ограничения». Они, говорят в пресс-службе, связаны с тем, что разработчики «никогда не создавали инструменты, упрощающие доступ к данным» — а вместо этого работали над технологиями, защищающими обработку персональных данных, и жестким разграничением доступа к ним.

В июне 2018 года белорусский активист Кристиан Шинкевич, живущий в Польше, рассказал, что получил у «ВКонтакте» по GDPR архив со своими данными. При этом, утверждал Шинкевич, в документе оказались удаленные переписки и фотографии.

Мне не удалось найти в присланном архиве удаленных данных: список друзей был актуальным, а удаленные когда-то сообщения и фотографии в документ не попали. В нем было вдвое больше фотоальбомов, чем есть на моей странице, но при внимательном изучении оказалось, что это был один и тот же (актуальный) список, вставленный дважды. В списке фотографий, на которых я был отмечен, оказались нерабочие ссылки на снимки других пользователей, позже закрытые настройками приватности, — однако эти же фотографии ВК позволяет увидеть через альбом «Фотографии с пользователем».

Пресс-служба «ВКонтакте» признала, что хранит удаленные данные, как того требует российское законодательство (соцсеть по закону из «пакета Яровой» внесена в реестр организаторов распространения информации): переписку — шесть месяцев, другую информацию — год.

Европейское законодательство предусматривает штрафы до 20 миллионов евро или 4% годового оборота компании за нарушение отдельных положений GDPR. Я попросил службу поддержки прислать недостающие категории личных данных. На момент публикации текста ответа не было.