Сбер ID и передача персональных данных третьим лицам
Сбер ID — это беспарольная авторизация для сайтов и приложений. (Описание взято с сайта Сбер ID для разработчиков: https://developers.sber.ru/portal/products/sber-id).
Точнее сказать, это бесплатный сервис аутентификации пользователей. Его можно использовать на любом стороннем сайте или в приложении (Сбер называет их "Информационные партнеры").
Если вы клиент Сбера (а это почти каждый), то в дополнение Сбер может передать стороннему сайту некоторые дополнительные интересные данные о вас.
Вот список возможных передаваемых данных из "Условий работы сервиса": https://www.sberbank.ru/common/img/uploaded/files/pdf/sberid/publ_oferta_predost_servicesberid_v2.pdf
- аватар;
- ФИО;
- дата и место рождения;
- пол;
- реквизиты документа, удостоверяющего личность;
- реквизиты заграничного паспорта РФ;
- ИНН;
- e-mail;
- номер мобильного телефона;
- адрес регистрации;
- адрес места жительства;
- адрес доставки;
- адрес фактического проживания;
- адрес временной регистрации;
- образование;
- рабочий адрес;
- место работы и занимаемая должность;
- сведения о семейном, социальном положении (включая реквизиты государственного сертификата на материнский (семейный) капитал, при наличии);
- сведения об Устройствах;
- пользовательские сведения в сети Интернет, мессенджерах, чатах, форумах;
- адрес Объекта недвижимости и координаты Объекта недвижимости (в том числе содержащиеся в ЕСИА);
- реквизиты водительского удостоверения;
- сведения о Транспортных средствах (в том числе содержащиеся в ЕСИА);
- реквизиты свидетельства о регистрации транспортного средства;
- сведения о финансовых транзакциях;
- сведения о доходах;
- информация о среднемесячных расходах, доходах;
- информация о наличии регистрации в качестве налогоплательщика налога на профессиональный доход (самозанятого);
- сведения, полученные в рамках заключенных/заключаемых договоров с Компаниями информационного партнерства, использования соответствующих продуктов/услуг Компаний информационного партнерства;
- сведения о банковской(-их) карте(-ах), сохраненной(-ых) в Профиле клиента, в частности: цифровой идентификатор карты, ее последние четыре цифры, банк-эмитент, наименование платежной системы;
- сведения о кредитном потенциале Клиента Банка, включая дату расчета кредитного потенциала, статус расчета кредитного потенциала, сумму свободной части кредитного потенциала, а также информацию о возможных суммах кредита и о доступных суммах по сервису рассрочки, рассчитанных Банком в рамках расчета кредитного потенциала.
Как я понимаю, часть данных — таких как ФИО, дата рождения, пол, e-mail и мобильный телефон — может получить любой сайт. Другие данные — не для всех.
Но проблема в том, что когда вы аутентифицируетесь на сайте через Сбер ID, вы никак не можете узнать или повлиять, какие данные и кому будут переданы.
Вот списки "Информационных партнеров" (списки отличаются), но без указания, какие данные им передаются.:https://id.sber.ru/profile/resources/partners.pdf или https://www.sberbank.com/common/img/uploaded/files/pdf/normative_docs/vendors.pdf
Мы же верим, что Сбер — это серьезная и ответственная организация и абы кому наши данные Сбер не отдаст. Правда?
Берем из списка партнеров организацию ООО "ТЕНЧАТ" и находим сайт https://tenchat.ru/. Это типа социальной сети о работе и бизнесе. У них единственный возможный вариант регистрации — только через Сбер ID.
Если пройти процедуру регистрации, то на последнем шаге вам предложат список уже существующих пользователей tenchat из ваших контактов.
Ничего не насторожило? Каких КОНТАКТОВ? Вы только что зарегистрировались, а они уже знают, с кем вы знакомы. Как так?
Моя версия: Сбер ID передает не только персональные данные, но и список ваших контактов (хотя в "Условиях работы сервиса" об этом нет речи).
Откуда Сбер ID знает список ваших контактов? Когда вы устанавливаете мобильное приложение Сбербанк, оно запрашивает разрешение на доступ к контактам и отправляет все ваши контакты в Сбер.
Я попытался изучить эту ситуацию подробнее, но, как я понял, список контактов Сбер ID передает только один раз — в момент регистрации.
Я удалил созданный аккаунт и повторно попытался зарегистрироваться, но повторно зарегистрироваться с тем же номером телефона не дают (имейте в виду).
У меня нет других аккаунтов Сбера для дальнейшего изучения этого вопроса, но вы можете сами проверить и подтвердить — ну или опровергнуть мою гипотезу в комментариях.