Посторонним вход открыт

В документах на сайтах школ можно было найти ИИН работников, их домашние адреса и номера телефонов. Там же публиковались сведения о несовершеннолетних. В Семее такое обращение с личной информацией затронуло более четырех тысяч человек. Проверить, как учреждения распоряжаются данными граждан, и принять меры для защиты пострадавших предложила депутат Курултая РК Ляззат Жылкыбаева в запросе фракции партии “Әділет”.

Обращение адресовано Генеральному прокурору Берику Асылову и заместителю премьер-министра – министру искусственного интеллекта и цифрового развития Жаслану Мадиеву. Депутат предложила проверить законность сбора, обработки и хранения персональных данных учреждениями социальной сферы, а также обслуживающими их компаниями. Проверка должна охватить законность передачи информации третьим лицам и соблюдение требований к ее уничтожению.

“Конечная цель преобразований, инициированных главой государства, – реальная защита прав граждан в повседневной жизни. Поэтому конституционные гарантии должны соблюдаться в работе каждого государственного органа и каждой организации”, – подчеркнула депутат.

В Семее прокуратура обнаружила документы с персональными данными на официальных сайтах 31 школы. В открытом доступе оказались сведения о 3 752 работниках и 344 несовершеннолетних. После вмешательства надзорного органа незаконно размещенную информацию удалили, виновных привлекли к предусмотренной законом ответственности.

В Шиелийском районе Кызылординской области семь организаций образования раскрыли персональные данные 529 сотрудников при закупке услуг медицинского осмотра. Документы опубликовали на портале государственных закупок. Районная прокуратура сообщила о мерах по удалению сведений и привлечении руководителей организаций к дисциплинарной ответственности.

Эти случаи ставят вопрос об исполнении поправок, принятых в июне 2026 года. Они предусматривают маскирование персональных данных, не подлежащих раскрытию в общедоступных источниках. Проверить, как эти требования выполняются на практике, – еще одно предложение Ляззат Жылкыбаевой.

Открыли доступ к этим сведениям сами учреждения, которым граждане передавали их для вполне определенных целей. При устройстве на работу, обращении в поликлинику или оформлении ребенка в школу человек сообщает необходимую информацию о себе и семье. Дальнейшая сохранность этих данных зависит от того, кто может просматривать документы, как их хранят и куда пересылают.

Декан Школы кибербезопасности Astana IT University, кандидат технических наук Сауле Аманжолова обращает внимание на повседневную работу сотрудников с конфиденциальной информацией.

“Утечки персональных данных не всегда вызваны кибератаками или взломом информационных систем. Зачастую они происходят из-за человеческой ошибки, недостаточной цифровой гигиены и недостаточных мер по защите информации. Ситуация усугубляется неправильно настроенными правами доступа, недостаточным контролем за обработкой конфиденциальной информации и практикой отправки документов через публичные чаты и их хранения на незащищенных сетевых ресурсах. Особую обеспокоенность вызывают случаи разглашения персональных данных несовершеннолетних, поскольку последствия таких инцидентов могут быть долгосрочными”, – отмечает эксперт.

Эксперт считает необходимым ограничивать доступ сотрудников к сведениям в соответствии с их обязанностями. Работнику должны быть доступны только те данные, которые нужны для выполнения конкретных задач. Учреждениям также необходимы регулярные проверки, мониторинг действий пользователей и системы предотвращения утечек данных. При этом обучение персонала должно быть постоянным, а ответственность за обращение с личной информацией – понятной каждому сотруднику.

Защите данных детей в депутатском запросе уделено особое внимание. Сведения о месте проживания и учебы ребенка, состоянии его здоровья и социальном положении семьи могут угрожать его безопасности и нарушать неприкосновенность частной жизни, если становятся общедоступными.

Для усиления контроля в регионах Ляззат Жылкыбаева предложила повысить квалификацию специалистов и разработать единую методику проведения проверок. Конкретные инструкции должны помочь местным исполнительным органам действовать в пределах полномочий, установленных законодательством.

Управляющий партнер юридической фирмы DRCQ Руслан Дайырбеков обращает внимание на то, что контроль зачастую начинается после утечки или жалобы гражданина. По его оценке, регулярные внутренние проверки могли бы предупреждать нарушения. Значение имеет и то, какую ответственность несут организации за незаконное распространение информации.

“Ужесточение комплаенса неизбежно требует пересмотра санкций. Текущая ответственность за незаконное распространение данных усиливается, но ключевой проблемой остается не строгость наказания, а неотвратимость его наступления. Пока штрафы для крупного бизнеса, включая банки, маркетплейсы и телекомоператоров, несопоставимы с потенциальной выгодой от коммерциализации данных или расходами на ликвидацию последствий масштабных утечек, система ответственности будет иметь слабый превентивный эффект. Ответственность должна быть дифференцированной и оборотной, то есть напрямую привязанной к доходам оператора-нарушителя”, – полагает Руслан Дайырбеков.

Он предлагает закрепить обязательную предварительную оценку воздействия на защиту данных по аналогии с механизмом DPIA, предусмотренным европейским регулированием. По предложению юриста, перед началом масштабной обработки чувствительной информации, профилирования или автоматизированного принятия решений компания должна выявить риски для частной жизни и документально определить меры по их снижению.

Отдельный пункт запроса Ляззат Жылкыбаевой касается ситуации вокруг сервисов такси и доставки “Яндекс”, в работе которых 11 октября произошел сбой. Компания объяснила перебои проблемами с инфраструктурой за рубежом. Министерство искусственного интеллекта и цифрового развития сообщило, что серверы, предназначенные для хранения персональных данных казахстанских пользователей, находятся на территории страны и работают штатно. Одновременно ведомство подтвердило, что отдельные компоненты, необходимые для оказания услуг, размещены за пределами Казахстана.

Сервисы ежедневно обрабатывают телефонные номера, адреса, маршруты передвижения и платежные данные граждан. В запросе Ляззат Жылкыбаева подчеркивает, что остановка их работы из-за сбоя за рубежом требует открытого разъяснения, в какой стране и в каком правовом режиме обрабатывается эта информация. Депутат предложила установить, осуществлялась ли трансграничная передача персональных данных, и оценить соблюдение требований законодательства при такой передаче.

Защита персональных данных от незаконного сбора, обработки, хранения и использования, в том числе с применением цифровых технологий, закреплена в статье 21 новой Конституции. Исполнительный директор управления правовых услуг Института парламентаризма PhD Шолпан Саймова отмечает, что для реализации этой гарантии в стране уже предусмотрены необходимые правовые механизмы.

“В Казахстане уже создана достаточно комплексная законодательная основа для реализации данного конституционного права, включающая Закон “О персональных данных и их защите”, Цифровой кодекс и Закон “Об искусственном интеллекте”. Поэтому дальнейшее совершенствование законодательства видится в учете специфики отдельных отраслей и сфер деятельности, прежде всего здравоохранения, финансового сектора и образования, где обработка персональных данных имеет свои особенности и сопряжена с различными рисками. На организационном уровне, как и прежде, целесообразно уделять внимание решению таких актуальных вопросов, как обеспечение информационной безопасности, повышение защищенности информационных систем, предупреждение утечек персональных данных и соблюдение установленных законодательством требований при их обработке”, – поясняет она.

Шолпан Саймова напоминает, что за нарушения предусмотрена административная ответственность по статье 79 Кодекса об административных правонарушениях, а при наличии установленных законом признаков преступления – уголовная по статье 147 Уголовного кодекса. Действуют механизмы государственного контроля, уведомления о нарушениях безопасности данных и защиты прав граждан.

Есть у граждан и инструменты контроля за использованием собственных сведений. Закон позволяет получать информацию об их обработке, давать согласие на обработку персональных данных и в установленных случаях отзывать его. По словам эксперта, часть этих возможностей реализуется через государственный сервис контроля доступа к персональным данным, в том числе посредством сообщений с номера 1414 и инструментов eGov Mobile.

Защите пострадавших посвящено пятое предложение запроса, представленного Ляззат Жылкыбаевой. Фракция потребовала обеспечить своевременное уведомление граждан, чьи персональные данные были незаконно опубликованы. Ответ на запрос фракции должен быть представлен письменно в установленный законодательством срок.

“Доверие к цифровому государству начинается с уверенности гражданина в защищенности своих данных”, – заявила Ляззат Жылкыбаева.

Мадимит ЧУЛЕМБАЕВ, Астана