«Данных вполне достаточно для организации мошеннической атаки»: эксперт оценил возможную утечку о студентах ЕНУ

Персональные данные студентов Евразийского национального университета имени Л. Н. Гумилева оказались в центре обсуждения после сообщений о сборе информации через Google-таблицу. В университете заявляли, что доступ к документу был только у сотрудников, однако возникли версии о том, что ссылка стала доступна посторонним. Youth.kz обратился к эксперту по цифровым правам Роману Реймеру, чтобы выяснить, чем подобная ситуация может быть опасна для студентов и как им защитить свои данные.

– Какие риски для студентов создает ситуация, когда их ИИН, адреса и номера телефонов могут оказаться в открытом доступе?

– Казахстан захлестнула волна интернет-мошенничества. Масштаб проблемы открыто признают Министерство внутренних дел и другие государственные органы. Более того, государственные органы, банки второго уровня, СМИ и другие государственные и частные организации проводят публичные кампании, призывая граждан и операторов персональных данных бережно относиться к такой информации, чтобы избежать утечек и их негативных последствий.

В данном случае основные риски связаны с тем, что студенты могут стать потенциальными жертвами мошенников. Есть вероятность, что данные попадут в базы различных организаций, из-за чего студенты начнут получать больше рассылок и рекламы. Кроме того, наличие такой информации может привести к сталкингу и другим негативным последствиям.

– Что злоумышленники могут сделать с этими данными? Достаточно ли их для мошенничества?

– Данных, указанных в Google-таблице, вполне достаточно для организации мошеннической атаки на людей, которые в ней перечислены. ФИО, ИИН и номер телефона открывают перед злоумышленниками огромное окно возможностей для подготовки такой атаки.

Более того, с помощью этих данных при необходимости можно собрать гораздо больше информации о человеке, в том числе сведения о наличии или отсутствии задолженности, участии в различных судебных процессах, а также получить доступ к открытым судебным документам.

– Законно ли собирать такие сведения через Google-таблицы и какие требования университет должен соблюдать при обработке персональных данных?

– Важно понимать, что любой сбор персональных данных операторами должен отвечать определенным требованиям. Необходимо получить согласие субъекта персональных данных, цель сбора должна быть законной, понятной и обоснованной, а объем собранной информации не должен превышать разумные пределы, чтобы избежать избыточного сбора данных.

Кроме того, у каждого оператора персональных данных должна быть разработана политика приватности. В ней должно быть подробно указано, в каких случаях, в каком объеме и с помощью каких инструментов осуществляется сбор, обработка, хранение, передача и другие действия с персональными данными.

Таким образом, персональные данные могут собираться с помощью Google-таблиц. Однако оператор должен четко обосновать, почему был выбран именно этот инструмент, какова цель сбора и на основании каких внутренних регламентов, включая политику приватности, он осуществляется.

– Что студентам делать, если они подозревают, что их данные стали доступны посторонним? Куда обращаться и можно ли добиться проверки?

– В первую очередь студенты могут направить заявление руководству университета с требованием разъяснить ситуацию. Они также могут требовать удаления своих персональных данных. Законодательство о персональных данных и их защите позволяет, во-первых, отозвать ранее данное согласие на сбор и обработку данных, а во-вторых, требовать удаления незаконно собранной информации.

Далее студенты могут подготовить и направить заявление в Комитет информационной безопасности при Министерстве искусственного интеллекта и цифрового развития Республики Казахстан, который является уполномоченным государственным органом в сфере защиты персональных данных.

Рекомендую направить заявление через государственный сервис e-Otinish. В нем нужно в свободной форме изложить суть произошедшего и приложить сведения, которые могут служить доказательствами нарушения законодательства о персональных данных.

– Кто несет ответственность, если персональные данные студентов действительно оказались в открытом доступе?

– Логично предположить, что ответственность будет нести оператор этой базы данных.

Тем не менее важно ответить на несколько вопросов: каким образом и кем было принято решение о создании базы данных, какую цель преследовали при ее создании и почему было принято решение собрать именно такой объем информации.

Ранее Youth.kz рассказывал, какие права есть у студентов в Казахстане.