Удалить себя из базы: могут ли казахстанцы потребовать уничтожения своих персональных данных?
Артур КостроминКазахстанцы могут требовать удаления своих персональных данных из баз компаний, банков и других организаций. Однако это право действует не во всех случаях: некоторые сведения необходимо хранить по закону. Youth.kz поговорил партнером и руководителем практики Data Privacy юридической фирмы Digital Rights Center Qazaqstan Елжаном Кабышевым, о том, как работает право на удаление персональных данных и что важно знать гражданам.
– В каких случаях казахстанец может потребовать полного удаления своих персональных данных у компании или организации?
– Поправки, которые вступили в силу 25 августа, сами по себе – это скорее донастройка Закона «О персональных данных и их защите»: появились понятия удаления, анонимизации, маскирования, уточнились обязанности операторов. А по-настоящему важная вещь произошла чуть раньше, летом, когда заработал Цифровой кодекс. В статье 41 Кодекса прямо записано: человек вправе требовать удаления, анонимизации или ограничения обработки своих данных в цифровой среде независимо от того, на каком основании компания их получила. Исключения возможны, но только те, что предусмотрены законами. И теперь Закон о персональных данных в статье 18 прямо отсылает к этой статье Кодекса – две нормы работают в связке.
Что это значит на практике? Объяснять, почему вы хотите удалить данные, не нужно. Доказывать, что компания что-то нарушила, тоже не нужно. Достаточно вашего желания – это и есть реализация права. А вот если компания не хочет удалять данные, это уже ее задача – объяснить почему: дать мотивированный отказ со ссылкой на конкретную норму закона. Так следует из пункта 7 статьи 8 Закона.
При этом в законе остались и «классические» случаи, когда данные должны быть удалены в любом случае: истек срок хранения; вы прекратили отношения с компанией – закрыли счет, расторгли договор; есть решение суда или выяснилось, что данные собирали без вашего согласия. Это статья 18. И, конечно, всегда есть самый простой и понятный инструмент – отозвать согласие на обработку. Это право прямо закреплено в подпункте 5 пункта 1 статьи 24 Закона.
– Означают ли новые поправки, что человек теперь может потребовать удалить любые свои данные из баз организаций?
– Нет, и здесь важно не создавать у людей завышенных ожиданий. Право на удаление не абсолютно, и закон прямо говорит, где оно заканчивается.
Первая ситуация – когда компания обязана хранить данные в силу закона. Например, бухгалтерские и налоговые документы, сведения, которые банки должны хранить по законодательству о противодействии отмыванию денег, трудовые документы у работодателя, медицинская документация. Здесь компания удалять данные не обязана. Но – и это важное новшество – по пункту 3 статьи 41 Цифрового кодекса она обязана по вашему требованию ограничить к ним доступ и приостановить обработку. Я это называю «заморозкой»: данные лежат, пока не истечет срок хранения, но использовать их для рассылок, маркетинга и аналитики или передавать кому-то еще уже нельзя. Исключения здесь узкие: исполнение судебного акта, исполнение обязательств по закону или договору и архивное хранение.
Вторая ситуация – прямые основания для отказа. Они перечислены в пункте 4 статьи 41 Кодекса, и их шесть: защита жизни, здоровья и прав других людей; рассмотрение дел о правонарушениях; правосудие и исполнение судебных решений; публичный интерес – но только если он прямо установлен законом; статистика и научные исследования – при условии, что данные анонимизированы; и выполнение государственных функций, оказание госуслуг.
Есть еще одно ограничение, о котором часто забывают: нельзя отозвать согласие, если у вас есть неисполненное обязательство перед компанией. Это пункт 2 статьи 8 Закона. Проще говоря, пока вы не погасили кредит, банк ваши данные не удалит – и это логично.
Но хочу подчеркнуть одну вещь. «Публичный интерес» – не резиновое понятие. Он должен быть прямо установлен законом. Компания не может сказать: «Нам эти данные нужны для аналитики», «У нас такая внутренняя политика» или «Вдруг клиент к нам вернется». Это не основания для отказа. Интерес бизнеса и публичный интерес – разные вещи.
– Как на практике гражданину добиться удаления своих персональных данных?
– Процедура на самом деле несложная, и я бы советовал проходить ее письменно – так, чтобы потом можно было подтвердить, что вы обращались.
Обращаться нужно в ту организацию, у которой находятся ваши данные. Если вы знаете, что она передала их кому-то еще – партнерам, коллекторам, подрядчикам, – требование можно направить и им напрямую: по статье 18 и подпунктам 3 и 4 пункта 1 статьи 24 Закона обязанность удалить данные лежит и на третьих лицах. Если речь о согласиях на доступ к вашим данным в государственных базах, отозвать их можно через государственный сервис контроля доступа к персональным данным на eGov – это статья 8-1 Закона.
По форме закон требует письменного вида, электронного документа либо иного способа, который позволяет подтвердить получение. Это пункт 1 статьи 8 и пункт 2 статьи 10. На практике это письмо на юридический адрес или официальную почту, обращение через личный кабинет, документ, подписанный ЭЦП. Главное – сохраните подтверждение того, что компания получила ваше требование.
Что писать в заявлении? Первое – кто вы: ФИО и те данные, по которым компания найдет вас в своей системе, – номер телефона, номер договора, логин. Копию удостоверения личности прикладывать не нужно, и лишний раз этого делать не стоит – закон вообще ограничивает сбор копий удостоверений. Это пункт 10 статьи 7. Второе – какие данные и в каких сервисах вы хотите удалить. Третье – чего именно вы требуете: удаления, анонимизации, ограничения обработки или отзыва согласия. Четвертое – ссылка на нормы: пункт 1 статьи 41 Цифрового кодекса, статьи 18 и 24 Закона. И пятое, очень полезное: попросите письменно подтвердить, что требование исполнено, и сообщить, кому ваши данные передавались. Знать это – ваше право по подпункту 1 пункта 1 статьи 24.
Теперь о сроках. Если вы отзываете согласие, у компании есть 15 рабочих дней, чтобы прекратить обработку или дать мотивированный отказ. Это пункт 7 статьи 8. Если факт нарушения при сборе или обработке подтвержден, удалить данные нужно в течение одного рабочего дня – подпункт 8 пункта 2 статьи 25. Тот же срок – один рабочий день – установлен для удаления незаконно размещенных сведений из общедоступных источников. Это статья 6.
– Что делать, если компания игнорирует требование или отказывается удалять данные?
– Если компания молчит или отказывает без внятных оснований, у человека есть несколько путей, и они не исключают друг друга.
Первый – жалоба в уполномоченный орган. Это Министерство искусственного интеллекта и цифрового развития, конкретно – Комитет по информационной безопасности. Проще всего подать ее через eOtinish. Министерство рассматривает обращения граждан и привлекает нарушителей к ответственности – подпункты 3 и 4 пункта 1 статьи 27-1 Закона. Кроме того, можно обратиться в местный исполнительный орган: по статье 27 он контролирует соблюдение законодательства о персональных данных частным бизнесом и вправе требовать от компании удалить незаконно полученные данные. И, конечно, есть прокуратура, которая осуществляет высший надзор, – статья 28.
Второй путь – суд. Можно подать иск с требованием обязать компанию удалить данные и взыскать компенсацию морального вреда. Право на возмещение вреда прямо закреплено в подпункте 7 пункта 1 статьи 24 Закона, общие правила – в статье 951 Гражданского кодекса.
Третье – ответственность самой компании. По части 1 статьи 79 КоАП за незаконный сбор и обработку персональных данных штраф составляет от 30 МРП для физических лиц до 200 МРП для крупного бизнеса, а в целом санкция статьи 79 КоАП доходит до 2000 МРП. Если причинен существенный вред, речь уже об уголовной ответственности по статье 147 УК.
Теперь про доказательства – люди часто думают, что это самое сложное. На самом деле нет. Во-первых, ваше требование и ответ компании – или ее молчание – уже доказательство. Во-вторых, все, что показывает, что обработка продолжается: рассылки, звонки, push-уведомления после того, как вы потребовали удаления. Делайте скриншоты, а в серьезных случаях – нотариальный протокол осмотра интернет-ресурса. В-третьих, если речь о государственных базах, eGov присылает уведомления о действиях с вашими данными.
Но главное – бремя доказывания здесь работает в пользу гражданина. Доказать, что у нее есть ваше согласие, обязана сама компания – подпункт 5 пункта 2 статьи 25. А с 25 августа появилась еще одна важная норма – пункт 3-1 статьи 7: если вы сами опубликовали свои данные, скажем, в соцсетях, а кто-то их собрал и использует, то именно он обязан подтвердить, что делает это законно. Так что от гражданина требуется показать сам факт обработки, а объяснять ее законность должна компания.
– Можно ли добиться удаления своих данных, если они уже переданы третьим лицам, попали в открытые источники или оказались в слитых базах данных?
– Здесь все зависит от ситуации, и ответы очень разные.
Если данные переданы третьим лицам законно – например, банк передал их коллекторскому агентству или страховой компании, – то обязанность удалить их лежит не только на первоначальной компании, но и на каждом, кто их получил. Это статья 18 и подпункты 3 и 4 пункта 1 статьи 24 Закона. Поэтому алгоритм такой: сначала запросите у компании, кому она передавала ваши данные, а потом направьте требование каждому получателю. Но здесь я вижу серьезный пробел в нашем законодательстве. У нас нет обязанности компании самой уведомить всех, кому она передала данные, о том, что человек потребовал их удалить. В Европе это так называемое каскадное удаление – статья 19 GDPR. У нас эту работу фактически перекладывают на гражданина.
С открытыми источниками ситуация лучше, чем многие думают. Если ваши данные размещены незаконно, их должны убрать в течение одного рабочего дня по вашему требованию, а расходы несет тот, кто их разместил, – это статья 6 Закона. А с 25 августа закон закрыл популярную лазейку. Во-первых, теперь прямо запрещено массово собирать данные из открытых источников, чтобы наполнять ими базы, – пункт 11 статьи 7. Во-вторых, если вы сами выложили свои данные, например, в соцсети, но никому не давали согласия на их распространение, то каждый, кто их собирает и использует, обязан доказать, что делает это законно, – пункт 3-1 статьи 7. Так что тезис «раз в сети – значит общедоступно» больше не работает.
А вот со слитыми базами – самое тяжелое. Юридически все понятно: за утечку отвечает оператор, который не обеспечил защиту данных, – статья 22. Он обязан в течение одного рабочего дня с момента обнаружения уведомить уполномоченный орган – подпункт 8 пункта 2 статьи 25. С 25 августа ведется реестр нарушений безопасности персональных данных – статья 23-2. Те, кто распространяет и продает слитые базы, отвечают по статье 79 КоАП и статье 147 УК.
Но давайте будем честны. Если ваши данные попали в теневые базы или в Telegram-боты, удалить их оттуда практически невозможно. И здесь я всегда спорю с риторикой о том, что слитые данные «устаревшие». ИИН у человека пожизненный, ФИО и родственные связи не меняются – цифровой след неизменяем. Поэтому реалистичная стратегия – не удаление, а минимизация вреда: смените пароли, при возможности – номер телефона, установите через eGov запрет на получение займов и очень осторожно относитесь к звонкам «из банка» или «из полиции» – мошенники активно используют именно такие базы.
А если говорить о том, что нужно менять, я бы назвал следующее: закрепление в законе обязанности компании уведомлять всех получателей данных о требовании удаления. И главное, о чем я говорю постоянно: лучшая защита данных – это данные, которые изначально не собирали. Принцип минимизации по-прежнему остается самым эффективным.
Проблема утечек касается не только коммерческих баз данных. Ранее Youth.kz рассказывал о возможной утечке персональных данных студентов ЕНУ и объяснял, чем такая информация может быть опасна для учащихся.
