Депутат Курултая Ляззат Жылкыбаева потребовала проверить защиту персональных данных после сбоя сервисов «Яндекса» и публикации сведений тысяч сотрудников школ и сотен детей
Защита персональных данных должна быть не формальной гарантией, а реальным правом человека контролировать информацию о себе. На это обратила внимание депутат Курултая от фракции партии «Әділет» Ляззат Жылкыбаева. Она направила депутатский запрос после сбоя сервисов «Яндекса» и случаев публикации личных сведений сотрудников образовательных организаций и несовершеннолетних, передает Azattyq Rýhy.
Депутат связывает эту проблему с конституционными гарантиями прав граждан и считает, что они должны соблюдаться не только на уровне законодательства, но и в повседневной работе государственных органов, школ, медицинских учреждений и частных компаний.
«В новой Конституции нашей страны впервые на законодательном уровне гарантировано право каждого человека на защиту личной и семейной тайны, а также на защиту от незаконного сбора и использования персональных данных», – заявила народная избранница.
Поводом для обращения стали несколько случаев, которые заставили задуматься о том, насколько безопасно организации обращаются с информацией, доверенной им гражданами.
11 октября казахстанцы не могли воспользоваться сервисами такси и доставки «Яндекса». Компания объяснила сбой проблемами в зарубежной инфраструктуре. Министерство заявило, что серверы с персональными данными казахстанских пользователей находятся в стране и работают в штатном режиме. При этом ведомство подтвердило, что некоторые компоненты, необходимые для работы сервисов, расположены за пределами Казахстана.
Депутат считает, что в такой ситуации необходимо выяснить не только причины технического сбоя, но и то, как организована обработка пользовательских данных и какие системы задействованы в работе платформы.
По мнению Ляззат Жылкыбаевой, пользователи должны понимать, где и на каких основаниях обрабатываются сведения, которые они передают цифровым сервисам. Речь идет не только о контактных данных, но и об адресах, маршрутах передвижения и платежной информации.
«Остановка сервиса, который ежедневно обрабатывает номера телефонов, адреса, маршруты передвижения и платежные данные граждан, из-за сбоя за рубежом требует открытого разъяснения того, в какой именно стране и в рамках какого правового режима обрабатываются эти данные», – подчеркивает депутат.
Эксперт по кибербезопасности Абылай Исин отмечает, что важно понимать, как устроены цифровые сервисы и от каких систем зависит их работа. По его словам, место хранения информации и инфраструктура, обеспечивающая работу приложения, – разные вещи.
«Сервис работает не только из хранилища данных. Это целая цепочка компонентов: авторизация, платежи, маршрутизация, разные модули, антифрод и так далее. Часть из них может работать в другой стране или зависеть от нее», – объясняет эксперт.
Он отмечает, что от зарубежной инфраструктуры могут зависеть не только платежи и вход в приложение, но и карты, определение местоположения, подбор водителей и другие функции. Если один из таких компонентов перестанет работать, сервис может оказаться недоступным, хотя данные пользователей по-прежнему будут храниться на казахстанских серверах.
«Если такое звено выходит из строя, сервис может перестать работать, даже когда данные целы и находятся здесь. Данные хранятся локально, а проверка и обработка транзакций идут уже централизованно», – поясняет он.
По оценке эксперта, в такой ситуации потеря данных маловероятна, а временная недоступность сервиса вполне возможна. После восстановления работы важно проверить не только доступность приложения, но и то, что происходило с данными во время сбоя. Абылай Исин выделяет три направления такой проверки: целостность информации, ее конфиденциальность и права доступа.
Установить, какие именно сведения проходили через зарубежные системы, тоже возможно. Для этого необходим доступ к техническим данным – сетевому трафику, журналам доступа, настройкам и архитектуре приложения. Поэтому обычный пользователь не сможет провести такую проверку самостоятельно.
Но зависимость от зарубежной инфраструктуры ставит и юридический вопрос: кто отвечает перед пользователем, если из-за сбоя сервис перестает работать или возникает угроза безопасности его данных?
Юрист Ерлан Мурашев обращает внимание на другую сторону проблемы: даже если сбой произошел из-за зарубежной инфраструктуры, это не означает, что компания может снять с себя ответственность перед пользователями.
«Зависимость цифровой платформы от зарубежной инфраструктуры не означает, что казахстанский пользователь должен самостоятельно нести все последствия технического сбоя. Компания обязана исполнять принятые на себя обязательства. Ссылка на иностранные серверы не является автоматическим освобождением от ответственности», – объясняет юрист.
Второй повод для депутатского запроса связан с публикацией персональных данных сотрудников образовательных организаций и несовершеннолетних. По словам депутата, в Шиелийском районе Кызылординской области семь организаций образования разместили на портале государственных закупок сведения о 529 сотрудниках. Кроме того, на сайтах 31 школы в Семее оказались доступны данные более 3 000 работников и 344 несовершеннолетних.
В документах содержались фамилии, имена и отчества, ИИН, даты рождения, домашние адреса и номера телефонов. Ляззат Жылкыбаева обращает внимание на то, что эти сведения оказались открытыми даже без взлома информационных систем.
«Для получения этих сведений не понадобилось взламывать системы: организации, которые были обязаны защищать персональные данные, сами разместили их в открытом доступе», – отмечает депутат.
Эксперт по кибербезопасности Абылай Исин объясняет, что подобные ситуации могут возникать из-за ошибок при работе с документами, неправильных настроек доступа или недостаточного контроля перед публикацией файлов.
«Часто утечки происходят не потому, что кто-то взломал систему, а потому, что люди сами публикуют документы, не проверив, какая информация в них содержится», – отмечает эксперт.
Если персональные данные оказались в открытом доступе, возникает вопрос об ответственности. Юрист Ерлан Мурашев объясняет, что она зависит не от должности сотрудника, а от того, кто был обязан обеспечить защиту информации и чьи действия или бездействие привели к нарушению.
«В соответствии с Законом Республики Казахстан от 21 мая 2013 года № 94-V «О персональных данных и их защите» ответственность определяется не только должностью человека, но и его фактическими обязанностями, полномочиями и ролью в обработке персональных данных. Поэтому, при утечке персональных данных школьников или сотрудников необходимо устанавливать ответственность не формально, по занимаемой должности, а исходя из того, кто обязан был обеспечивать защиту информации и чьи действия или бездействие привели к нарушению», – сказал эксперт.
После публикации личной информации недостаточно просто удалить документ с сайта. Необходимо выяснить, как долго он оставался доступным, могли ли другие пользователи скопировать его, распространились ли сведения дальше и какие меры организация приняла, чтобы предотвратить повторение ситуации.
Депутат Ляззат Жылкыбаева отдельно подчеркивает, что данные детей требуют особого внимания и реальных мер защиты. Раскрытие сведений об адресе проживания, школе, здоровье или семейных обстоятельствах может затронуть не только частную жизнь ребенка, но и его безопасность.
Ерлан Мурашев напоминает, что родители вправе защищать интересы несовершеннолетних, требовать прекращения незаконного распространения персональных данных и обращаться за защитой в государственные органы или суд.
«Если в открытом доступе оказались персональные данные ребенка, родители имеют право незамедлительно требовать прекращения незаконного распространения информации и защищать интересы несовершеннолетнего в государственных органах и суде. Публикация личной информации ребенка может создавать реальные угрозы его безопасности, частной жизни и благополучию. Поэтому первоочередной задачей должно стать ограничение доступа к сведениям и предотвращение их дальнейшего распространения», – отмечает юрист.
Сбой цифровых сервисов и публикация данных школьников – разные ситуации, но обе поднимают вопрос о надежности защиты личной информации. В первом случае необходимо разобраться в зависимости платформ от зарубежной инфраструктуры, во втором – выяснить, почему организации сами разместили конфиденциальные сведения в открытом доступе.
За каждой такой историей стоят реальные люди, чьи данные нуждаются в защите. Поэтому важно не только установить причины произошедшего, но и определить ответственных, а также понять, какие меры помогут не допустить повторения подобных случаев.