Что считается в РК персональными данными?

Согласно действующей редакции Закона Республики Казахстан «О персональных данных и их защите», под персональными данными понимаются «данные, в том числе биометрические, относящиеся к определенному или определяемому на их основании субъекту персональных данных, зафиксированные на электронном, бумажном и (или) ином материальном носителе». Об этом Zakon.kz рассказал юристу Сайкен Айсин.

Как отмечает юрист, это определение не дает четких пояснений, какие именно сведения граждан следует отнести к персональным данным. «По большому счету мы можем лишь догадываться, что к ним относится», – констатирует Сайкен Айсин.

Определенная ясность есть в разъяснениях государственных органов. В ответе министра внутренних дел РК от 7 декабря 2019 года указано, что к персональным данным ограниченного доступа относятся установочные данные лица (фамилия, имя, отчество, год, дата рождения, национальность), сведения о месте жительства (место регистрации), индивидуальном идентификационном номере (ИИН), документах, удостоверяющих личность (номер), и другие сведения.

При этом, если человек публикует в СМИ статью и подписывается своим именем с указанием ученой степени, такие данные считаются общедоступными – при условии, что он дал на это согласие. Если же согласие не получено, эти же сведения по умолчанию являются персональными данными ограниченного доступа.

Что изменится с 11 июля 2026 года

С 11 июля 2026 года вступают в силу поправки, предусмотренные Законом РК от 9 января 2026 года «О внесении изменений и дополнений в некоторые законодательные акты РК по вопросам цифровизации, транспорта и предпринимательства».

Определение персональных данных изменится. В новой редакции это будут «сведения или совокупность сведений о субъекте персональных данных, дополненные одним или несколькими идентификаторами персональных данных».

Из понятийного аппарата исключается определение «биометрические данные» . Кроме того, как отмечает юрист, законодатель не только не прояснил ситуацию с перечнем данных, но и ограничил сферу сведений о гражданине. Если сейчас в формулировке говорится о данных, которые зафиксированы на любом носителе, то с 11 июля законодательством будут охватываться только те сведения, которые были «дополнены идентификаторами персональных данных».

При этом не уточняется:

 

- куда именно дополнены сведения и какие именно;

 

- что такое идентификаторы персональных данных.

«В общем, вышеуказанные НПА вне зависимости от редакций не дают четких критериев отнесения информации к персональным данным, что допускает расширительное толкование», – резюмирует Сайкен Айсин.

Особое внимание вызывает использование термина «сведения», который по своей природе охватывает неограниченный круг информации, потенциально включающий:

 

- анкетные данные (ФИО, ИИН);

 

- контактную информацию (номер телефона, e-mail);

 

- поведенческие и цифровые данные (геолокация, IP-адрес, device ID);

 

- социальные характеристики (семейное положение, место работы и др.).

В результате правовой неопределенности правоприменитель и участники гражданского оборота фактически лишены возможности однозначно определить, какие данные в совокупности образуют персональные данные.

При этом законодательством предусмотрена серьезная ответственность за нарушения в этой сфере.

Статья 79 Кодекса об административных правонарушениях предусматривает штраф от 30 до 2000 МРП. А статья 147 Уголовного кодекса – наказание в виде штрафа в размере до 5000 МРП, исправительные и общественные работы, а также лишение свободы на срок от трех до семи лет (при условии причинения существенного вреда) .

«Поэтому так важны официальные разъяснения уполномоченного органа по вопросам допустимых пределов использования информации. А именно, при повседневной работе с самой разной информацией нужно – на законодательном уровне – четкое разграничение персональных данных и иной информации, для чего в свою очередь должны быть сформулированы критерии отнесения информации к персональным данным», – подчеркивает юрист.

Фото из открытых источников