Передача персональных данных третьим лицам и распространение

Коротко

Закон использует два близких понятия. Распространением называется передача персональных данных или предоставление к ним доступа определённому лицу или кругу лиц (ст. 1 пп. 15). О распространении в общедоступных источниках речь идёт, когда доступ получает неограниченный круг лиц (ст. 1 пп. 3-2). И то и другое по общему правилу требует согласия субъекта (ст. 7 п. 6, ст. 15). Без согласия это возможно только в случаях ст. 9 и в специальных ситуациях с уже опубликованными данными.

Передача третьим лицам

Согласие. Передача третьим лицам осуществляется при условии согласия субъекта (ст. 7 п. 6). Само согласие должно содержать сведения о возможности или отсутствии возможности передавать данные третьим лицам и распространять их в общедоступных источниках (ст. 8 п. 4 пп. 4, 6). Распространение за рамками ранее заявленных целей сбора допускается только с согласия (ст. 15 п. 2; Правила сбора, п. 18). Даже при согласии распространение допустимо, только если не затрагиваются законные интересы других лиц (ст. 15 п. 1).

Без согласия. Закон перечисляет такие случаи в ст. 9: деятельность правоохранительных органов и судов, государственная статистика, исполнение ратифицированных международных договоров, журналистская и творческая деятельность, опубликование данных по закону, отдельные функции финансового регулятора и органов государственных доходов, другие случаи, прямо установленные законами. Общей нормы вроде «законного интереса» среди них нет.

Уведомление субъекта. Если условие об уведомлении о передаче третьему лицу предусмотрено, собственник или оператор уведомляет субъекта в течение десяти рабочих дней (ст. 19 п. 1). Исключения составляют функции государственных органов, деятельность адвокатов, статистические, социологические и научные цели (ст. 19 п. 2).

Конфиденциальность. Тот, кто получил доступ к данным ограниченного доступа, не вправе распространять их без согласия или иного законного основания (ст. 11). Технически такие данные передаются иным лицам по защищённым каналам связи и (или) с шифрованием и при наличии согласия (Правила мер защиты, п. 15 пп. 8). Передача возможна и через интеграцию цифровых объектов (ст. 23 п. 3).

Распространение в общедоступных источниках

Правила здесь подробнее (ст. 7 пп. 3–5; Правила сбора, пп. 4-1–4-4):

• По общему правилу нужно согласие субъекта (п. 3).
• Если данные опубликовал сам субъект без согласия на это оператору, обязанность доказывать законность последующего сбора и обработки лежит на каждом, кто эти данные собрал или обрабатывает (п. 3-1).
• Если публикация обязательна по закону, согласие не требуется, но данные, не подлежащие раскрытию, нужно маскировать (п. 4).
• Дальнейшее использование опубликованных по этим основаниям данных третьими лицами допускается при ссылке на источник (п. 5).

Есть и ограничения. Запрещено собирать и обрабатывать данные для создания или расширения баз путём нецелевого извлечения из общедоступных источников (ст. 7 п. 11). Данные, собранные с нарушением закона, исключаются из общедоступных источников в течение одного рабочего дня по требованию субъекта, суда или уполномоченного органа (ст. 6).

Интерпретация. Запрет «нецелевого извлечения» похож на ответ на массовый сбор данных из открытых источников (скрейпинг). Но границу между «целевым» и «нецелевым» извлечением закон не проводит. Опираться, видимо, придётся на общий принцип: обработка ограничена конкретными, заранее определёнными и законными целями (ст. 7 п. 8).

Нет фигуры «обработчика»

Казахстанский закон знает собственника, оператора и третье лицо (ст. 1 пп. 9, 10, 17), но не выделяет того, кто обрабатывает данные по поручению и в интересах другого. Подрядчик, которому компания передаёт данные (бухгалтерская фирма, облачный провайдер, колл-центр), формально тоже получатель данных.

Интерпретация. Раз отдельного режима для обработчика нет, безопаснее считать передачу подрядчику передачей третьему лицу: упоминать такую возможность в согласии (ст. 8 п. 4 пп. 4) и закреплять в договоре с подрядчиком обязанности по конфиденциальности и мерам защиты. Подрядчик при этом сам обязан защищать данные: закон прямо распространяет обязанности по защите на третьих лиц (ст. 22).

Сравнение с GDPR

Вопрос	Казахстан	GDPR
Основание для передачи	Как правило, согласие (ст. 7 п. 6, ст. 15)	Любое из оснований Art. 6, включая законный интерес
Обработчик по поручению	Отдельной фигуры нет	Processor; обязательный договор (Art. 28)
Общедоступные данные	Особые правила: согласие, бремя доказывания, ссылка на источник, запрет нецелевого извлечения	Остаются персональными данными; нужен обычный законный базис
Уведомление о передаче	Через 10 рабочих дней, если такое условие есть (ст. 19)	Информирование о получателях при сборе (Art. 13–14)

Открытые вопросы

Открытый вопрос: считается ли передача подрядчику передачей третьему лицу? Закон не различает получателя, действующего в своих интересах, и подрядчика, обрабатывающего данные по поручению. Официальной позиции регулятора найти пока не удалось.

Открытый вопрос: что такое «нецелевое извлечение» (в законе: «нецелевого извлечения»). Неясно, распространяется ли запрет на аналитику открытых данных, мониторинг СМИ или проверку контрагентов.

Открытый вопрос: «условие об уведомлении». Ст. 19 обязывает уведомлять «при наличии условия об уведомлении», но не говорит, где это условие должно быть установлено: в согласии, договоре или законе.

Что ещё изучить

• Разъяснения регулятора о передаче данных подрядчикам и внутри группы компаний.
• Правила функционирования государственного и негосударственного сервисов контроля доступа (ст. 8-1, 8-2).
• Судебную практику по распространению персональных данных в общедоступных источниках.