Принципы обработки персональных данных

Коротко

Цель закона состоит в защите прав и свобод человека и гражданина при сборе и обработке его персональных данных (ст. 2). Статья 5 называет пять принципов: соблюдение конституционных прав и свобод, законность, конфиденциальность данных ограниченного доступа, равенство прав субъектов, собственников и операторов, обеспечение безопасности личности, общества и государства (ст. 5). Рабочие правила, которые в GDPR называются принципами, в Казахстане записаны как отдельные требования в ст. 7, 12–14, 20 и 25 и в подзаконных актах.

Принципы в ст. 5

«Сбор, обработка и защита персональных данных осуществляются в соответствии с принципами: 1) соблюдения конституционных прав и свобод человека и гражданина; 2) законности; 3) конфиденциальности персональных данных ограниченного доступа; 4) равенства прав субъектов, собственников и операторов; 5) обеспечения безопасности личности, общества и государства». — Закон № 94-V, ст. 5

Интерпретация. Два принципа необычны для европейского читателя. Принцип «равенства прав субъектов, собственников и операторов» ставит человека и компанию в один ряд, хотя смысл законодательства о данных в том, чтобы защитить более слабую сторону. Принцип «обеспечения безопасности личности, общества и государства» вводит публичный интерес прямо в число принципов обработки. На практике оба принципа почти не используются как самостоятельные нормы, но могут служить аргументом в пользу ограничения прав субъекта.

Где искать «европейские» принципы

Принцип в терминах GDPR	Казахстанская норма
Законность	Принцип законности (ст. 5 пп. 2); обработка с согласия, кроме случаев ст. 9 (ст. 7 п. 1)
Ограничение цели	Обработка должна «ограничиваться достижением конкретных, заранее определенных и законных целей» (ст. 7 п. 8); использование только для ранее заявленных целей (ст. 14); цели в перечне данных должны быть «однозначными, законными» (Правила определения перечня, п. 4)
Минимизация	Избыточные данные не обрабатываются (ст. 7 п. 9); накопление идёт путём сбора данных, «необходимых и достаточных для выполнения задач» (ст. 12 п. 1); обязательный перечень данных (ст. 25 п. 2 пп. 1)
Ограничение хранения	Срок хранения определяется датой достижения целей (ст. 12 п. 2); уничтожение по достижении цели (ст. 25 п. 2 пп. 4)
Точность	Изменение и дополнение по обращению субъекта (ст. 13); исправление в течение одного рабочего дня (ст. 25 п. 2 пп. 8)
Целостность и конфиденциальность	Принцип конфиденциальности данных ограниченного доступа (ст. 5 пп. 3); обработка только при обеспечении защиты (ст. 20 п. 2)
Подотчётность	Политика обработки и защиты (ст. 25 п. 2 пп. 1-1); доказательство получения согласия (ст. 25 п. 2 пп. 5); сведения о процедурах по запросу регулятора (ст. 25 п. 2 пп. 3-1)
Прозрачность	Содержание согласия (ст. 8 п. 4); право знать о своих данных (ст. 24 п. 1 пп. 1); прозрачность алгоритмических решений (Цифровой кодекс, ст. 5 п. 3)

Перечень данных как инструмент

Минимизация и ограничение цели в Казахстане получили практическую форму: перечень персональных данных, необходимый и достаточный для задач. Его обязан утвердить каждый собственник и оператор (ст. 25 п. 2 пп. 1). Порядок установлен Правилами определения перечня:

• до начала сбора проанализировать свои задачи на предмет использования персональных данных и повторять анализ по мере необходимости (п. 3);
• для каждой задачи указать цели обработки и данные; избыточные данные в перечень не включать (п. 4);
• обеспечить доступ к перечню (п. 5).

Форма перечня приложена к Правилам: задача, цели, наименование данных, ссылка на документы или нормы, из которых вытекает задача. Сбор и обработка допускаются в объёме этого перечня (Правила сбора и обработки, п. 5).

Интерпретация. Перечень похож на реестр операций обработки по Art. 30 GDPR, но привязан к задачам организации, а не к операциям обработки. Он полезен как основа для политики обработки и текстов согласий: если данные не попали в перечень, собирать их нельзя.

Прямые запреты

Наряду с принципами закон содержит конкретные запреты:

• обработка в целях причинения имущественного или морального вреда либо ограничения прав и свобод субъекта (ст. 7 п. 8);
• сбор и обработка бумажных копий документов, удостоверяющих личность, кроме оговорённых случаев (ст. 7 п. 10);
• нецелевое извлечение данных из общедоступных источников для создания или расширения баз (ст. 7 п. 11);
• использование биометрических технологий в общественных местах без согласия, кроме случаев защиты конституционного строя, общественного порядка, прав и свобод, здоровья и нравственности (ст. 7 п. 12).

Принципы Цифрового кодекса

Цифровой кодекс добавляет свои принципы (ст. 4), среди них соблюдение прав человека в цифровой среде, свобода обращения цифровых данных, баланс частных и публичных интересов, технологическая нейтральность. Права и свободы человека в цифровой среде признаются высшей ценностью. Отношения строятся на свободном, осознанном и выраженном волеизъявлении, а алгоритмические решения должны быть прозрачными, недискриминационными и подконтрольными человеку (ст. 5).

Интерпретация. «Свобода обращения цифровых данных» в Кодексе и закрытый, согласие-ориентированный режим Закона о персональных данных тянут в разные стороны. Кодекс сам оговаривает, что персональные данные обрабатываются с согласия или по закону (ст. 37 п. 3), поэтому для персональных данных приоритет, по-видимому, у специального закона.

Сравнение с GDPR

В GDPR все семь принципов собраны в одной статье и имеют прямое действие (Art. 5): за нарушение принципов предусмотрены самые высокие штрафы. В Казахстане принципы ст. 5 скорее декларативны, а реальную нагрузку несут конкретные обязанности: перечень данных, сроки, согласие, меры защиты. Для проверки соответствия удобнее идти не по ст. 5, а по таблице выше.

Открытые вопросы

Открытый вопрос: «равенство прав». Как принцип равенства прав субъектов, собственников и операторов соотносится с новой ст. 21 Конституции, которая гарантирует право на защиту данных именно человеку?

Открытый вопрос: перечень и согласие. Должен ли перечень данных совпадать с перечнем в согласии субъекта (ст. 8 п. 4 пп. 7), и что делать, если они расходятся?

Открытый вопрос: переход к новой цели. Закон допускает использование только для ранее заявленных целей (ст. 14) и распространение за их рамками только с согласия (ст. 15 п. 2). Механизма оценки «совместимой» цели, как в GDPR, нет. Нужно ли новое согласие при любом изменении цели?

Что ещё изучить

• Практику регулятора и судов, где принципы ст. 5 применялись как самостоятельное основание.
• Требования к форме и публикации политики обработки персональных данных.
• Как принципы Цифрового кодекса будут применяться к автоматизированной обработке и ИИ.