Приговор журналистке вновь поставил вопрос о персональных данных. Что нужно знать каждому

Приговор журналистке Александре Алёховой (Сенцовой) стал одной из самых обсуждаемых тем последних дней. В социальных сетях, профессиональном журналистском сообществе и среди правозащитников многие называют решение суда чрезмерно суровым и выражают опасения, что оно создаёт опасный прецедент для работы СМИ. Журналистку признали виновной в незаконном распространении персональных данных – статья предусматривает наказание до семи лет лишения свободы.

Дискуссия вышла далеко за рамки одного уголовного дела. Она вновь поставила вопрос о том, где проходит граница между общественно значимой информацией и персональными данными, какие сведения журналист вправе публиковать без согласия человека и когда распространение информации может повлечь уголовную ответственность.

При этом далеко не все понимают, что именно относится к персональным данным. Многие считают, что речь идёт только об ИИН, номере удостоверения личности или банковской карте. На самом деле перечень значительно шире, а некоторые сведения, которые люди ежедневно публикуют в интернете или пересылают друг другу, также находятся под правовой защитой.

Разбираемся, что считается персональными данными, как с ними следует обращаться и в каких случаях их распространение может повлечь ответственность.

№1. Что такое персональные данные

Персональные данные – это любая информация, которая относится к конкретному человеку и при этом может установить его личность. Узнать человека можно как по одному признаку, так и по сумме нескольких сведений.

Например, иногда достаточно только индивидуального идентификационного номера (ИИН) или номера удостоверения личности. В других случаях человека можно определить по имени и месту работы, фотографии, адресу электронной почты или другим данным, если вместе они помогут понять, о ком именно идёт речь.

Есть две категории персональных данных:

общедоступные; ограниченного доступа (дактилоскопическая и геномная информация).

От того, к какой категории относится информация, зависят и правила её использования, распространения и защиты. Поэтому один и тот же человек может самостоятельно сделать часть своих данных общедоступными, а другая информация о нём всегда будет находиться под особой защитой закона.

№2. Какие данные относятся к общедоступным, какие – нет

Общедоступными считаются персональные данные, доступ к которым открыт с согласия самого человека. К этой же категории относятся сведения, для которых не требуется конфиденциальность (с согласия человека).

Если человек решил отозвать согласие или его персональные данные попали в открытый доступ с нарушением закона (например, по ошибке компаний или при продаже мошенниками баз данных), он может потребовать удалить такую информацию из общедоступных источников. Сделать это необходимо в течение одного рабочего дня после получения требования либо на основании решения суда или другого уполномоченного государственного органа.

Важно: все расходы за удаление данных из открытых источников оплачивает сам человек. При этом объём этих расходов устанавливается судом.

Что касается данных ограниченного доступа – к ним относятся сведения, доступ к которым ограничило законодательство.

К ним относятся, например, отпечатки пальцев или ДНК человека. Такие данные строго защищены, а при их сборе и обработке должны быть приняты меры, чтобы не потерять, не исказить и не предоставить доступ к ним посторонним людям.

№3. Какие данные считаются персональными

Персональными считаются все сведения, по которым можно идентифицировать человека.

Например, к персональным данным относятся:

фамилия, имя и отчество; ИИН; дата и место рождения; адрес проживания; номер телефона; адрес электронной почты; сведения о семейном положении; данные об образовании; информация о месте работы; фотография или видеозапись, если по ним можно узнать человека; биометрические данные.

При этом один и тот же набор сведений (например, ИИН и номер телефона либо место работы и фотография) в разных ситуациях может оцениваться по-разному.

Важно: если информация позволяет понять, о каком именно человеке идёт речь, она относится к персональным данным.

№4. Что можно делать с персональными данными

Закон разрешает совершать с персональными данными разные действия. К ним относятся:

сбор – получение персональных данных; обработка – любые действия с ними, в том числе запись, хранение, изменение, использование и удаление; распространение – передача или публикация персональных данных; передача третьим лицам – предоставление данных другим людям или организациям; хранение – сохранение персональных данных в течение определённого времени; обезличивание – обработка данных таким образом, чтобы по ним нельзя было определить конкретного человека; уничтожение – удаление персональных данных без возможности их восстановления.

Важно то, что любые действия, касающиеся персональных данных, можно совершить с согласия человека или его законного представителя. Однако есть и исключения.

№5. Когда согласие не нужно

Персональные данные могут собираться и обрабатываться и без согласия человека. Это возможно, если:

государственные органы рассматривают уголовные, административные или исполнительные дела; для государственной статистики; ведётся воинский учёт; в статистических целях после их обезличивания; для исполнения международных договоров, ратифицированных Казахстаном; для защиты конституционных прав и свобод человека; для открытия пенсионного счёта или получения информации о пенсионных накоплениях; для профессиональной деятельности СМИ.

Кроме того, персональные данные публикуются для того, чтобы получить сведения о кандидатах на государственные должности или если человек не предоставил данные, когда это было нужно.

Согласие не требуется также для таможенного администрирования и контроля, для оформления банкротства и при регистрации бизнеса.

Важно: с полным списком случаев можно ознакомиться, перейдя по ссылке.

№6. Когда нельзя собирать и использовать персональные данные

Как правило, собирать и использовать персональные данные нельзя без согласия человека. 

Также нельзя создавать или пополнять базы данных, массово собирая информацию из открытых источников не по назначению. При этом если сам человек всё-таки выложил свои данные, например, в соцсети, то получать разрешение на их использование не нужно, но требуется оставлять ссылку на них.

Кроме того, собирать данные можно только для определённых законных целей и только в том объёме, который действительно нужен. Нельзя запрашивать лишние сведения "на всякий случай", а также использовать персональные данные для причинения любого вреда и их владельцу, и другим людям тоже (например, использовать его удостоверение личности с целью обмана).

Помимо этого, нельзя собирать и хранить копии документов, удостоверяющих личность, на бумажном носителе (можно только в случае, если у организации нет возможности получить доступ к цифровым документам).

Важно: обрабатывать персональные данные тоже можно только с согласия человека. Так, на многих сайтах часто можно заметить всплывающее окно с просьбой дать разрешение на обработку данных. Часто, чтобы не заморачиваться, люди просто дают согласие и продолжают заниматься своими делами, не подозревая, что передают свои личные данные посторонним (даже если на самом деле это не требуется). Поэтому, чтобы избежать попадания персональных данных в сеть, следует с большим внимание реагировать в подобных ситуациях.

№7. Хранение, изменение и распространение данных

Хранить персональные данные могут только собственник и оператор (например, компания, которой дали разрешение на сбор и обработку). При этом хранить данные бессрочно не получится – только до достижения цели их сбора и обработки.

Изменять и дополнять персональные данные могут только собственник и оператор, но только после подачи официального обращения с просьбой поменять информацию или добавить что-то новое.

Что касается распространения данных, это можно сделать только с согласия человека или его законного представителя, если при этом не затрагиваются интересы других людей. Например, если компания без разрешения опубликует персональные данные своего работника в сети, это будет нарушением закона. Но в случае, если работник даст на это разрешение, компания имеет право распространить данные. 

Однако, если компания опубликует такую информацию, которая будет касаться не только одного человека (например, если работники состоят в браке и один из них не давал согласия на распространение информации), это тоже будет считаться нарушением.

Также организации не имеют права распространять данные, когда это выходит за рамки заявленных целей. Например, если организация собирает данные для подписания договора, она не может использовать их для чего-то другого.

Передавать персональные данные в другие страны можно только в тех случаях, если в тех странах могут обеспечить их защиту. Передать данные можно, когда:

человек дал разрешение на передачу данных; это предусмотрено международными договорами (если их утвердили в Казахстане); это необходимо для защиты Конституции, охраны общественного порядка, а также прав человека и его здоровья.

№8. Обезличивание и уничтожение персональных данных

Обезличивать персональные данные необходимо, если они используются для проведения статистических, социологических, научных или маркетинговых исследований.

Если персональные данные используются государственными органами для аналитики данных, их обезличиванием должен заниматься оператор цифрового правительства, если до этого сам собственник или оператор персональных данных не сделал этого.

Такое же правило действует при использовании персональных данных для национальной платформы искусственного интеллекта. В этом случае обезличивание выполняет оператор платформы, если данные не обезличили заранее.

Кроме того, можно и уничтожать персональные данные. Это может сделать сам человек или оператор. Уничтожить данные можно:

если истёк срок хранения; после прекращения отношений между человеком и оператором; после вступления в силу решения суда; если выяснилось, что персональные данные собирали или обрабатывали без согласия человека, кроме случаев, когда можно делать это без согласия.

№9. Что грозит за нарушения

За незаконный сбор или распространение сведений, составляющих личную или семейную тайну, без согласия человека грозит штраф до 5000 МРП (21 625 000 тенге) или лишение свободы до двух лет.

Кроме того, за злоупотребление служебными полномочиями, повлёкшее утечку персональных данных, предусмотрен штраф в размере 4000 МРП (17 300 000 тенге) или лишение свободы до четырёх лет.

Также за незаконное распространение, сбор, обработку, обезличивание, уничтожение, хранение или изменение персональных данных предусмотрена:

административная ответственность. Штрафы составляют от 30 до 2000 МРП (от 129 750 до 8 650 000 тенге), в зависимости от характера нарушения и статуса нарушителя (физическое или юридическое лицо); уголовная ответственность наступает в более тяжёлых случаях, например если человек, который обязан защищать персональные данные (например, сотрудник компании, госоргана или организации), не выполнил свои обязанности и из-за этого людям был причинён серьёзный вред. Срок также зависит от характера нарушения, но конкретно в таком случае лишить свободы могут сроком до двух лет.

А вот за распространение персональных данных, нанёсшее вред правам и законным интересам человека, грозит срок от трёх до семи лет.