В Казахстане ограничат доступ к базам данных о казахстанцах

Багдат Мусин, министр цифрового развития, инноваций и аэрокосмической промышленности РК, рассказал о том, что операторам ЦОН закроют доступ к базам данных о казахстанцах — получать персональные сведения они смогут только при предъявлении кода, который им сообщит клиент.

«Глава государства поручил усилить защиту персональных данных. Мы внедряем несколько вещей. Например, цифровое согласие. Когда человек сегодня в ЦОН приходит, предъявляет ИИН, оператор ЦОН может войти во все базы данных. Мы будем применять такой принцип: оператор не будет иметь доступа к базе до того момента, пока клиент не продиктует код, который получить по SMS. Только после введения кода оператор сможет просматривать его персональные данные. Такой принцип будет применяться повсеместно», — рассказал министр.

По его словам, это новшество уже тестируют в трех ЦОНах. Распространить похожую практику и в другие отделения центров обслуживания населения планируется до конца года.

«Мы систему отлаживаем, будем внедрять подобный принцип. Это самый действенный способ защиты персональных данных и ограничения госслужащих», — заключил министр.

Вместе с тем представители ИТ-сферы обращают внимание на то, что поправки по персональным данным «убьют весь сервис и казахстанский ИТ». Так, например, Асем Нургалиева, исполнительный директор ТОО «Первое Кредитное Бюро» заявила, что с января появилась масса новых требований по информбезопасности для подключения к ГБД, из всех открытых источников убрали возможность получения верификационных сведений (например, КГД убрали проверку ИИН и ФИО на сайте). У ИТ-бизнеса есть также возражения по новым поправкам по реестру операторов персональных данных и использованию единого сервиса получения согласий.

Асем Нургалиева призывает профильное министерство и депутатский корпусу обратить внимание на проблему и более тщательно и системно подойти к вопросу защиты персональных данных. Но важно и не «душить бизнес, которому и так нелегко».

Асем пояснила, какие поправки вызывают беспокойство. Среди них — сервис обеспечения безопасности персональных данных — единственный сервис получения согласия субъектами бизнеса на сбор и обработку персональных данных, иные способы получения согласия исключаются. Планируется, что сервис будет государственным и монопольным. Более того, он сервис получит доступ к информационным системам субъектов бизнеса для контроля над персональными данными.

«Бизнес становится зависимым от „бутылочного горлышка“ в виде данного сервиса и не сможет развивать свои собственные сервисы, удобные для клиента. Также государственный сервис получает информацию обо всей клиентской базе субъекта бизнеса. Со стороны гражданина, государственному сервису становится известно, где гражданин обслуживается, в каких магазинах, где проходит лечение, где занимается спортом, в каких банках осуществляет операции и т. д.», — рассказывает Асем Нургалиева.

Помимо этого, вводится новый регуляторный инструмент в виде уведомления. Все субъекты бизнеса будут обязаны уведомить по определенной форме уполномоченный орган о начале работы с персональными данными. Доступ к персональным данным будет осуществляться только с использованием многофакторной аутентификации, что излишне усложнит бизнес-процессы и потребует дополнительных вложений средств со стороны бизнеса, «а в целом не защитит от утечки персональных данных».

«В качестве предложений мы уже неоднократно говорили. Определите правила игры, каким должно быть согласие (есть хороший пример GDPR, в котором категоризированы персональные, анонимизированные, псевдонимизированные и иные данные), но не надо вменять решение. Не нужен никому единый сервис согласий, еще и государственный. Давайте сделаем требования и каждый сам сделает удобный инструмент. В зависимости от специфики рынка. Давайте идти от задач государства, потребностей граждан (социальный заказ) и возможностей для развития бизнеса», — подытожила Асем Нургалиева.

Однако важно прислушаться и к обычным гражданам, которые, однажды дав согласие на сбор и обработку данных, даже не знают, где и как их данные обрабатываются, а также не могут свое согласие отозвать. Именно это, считают эксперты, и необходимо регулировать требованиями и применять единый реестр согласий для государственных баз данных, не накладывая обязательства на частный бизнес.