Защита персональных данных в интернете

Персональные данные – это не только ИИН, данные удостоверения личности или номер банковской карты. В казахстанском законодательстве этот термин объясняется шире: это любые сведения, зафиксированные на электронном, бумажном или ином носителе, которые позволяют прямо или косвенно идентифицировать человека.

Это означает, что в цифровой среде персональными данными являются имя, фамилия, номер телефона, электронная почта, адрес, дата рождения, фотографии, сведения о месте работы и так далее.

При этом законодательство разделяет персональные данные на общедоступные и ограниченного доступа. Например, ИИН, номер удостоверения личности, домашний адрес, номер телефона, сведения о здоровье или банковских счетах относятся к конфиденциальным персональным данным. А вот фото на аватаре в соцсетях уже к общедоступным. Но это не означает, что фотографию можно использовать без каких-либо ограничений: распространение персональных данных требует согласия человека.

Дербес деректер - бұл тек ЖСН жеке куәлік деректері немесе банк картасының нөмірі ғана емес. Қазақстан заңнамасында бұл ұғым адамды тікелей немесе жанама түрде сәйкестендіруге мүмкіндік беретін электрондық қағаз немесе өзге де тасымалдағышта тіркелген кез келген мәлімет дербес деректерге жататынын айтып, кеңінен түсіндіріледі.

Бұл дегеніміз цифрлық ортада адамның аты-жөні, телефон нөмірі, электрондық поштасы, мекенжайы, туған күні, фотосуреттері, жұмыс орны туралы мәліметтер және тағы басқалары дербес деректер болып саналады.

Сонымен қатар заңнама дербес деректерді жалпыға қолжетімді және қолжетімділігі шектеулі деректерге бөледі. Мысалы, ЖСН, жеке куәлік нөмірі, үй мекенжайы, телефон нөмірі, денсаулық жағдайы немесе банк шоттары туралы мәліметтер құпия дербес деректерге жатады. Ал әлеуметтік желідегі аватардағы фото жалпыға қолжетімді ақпарат болып саналады. Алайда бұл фотосуретті ешқандай шектеусіз пайдалануға болады дегенді білдірмейді: дербес деректерді тарату үшін адамның келісімі қажет.

МВД РК на профильной конференции KompraConf озвучило статистику: в стране фиксируется более 40 крупных утечек данных в год. При этом Департамент по противодействию киберпреступности официально заявляет, что самым слабым звеном остается оператор, который имеет легальный доступ к базе данных.

Однако главная цифровая уязвимость современного мира не в утечках и незаконных продажах баз. Угрозу представляет не сама по себе украденная почта или номер телефона, а то, с какой легкостью мы сами даем злоумышленникам информацию о себе и своем образе жизни.

ІІМ Киберқылмысқа қарсы іс-қимыл департаменті KompraConf профильдік конференциясында Қазақстанда жылына 40-тан астам ірі деректердің таралып кету жағдайы тіркелетінін хабарлады. Сонымен қатар ведомство оператордың, яғни деректер базасына заңды түрде қол жеткізе алатын қызметкердің, әлі де ең осал буын болып отырғанын мәлімдеді.

Алайда қазіргі әлемдегі басты цифрлық осалдық тек деректердің таралып кетуі мен базалардың заңсыз сатылуында емес. Негізгі қауіп - ұрланған электрондық пошта немесе телефон нөмірінің өзінде емес, өзіміз туралы ақпаратты және өмір салтымызды алаяқтарға қаншалықты оңай беретінімізде.

Представим распространенное поведение человека в социальных сетях. Он публикует фотографию из окна нового офиса, отмечает геолокацию соседнего кафе в обед, выкладывает снимок билета на концерт или пишет эмоциональный пост с жалобой на управляющую компанию своего жилого комплекса. В комментариях его поддерживают члены семьи, которых он заботливо отметил тегами.

Каждое из этих действий по отдельности кажется абсолютно безопасным. Человек уверен, что просто делится моментами жизни. Но на деле он добровольно публикует маркеры, по которым можно восстановить его ежедневный распорядок дня и маршрут, уровень дохода, состав семьи, привычки и круг общения.

Әлеуметтік желідегі адамның күнделікті әрекетін елестетейік. Ол жаңа кеңсесінің терезесінен көріністі суретке түсіреді, түскі уақытта жақын маңдағы кафеде геолокацияны белгілейді, концерт билетін жариялайды немесе өзі тұратын тұрғын үй кешенінің басқарушы компаниясына шағым жазып, эмоциялық жазба қалдырады. Пікірлерде оны отбасы мүшелері қолдап, ол оларды белгілеп қояды.

Бұл әрекеттердің әрқайсысы жеке алғанда мүлдем қауіпсіз көрінеді. Адам өміріндегі сәттерімен ғана бөлісіп жатырмын деп ойлайды. Бірақ шын мәнінде ол өзінің күнделікті тәртібін, жүріп-тұратын бағытын, табыс деңгейін, отбасы құрамын, әдеттері мен араласатын ортасын анықтауға мүмкіндік беретін белгілерді өз еркімен жариялайды.

Чтобы собрать разрозненные фрагменты жизни человека воедино, даже не нужно обладать специфическими навыками. В интернете работают десятки легальных и полулегальных сервисов, которые автоматизируют сбор данных.

Например, системы обратного поиска по изображениям за несколько секунд находят все страницы человека в соцсетях по одной случайной фотографии. Приложения-определители номеров и Telegram-боты показывают, как конкретный номер телефона записан в записных книжках других людей (коллег, родственников, курьеров). А если загрузить в соцсеть исходный файл фотографии со смартфона, любой желающий сможет просмотреть ее EXIF-данные — скрытую информацию, в которой зашифрованы точные GPS-координаты и время съемки.

В итоге из десятка безобидных постов, пары чекинов и одной фотографии формируется исчерпывающее досье, которое злоумышленники могут использовать против владельца.

Адамның өміріндегі әртүрлі фрагменттерді бір жерге жинау үшін арнайы білімге ие болудың да қажеті жоқ. Интернетте деректерді жинауды автоматтандыратын ондаған заңды және жартылай заңды сервис жұмыс істейді.

Мысалы, суреттер бойынша кері іздеу жүйелері бір ғана кездейсоқ фотосурет арқылы адамның әлеуметтік желілердегі барлық парақшаларын бірнеше секунд ішінде таба алады. Нөмір анықтайтын қосымшалар мен Telegram-боттар белгілі бір телефон нөмірінің басқа адамдардың - әріптестердің, туыстардың немесе курьерлердің - телефон кітапшаларында қалай сақталғанын көрсетуі мүмкін. Ал смартфоннан алынған фотосуретті бастапқы файл күйінде әлеуметтік желіге жүктесеңіз, кез келген адам оның EXIF-деректерін - нақты GPS координаттары мен түсірілген уақыт туралы жасырын ақпаратты көре алады.

Нәтижесінде он шақты зиянсыз жазба, бірнеше геолокация белгісі және бір фотосуреттің өзі, алаяқтар өз мақсатына пайдалана алатын толыққанды құжаттамаға айналдырады.

Сбор информации о пользователях различными интернет-ресурсами сам по себе не означает нарушение закона. Цифровым сервисам действительно нужны данные для работы. Интернет-магазину нужен адрес, чтобы доставить заказ. Банку — информация для идентификации клиента. Приложению такси необходимо знать местоположение клиента и конечный адрес маршрута. Проблема возникает, когда объем собираемой информации становится избыточным. Большинство пользователей знакомы с этой ситуацией: регистрация на сайте или установка приложения заканчивается длинным текстом о политике конфиденциальности, после которого остается лишь не глядя нажать кнопку «Согласен».

Но это согласие — не просто техническая формальность. В этот момент мы даем сервису легальное право собирать и обрабатывать ваши данные. При этом зачастую приложения запрашивают разрешения, которые им совершенно не нужны для работы. Например, для интернет-магазина доступ к контактам и микрофону явно лишние.

Казахстанское законодательство устанавливает жесткое правило: сбор и обработка персональных данных должны ограничиваться конкретными, заранее определенными целями. То есть компании имеют право запрашивать ровно столько информации, сколько строго необходимо для оказания услуги. Более того, по законам РК человек имеет право отозвать свое согласие на обработку персональных данных. При отзыве оператор обязан в течение 15 рабочих дней прекратить обработку вашей информации (если ее хранение больше не требуется по законам, например, в случае с банковскими операциями).

Сегодня в Казахстане для этого существуют государственные цифровые инструменты (например, в сервисах eGov), которые позволяют гражданам проверять, кто именно запрашивал доступ к их данным, и управлять своими согласиями в пару кликов.

Әртүрлі интернет-ресурстардың пайдаланушылар туралы ақпарат жинауының өзі заң бұзушылықты білдірмейді. Цифрлық сервистерге жұмыс істеу үшін белгілі бір деректер шынымен қажет. Интернет-дүкенге тауарды жеткізу үшін мекенжай керек. Банкке клиентті сәйкестендіру үшін ақпарат қажет. Такси қосымшасына клиенттің орналасқан жері мен баратын мекенжайын білу қажет.

Мәселе жиналатын ақпарат көлемі шамадан тыс болған кезде туындайды. Көптеген пайдаланушы бұл жағдаймен таныс: сайтқа тіркелу немесе қосымшаны орнату ұзақ құпиялылық саясаты мәтінімен аяқталады. Соңында көпшілік ойланбастан «Келісемін» батырмасын басады.

Алайда бұл келісім жай ғана техникалық формальдылық емес. Осы сәтте біз сервиске деректерімізді заңды түрде жинауға және өңдеуге құқық береміз. Сонымен қатар кейбір қосымшалар жұмыс істеуі үшін қажет емес рұқсаттарды сұрайды. Мысалы, интернет-дүкенге контактілер мен микрофонға қол жеткізудің қажеті жоқ.

Қазақстан заңнамасы қатаң талап қояды: дербес деректерді жинау және өңдеу нақты әрі алдын ала белгіленген мақсаттармен шектелуі тиіс. Яғни компаниялар қызмет көрсету үшін қаншалықты ақпарат қажет болса, соншалықты ғана деректі сұрауға құқылы.

Бұдан бөлек, Қазақстан заңнамасына сәйкес адам дербес деректерін өңдеуге берген келісімін қайтарып ала алады. Келісім қайтарылған жағдайда оператор, егер деректерді сақтау заң бойынша міндетті болмаса, 15 жұмыс күні ішінде ақпаратты өңдеуді тоқтатуға тиіс. Мысалы, банктік операцияларға қатысты деректерді сақтау заң талаптарына байланысты қажет болуы мүмкін.

Қазір Қазақстанда бұл үшін мемлекеттік цифрлық құралдар, соның ішінде eGov сервистері бар. Олар азаматтарға өз деректеріне кімнің қол жеткізуді сұрағанын тексеруге және берілген келісімдерді бірнеше рет басу арқылы басқаруға мүмкіндік береді.

Полностью отказаться от цифрового следа невозможно, да и не нужно. Задача в том, чтобы не отдавать больше информации, чем необходимо, и взять свой профиль под контроль.

Цифрлық ізден толық бас тарту мүмкін емес әрі оның қажеті де жоқ. Міндет - қажет мөлшерден артық ақпарат бермеу және өз цифрлық профиліңізді бақылауда ұстау.