Юрист объяснил самые спорные нормы цифрового кодекса, подписанного президентом Токаевым
- Цифровая «конституция» для ИТ-рынка
- Удалите меня немедленно
- Точечное удаление данных
- Можно ли удалить о себе ВСЕ данные
- Что важно знать о цифровом забвении в интернете
- Ни один банк не сотрет всю информацию о вас
- Силовой блок и Национальная безопасность
- Государство тоже вас не «забудет»
- Искусственный интеллект
Новость, которую в Казахстане обсуждали не первый год, наконец стала реальностью. Президент подписал Цифровой кодекс, работа над которым началась еще в 2023 году - тогда Министерство цифрового развития, инноваций и аэрокосмической промышленности совместно с депутатами и экспертным сообществом взялось за создание единого и понятного свода правил для цифровой среды.
Сразу после принятия кодекса в редакцию Digital Business и к юристам пошел поток вопросов от сообщества. Больше всего обсуждений вызывает так называемое «право на цифровое забвение» - норма, позволяющая требовать удаления персональных данных из интернета. Во всех тонкостях мы разобрались вместе с юристом, управляющим партнером «SOLIS Partners» Чингисом Оралбаевым.
Цифровая «конституция» для ИТ-рынка
Принятый Цифровой кодекс впервые собрал разрозненные нормы о технологиях в один системный документ.
«Если раньше цифровое законодательство было разбросано по разным законам, то теперь у нас есть единый свод правил. Еще на этапе проектирования структура Кодекса была разделена на понятные блоки: общие положения (права и обязанности), цифровое правительство, данные, ИИ и кибербезопасность.
Это своего рода «конституция» для IT-рынка. В разработке участвовали не только государственные органы, но и крупнейшие представители индустрии: Ассоциация IT-компаний, «Атамекен», Blockchain-ассоциации и банковский сектор», - пояснил Чингис Оралбаев.
Удалите меня немедленно
В блоке, посвященном «Данным», а также в разделе «Субъекты и объекты правоотношений, права и обязанности», в проекте Цифрового кодекса закреплены механизмы управления персональной информацией.
«Раньше пользователь мог «попросить» удалить данные, и компания могла ссылаться на технические сложности или внутренние регламенты. Теперь, с принятием Кодекса, это переходит в разряд жестких обязанностей. Если пользователь нажимает кнопку «удалить аккаунт» или отзывает согласие, вы обязаны не просто скрыть его профиль, а физически вычистить данные из своих баз», - уточняет специалист.
Оралбаев подчеркивает, что неудобства из-за этого будут:
«Возникают риски для всех, кто накапливает Big Data, но не имеет автоматизированных протоколов очистки («garbage collection» в юридическом смысле). Этот механизм закладывался в фундамент Кодекса изначально, чтобы обеспечить суверенитет гражданина над его цифровым следом. Раньше мы жили в парадигме «закона о персональных данных», но Цифровой кодекс меняет архитектуру. Теперь удаление - это комплексная процедура, которая прошла согласование через Межведомственную комиссию еще в конце 2023 года и была финально одобрена правительством в версии, инициированной депутатами мажилиса, в ноябре 2024 года», - уточняет юрист.
Спросили Оралбаева также о том, на что смотреть гражданам в первую очередь.
«В проекте Кодекса право на забвение балансирует с обязанностями бизнеса. Обратите внимание, что в рабочей группе по разработке участвовали представители не только госорганов, но и крупнейших держателей данных: «Kaspi Bank», «Halyk» (тогда еще Jusan, Bank RBK и др.), телеком-операторы (Beeline/КарТел) и «Ассоциация блокчейн-технологий». Это значит, что финальная формулировка статьи об удалении - это компромисс, который технически реализуем банками и телекомами, а значит, и ваш IT-продукт обязан ему соответствовать», - акцентирует собеседник.
Точечное удаление данных
Юрист акцентирует, что в структуру Кодекса заложен блок «Общие положения», где определены права субъектов, и отдельный блок «Данные».
«Это означает, что пользователь теперь имеет право отозвать согласие на конкретную цель. Например, казахстанец может сказать, что хочет остаться клиентом вашего банка, но требует удалить его данные из базы для маркетинговых обзвонов или передачи партнерам. Бизнес теперь должен разделять эти потоки. Простите, но если у вас «все данные в одной куче», вы нарушаете закон», - указывает юрист.
Можно ли удалить о себе ВСЕ данные
К сожалению, сделать это невозможно физически.
«Многие пользователи и даже начинающие юристы воспринимают новый Цифровой кодекс как волшебную кнопку, которая стирает весь цифровой след человека из всех баз страны. Коллеги, это опасная иллюзия. Да, в блоке «Общие положения» Кодекса закреплены права субъекта, но на практике ваше желание быть забытым разбивается о суровую реальность. Давайте смотреть правде в глаза: Цифровой кодекс писали не только правозащитники, но и те, кому ваши данные жизненно необходимы. Чтобы понять, почему тотальное удаление невозможно, достаточно взглянуть на Приказ № 620 от декабря 2023 года, который утвердил состав Рабочей группы. В нее вошли не только ИТ-эксперты, а представители структур, чья работа невозможна без накопления архивов. Теперь предлагаю перейти к выводам и итогам», - подвел Чингис Оралбаев.
Что важно знать о цифровом забвении в интернете
Ни один банк не сотрет всю информацию о вас
«Вы можете удалить приложение банка, но банк не удалит информацию о вас. Интересы финансового сектора в рабочей группе отстаивали директора юридических и цифровых департаментов ключевых игроков: Kaspi Bank, First Heartland Jusan Bank, Bank RBK, Отбасы банк, а также Ассоциация финансистов Казахстана. Банки связаны императивными нормами законодательства о ПОД/ФТ (противодействие отмыванию денег). Даже если вы закрыли счет, история транзакций, IP-адреса входов и анкетные данные хранятся в архивах минимум 5 лет. Ни один банк не пойдет на нарушение лицензионных требований ради вашего «права на забвение», - предупреждает юрист.
Силовой блок и Национальная безопасность
«Если вы полагаете, что Кодекс позволит скрыть историю ваших цифровых перемещений или коммуникаций, вы ошибаетесь. Блок «Кибербезопасность», включенный в структуру Кодекса, создавался с учетом необходимости проведения оперативно-розыскных мероприятий. Удаление данных по запросу пользователя здесь невозможно, так как это противоречит задачам обеспечения правопорядка», - расставляет второй акцент специалист.
Государство тоже вас не «забудет»
«Фундаментальный блок Кодекса - «Цифровое правительство». Его архитектуру утверждали при участии АО «Национальные информационные технологии» (НИТ), НАО «Правительство для граждан» и Комитета по правовой статистике Генпрокуратуры. Иначе говоря, ваши данные в государственных реестрах (ГБД ФЛ, реестр недвижимости, акты гражданского состояния) определяют вашу правосубъектность. Удаление оттуда равносильно «юридической смерти», поэтому эти базы выведены из-под действия права на отзыв согласия», - подсвечивает юрист.
Искусственный интеллект
«Очень важный момент, на который стоит обратить внимание разработчикам и стартапам, - это регулирование ИИ. В проекте Кодекса предусмотрены нормы по применению технологий ИИ, их безопасному функционированию и, что важно, принципы этики ИИ. Если ваш продукт использует алгоритмы машинного обучения, вам придется доказывать обеспечение информационной безопасности в этой сфере. Это прямой сигнал рынку, что эпоха «дикого» внедрения ИИ без оглядки на риски сегодня все - закончилась. Нельзя обучать нейросеть на данных пользователя, который попросил их удалить. Если ваш алгоритм продолжает использовать «забытые» данные, это теперь нарушение не только приватности, но и норм по эксплуатации ИИ», - предупредил Чингис Оралбаев.