Казахстанцы могут требовать полного удаления своих персональных данных из сервисов и банков

Граждане Казахстана теперь имеют право требовать от банков, компаний и онлайн-сервисов полного удаления своих персональных данных, если их информация продолжает использоваться для рекламных звонков или сообщений после прекращения обслуживания. Об этом на брифинге в СЦК сообщили депутат Мажилиса Екатерина Смышляева и вице-министр искусственного интеллекта и цифрового развития Дмитрий Мун.

Удаление данных и ограничение их обработки
По словам депутата Екатерины Смышляевой, новый Цифровой кодекс разделяет два понятия: удаление персональных данных и ограничение их обработки.

• Удаление данных возможно, если у компании нет законной обязанности хранить информацию.
• Ограничение обработки применяется, когда данные обязаны храниться по закону, например, в банковской сфере, где информация подлежит обязательному архивированию на срок от 5 до 10 лет.

«Ситуация, когда человек перестал пользоваться сервисом, но ему продолжают звонить с рекламой, является типичной. В этом случае гражданин имеет право потребовать остановить обработку его персональных данных», — подчеркнула Смышляева.

Если юридических оснований для хранения данных нет, гражданин вправе требовать полного удаления информации, включая контактные данные, электронную почту и любые идентифицирующие записи.

Уведомления о компрометации данных
При утечке персональных данных граждан обязательно уведомят.

• Пользователь получает SMS-уведомление о факте компрометации.
• Информация о происшествии отображается в цифровом пространстве гражданина, чтобы он мог контролировать доступ к своим данным.
• Если после удаления данных появляется маркер повторного обращения, это сигнализирует о том, что удаление не выполнено.

В таких случаях реагировать обязан Комитет информационной безопасности, рассматривая факт как нарушение закона о персональных данных и положений цифрового кодекса.

Сроки реакции и ответственность компаний
Вице-министр Дмитрий Мун отметил, что цифровой кодекс устанавливает конкретные сроки для реакции сервисов на обращения граждан:

• Если сервис продолжает звонить или отправлять рекламу пользователю, который давно перестал пользоваться его услугами, гражданин может требовать удаления или анонимизации данных.
• На выполнение запроса у компаний есть 15 дней с момента обращения.
• В случае невыполнения требования гражданин вправе обратиться в суд, после чего к компании могут применяться административные и финансовые санкции.

Реальные сценарии применения закона
На практике новые нормы означают следующее:

1. Банковские клиенты, закрывшие счета или отказавшиеся от услуг, могут потребовать удалить все контактные данные и остановить маркетинговые рассылки.
2. Пользователи онлайн-сервисов, переставшие пользоваться приложениями, имеют право потребовать, чтобы их данные были полностью анонимизированы, включая историю использования и платежные данные.
3. Компании, продолжающие рекламные звонки или рассылки после отказа клиента, могут столкнуться с штрафами и судебными исками, что создаёт реальный стимул соблюдать закон.

Типичные нарушения и проблемы
Анализ показал, что чаще всего нарушения происходят в следующих сферах:

• Финансовые организации, которые продолжают рекламировать кредиты и депозиты бывшим клиентам.
• Онлайн-магазины и сервисы доставки, которые сохраняют контактные данные пользователей после удаления аккаунта.
• Мобильные приложения, где пользовательская информация хранится без согласия после выхода из сервиса.

Международный опыт
Сравнивая с зарубежными практиками, новый закон Казахстана близок по духу к европейскому GDPR, который также даёт гражданам право требовать удаления данных («право на забвение») и ограничивает обработку информации без согласия владельца. Однако Цифровой кодекс дополнительно учитывает специфику банковской сферы и необходимость архивирования данных, что делает регулирование более адаптированным к внутреннему рынку.

Советы гражданам
Эксперты рекомендуют:

• Немедленно отправлять запрос на удаление или ограничение обработки данных при получении нежелательных звонков и сообщений.
• Сохранять подтверждения обращений, чтобы при необходимости обращаться в суд.
• Регулярно проверять уведомления о компрометации данных и цифровое пространство пользователя, чтобы убедиться, что удаление выполнено.

Цели новых норм и прогнозы
Введение таких правил направлено на:

• Усиление контроля за персональными данными, чтобы граждане могли управлять своей информацией.
• Защиту от незаконного использования данных, особенно в маркетинговых целях.
• Повышение прозрачности работы компаний, которые обрабатывают личные сведения.

По мнению экспертов, это создаёт условия для безопасного цифрового пространства, где граждане могут контролировать свои данные, а компании несут прямую ответственность за их использование.

Прогнозируется, что в течение года после вступления закона в силу количество жалоб на навязчивую рекламу и незаконное хранение данных значительно снизится. Кроме того, ожидается, что банки и сервисы внедрят более прозрачные процессы работы с пользовательской информацией, включая автоматизированные системы удаления и анонимизации данных.

В долгосрочной перспективе новые нормы позволят повысить доверие населения к цифровым сервисам, снизить количество жалоб и судебных разбирательств и создать здоровую практику управления персональными данными, аналогичную лучшим мировым стандартам.