Исследование по персональным данным в коммерческом секторе Кыргызской Республики

Исследователи: Нурбек Арзымбаев, Талант Султанов, Айпери Бозоева,Жазгуль Зуридинова

Главной задачей исследования было выяснить, как «рынок», коммерческий[1] сектор в Кыргызской Республике обеспечивают исполнение законодательства при сборе и обработке персональных данных, непосредственно предоставленных пользователями[2], в условиях отсутствия органа, контролирующего исполнение законодательства.

По результатам нашего исследования мы можем утверждать, что подавляющее большинство изученных нами компаний нелегитимно собирают персональные данные, не ознакамливают пользователей о перечне собираемых персональных данных, целях их сбора и обработки, их правах, сроках хранения и об их защите.

Из просмотренных нами более 500 веб-сайтов компаний около 180 непосредственно собирают персональные данные (далее ПД) от пользователей. Подавляющее большинство собирают контактные данные пользователей для обратной связи и отправки информации об акциях и продукции компании.

 Из 180 собирающих ПД только 44 компании получают согласие. Однако, по данным нашего исследования, абсолютное большинство онлайн-форм получения согласия по обработке персональных данных не соответствуют законодательству по персональным данным КР. По действующему законодательству, отсутствуют нормы дачи электронного согласия на сбор и обработку ПД, кроме использования электронной подписи. Несмотря на то, что в законе имеется более упрощенная форма – «простая электронная подпись», из просмотренного количества лишь единичные веб-ресурсы используют ее для получения согласия на сбор и обработку ПД.

Из 180 веб-сайтов, которые запрашивали ПД, более 40 % веб-сайтов находились за пределами страны. При этом только шесть компаний в форме согласия отобразили пункты о трансграничной передаче данных.

Из 519 веб-сайтов только 17 (или 3 %) опубликовали на веб-сайтах Политику по обработке персональных данных[3]. Соответственно, они не ознакамливают пользователей с целями сбора ПД, условиями их обработки, хранения, уничтожения, правами и другими важными аспектами, связанными с ПД. Также необходимо отметить, что только одна компания из 519 разработала и опубликовала Политику обработки данных на кыргызском языке.

         Достаточно сложно сделать однозначные выводы об объемах и чрезмерности собираемых данных из-за отсутствия целей сбора, опубликованных компаниями. Но нами зафиксированы случаи сбора специальных категорий ПД[4] и сбор ПД, не соответствующих тексту получаемых согласий.

В целом можно составить портрет компаний в коммерческом секторе – компания собирает непосредственно от пользователей персональные данные только для маркетинговых рассылок, обратной связи или предоставления скидок; не получает легитимного согласия от пользователей на сбор и обработку ПД; не уведомляет пользователей о мерах, предпринимаемых для защиты ПД, о правах пользователей.

По результатам исследования можно сделать вывод, что отсутствие уполномоченного органа негативно сказывается на взаимоотношениях субъекта ПД с частным сектором. Субъекты ПД не могут реализовать свои законные права, коммерческий сектор фактически не соблюдает законодательство и другие акты по защите персональных данных страны. Также в ходе исследования, изучив законодательство страны, проверив исполнение прав субъектов ПД, проанализировав утечку ПД, мы считаем, что имеются существенные пробелы в законодательстве страны. К примеру, к основным можно отнести следующее: нечетко прописаны права по отзыву согласия, сложности при даче электронного согласия (только электронная подпись), отсутствуют нормы по уведомлению об утечке, возможность отписки от маркетинговых рассылок и защиты ПД детей и др.. 

[1]Вопрос сбора и обработки данных государственным сектором требует отдельного исследования.

[2]Необходимо отметить, что в исследовании мы разделяем понятия «непосредственно предоставляемые персональные данные» и «косвенно предоставляемые персональные данные». Исследование было проведено только по изучению непосредственно предоставляемых персональных данных. В последующих исследованиях мы рассмотрим косвенно предоставляемые персональные данные и отношение пользователей к ним.

[3]Документ, который часто также называют политикой конфиденциальности, определяет политику держателя/обработчика в отношении обработки персональных данных (далее Политика).

[4]В законе об информации персонального характера под специальными категориями понимаются расовое или этническое происхождение, национальная принадлежность, политические взгляды, религиозные или философские убеждения, а также данные, касающиеся состояния здоровья и сексуальных наклонностей.

Источник:  Исследование по персональным данным в коммерческом секторе Кыргызской Республики