14.10.2026
Идентифицировать можно, защитить нельзя?
Проблемы нового определения персональных данных в Казахстане
Турысбекулы Мади
«Возможность идентифицировать человека
уже не обязательно означает возможность узнать его имя».
Рабочая группа по статье 29,
Позиция 4/2007 о понятии персональных данных (WP 136), раздел III.3[1]
КАК ИДЕНТИФИЦИРОВАТЬ ЧЕЛОВЕКА, НЕ ЗНАЯ ЕГО ИМЕНИ
В социальной сети пользователь с ником, представляющим собой произвольный набор символов, размещает материал. При этом аккаунт пользователя не содержит ни ФИО, ни фотографии, ни номера телефона. Через несколько дней пользователю звонят на личный номер и просят удалить данную публикацию.
Чтобы такой звонок состоялся, звонящий, по мнению автора, должен знать как минимум две вещи: кто скрывается за ником, то есть настоящие ФИО, и какой у этого человека абонентский номер, привязанный к ФИО. Оператор социальной сети, скорее всего, такими сведениями не располагает, и тому есть три причины. Во-первых, при регистрации социальные сети не требуют ни удостоверения личности, ни ИИН, а указанные пользователем имя и дата рождения не проверяются. Во-вторых, абонентский номер, если он и указан при регистрации, подтверждается самим фактом получения кода, а не сверкой со сведениями оператора связи: законодательство не предоставляет социальной сети доступа к базе абонентов, где номер сопоставлен с ФИО. В-третьих, большинство крупных социальных сетей не являются казахстанскими юридическими лицами и не подключены к государственным информационным системам, из которых такое сопоставление возможно. Что касается другого пользователя, то он не обладает такими данными, потому что ни по нику, ни по публикациям узнать настоящие ФИО и телефон человека он не может.
Установить личность автора конкретной публикации можно двумя путями. Первый - располагать доступом к базам данных, где учетная запись, абонентский номер и личность уже собраны вместе. Второй - сопоставить сведения из разных источников: другие аккаунты того же человека, упоминания, фотографии, круг общения. Объединяет эти пути одно: ни один из них не сводится к тому, что видно в самом аккаунте, и каждый требует соотнести между собой сведения, по отдельности на человека не указывающие. Именно это подп. 14-1) ст. 1 Закона РК «О персональных данных и их защите» (далее - Закон) называет связыванием отдельных наборов данных в совокупность, позволяющую идентифицировать субъекта. Здесь и возникает правовой вопрос: охватывает ли действующая редакция Закона сведения, которые позволяют установить личность в результате такого сопоставления.
После недавней трагедии на Каспии в сети появились сообщения пользователей о том, что им звонили с просьбой удалить размещенные ими материалы (публикации). К некоторым из пользователей приходили домой лица, представлявшиеся сотрудниками МВД. В свою очередь, МВД причастность своих сотрудников к подобным действиям отрицает. В этот спор автор не входит, поскольку он не о праве. К праву относится другой вопрос: какой объем данных нужно иметь, чтобы такой звонок/ визит домой стали технически возможны, и считает ли Закон эти данные персональными.
Ответ не так очевиден, как кажется. Если обратиться к ст. 6 Закона в редакции, действующей с 25 августа 2026 г., и сверить перечень идентификаторов с тем, что есть у оператора социальной сети, окажется, что персональных данных у него нет вообще. Ника в перечне нет. Человека, разместившего публикацию, при этом нашли.
Ниже автор постарается разобрать, почему так получилось, и показать, что это не единичная неточность, а один и тот же прием, повторенный в трех ключевых определениях Закона: текст закрывает перечень, а практика его открывает. Работоспособность положений Закона при этом держится на разъяснениях регулятора, которые источником права не являются.
ЧТО ИЗМЕНИЛОСЬ С 25 АВГУСТА 2026 ГОДА
Определение персональных данных в Казахстане за последний год изменили дважды, двумя разными законами, с разными сроками введения в действие.
Закон Республики Казахстан от 9 января 2026 г. № 256-VIII изложил в новой редакции подп. 2) ст. 1 Закона. В соответствии с данным подпунктом под персональными данными понимались «сведения или совокупность сведений о субъекте персональных данных, дополненные одним или несколькими идентификаторами персональных данных». Измененная редакция была введена в действие по истечении шести месяцев после дня первого официального опубликования, то есть с 12 июля 2026 г. и действует на дату настоящей публикации.
Позднее, Закон Республики Казахстан от 24 июня 2026 г. № 326-VIII (далее - Закон № 326-VIII) изложил в новой редакции ст. 6 Закона, которая была введена в действие с 25 августа 2026 г. и актуальна по сей день.
В настоящей публикации автор будет вести речь о действующей редакции Закона - той, которая применяется с 25 августа 2026 г.
ЧЕТЫРЕ ИДЕНТИФИКАТОРА: КОГО ЗАЩИЩАЕТ СТАТЬЯ 6 ЗАКОНА?
Статья 6 Закона в действующей редакции называется «Доступность персональных данных». Это важно для всего дальнейшего разбора: статья посвящена не идентификаторам как таковым, а делению персональных данных на виды по доступности, и идентификаторы помещены в нее как вспомогательный инструмент. Часть первая гласит: «Персональные данные по доступности подразделяются на общедоступные и ограниченного доступа».
Приведем далее ее части вторую и третью дословно:
«Идентификаторы персональных данных применяются для идентификации субъекта в отношении общедоступных персональных данных и персональных данных ограниченного доступа.
К идентификаторам персональных данных относятся:
1) фамилия, имя, отчество (если оно указано в документе, удостоверяющем личность) в совокупности;
2) индивидуальный идентификационный номер;
3) изображение лица субъекта;
4) биометрический вектор лица субъекта или его производные, которые могут быть восстановлены до первоначального значения.».
Как видим, к перечню идентификаторов отнесены только четыре элемента. При этом сама конструкция построена на том, что к идентификаторам «относятся», без оборота «включая» и без словосочетания «иные сведения, позволяющие идентифицировать субъекта». По смыслу перечень идентификаторов является закрытым и расширительному толкованию не подлежит.
Теперь соединим перечень идентификаторов с формулой подп. 2) ст. 1 Закона: персональные данные - сведения, дополненные идентификатором. При буквальном прочтении взаимосвязанных положений подп. 2) ст. 1 и ст. 6 Закона возникает риск вывода, что набор сведений, не содержащий ни одного из четырех перечисленных элементов, не признается персональными данными даже тогда, когда позволяет установить конкретного человека.
Именно такой ход Рабочая группа по статье 29 в Позиции 4/2007 назвала противоречием в терминах: «…утверждать, что люди не поддаются идентификации там, где целью обработки как раз и является их идентификация, значит противоречить самому себе.».[2]
Отметим и то, что два из четырех элементов перечня идентификаторов описывают одно и то же - лицо человека. Подпункт 3) называет изображение лица субъекта, подп. 4) - биометрический вектор лица субъекта. Иных частей тела и иных способов распознавания в перечне нет.
Между тем человека опознают далеко не только по лицу. Отпечаток пальца, радужная оболочка, сетчатка, рисунок вен ладони, голос, походка - все это устоявшиеся и давно применяемые способы идентификации, и ни один из них в ст. 6 Закона не назван. Для сравнения: ст. 4(14) GDPR относит к биометрическим данным обработку физических, физиологических и поведенческих характеристик, называя наряду с изображениями лица дактилоскопические данные, а § 1798.140(c) CCPA прямо перечисляет изображения радужной оболочки, сетчатки, отпечатка пальца, лица, кисти, ладони, рисунка вен и записи голоса.
Здесь уместно обратиться к габитоскопии - криминалистическому учению о внешнем облике человека. В ней признаки внешности делятся на анатомические и функциональные, а отдельно выделяются особые и броские приметы: шрамы и рубцы, родимые пятна, татуировки, аномалии развития, последствия травм, ампутации и протезы. Метод словесного портрета, предложенный Альфонсом Бертильоном в конце XIX века и применяемый по сей день, построен на том, что человека опознают по совокупности признаков, ни один из которых сам по себе его не называет. Примечательно, что к функциональным признакам габитоскопия относит походку, осанку, жестикуляцию, мимику и манеру речи - то есть ровно те поведенческие особенности, которые уполномоченный орган к биометрическим данным относить отказался.
Получается, что государство в лице правоохранительных органов больше века устанавливает личность по признакам, ни один из которых ст. 6 Закона идентификатором не называет. На взгляд автора, это и есть самое наглядное подтверждение узости перечня: законодательство о персональных данных разошлось не только с мировой практикой, но и с собственной отечественной криминалистикой.
ДВА ОПРЕДЕЛЕНИЯ - ОДНО ПОНЯТИЕ
Тем же Законом № 326-VIII ст. 1 Закона дополнена подп. 14-1) в следующей редакции:
«14-1) идентификатор персональных данных - информация, позволяющая идентифицировать субъект персональных данных или связать отдельные наборы данных о нем в совокупность сведений, позволяющих идентифицировать данного субъекта;».
По мнению автора, данное определение устроено иначе. Согласно ему идентификатором является любая информация, которая либо позволяет идентифицировать субъекта персональных данных сама по себе, либо позволяет связать отдельные наборы данных в такую совокупность, которая позволяет идентифицировать субъекта. Ни перечня, ни ограничения по виду сведений. Это тот самый функциональный подход, который принят в Европейском союзе и к которому автор вернется ниже.
Итак, в одном Законе и с одной даты действуют два определения одного и того же понятия - закрытый перечень в ст. 6 Закона и открытая формула в подп. 14-1) ст. 1 Закона. На взгляд автора, прочтений два, и оба доступны правоприменителю:
1) Либо ст. 6 Закона является иллюстрацией к подп. 14-1) ст. 1 Закона, и тогда перечень по существу открыт, а четыре пункта - очевидные, но не исчерпывающие примеры;
2) Либо перечень, приведенный в частях второй и третьей ст. 6 Закона, является исчерпывающим и определяет понятие идентификатора полностью, и тогда подп. 14-1) ст. 1 Закона остается нормой без собственного предмета: ни одного самостоятельного случая применения у него не остается.
По мнению автора, правильным является первое прочтение: только оно оставляет смысл всем введенным нормам одновременно. Но выводится такое прочтение из общего смысла регулирования, а не из текста приведенных выше норм Закона. К сожалению, в самом тексте нет ни одного слова, которое связывало бы ст. 6 Закона с подп. 14-1) ст. 1 Закона и подсказывало такое соотношение.
А оператор, выстраивающий процессы, и суд, рассматривающий спор, читают текст.
Ниже приведем три группы случаев, в которых эта неопределенность перестает быть сугубо теоретической.
Проблема 1. Когда идентификатор существует сам по себе
Начнем не со ст. 6 Закона, а с самой формулы определения, потому что дефект в ней принципиальнее.
Подпункт 2) ст. 1 Закона требует связки из двух элементов: (i) сведения о субъекте, (ii) дополненные идентификатором. Не «сведения либо идентификатор», а именно сведения, дополненные идентификатором. Идентификатор в этой конструкции - не самостоятельная величина, а добавка к некоему сведению.
Пример 1. В выгрузке из базы одна колонка: ИИН. Больше ничего - ни фамилии, ни возраста, ни адреса, ни суммы на счете. Дополнять нечего.
Является ли такая выгрузка персональными данными? По букве подп. 2) ст. 1 Закона - нет, потому что нет сведений, которые идентификатор дополнял бы. При этом индивидуальный идентификационный номер прямо назван идентификатором в подп. 2) ч. 3 ст. 6 Закона и идентифицирует человека однозначно: по нему устанавливается одно конкретное физическое лицо и никакое другое.
На взгляд автора, такой вывод недопустим, и вряд ли какой-либо правоприменитель к нему всерьез придет. Но обратите внимание, на чем держится правильный ответ: не на тексте нормы, а на том, что текст прочтен иначе, чем написан.
Пример 2. Выгрузка из базы: десять тысяч абонентских номеров телефонов и ничего больше. Или только адреса электронной почты. Или только уникальные никнеймы. Та же конструкция и тот же результат: сведений о человеке в такой выгрузке нет, дополнять нечего, из-за чего возникает риск такого толкования, что персональных данных там тоже нет. Между тем именно такие выгрузки и попадают в оборот чаще всего.
Теперь следует показать на этом же примере, что одно сведение способно идентифицировать человека само по себе, причем без участия того, кто ведет базу. Получив десять тысяч абонентских номеров, достаточно позвонить по любому из них, и человек на другом конце ответит. Он назовет себя, подтвердит адрес доставки, согласится на звонок «из банка» или перейдет по ссылке из сообщения. Иными словами, обладатель номера способен установить личность его владельца сам, силами одного звонка, и ему для этого не нужно ни ФИО, ни ИИН, ни доступ к чужой базе. Та же логика работает с адресом электронной почты: по нему направляется письмо, в ответ приходит подпись, должность, место работы.
Из этого следует главное. Вред, от которого Закон призван защищать, может наступить не в момент, когда оператор сопоставил номер с фамилией, а в момент, когда по номеру с человеком связались. Сведение, по которому с человеком можно вступить в прямой контакт против его воли, требует защиты независимо от того, названо ли оно в перечне идентификаторов.
Проблема 2. Идентификаторы, которых нет в перечне
Пример 3. Псевдоним и сценическое имя. Подпункт 1) ч. 3 ст. 6 Закона относит к идентификаторам «фамилию, имя, отчество … в совокупности». Ключевые слова здесь, по мнению автора, «в совокупности». То есть идентификатором является полный набор, взятый вместе.
При этом следует помнить, что писатель, публикующийся под псевдонимом, и исполнитель, выступающий под сценическим именем, - это люди живые, действующие и нередко - широко известные. Псевдоним не является ни фамилией, ни именем, ни отчеством этого человека; сценическое имя - тем более. В перечне из четырех пунктов его нет. Между тем это имя идентифицирует одного конкретного человека для миллионов людей надежнее, чем распространенное сочетание фамилии и имени, которое в стране носят сотни человек.
Казахстанская история дает этому прямые подтверждения. Ахмет Байтурсынов подписывался псевдонимом Арысулы, Мыржакып Дулатов - псевдонимом Мадияр, Сакен Сейфуллин издавался под псевдонимами, а имена Акан-сері и Жаяу Муса закрепились за конкретными людьми настолько, что ни фамилия, ни отчество для их узнавания не требуются. Ни одно из этих имен не является фамилией, именем или отчеством в смысле подп. 1) ч. 3 ст. 6 Закона, и ни одно не нуждается в дополняющих сведениях, чтобы указать на одного человека.
Та же картина за пределами Казахстана и среди живых авторов: Борис Акунин - это Григорий Чхартишвили, Ли Чайлд - Джеймс Дувр Грант, Ричард Бахман - Стивен Кинг. Более того, идентифицировать человека способно и название произведения: «Гарри Поттер» указывает на Джоан Роулинг, «Бойцовский клуб» - на Чака Паланика, «Песнь Льда и Пламени» - на Джорджа Мартина.
Здесь же отметим попутный дефект вышеуказанной формулировки. Оговорка в скобках - «если оно указано в документе, удостоверяющем личность» - относится к отчеству: местоимение среднего рода, ни к фамилии, ни к имени оно отнесено быть не может. Значит, для человека, у которого отчество в удостоверении личности указано, совокупность по подп. 1) ч. 3 ст. 6 Закона образуют три элемента, а пара «фамилия плюс имя» требуемой совокупности не образует. Список, в котором есть фамилия и имя, но нет отчества, по букве нормы идентификатора не содержит. К этому дефекту автор предлагает вернуться ниже на конкретном судебном деле.
Пример 4. Уникальный никнейм. Тот самый случай, с которого автор и начинал. Если ник встречается в сети в единственном экземпляре, он указывает на одного человека точнее, чем фамилия. В ст. 6 Закона об этом ни слова. В этом смысле казахстанский киберспорт дает наглядные примеры: под ником HObbit выступает Абай Хасенов, победитель мейджора PGL Major Kraków 2017 в составе Gambit Esports, а под ником qikert - Алексей Голубев, победитель мейджора IEM Rio Major 2022.[3] Оба ника уникальны, оба на протяжении многих лет указывают на одного человека, и ни один из них не является ни фамилией, ни именем, ни отчеством.
Пример 5. Отпечаток устройства. Версия браузера, разрешение экрана, набор установленных шрифтов, часовой пояс, язык системы, модель видеокарты. Каждый параметр в отдельности не говорит ни о каком человеке: таких данных могут быть миллионы. Совокупность параметров выделяет одно устройство из миллионов и через устройство - одного человека. Разложить этот набор на «сведения» и «идентификатор» по формуле подп. 2) ст. 1 Закона нельзя: идентифицирует не какой-то из элементов, а именно их сочетание.
Рабочая группа по статье 29 рассматривала эту технологию еще в Позиции 9/2014 об отпечатках устройств (WP 224)[4]. В разделе 3 отпечаток определен как «набор информационных элементов, который может быть использован для выделения, связывания либо вывода сведений о пользователе, пользовательском агенте или устройстве на протяжении времени», и там же перечислены образующие его данные: сведения CSS, объекты JavaScript, заголовки HTTP, параметры системных часов, установленные шрифты, сведения об установленных расширениях.
Ключевая мысль содержится в разделе 5: «Поскольку отдельный заголовок HTTP, как правило, имеет неуникальное значение, пользователи редко могут быть идентифицированы по одному такому элементу… Однако ряд информационных элементов может быть объединен в набор, который является достаточно уникальным (особенно в сочетании с иными идентификаторами, такими как IP-адрес исходящего соединения), чтобы служить уникальным отпечатком устройства… В результате лицо может быть соотнесено с таким отпечатком и, следовательно, идентифицировано либо стать поддающимся идентификации».[5]
Там же Рабочая группа отмечает, что, в отличие от файлов cookie, отпечаток устройства работает скрытно, у пользователя нет простых средств этому воспрепятствовать, а возможности сбросить или изменить образующие отпечаток элементы ограничены. И отдельно - что рекламные компании неоднократно заявляли, будто использование уникальных кодов не является обработкой персональных данных, однако Рабочая группа во многих документах настаивала на обратном: такие уникальные идентификаторы квалифицируются как персональные данные.
Здесь уместно оговорить собственную позицию и уточнить ее. В публикации от 21 ноября 2022 г. автор отмечал, что файлы cookie сами по себе персональными данными не являются. От этого вывода автор не отказывается и по сей день, поскольку cookie-файл по своей природе - это набор символов, записанный на устройство пользователя, и сам по себе он о человеке ничего не говорит. Персональными данными являются сведения, которые в нем содержатся. Если cookie содержит уникальный идентификатор пользователя, IP-адрес, логин либо данные, собираемые для целей маркетинга и аналитики, то эти сведения относятся к персональным данным, и именно так их прямо квалифицирует преамбула 30 GDPR. Уточнение, которое следует сделать сегодня, состоит в другом: четыре года назад профилирование держалось преимущественно на cookie, которые пользователь мог удалить, а сейчас оно опирается на параметры устройства, которые удалить нельзя.
Пример 6. Ритм нажатия клавиш при вводе пароля. Человек набирает пароль из десяти знаков. Фиксируется не сам пароль, а последовательность интервалов: сколько миллисекунд удерживается каждая клавиша и сколько проходит между нажатиями. Получается одна неделимая величина, по которой человек узнается. Ни фамилии, ни ИИН, ни изображения лица, ни биометрического вектора лица в ней нет. Разделить ее на сведения и идентификатор невозможно даже теоретически. К этому примеру автор еще вернется.
Проблема 3. Когда человека определяет сочетание признаков
Пример 7. В медицинской базе запись без имени: фельдшер-акушерка, женщина, работает в селе с населением полторы тысячи человек, диагноз. Фельдшер-акушерка в таком селе одна, и знают ее все жители данного села.
Ни «профессия», ни «пол», ни «населенный пункт» идентификаторами по ст. 6 Закона не являются и по отдельности ни на кого не указывают. Идентифицирует сочетание - потому что оно сужает круг до одного человека.
Рабочая группа по статье 29 описала этот механизм в Позиции 4/2007, раздел III.3, дословно:
«лицо может быть идентифицировано прямо - по имени, либо косвенно - по номеру телефона, регистрационному номеру автомобиля, номеру социального страхования, номеру паспорта либо по совокупности существенных признаков, позволяющих опознать его путем сужения группы, к которой он принадлежит (возраст, профессия, место жительства и тому подобное)».[6]
Здесь, на взгляд автора, находится корень проблемы. Закон описал сложение и не описал сужение. Оборот «одним или несколькими идентификаторами» в подп. 2) ст. 1 Закона этого не закрывает: там речь идет о сочетании идентификаторов, то есть элементов, каждый из которых уже назван в ст. 6 Закона. А в примере с фельдшером ни один признак идентификатором не является - идентифицирует их пересечение.
По мнению автора, ответ по действующему тексту - отрицательный: такая запись под понятие персональных данных не попадает. Важно, что то же самое допущение положено в основу режима анонимизации, который автор разберет дальше.
МОЖНО ЛИ ПРОЧИТАТЬ НОРМУ ИНАЧЕ?
Тезис о том, что одно только сведение может само быть идентификатором, вызывает понятное возражение. Приведем это возражение сразу.
Возьмем запись: человек написал книгу, и указано ее название. Нам скажут: «книга» здесь - сведение, а название - идентификатор, и формула, предусмотренная подп. 2) ст. 1 Закона, соблюдена. Та же логика с должностью: «аким» - сведение, «города Алматы» - идентификатор.
Возражение выглядит убедительно, но оно подтверждает приведенный выше тезис, а не опровергает его. Спросим: на каком основании название произведения или наименование города стало идентификатором персональных данных? В перечне из четырех элементов, указанных в ст. 6 Закона, ни того, ни другого нет. Единственная норма, из которой это можно вывести, - подп. 14-1) ст. 1 Закона, то есть открытое функциональное определение. А значит, возразивший уже согласился с тем, что идентификатором является любая информация, позволяющая идентифицировать субъекта, и что перечень из четырех элементов понятие не исчерпывает. Именно это автор и утверждает.
Второй вариант толкования - признать, что название произведения идентификатором не является, а значит, и персональных данных здесь нет, - приводит к еще более проблемному результату: персональных данных нет там, где человек фактически опознан. Как это выглядит не в теории, а в суде, показывает конкретное дело.
КАК ЗАКОН РАБОТАЕТ НА ПРАКТИКЕ: СПИСОК ДОЛЖНИКОВ В ПОДЪЕЗДЕ
До сих пор автор разбирал текст. Теперь следует показать, как такая конструкция работает в суде.
Бостандыкский районный суд города Алматы, решение от 4 сентября 2023 г. по делу № 7514-23-00-2/6986; оставлено без изменения судебной коллегией Алматинского городского суда, дело № 7599-23-00-2/10070.
Фабула простая. 27 декабря 2022 г. управляющая компания опубликовала список должников в общедомовом чате и в подъездах жилого комплекса: номера квартир, фамилии и имена владельцев, номера лицевых счетов, суммы задолженности.
Вывод суда, воспроизведенный в обеих инстанциях дословно:
«указанные данные о задолженности, включающие номера квартир и лицевых счетов, фамилию и имя собственника с указанием суммы долга, размещенные в подъезде жилого комплекса и общедомовом чате по своему содержанию не относятся к персональным данным ограниченного доступа».
Следует сделать три оговорки, без которых этот пример был бы некорректен.
Первая: это один спор, а не сложившаяся практика, поэтому корректно говорить «в одном из дел суды пришли к выводу», а не «суды считают». Вторая: суды применяли редакцию Закона, действовавшую до последних поправок, где определение было функциональным - «сведения, относящиеся к определенному или определяемому на их основании субъекту». Третья: иск был отклонен в том числе по процессуальным основаниям.
Именно поэтому пример, на взгляд автора, и ценен. Даже при функциональном определении защита не сработала. А с 25 августа 2026 г. аналогичный спор может быть завершен на шаг раньше: номер квартиры идентификатором не назван, номер лицевого счета не назван, сумма долга не названа, а «фамилия и имя» без отчества совокупности по подп. 1) ч. 3 ст. 6 Закона не образуют. При буквальном прочтении нормы персональных данных в таком объявлении не имеется.
Но это лишь поверхностный взгляд, и он упускает главное.
Во-первых, по существу. Совокупность фамилии, имени и точного адреса - город, улица или микрорайон, номер дома, номер квартиры - позволяет установить конкретного человека однозначно. Невозможно представить, что по одному и тому же адресу проживают разные люди с одними и теми же фамилией и именем. Сумма долга, добавленная к этой совокупности, раскрывает сведения об имущественном положении собственника. Если признать, что такой набор под понятие персональных данных не попадает, теряется смысл самих принципов, на которых построен Закон.
Во-вторых, по структуре ст. 6 Закона. Суд установил, что опубликованные сведения не относятся к персональным данным ограниченного доступа. Но часть первая ст. 6 Закона делит персональные данные всего на два вида - общедоступные и ограниченного доступа. Значит, вывод суда оставляет только один вариант: эти данные общедоступные. А общедоступными ст. 6 Закона признает персональные данные, «на которые в соответствии с законами Республики Казахстан не распространяются требования соблюдения конфиденциальности, доступ к которым является свободным с согласия субъекта».
Ни того, ни другого условия в деле не было. Закон, снимающий конфиденциальность со списка должников по коммунальным платежам, отсутствует. Согласия собственников на размещение их данных в подъезде и в общедомовом чате управляющая компания не получала - иначе спора бы не было. При этом п. 3 ст. 7 Закона прямо устанавливает, что распространение персональных данных в общедоступных источниках допускается при наличии согласия субъекта или его законного представителя.
Получается конструкция, которой в Законе нет: данные не относятся к ограниченному доступу, но и условиям общедоступности не отвечают. Третьего вида ст. 6 Закона не предусматривает. На взгляд автора, это и есть практическое следствие того, что деление построено на доступности, а не на том, опознается ли по этим сведениям человек.
Пример из мировой практики. В Испании есть прямая законодательная оговорка, разрешающая вывешивать уведомления собственникам на доске объявлений товарищества. Содержится она в подп. h) п. 1 ст. 9 Закона о горизонтальной собственности (Ley de Propiedad Horizontal)[7], который обязывает собственника сообщить адрес в Испании для вручения извещений, а во втором абзаце предусматривает: если вручить извещение по этому адресу не удалось, оно считается произведенным путем «размещения соответствующего сообщения на доске объявлений товарищества» («mediante la colocación de la comunicación correspondiente en el tablón de anuncios de la comunidad»), за подписью секретаря и с визой председателя, и приобретает полную юридическую силу по истечении трех календарных дней. Отдельно следует указать п. 2 ст. 16 того же Закона о горизонтальной собственности: он требует, чтобы в уведомлении о проведении общего собрания собственников были перечислены собственники, имеющие задолженность перед товариществом, с предупреждением о возможной утрате права голоса. То есть испанский законодатель разрешил не произвольную публикацию списка должников, а два строго определенных действия с разными основаниями и разными адресатами.
И все равно испанский надзорный орган - Агентство по защите данных (AEPD) - обставило данное право условиями: список можно вывесить только если доказано, что индивидуально уведомить собственника не удалось («siempre que se pueda acreditar que la notificación al propietario no ha sido posible»), и доска не должна стоять в проходном месте, доступном любому («no deberá colocarse en un lugar de tránsito fácilmente accesible por cualquier persona»). Допустимый способ - индивидуальная рассылка, почтовый ящик или доступ по паролю.
В деле AEPD № PS-00277-2023 от 7 ноября 2023 г.[8] на доске объявлений в подъезде был вывешен документ, озаглавленный «COMUNIDAD PROPIETARIOS B.B.B. APARTAMENTOS PENDIENTE POR PAGAR», в котором пять квартир были перечислены по номерам с указанием накопившейся задолженности. Фамилий в документе не было, а сам подъезд запирался, - тем не менее AEPD установило, что сведения были доступны другим жильцам и любому входящему в дом. Нарушение квалифицировано по ст. 5(1)(f) GDPR (принцип целостности и конфиденциальности) со штрафом 700 евро и по ст. 32 GDPR (безопасность обработки) со штрафом 300 евро, всего 1 000 евро. Дополнительно на основании ст. 58(2)(d) GDPR предписано в течение одного месяца снять документ с доски объявлений, а в течение шести месяцев подтвердить наличие процедуры, обеспечивающей использование доски объявлений для извещений только при соблюдении требований подп. h) п. 1 ст. 9 Закона о горизонтальной собственности.
Разница укладывается в два предложения. В Испании номер квартиры и сумма долга без фамилии - персональные данные и нарушение. В Казахстане фамилия, имя, номер квартиры, номер лицевого счета и сумма долга вместе - не данные ограниченного доступа, и иск отклонен в двух инстанциях.
Здесь нужно быть точным в адресате критики. Суд применил то, что было написано в Законе, и в этом его работа. Там, где норма сформулирована уже, чем происходящее в действительности, суд применяет ее как написано. Там, где перечень закрыт и неработоспособен, его открывает регулятор своим письмом - этот случай автор разберет дальше. Оба пути ведут к одному результату: объем защиты определяется чем угодно, кроме того единственного обстоятельства, которое должно иметь значение, - был ли человек фактически опознан.
Две детали, о которых нельзя забывать.
Первая: номер лицевого счета, на взгляд автора, является персональными данными, даже если по форме он привязан к квартире, а не к владельцу: он существует ровно для того, чтобы предъявить требование конкретному человеку. Позиция 4/2007 в разделе III.2 дает для таких случаев альтернативный тест «относится к» - по содержанию, по цели либо по последствию, причем элементы эти альтернативны.
Вторая: сумму долга не следует называть особой категорией данных. В статью 9 GDPR она не входит, и AEPD применило не статью 9, а статьи 5(1)(f) и 32 того же GDPR. Ее правильная квалификация - обычные персональные данные, раскрытие которых причиняет несоразмерный вред, то есть вопрос балансировки интересов.
АНОНИМИЗАЦИЯ: ДВА ОПРЕДЕЛЕНИЯ В ОДНОМ ЗАКОНОДАТЕЛЬСТВЕ
Подпункт 2-5) ст. 1 Закона о персональных данных гласит:
«2-5) анонимизация персональных данных - действия, направленные на необратимое преобразование идентификаторов персональных данных, в результате совершения которых определение принадлежности персональных данных субъекту персональных данных невозможно».
Абзац второй п. 1 ст. 41 Цифрового кодекса Республики Казахстан определяет следующее:
«Под анонимизацией персональных данных понимаются действия, в результате совершения которых определение принадлежности персональных данных субъекту персональных данных становится невозможным.».
Различие состоит в том, что Цифровой кодекс определяет анонимизацию через результат: важно, можно ли после преобразования определить принадлежность данных человеку. Закон же дополнительно ограничивает предмет действий - необратимым преобразованием идентификаторов.
Это не спор о дефинициях, и вот почему. Подпункт 5) п. 4 ст. 41 Цифрового кодекса устанавливает, что требование субъекта об удалении данных не исполняется, если данные необходимы для государственной статистики или научно-исследовательской деятельности - «при условии анонимизации». Следовательно, от того, какое из двух определений применить, зависит не терминология, а законность бессрочного хранения.
Пример 8. Поведенческое досье: история покупок, геолокация за несколько лет, список посещенных интернет-ресурсов, время активности, модель устройства, круг контактов. Фамилии, имени и отчества в совокупности там нет, ИИН нет, изображения лица и биометрического вектора нет.
При буквальном прочтении Закона возникает риск того, что такое досье будет считаться анонимизированным: идентификаторы из перечня ст. 6 Закона в нем отсутствуют, а значит, формально отсутствует и необходимость в их преобразовании. Из такого толкования может следовать, что досье допустимо хранить бессрочно и требование субъекта об удалении на него не распространяется. Однако такой вывод расходится с подходом Цифрового кодекса: принадлежность досье конкретному человеку по-прежнему можно определить - именно на этом и основано ведение такого досье.
Заметим одну вещь, которая важна для дальнейших предложений: правильная формулировка уже есть в казахстанском праве, и находится она в Цифровом кодексе, который в иерархии выше Закона. Заимствовать здесь ничего не требуется.
ОБРАБОТКА ПЕРСОНАЛЬНЫХ ДАННЫХ: ЗАКРЫТЫЙ ПЕРЕЧЕНЬ И ОТКРЫТАЯ ПРАКТИКА
Подпункт 12) ст. 1 Закона в редакции с 25 августа 2026 г.:
«12) обработка персональных данных — действия, направленные на накопление, хранение, изменение, дополнение, использование, распространение, обезличивание, анонимизацию, блокирование, уничтожение и удаление персональных данных;».
Та же конструкция: перечисление без «в том числе» и без «иные действия». Сбора в нем нет. Получения нет. Просмотра нет. Доступа нет. Передачи как таковой нет.
Практически же вопрос решен иначе. В письме Комитета по информационной безопасности МЦРИАП от 04.05.2024 г. № ЖТ-2023-03797464 указано, что перечисленные мероприятия «будут отнесены к обработке, что подразумевает открытость понятия обработки персональных данных», а также что «структурирование, просмотр, раскрытие (в том числе, посредством передачи), доступ, сопоставление, сокращение, удаление относятся к действиям, направленным к использованию и изменению персональных данных».
Здесь следует оговориться, что письмо государственного органа источником права не является, нормативным правовым актом не регистрируется, суд им не связан.
Почему это важно при разговоре об идентификаторах? Вернемся к примеру, с которого автор начинал. Для того, чтобы установить личность автора публикации, ничего не нужно накапливать, изменять или распространять. Достаточно посмотреть в базу и сопоставить две записи. По тексту подп. 12) ст. 1 Закона - это не обработка, а по письму Комитета по информационной безопасности - обработка.
Разница между этими двумя ответами не техническая. Письмо уполномоченного органа не является нормой права: оно не проходит регистрацию в качестве нормативного правового акта, не публикуется в установленном для таких актов порядке и не обязывает суд. Суд, рассматривая спор, применяет текст Закона, а не разъяснение Комитета по информационной безопасности, и вправе прийти к выводу, что просмотр базы и сопоставление записей в перечень из подп. 12) ст. 1 Закона не входят. Таким образом, работоспособность нормы сегодня обеспечивается документом, на который правоприменитель не обязан опираться.
