Существуют ли в Казахстане законодательные ограничения на использование личных email-адресов и номеров телефонов сотрудников, включая временных, в контексте их обязательного сбора и хранения. Могут ли возникнуть проблемы с соблюдением законодательства, если такие данные требуются для настройки многофакторной аутентификации или других целей безопасности?
Категории вопросов:

Существуют ли в Казахстане законодательные ограничения на использование личных email-адресов и номеров телефонов сотрудников, включая временных, в контексте их обязательного сбора и хранения. Могут ли возникнуть проблемы с соблюдением законодательства, если такие данные требуются для настройки многофакторной аутентификации или других целей безопасности?

Автор:
Исхакова Ариндия
28.11.2024 09:56
141
Раздел:  Все ответы

Вопрос:

Существуют ли в Казахстане законодательные ограничения на использование личных email-адресов и номеров телефонов сотрудников, включая временных, в контексте их обязательного сбора и хранения. Могут ли возникнуть проблемы с соблюдением законодательства, если такие данные требуются для настройки многофакторной аутентификации или других целей безопасности?

Ответ:

Согласно пп.9), 10) ст.1 Закона РК «О персональных данных и их защите» (далее-Закон), собственник базы, содержащей персональные данные- это государственный орган, физическое и (или) юридическое лицо, реализующие в соответствии с законами Республики Казахстан право владения, пользования и распоряжения базой, содержащей персональные данные. оператор базы, содержащей персональные данные– государственный орган, физическое и (или) юридическое лицо, осуществляющие сбор, обработку и защиту персональных данных;

При этом защитой персональных данных является комплекс мер, в том числе правовых, организационных и технических, осуществляемых в целях, установленных законом.

Согласно ст. 7 Закона, сбор, обработка персональных данных осуществляются собственником и (или) оператором, а также третьим лицом с согласия субъекта или его законного представителя. Согласие на сбор и обработку персональных данных включает:

1) наименование (фамилию, имя, отчество (если оно указано в документе, удостоверяющем личность), бизнес-идентификационный номер (индивидуальный идентификационный номер) оператора;

2) фамилию, имя, отчество (если оно указано в документе, удостоверяющем личность) субъекта;

3) срок или период, в течение которого действует согласие на сбор, обработку персональных данных;

4) сведения о возможности оператора или ее отсутствии передавать персональные данные третьим лицам;

5) сведения о наличии либо отсутствии трансграничной передачи персональных данных в процессе их обработки;

6) сведения о распространении персональных данных в общедоступных источниках;

7) перечень собираемых данных, связанных с субъектом;

8) иные сведения, определяемые собственником и (или) оператором.

Вместе с тем, в соответствии со ст. 11 Закона, собственники и (или) операторы, а также третьи лица, получающие доступ к персональным данным ограниченного доступа, обеспечивают их конфиденциальность путем соблюдения требований не допускать их распространения без согласия субъекта или его законного представителя либо наличия иного законного основания.

Лица, которым стали известны персональные данные ограниченного доступа в связи с профессиональной, служебной необходимостью, а также трудовыми отношениями, обязаны обеспечивать их конфиденциальность.

Собственник и (или) оператор, а также третье лицо обязаны принимать необходимые меры по защите персональных данных. Полный перечень обязанностей собственника и/или оператора, включая обязанность утверждать документы, определяющие политику оператора в отношении сбора, обработки и защиты персональных данных и принимать, и соблюдать необходимые меры, в том числе правовые, организационные и технические, для защиты персональных данных в соответствии с законодательством Республики Казахстан, определен ст. 25 Закона.

Таким образом, порядок сбора, обработки и хранения персональных данных и мер по их защите, определяется внутренним документом организации, составленным в соответствии с Законом. Также субъект персональных данных должен выразить свое согласие на их сбор и использование. То есть, примерно: «Я, ФИО, ИИН: ____ даю свое согласие ТОО «___» на сбор и обработку моих персональных данных, включающих: …номер телефона, e-mail, ..., для настройки многофакторной аутентификации или других целей безопасности».

В таком случае, если согласие дано в надлежащей форме, цели и содержание персональных данных перечислены исчерпывающе, а фактическая обработка не противоречит внутренней политике конфиденциальности и законодательству, причин для возникновения проблем не будет.

Уважаемый пользователь! Информация в ответе соответствует нормам законодательства Республики Казахстан, действовавшим на момент (дату) ответа.

Вам также может быть интересно: