МИИЦР, 31 июля

В связи с распространением в открытых источниках информации о предполагаемой утечке персональных данных пользователей платформы Daryn.online Комитетом по информационной безопасности МИИЦР РК проведена внеплановая проверка деятельности ТОО "Daryn.online".
В ходе проверки изучены вопросы соблюдения требований Закона Республики Казахстан "О персональных данных и их защите", включая выполнение обязательных организационных и технических мер по обеспечению безопасности персональных данных.
По результатам проверки факт утечки персональных данных 4,2 млн записей не установлен. Фактический объем персональных данных, содержащихся в информационной системе ТОО "Daryn.online", составляет более 90 тыс. записей, что исключает возможность компрометации данных в объеме, указанном в публикациях.
Вместе с тем выявлены нарушения требований законодательства Республики Казахстан в сфере защиты персональных данных, связанные с ненадлежащим выполнением обязательных мер по их защите. По данному факту ТОО "Daryn.online" привлечено к административной ответственности в соответствии со статьей 79 Кодекса Республики Казахстан об административных правонарушениях с назначением административного штрафа.
Министерство отмечает, что в ходе проверок организаций частного сектора наиболее часто выявляются нарушения, связанные со сбором избыточного объема персональных данных, отсутствием надлежащего согласия субъектов на их обработку, неурегулированностью внутренних процессов обработки персональных данных, отсутствием ответственных лиц, а также недостаточным уровнем организационной и технической защиты информационных систем.
В целях соблюдения требований законодательства Министерство напоминает собственникам и операторам баз персональных данных о необходимости:
- осуществлять сбор и обработку персональных данных с согласия субъекта, за исключением случаев, предусмотренных законодательством, и только в объеме, необходимом для заявленных целей;
- утверждать внутренние документы, регулирующие сбор, обработку и защиту персональных данных;
- назначать лицо, ответственное за организацию обработки персональных данных, и определять перечень работников, имеющих к ним доступ;
- обеспечивать разграничение прав доступа, идентификацию и аутентификацию пользователей, установку и своевременное обновление средств защиты информации и программного обеспечения;
- вести журналы событий информационных систем и действий пользователей, имеющих доступ к персональным данным;
- обеспечивать защищенное хранение и передачу персональных данных ограниченного доступа, в том числе с применением шифрования и защищенных каналов связи;
- осуществлять хранение баз персональных данных на территории Республики Казахстан;
- уведомлять уполномоченный орган о нарушении безопасности персональных данных в течение одного рабочего дня с момента его обнаружения.
Несоблюдение установленных требований влечет ответственность в соответствии с законодательством Республики Казахстан.