Кому и на каких условиях предоставят обезличенные базы персональных данных для проведения исследований

Руководитель Бюро национальной статистики приказом от 30 сентября 2024 года утвердил в новой редакции Правила представления баз данных в деидентифицированном виде для использования в научной и научно-технической деятельности, сообщает Zakon.kz.

В частности, в правила добавлено понятие деидентификация – это процесс обработки персональных данных, в ходе которого данные обрабатываются таким образом, что они не могут быть использованы для идентификации конкретного субъекта данных без использования дополнительных данных, которые хранятся отдельно и защищены.

Базы данных в деидентифицированном виде для использования в научной и научно-технической деятельности предоставляют на основании разовой заявки:

• организациям, реализующим программу высшего и послевузовского образования в РК (вузам);
• организациям научной и научно-технической деятельности в РК;
• международным организациям в целях проведения научной и научно-технической деятельности.

Правилами установлено, что вузам и организациям научной и научно-технической деятельности данные передают в деидентифицированном виде на электронном носителе (CD диск) или представляется возможность работы с базами данных в деидентифицированном виде в Кабинете исследователя.

Международным организациям представляется возможность работы с базами данных в деидентифицированном виде исключительно в Кабинете исследователя.

При этом под кабинетом исследователя понимают специальное оборудованное помещение в территориальных подразделениях городов Астана и Алматы ведомства уполномоченного органа для работы с базами данных в деидентифицированном виде.

Заявка удостоверяется ЭЦП с приложением следующих документов:

• официальное письмо от организации с указанием реквизитов исследователя (фамилия, имя, отчество (при его наличии), номер документа, удостоверяющего личность исследователя);
• копия документа, удостоверяющего личность исследователя;
• заявка;
• обязательство получателя о неразглашении и об ограничении передачи третьим лицам базы данных в деидентифицированном виде;
• копия документа, подтверждающая наличие у организации разрешения на осуществление научной и научно-технической деятельности (государственная лицензия и приложение к лицензии на право ведения образовательной деятельности или свидетельство об аккредитации; рекомендательное письмо от казахстанских ученых и справка об идентификации в международных базах данных).

При формировании и подаче заявки исследователь, ознакомившись с политикой конфиденциальности, дает согласие на обработку персональных данных и на публикацию информации о заявке (дата подачи заявки, наименование организации, фамилия, имя, отчество (при его наличии) исследователя, описание запрашиваемой базы данных, цель и результат научно-исследовательской работы).

Служба документационного обеспечения в день получения заявки регистрирует ее в ИАС "Электронные обращения" и направляет на рассмотрение руководству ведомства уполномоченного органа. Срок рассмотрения обращения 15 рабочих дней.

Далее, после согласования заявки она передается для формирования базы данных в деидентифицированном виде в подведомственную организацию РГП на ПХВ "Информационно-вычислительный центр Бюро национальной статистики Агентства по стратегическому планированию и реформам Республики Казахстан" (подведомственная организация).

Порядок формирования баз данных в деидентифицированном виде подведомственной организацией:

• согласно полученной заявке формируется база из первичных статистических данных;
• определяется перечень первичных статистических данных, подлежащих деидентификации;
• с целью обеспечения конфиденциальности и защиты первичных статистических данных осуществляется деидентификация баз данных: путем удаления идентифицирующей информации о респонденте (фамилия, имя, отчество (при его наличии), наименование предприятия/организации, идентификационный номер, дата регистрации, адрес местонахождения, контактные данные, адрес электронной почты), взамен применяется нумерация, которая не может быть использована для идентификации;
• после завершения процесса деидентификации, база данных в деидентифицированном виде направляется в СП через систему управления ИТ-службой.

Структурное подразделение, ответственное за представление баз данных проверяет сформированную базу данных в деидентифицированном виде в течение одного рабочего дня с момента поступления на ее соответствие заявке и через систему управления ИТ-службой направляет в структурное подразделение, ответственное за информационную безопасность.

Структурное подразделение, ответственное за информационную безопасность, при обнаружении не обеспечения информационной безопасности первичных статистических данных, возвращает базу данных в деидентифицированном виде в СП с указанием конкретных причин не обеспечения информационной безопасности первичных статистических данных для доработки подведомственной организацией.

При обеспечении информационной безопасности первичных статистических данных, СП посредством ИАС "Электронные обращения" согласовывает ответ с соответствующими структурными подразделениями и направляет на электронную почту исследователя ответ о положительном рассмотрении заявки и готовности представить базу данных в деидентифицированном виде.

Порядок уничтожения электронного носителя

Уничтожение электронного носителя (CD диск) производится путем его деформирования до состояния, которое исключает его повторное использование.

После уничтожения электронного носителя (CD диск), составляется Акт в двух экземплярах, один экземпляр которого представляется в ведомство уполномоченного органа.

СП делает отметку в Журнале об уничтожении электронного носителя (CD диск), содержащего базу данных в деидентифицированном виде.

Порядок работы в Кабинете исследователя

График посещения Кабинета исследователя формируют в соответствии с рассмотренными заявками с учетом графика работы соответствующих территориальных подразделений ведомства уполномоченного органа.

Руководителем территориального подразделения ведомства уполномоченного органа назначается ответственный работник, отвечающий за работу Кабинета исследователя.

Ответственный работник загружает базу данных с электронного носителя (CD диск) на персональный компьютер для дальнейшей работы исследователя и уничтожает CD диск путем его деформирования до состояния, которое исключает его повторное использование.

После уничтожения электронного носителя, ответственный работник составляет Акт и делает отметку в Журнале об уничтожении электронного носителя (CD диск), содержащего базу данных в деидентифицированном виде.

Передвижение исследователя осуществляется в сопровождении ответственного работника.

Не допускается внесение исследователем в Кабинет исследователя фото- и видеоаппаратуры, записывающих устройств, носителей информации, визуальных средств наблюдения, вычислительной техники, радиотехнической и другой аппаратуры двойного назначения, технических устройств, в том числе и беспроводных, имеющих возможность передачи данных, мобильных средств индивидуальной связи и мобильных устройств, оснащенных интернет модулями, фото и видеокамерами, а также других электронных носителей.

Ответственный работник загружает исследователю в Кабинете исследователя результат его работы на электронный носитель (CD диск) и подтверждает эти действия подписями в Журнале.

Отказать в представлении баз данных в деидентифицированном виде могут в случаях:

• отсутствия технической возможности для обезличивания баз данных;
• если запрашиваемая информация не собирается и не может быть получена на основании расчетов сведений, формируемых органами государственной статистики;
• если заявка не позволяет однозначно определить содержание запрашиваемой информации (наименование статистического наблюдения, перечень показателей, периодичность, динамический ряд, территориальный разрез);
• не предоставлены требуемые документы;
• если в ранее рассмотренных заявках были не выполнены требования о размещении результатов исследования и уничтожении электронного носителя;
• несоблюдения исследователем ограничений касательно работы в Кабинете исследователя;
• несоблюдения исследователем обязательств о неразглашении и об ограничении передачи третьим лицам базы данных в деидентифицированном виде.

Приказ вводится в действие с 18 октября 2024 года.

Мы рассказывали, что серверы для хранения персональных данных должны находиться в Казахстане.