Персональные сведения 529 работников семи организаций образования Шиелийского района оказались в открытом доступе на портале государственных закупок. Их разместили в документах для закупки услуг медицинского осмотра. После вмешательства прокуратуры были приняты меры по удалению данных.
Об инциденте прокуратура Кызылординской области сообщила 3 октября. Нарушения выявила районная прокуратура в ходе надзорных мероприятий. Руководителей организаций, допустивших разглашение, привлекли к дисциплинарной ответственности.
Личные сведения попали в закупочные документы
В описании прокуратуры источник раскрытия — документы, опубликованные самими организациями. Ведомство не сообщает о взломе портала или краже базы злоумышленниками. Публичная процедура закупки услуг стала каналом распространения информации о сотрудниках.
Какой именно набор сведений оказался доступен, в сообщении не уточняется. Поэтому нельзя утверждать, что опубликованы ИИН, адреса, диагнозы или результаты медосмотров. Связь документов с закупкой медицинских услуг сама по себе не доказывает раскрытие медицинской информации.
Также не названы семь организаций и срок, в течение которого файлы можно было скачать. Прокуратура не приводит сведений об использовании опубликованных данных мошенниками. Число 529 относится к работникам организаций образования; называть их всех учителями оснований нет.
Почему удаление файла и защита данных — разные задачи
Удаление ограничивает дальнейший доступ к сведениям на портале. Но по сообщению об удалении невозможно определить, скачивал ли кто-либо документы раньше. Для такой оценки нужны отдельные данные, которых в опубликованном сообщении нет.
Этот случай показывает проблему подготовки документов к публикации: информацию о необходимых услугах требуется отделять от сведений о конкретных людях. Проверка приложений становится частью работы с закупкой, поскольку личные данные могут находиться внутри файла, а не в названии закупки.
В Казахстане уже разрабатывают инструменты обезличивания
За несколько дней до этой публикации RAEM.KZ рассказывал о Qupia от ISSAI при Назарбаев Университете. Сервис предназначен для поиска и скрытия персональных данных в текстах, документах, изображениях и аудио.
Важное ограничение Qupia — статус демоверсии. Разработчики предупреждают, что распознавание может пропустить часть сведений, и просят не загружать реальные конфиденциальные документы. Поэтому считать этот инструмент готовой гарантией защиты закупочной документации нельзя.
Сведений о применении Qupia в организациях Шиелийского района нет. Связь двух материалов — в задаче: как убрать личные сведения из документа до его распространения. В случае с 529 работниками эта проверка должна была состояться до размещения файлов на общедоступном портале.
