Заключение

Кабинета Министров Кыргызской Республики на проект Закона

Кыргызской Республики «О внесении изменений в некоторые

законодательные акты Кыргызской Республики

(в Закон Кыргызской Республики «Об информации

персонального характера», в Уголовный кодекс

Кыргызской Республики)»

Кабинет Министров Кыргызской Республики в соответствии со статьей 27 конституционного Закона Кыргызской Республики «О Кабинете Министров Кыргызской Республики», рассмотрев проект Закона Кыргызской Республики «О внесении изменений в некоторые законодательные акты Кыргызской Республики (в Закон Кыргызской Республики «Об информации персонального характера», в Уголовный кодекс Кыргызской Республики)» (далее - проект Закона), инициированный депутатом Жогорку Кенеша Кыргызской Республики Малиевым А.К., приходит к следующему заключению.

1. Статьей 1 проекта Закона предлагается внести изменения в Закон Кыргызской Республики «Об информации персонального характера» (далее - Закон).

Так, Закон предлагается дополнить статьей 21¹, где устанавливается, что собственники и владельцы информационных систем, операторы базы, содержащей персональные данные, а также третьи лица, получившие электронные информационные ресурсы, содержащие персональные данные, обязаны принимать меры по их защите в соответствии с настоящим Законом и правилами обработки электронных информационных ресурсов, содержащих персональные данные, а также, что технологии синтеза контента, основанных на машинном обучении и искусственном интеллекте для обработки персональных данных регулируются правилами, установленными Кабинетом Министров Кыргызской Республики.

В соответствии со статьей 2 Закона действие данного Закона распространяется на отношения, возникающие при работе с информацией персонального характера независимо от применяемых средств обработки этой информации, включая использование информационных технологий.

Согласно части 2 статьи 16 Закона юридические лица имеют право на работу с персональными данными после регистрации в уполномоченном государственном органе в качестве держателя (обладателя) массива персональных данных.

При этом согласно части 2 статьи 6 Закона держатель (обладатель) персональных данных и обработчик обязаны обеспечивать охрану персональных данных во избежание несанкционированного доступа, блокирования, передачи, а равно их случайного или несанкционированного уничтожения, изменения или утраты.

Также, в соответствии с подпунктом «г» части 1 статьи 17 Закона держатель (обладатель) массива персональных данных обязан обеспечивать сохранность и достоверность персональных данных, а также установленный в нормативном порядке режим доступа к ним.

Таким образом, Законом уже предусмотрены нормы, обязывающие держателей (обладателей) массивов персональных данных и обработчиков принимать меры по защите персональных данных.

2. Проектом Закона предлагается дополнить Закон также статьей 21², согласно которому запрещается без согласия субъекта персональных данных обработка данных для создания изображений, аудио, видео, виртуальных сцен и другой информации, включая, помимо прочего:

а) преобразование текста в речь, преобразование голоса, редактирование атрибутов голоса;

б) генерация лиц, замена лиц, редактирование атрибутов персонажей, манипулирование лицами, манипулирование позами и другие технологии для создания или редактирования лиц и других биологических особенностей на изображениях и видеоконтенте;

в) улучшение изображения, восстановление изображения и другие редактирования небиологических особенностей изображений и видеоконтента;

г) трехмерная реконструкция по технологии создания или редактирования виртуальных сцен.

Необходимо отметить, что согласно статье 5 Закона работа с персональными данными может осуществляться держателем (обладателем) массива персональных данных только в случаях:

- если субъект персональных данных дал свое согласие на ее проведение;

- если она необходима для выполнения органами государственной власти, органами местного самоуправления своей компетенции, установленной законодательством Кыргызской Республики;

- если она нужна для достижения законных интересов держателей (обладателей);

- когда реализация этих интересов не препятствует осуществлению прав и свобод субъектов персональных данных применительно к обработке персональных данных;

- когда она необходима для защиты интересов субъекта персональных данных;

- если обработка персональных данных осуществляется исключительно в целях журналистики либо в целях художественного или литературного творчества при условии, что такие действия будут согласовываться с субъектом персональных данных с соблюдением права на неприкосновенность частной жизни и свободу слова.

Кроме того, согласно части 1 статьи 9 Закона субъект персональных данных самостоятельно решает вопрос о предоставлении кому-либо любых своих персональных данных, и дает согласие на их обработку свободно, осознанно и в форме, позволяющей подтвердить факт его получения.

Таким образом отмечаем, что согласно Закону предоставление согласия субъектом персональных данных на обработку его персональных данных является одним из оснований для работы с персональными данными.

3. Необходимо отметить, что Председателем Кабинета Министров Кыргызской Республики был инициирован проект Цифрового кодекса Кыргызской Республики и проекты законов Кыргызской Республики «О введении в действие Цифрового кодекса Кыргызской Республики», «О внесении изменений в некоторые законодательные акты Кыргызской Республики в связи с принятием Цифрового кодекса Кыргызской Республики», которые на сегодняшний день находятся на рассмотрении в Жогорку Кенеше Кыргызской Республики.

Так, согласно проекту Закона Кыргызской Республики «О введении в действие Цифрового кодекса Кыргызской Республики» предусматривается признание утратившим силу Закона Кыргызской Республики «Об информации персонального характера».

4. Статьей 2 проекта Закона предлагается внести изменения в Уголовный кодекс Кыргызской Республики в части установления ответственности за использование и распространение сведений о лице, содержащих персональные данные.

Так, проектом Закона предлагается определить, что использование и распространение сведений о лице, содержащих персональные данные, полученных без его согласия путем технологий синтеза контента, основанных на машинном обучении и искусственном интеллекте для обработки персональных данных, наказывается исправительными работами на срок от одного года до трех лет либо лишением права заниматься определенной деятельностью на срок до трех лет или штрафом от 500 до 1000 расчетных показателей.

При этом следует отметить, что в справке-обосновании к проекту Закона не отражена информация, исходя из каких критериев определено наказание исправительными работами на срок от одного года до трех лет либо лишение права заниматься определенной деятельностью на срок до трех лет, а также наложение штрафа за нарушение вышеотмеченных правил в размере от 500 до 1000 расчетных показателей.

В справке-обосновании к законопроекту также отсутствует анализ текущей ситуации, статистические данные о количестве нарушений, их отрицательные последствия, а также механизм определения предлагаемых размеров штрафов.

Кроме того, предлагаемые размеры санкций являются потенциально дискреционными, поскольку дают право субъекту, применяющему обозначенную норму, по своему усмотрению, не руководствуясь четкими, законодательно закрепленными критериями применять меры ответственности, виды и размеры которых варьируются от 500 до 1000 расчетных показателей.

5. Следует отметить, что Кодексом Кыргызской Республики о правонарушениях предусмотрена ответственность за нарушение требований по защите информации персонального характера.

Вместе с тем, в целях обеспечения дополнительной защиты прав и свобод человека и гражданина при сборе, обработке и использовании персональных данных, Председателем Кабинета Министров Кыргызской Республики инициирован законопроект, который предусматривает внесение изменений в Кодекс Кыргызской Республики о правонарушениях. Так, законопроектом предлагается дополнить Кодекс статьями, устанавливающими ответственность за:

- сбор, обработку, использование, хранение, передачу, включая обмен, персональных данных без законного основания;

- необоснованный отказ в предоставлении субъекту персональных данных информации, касающейся обработки его персональных данных;

- трансграничная передача персональных данных с нарушением установленного законом порядка;

- внесение неполной или недостоверной информации в Реестр держателей (обладателей) массивов персональных данных, а также отсутствие регистрации в Реестре;

- нарушение сбора, обработки и хранения персональных данных без использования средств автоматизации.

Указанные составы правонарушений вытекают из требований Закона Кыргызской Республики «Об информации персонального характера».

На основании вышеизложенного Кабинет Министров Кыргызской Республики считает нецелесообразным принятие проекта Закона Кыргызской Республики «О внесении изменений в некоторые законодательные акты Кыргызской Республики (в Закон Кыргызской Республики «Об информации персонального характера», в Уголовный кодекс Кыргызской Республики)».