Распознавание и закон о персональных данных РК

Где распознавание и закон о персональных данных РК пересекаются

Как только система распознавания извлекает из скана ФИО, дату рождения, номер удостоверения или ИИН, она перестаёт быть просто инструментом ввода текста и становится средством обработки персональных данных. С этого момента к процессу применяется Закон РК «О персональных данных и их защите». Именно здесь распознавание и закон о персональных данных РК смыкаются: не в момент показа документа оператору, а в момент, когда изображение превращается в структурированный набор полей, пригодный для хранения и передачи.

Практика финсектора устроена так, что распознавание почти всегда работает по самым чувствительным категориям. Идентификация клиента опирается на удостоверение личности, кредитный конвейер — на банковские выписки и справки о доходах, бухгалтерия — на счета-фактуры с БИН контрагента. Каждый такой поток порождает набор персональных данных, за судьбу которых оператор отвечает по закону. Поэтому проектировать распознавание в отрыве от требований к защите данных нельзя — ограничения нужно закладывать в архитектуру, а не навешивать поверх готового решения.

Что закон относит к персональным данным при распознавании

Персональные данные — это любые сведения, относящиеся к определённому или определяемому лицу. При распознавании удостоверений сюда попадают ФИО, дата и место рождения, номер документа, орган выдачи и сам ИИН — уникальный идентификатор, который связывает распознанные поля с конкретным человеком в любой базе. ИИН по своей природе позволяет однозначно установить личность, поэтому его извлечение всегда трактуется как обработка персональных данных, даже если остальные поля обезличены.

Отдельного внимания требует двуязычие документов. Казахстанские бланки оформляются на казахском и русском языках, и система должна корректно читать оба, не теряя диакритику и не подменяя буквы при транслитерации. Ошибка распознавания фамилии на казахском — это не только дефект качества, но и риск обработки неточных персональных данных, что закон прямо запрещает. Поэтому языковая полнота модели — это не удобство, а часть соответствия требованиям к достоверности.

Локализация и хранение данных в контуре клиента

Ключевое требование казахстанского законодательства — хранение и первичная обработка персональных данных граждан на технических средствах, физически находящихся на территории республики. Для распознавания это означает, что изображение документа и извлечённые из него поля не должны покидать страну и тем более уходить в неподконтрольное внешнее облако. Классический публичный OCR-сервис, куда файл уходит по API на зарубежные серверы, для банка или страховой практически неприменим — периметр обработки в этом случае невозможно ни очертить, ни проконтролировать.

Ответ на это ограничение — изолированное развёртывание. Система распознавания ставится внутри контура клиента, на его инфраструктуре, без исходящих каналов к вендору и без телеметрии, содержащей данные документов. Такой подход, на котором построен ZoomApps, снимает сам предмет спора: персональные данные не пересекают периметр организации, а значит вопрос трансграничной передачи и хранения за рубежом просто не возникает. Оператор сохраняет полный контроль над тем, где физически лежит скан удостоверения и результат его разбора.

Согласие, цель обработки и минимизация

Закон требует законного основания для обработки. В KYC-сценариях им обычно служит согласие субъекта либо прямое требование банковского и антиотмывочного законодательства, но в любом случае цель обработки должна быть определена заранее и не расширяться произвольно. Если удостоверение распознаётся для идентификации клиента, извлечённые поля нельзя без нового основания использовать для маркетинга или профилирования. Хорошая система распознавания документов помогает соблюдать это тем, что отдаёт ровно те поля, которые нужны процессу, и не накапливает лишнего.

С целью тесно связан принцип минимизации. При распознавании удостоверений для проверки возраста достаточно даты рождения — хранить полный образ документа неограниченно долго нет оснований. Структурированный вывод здесь работает в пользу соответствия: вместо того чтобы держать тяжёлые сканы, оператор получает нормализованные поля, для которых проще настроить сроки хранения, доступ и удаление. Чем уже поток данных, тем меньше поверхность риска при возможной утечке.

Практика финсектора: ИИН, KYC и интеграция с 1С

В реальных внедрениях распознавание редко живёт само по себе — оно кормит учётные и скоринговые системы. Распознанный ИИН уходит в анкету клиента, суммы и БИН из счетов-фактур попадают в 1С, реквизиты сторон из договоров — в CRM и системы электронного документооборота. Каждый такой стык — это ещё одна точка, где персональные данные передаются между системами, и защищать нужно не только сам модуль распознавания, но и канал, по которому уходит структурированный результат.

Особенно показателен разбор банковских выписок в кредитном конвейере. Выписка содержит не только суммы в тенге, но и историю операций, привязанную к конкретному лицу, — по сути поведенческий профиль. Обрабатывать такой документ во внешнем сервисе означало бы передавать наружу чувствительный срез финансовой жизни клиента. Изолированное развёртывание оставляет и распознавание, и результат внутри банковского контура, что закрывает требования закона без ущерба для скорости конвейера.

Как выстроить распознавание, устойчивое к проверке

Соответствие закону — это не разовая настройка, а свойство архитектуры. Система должна разворачиваться в периметре клиента, работать без исходящих каналов с данными, вести журнал доступа к распознанным полям и позволять настраивать сроки хранения под политику организации. Тогда при проверке уполномоченного органа оператор может показать не декларацию о намерениях, а физически очерченный контур обработки: вот где лежат данные, вот кто к ним обращался, вот когда они удаляются.

Такой инженерный подход и отличает нишевое решение от универсального облачного OCR. Когда распознавание проектируется сразу под требования к персональным данным, вопрос соответствия перестаёт быть отдельным проектом и становится частью того, как система устроена. Для банков и страховых Казахстана это означает, что внедрять распознавание можно, не открывая новый фронт юридических рисков, — при условии, что данные с самого начала не выходят за периметр.

Хотите увидеть распознавание на своих документах? Посмотрите что умеет ZoomApps или сразу напишите нам в WhatsApp — покажем на демо.