Приказ вводится в действие со 2 октября 2026 года.
Какие новые понятия появились в Правилах сбора и обработки персональных данных
В Правилах появялись определения удаления, анонимизации и маскирования персональных данных, а также их распространения в общедоступных источниках. Удалением считаются действия по исключению персональных данных из цифрового объекта без возможности их восстановления. Под анонимизацией понимается необратимое преобразование идентификаторов, после которого установить принадлежность данных субъекту невозможно. Маскированием называют замену части реальных персональных данных на недействительные и (или) обезличенные.
В понятие персональных данных включили биометрические данные. Блокирование будет распространяться и на удаление персональных данных, а накопление будет охватывать их внесение не только в базу, но и в цифровой объект. Базой в Правилах называют совокупность упорядоченных персональных данных на бумажном носителе. Государственный и негосударственный сервисы контроля доступа будут обеспечивать в том числе получение согласия субъекта на сбор, обработку персональных данных и их передачу третьим лицам.
Когда для обработки персональных данных требуется согласие субъекта
Согласие субъекта понадобится для трансграничной передачи персональных данных, их распространения в общедоступных источниках и передачи третьим лицам. Исключение составят случаи трансграничной передачи, предусмотренные статьёй 16 Закона «О персональных данных и их защите».
Кто будет отвечать за законность обработки данных, которые субъект опубликовал сам
Если субъект или его законный представитель сам разместил персональные данные в общедоступных источниках без предоставления согласия, каждое лицо, которое затем собрало, распространило или иным образом обработало эти данные, обязано будет доказать законность своих действий.
Третьи лица вправе будут собирать, обрабатывать и распространять опубликованные персональные данные при условии ссылки на источник информации.
Как защищать персональные данные при обязательной публикации
Требование о согласии по пункту 3 статьи 7 Закона не будет распространяться на случаи, когда размещение персональных данных в общедоступных источниках установлено законами Республики Казахстан. При этом собственники, операторы и третьи лица должны будут маскировать данные, которые не подлежат распространению. Субъект или его законный представитель получит доступ к таким данным после прохождения авторизации и идентификации, если законами не предусмотрено иное.
Где должны храниться персональные данные
Собственник, оператор и третье лицо обязаны будут хранить персональные данные в базе и (или) цифровом объекте, расположенных на территории Республики Казахстан.
Когда субъект вправе потребовать удаления персональных данных
При нарушении условий сбора и обработки субъект может потребовать от собственника, оператора или третьего лица блокирования и (или) анонимизации своих персональных данных.
Персональные данные, собранные и обработанные с нарушением законодательства Республики Казахстан, а также в иных случаях, установленных Законом и иными нормативными правовыми актами (НПА), по требованию субъекта должны будут уничтожаться и (или) удаляться. Требование об удалении не подлежит исполнению в случаях, определённых пунктом 4 статьи 41 Цифрового кодекса Республики Казахстан.
Читайте также:
- Защита персональных данных и кибергигиена на работе: как изменится законодательство Казахстана
- Утечка персональных данных: штрафы до 5 000 МРП и уголовную ответственность введут в Казахстане
Для получения подробной информации обо всех изменениях в трудовом законодательстве, налоговых изменениях и отчетности подпишитесь на Uchet.kz и получайте важные обновления первыми!
