Приказ вводится в действие с 12 июля 2026 года.
Юридические лица, организации обязаны утвердить внутренние документы по защите данных, выделить содержащие персональные данные бизнес-процессы, определить четкий перечень лиц с доступом к ним и назначить ответственного за организацию обработки (это требование не касается только судов).
В случае обнаружения нарушения безопасности персональных данных, собственник, оператор или третье лицо обязаны в течение одного рабочего дня уведомить уполномоченный орган.
Сбор, обработка и хранение персональных данных ограниченного доступа должны осуществляться только с помощью цифровых объектов, серверных помещений или центров обработки данных, расположенных на территории Республики Казахстан.
При работе с персональными данными ограниченного доступа компании обязаны:
- Применять средства криптографической защиты информации не ниже третьего уровня безопасности по стандарту СТ РК 1073-2007 (кроме трансграничной передачи).
- Использовать средства идентификации и аутентификации пользователей (включая биометрическую для баз, содержащих более 100 тысяч записей).
- Вести журналы событий систем управления базами и журналы действий пользователей.
- Передавать такие данные другим лицам только по защищенным каналам связи (или с шифрованием) и строго при наличии согласия субъекта.
- Интегрировать свои цифровые объекты с государственным сервисом контроля доступа к персональным данным и предоставлять Государственной технической службе доступ для обследования их защищенности.
