О внесении изменений по вопросам цифровизации и защиты персональных данных

ru-KZ · official · sha256:a95494a38a47081d46ef9e3d119e3eef906874b3df57c01e7c3cff2dd5a70b23

8) дополнить статьей 10-1 следующего содержания: "Статья 10-1. Уведомление о начале обработки и прекращении обработки персональных данных 1. Собственник и (или) оператор, а также третье лицо до начала обработки и прекращения обработки персональных данных обязаны уведомить уполномоченный орган о своем намерении осуществить обработку персональных данных и прекратить обработку данных, за исключением случаев, предусмотренных пунктом 2 настоящей статьи. 2. Собственник и (или) оператор, а также третье лицо вправе осуществлять обработку без уведомления в случае отнесения их к малым и средним собственникам и (или) операторам, а также третьим лицам, осуществляющим сбор и обработку персональных данных. 3. Уведомление, предусмотренное пунктом 1 настоящей статьи, направляется в виде документа на бумажном, цифровом и (или) ином материальном носителе, который подписывается уполномоченным лицом. Уведомление содержит следующие сведения: 1) наименование (фамилию, имя, отчество (если оно указано в документе, удостоверяющем личность), бизнес-идентификационный номер (индивидуальный идентификационный номер) собственника и (или) оператора, а также третьего лица; 2) применяемые меры по защите персональных данных; 3) дату начала обработки персональных данных; 4) о возможности собственника и (или) оператора, а также третьего лица или ее отсутствии передавать персональные данные третьим лицам; 5) о наличии либо отсутствии трансграничной передачи персональных данных в процессе их обработки; 6) о распространении персональных данных в общедоступных источниках; 7) перечень собираемых персональных данных, связанных с субъектом; 8) о месте нахождения базы и (или) цифрового объекта, содержащего персональные данные; 9) иные сведения, определяемые собственником и (или) оператором, а также третьим лицом. 4. Уполномоченный орган в течение тридцати рабочих дней с даты поступления от собственника и (или) оператора, а также третьего лица уведомления об обработке персональных данных вносит сведения, указанные в пункте 3 настоящей статьи, а также сведения о дате направления указанного уведомления в реестр лиц, осуществляющих сбор и (или) обработку персональных данных. 5. Уполномоченный орган в течение тридцати рабочих дней с даты поступления от собственника и (или) оператора, а также третьего лица уведомления о прекращении обработки персональных данных исключает сведения, указанные в пункте 3 настоящей статьи, из реестра лиц, осуществляющих сбор и (или) обработку персональных данных.";

Ссылаются нормы: CompliantProcessingEndNotice, CompliantProcessingStartNotice, LargeControllerMustNotifyBeforeProcessing, RegistryUpdatedInTime, TimelyRegistryUpdate, assert-12

ru-KZ · official · sha256:925a702833802b6603cbd08acf631201ced41d3ff3540f09bf057916a310f306

9) в пункте 2 статьи 12 слова "в базе, находящейся" заменить словами "в базе и (или) цифровом объекте, которые находятся";

Ссылаются нормы: CompliantAccumulationAndStorage

ru-KZ · official · sha256:7310648d9301d893753944dcce90e388e9f8418347e22695ae8b4319e748e7a5

13) статью 23 изложить в следующей редакции: "Статья 23. Защита цифровых объектов, содержащих персональные данные 1. Защита цифровых объектов, содержащих персональные данные, осуществляется в соответствии с настоящим Законом и цифровым законодательством Республики Казахстан. 2. В целях защиты персональных данных применяются методы маскирования и хеширования в цифровых объектах. Порядок применения методов маскирования и хеширования определяется уполномоченным органом. 3. Допускается передача персональных данных посредством интеграции цифровых объектов. Копирование (выгрузка) персональных данных из критически важных цифровых объектов на цифровые носители осуществляется в порядке, определяемом уполномоченным органом по согласованию с Комитетом национальной безопасности Республики Казахстан.";

Ссылаются нормы: CriticalObjectExportSafeguarded, DigitalObjectMaskingAndHashing

ru-KZ · official · sha256:510391876ff1a28c5c56317d3c6517f35892f9aa3a30e56ae76de85249bd0797

14) главу 3 дополнить статьей 23-2 следующего содержания: "Статья 23-2. Реестр нарушений безопасности персональных данных 1. Реестр нарушений безопасности персональных данных ведется уполномоченным органом на основе информации, поступающей из общедоступных источников, а также от оперативных центров кибербезопасности, отраслевых центров кибербезопасности, Государственного оперативного центра кибербезопасности, службы реагирования на инциденты кибербезопасности, Национального координационного центра кибербезопасности и Национальной службы реагирования на компьютерные инциденты кибербезопасности. 2. Уполномоченный орган осуществляет обработку персональных данных в реестре нарушений безопасности персональных данных на основании фактов совершения несанкционированного доступа третьих лиц к ним без получения согласия субъекта и его законного представителя.";

Ссылаются нормы: AuthorizedBreachRegistryEntry

ru-KZ · official · sha256:51397c4dfd9fee33b75079d0e4e7cb672f186b254fbd3a142084d6966a1c8a2b

17) дополнить статьей 25-1 следующего содержания: "Статья 25-1. Классификация собственников и (или) операторов, а также третьих лиц, осуществляющих обработку персональных данных 1. Собственники и (или) операторы, а также третьи лица, осуществляющие сбор и обработку персональных данных, подразделяются на малых, средних и крупных в зависимости от объема обрабатываемых персональных данных. 2. При определении объема обрабатываемых персональных данных учитывается общее количество уникальных субъектов персональных данных, персональные данные которых обрабатываются собственником и (или) оператором, а также третьим лицом в рамках одной или нескольких цифровых объектов. 3. Критерии отнесения собственников и (или) операторов, а также третьих лиц, осуществляющих обработку персональных данных, к малым, средним или крупным применяются независимо от их организационно-правовой формы, формы собственности и вида деятельности. К малым относятся собственники и (или) операторы, а также третьи лица, осуществляющие сбор и обработку персональных данных не более десяти тысяч уникальных субъектов; к средним – от десяти тысяч до пятисот тысяч уникальных субъектов; к крупным – пятьсот тысяч и более уникальных субъектов персональных данных. В случаях сбора и обработки персональных данных ограниченного доступа категория собственника и (или) оператора повышается на один уровень. Меры по защите персональных данных по категориям определяются уполномоченным органом.";

Ссылаются нормы: LargeControllerDefinition, MediumControllerDefinition, RestrictedDataBumpsMediumToLarge, RestrictedDataBumpsSmallToMedium, SmallControllerDefinition, SubjectCountInFirstBand, SubjectCountInSecondBand, SubjectCountInThirdBand, assert-10, assert-11

ru-KZ · official · sha256:48f26d7919e454cf7cb12225ea3df054c36b87b363f04f4a7cbda1afe5ab747a

3) в статье 7: дополнить пунктом 3-1 следующего содержания: "3-1. В случае распространения персональных данных в общедоступных источниках самим субъектом или его законным представителем без предоставления собственнику и (или) оператору, а также третьему лицу согласия, предусмотренного пунктом 3 настоящей статьи, обязанность подтверждения законности последующего сбора, распространения или иной обработки таких персональных данных возлагается на каждое лицо, осуществившее их сбор, распространение или иную обработку."; пункт 4 изложить в следующей редакции: "4. Требования пункта 3 настоящей статьи не распространяются на собственников и (или) операторов, а также третьих лиц в случае распространения персональных данных в общедоступных источниках, обязанность размещения которых установлена законами Республики Казахстан. При этом собственники и (или) операторы, а также третьи лица обязаны обеспечивать защиту персональных данных, не подлежащих распространению в соответствии с законодательством Республики Казахстан, путем их маскирования при размещении информации в общедоступных источниках. Доступ субъекту или его законному представителю к персональным данным, распространенным на основании части первой настоящего пункта, предоставляется после прохождения процедур авторизации и идентификации, если иное не предусмотрено законами Республики Казахстан."; в пункте 5: слово "повторный" заменить словом "последующие"; после цифры "3" дополнить цифрами ", 3-1"; в пункте 11 слова "баз данных" заменить словами "баз и (или) цифровых объектов"; 4) в пункте 4 статьи 8: подпункт 1) после слов "(индивидуальный идентификационный номер)" дополнить словами "собственника и (или)"; подпункт 4) после слова "возможности" дополнить словами "собственника и (или)"; в подпункте 6) слово "распространении" заменить словами "возможности собственника и (или) оператора, а также третьего лица или ее отсутствии осуществлять распространение"; 5) подпункт 3) пункта 2 статьи 8-1 после слова "уничтожение" дополнить словом ", удаление"; 6) подпункт 2) пункта 2 статьи 8-2 после слова "уничтожение" дополнить словом ", удаление"; 7) статью 9 дополнить подпунктом 9-5) следующего содержания: "9-5) передачи персональных данных иммигрантов в эталонную базу данных иммигрантов, в том числе при предоставлении государственных услуг с использованием цифровых объектов в области миграции населения;";

Ссылаются нормы: Article9ImmigrantReferenceDatabase, CombinedNameIsIdentifier, FaceImageIsIdentifier, FaceVectorIsIdentifier, IndividualNumberIsIdentifier, PublicSourceReusePublishedBySubject, PublicSourceReuseRequiredByLaw, PublicSourceReuseWithConsent