Выгрузка персональных данных из критически важных цифровых объектов: утверждены правила

В правилах определено понятие:

• критически важные цифровые объекты – цифровые объекты, нарушение или прекращение функционирования которых приводит к незаконному сбору и обработке персональных данных ограниченного доступа и иных сведений, содержащих охраняемую законом тайну, возникновению чрезвычайных ситуаций социального и (или) техногенного характера или к значительным негативным последствиям для обороны, безопасности, международных отношений, экономики, отдельных сфер хозяйства или для жизнедеятельности населения, проживающего на соответствующей территории, в том числе инфраструктуры: теплоснабжения, электроснабжения, газоснабжения, водоснабжения, промышленности, здравоохранения, связи, банковской сферы, транспорта, гидротехнических сооружений, правоохранительной деятельности, "цифрового правительства".

Копирование (выгрузка) персональных данных из критически важных цифровых объектов на цифровые носители не допускается, за исключением случаев, согласованных с уполномоченным органом, а также в ходе разведывательной, контрразведывательной, оперативно-розыскной деятельности, осуществлении охранных мероприятий по обеспечению безопасности охраняемых лиц и объектов.

Копирование возможно при наличии правового основания и при условии обеспечения организационных и технических мер защиты персональных данных.

Запрос о согласовании копирования направляют официальным письмом за подписью первого руководителя государственного органа либо собственника критически важных цифровых объектов.

Копированные персональные данные используются исключительно для цели, указанной в согласовании, и не подлежат тиражированию, копированию или распространению.

В запросе в обязательном порядке указываются:

• правовое основание копирования (выгрузки) персональных данных;
• конкретная цель использования персональных данных;
• обоснование отсутствия возможности интеграции;
• перечень категорий, копируемых (выгружаемых) персональных данных;
• объем персональных данных и период;
• срок использования и хранения персональных данных;
• описание технических и организационных мер защиты персональных данных;
• сведения о лице, осуществляющем передачу персональных данных;
• сведения о лице, осуществляющем получение персональных данных.

Для копирования предоставляют исключительно необходимые и достаточные для выполнения задач персональные данные.

Персональные данные подлежат обезличиванию, маскированию или хешированию.

Размещение копированных персональных данных в базе, находящейся за пределами Республики Казахстан не допускается.

Срок хранения выгруженных персональных данных не может превышать тридцать календарных дней. По истечении срока персональные данные подлежат уничтожению с оформлением акта.

Передача копированных (выгруженных) персональных данных третьим лицам не допускается.

Передача копированных персональных данных оформляется актом приема-передачи с фиксацией состава и объема персональных данных, основания и цели передачи, даты создания и передачи, сведений об инициаторе, получателе и цифровом носителе, контрольная сумма (хэш).

При осуществлении выгрузки, передачи и хранения персональных данных обеспечиваются идентификация и аутентификация лиц, осуществляющих соответствующие действия, а также журналирование цифровых событий.

Очистка цифрового носителя осуществляется способом гарантированного уничтожения информации, исключающим возможность восстановления персональных данных.

Приказ вводится в действие с 31 октября.