Выгрузка персональных данных из критически важных цифровых объектов: утверждены правила
Министр искусственного интеллекта и цифрового развития приказом от 13 октября 2026 года утвердил Правила копирования (выгрузки) персональных данных из критически важных цифровых объектов на цифровые носители, сообщает prosud.kz.
В правилах определено понятие:
- критически важные цифровые объекты – цифровые объекты, нарушение или прекращение функционирования которых приводит к незаконному сбору и обработке персональных данных ограниченного доступа и иных сведений, содержащих охраняемую законом тайну, возникновению чрезвычайных ситуаций социального и (или) техногенного характера или к значительным негативным последствиям для обороны, безопасности, международных отношений, экономики, отдельных сфер хозяйства или для жизнедеятельности населения, проживающего на соответствующей территории, в том числе инфраструктуры: теплоснабжения, электроснабжения, газоснабжения, водоснабжения, промышленности, здравоохранения, связи, банковской сферы, транспорта, гидротехнических сооружений, правоохранительной деятельности, "цифрового правительства".
Копирование (выгрузка) персональных данных из критически важных цифровых объектов на цифровые носители не допускается, за исключением случаев, согласованных с уполномоченным органом, а также в ходе разведывательной, контрразведывательной, оперативно-розыскной деятельности, осуществлении охранных мероприятий по обеспечению безопасности охраняемых лиц и объектов.
Копирование возможно при наличии правового основания и при условии обеспечения организационных и технических мер защиты персональных данных.
Запрос о согласовании копирования направляют официальным письмом за подписью первого руководителя государственного органа либо собственника критически важных цифровых объектов.
Копированные персональные данные используются исключительно для цели, указанной в согласовании, и не подлежат тиражированию, копированию или распространению.
В запросе в обязательном порядке указываются:
- правовое основание копирования (выгрузки) персональных данных;
- конкретная цель использования персональных данных;
- обоснование отсутствия возможности интеграции;
- перечень категорий, копируемых (выгружаемых) персональных данных;
- объем персональных данных и период;
- срок использования и хранения персональных данных;
- описание технических и организационных мер защиты персональных данных;
- сведения о лице, осуществляющем передачу персональных данных;
- сведения о лице, осуществляющем получение персональных данных.
Для копирования предоставляют исключительно необходимые и достаточные для выполнения задач персональные данные.
Персональные данные подлежат обезличиванию, маскированию или хешированию.
Размещение копированных персональных данных в базе, находящейся за пределами Республики Казахстан не допускается.
Срок хранения выгруженных персональных данных не может превышать тридцать календарных дней. По истечении срока персональные данные подлежат уничтожению с оформлением акта.
Передача копированных (выгруженных) персональных данных третьим лицам не допускается.
Передача копированных персональных данных оформляется актом приема-передачи с фиксацией состава и объема персональных данных, основания и цели передачи, даты создания и передачи, сведений об инициаторе, получателе и цифровом носителе, контрольная сумма (хэш).
При осуществлении выгрузки, передачи и хранения персональных данных обеспечиваются идентификация и аутентификация лиц, осуществляющих соответствующие действия, а также журналирование цифровых событий.
Очистка цифрового носителя осуществляется способом гарантированного уничтожения информации, исключающим возможность восстановления персональных данных.
Приказ вводится в действие с 31 октября.
