ПРИКАЗЫВАЮ:
1. Внести в приказ Министра цифрового развития, инноваций и аэрокосмической промышленности Республики Казахстан от 30 апреля 2021 года № 156/НҚ "Об утверждении Правил осуществления обследования обеспечения защищенности процессов хранения, обработки и распространения персональных данных ограниченного доступа, содержащихся в электронных информационных ресурсах" (зарегистрирован в Реестре государственной регистрации нормативных правовых актов под № 22689) следующие изменения:
заголовок изложить в следующей редакции:
"Об утверждении Правил осуществления обследования обеспечения защищенности процессов хранения, обработки и распространения персональных данных ограниченного доступа, содержащихся в цифровых ресурсах";
преамбулу изложить в следующей редакции:
"В соответствии с подпунктом 7-1) пункта 1 статьи 27-1 Закона Республики Казахстан "О персональных данных и их защите" и подпунктом 353) пункта 15 Положения о Министерстве искусственного интеллекта и цифрового развития Республики Казахстан, утвержденного постановлением Правительства Республики Казахстан от 9 октября 2025 года № 846, ПРИКАЗЫВАЮ:";
пункт 1 изложить в следующей редакции:
"1. Утвердить прилагаемые Правила осуществления обследования обеспечения защищенности процессов хранения, обработки и распространения персональных данных ограниченного доступа, содержащихся в цифровых ресурсах.";
Правила осуществления обследования обеспечения защищенности процессов хранения, обработки и распространения персональных данных ограниченного доступа, содержащихся в цифровых ресурсах, утвержденных указанным приказом, изложить в новой редакции согласно приложению к настоящему приказу.
2. Комитету по информационной безопасности Министерства искусственного интеллекта и цифрового развития Республики Казахстан в установленном законодательством порядке обеспечить:
1) государственную регистрацию настоящего приказа в Министерстве юстиции Республики Казахстан;
2) размещение настоящего приказа на интернет-ресурсе Министерства искусственного интеллекта и цифрового развития Республики Казахстан после его официального опубликования;
3) в течение десяти рабочих дней после государственной регистрации настоящего приказа в Министерстве юстиции Республики Казахстан представление в Юридический департамент Министерства искусственного интеллекта и цифрового развития Республики Казахстан сведений об исполнении мероприятий, предусмотренных подпунктами 1) и 2) настоящего пункта.
3. Контроль за исполнением настоящего приказа возложить на курирующего вице-министра искусственного интеллекта и цифрового развития Республики Казахстан.
4. Настоящий приказ вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования.
|
Заместитель Премьер-Министра – Министр искусственного интеллекта и цифрового развития Республики Казахстан |
Ж. Мадиев |
"СОГЛАСОВАН"
Комитет национальной безопасности
Республики Казахстан
"СОГЛАСОВАН"
Министерство национальной экономики
Республики Казахстан
Правила осуществления обследования обеспечения защищенности процессов хранения, обработки и распространения персональных данных ограниченного доступа, содержащихся в цифровых ресурсах
Глава 1. Общие положения
1. Настоящие Правила осуществления обследования обеспечения защищенности процессов хранения, обработки и распространения персональных данных ограниченного доступа, содержащихся в цифровых ресурсах (далее – Правила) разработаны в соответствии с подпунктом 7-1) пункта 1 статьи 27-1 Закона Республики Казахстан "О персональных данных и их защите" (далее – Закон), подпунктом 353) пункта 15 Положения о Министерстве искусственного интеллекта и цифрового развития Республики Казахстан, утвержденного постановлением Правительства Республики Казахстан от 9 октября 2025 года № 846 и определяют порядок осуществления обследования обеспечения защищенности процессов хранения, обработки и распространения персональных данных ограниченного доступа, содержащихся в цифровых ресурсах.
2. В настоящих Правилах используются следующие основные понятия:
1) оператор базы, содержащей персональные данные (далее – оператор), – государственный орган, физическое и (или) юридическое лицо, осуществляющие сбор, обработку и защиту персональных данных;
2) собственник базы, содержащей персональные данные (далее – собственник) – государственный орган, физическое и (или) юридическое лицо, реализующие в соответствии с законами Республики Казахстан право владения, пользования и распоряжения базой, содержащей персональные данные;
3) распространение персональных данных – действия, в результате совершения которых происходит передача персональных данных, в том числе посредством масс-медиа, или предоставление доступа к персональным данным каким-либо иным способом;
4) субъекты обследования — собственники и (или) операторы цифровых ресурсов, а также третьи лица, осуществляющие обработку персональных данных ограниченного доступа на основании гражданско-правовых договоров, актов государственных органов либо иных предусмотренных законодательством Республики Казахстан правовых оснований, при условии, что такие лица имеют фактический доступ к соответствующим цифровым объектам и (или) осуществляют их сопровождение, администрирование либо техническую эксплуатацию.
5) персональные данные ограниченного доступа – персональные данные, доступ к которым ограничен законодательством Республики Казахстан;
6) государственная техническая служба – государственное юридическое лицо, созданное по решению Правительства Республики Казахстан;
7) третье лицо – лицо, не являющееся субъектом, собственником и (или) оператором, но связанное с ними (ним) обстоятельствами или правоотношениями по сбору, обработке и защите персональных данных;
8) обследование обеспечения защищенности процессов хранения, обработки и распространения персональных данных ограниченного доступа, содержащихся в цифровых ресурсах (далее – обследование) – оценка применяемых мер безопасности и защитных действий при осуществлении обработки, хранения, распространения и защите персональных данных ограниченного доступа, содержащихся в цифровых ресурсах.
Глава 2. Порядок осуществления обследования обеспечения защищенности процессов хранения, обработки и распространения персональных данных ограниченного доступа, содержащихся в цифровых ресурсах
3. Решение о проведении обследования принимается уполномоченным органом в сфере обеспечения кибербезопасности.
4. Основаниями для проведения обследования являются обращения физических и юридических лиц, содержащие сведения о возможных нарушениях законодательства Республики Казахстан о персональных данных и их защите, результаты анализа инцидентов кибербезопасности, включая факты утечек персональных данных, а также иные основания, предусмотренные законодательством Республики Казахстан в области кибербезопасности и защиты персональных данных.
5. Уполномоченный орган вправе привлекать специалистов, консультантов и экспертов государственных органов, подведомственных и иных организаций для содействия государственной технической службе при проведении обследования.
6. Субъекты обследования обеспечивают государственной технической службе доступ к цифровым объектам, использующим, хранящим, обрабатывающим и распространяющим персональные данные ограниченного доступа, содержащиеся в цифровых ресурсах, для осуществления обследования обеспечения защищенности процессов хранения, обработки и распространения персональных данных ограниченного доступа, содержащихся в цифровых ресурсах.
Доступ к объектам предоставляется в объеме, необходимом и достаточном для целей обследовании с соблюдением законодательства Республики Казахстан о персональных данных и их защите.
7. При проведении обследования проводится анализ правовых, организационных и технических мер, установленных Правилами осуществления собственником и (или) оператором, а также третьим лицом мер по защите персональных данных, утвержденных приказом Министра цифрового развития, инноваций и аэрокосмической промышленности Республики Казахстан от 12 июня 2023 года № 179/НҚ (зарегистрирован в Реестре государственной регистрации нормативных правовых актов под № 32810).
8. Государственная техническая служба по результатам проведенного обследования цифрового объекта формирует отчет о проведенном обследовании, содержащий сведения о выявленных несоответствиях (при наличии), а также информацию по их устранению.
Отчет направляется в уполномоченный орган не позднее 1 (одного) рабочего дня до окончания обследования посредством цифровой системы либо иным способом, обеспечивающим фиксацию факта его направления и получения.
Датой получения отчета считается дата его регистрации уполномоченным органом либо дата, указанная в подтверждающем документе о вручении.
