В соответствии с пунктом 3 статьи 23 Закона Республики Казахстан "О персональных данных и их защите", ПРИКАЗЫВАЮ:
1. Утвердить прилагаемые Правила копирования (выгрузки) персональных данных из критически важных цифровых объектов на цифровые носители.
2. Комитету по информационной безопасности Министерства искусственного интеллекта и цифрового развития Республики Казахстан в установленном законодательством Республики Казахстан порядке обеспечить:
1) государственную регистрацию настоящего приказа в Министерстве юстиции Республики Казахстан;
2) размещение настоящего приказа на интернет-ресурсе Министерства искусственного интеллекта и цифрового развития Республики Казахстан после его официального опубликования;
3) в течение десяти рабочих дней после государственной регистрации настоящего приказа в Министерстве юстиции Республики Казахстан представление в Юридический департамент Министерства искусственного интеллекта и цифрового развития Республики Казахстан сведений об исполнении мероприятий, предусмотренных подпунктами 1) и 2) настоящего пункта.
3. Контроль за исполнением настоящего приказа возложить на курирующего вице-министра искусственного интеллекта и цифрового развития Республики Казахстан.
4. Настоящий приказ вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования.
|
Заместитель Премьер-Министра – Министр искусственного интеллекта и цифрового развития Республики Казахстан |
Ж. Мадиев |
"СОГЛАСОВАН"
Комитет национальной безопасности
Республики Казахстан
Правила копирования (выгрузки) персональных данных
из критически важных цифровых объектов на цифровые носители
Глава 1. Общие положения
1. Настоящие Правила копирования (выгрузки) персональных данных из критически важных цифровых объектов на цифровые носители разработаны в соответствии с пунктом 3 статьи 23 Закона Республики Казахстан "О персональных данных и их защите" (далее - Закон) и определяют порядок осуществления копирования (выгрузки) персональных данных из критически важных цифровых объектов на цифровые носители.
2. В настоящих Правилах используются следующие основные понятия:
1) критически важные цифровые объекты – цифровые объекты, нарушение или прекращение функционирования которых приводит к незаконному сбору и обработке персональных данных ограниченного доступа и иных сведений, содержащих охраняемую законом тайну, возникновению чрезвычайных ситуаций социального и (или) техногенного характера или к значительным негативным последствиям для обороны, безопасности, международных отношений, экономики, отдельных сфер хозяйства или для жизнедеятельности населения, проживающего на соответствующей территории, в том числе инфраструктуры: теплоснабжения, электроснабжения, газоснабжения, водоснабжения, промышленности, здравоохранения, связи, банковской сферы, транспорта, гидротехнических сооружений, правоохранительной деятельности, "цифрового правительства";
2) персональные данные – сведения или совокупность сведений о субъекте персональных данных, дополненные одним или несколькими идентификаторами персональных данных;
3) маскирование персональных данных – процесс защиты информации путем замены части реальных персональных данных на недействительные и (или) обезличенные;
4) нарушение безопасности персональных данных – нарушение защиты персональных данных, повлекшее незаконное распространение, изменение, уничтожение и удаление, несанкционированное распространение передаваемых, хранимых или иным образом обрабатываемых персональных данных или несанкционированный доступ к ним;
5) уполномоченный орган в сфере защиты персональных данных (далее – уполномоченный орган) – центральный исполнительный орган, осуществляющий руководство в сфере защиты персональных данных;
6) хеширование цифровых данных – процесс преобразования цифровых данных любого размера в строку фиксированной длины с целью их защиты.
Глава 2. Порядок осуществления копирования (выгрузки) персональных данных
из критически важных цифровых объектов на цифровые носители
3. Копирование (выгрузка) персональных данных из критически важных цифровых объектов на цифровые носители не допускается, за исключением случаев, согласованных с уполномоченным органом, а также в ходе разведывательной, контрразведывательной, оперативно-розыскной деятельности, осуществлении охранных мероприятий по обеспечению безопасности охраняемых лиц и объектов в пределах, установленных законами Республики Казахстан.
4. Копирование (выгрузка) персональных данных из критически важных цифровых объектов на цифровые носители осуществляется при наличии правового основания и при условии обеспечения организационных и технических мер защиты персональных данных.
5. Запрос о согласовании копирования (выгрузки) персональных данных из критически важных цифровых объектов на цифровые носители направляется в уполномоченный орган официальным письмом за подписью первого руководителя государственного органа либо собственника и (или) руководителя критически важных цифровых объектов.
Копированные (выгруженные) персональные данные используются исключительно для цели, указанной в согласовании, и не подлежат тиражированию, копированию или распространению.
6. В запросе в обязательном порядке указываются:
1) правовое основание копирования (выгрузки) персональных данных;
2) конкретная цель использования персональных данных;
3) обоснование отсутствия возможности интеграции;
4) перечень категорий, копируемых (выгружаемых) персональных данных;
5) объем персональных данных и период;
6) срок использования и хранения персональных данных;
7) описание технических и организационных мер защиты персональных данных;
8) сведения о лице, осуществляющем передачу персональных данных;
9) сведения о лице, осуществляющем получение персональных данных.
7. Уполномоченный орган согласовывает при соответствии запроса пункту 6 настоящих Правил либо отказывает в согласовании запроса при несоответствии запроса пункту 6 настоящих Правил в течение 15 (пятнадцати) рабочих дней.
В случае отказа в согласовании запроса уполномоченным органом, руководитель государственного органа либо собственник и (или) руководитель критически важных цифровых объектов имеет возможность повторного обращения в уполномоченный орган.
Глава 3. Требования к осуществлению копирования (выгрузки)
8. Предоставлению подлежат исключительно необходимые и достаточные для выполнения задач персональные данные.
Не допускается копирование (выгрузка) персональных данных, содержание и объем которых является избыточными по отношению к заявленной цели.
9. Персональные данные подлежат обезличиванию в соответствии со статьей 17 Закона, маскированию и (или) хешированию в соответствии с пунктом 2 статьи 23 Закона.
10. Передача и хранение персональных данных осуществляются с обеспечением их защиты посредством применения организационных и технических мер, в том числе средств криптографической защиты информации, в соответствии с требованиями законодательства Республики Казахстан.
11. Размещение копированных (выгруженных) персональных данных в базе, находящейся за пределами Республики Казахстан не допускается.
12. Срок хранения копированных (выгруженных) персональных данных не может превышать тридцать календарных дней. По истечении срока персональные данные подлежат уничтожению с оформлением акта.
13. Передача копированных (выгруженных) персональных данных третьим лицам не допускается.
14. Передача копированных (выгруженных) персональных данных оформляется актом приема-передачи с фиксацией состава и объема персональных данных, основания и цели передачи, даты создания и передачи, сведений об инициаторе, получателе и цифровом носителе, контрольная сумма (хэш).
15. При осуществлении копирования (выгрузки), передачи и хранения персональных данных обеспечиваются идентификация и аутентификация лиц, осуществляющих соответствующие действия, а также журналирование цифровых событий.
16. Очистка цифрового носителя осуществляется способом гарантированного уничтожения информации, исключающим возможность восстановления персональных данных.
Результат очистки цифрового носителя проверяется должностным лицом, ответственным за обеспечение кибербезопасности с применением средств контроля и оформлением соответствующего акта.
При невозможности подтвердить результат очистки цифрового носителя осуществляется физическое уничтожение (механическое или термическое) цифрового носителя.
