Правила определяют порядок осуществления копирования (выгрузки) персональных данных из критически важных цифровых объектов на цифровые носители.
Под критически важными цифровыми объектами понимаются цифровые объекты, нарушение или прекращение функционирования которых приводит к незаконному сбору и обработке персональных данных ограниченного доступа и иных сведений, содержащих охраняемую законом тайну, возникновению чрезвычайных ситуаций социального и техногенного характера или к значительным негативным последствиям для обороны, безопасности, международных отношений, экономики, отдельных сфер хозяйства или для жизнедеятельности населения, проживающего на соответствующей территории, в том числе инфраструктуры: теплоснабжения, электроснабжения, газоснабжения, водоснабжения, промышленности, здравоохранения, связи, банковской сферы, транспорта, гидротехнических сооружений, правоохранительной деятельности, "цифрового правительства".
Когда допускается копирование данных
Копирование персональных данных из критически важных цифровых объектов на цифровые носители запрещено.
Исключения возможны только:
- по согласованию с уполномоченным органом в сфере защиты персональных данных;
- в рамках разведывательной, контрразведывательной, оперативно-розыскной деятельности;
- при проведении охранных мероприятий по обеспечению безопасности охраняемых лиц и объектов — в пределах, установленных законами.
Как получить разрешение на копирование персональных данных
Запрос на согласование направляется официальным письмом за подписью первого руководителя государственного органа либо собственника или руководителя критически важного объекта.
В запросе обязательно указываются:
- правовое основание;
- конкретная цель использования данных;
- обоснование невозможности интеграции систем;
- перечень категорий и объем персональных данных, а также период;
- срок использования и хранения;
- технические и организационные меры защиты;
- сведения о лицах передающей и принимающей сторон.
Уполномоченный орган рассматривает запрос в течение 15 рабочих дней. В случае отказа можно обратиться за разрешением повторно.
Требования к копированию данных
Выгрузке подлежат исключительно необходимые и достаточные для выполнения задач персональные данные. Персональные данные подлежат обезличиванию, маскированию или хешированию.
Передача и хранение возможны только с применением криптографических средств защиты. Размещение копированных персональных данных в базе, находящейся за пределами РК, не допускается.
Срок хранения копированных персональных данных не может превышать тридцать календарных дней. По истечении срока персональные данные подлежат уничтожению с оформлением акта.
Также установлено, что передача копированных персональных данных третьим лицам не допускается.
Каждая передача оформляется актом приема-передачи с указанием состава данных, цели, даты, участников и контрольной суммы (хэша). Кроме того, обязательны идентификация и аутентификация лиц, выполняющих операции, а также журналирование всех действий.
После использования цифровой носитель очищается способом, исключающим восстановление данных. Результат проверяется ответственным за кибербезопасность с составлением акта. Если подтвердить очистку невозможно – носитель уничтожается физически (механически или термически).
Приказ вводится в действие с 31 октября.