Сбор и обработка персональных данных: что изменилось и для кого
Фото: freepik
В частности, уточняются понятия, в том числе по персональным данным – это данные, в том числе биометрические, относящиеся к определенному или определяемому на их основании субъекту персональных данных, зафиксированные на электронном, бумажном или ином материальном носителе.
Также уточняется, что случае распространения персональных данных в общедоступных источниках самим субъектом или его законным представителем без предоставления собственнику или оператору, а также третьему лицу согласия, обязанность предоставить доказательства законности последующего сбора, распространения или иной обработки таких персональных данных возлагается на каждое лицо, осуществившее их сбор, распространение или иную обработку.
При этом собственники и операторы, а также третьи лица обязаны обеспечивать защиту персональных данных, не подлежащих распространению в соответствии с законодательством РК, путем их маскирования при размещении информации в общедоступных источниках.
Доступ субъекту или его законному представителю к персональным данным, распространенным на основании части первой настоящего пункта, предоставляется после прохождения процедур авторизации и идентификации, если иное не предусмотрено законами республики.
Допускается последующий сбор, обработка и распространение третьими лицами персональных данных, опубликованных на основании пунктов 4-1, 4-2 и 4-3 Правил, при условии наличия ссылки на источник информации.
При этом правила дополнены пунктом о том, что обработка персональных данных в виде трансграничной передачи персональных данных, за исключением случаев, предусмотренных статьей 16 Закона, распространения персональных данных в общедоступных источниках, а также их передачи третьим лицам осуществляется при условии согласия субъекта.
Хранение персональных данных осуществляется собственником или оператором, а также третьим лицом в базе или цифровом объекте, которые находятся на территории Казахстана.
Указывается, что в случае наличия информации о нарушении условий сбора, обработки персональных данных, субъект требует от собственника или оператора, а также третьего лица блокирования или анонимизации своих персональных данных.
Указывается, что персональные данные, сбор и обработка которых произведены собственником или оператором, а также третьим лицом с нарушением законодательства РК, а также в иных случаях, по требованию субъекта подлежат уничтожению или удалению.
Требование об удалении персональных данных не подлежит исполнению в случаях, определенных пунктом 4 статьи 41 Цифрового кодекса РК.
Приказ вводится в действие с 1 октября 2026 года.
Ране мы рассказали, что внесены изменения в Правила осуществления уведомления субъектов персональных данных о нарушении безопасности персональных данных.
