Правила защиты персональных данных обновили в Казахстане

В правила добавили новые понятия:

• удаление персональных данных – действия, направленные на исключение персональных данных из цифрового объекта, в результате совершения которых невозможно восстановить персональные данные;
• реестр лиц, осуществляющих сбор и (или) обработку персональных данных, – перечень собственников и (или) операторов, а также третьих лиц, осуществляющих сбор и (или) обработку персональных данных.

В правилах говорится, что собственник или оператор, а также третье лицо до начала обработки и прекращения обработки персональных данных обязаны уведомить уполномоченный орган о своем намерении осуществить обработку персональных данных и прекратить обработку данных.

Добавлен новый пункт, согласно которому:

Собственник или оператор, а также третье лицо вправе осуществлять обработку без уведомления в случае отнесения их к малым и средним собственникам или операторам, а также третьим лицам, осуществляющим сбор и обработку персональных данных.

Уведомление направляется в виде документа на бумажном, цифровом или ином материальном носителе, который подписывается уполномоченным лицом.

Уведомление содержит:

• наименование (фамилию, имя, отчество (если оно указано в документе, удостоверяющем личность), бизнес-идентификационный номер (индивидуальный идентификационный номер) собственника и (или) оператора, а также третьего лица;
• применяемые меры по защите персональных данных;
• дату начала обработки персональных данных;
• о возможности собственника или оператора, а также третьего лица или ее отсутствии передавать персональные данные третьим лицам;
• о наличии либо отсутствии трансграничной передачи персональных данных в процессе их обработки;
• о распространении персональных данных в общедоступных источниках;
• перечень собираемых персональных данных, связанных с субъектом;
• о месте нахождения базы и (или) цифрового объекта, содержащего персональные данные;
• иные сведения, определяемые собственником или оператором, а также третьим лицом.

Уполномоченный орган в течение тридцати рабочих дней с даты поступления уведомления вносит сведения в реестр лиц, осуществляющих сбор или обработку персональных данных.

Новеллой правил является разделение собственников, операторов и третьих лиц на малых, средних и крупных в зависимости от объема обрабатываемых персональных данных.

При определении объема обрабатываемых персональных данных учитывается общее количество уникальных субъектов персональных данных, персональные данные которых обрабатываются собственником и (или) оператором, а также третьим лицом в рамках одного или нескольких цифровых объектов.

Критерии отнесения к малым, средним или крупным собственникам персональных данных применяются независимо от их организационно-правовой формы, формы собственности и вида деятельности.

При этом:

• к малым относятся собственники и (или) операторы, а также третьи лица, осуществляющие сбор и обработку персональных данных не более десяти тысяч уникальных субъектов;
• к средним относятся собственники и (или) операторы, а также третьи лица, осуществляющие сбор и обработку персональных данных от десяти тысяч до пятисот тысяч уникальных субъектов;
• к крупным относятся собственники и (или) операторы, а также третьи лица, осуществляющие сбор и обработку персональных данных от пятисот тысяч и более уникальных субъектов персональных данных.

В случаях сбора и обработки персональных данных ограниченного доступа категория собственника и оператора повышается на один уровень.