В Казахстане утвердили правила копирования персональных данных

Министр искусственного интеллекта и цифрового развития приказом от 13 октября 2026 года утвердил Правила копирования персональных данных из критически важных цифровых объектов на цифровые носители. Об этом сообщает Zakon.kz.

Правила определяют порядок выгрузки персональных данных из критически важных цифровых объектов на цифровые носители. Под такими объектами понимаются цифровые объекты, нарушение или прекращение функционирования которых приводит к незаконному сбору и обработке персональных данных ограниченного доступа, иных сведений, содержащих охраняемую законом тайну, к чрезвычайным ситуациям или значительным негативным последствиям для обороны, безопасности, экономики и жизнедеятельности населения. В их числе инфраструктура теплоснабжения, электроснабжения, газоснабжения, водоснабжения, промышленности, здравоохранения, связи, банковской сферы, транспорта, гидротехнических сооружений, правоохранительной деятельности и «цифрового правительства».

По общему правилу копирование персональных данных из критически важных цифровых объектов на цифровые носители запрещено. Исключения возможны только по согласованию с уполномоченным органом в сфере защиты персональных данных, в рамках разведывательной, контрразведывательной и оперативно-розыскной деятельности, а также при проведении охранных мероприятий по обеспечению безопасности охраняемых лиц и объектов в пределах, установленных законами.

Запрос на согласование направляется официальным письмом за подписью первого руководителя государственного органа либо собственника или руководителя критически важного объекта. В запросе указываются правовое основание, конкретная цель использования данных, обоснование невозможности интеграции систем, перечень категорий и объём персональных данных, срок использования и хранения, технические и организационные меры защиты, а также сведения о лицах передающей и принимающей сторон. Уполномоченный орган рассматривает запрос в течение 15 рабочих дней. В случае отказа можно обратиться повторно.

Выгрузке подлежат исключительно необходимые и достаточные для выполнения задач персональные данные. Их необходимо обезличивать, маскировать или хешировать. Передача и хранение возможны только с применением криптографических средств защиты. Размещение копированных данных в базе за пределами Казахстана не допускается. Срок хранения не может превышать 30 календарных дней, по истечении которых данные уничтожаются с оформлением акта. Передача копированных данных третьим лицам запрещена.

Каждая передача оформляется актом приёма-передачи с указанием состава данных, цели, даты, участников и контрольной суммы. Обязательны идентификация и аутентификация лиц, выполняющих операции, а также журналирование всех действий. После использования цифровой носитель очищается способом, исключающим восстановление данных, результат проверяет ответственный за кибербезопасность с составлением акта. Если подтвердить очистку невозможно, носитель уничтожается физически.

Фото из открытых источников