Уведомление об утечке за один день: в Казахстане вводят новые правила для компаний

Одним из нововведений стало введение понятия «удаление персональных данных». Под ним понимаются действия, направленные на исключение персональных данных из цифрового объекта, после которых восстановить эти данные невозможно.

Кто должен уведомлять о работе с персональными данными

В Правилах отмечается, что собственник и (или) оператор, а также третье лицо до начала обработки и прекращения обработки персональных данных обязаны уведомить уполномоченный орган о своем намерении осуществить обработку персональных данных и прекратить обработку данных.

Уведомление содержит следующие сведения:

• наименование (фамилию, имя, отчество (если оно указано в документе, удостоверяющем личность), БИН (ИИН) собственника и (или) оператора, а также третьего лица;
• применяемые меры по защите персональных данных;
• дату начала обработки персональных данных;
• о возможности собственника и (или) оператора, а также третьего лица или ее отсутствии передавать персональные данные третьим лицам;
• о наличии либо отсутствии трансграничной передачи персональных данных в процессе их обработки;
• о распространении персональных данных в общедоступных источниках;
• перечень собираемых персональных данных, связанных с субъектом;
• о месте нахождения базы и (или) цифрового объекта, содержащего персональные данные;
• иные сведения, определяемые собственником и (или) оператором, а также третьим лицом.

Уполномоченный орган в течение 30 рабочих дней с даты поступления уведомления об обработке персональных данных вносит сведения о дате направления указанного уведомления в реестр лиц, осуществляющих сбор и (или) обработку персональных данных.

При этом собственник и (или) оператор, а также третье лицо вправе осуществлять обработку без уведомления в случае отнесения их к малым и средним собственникам и (или) операторам, а также третьим лицам, осуществляющим сбор и обработку персональных данных.

Собственников и операторов разделили на три категории

Собственники и (или) операторы, а также третьи лица, осуществляющие сбор и обработку персональных данных, подразделяются на малых, средних и крупных в зависимости от объема обрабатываемых персональных данных.

При определении объема обрабатываемых персональных данных учитывается общее количество уникальных субъектов, персональные данные которых обрабатываются в рамках одной или нескольких цифровых объектов.

Критерии отнесения собственников и (или) операторов, а также третьих лиц, осуществляющих обработку персональных данных, к малым, средним или крупным применяются независимо от их организационно-правовой формы, формы собственности и вида деятельности.

К малым относятся собственники и (или) операторы, а также третьи лица, осуществляющие сбор и обработку персональных данных не более 10 тысяч уникальных субъектов.

К средним относятся собственники и (или) операторы, а также третьи лица, осуществляющие сбор и обработку персональных данных от 10 тысяч до 500 тысяч уникальных субъектов.

К крупным относятся собственники и (или) операторы, а также третьи лица, осуществляющие сбор и обработку персональных данных от 500 тысяч и более уникальных субъектов персональных данных.

В случаях сбора и обработки персональных данных ограниченного доступа категория собственника и (или) оператора повышается на один уровень. Собственники и (или) операторы, а также третьи лица обеспечивают применение мер защиты персональных данных с учетом их категории.

Малые собственники и (или) операторы, а также третьи лица обеспечивают:

• определение перечня персональных данных, подлежащих сбору и обработке;
• определение целей сбора и обработки персональных данных;
• определение перечня лиц, осуществляющих сбор и обработку персональных данных, либо имеющих к ним доступ;
• назначение лица, ответственного за организацию обработки и защиту персональных данных;
• утверждение внутренних документов, определяющих порядок сбора, обработки и защиты персональных данных;
• разграничение прав доступа к персональным данным в соответствии с должностными обязанностями;
• идентификацию и аутентификацию пользователей цифровых систем;
• регистрацию действий по сбору, обработке, изменению, дополнению, использованию, распространению, обезличиванию, уничтожению, удалению персональных данных;
• резервное копирование персональных данных;
• применение средств защиты от вредоносного программного обеспечения и своевременное обновление программного обеспечения;
• передачу персональных данных по защищенным каналам связи.

Средние собственники и (или) операторы, а также третьи лица обеспечивают выполнение всех вышеперечисленных требований, а также: ведение учета цифровых систем и процессов обработки персональных данных; управление доступом на основе ролей пользователей; применение многофакторной аутентификации для пользователей, имеющих доступ к персональным данным ограниченного доступа; регистрацию и хранение событий кибербезопасности; утверждение порядка реагирования на инциденты кибербезопасности; проведение периодического обучения работников по вопросам защиты персональных данных; проведение анализа уязвимостей цифровых систем; проведение внутреннего контроля соблюдения Закона.

Крупные собственники и (или) операторы, а также третьи лица обеспечивают выполнение всех вышеперечисленных требований, а также:

• проведение оценки защищенности цифровых систем, используемых для сбора и обработки персональных данных;
• проведение независимого аудита мер защиты персональных данных;
• проведение мониторинга событий кибербезопасности;
• контроль действий пользователей с привилегированными правами доступа;
• контроль операций, связанных с обработкой персональных данных;
• проведение анализа уязвимостей, тестирования на проникновение и иных мероприятий по оценке защищенности персональных данных;
• обеспечение восстановления персональных данных после нарушений безопасности персональных данных.

Что изменится при работе с данными ограниченного доступа

Собственник и (или) оператор, а также третье лицо при обработке персональных данных ограниченного доступа:

• устанавливают цели обработки персональных данных ограниченного доступа. Персональные данные ограниченного доступа используются в соответствии с декларируемыми целями;
• определяют порядок блокирования персональных данных ограниченного доступа, относящихся к субъекту, при обращении субъекта. Блокирование персональных данных осуществляется до принятия решения по обращению субъекта;
• оповещают уполномоченный орган об инцидентах кибербезопасности, связанных с незаконным доступом к персональным данным ограниченного доступа. Оповещение осуществляется для принятия мер по предотвращению дальнейшего незаконного доступа к персональным данным;
• обеспечивают установку средств защиты информации, обновлений программного обеспечения на технических средствах, осуществляющих обработку персональных данных ограниченного доступа для обеспечения безопасности обработки персональных данных;
• обеспечивают ведение журнала событий систем управления базами для регистрации событий, связанных с обработкой персональных данных ограниченного доступа;
• обеспечивают ведение журнала действий пользователей, имеющих доступ к персональным данным ограниченного доступа для учета действий при работе с персональными данными ограниченного доступа;
• применяют средства контроля целостности персональных данных ограниченного доступа для предотвращения несанкционированного изменения персональных данных;
• обеспечивают передачу персональных данных ограниченного доступа иным лицам по защищенным каналам связи и (или) с применением шифрования и при наличии согласия субъекта персональных данных для предотвращения несанкционированного доступа;
• обеспечивают применение средств криптографической защиты информации для надежного хранения персональных данных ограниченного доступа. Хранение и передача персональных данных ограниченного доступа осуществляются с использованием средств криптографической защиты информации, имеющих параметры не ниже третьего уровня безопасности согласно стандарту РК СТ РК 1073-2007 «Средства криптографической защиты информации. Общие технические требования».
• применяют средства идентификации и (или) аутентификации пользователей, в том числе биометрической аутентификации для базы, содержащей более 100 тысяч записей персональных данных при работе с персональными данными ограниченного доступа. Обязанность применения идентификации и (или) аутентификации пользователей распространяется исключительно на лиц, имеющих доступ к базе персональных данных.

Сбор и обработка персональных данных ограниченного доступа осуществляются посредством цифровых объектов, размещенных на территории РК.

Хранение персональных данных, содержащихся в цифровых ресурсах, осуществляется собственником и (или) оператором, а также третьим лицом в базе и (или) цифровом объекте, которые находятся в серверном помещении или центре обработки данных, расположенном на территории РК, с принятием необходимых мер по защите персональных данных.

Собственник и (или) оператор, а также третье лицо назначают лицо, ответственное за организацию обработки персональных данных в случае, если собственник и (или) оператор являются юридическими лицами.

Собственник и (или) оператор, а также третье лицо обязаны принимать необходимые меры по защите персональных данных в соответствии с Законом и настоящими Правилами обеспечивающие:

• предотвращение несанкционированного доступа к персональным данным;
• своевременное обнаружение фактов несанкционированного доступа к персональным данным, если такой несанкционированный доступ не удалось предотвратить;
• минимизацию неблагоприятных последствий несанкционированного доступа к персональным данным;
• предоставление доступа государственной технической службе к цифровым объектам, использующим, хранящим, обрабатывающим и распространяющим персональные данные ограниченного доступа, содержащиеся в цифровых ресурсах, для осуществления обследования обеспечения защищенности процессов хранения, обработки и распространения персональных данных ограниченного доступа, содержащихся в цифровых ресурсах в порядке, определяемом уполномоченным органом.

Собственник и (или) оператор, а также третье лицо в течение 1 рабочего дня c момента обнаружения нарушения безопасности персональных данных осуществляют уведомление уполномоченного органа о данном нарушении с указанием контактных данных лица, ответственного за организацию обработки персональных данных (при наличии).

Документ вводится в действие с 21 сентября.