Бір күн ішінде ағып кету туралы хабарлама: Қазақстанда компаниялар үшін жаңа ережелер енгізілуде

Жаңалықтардың бірі "дербес деректерді жою"ұғымын енгізу болды. Ол жеке деректерді цифрлық объектіден алып тастауға бағытталған әрекеттерді білдіреді, содан кейін бұл деректерді қалпына келтіру мүмкін емес.

Жеке деректермен жұмыс туралы кім хабарлауы керек

Қағидаларда меншік иесі және (немесе) оператор, сондай-ақ үшінші тұлға дербес деректерді өңдеу басталғанға және өңдеу тоқтатылғанға дейін уәкілетті органды дербес деректерді өңдеуді жүзеге асыру және деректерді өңдеуді тоқтату ниеті туралы хабардар етуге міндетті екендігі атап өтіледі.

Хабарламада келесі мәліметтер бар:

• меншік иесінің және (немесе) оператордың, сондай-ақ үшінші тұлғаның атауы (Тегі, Аты, Әкесінің аты (егер ол жеке басты куәландыратын құжатта көрсетілсе), БСН (ЖСН) ;
• дербес деректерді қорғау бойынша қолданылатын шаралар;
• дербес деректерді өңдеудің басталу күні;
• меншік иесінің және (немесе) оператордың, сондай-ақ үшінші тұлғаның немесе оның жоқтығының дербес деректерді үшінші тұлғаларға беру мүмкіндігі туралы;
• өңдеу процесінде дербес деректердің трансшекаралық берілуінің болуы не болмауы туралы;
• жалпыға қолжетімді көздерде дербес деректерді тарату туралы;
• субъектімен байланысты жиналатын дербес деректердің тізбесі;
• дербес деректерді қамтитын базаның және (немесе) цифрлық объектінің орналасқан жері туралы;
• меншік иесі және (немесе) оператор, сондай-ақ үшінші тұлға айқындайтын өзге де мәліметтер.

Уәкілетті орган дербес деректерді өңдеу туралы хабарлама келіп түскен күннен бастап 30 жұмыс күні ішінде дербес деректерді жинауды және (немесе) өңдеуді жүзеге асыратын тұлғалардың тізіліміне көрсетілген хабарламаны жіберу күні туралы мәліметтерді енгізеді.

Бұл ретте меншік иесі және (немесе) оператор, сондай-ақ үшінші тұлға оларды шағын және орта меншік иелеріне және (немесе) операторларға, сондай-ақ дербес деректерді жинауды және өңдеуді жүзеге асыратын үшінші тұлғаларға жатқызған жағдайда өңдеуді хабарламай жүзеге асыруға құқылы.

Меншік иелері мен операторлар үш санатқа бөлінді

Меншік иелері және (немесе) операторлар, сондай-ақ дербес деректерді жинауды және өңдеуді жүзеге асыратын үшінші тұлғалар өңделетін дербес деректердің көлеміне қарай шағын, орта және ірі болып бөлінеді.

Өңделетін дербес деректердің көлемін айқындау кезінде дербес деректері бір немесе бірнеше цифрлық объектілер шеңберінде өңделетін бірегей субъектілердің жалпы саны ескеріледі.

Меншік иелерін және (немесе) операторларды, сондай-ақ дербес деректерді өңдеуді жүзеге асыратын үшінші тұлғаларды шағын, орта немесе ірі тұлғаларға жатқызу критерийлері олардың ұйымдық-құқықтық нысанына, меншік нысанына және қызмет түріне қарамастан қолданылады.

Кішкентайларға меншік иелері және (немесе) операторлар, сондай-ақ 10 мыңнан аспайтын бірегей субъектілердің дербес деректерін жинауды және өңдеуді жүзеге асыратын үшінші тұлғалар жатады.

Орташа көрсеткіштерге меншік иелері және (немесе) операторлар, сондай-ақ 10 мыңнан 500 мыңға дейінгі бірегей субъектілердің дербес деректерін жинауды және өңдеуді жүзеге асыратын үшінші тұлғалар жатады.

Ірі тұлғаларға меншік иелері және (немесе) операторлар, сондай-ақ 500 мың және одан да көп бірегей Дербес деректер субъектілерінен дербес деректерді жинауды және өңдеуді жүзеге асыратын үшінші тұлғалар жатады.

Қолжетімділігі шектеулі дербес деректерді жинау және өңдеу жағдайларында меншік иесінің және (немесе) оператордың санаты бір деңгейге көтеріледі. Меншік иелері және (немесе) операторлар, сондай-ақ үшінші тұлғалар дербес деректерді қорғау шараларын олардың санаттарын ескере отырып қолдануды қамтамасыз етеді.

Шағын меншік иелері және (немесе) операторлар, сондай-ақ үшінші тұлғалар:

• жинауға және өңдеуге жататын дербес деректердің тізбесін айқындау;
• дербес деректерді жинау және өңдеу мақсаттарын айқындау;
• дербес деректерді жинауды және өңдеуді жүзеге асыратын не оларға қолжетімділігі бар тұлғалардың тізбесін айқындау;
• дербес деректерді өңдеуді ұйымдастыруға және қорғауға жауапты адамды тағайындау;
• дербес деректерді жинау, өңдеу және қорғау тәртібін айқындайтын ішкі құжаттарды бекіту;
• лауазымдық міндеттеріне сәйкес дербес деректерге қол жеткізу құқықтарының аражігін ажырату;
• сандық жүйелерді пайдаланушыларды сәйкестендіру және аутентификациялау;
• дербес деректерді жинау, өңдеу, өзгерту, толықтыру, пайдалану, тарату, иесіздендіру, жою, жою жөніндегі іс-қимылдарды тіркеу;
• дербес деректердің сақтық көшірмесін жасау;
• зиянды бағдарламалық жасақтамадан қорғау құралдарын қолдану және бағдарламалық жасақтаманы уақтылы жаңарту;
• қорғалған байланыс арналары арқылы дербес деректерді беру.

Орташа меншік иелері және (немесе) операторлар, сондай-ақ үшінші тұлғалар жоғарыда аталған барлық талаптардың орындалуын қамтамасыз етеді, сондай-ақ: дербес деректерді өңдеудің цифрлық жүйелері мен процестерінің есебін жүргізу; пайдаланушылардың рөлдері негізінде қолжетімділікті басқару; қолжетімділігі шектеулі дербес деректерге қолжетімділігі бар пайдаланушылар үшін көп факторлы аутентификацияны қолдану; киберқауіпсіздік оқиғаларын тіркеу және сақтау; киберқауіпсіздік оқиғаларын киберқауіпсіздік инциденттеріне ден қою; дербес деректерді қорғау мәселелері бойынша қызметкерлерді мерзімді оқытуды жүргізу; цифрлық жүйелердің осалдықтарына талдау жүргізу; заңның сақталуына ішкі бақылау жүргізу.

Ірі меншік иелері және (немесе) операторлар, сондай-ақ үшінші тұлғалар жоғарыда аталған барлық талаптардың орындалуын қамтамасыз етеді, сондай-ақ:

• дербес деректерді жинау және өңдеу үшін пайдаланылатын цифрлық жүйелердің қорғалуын бағалауды жүргізу;
• дербес деректерді қорғау шараларына тәуелсіз аудит жүргізу;
• киберқауіпсіздік оқиғаларына мониторинг жүргізу;
• артықшылықты қол жеткізу құқықтары бар пайдаланушылардың әрекеттерін бақылау;
• дербес деректерді өңдеуге байланысты операцияларды бақылау;
• осалдықтарға талдау жүргізу, енуге тестілеу және дербес деректердің қорғалуын бағалау жөніндегі өзге де іс-шаралар жүргізу;
• дербес деректердің қауіпсіздігін бұзғаннан кейін дербес деректерді қалпына келтіруді қамтамасыз ету.

Қол жетімділігі шектеулі деректермен жұмыс істегенде не өзгереді

Меншік иесі және (немесе) оператор, сондай-ақ қолжетімділігі шектеулі дербес деректерді өңдеу кезінде үшінші тұлға:

• қол жетімділігі шектеулі дербес деректерді өңдеу мақсаттарын белгілейді. Қол жетімділігі шектеулі дербес деректер декларацияланатын мақсаттарға сәйкес пайдаланылады;
• субъект жүгінген кезде субъектіге қатысты қолжетімділігі шектеулі дербес деректерді бұғаттау тәртібін айқындайды. Дербес деректерді бұғаттау субъектінің өтініші бойынша шешім қабылданғанға дейін жүзеге асырылады;
• уәкілетті органға қолжетімділігі шектеулі дербес деректерге заңсыз қол жеткізуге байланысты киберқауіпсіздік оқиғалары туралы хабарлайды. Құлақтандыру дербес деректерге одан әрі заңсыз қол жеткізуді болғызбау жөнінде шаралар қабылдау үшін жүзеге асырылады;
• дербес деректерді өңдеу қауіпсіздігін қамтамасыз ету үшін қол жетімділігі шектеулі дербес деректерді өңдеуді жүзеге асыратын техникалық құралдарда ақпаратты қорғау құралдарын, бағдарламалық қамтамасыз етуді жаңартуды орнатуды қамтамасыз етеді;
• қолжетімділігі шектеулі дербес деректерді өңдеуге байланысты оқиғаларды тіркеу үшін базаны басқару жүйелерінің оқиғалар журналын жүргізуді қамтамасыз етеді;
• қол жетімділігі шектеулі дербес деректермен жұмыс істеу кезінде іс-әрекеттерді есепке алу үшін қол жетімділігі шектеулі дербес деректерге қол жеткізе алатын пайдаланушылардың іс-қимыл журналын жүргізуді қамтамасыз етеді;
• дербес деректердің рұқсатсыз өзгеруін болдырмау үшін қол жетімділігі шектеулі дербес деректердің тұтастығын бақылау құралдарын қолданады;
• рұқсатсыз кіруді болғызбау үшін шифрлауды қолдана отырып және дербес деректер субъектісінің келісімі болған кезде қорғалған байланыс арналары арқылы және (немесе) өзге тұлғаларға қолжетімділігі шектелген дербес деректердің берілуін қамтамасыз етеді;
• қол жетімділігі шектеулі дербес деректерді сенімді сақтау үшін ақпаратты криптографиялық қорғау құралдарын қолдануды қамтамасыз етеді. Қол жетімділігі шектеулі дербес деректерді сақтау және беру ҚР СТ 1073-2007 "ақпаратты криптографиялық қорғау құралдары. Жалпы техникалық талаптар".
• пайдаланушыларды сәйкестендіру және (немесе) аутентификациялау, оның ішінде қолжетімділігі шектеулі дербес деректермен жұмыс істеу кезінде 100 мыңнан астам Дербес деректер жазбалары бар база үшін биометриялық аутентификация құралдары қолданылады. Пайдаланушыларды сәйкестендіруді және (немесе) аутентификациялауды қолдану міндеті Дербес деректер базасына қолжетімділігі бар тұлғаларға ғана қолданылады.

Қол жетімділігі шектеулі дербес деректерді жинау және өңдеу ҚР аумағында орналасқан цифрлық объектілер арқылы жүзеге асырылады.

Цифрлық ресурстардағы дербес деректерді сақтауды меншік иесі және (немесе) оператор, сондай-ақ үшінші тұлға дербес деректерді қорғау жөнінде қажетті шаралар қабылдай отырып, ҚР аумағында орналасқан серверлік үй-жайда немесе деректерді өңдеу орталығында орналасқан базада және (немесе) цифрлық объектіде жүзеге асырады.

Меншік иесі және (немесе) оператор, сондай-ақ үшінші тұлға, егер меншік иесі және (немесе) оператор заңды тұлғалар болған жағдайда, дербес деректерді өңдеуді ұйымдастыруға жауапты адамды тағайындайды.

Меншік иесі және (немесе) оператор, сондай-ақ үшінші тұлға Заңға және осы Қағидаларға сәйкес дербес деректерді қорғау бойынша қажетті шараларды қабылдауға міндетті:

• жеке деректерге рұқсатсыз қол жеткізуді болдырмау;
• егер мұндай рұқсатсыз кірудің алдын алу мүмкін болмаса, дербес деректерге рұқсатсыз қол жеткізу фактілерін уақтылы анықтау;
• дербес деректерге рұқсатсыз қол жеткізудің қолайсыз салдарын барынша азайту;
• уәкілетті орган айқындайтын тәртіппен цифрлық ресурстарда қамтылған шектеулі қолжетімділіктің дербес деректерін сақтау, өңдеу және тарату процестерінің қорғалуын қамтамасыз етуді зерттеп-қарауды жүзеге асыру үшін цифрлық ресурстарда қамтылған шектеулі қолжетімділіктің дербес деректерін пайдаланатын, сақтайтын, өңдейтін және тарататын цифрлық объектілерге мемлекеттік техникалық қызметке қол жеткізуді ұсыну.

Меншік иесі және (немесе) оператор, сондай-ақ үшінші тұлға дербес деректердің қауіпсіздігінің бұзылуы анықталған сәттен бастап 1 жұмыс күні ішінде дербес деректерді өңдеуді ұйымдастыруға жауапты тұлғаның байланыс деректерін көрсете отырып (бар болса) осы бұзушылық туралы уәкілетті органды хабардар етуді жүзеге асырады.

Құжат 21 қыркүйектен бастап қолданысқа енгізіледі.