Одним из нововведений стало введение понятия «удаление персональных данных». Под ним понимаются действия, направленные на исключение персональных данных из цифрового объекта, после которых восстановить эти данные невозможно.
Кто должен уведомлять о работе с персональными данными
В Правилах отмечается, что собственник и (или) оператор, а также третье лицо до начала обработки и прекращения обработки персональных данных обязаны уведомить уполномоченный орган о своем намерении осуществить обработку персональных данных и прекратить обработку данных.
Уведомление содержит следующие сведения:
- наименование (фамилию, имя, отчество (если оно указано в документе, удостоверяющем личность), БИН (ИИН) собственника и (или) оператора, а также третьего лица;
- применяемые меры по защите персональных данных;
- дату начала обработки персональных данных;
- о возможности собственника и (или) оператора, а также третьего лица или ее отсутствии передавать персональные данные третьим лицам;
- о наличии либо отсутствии трансграничной передачи персональных данных в процессе их обработки;
- о распространении персональных данных в общедоступных источниках;
- перечень собираемых персональных данных, связанных с субъектом;
- о месте нахождения базы и (или) цифрового объекта, содержащего персональные данные;
- иные сведения, определяемые собственником и (или) оператором, а также третьим лицом.
Уполномоченный орган в течение 30 рабочих дней с даты поступления уведомления об обработке персональных данных вносит сведения о дате направления указанного уведомления в реестр лиц, осуществляющих сбор и (или) обработку персональных данных.
При этом собственник и (или) оператор, а также третье лицо вправе осуществлять обработку без уведомления в случае отнесения их к малым и средним собственникам и (или) операторам, а также третьим лицам, осуществляющим сбор и обработку персональных данных.
Собственников и операторов разделили на три категории
Собственники и (или) операторы, а также третьи лица, осуществляющие сбор и обработку персональных данных, подразделяются на малых, средних и крупных в зависимости от объема обрабатываемых персональных данных.
При определении объема обрабатываемых персональных данных учитывается общее количество уникальных субъектов, персональные данные которых обрабатываются в рамках одной или нескольких цифровых объектов.
Критерии отнесения собственников и (или) операторов, а также третьих лиц, осуществляющих обработку персональных данных, к малым, средним или крупным применяются независимо от их организационно-правовой формы, формы собственности и вида деятельности.
К малым относятся собственники и (или) операторы, а также третьи лица, осуществляющие сбор и обработку персональных данных не более 10 тысяч уникальных субъектов.
К средним относятся собственники и (или) операторы, а также третьи лица, осуществляющие сбор и обработку персональных данных от 10 тысяч до 500 тысяч уникальных субъектов.
К крупным относятся собственники и (или) операторы, а также третьи лица, осуществляющие сбор и обработку персональных данных от 500 тысяч и более уникальных субъектов персональных данных.
В случаях сбора и обработки персональных данных ограниченного доступа категория собственника и (или) оператора повышается на один уровень. Собственники и (или) операторы, а также третьи лица обеспечивают применение мер защиты персональных данных с учетом их категории.
Малые собственники и (или) операторы, а также третьи лица обеспечивают:
- определение перечня персональных данных, подлежащих сбору и обработке;
- определение целей сбора и обработки персональных данных;
- определение перечня лиц, осуществляющих сбор и обработку персональных данных, либо имеющих к ним доступ;
- назначение лица, ответственного за организацию обработки и защиту персональных данных;
- утверждение внутренних документов, определяющих порядок сбора, обработки и защиты персональных данных;
- разграничение прав доступа к персональным данным в соответствии с должностными обязанностями;
- идентификацию и аутентификацию пользователей цифровых систем;
- регистрацию действий по сбору, обработке, изменению, дополнению, использованию, распространению, обезличиванию, уничтожению, удалению персональных данных;
- резервное копирование персональных данных;
- применение средств защиты от вредоносного программного обеспечения и своевременное обновление программного обеспечения;
- передачу персональных данных по защищенным каналам связи.
Средние собственники и (или) операторы, а также третьи лица обеспечивают выполнение всех вышеперечисленных требований, а также: ведение учета цифровых систем и процессов обработки персональных данных; управление доступом на основе ролей пользователей; применение многофакторной аутентификации для пользователей, имеющих доступ к персональным данным ограниченного доступа; регистрацию и хранение событий кибербезопасности; утверждение порядка реагирования на инциденты кибербезопасности; проведение периодического обучения работников по вопросам защиты персональных данных; проведение анализа уязвимостей цифровых систем; проведение внутреннего контроля соблюдения Закона.
Крупные собственники и (или) операторы, а также третьи лица обеспечивают выполнение всех вышеперечисленных требований, а также:
- проведение оценки защищенности цифровых систем, используемых для сбора и обработки персональных данных;
- проведение независимого аудита мер защиты персональных данных;
- проведение мониторинга событий кибербезопасности;
- контроль действий пользователей с привилегированными правами доступа;
- контроль операций, связанных с обработкой персональных данных;
- проведение анализа уязвимостей, тестирования на проникновение и иных мероприятий по оценке защищенности персональных данных;
- обеспечение восстановления персональных данных после нарушений безопасности персональных данных.
Что изменится при работе с данными ограниченного доступа
Собственник и (или) оператор, а также третье лицо при обработке персональных данных ограниченного доступа:
- устанавливают цели обработки персональных данных ограниченного доступа. Персональные данные ограниченного доступа используются в соответствии с декларируемыми целями;
- определяют порядок блокирования персональных данных ограниченного доступа, относящихся к субъекту, при обращении субъекта. Блокирование персональных данных осуществляется до принятия решения по обращению субъекта;
- оповещают уполномоченный орган об инцидентах кибербезопасности, связанных с незаконным доступом к персональным данным ограниченного доступа. Оповещение осуществляется для принятия мер по предотвращению дальнейшего незаконного доступа к персональным данным;
- обеспечивают установку средств защиты информации, обновлений программного обеспечения на технических средствах, осуществляющих обработку персональных данных ограниченного доступа для обеспечения безопасности обработки персональных данных;
- обеспечивают ведение журнала событий систем управления базами для регистрации событий, связанных с обработкой персональных данных ограниченного доступа;
- обеспечивают ведение журнала действий пользователей, имеющих доступ к персональным данным ограниченного доступа для учета действий при работе с персональными данными ограниченного доступа;
- применяют средства контроля целостности персональных данных ограниченного доступа для предотвращения несанкционированного изменения персональных данных;
- обеспечивают передачу персональных данных ограниченного доступа иным лицам по защищенным каналам связи и (или) с применением шифрования и при наличии согласия субъекта персональных данных для предотвращения несанкционированного доступа;
- обеспечивают применение средств криптографической защиты информации для надежного хранения персональных данных ограниченного доступа. Хранение и передача персональных данных ограниченного доступа осуществляются с использованием средств криптографической защиты информации, имеющих параметры не ниже третьего уровня безопасности согласно стандарту РК СТ РК 1073-2007 «Средства криптографической защиты информации. Общие технические требования».
- применяют средства идентификации и (или) аутентификации пользователей, в том числе биометрической аутентификации для базы, содержащей более 100 тысяч записей персональных данных при работе с персональными данными ограниченного доступа. Обязанность применения идентификации и (или) аутентификации пользователей распространяется исключительно на лиц, имеющих доступ к базе персональных данных.
Сбор и обработка персональных данных ограниченного доступа осуществляются посредством цифровых объектов, размещенных на территории РК.
Хранение персональных данных, содержащихся в цифровых ресурсах, осуществляется собственником и (или) оператором, а также третьим лицом в базе и (или) цифровом объекте, которые находятся в серверном помещении или центре обработки данных, расположенном на территории РК, с принятием необходимых мер по защите персональных данных.
Собственник и (или) оператор, а также третье лицо назначают лицо, ответственное за организацию обработки персональных данных в случае, если собственник и (или) оператор являются юридическими лицами.
Собственник и (или) оператор, а также третье лицо обязаны принимать необходимые меры по защите персональных данных в соответствии с Законом и настоящими Правилами обеспечивающие:
- предотвращение несанкционированного доступа к персональным данным;
- своевременное обнаружение фактов несанкционированного доступа к персональным данным, если такой несанкционированный доступ не удалось предотвратить;
- минимизацию неблагоприятных последствий несанкционированного доступа к персональным данным;
- предоставление доступа государственной технической службе к цифровым объектам, использующим, хранящим, обрабатывающим и распространяющим персональные данные ограниченного доступа, содержащиеся в цифровых ресурсах, для осуществления обследования обеспечения защищенности процессов хранения, обработки и распространения персональных данных ограниченного доступа, содержащихся в цифровых ресурсах в порядке, определяемом уполномоченным органом.
Собственник и (или) оператор, а также третье лицо в течение 1 рабочего дня c момента обнаружения нарушения безопасности персональных данных осуществляют уведомление уполномоченного органа о данном нарушении с указанием контактных данных лица, ответственного за организацию обработки персональных данных (при наличии).
Документ вводится в действие с 21 сентября.
Ранее сообщалось, что в Казахстане изменены правила уведомления о нарушениях безопасности персональных данных.