Қазақстан Республикасы "Дербес деректер және оларды қорғау туралы" Заңының 23-бабының 3-тармағына сәйкес, БҰЙЫРАМЫН:
1. Коса беріліп отырған Дербес деректерді аса маңызды цифрлық объектілерден цифрлық жеткізгіштерге көшіру (жүктеп алу) қағидалары бекітілсін.
2. Қазақстан Республикасы Жасанды интеллект және цифрлық даму министрлігінің Ақпараттық қауіпсіздік комитеті Қазақстан Республикасының заңнамасында белгіленген тәртіппен:
1) осы бұйрықты Қазақстан Республикасының Әділет министрлігінде мемлекеттік тіркеуді;
2) осы бұйрықты ресми жариялағаннан кейін оны Қазақстан Республикасы Жасанды интеллект және цифрлық даму министрлігінің интернет-ресурсында орналастыруды;
3) осы бұйрық мемлекеттік тіркелгеннен кейін он жұмыс күні ішінде Қазақстан Республикасы Жасанды интеллект және цифрлық даму министрлігінің Заң департаментіне осы тармақтың 1) және 2) тармақшаларында көзделген іс-шаралардың орындалуы туралы мәліметтер ұсынуды қамтамасыз етсін.
3. Осы бұйрықтың орындалуын бақылау жетекшілік ететін Қазақстан Республикасының Жасанды интеллект және цифрлық даму вице-министріне жүктелсін.
4. Осы бұйрық алғаш ресми жарияланғаннан кейін он күнтізбелік күн өткен соң қолданысқа енгізіледі.
|
Қазақстан Республикасы Премьер-Министрінің орынбасары – Жасанды интеллект және цифрлық даму министрі |
Ж. Мадиев |
"КЕЛІСІЛДІ"
Қазақстан Республикасының
Ұлттық қауіпсіздік комитеті
Дербес деректерді аса маңызды цифрлық объектілерден цифрлық жеткізгіштерге көшіру (жүктеп алу) қағидалары
1-тарау. Жалпы ережелер
1. Осы дербес деректерді аса маңызды цифрлық объектілерден цифрлық жеткізгіштерге көшіру (жүктеп алу) қағидалары (бұдан әрі – Қағидалар) "Дербес деректер және оларды қорғау туралы" Қазақстан Республикасы Заңының (бұдан әрі - заң) 23-бабының 3-тармағына сәйкес әзірленді және дербес деректерді аса маңызды цифрлық объектілерден цифрлық жеткізгіштерге көшіруді (жүктеп алуды) жүзеге асыру тәртібін айқындайды.
2. Осы Қағидаларда мынадай негізгі ұғымдар пайдаланылады:
1) аса маңызды цифрлық объектілер – жұмыс істеуінің бұзылуы немесе тоқтауы қолжетімділігі шектелген дербес деректерді және заңмен қорғалатын құпияны қамтитын өзге де мәліметтерді заңсыз жинауға және өңдеуге, әлеуметтік және (немесе) техногендік сипаттағы төтенше жағдайлардың туындауына немесе қорғаныс, қауіпсіздік, халықаралық қатынастар, экономика, шаруашылықтың жекелеген салалары үшін немесе тиісті аумақта тұратын халықтың тыныс-тіршілігі, оның ішінде жылумен жабдықтау, электрмен жабдықтау, газбен жабдықтау, сумен жабдықтау, өнеркәсіп, денсаулық сақтау, байланыс, банк саласы, көлік, гидротехникалық құрылысжайлар, құқық қорғау қызметі, "цифрлық үкімет" инфрақұрылымы үшін елеулі теріс салдарға алып келетін цифрлық объектілер;
2) дербес деректер – дербес деректердің бір немесе бірнеше сәйкестендіргішімен толықтырылған, дербес деректер субъектісі туралы мәліметтер немесе мәліметтер жиынтығы;
3) дербес деректерді бүркемелеу – нақты дербес деректердің бір бөлігін жалған және (немесе) иесіздендірілген деректермен ауыстыру арқылы ақпаратты қорғау процесі;
4) дербес деректер қауіпсіздігінің бұзылуы – берілетін, сақталатын немесе өзге де түрде өңделетін дербес деректердің заңсыз таралуына, өзгертілуіне, жойылуына және алып тасталуына, санкцияланбаған таралуына немесе оларға санкцияланбаған қол жеткізуге алып келген дербес деректер қорғалуының бұзылуы;
5) дербес деректерді қорғау саласында уәкілетті орган (бұдан әрі - уәкілетті орган) - дербес деректерді қорғау саласындағы басшылықты жүзеге асыратын орталық атқарушы орган;
6) цифрлық деректерді хештеу – кез келген көлемдегі цифрлық деректерді қорғау мақсатында оларды тіркеп-белгіленген ұзындық жолағына түрлендіру процесі.
2-тарау. Дербес деректерді аса маңызды цифрлық объектілерден цифрлық жеткізгіштерге көшіруді (жүктеп алуды) жүзеге асыру тәртібі
3. Уәкілетті органмен келісілген жағдайларды қоспағанда, сондай-ақ барлау, қарсы барлау, жедел-іздестіру қызметі, сондай-ақ қорғалатын тұлғалар мен объектілердің қауіпсіздігін қамтамасыз ету жөніндегі күзет іс-шараларын жүзеге асыру барысында дербес деректерді аса маңызды цифрлық объектілерден цифрлық жеткізгіштерге көшіруге (жүктеп алуға) жол берілмейді.
4. Дербес деректерді аса маңызды цифрлық объектілерден цифрлық жеткізгіштерге көшіру (жүктеп алу) құқықтық негіз болған кезде және дербес деректерді қорғаудың ұйымдастырушылық және техникалық шаралары қамтамасыз етілген жағдайда жүзеге асырылады.
5. Дербес деректерді аса маңызды цифрлық объектілерден цифрлық жеткізгіштерге көшіруді (жүктеп алуды) келісу туралы сұрау салу уәкілетті органға мемлекеттік органның бірінші басшысының не аса маңызды цифрлық объектілер меншік иесінің және (немесе) басшысының қолы қойылған ресми хатпен жіберіледі.
Көшірілген (жүктеп алынған) дербес деректер келісімде көрсетілген мақсаттар үшін ғана пайдаланылады және көшірмелеуге, көшірілуге немесе таратуға жатпайды.
6. Сұрау салуда міндетті түрде көрсетіледі:
1) дербес деректерді көшірудің (жүктеп алудың) құқықтық негізі;
2) дербес деректерді пайдаланудың нақты мақсаты;
3) интеграция мүмкіндігі жоқтығының негіздемесі;
4) көшірілетін (жүктеп алынатын) дербес деректер санаттарының тізбесі;
5) жазбалардың көлемі және кезеңі;
6) дербес деректерді пайдалану және сақтау мерзімі;
7) дербес деректерді қорғаудың техникалық және ұйымдастырушылық шараларының сипаттамасы;
8) дербес деректерді беруді жүзеге асыратын тұлға туралы мәліметтер;
9) дербес деректерді алуды жүзеге асыратын тұлға туралы мәліметтер.
7. Уәкілетті орган сұрау салу осы Қағидалардың 6-тармағына сәйкес келеген жағдайда келіседі, не сұрау салу осы Қағидалардың 6-тармағына сәйкес келмеген жағдайда 15 (он бес) жұмыс күні ішінде келісуден бас тартады.
Уәкілетті орган сұрау салуды келісуден бас тартқан жағдайда, мемлекеттік органның басшысының не аса маңызды цифрлық объектілердің меншік иесінің және (немесе) басшысының уәкілетті органға қайта жүгіну мүмкіндігі бар.
3-тарау. Жүктеп алуды жүзеге асыру талаптары
8. Міндеттерді орындау үшін қажетті және жеткілікті дербес деректер ұсынылуға жатады.
Мазмұны мен көлемі мәлімделген мақсатқа қатысты артық болып табылатын дербес деректерді көшіруге (жүктеп алуға) жол берілмейді.
9. Дербес деректер Заңның 17-бабына сәйкес иесіздендіруге, Заңның 23-бабының 2-тармағына сәйкес бүркемеленуге және (немесе) хештелуге жатады.
10. Дербес деректерді беру және сақтау Қазақстан Республикасы заңнамасының талаптарына сәйкес ұйымдастырушылық және техникалық шараларды, оның ішінде ақпаратты криптографиялық қорғау құралдарын қолдану арқылы оларды қорғауды қамтамасыз ете отырып жүзеге асырылады.
11. Көшірілген (жүктеп алынған) дербес деректерді Қазақстан Республикасының шегінен тыс орналасқан базада орналастыруға жол берілмейді.
12. Көшірілген (жүктеп алынған) дербес деректерді сақтау мерзімі күнтізбелік отыз күннен аспауға тиіс. Мерзім өткеннен кейін дербес деректер актіні ресімдей отырып жойылуға тиіс.
13. Көшірілген (жүктеп алынған) дербес деректерді үшінші тұлғаларға беруге жол берілмейді.
14. Көшірілген (жүктеп алынған) дербес деректерді беру дербес деректердің құрамы мен көлемін, берудің негізі мен мақсатын, жасалған және берілген күнін, бастамашы, алушы және цифрлық тасымалдаушы туралы мәліметтерді, бақылау сомасын (хэш) тіркей отырып, қабылдау-беру актісімен ресімделеді.
15. Дербес деректерді көшіруді (жүктеп алуды), беруді және сақтауды жүзеге асыру кезінде тиісті іс-әрекеттерді жүзеге асыратын тұлғаларды сәйкестендіру және аутентификациялау, сондай-ақ цифрлық оқиғаларды журналдау қамтамасыз етіледі.
16. Цифрлық жеткізгішті тазарту дербес деректерді қалпына келтіру мүмкіндігін болдырмайтын ақпаратты кепілді жою тәсілімен жүзеге асырылады.
Цифрлық жеткізгішті тазарту нәтижесін бақылау құралдарын қолдана отырып және тиісті актіні ресімдей отырып, киберқауіпсіздікті қамтамасыз етуге жауапты лауазымды тұлға тексереді.
Цифрлық жеткізгішті тазарту нәтижесін растау мүмкін болмаған кезде цифрлық жеткізгішті физикалық (механикалық немесе термиялық) жою жүзеге асырылады.
