Персональные данные казахстанцев будут уничтожать с носителей

Unsplash, бильд-редактор: Дастан Шанай

С 31 октября в Казахстане ужесточат правила работы с персональными данными. Банки, больницы и госорганы не смогут свободно выгружать информацию из критически важных цифровых систем на отдельные носители. Для этого понадобится разрешение, а хранить полученные копии можно будет не дольше 30 дней.

Новые правила утвердил министр искусственного интеллекта и цифрового развития Жаслан Мадиев. В документе прописали, кто и на каких условиях сможет копировать личные данные казахстанцев, а также что делать с ними после использования.

Кому усложнили доступ к личным данным

Новые требования касаются цифровых систем, сбой или взлом которых может обернуться серьезными последствиями. Это могут быть системы банков, больниц, операторов связи, транспортных компаний, коммунальных служб и госорганов.

Но есть нюанс: ограничения затронут не все базы данных, а только те, которые относятся к критически важным цифровым объектам.

Теперь, чтобы перенести информацию из такой системы на отдельный носитель, организации придется сначала получить согласование.

Одного объяснения, что данные нужны для работы, будет недостаточно. Руководителю придется указать, какую информацию собираются копировать, зачем она нужна, кто ее получит и почему нельзя обойтись обменом данными между системами.

Также потребуется объяснить, как сведения защитят от посторонних. На рассмотрение запроса отводится 15 рабочих дней.

30 дней на уничтожение

Даже если организация получит разрешение, хранить копии бесконечно не получится. Максимальный срок — 30 календарных дней.

После этого информацию необходимо уничтожить. Использовать ее для других задач, передавать третьим лицам или делать дополнительные копии запрещено.

Есть и еще одно ограничение: выгруженные сведения нельзя размещать в базах данных за пределами Казахстана.

Однако это не означает полного запрета на хранение личной информации казахстанцев за рубежом. Новые требования касаются конкретно данных, выгруженных из критически важных цифровых систем.

Носитель данных придется уничтожить

Отдельно в приказе прописали, как избавляться от скопированной информации. Просто удалить файлы с флешки или другого носителя недостаточно. Организация должна убедиться, что восстановить личные данные уже невозможно.

Проверять это будет специалист по кибербезопасности. Если подтвердить полное удаление не удастся, придется уничтожить сам носитель — механически или с помощью высокой температуры.

Причем каждую передачу информации нужно будет документировать: кто ее скопировал, кому передал, когда и для чего.

Кому разрешили копировать данные без согласования

В правилах предусмотрели исключения для отдельных случаев работы спецслужб и правоохранительных органов. Речь идет о разведке, контрразведке, оперативно-розыскной деятельности, а также охране лиц и объектов, находящихся под государственной защитой.

Для таких случаев обычное согласование не потребуется, но действовать сотрудники смогут только в пределах своих законных полномочий.

Что изменится для обычных казахстанцев

Самим гражданам ничего делать не нужно. Новые требования адресованы тем, кто хранит и обрабатывает их персональные данные в критически важных цифровых системах.

Главное изменение в том, что организация не сможет без согласования выгрузить такую информацию на отдельный носитель, оставить ее у себя на неопределенный срок или передать кому-то еще.

Это позволит ограничить появление лишних копий личных данных, которые могут оказаться в чужих руках. Впрочем, от всех утечек новые правила не защитят: они касаются только копирования информации из определенных систем, а не всех способов ее обработки.