Cо 2 октября субъект персональных данных сможет потребовать удаления и анонимизации

Приказом и. о. министра искусственного интеллекта и цифрового развития внесены изменения и дополнения в правила сбора, обработки персональных данных. В Правилах появятся определения удаления, анонимизации и маскирования персональных данных, а также их распространения в общедоступных источниках, передает Uchet.kz.

Удалением будут считаться действия по исключению персональных данных из цифрового объекта без возможности их восстановления. Под анонимизацией будут понимать необратимое преобразование идентификаторов, после которого установить принадлежность данных субъекту невозможно. Маскированием назовут замену части реальных персональных данных на недействительные и (или) обезличенные.

В понятие персональных данных включат биометрические данные. Блокирование будет распространяться и на удаление персональных данных, а накопление будет охватывать их внесение не только в базу, но и в цифровой объект. Базой в Правилах будут называть совокупность упорядоченных персональных данных на бумажном носителе. Государственный и негосударственный сервисы контроля доступа будут обеспечивать в том числе получение согласия субъекта на сбор, обработку персональных данных и их передачу третьим лицам.

Согласие субъекта понадобится для трансграничной передачи персональных данных, их распространения в общедоступных источниках и передачи третьим лицам. Исключение составят случаи трансграничной передачи, предусмотренные статьёй 16 Закона «О персональных данных и их защите».

Если субъект или его законный представитель сам разместил персональные данные в общедоступных источниках без предоставления согласия, каждое лицо, которое затем собрало, распространило или иным образом обработало эти данные, обязано будет доказать законность своих действий.

Третьи лица вправе будут собирать, обрабатывать и распространять опубликованные персональные данные при условии ссылки на источник информации.

Требование о согласии по пункту 3 статьи 7 Закона не будет распространяться на случаи, когда размещение персональных данных в общедоступных источниках установлено законами Республики Казахстан. При этом собственники, операторы и третьи лица должны будут маскировать данные, которые не подлежат распространению. Субъект или его законный представитель получит доступ к таким данным после прохождения авторизации и идентификации, если законами не предусмотрено иное.

Собственник, оператор и третье лицо обязаны будут хранить персональные данные в базе и (или) цифровом объекте, расположенных на территории РК.

При нарушении условий сбора и обработки субъект сможет потребовать от собственника, оператора или третьего лица блокирования и (или) анонимизации своих персональных данных.

Персональные данные, собранные и обработанные с нарушением законодательства Республики Казахстан, а также в иных случаях, установленных Законом и иными нормативными правовыми актами (НПА), по требованию субъекта должны будут уничтожаться и (или) удаляться. Требование об удалении не подлежит исполнению в случаях, определённых пунктом 4 статьи 41 Цифрового кодекса Республики Казахстан.

Напомним — 20 ноября 2026 г. в Алматы пройдет конференция PROFIT Security Day, посвященная информационной безопасности для бизнеса.