С 25 ноября 2013 года в Казахстане вводится в действие Закон РК «О персональных данных и их защите»

Как известно,  весной этого года Парламент РК принял, а глава государства подписал Закон РК «О персональных данных и их защите».  Положения закона  начнут действовать на территории Казахстана с 25 ноября 2013 года.  Правительством РК принято 3 сентября 2013 года постановление №909 «Об утверждении Правил осуществления собственником и (или) оператором, а также третьим лицом мер по защите персональных данных».

Что такое персональные данные?

Напомним, что закон устанавливает, что персональные данные – это сведения, относящиеся к определенному или определяемому на их основании субъекту персональных данных, зафиксированные на электронном, бумажном и (или) ином материальном носителе.

Другими словами, под персональными данными понимаются: фамилия, имя, отчество (при его наличии), дата и место рождения, индивидуальный идентификационный номер, юридический адрес, номер документа, удостоверяющего его личность, семейное и социальное положение, наличие движимого и недвижимого имущества, образование, профессия, другие сведения личного характера, которые идентифицируют личность человека или позволяют установить ее.

Физическое лицо, к которому относятся или принадлежат персональные данные, именуется субъектом персональных данных.  Персональные данные комплектуются в базы, в зависимости от целей их назначения и использования.  Государственные органы, физические и (или) юридические лица, которые на праве собственности владеют, пользуются и распоряжаются базами, содержащими персональные данные, называются собственниками.

Что можно делать с персональными данными? Персональные данные можно собирать и можно обрабатывать, то есть:

—          накапливать;

—          уничтожать;

—          обезличивать;

—          хранить;

—          использовать;

—          изменять и дополнять;

—          блокировать доступ к ним;

—          распространять;

—          передавать третьим лицам.

Кроме этого, базы, содержащие персональные данные, необходимо обеспечивать защитой от несанкционированного взлома или доступа.

Государственный орган, физическое и (или) юридическое лицо, осуществляющее функции по сбору, обработке и защите персональных данных, именуется оператором базы персональных данных.

В отношении субъекта персональных данных, собственника и оператора базы персональных данных законом возлагаются определенные права и обязанности, а также ответственность за нарушение установленных требований.

Положения Закона Республики Казахстан «О персональных данных и их защите» распространяются на профессиональную журналистскую деятельность, а также на индивидуальных предпринимателей и юридических лиц, осуществляющих деятельность по выпуску средств массовой информации. Редакции  СМИ являются собственниками и (или) операторами персональных данных.

Закон РК «О персональных данных и их защите» содержит положение о том, что если сбор и обработка персональных данных производятся для осуществления законной профессиональной деятельности журналиста и (или) деятельности средства массовой информации либо научной, литературной или иной творческой деятельности – получать согласие субъекта не требуется. Это положение является исключением из общего правила, которое гласит, что сбор и обработка персональных данных осуществляется только с согласия субъекта, которому они принадлежат.

Однако те требования закона, которые касаются защиты персональных данных, на редакции СМИ распространяются, и их необходимо будет исполнять по мере введения закона в действие.  Закон РК «О персональных данных и их защите» не содержит конкретных положений в отношении мер по защите персональных данных, но  тоже время возлагает на Правительство РК обязанность по разработке и принятию  соответствующих правил.

О мерах по защите персональных данных

Правила осуществления собственником и (или) оператором, а также третьим лицом мер по защите персональных данных были утверждены постановлением Правительства РК от 3 сентября 2013 года №909. Как и закон, они вводятся в действие с 25 ноября 2013 года.

Под «третьим лицом»  в данных Правилах понимаются лицо, не являющееся субъектом, собственником и (или) оператором, но связанное с ними (ним) обстоятельствами или правоотношениями по сбору, обработке и защите персональных данных.

Собственник и (или) оператор, а также третьи лица обеспечивают защиту персональных данных, которая гарантируется государством и принимают необходимые меры по защите персональных данных, обеспечивающие:
1) предотвращение несанкционированного доступа к персональным данным;
2) своевременное обнаружение фактов несанкционированного доступа к персональным данным, если такой несанкционированный доступ не удалось предотвратить;
3) минимизацию неблагоприятных последствий несанкционированного доступа к персональным данным.
Обязанности собственника и (или) оператора, а также третьего лица по защите персональных данных возникают с момента сбора персональных данных и действуют до момента их уничтожения либо обезличивания.

Защита персональных данных осуществляется путем применения комплекса мер, в том числе правовых, организационных и технических, в целях:
1) реализации прав на неприкосновенность частной жизни, личную и семейную тайну;
2) обеспечения их целостности и сохранности;
3) соблюдения их конфиденциальности;
4) реализации права на доступ к ним;
5) предотвращения незаконного их сбора и обработки.

Правила устанавливают, что:

—          для обеспечения защиты персональных данных при их сборе и обработке, необходимо обособлять персональные данные от иной информации, в частности путем фиксации их на носителях;

—          при сборе и обработке персональных данных необходимо определить места их хранения (носители) и установить перечень лиц, осуществляющих сбор и обработку персональных данных либо имеющих к ним доступ;

—          при хранении носителей должны соблюдаться условия, обеспечивающие сохранность персональных данных и исключающие несанкционированный к ним доступ. Меры, необходимые для обеспечения таких условий, а также перечень лиц, ответственных за реализацию указанных мер, устанавливаются собственником и (или) оператором, а также третьим лицом.

Постановление Правительства РК  от 3 сентября 2013 года № 909 «Об утверждении Правил осуществления собственником и (или) оператором, а также третьим лицом мер по  защите персональных данных» (файл для скачивания прилагается ниже)

Внимание! Закон Республики Казахстан от 21 мая 2013 года №94-V «О  персональных данных и их защите» , а также постановление Правительства Республики Казахстан от 3 сентября 2013 года №909 «Об утверждении Правил осуществления собственником и (или) оператором,  а также третьим лицом мер по защите персональных данных» вводятся в действие с 25 ноября 2013 года.