Об утверждении Правил сбора, обработки персональных данных Қолданыста

Дербес деректерді жинау, өңдеу қағидаларын бекіту туралы «Дербес деректер және оларды қорғау туралы» Қазақстан Республикасы Заңының 27-1-бабы 1-тармағының 7) тармақшасына және Қазақстан Республикасы Үкіметінің 2025 жылғы 9 қазандағы № 846 қаулысымен бекітілген Қазақстан Республикасының Жасанды интеллект және цифрлық даму министрлігі туралы ереженің 15-тармағының 346) тармақшасына сәйкес БҰЙЫРАМЫН:

1. Қоса беріліп отырған Дербес деректерді жинау, өңдеу қағидалары бекітілсін.

2. Қазақстан Республикасының Цифрлық даму, инновациялар және аэроғарыш өнеркәсібі министрлігінің Ақпараттық қауіпсіздік комитеті:

1) осы бұйрықты Қазақстан Республикасының Әділет министрлігінде мемлекеттік тіркеуді;

2) осы бұйрықты Қазақстан Республикасының Цифрлық даму, инновациялар және аэроғарыш өнеркәсібі министрлігінің интернет-ресурсына орналастыруды;

3) осы бұйрық мемлекеттік тіркелгеннен кейін күнтізбелік он күн ішінде Қазақстан Республикасы Цифрлық даму, инновациялар және аэроғарыш өнеркәсібі министрлігінің Заң департаментіне осы тармақтың 1) және 2) тармақшаларында көзделген іс-шаралардың орындалуы туралы мәліметтерді ұсынуды қамтамасыз етсін.

3. Осы бұйрықтың орындалуын бақылау жетекшілік ететін Қазақстан Республикасының Цифрлық даму, инновациялар және аэроғарыш өнеркәсібі вице-министріне жүктелсін.

4. Осы бұйрық алғашқы ресми жарияланған күнінен кейін күнтізбелік он күн өткен соң қолданысқа енгiзiледi.

Қазақстан Республикасының Цифрлық даму, инновациялар және аэроғарыш өнеркәсібі министрінің 2020 жылғы 21 қазаны № 395/НҚ бұйрығымен бекітілген Дербес деректерді жинау, өңдеу қағидалары

1-тарау. Жалпы ережелер

1. Осы Дербес деректерді жинау, өңдеу қағидалары (бұдан әрі – Қағидалар) «Дербес деректер және оларды қорғау туралы» Қазақстан Республикасы Заңының 27-1-бабы 1-тармағының 7) тармақшасына, Қазақстан Республикасы Үкіметінің 2025 жылғы 9 қазандағы № 846 қаулысымен бекітілген Қазақстан Республикасының Жасанды интеллект және цифрлық даму министрлігі туралы ереженің 15-тармағының 346) тармақшасына сәйкес әзірленді және дербес деректерді жинау, өңдеу тәртібін айқындайды.

2. Осы Қағидаларда мынадай негізгі ұғымдар пайдаланылады:

1) дербес деректер – оның ішінде биометриялық, негізінде дербес деректер субъектісіне қатысты айқындалған немесе айқындалатын, электрондық, қағаз және (немесе) өзге де материалдық жеткізгіште тіркелген деректер;

2) дербес деректерді бұғаттау – дербес деректерді жинауды, жинақтауды, өзгертуді, толықтыруды, пайдалануды, таратуды, иесіздендіруді және жоюды уақытша тоқтату жөніндегі іс-әрекеттер;

3) дербес деректерді жинақтау – дербес деректерді қамтитын базаға дербес деректерді енгізу арқылы оларды жүйелеу жөніндегі іс-әрекеттер;

4) дербес деректерді жинау – дербес деректерді алуға бағытталған іс-әрекеттер;

5) дербес деректерді жою – жасалуы нәтижесінде дербес деректерді қалпына келтіру мүмкін болмайтын іс-әрекеттер;

6) дербес деректерді иесіздендіру – жасалуы нәтижесінде дербес деректердің дербес деректер субъектісіне тиесілігін анықтау мүмкін болмайтын іс-әрекеттер;

7) дербес деректерді қамтитын база (бұдан әрі – база) – ретке келтірілген дербес деректердің жиынтығы;

8) дербес деректерді қамтитын базаның меншік иесі (бұдан әрі – меншік иесі) – дербес деректерді қамтитын базаны Қазақстан Республикасының заңдарына сәйкес иелену, пайдалану және оған билік ету құқығын іске асыратын мемлекеттік орган, жеке және (немесе) заңды тұлға;

9) дербес деректерді қамтитын базаның операторы (бұдан әрі – оператор) – дербес деректерді жинауды, өңдеуді және қорғауды жүзеге асыратын мемлекеттік орган, жеке және (немесе) заңды тұлға;

10) дербес деректерге қол жеткізуді бақылаудың мемлекеттік емес сервисі (бұдан әрі – мемлекеттік емес сервис) – дербес деректер субъектісінен дербес деректерді жинауға, өңдеуге немесе оларды үшінші тұлғаларға беруге келісім алуды қоса алғанда, мемлекеттік емес ақпараттандыру объектілерінде қамтылған дербес деректерге қол жеткізу кезінде меншік иелерінің және (немесе) операторлардың, үшінші тұлғалардың дербес деректер субъектісімен ақпараттық өзара іс-қимылын қамтамасыз ететін қызмет;

11) дербес деректерге қол жеткізуді бақылаудың мемлекеттік сервисі (бұдан әрі – мемлекеттік сервис) – дербес деректер субъектісінен дербес деректерді жинауға, өңдеуге немесе оларды үшінші тұлғаларға беруге келісім алуды қоса алғанда, мемлекеттік органдардың және (немесе) мемлекеттік заңды тұлғалардың ақпараттандыру объектілерінде қамтылған дербес деректерге қол жеткізу кезінде меншік иелерінің және (немесе) операторлардың, үшінші тұлғалардың дербес деректер субъектісімен және уәкілетті органмен ақпараттық өзара іс-қимылын қамтамасыз ететін қызмет;

12) дербес деректерді қорғау саласындағы уәкілетті орган (бұдан әрі – уәкілетті орган) – дербес деректерді қорғау саласындағы басшылықты жүзеге асыратын орталық атқарушы орган.

3. Осы Қағидалар дербес деректері жинау және өңдеу процесінде меншік иелері, операторлар, субъектілер, сондай-ақ үшінші тұлғалар арасында туындайтын қатынастарға қолданылады.

4. Осы Қағидалардың 4-3-тармағында және Заңның 9-бабында көзделген жағдайларды қоспағанда, дербес деректерді жинауды, өңдеуді меншік иесі және (немесе) оператор, сондай-ақ үшінші тұлға субъектінің немесе оның заңды өкілінің келісімімен осы Қағидалармен айқындалатын тәртіппен жүзеге асырады. Қайтыс болған (сот хабар-ошарсыз кетті деп таныған немесе қайтыс болды деп жариялаған) субъектінің дербес деректерін жинау, өңдеу Қазақстан Республикасының заңнамасына сәйкес жүзеге асырылады.

4-1. Дербес деректерді жалпыға қолжетімді дереккөздерде таратуға субъектінің немесе оның заңды өкілінің келісімі болған кезде жол беріледі.

4-2. Осы Қағидалардың 4-1-тармағының талаптары орналастыру міндеті Қазақстан Республикасының заңдарында белгіленген ақпарат жарияланған жағдайларда ақпарат иеленушілерге қолданылмайды.

4-3. Ақпарат көзіне сілтеме болған жағдайда, осы Қағидалардың 4-1 және 4-2-тармақтарының негізінде жарияланған дербес деректерді үшінші тұлғалардың қайта жинауына, өңдеуіне және таратуына жол беріледі.

4-4. Заңның 16-бабында көзделген жағдайларды қоспағанда, дербес деректерді трансшекаралық беру түрінде дербес деректерді өңдеу, дербес деректерді жалпыға қолжетімді көздерде тарату, сондай-ақ оларды үшінші тұлғаларға беру субъектінің келісімімен жүзеге асырылады.

5. Меншік иесінің және (немесе) оператордың дербес деректерді жинауға және өңдеуге жүзеге асырылатын міндеттерді орындау үшін қажетті және жеткілікті Дербес деректердің тізбесінде айқындалған (бұдан әрі – Дербес деректердің тізбесі) көлемде жол беріледі. Дербес деректердің тізбесі Заңның 25-бабы 2-тармағының 1) тармақшасына сәйкес Қазақстан Республикасының Цифрлық даму, инновациялар және аэроғарыш өнеркәсібі министрінің 2023 жылғы 21 маусымдағы № 199/НҚ бұйрығымен бекітілген (Нормативтік құқықтық актілерді мемлекеттік тіркеу тізілімінде № 32889 болып тіркелген) Меншік иесінің және (немесе) оператордың өздері жүзеге асыратын міндеттерді орындау үшін қажетті және жеткілікті дербес деректердің тізбесін айқындау қағидаларымен айқындалады және бекітіледі.

6. Субъект немесе оның заңды өкілі дербес деректерді жинауға, өңдеуге жазбаша, мемлекеттік сервис, мемлекеттік емес сервис арқылы не келісімді алғанын растауға мүмкіндік беретін өзге де тәсілмен келісім береді (оны кері қайтарып алады). Мемлекеттік органдардың және (немесе) мемлекеттік заңды тұлғалардың ақпараттандыру объектілеріндегі дербес деректерді жинау және (немесе) өңдеу кезінде келісім мемлекеттік сервис арқылы беріледі.

6-1. Егер Қазақстан Республикасының заңдарында немесе шартта өзгеше белгіленбесе, дербес деректерді өңдеуге келісімнің қолданылу мерзімі дербес деректерді жинау мен өңдеу мақсаттарына қол жеткізуге қажетті мерзімнен аспайды.

6-2. Егер дербес деректерді жинауға, өңдеуге келісімнің қолданылу мерзімі көрсетілмесе, ол берілген кезінде айқындалған өңдеу мақсаттарына қол жеткізілгенге дейін қолданыста болады деп есептеледі.

6-3. Субъектінің немесе оның заңды өкілінің меншік иесін және (немесе) операторды, сондай-ақ үшінші тұлғаны хабардар ете отырып, дербес деректерді жинауға, өңдеуге келісімді кері қайтарып алуға құқығы бар. Егер Қазақстан Республикасының заңнамасына сәйкес дербес деректерді сақтау немесе өңдеу талап етілмесе, меншік иесі және (немесе) оператор, сондай-ақ үшінші тұлға он бес жұмыс күні ішінде оларды өңдеуді тоқтатуға не уәжді бас тартуды ұсынуға міндетті.

7. Дербес деректерді жинау және өңдеу Қазақстан Республикасының Цифрлық даму, инновациялар және аэроғарыш өнеркәсібі министрінің 2023 жылғы 12 маусымдағы № 179/НҚ бұйрығымен бекітілген (Нормативтік құқықтық актілерді мемлекеттік тіркеу тізілімінде № 32810 болып тіркелген) Меншік иесінің және (немесе) оператордың, сондай-ақ үшінші тұлғаның дербес деректерді қорғау жөніндегі шараларды жүзеге асыру қағидаларына сәйкес дербес деректерді қорғау жөніндегі шараларды қамтамасыз еткен жағдайда жүзеге асырылады.

2-тарау. Дербес деректерді жинау

8. Дербес деректерді жинау осы Қағидалардың 4-3-тармағында және Заңның 9-бабында көзделген жағдайларды қоспағанда, субъектінің немесе оның заңды өкілінің Заңның 8-бабына сәйкес берілген келісімін алғаннан кейін жүзеге асырылады.

9. Қазақстан Республикасының заңдарында белгіленген жағдайларда Заңның 24-бабының 2-тармағына сәйкес субъект өз дербес деректерін ұсынуға міндетті.

3-тарау. Дербес деректерді өңдеу

1-параграф. Дербес деректерді жинақтау және сақтау

10. Дербес деректерді жинақтау меншік иесі және (немесе) оператор, сондай-ақ үшінші тұлға жүзеге асыратын міндеттерді орындау үшін қажетті және жеткілікті осы Қағидалардың 2-тарауына сәйкес жүргізіледі.

11. Дербес деректерді сақтауды меншік иесі және (немесе) оператор, сондай-ақ үшінші тұлға Қазақстан Республикасының аумағындағы базада жүзеге асырады.

2-параграф. Дербес деректерді өзгерту және толықтыру

13. Субъектінің тиiстi құжаттармен расталған негiздер болған кезде, меншік иесінен және (немесе) оператордан өз дербес деректерін өзгертуді және толықтыруды талап етуге құқығы бар.

15. Субъектінің меншік иесінде және (немесе) операторда, сондай-ақ үшінші тұлғада өз дербес деректерінің болуы туралы бiлуге, сондай-ақ: дербес деректердi жинау және өңдеу фактісін, мақсаттарын, көздерін, тәсілдерін растауды; дербес деректердің тiзбесiн; дербес деректердi өңдеу мерзiмдерiн, оның iшiнде оларды сақтау мерзiмдерiн қамтитын ақпаратты алуға құқығы бар. Бұл ретте субъект немесе оның заңды өкілі ақпарат алу үшін меншік иесіне және (немесе) операторға не үшінші тұлғаға жазбаша немесе электрондық құжат нысанында не Қазақстан Республикасының заңнамасына қайшы келмейтін қорғау іс-әрекеттерінің элементін қолдану арқылы өзге де тәсілмен өтініш жасау (сұрау салу) жібереді.

16. Меншік иесі және (немесе) оператор субъектіге қатысы бар ақпаратты, егер Қазақстан Республикасының заңдарында өзге мерзімдер көзделмесе, субъектінің немесе оның заңды өкілінің өтінішін алған күннен бастап 3 (үш) жұмыс күні ішінде хабарлайды. Субъектіге немесе оның заңды өкіліне ақпарат беруден бас тартқан жағдайда, егер Қазақстан Республикасының заңдарында өзге мерзімдер көзделмесе, меншік иесі және (немесе) оператор өтінішті алған күннен бастап 3 (үш) жұмыс күнінен аспайтын мерзімде дәлелді жауап ұсынады.

3-параграф. Дербес деректерді пайдалану, тарату және иесіздендіру

17. Дербес деректерді пайдалануды меншік иесі, оператор және үшінші тұлға Дербес деректердің тізбесінде анықталатын оларды жинаудың бұрын мәлімделген мақсаттары үшін ғана жүзеге асырылады.

18. Дербес деректерді жинаудың бұрын мәлімделген мақсаттарының шеңберінен шығатын жағдайларда тарату субъектінің немесе оның заңды өкілінің келісімімен жүзеге асырылады.

20. Иесіздендіруді меншік иесі және (немесе) оператор не үшінші тұлға олар таратылғанға дейін қойылған дербес деректерді өңдеу міндеттерін шешуге мүмкіндік беретін иесіздендірудің Қазақстан Республикасының заңнамасына қайшы келмейтін кез келген тәсілімен жүзеге асырады.

21. Дербес деректерді иесіздендіру рәсімі жүргізілгеннен кейін бастапқы дербес деректерді кері қалпына келтіру мүмкіндігі жоқ. Меншік иесінің және (немесе) оператордың не үшінші тұлғаның дербес деректерді иесіздендіруге жұмсаған шығыстарын өтеу, егер меншік иесімен және (немесе) оператормен не үшінші тұлғамен келісімде өзгеше белгіленбесе, иесіздірілген дербес деректерді сұраған адамның есебінен жүзеге асыралды.

4-параграф. Дербес деректерді бұғаттау және жою

24. Субъект немесе оның заңды өкілі меншік иесін және (немесе) операторды, сондай-ақ үшінші тұлғаны дербес деректерді жинау және өңдеу жөніндегі талаптарды сақтаулары тұрғысынан тексеру мақсатында уәкілетті органға жүгінеді. «Уәкілетті орган субъектінің немесе оның заңды өкілінің өтінішін меншік иесін және (немесе) операторды, сондай-ақ үшінші тұлғаны тарта отырып, Қазақстан Республикасы Әкімшілік рәсімдік-процестік кодексінің 76-бабы 1 және 3-тармақтарында белгіленген мерзімдерде қарайды.

25. Субъект дербес деректердi жинау, өңдеу шарттарының бұзылғаны туралы ақпарат мәлім болған жағдайда, меншік иесінен және (немесе) оператордан, сондай-ақ үшінші тұлғадан өз дербес деректерін бұғаттауды талап етеді. Меншік иесі және (немесе) оператор, сондай-ақ үшінші тұлға Қазақстан Республикасының заңнамасын бұза отырып жинаған және өңдеген дербес деректер, сондай-ақ Заңда және Қазақстан Республикасының өзге де нормативтік құқықтық актілерінде белгіленген өзге де жағдайларда дербес деректер субъектінің талабы бойынша жойылуы тиіс.

5-параграф. Соттардың қызметіндегі дербес деректерді өңдеу