Дербес деректер және оларды қорғау туралы

Қазақстан Республикасының 2013 жылғы 21 мамырдағы № 94-V Заңы.

      Қолданушылар назарына!
      Қолданушыларға ыңғайлы болуы үшін ЗҚАИ мазмұнды жасады.

МАЗМҰНЫ

      ЗҚАИ-ның ескертпесі!
      Осы Заңның қолданысқа енгізілу тәртібін 31-баптан қараңыз.

      Осы Заң дербес деректер саласындағы қоғамдық қатынастарды реттейді, сондай-ақ дербес деректердi жинаумен, өңдеумен және қорғаумен байланысты қызметтiң мақсатын, қағидаттарын және құқықтық негiздерiн айқындайды.

1-тарау. ЖАЛПЫ ЕРЕЖЕЛЕР

1-бап. Осы Заңда пайдаланылатын негiзгi ұғымдар

      Осы Заңда мынадай негiзгi ұғымдар пайдаланылады:

      1) биометриялық деректер – дербес деректер субъектісінің физиологиялық және биологиялық ерекшелiктерiн сипаттайтын дербес деректер, олардың негізінде осы субъектінің жеке басын анықтауға болады;

      2) дербес деректер – мәліметтер негізінде айқындалған немесе айқындалатын дербес деректер субъектісіне қатысты, электрондық, қағаз және (немесе) өзге де материалдық жеткізгіште тiркелген cол мәліметтер;

      2-1) дербес деректерге қол жеткізуді мемлекеттік бақылау сервисі (бұдан әрі – мемлекеттік сервис) – дербес деректер субъектісінен дербес деректерді жинауға, өңдеуге немесе оларды үшінші тұлғаларға беруге келісім алуды қоса алғанда, мемлекеттік органдардың және (немесе) мемлекеттік заңды тұлғалардың ақпараттандыру объектілеріндегі дербес деректерге қол жеткізу кезінде меншік иелерінің және (немесе) операторлардың, үшінші тұлғалардың дербес деректер субъектісімен және уәкілетті органмен ақпараттық өзара іс-қимылын қамтамасыз ететін қызмет;

      2-2) дербес деректерге қол жеткізуді мемлекеттік емес бақылау сервисі (бұдан әрі – мемлекеттік емес сервис) – дербес деректер субъектісінен дербес деректерді жинауға, өңдеуге немесе оларды үшінші тұлғаларға беруге келісім алуды қоса алғанда, мемлекеттік емес ақпараттандыру объектілеріндегі дербес деректерге қол жеткізу кезінде меншік иелерінің және (немесе) операторлардың, үшінші тұлғалардың дербес деректер субъектісімен ақпараттық өзара іс-қимылын қамтамасыз ететін қызмет;

      3) дербес деректердi бұғаттау – дербес деректердi жинауды, жинақтауды, өзгертуді, толықтыруды, пайдалануды, таратуды, иесiздендiруді және жоюды уақытша тоқтату жөніндегі іс-әрекеттер;

      4) дербес деректерді жинақтау – дербес деректерді қамтитын базаға дербес деректерді енгізу арқылы оларды жүйелендіру жөніндегі іс-әрекеттер;

      5) дербес деректерді жинау – дербес деректерді алуға бағытталған іс-әрекеттер;

      6) дербес деректердi жою – жасалуы нәтижесінде дербес деректердi қалпына келтiру мүмкін болмайтын iс-әрекеттер;

      7) дербес деректердi иесiздендiру – жасалуы нәтижесiнде дербес деректердiң дербес деректер субъектiсіне тиесiлiгiн анықтау мүмкін болмайтын iс-әрекеттер;

      8) дербес деректерді қамтитын база (бұдан әрі – база) – ретке келтірілген дербес деректердің жиынтығы;

      9) дербес деректерді қамтитын базаның меншік иесі (бұдан әрі – меншік иесі) – дербес деректерді қамтитын базаны Қазақстан Республикасының заңдарына сәйкес иелену, пайдалану және оған билік ету құқығын іске асыратын мемлекеттік орган, жеке және (немесе) заңды тұлға;

      10) дербес деректерді қамтитын базаның операторы (бұдан әрі – оператор) – дербес деректерді жинауды, өңдеуді және қорғауды жүзеге асыратын мемлекеттік орган, жеке және (немесе) заңды тұлға;

      11) дербес деректерді қорғау – осы Заңда белгіленген мақсаттарда жүзеге асырылатын шаралар, оның ішінде құқықтық, ұйымдастырушылық және техникалық шаралар кешені;

      11-1) дербес деректерді қорғау саласында уәкілетті орган (бұдан әрі - уәкілетті орган) - дербес деректерді қорғау саласындағы басшылықты жүзеге асыратын орталық атқарушы орган;

      11-2) алып тасталды – ҚР 30.12.2021 № 96-VII (алғашқы ресми жарияланған күнінен кейін күнтізбелік алпыс күн өткен соң қолданысқа енгізіледі) Заңымен;

      12) дербес деректердi өңдеу – дербес деректерді жинақтауға, сақтауға, өзгертуге, толықтыруға, пайдалануға, таратуға, иесiздендiруге, бұғаттауға және жоюға бағытталған iс-әрекеттер;

      13) дербес деректердi пайдалану – меншік иесінің, оператордың және үшінші тұлғаның қызмет мақсаттарын іске асыруға бағытталған дербес деректермен жасалатын iс-әрекеттер;

      14) дербес деректерді сақтау – дербес деректердің тұтастығын, құпиялылығын және қолжетімділігін қамтамасыз ету жөніндегі іс-әрекеттер;

      15) дербес деректердi тарату – жасалуы нәтижесінде дербес деректер берілетін, оның ішінде бұқаралық ақпарат құралдары арқылы берілетін немесе қандай да бiр өзгеше тәсiлмен дербес деректерге қол жеткізу ұсынылатын іс-әрекеттер;

      15-1) дербес деректер қауіпсіздігінің бұзылуы – берілетін, сақталатын немесе өзге де түрде өңделетін дербес деректердің заңсыз таралуына, өзгертілуіне және жойылуына, санкцияланбаған таралуына немесе оларға санкцияланбаған қол жеткізуге алып келген дербес деректер қорғалуының бұзылуы;

      16) дербес деректер субъектiсi (бұдан әрі – субъект) – дербес деректер тиесілі жеке тұлға;

      17) үшiншi тұлға – субъект, меншік иесі және (немесе) оператор болып табылмайтын, бiрақ дербес деректердi жинау, өңдеу және қорғау бойынша олармен (онымен) мән-жайлар немесе құқық қатынастары арқылы байланысты болатын тұлға.

      Ескерту. 1-бапқа өзгеріс енгізілді - ҚР 25.06.2020 № 347-VI (алғашқы ресми жарияланған күнінен кейін күнтізбелік он күн өткен соң қолданысқа енгізіледі); 30.12.2021 № 96-VII (алғашқы ресми жарияланған күнінен кейін күнтізбелік алпыс күн өткен соң қолданысқа енгізіледі); 11.12.2023 № 44-VIII (алғашқы ресми жарияланған күнінен кейін күнтізбелік алпыс күн өткен соң қолданысқа енгізіледі) Заңдарымен.

2-бап. Осы Заңның мақсаты

      Осы Заңның мақсаты адамның және азаматтың дербес деректерiн жинау және өңдеу кезiнде оның құқықтары мен бостандықтарын қорғауды қамтамасыз ету болып табылады.

3-бап. Осы Заңның қолданылуы

      1. Осы Заңмен дербес деректердi жинауға, өңдеуге және қорғауға байланысты қатынастар реттеледi.

      2. Дербес деректердi жинау, өңдеу және қорғау ерекшелiктері өзге де заңдармен және Қазақстан Республикасы Президентінің актілерімен реттелуі мүмкін.

      3. Осы Заңның күші:

      1) егер бұл ретте басқа да жеке және (немесе) заңды тұлғалардың құқықтары және Қазақстан Республикасы заңдарының талаптары бұзылмаса, субъектілердің тек қана жеке және отбасылық мұқтаж үшін дербес деректерді жинауы, өңдеуі және қорғауы;

      2) Қазақстан Республикасының Ұлттық мұрағат қоры және мұрағаттар туралы заңнамасына сәйкес дербес деректердi қамтитын Қазақстан Республикасы Ұлттық мұрағат қорының құжаттарын және басқа да мұрағаттық құжаттарды қалыптастыру, сақтау және пайдалану;

      3) "Мемлекеттік құпиялар туралы" Қазақстан Республикасының Заңына сәйкес мемлекеттік құпияларға жатқызылған дербес деректерді жинау, өңдеу және қорғау;

      4) Қазақстан Республикасының заңдарында белгіленген шектерде барлау, қарсы барлау, жедел-іздестіру қызметі, сондай-ақ қорғалатын тұлғалар мен объектілердің қауіпсіздігін қамтамасыз ету жөніндегі күзет іс-шараларын жүзеге асыру барысында дербес деректерді жинау, өңдеу және қорғау кезiнде туындайтын қатынастарға қолданылмайды.

4-бап. Қазақстан Республикасының дербес деректер және оларды қорғау туралы заңнамасы

      1. Қазақстан Республикасының дербес деректер және оларды қорғау туралы заңнамасы Қазақстан Республикасының Конституциясына негiзделедi және осы Заң мен Қазақстан Республикасының өзге де нормативтiк құқықтық актiлерiнен тұрады.

      2. Егер Қазақстан Республикасы ратификациялаған халықаралық шартта осы Заңда қамтылғаннан өзгеше қағидалар белгiленсе, онда халықаралық шарттың қағидалары қолданылады.

5-бап. Дербес деректердi жинау, өңдеу және қорғау қағидаттары

      Дербес деректердi жинау, өңдеу және қорғау:

      1) адамның және азаматтың конституциялық құқықтары мен бостандықтарын сақтау;

      2) заңдылық;

      3) қолжетімділігі шектеулі дербес деректердің құпиялылығы;

      4) субъектілер, меншік иелері және операторлар құқықтарының теңдігі;

      5) жеке бастың, қоғамның және мемлекеттің қауіпсіздігін қамтамасыз ету қағидаттарына сәйкес жүзеге асырылады.

2-тарау. ДЕРБЕС ДЕРЕКТЕРДІ ЖИНАУ ЖӘНЕ ӨҢДЕУ

6-бап. Дербес деректерге қолжетімділік

      Дербес деректер қолжетімділігі бойынша жалпыға бірдей қолжетімді және қолжетімділігі шектеулі болып бөлінеді.

      Қазақстан Республикасының заңдарына сәйкес құпиялылықты сақтау талаптары қолданылмайтын, оларға қол жеткізу субъектінің келісімімен еркін болып табылатын дербес деректер немесе мәліметтер жалпыға бірдей қолжетімді дербес деректер болып табылады.

      Субъект туралы жиналуы және өңделуі Қазақстан Республикасының заңнамасы бұзыла отырып жасалған мәліметтер субъектінің немесе оның заңды өкілінің талап етуі бойынша не соттың немесе өзге де уәкілетті мемлекеттік органдардың шешімі бойынша бір жұмыс күні ішінде дербес деректердің жалпыға бірдей қолжетімді көздерінен алып тасталады.

      Бұл ретте дербес деректердің жалпыға бірдей қолжетімді көздерінен дербес деректерді жою кезінде туындайтын шығыстар меншік иесіне және (немесе) операторға, үшінші тұлғаға жүктеледі.

      Субъектінің немесе оның заңды өкілінің өзінің дербес деректерін дербес деректердің жалпыға бірдей қолжетімді көздерінде таратуға келісімін кері қайтарып алу кезінде туындайтын, дербес деректердің жалпыға бірдей қолжетімді көздерінен дербес деректерді жоюға байланысты шығыстардың көлемі, сондай-ақ осы шығыстар жүктелетін адамдар қажеттілік туындаған жағдайда сот тәртібімен айқындалады.

      Қазақстан Республикасының заңнамасымен қолжетімділігі шектелген дербес деректер қолжетімділігі шектеулі дербес деректер болып табылады.

      Ескерту. 6-бап жаңа редакцияда - ҚР 25.06.2020 № 347-VI (алғашқы ресми жарияланған күнінен кейін күнтізбелік он күн өткен соң қолданысқа енгізіледі); өзгеріс енгізілді – ҚР 30.12.2021 № 96-VII (алғашқы ресми жарияланған күнінен кейін күнтізбелік алпыс күн өткен соң қолданысқа енгізіледі); 14.07.2022 № 141-VII (алғашқы ресми жарияланған күнінен кейін күнтізбелік он күн өткен соң қолданысқа енгізіледі) Заңдарымен.

7-бап. Дербес деректерді жинау, өңдеу шарттары және жалпыға бірдей қолжетімді көздерден алынған дербес деректерді жинаудың, өңдеудің ерекшеліктері

      1. Осы баптың 5-тармағында және осы Заңның 9-бабында көзделген жағдайларды қоспағанда, дербес деректерді жинауды, өңдеуді меншік иесі және (немесе) оператор, сондай-ақ үшінші тұлға субъектінің немесе оның заңды өкілінің келісімімен уәкілетті орган айқындайтын тәртіппен жүзеге асырады.

      2. Қайтыс болған (сот хабар-ошарсыз кеткен деп таныған немесе қайтыс болды деп жариялаған) субъектінің дербес деректерін жинау, өңдеу Қазақстан Республикасының заңнамасына сәйкес жүзеге асырылады.

      3. Дербес деректерді жалпыға бірдей қолжетімді көздерде таратуға субъектінің немесе оның заңды өкілінің келісімі болған кезде жол беріледі.

      4. Осы баптың 3-тармағының талаптары орналастыру міндеті Қазақстан Республикасының заңдарында белгіленген ақпарат жарияланған жағдайларда ақпарат иеленушілерге қолданылмайды.

      5. Ақпарат көзіне сілтеме болған жағдайда, осы баптың 3 және 4-тармақтарының негізінде жарияланған дербес деректерді үшінші тұлғалардың қайта жинауына, өңдеуіне және таратуына жол беріледі.

      6. Осы Заңның 16-бабында көзделген жағдайларды қоспағанда, дербес деректерді трансшекаралық беру түрінде дербес деректерді өңдеу, дербес деректерді жалпыға бірдей қолжетімді көздерде тарату, сондай-ақ оларды үшінші тұлғаларға беру субъектінің келісімі болған жағдайда жүзеге асырылады.

      7. Дербес деректерді қамтитын электрондық ақпараттық ресурстарда дербес деректерді жинау, өңдеу ерекшеліктері осы Заңның ережелері ескеріле отырып, Қазақстан Республикасының ақпараттандыру туралы заңнамасына сәйкес белгіленеді.

      8. Дербес деректерді өңдеу нақты, алдын ала айқындалған және заңды мақсаттарға жетумен шектелуге тиіс. Дербес деректерді жинау мақсаттарымен үйлеспейтіндей етіп дербес деректерді өңдеуге жол берілмейді.

      9. Мазмұны мен көлемі дербес деректерді өңдеу мақсаттарына қатысты артық болып табылатын дербес деректер өңделуге жатпайды.

      10. Мемлекеттік органдардың және (немесе) мемлекеттік заңды тұлғалардың ақпараттандыру объектілерімен интеграциялану болмаған, технологиялық құралдарды пайдалана отырып, субъектіні сәйкестендіру мүмкін болмаған жағдайларды қоспағанда, сондай-ақ Қазақстан Республикасының заңдарында көзделген өзге де жағдайларда жеке басты куәландыратын құжаттардың қағаз жеткізгіштегі көшірмелерін жинауға, өңдеуге тыйым салынады.

      Жеке басты куәландыратын құжаттардың қағаз жеткізгіштегі көшірмелерін жинаудың, өңдеудің осы тармақтың бірінші бөлігінде көзделген айрықша жағдайлары цифрлық құжаттар сервисі арқылы қалыптастырылатын жеке басты куәландыратын құжаттарды пайдалануға және ұсынуға қолданылмайды.

      Ескерту. 7-бап жаңа редакцияда – ҚР 30.12.2021 № 96-VII (алғашқы ресми жарияланған күнінен кейін күнтізбелік алпыс күн өткен соң қолданысқа енгізіледі); өзгеріс енгізілді – ҚР 11.12.2023 № 44-VIII (алғашқы ресми жарияланған күнінен кейін күнтізбелік алпыс күн өткен соң қолданысқа енгізіледі) Заңдарымен.

8-бап. Субъектiнiң дербес деректердi жинауға, өңдеуге келiсiм беру (керi қайтарып алу) тәртiбi

      1. Субъект немесе оның заңды өкілі дербес деректерді жинауға, өңдеуге жазбаша, мемлекеттік сервис, мемлекеттік емес сервис арқылы не келісімді алғанын растауға мүмкіндік беретін өзге де тәсілмен келісім береді (оны кері қайтарып алады).

      Мемлекеттік органдардың және (немесе) мемлекеттік заңды тұлғалардың ақпараттандыру объектілеріндегі дербес деректерді жинау және (немесе) өңдеу кезінде келісім мемлекеттік сервис арқылы беріледі.

      2. Субъект немесе оның заңды өкілі дербес деректердi жинауға, өңдеуге берген келісімді, егер бұл Қазақстан Республикасының заңдарына қайшы келсе не орындалмаған міндеттемесі болған кезде кері қайтарып ала алмайды.

      3. Алып тасталды – ҚР 30.12.2021 № 96-VII (алғашқы ресми жарияланған күнінен кейін күнтізбелік алпыс күн өткен соң қолданысқа енгізіледі) Заңымен.

      4. Дербес деректерді жинауға және өңдеуге келісім мыналарды қамтиды:

      1) оператордың атауы (тегі, аты, әкесінің аты (егер ол жеке басты куәландыратын құжатта көрсетілсе), бизнес сәйкестендіру нөмірі (жеке сәйкестендіру нөмірі);

      2) субъектінің тегі, аты, әкесінің аты (егер ол жеке басты куәландыратын құжатта көрсетілсе);

      3) дербес деректерді жинауға, өңдеуге келісім қолданыста болатын мерзім немесе кезең;

      4) оператордың дербес деректерді үшінші тұлғаларға беру мүмкіндігі немесе оның болмауы туралы мәліметтер;

      5) дербес деректерді өңдеу процесінде оларды трансшекаралық берудің болуы не болмауы туралы мәліметтер;

      6) дербес деректердің жалпыға бірдей қолжетімді көздерде таратылуы туралы мәліметтер;

      7) субъектіге байланысты жиналатын деректердің тізбесі;

      8) меншік иесі және (немесе) оператор айқындайтын өзге де мәліметтер.

      Ескерту. 8-бапқа өзгерістер енгізілді - ҚР 17.11.2015 № 408-V (01.03.2016 бастап қолданысқа енгізіледі); 25.06.2020 № 347-VI (алғашқы ресми жарияланған күнінен кейін күнтізбелік он күн өткен соң қолданысқа енгізіледі); 30.12.2021 № 96-VII (алғашқы ресми жарияланған күнінен кейін күнтізбелік алпыс күн өткен соң қолданысқа енгізіледі) Заңдарымен.

8-1-бап. Мемлекеттік сервис

      1. Меншік иелері және (немесе) операторлар, үшінші тұлғалар мемлекеттік органдардың және (немесе) мемлекеттік заңды тұлғалардың дербес деректер бар ақпараттандыру объектілерімен өзара іс-қимыл жасаған жағдайда, осы Заңның 9-бабының 1), 2), 9) және 9-2) тармақшаларында көзделген жағдайларды қоспағанда, дербес деректерді жинау және өңдеу процестеріне тартылған өздерінің ақпараттандыру объектілерінің мемлекеттік сервиспен интеграциялануын қамтамасыз етеді.

      Интеграция Қазақстан Республикасы заңнамасының мемлекеттік құпияларға, жеке басының құпиясына, отбасылық, банктік, коммерциялық құпияға, медицина қызметкерінің құпиясына және заңмен қорғалатын өзге де құпияларға жатқызылған мәліметтерді, сондай-ақ басқа да құпия ақпаратты ұсыну жөніндегі нормалары сақтала отырып жүзеге асырылады.

      Өзге жағдайларда мемлекеттік сервиспен интеграция ерікті негізде жүзеге асырылады.

      Мемлекеттік сервиспен интеграциялау тәртібін уәкілетті орган айқындайды және "электрондық үкіметтің" ақпараттандыру объектілерін интеграциялау қағидаларында айқындалады.

      2. Мыналар мемлекеттік сервис арқылы қамтамасыз етіледі:

      1) субъектінің немесе оның заңды өкілінің мемлекеттік органдардың және (немесе) мемлекеттік заңды тұлғалардың ақпараттандыру объектілеріндегі дербес деректерді жинауға және (немесе) өңдеуге келісім беруі (одан бас тартуы);

      2) субъектінің немесе оның заңды өкілінің мемлекеттік органдардың және (немесе) мемлекеттік заңды тұлғалардың ақпараттандыру объектілеріндегі дербес деректерді жинауға және (немесе) өңдеуге келісімді кері қайтарып алуы;

      3) субъектіні мемлекеттік органдардың және (немесе) мемлекеттік заңды тұлғалардың ақпараттандыру объектілеріндегі өзінің дербес деректерімен жасалатын әрекеттер туралы хабардар ету (қол жеткізу, қарау, өзгерту, толықтыру, беру, бұғаттау, жою);

      4) субъектіге мемлекеттік органдардың және (немесе) мемлекеттік заңды тұлғалардың ақпараттандыру объектілеріндегі өзінің дербес деректерін жинауға және (немесе) өңдеуге келісімі бар меншік иелері және (немесе) операторлар туралы мәліметтерді ұсыну.

      3. Осы Заңның 9-бабының 4), 6), 8) және 9-3) тармақшаларында көзделген жағдайларда, субъектіні мемлекеттік органдардың және (немесе) мемлекеттік заңды тұлғалардың ақпараттандыру объектілеріндегі оның дербес деректеріне қол жеткізуге (жинауға және өңдеуге) сұрау салулардың бастамашылары туралы мемлекеттік сервис арқылы хабардар ету қамтамасыз етіледі.

      Ескерту. 8-1-баппен толықтырылды – ҚР 30.12.2021 № 96-VII (алғашқы ресми жарияланған күнінен кейін күнтізбелік алпыс күн өткен соң қолданысқа енгізіледі) Заңымен.

8-2-бап. Мемлекеттік емес сервис

      1. Меншік иелері және (немесе) операторлар, үшінші тұлғалар субъектінің немесе оның заңды өкілінің дербес деректерді жинауға және (немесе) өңдеуге келісімін алу жөніндегі рәсімдерді оңтайландыру мақсатында мемлекеттік органдардың және (немесе) мемлекеттік заңды тұлғалардың дербес деректерді қамтитын ақпараттандыру объектілерімен өзара іс-қимылы болмаған жағдайда, мемлекеттік емес сервистерді пайдалануға құқылы.

      2. Мыналар мемлекеттік емес сервис арқылы қамтамасыз етіледі:

      1) субъектінің немесе оның заңды өкілінің дербес деректерді жинауға және (немесе) өңдеуге келісім беруі (одан бас тартуы);

      2) субъектіні оның дербес деректерімен жасалатын әрекеттер (қарау, өзгерту, толықтыру, беру, бұғаттау, жою) туралы хабардар ету;

      3) субъектіні үшінші тұлғалардың оның дербес деректеріне қол жеткізуі туралы хабардар ету.

      Ескерту. 8-2-баппен толықтырылды – ҚР 30.12.2021 № 96-VII (алғашқы ресми жарияланған күнінен кейін күнтізбелік алпыс күн өткен соң қолданысқа енгізіледі) Заңымен.

9-бап. Дербес деректердi субъектiнiң келiсiмiнсiз жинау, өңдеу

      Дербес деректерді субъектінің немесе оның заңды өкілінің келісімінсіз жинау, өңдеу:

      1) құқық қорғау органдарының, соттардың және әкімшілік құқық бұзушылықтар туралы істерді қозғайтын және қарайтын өзге де уәкілетті мемлекеттік органдардың қызметін, атқарушылық іс жүргізуді жүзеге асырған;

      2) мемлекеттік статистикалық қызметті жүзеге асырған;

      3) дербес деректердi мiндеттi түрде иесiздендiру шартымен оларды статистикалық мақсаттар үшiн мемлекеттік органдар пайдаланған;

      4) Қазақстан Республикасы ратификациялаған халықаралық шарттар iске асырылған;

      5) егер субъектiнiң немесе оның заңды өкілінің келiсiмiн алу мүмкiн болмаса, адамның және азаматтың конституциялық құқықтары мен бостандықтарын қорғаған;

      5-1) бірыңғай жинақтаушы зейнетақы қоры зейнетақы шоттарын ашуға, зейнетақы жинақтарының сомасы туралы, сондай-ақ шартты зейнетақы шоттары туралы ақпаратты беруге байланысты қызметті жүзеге асырған;

      6) Қазақстан Республикасының адамның және азаматтың құқықтары мен бостандықтарын қамтамасыз ету жөніндегі заңнамасының талаптары сақталған жағдайда, журналистiң заңды кәсiптік қызметi және (немесе) теле-, радиоарналардың, мерзімді баспасөз басылымдарының, ақпарат агенттіктерінің, желілік басылымдардың қызметі не ғылыми, әдеби немесе өзге де шығармашылық қызмет жүзеге асырылған;

      7) Қазақстан Республикасының заңдарына сәйкес дербес деректер, оның iшiнде сайланбалы мемлекеттiк лауазымдарға кандидаттардың дербес деректерi жарияланған;

      8) Қазақстан Республикасының заңдарына сәйкес субъект дербес деректерді ұсыну жөніндегі өз міндеттерін орындамаған;

      9) қаржы нарығы мен қаржы ұйымдарын реттеудi, бақылауды және қадағалауды жүзеге асыратын мемлекеттiк орган Қазақстан Республикасының заңнамасына сәйкес жеке және заңды тұлғалардан ақпарат алған;

      9-1) салықтық (кедендік) әкімшілендіруді және (немесе) бақылауды жүзеге асыру үшін мемлекеттік кіріс органдары Қазақстан Республикасының заңдарына сәйкес жеке және заңды тұлғалардан ақпарат алған;

      9-2) Қазақстан Республикасының заңдарында көзделген жағдайларда, қолжетімділігі шектеулі дербес деректерді қамтитын электрондық ақпараттық ресурстардың резервтік көшірмесі электрондық ақпараттық ресурстарды сақтаудың бірыңғай ұлттық резервтік платформасына сақтауға берілген;

      9-3) Қазақстан Республикасы заңнамасының талаптарын сақтау шарттарымен кәсіпкерлік субъектілерінің тікелей өз кәсіпкерлік қызметіне қатысты дербес деректері бизнес-әріптестердің тізілімін қалыптастыру үшін пайдаланылған;

      9-4) Қазақстан Республикасы азаматының дербес деректері "Қазақстан Республикасы азаматтарының төлем қабілеттілігін қалпына келтіру және банкроттығы туралы" Қазақстан Республикасының Заңына сәйкес соттан тыс немесе сот арқылы банкроттық рәсімін қолдану туралы арыз берілген күннен бастап, сондай-ақ соттан тыс немесе сот арқылы банкроттық рәсімін қолданудың алдындағы үш жылға дейінгі кезеңде пайдаланылған;

      10) Қазақстан Республикасының заңдарында белгіленген өзге де жағдайларда жүргізіледі.

      Ескерту. 9-бапқа өзгеріс енгізілді – ҚР 03.07.2020 № 359-VI (алғашқы ресми жарияланған күнінен кейін күнтізбелік он күн өткен соң қолданысқа енгізіледі); 02.01.2021 № 399-VI (қолданысқа енгізілу тәртібін 2-баптан қараңыз); 30.12.2021 № 96-VII (алғашқы ресми жарияланған күнінен кейін күнтізбелік алпыс күн өткен соң қолданысқа енгізіледі); 30.12.2022 № 179-VII (алғашқы ресми жарияланған күнінен кейін күнтізбелік алпыс күн өткен соң қолданысқа енгізіледі); 11.12.2023 № 44-VIII (алғашқы ресми жарияланған күнінен кейін күнтізбелік алпыс күн өткен соң қолданысқа енгізіледі) Заңдарымен.

10-бап. Дербес деректерге қол жеткізу

      1. Егер Қазақстан Республикасының заңнамасында өзгеше көзделмесе, дербес деректерге қол жеткізу субъектінің немесе оның заңды өкілінің меншік иесіне және (немесе) операторға оларды жинауға, өңдеуге берген келісімінің шарттарымен айқындалады.

      Егер меншік иесі және (немесе) оператор және (немесе) үшінші тұлға осы Заңның талаптарын орындауды қамтамасыз ету жөніндегі міндеттемелерді өзіне алудан бас тартса немесе оларды қамтамасыз ете алмаса, дербес деректерге қол жеткізуге тыйым салынуға тиіс.

      2. Субъектінің немесе оның заңды өкілінің өз дербес деректеріне қол жеткізуге қатысты өтініш жасауы (сұрау салуы) меншік иесіне және (немесе) операторға жазбаша немесе электрондық құжат нысанында не Қазақстан Республикасының заңнамасына қайшы келмейтін қорғау іс-әрекеттерінің элементін қолдану арқылы өзге де тәсілмен беріледі.

      3. Меншік иесінің және (немесе) оператордың және (немесе) үшінші тұлғаның арасындағы дербес деректерге қол жеткізуге қатысты қатынастар Қазақстан Республикасының заңнамасымен реттеледі.

      4. Үшінші тұлғалар мемлекеттік органдардың және (немесе) мемлекеттік заңды тұлғалардың ақпараттандыру объектілеріндегі дербес деректерді субъектінің мемлекеттік сервис арқылы расталған келісімі болған жағдайда "электрондық үкіметтің" веб-порталы арқылы ала алады.

      Ескерту. 10-бапқа өзгерістер енгізілді - ҚР 17.11.2015 № 408-V (01.03.2016 бастап қолданысқа енгізіледі); 25.06.2020 № 347-VI (алғашқы ресми жарияланған күнінен кейін күнтізбелік он күн өткен соң қолданысқа енгізіледі); 30.12.2021 № 96-VII (алғашқы ресми жарияланған күнінен кейін күнтізбелік алпыс күн өткен соң қолданысқа енгізіледі) Заңдарымен.

11-бап. Дербес деректердiң құпиялылығы

      1. Қолжетімділігі шектеулі дербес деректерге қол жеткізе алатын меншік иелері және (немесе) операторлар, сондай-ақ үшiншi тұлғалар субъектінің немесе оның заңды өкілінің келісімі не өзге де заңды негіздер болмағанда оларды таратуға жол бермеу талаптарын сақтау арқылы олардың құпиялылығын қамтамасыз етедi.

      2. Кәсіптік, қызметтік қажеттілікке, сондай-ақ еңбек қатынастарына байланысты қолжетімділігі шектеулі дербес деректер өздеріне белгілі болған адамдар олардың құпиялылығын қамтамасыз етуге мiндеттi.

      3. Биометриялық деректердің құпиялылығы Қазақстан Республикасының заңнамасында белгіленеді.

12-бап. Дербес деректерді жинақтау және сақтау

      1. Дербес деректерді жинақтау меншік иесі және (немесе) оператор, сондай-ақ үшінші тұлға жүзеге асыратын міндеттерді орындау үшін қажетті және жеткілікті дербес деректерді жинау арқылы жүргізіледі.

      2. Дербес деректерді сақтауды меншік иесі және (немесе) оператор, сондай-ақ үшінші тұлға Қазақстан Республикасының аумағындағы базада жүзеге асырады.

      Егер Қазақстан Республикасының заңнамасында өзгеше көзделмесе, дербес деректерді сақтау мерзімі оларды жинау және өңдеу мақсаттарына қол жеткізген күнмен айқындалады.

      Ескерту. 12-бапқа өзгеріс енгізілді - ҚР 24.11.2015 № 419-V (01.01.2016 бастап қолданысқа енгізіледі); 02.01.2021 № 399-VI (алғашқы ресми жарияланған күнінен кейін күнтізбелік он күн өткен соң қолданысқа енгізіледі) Заңдарымен.

13-бап. Дербес деректерді өзгерту және толықтыру

      Дербес деректерді өзгертуді және толықтыруды меншік иесі және (немесе) оператор субъектінің немесе оның заңды өкілінің өтініш жасауы (сұрау салуы) негізінде не Қазақстан Республикасының заңдарында көзделген өзге де жағдайларда жүзеге асырады.

14-бап. Дербес деректерді пайдалану

      Дербес деректерді пайдалануды меншік иесі, оператор және үшінші тұлға оларды жинаудың бұрын мәлімделген мақсаттары үшін ғана жүзеге асыруға тиіс.

15-бап. Дербес деректерді тарату

      1. Егер бұл ретте өзге де жеке және (немесе) заңды тұлғалардың заңды мүдделері қозғалмаса, субъектінің немесе оның заңды өкілінің келісімі болған жағдайда дербес деректерді таратуға жол беріледі.

      2. Дербес деректерді жинаудың бұрын мәлімделген мақсаттары шеңберінен шығатын жағдайларда оларды тарату субъектінің немесе оның заңды өкілінің келісімімен жүзеге асырылады.

      Ескерту. 15-бапқа өзгеріс енгізілді – ҚР 30.12.2021 № 96-VII (алғашқы ресми жарияланған күнінен кейін күнтізбелік алпыс күн өткен соң қолданысқа енгізіледі) Заңымен.

16-бап. Дербес деректерді трансшекаралық беру

      1. Дербес деректерді трансшекаралық беру – дербес деректерді шет мемлекеттердің аумағына беру.

      2. Осы Заңға сәйкес дербес деректерді шет мемлекеттердің аумағына трансшекаралық беру осы мемлекеттер дербес деректерді қорғауды қамтамасыз еткен жағдайда ғана жүзеге асырылады.

      3. Дербес деректердің қорғалуын қамтамасыз етпейтін шет мемлекеттердің аумағына дербес деректерді трансшекаралық беру мынадай:

      1) өзінің дербес деректерін трансшекаралық беруге субъектінің немесе оның заңды өкілінің келісімі болған;

      2) Қазақстан Республикасы ратификациялаған халықаралық шарттарда көзделген;

      3) егер бұл конституциялық құрылысты қорғау, қоғамдық тәртіпті сақтау, адамның және азаматтың құқықтары мен бостандықтарын, халықтың денсаулығы мен имандылығын қорғау мақсатында қажет болса, Қазақстан Республикасының заңдарында көзделген;

      4) егер субъектінің немесе оның заңды өкілінің келісімін алу мүмкін болмаса, адамның және азаматтың конституциялық құқықтары мен бостандықтарын қорғаған жағдайларда жүзеге асырылуы мүмкін.

      4. Дербес деректерді шет мемлекеттердің аумағына трансшекаралық беруге Қазақстан Республикасының заңдарымен тыйым салынуы немесе шектеу қойылуы мүмкін.

      5. Абоненттер және (немесе) байланыс қызметтерін пайдаланушылар туралы қызметтік ақпаратты трансшекаралық беру ерекшеліктері "Байланыс туралы" Қазақстан Республикасының Заңында айқындалады.

      Ескерту. 16-бапқа өзгеріс енгізілді - ҚР 28.12.2017 № 128-VI Заңымен (алғашқы ресми жарияланған күнінен кейін күнтізбелік он күн өткен соң қолданысқа енгізіледі).

17-бап. Дербес деректердi иесiздендiру

      1. Дербес деректердi статистикалық, социологиялық, ғылыми, маркетингтік зерттеулер жүргiзу үшiн жинау, өңдеу кезінде дербес деректерді беретін меншік иесі және (немесе) оператор, сондай-ақ үшінші тұлға оларды дербес деректерді жинау және өңдеу қағидаларына сәйкес иесiздендiруге міндетті.

      2. Дербес деректерді иесіздендіруді меншік иесі және (немесе) оператор жүргізген жағдайларды қоспағанда, мемлекеттік органдардың қызметті іске асыруы мақсатында деректерді талдауды жүзеге асыру үшін дербес деректерді жинау, өңдеу кезінде дербес деректерді иесіздендіруді деректерді басқару жөніндегі уәкілетті орган бекіткен деректерді басқару талаптарына сәйкес "электрондық үкіметтің" ақпараттық-коммуникациялық инфрақұрылымы операторы жүзеге асырады.

      Ескерту. 17-бап жаңа редакцияда - ҚР 25.06.2020 № 347-VI (алғашқы ресми жарияланған күнінен кейін күнтізбелік он күн өткен соң қолданысқа енгізіледі); өзгеріс енгізілді – ҚР 14.07.2022 № 141-VII (алғашқы ресми жарияланған күнінен кейін күнтізбелік он күн өткен соң қолданысқа енгізіледі) Заңдарымен.

18-бап. Дербес деректерді жою

      Меншік иесі және (немесе) оператор, сондай-ақ үшінші тұлға дербес деректерді:

      1) осы Заңның 12-бабының 2-тармағына сәйкес сақтау мерзімі өткен соң;

      2) субъект, меншік иесі және (немесе) оператор, сондай-ақ үшінші тұлға арасындағы құқық қатынастары тоқтаған кезде;

      3) сот шешімі заңды күшіне енген кезде;

      3-1) осы Заңның 7-бабының 5-тармағында және 9-бабында көзделген жағдайларды қоспағанда, субъектінің немесе оның заңды өкілінің келісімінсіз дербес деректерді жинау және өңдеу анықталған кезде;

      4) осы Заңда және Қазақстан Республикасының өзге де нормативтік құқықтық актілерінде белгіленген өзге де жағдайларда жоюға тиіс.

      Ескерту. 18-бапқа өзгеріс енгізілді – ҚР 30.12.2021 № 96-VII (алғашқы ресми жарияланған күнінен кейін күнтізбелік алпыс күн өткен соң қолданысқа енгізіледі) Заңымен.

19-бап. Дербес деректермен іс-әрекеттер жасау туралы хабарлама

      1. Егер Қазақстан Республикасының заңдарында өзгеше көзделмесе, меншік иесі және (немесе) оператор субъектінің дербес деректерін үшінші тұлғаға беру жөнінде оны хабардар ету туралы шарттар болған кезде бұл туралы осы субъектіні немесе оның заңды өкілін он жұмыс күні ішінде хабардар етеді.

      2. Осы баптың 1-тармағының талаптары:

      1) мемлекеттік органдар Қазақстан Республикасының заңнамасында көзделген өз функцияларын орындаған, сондай-ақ жекеше нотариустар, жеке сот орындаушылары және адвокаттар қызметін жүзеге асырған;

      2) дербес деректерді статистикалық, социологиялық немесе ғылыми мақсаттарда жинауды және өңдеуді жүзеге асырған жағдайларға қолданылмайды.

3-тарау. ДЕРБЕС ДЕРЕКТЕРДІ ҚОРҒАУ

20-бап. Дербес деректерді қорғау кепілдігі

      1. Дербес деректер қорғалуға жатады, оған мемлекет кепілдік береді және уәкілетті орган айқындайтын тәртіппен жүзеге асырылады.

      2. Дербес деректерді жинау және өңдеу олардың қорғалуы қамтамасыз етілген жағдайларда ғана жүзеге асырылады.

      Ескерту. 20-бапқа өзгеріс енгізілді – ҚР 02.01.2021 № 399-VI (алғашқы ресми жарияланған күнінен кейін күнтізбелік он күн өткен соң қолданысқа енгізіледі); 19.04.2023 № 223-VII (алғашқы ресми жарияланған күнінен кейін күнтізбелік он күн өткен соң қолданысқа енгізіледі) Заңдарымен.

21-бап. Дербес деректерді қорғаудың мақсаттары

      Дербес деректерді қорғау:

      1) жеке өмірге қолсұғылмаушылық, жеке және отбасы құпиясы құқықтарын іске асыру;

      2) олардың тұтастығын және сақталуын қамтамасыз ету;

      3) олардың құпиялылығын сақтау;

      4) оларға қол жеткізу құқығын іске асыру;

      5) оларды заңсыз жинауды және өңдеуді болғызбау мақсатында шаралар кешенін, оның ішінде құқықтық, ұйымдастырушылық және техникалық шаралар кешенін қолдану арқылы жүзеге асырылады.

22-бап. Меншік иесінің және (немесе) оператордың, сондай-ақ үшінші тұлғаның дербес деректерді қорғау жөніндегі міндеттері

      1. Меншік иесі және (немесе) оператор, сондай-ақ үшінші тұлға осы Заңға және уәкілетті орган айқындайтын тәртіпке сәйкес:

      1) дербес деректерге рұқсатсыз қол жеткізуді болғызбауды;

      2) егер дербес деректерге рұқсатсыз қол жеткізу еңсерілмеген болса, дербес деректерге мұндай рұқсатсыз қол жеткізу фактілерін уақтылы анықтауды;

      3) дербес деректерге рұқсатсыз қол жеткізудің қолайсыз салдарын барынша азайтуды;

      4) уәкілетті орган айқындайтын тәртіппен мемлекеттік техникалық қызметке электрондық ақпараттық ресурстардағы қолжетімділігі шектеулі дербес деректерді сақтау, өңдеу және тарату процестерінің қорғалуын қамтамасыз етуге зерттеп-қарауды жүзеге асыру үшін электрондық ақпараттық ресурстардағы қолжетімділігі шектеулі дербес деректерді пайдаланатын, сақтайтын, өңдейтін және тарататын ақпараттандыру объектілеріне қолжетімділік беруді;

      5) осы Заңның 8-бабы 4-тармағының 3), 4), 5) және 6) тармақшаларында көзделген әрекеттерді тіркеуді және есепке алуды қамтамасыз ететін дербес деректерді қорғау жөніндегі қажетті шараларды қабылдауға міндетті.

      2. Меншік иесінің және (немесе) оператордың, сондай-ақ үшінші тұлғаның дербес деректерді қорғау жөніндегі міндеттері дербес деректерді жинаған кезден бастап туындайды және олар жойылған не иесіздендірілген кезге дейін күшінде болады.

      Ескерту. 22-бапқа өзгеріс енгізілді – ҚР 02.01.2021 № 399-VI (алғашқы ресми жарияланған күнінен кейін күнтізбелік он күн өткен соң қолданысқа енгізіледі); 30.12.2021 № 96-VII (алғашқы ресми жарияланған күнінен кейін күнтізбелік алпыс күн өткен соң қолданысқа енгізіледі); 19.04.2023 № 223-VII (алғашқы ресми жарияланған күнінен кейін күнтізбелік он күн өткен соң қолданысқа енгізіледі) Заңдарымен.

23-бап. Дербес деректерді қамтитын электрондық ақпараттық ресурстарды қорғау

      Дербес деректерді қамтитын электрондық ақпараттық ресурстарды қорғау ерекшеліктері осы Заңға және Қазақстан Республикасының ақпараттандыру туралы заңнамасына сәйкес жүзеге асырылады.

      Ескерту. 23-бап жаңа редакцияда – ҚР 02.01.2021 № 399-VI (алғашқы ресми жарияланған күнінен кейін күнтізбелік он күн өткен соң қолданысқа енгізіледі) Заңымен.

23-1-бап. Ерікті киберсақтандыру

      1. Ерікті киберсақтандырудың мақсаты Қазақстан Республикасының сақтандыру ісі және сақтандыру қызметі туралы заңнамасына сәйкес субъектіге, меншік иесіне және (немесе) операторға, үшінші тұлғаға келтірілген мүліктік зиянды өтеу болып табылады.

      2. Ерікті киберсақтандыру тараптардың ерік білдіруіне қарай жүзеге асырылады.

      Ерікті киберсақтандырудың түрлері, шарттары мен тәртібі тараптардың келісімімен айқындалады.

      Ескерту. 3-тарау 23-1-баппен толықтырылды - ҚР 25.06.2020 № 347-VI Заңымен (алғашқы ресми жарияланған күнінен кейін күнтізбелік он күн өткен соң қолданысқа енгізіледі).

4-тарау. СУБЪЕКТІНІҢ, МЕНШІК ИЕСІНІҢ ЖӘНЕ (НЕМЕСЕ) ОПЕРАТОРДЫҢ ҚҰҚЫҚТАРЫ МЕН МІНДЕТТЕРІ

24-бап. Субъектiнiң құқықтары мен міндеттері

      1. Субъектінің:

      1) меншік иесінде және (немесе) операторда, сондай-ақ үшінші тұлғада өз дербес деректерінің болуы туралы бiлуге, сондай-ақ:

      дербес деректердi жинау және өңдеу фактісін, мақсаттарын, көздерін, тәсілдерін растауды;

      дербес деректердің тiзбесiн;

      дербес деректердi өңдеу мерзiмдерiн, оның iшiнде оларды сақтау мерзiмдерiн қамтитын ақпаратты алуға;

      2) тиiстi құжаттармен расталған негiздер болған кезде, меншік иесінен және (немесе) оператордан өз дербес деректерін өзгертуді және толықтыруды талап етуге;

      3) дербес деректердi жинау, өңдеу шарттарының бұзылғаны туралы ақпарат болған жағдайда, меншік иесінен және (немесе) оператордан, сондай-ақ үшінші тұлғадан өз дербес деректерін бұғаттауды талап етуге;

      4) меншік иесінен және (немесе) оператордан, сондай-ақ үшінші тұлғадан Қазақстан Республикасының заңнамасын бұза отырып жиналған және өңделген өз дербес деректерін, сондай-ақ осы Заңда және Қазақстан Республикасының өзге де нормативтік құқықтық актілерінде белгіленген өзге де жағдайларда жоюды талап етуге;

      5) осы Заңның 8-бабының 2-тармағында көзделген жағдайлардан басқа, дербес деректерді жинауға, өңдеуге, жалпыға бірдей қолжетімді көздерде таратуға, үшінші тұлғаларға беруге және трансшекаралық беруге келісімін кері қайтарып алуға;

      6) меншік иесіне және (немесе) операторға дербес деректердің жалпыға бірдей қолжетімді көздерінде өз дербес деректерінің таратылуына келісім беруге (бас тартуға);

      7) өз құқықтарының және заңды мүдделерінің қорғалуына, оның ішінде моральдық және материалдық зиянның өтелуіне;

      8) осы Заңда және Қазақстан Республикасының өзге де заңдарында көзделген өзге де құқықтарды жүзеге асыруға құқығы бар.

      2. Қазақстан Республикасының заңдарында белгіленген жағдайларда субъект өз дербес деректерін ұсынуға міндетті.

      Ескерту. 24-бапқа өзгеріс енгізілді – ҚР 30.12.2021 № 96-VII (алғашқы ресми жарияланған күнінен кейін күнтізбелік алпыс күн өткен соң қолданысқа енгізіледі) Заңымен.

25-бап. Меншік иесінің және (немесе) оператордың, дербес деректерді өңдеуді ұйымдастыруға жауапты тұлғаның құқықтары мен міндеттері

      Ескерту. 25-баптың тақырыбы жаңа редакцияда - ҚР 25.06.2020 № 347-VI Заңымен (алғашқы ресми жарияланған күнінен кейін күнтізбелік он күн өткен соң қолданысқа енгізіледі).

      1. Меншік иесінің және (немесе) оператордың осы Заңда және Қазақстан Республикасының өзге де нормативтік құқықтық актілерінде көзделген тәртіппен дербес деректерді жинауды, өңдеуді жүзеге асыруға құқығы бар.

      2. Меншік иесі және (немесе) оператор:

      1) егер Қазақстан Республикасының заңдарында өзгеше көзделмесе, өздері жүзеге асыратын міндеттерді орындауы үшін қажетті және жеткілікті дербес деректердің тізбесін бекітуге;

      1-1) оператордың дербес деректерді жинауға, өңдеуге және қорғауға қатысты саясатын айқындайтын құжаттарды бекітуге;

      2) Қазақстан Республикасының заңнамасына сәйкес дербес деректерді қорғау үшін қажетті шараларды, оның ішінде құқықтық, ұйымдастырушылық және техникалық шараларды қолдануға және сақтауға;

      3) Қазақстан Республикасының дербес деректер және оларды қорғау туралы заңнамасын сақтауға;

      3-1) жеке және заңды тұлғалардың өтініштерін қарау шеңберінде уәкілетті органның сұрау салуы бойынша меншік иесінің және (немесе) оператордың осы Заңның талаптарын сақтауын қамтамасыз ету үшін пайдаланылатын тәсілдер мен рәсімдер туралы ақпарат беруге;

      4) дербес деректерді жинау және өңдеу мақсаттарына қол жеткізген жағдайда, сондай-ақ осы Заңда және Қазақстан Республикасының өзге де нормативтік құқықтық актілерінде белгіленген өзге де жағдайларда оларды жою жөнінде шаралар қолдануға;

      5) Қазақстан Республикасының заңнамасында көзделген жағдайларда, субъектінің дербес деректерін жинауға және өңдеуге оның келісімін алғаны туралы дәлелдемені ұсынуға;

      6) субъектінің өтініші бойынша өзіне қатысты ақпаратты Қазақстан Республикасының заңнамасында көзделген мерзімдерде хабарлауға;

      7) субъектіге немесе оның заңды өкіліне ақпарат беруден бас тартқан жағдайда Қазақстан Республикасының заңнамасында көзделген мерзімдерде дәлелді жауап ұсынуға;

      8) бір жұмыс күні ішінде:

      дербес деректердің анықтығын растайтын тиісті құжаттардың негiзiнде оларды өзгертуге және (немесе) толықтыруға немесе дербес деректерді өзгерту және (немесе) толықтыру мүмкін болмаған кезде оларды жоюға;

      дербес деректерді жинау, өңдеу шарттарының бұзылғаны туралы ақпарат болған жағдайда, субъектіге қатысы бар дербес деректерді бұғаттауға;

      дербес деректердi Қазақстан Республикасының заңнамасын бұза отырып жинау, өңдеу фактісі анықталған жағдайда, сондай-ақ осы Заңда және Қазақстан Республикасының өзге де нормативтік құқықтық актілерінде белгіленген өзге де жағдайларда оларды жоюға;

      дербес деректерді жинау, өңдеу шарттарын бұзу фактісі расталмаған жағдайда, дербес деректерді бұғаттауды алып тастауға;

      ЗҚАИ-ның ескертпесі!
      8) тармақшаны алтыншы абзацпен толықтыру көзделген – ҚР 11.12.2023 № 44-VIII (01.07.2024 бастап қолданысқа енгізіледі) Заңымен.

      9) субъектіге немесе оның заңды өкіліне осы субъектіге қатысты дербес деректермен танысу мүмкіндігін өтеусіз беруге;

      10) егер меншік иесі және (немесе) оператор заңды тұлғалар болып табылған жағдайда, дербес деректерді өңдеуді ұйымдастыруға жауапты тұлғаны тағайындауға міндетті.

      Осы тармақтың бірінші бөлігі 10) тармақшасының күші соттар қызметінде дербес деректерді өңдеуге қолданылмайды.

      3. Дербес деректерді өңдеуді ұйымдастыруға жауапты тұлға:

      1) меншік иесінің және (немесе) оператордың және оның жұмыскерлерінің Қазақстан Республикасының дербес деректер және оларды қорғау туралы заңнамасын, оның ішінде дербес деректерді қорғауға қойылатын талаптарды сақтауына ішкі бақылауды жүзеге асыруға;

      2) Қазақстан Республикасының дербес деректер және оларды қорғау туралы заңнамасының дербес деректерді өңдеу мәселелері жөніндегі ережелерін, дербес деректерді қорғауға қойылатын талапты меншік иесі және (немесе) оператор жұмыскерлерінің назарына жеткізуге;

      3) субъектілердің немесе олардың заңды өкілдерінің өтініштерін қабылдау мен өңдеуге бақылауды жүзеге асыруға міндетті.

      Ескерту. 25-бапқа өзгеріс енгізілді - ҚР 25.06.2020 № 347-VI (алғашқы ресми жарияланған күнінен кейін күнтізбелік он күн өткен соң қолданысқа енгізіледі); 30.12.2021 № 96-VII (алғашқы ресми жарияланған күнінен кейін күнтізбелік алпыс күн өткен соң қолданысқа енгізіледі) Заңдарымен.

5-тарау. ДЕРБЕС ДЕРЕКТЕР ЖӘНЕ ОЛАРДЫ ҚОРҒАУ САЛАСЫНДАҒЫ МЕМЛЕКЕТТІК РЕТТЕУ

26-бап. Қазақстан Республикасы Үкіметінің құзыреті

      Қазақстан Республикасының Үкіметі дербес деректер және оларды қорғау саласындағы мемлекеттік саясаттың негізгі бағыттарын әзірлейді.

      Ескерту. 26-бап жаңа редакцияда – ҚР 19.04.2023 № 223-VII (алғашқы ресми жарияланған күнінен кейін күнтізбелік он күн өткен соң қолданысқа енгізіледі) Заңымен.

27-бап. Мемлекеттік органдардың құзыреті

      Мемлекеттік органдар өз құзыреті шегінде:

      1) дербес деректер және оларды қорғау саласындағы нормативтік құқықтық актілерді әзiрлейдi және (немесе) бекітеді;

      2) жеке және (немесе) заңды тұлғалардың дербес деректер және оларды қорғау мәселелері жөніндегі өтініштерін қарайды;

      3) Қазақстан Республикасының дербес деректер және оларды қорғау туралы заңнамасының бұзылуына жол берген адамдарды Қазақстан Республикасының заңдарында белгіленген жауаптылыққа тарту жөнінде шаралар қолданады;

      4) Қазақстан Республикасының заңдарында, Қазақстан Республикасы Президентінің және Қазақстан Республикасы Үкіметінің актілерінде көзделген өзге де өкілеттіктерді жүзеге асырады.

27-1-бап. Уәкілетті органның құзыреті

      1. Уәкілетті орган өз құзыреті шегінде:

      1) дербес деректер және оларды қорғау саласындағы мемлекеттік саясатты қалыптастырады және іске асырады;

      1-1) Қазақстан Республикасының дербес деректер және оларды қорғау туралы заңнамасының сақталуын мемлекеттік бақылауды жүзеге асырады;

      2) меншік иесінің және (немесе) оператордың, сондай-ақ үшінші тұлғаның дербес деректерді қорғау жөніндегі шараларды жүзеге асыру тәртібін әзірлейді;

      2-1) меншік иесінің және (немесе) оператордың өздері жүзеге асыратын міндеттерді орындауна қажетті және жеткілікті дербес деректер тізбесін айқындау қағидаларын әзірлейді;

      2-2) меншік иесінің және (немесе) оператордың өздері жүзеге асыратын міндеттерді орындау үшін қажетті және жеткілікті дербес деректердің тізбесін айқындау тәртібін анықтайды;

      2-3) меншік иесінің және (немесе) оператордың, сондай-ақ үшінші тұлғаның дербес деректерді қорғау жөніндегі шараларды жүзеге асыру тәртібін анықтайды;

      3) субъектінің немесе оның заңды өкілінің дербес деректер мазмұнының және оларды өңдеу тәсілдерінің оларды өңдеу мақсаттарына сәйкестігі туралы өтініштерін қарайды және тиісті шешім қабылдайды;

      4) Қазақстан Республикасының дербес деректер және оларды қорғау туралы заңнамасын бұзуға жол берген тұлғаларды Қазақстан Республикасының заңдарында белгіленген жауаптылыққа тарту бойынша шаралар қабылдайды;

      5) меншік иесінен және (немесе) оператордан, сондай-ақ үшінші тұлғадан анық емес немесе заңсыз жолмен алынған дербес деректерді нақтылауды, бұғаттауды немесе жоюды талап етеді;

      6) субъектілер құқықтарын қорғауды жетілдіруге бағытталған шараларды жүзеге асырады;

      6-1) дербес деректер және оларды қорғау мәселелері жөніндегі консультативтік кеңес құрады, сондай-ақ оны қалыптастыру және оның қызметінің тәртібін айқындайды;

      6-2) осы Заңда және Қазақстан Республикасының өзге де нормативтік құқықтық актілерінде көзделген мақсаттарда "электрондық үкіметтің" ақпараттық-коммуникациялық инфрақұрылымы операторына субъектілердің құқықтары мен заңды мүдделерінің бұзылу тәуекеліне алып келетін дербес деректер қауіпсіздігінің бұзылуы туралы ақпаратты жібереді;

      7) дербес деректерді жинау, өңдеу қағидаларын бекітеді;

      7-1) Қазақстан Республикасы Ұлттық қауіпсіздік комитетімен келісу бойынша электрондық ақпараттық ресурстардағы қолжетімділігі шектеулі дербес деректерді сақтау, өңдеу және тарату процестерінің қорғалуын қамтамасыз етуге зерттеп-қарауды жүзеге асыру қағидаларын бекітеді;

      7-2) дербес деректерге қол жеткізуді мемлекеттік бақылау сервисінің жұмыс істеу қағидаларын бекітеді;

      7-3) мемлекеттік емес ақпараттандыру объектілерінің мемлекеттік органдардың және (немесе) мемлекеттік заңды тұлғалардың ақпараттандыру объектілерімен дербес деректерді беру жүзеге асырылатын және (немесе) дербес деректерге қолжетімділік берілетін интеграциялануын келіседі;

      7-4) дербес деректерге қол жеткізуді мемлекеттік бақылау сервисімен интеграциялау қағидаларын бекітеді;

      8) осы Заңда, Қазақстан Республикасының өзге де заңдарында, Қазақстан Республикасы Президентінің және Қазақстан Республикасы Үкіметінің актілерінде көзделген өзге де өкілеттіктерді жүзеге асырады.

      2. Уәкілетті органға өз қызметін жүзеге асыру барысында белгілі болған дербес деректерге қатысты дербес деректердің құпиялылығы қамтамасыз етілуге тиіс.

      Ескерту. 5-тарау 27-1-баппен толықтырылды - ҚР 25.06.2020 № 347-VI (алғашқы ресми жарияланған күнінен кейін күнтізбелік он күн өткен соң қолданысқа енгізіледі); өзгеріс енгізілді – ҚР 2.01.2021 № 399-VI (алғашқы ресми жарияланған күнінен кейін күнтізбелік он күн өткен соң қолданысқа енгізіледі); 30.12.2021 № 96-VII (алғашқы ресми жарияланған күнінен кейін күнтізбелік алпыс күн өткен соң қолданысқа енгізіледі); 19.04.2023 № 223-VII (алғашқы ресми жарияланған күнінен кейін күнтізбелік он күн өткен соң қолданысқа енгізіледі); 11.12.2023 № 44-VIII (алғашқы ресми жарияланған күнінен кейін күнтізбелік алпыс күн өткен соң қолданысқа енгізіледі) Заңдарымен.

27-2-бап. Қазақстан Республикасының дербес деректер және оларды қорғау туралы заңнамасының сақталуын мемлекеттік бақылау

      Егер осы баптың екінші және үшінші бөліктерінде өзгеше белгіленбесе, Қазақстан Республикасының дербес деректер және оларды қорғау туралы заңнамасының сақталуын мемлекеттік бақылау Қазақстан Республикасының Кәсіпкерлік кодексіне сәйкес жоспардан тыс тексеру нысанында жүзеге асырылады.

      Мемлекеттік органдарға қатысты Қазақстан Республикасының дербес деректер және оларды қорғау туралы заңнамасының сақталуын мемлекеттік бақылау осы Заңға сәйкес жүзеге асырылады.

      Қазақстан Республикасының Ұлттық Банкі мен оның ұйымдарына қатысты Қазақстан Республикасының дербес деректер және оларды қорғау туралы заңнамасының сақталуын мемлекеттік бақылау Қазақстан Республикасының Кәсіпкерлік кодексіне, осы Заңға және "Қазақстан Республикасының Ұлттық Банкі туралы" Қазақстан Республикасының Заңына сәйкес жүзеге асырылады.

      Ескерту. 27-2-баппен толықтырылды – ҚР 11.12.2023 № 44-VIII (алғашқы ресми жарияланған күнінен кейін күнтізбелік алпыс күн өткен соң қолданысқа енгізіледі) Заңымен.

27-3-бап. Мемлекеттік органдарға қатысты Қазақстан Республикасының дербес деректер және оларды қорғау туралы заңнамасының сақталуын мемлекеттік бақылауды жүргізу тәртібі

      1. Мемлекеттік органдарға (бұдан әрі – бақылау субъектілері) қатысты Қазақстан Республикасының дербес деректер және оларды қорғау туралы заңнамасының сақталуын мемлекеттік бақылауды уәкілетті орган тексерулер нысанында жүргізеді.

      Тексерулер мерзімді және жоспардан тыс болып бөлінеді.

      Бақылау субъектілеріне қатысты мерзімді тексерулер мынадай ақпарат көздеріне:

      1) алдыңғы тексерулердің нәтижелеріне;

      2) есептілік пен мәліметтер мониторингінің нәтижелеріне;

      3) мемлекеттік органдардың интернет-ресурстарын талдау нәтижелеріне;

      4) мемлекеттік техникалық қызметтің мәліметтеріне сәйкес жүзеге асырылады.

      2. Мерзімді тексерулер уәкілетті органның бірінші басшысы бекіткен мерзімді тексерулер жүргізу жоспарына сәйкес жылына бір реттен жиі болмайтындай кезеңділікпен жүргізіледі.

      Уәкілетті орган мерзімді тексерулер жүргізу жоспарын тексерулер жылының алдындағы жылдың 1 желтоқсанынан кешіктірмей бекітеді.

      Мерзімді тексерулер жүргізу жоспары уәкілетті органның интернет-ресурсында тексерулер жылының алдындағы жылдың 20 желтоқсанынан кешіктірілмей орналастырылады.

      Мерзімді тексерулер жүргізу жоспарында мыналар:

      1) жоспардың бекітілген нөмірі мен күні;

      2) мемлекеттік органның атауы;

      3) бақылау субъектісінің атауы;

      4) бақылау субъектісінің (объектісінің) тұрған жері;

      5) тексеру жүргізу мерзімдері;

      6) тексеру нысанасы;

      7) жоспарға қол қоюға уәкілеттік берілген адамның қолтаңбасы қамтылады.

      Мерзімді тексерулер жүргізу жоспарына өзгерістер мен толықтырулар енгізу бақылау субъектісі таратылған, қайта ұйымдастырылған, оның атауы өзгертілген немесе бақылау субъектілері арасында өкілеттіктер қайта бөлінген жағдайларда жүзеге асырылады.

      3. Мынадай:

      1) бақылау субъектісіне жеке және заңды тұлғалардан келіп түскен, Қазақстан Республикасының дербес деректер және оларды қорғау туралы заңнамасы талаптарының бұзылуы туралы расталған өтініштер болған;

      2) құқықтары мен заңды мүдделері бұзылған жеке және заңды тұлғалар жүгінген;

      3) жеке және заңды тұлғалардың, мемлекеттің құқықтары мен заңды мүдделеріне зиян келтірудің не зиян келтіру қаупінің нақты фактілері бойынша прокурор талап еткен;

      4) жеке және заңды тұлғалардың, мемлекеттің құқықтары мен заңды мүдделеріне зиян келтірудің нақты фактілері бойынша, сондай-ақ жойылмауы жеке және заңды тұлғалардың құқықтары мен заңды мүдделеріне зиян келтіруге алып келетін Қазақстан Республикасы заңнамасы талаптарының бұзылуының нақты фактілері бойынша мемлекеттік органдар жүгінген;

      5) бақылау субъектісінің бастапқы тексерумен келіспейтіні туралы жүгінуіне байланысты қайта тексеру жүргізілген;

      6) қылмыстық қудалау органының Қазақстан Республикасының Қылмыстық-процестік кодексінде көзделген негіздер бойынша тапсырмасы болған;

      7) тексеру нәтижелері туралы актінің орындалуына бақылау жүргізу қажет болған жағдайларда уәкілетті орган тағайындайтын тексеру жоспардан тыс тексеру болып табылады.

      4. Тексеру жүргізу кезінде уәкілетті органның лауазымды адамдарының:

      1) осы баптың 8-тармағында көрсетілген құжаттарды көрсеткен кезде тексеру нысанасына сәйкес бақылау субъектісінің (объектісінің) аумағына және үй-жайларына кедергісіз кіруге;

      2) тексеру нәтижелері туралы актіге қосу үшін қағаз және электрондық жеткізгіштердегі құжаттарды (мәліметтерді) не олардың көшірмелерін алуға, сондай-ақ мемлекеттік құпиялар және заңмен қорғалатын өзге де құпиялар туралы талаптарды сақтай отырып, тексеру нысанасына сәйкес автоматтандырылған дерекқорларға (ақпараттық жүйелерге) қолжетімділік алуға;

      3) аудио-, фото- және бейнетүсірілімді жүзеге асыруға;

      4) мемлекеттік органдардың, ведомстволық бағынысты және өзге де ұйымдардың мамандарын, консультанттарын және сарапшыларын тартуға құқығы бар.

      5. Бақылау субъектілері не олардың уәкілетті өкілдері тексеру жүргізу кезінде:

      1) уәкілетті органның тексеру жүргізу үшін келген лауазымды адамдарын мынадай:

      тексеруді тағайындау туралы актіде көрсетілген, осы бапта белгіленген мерзімдерге сәйкес келмейтін мерзімдер асып кеткен не өткен;

      осы баптың 8-тармағында көзделген құжаттар болмаған жағдайларда, тексеру жүргізуге жібермеуге;

      2) тексеру нәтижелері туралы актіге Қазақстан Республикасының заңнамасында белгіленген тәртіппен шағым жасауға құқылы.

      6. Бақылау субъектілері не олардың уәкілетті өкілдері тексеру жүргізу кезінде:

      1) уәкілетті органның лауазымды адамдарының бақылау субъектісінің (объектісінің) аумағына және үй-жайларына кедергісіз кіруін қамтамасыз етуге;

      2) уәкілетті органның лауазымды адамдарына тексеру нәтижелері туралы актіге қосу үшін қағаз және электрондық жеткізгіштердегі құжаттарды (мәліметтерді) не олардың көшірмелерін, сондай-ақ мемлекеттік құпиялар және заңмен қорғалатын өзге де құпиялар туралы талаптарды сақтай отырып, тексеру нысанасына сәйкес автоматтандырылған дерекқорларға (ақпараттық жүйелерге) қолжетімділік ұсынуға;

      3) тексеруді тағайындау туралы актінің және тексеру нәтижелері туралы актінің екінші данасына ол аяқталған күні белгі қоюға;

      4) осы объект үшін белгіленген нормативтерге сәйкес, зиянды және қауіпті өндірістік әсер ету факторларынан тексеру жүргізу үшін келген адамдардың қауіпсіздігін қамтамасыз етуге міндетті.

      7. Тексеруді тағайындау туралы актінің негізінде тексеру жүргізіледі.

      Тексеруді тағайындау туралы актіде:

      1) актінің күні мен нөмірі;

      2) мемлекеттік органның атауы;

      3) тексеру жүргізуге уәкілеттік берілген адамның (адамдардың) тегі, аты, әкесінің аты (егер ол жеке басты куәландыратын құжатта көрсетілсе) және лауазымы;

      4) мемлекеттік органдардың, ведомстволық бағынысты және өзге де ұйымдардың тексеру жүргізу үшін тартылатын мамандары, консультанттары мен сарапшылары туралы мәліметтер;

      5) бақылау субъектісінің атауы, оның тұрған жері көрсетіледі.

      Мемлекеттік органның құрылымдық бөлімшесі тексерілген жағдайда тексеруді тағайындау туралы актіде оның атауы мен тұрған жері көрсетіледі;

      6) тексеру нысанасы;

      7) тексеру түрі;

      8) тексеру жүргізу мерзімі;

      9) тексеруді жүргізудің негіздемесі;

      10) тексерілетін кезең;

      11) бақылау субъектісінің құқықтары мен міндеттері;

      12) бақылау субъектісі басшысының не оның уәкілетті адамының актіні алғаны немесе алудан бас тартқаны туралы қолтаңбасы;

      13) актіге қол қоюға уәкілеттік берілген адамның қолтаңбасы көрсетіледі.

      Тексеру жүргізу кезінде уәкілетті орган тексеру жүргізу нысанасын көрсете отырып, бақылау субъектісіне тексеру жүргізудің басталатыны туралы оның басталуына кемінде бір тәулік қалғанда хабарлауға міндетті.

      Бақылау субъектісіне тексеруді тағайындау туралы акт табыс етілген күн тексеру жүргізудің басталуы болып есептеледі.

      8. Уәкілетті органның тексеру үшін объектіге келген лауазымды адамдары бақылау субъектісіне:

      1) тексеруді тағайындау туралы актіні;

      2) қызметтік куәлігін не сәйкестендіру картасын;

      3) қажет болған кезде – құзыретті органның режимдік объектілерге баруға арналған рұқсатын көрсетуге міндетті.

      9. Тексеру жүргізу мерзімі тексеру нысанасы, сондай-ақ алдағы жұмыстардың көлемі ескеріліп белгіленеді және он жұмыс күнінен аспауға тиіс.

      Тексеру жүргізу мерзімі он бес жұмыс күнінен аспайтын мерзімге бір рет қана ұзартылуы мүмкін. Ұзарту уәкілетті орган басшысының шешімімен жүзеге асырылады.

      Тексеру жүргізу мерзімдерін ұзарту бақылау субъектісі хабардар етіле отырып, тексеру мерзімдерін ұзарту туралы қосымша актімен ресімделеді, онда тексеруді тағайындау туралы алдыңғы акт бұйрығының күні мен нөмірі және ұзарту себептері көрсетіледі.

      Тексеру мерзімдерін ұзарту туралы хабарламаны уәкілетті орган табыс ету туралы хабарламамен бірге, ұзартуға дейін бір жұмыс күні бұрын бақылау субъектісіне табыс етеді.

      10. Тексеру нәтижелері бойынша уәкілетті органның тексеруді жүзеге асыратын лауазымды адамдары тексеру нәтижелері туралы акт жасайды.

      Тексеру нәтижелері туралы актінің бірінші данасы өз құзыреті шегінде мемлекеттік құқықтық статистика және арнайы есепке алу саласындағы қызметті жүзеге асыратын мемлекеттік органға электрондық нысанда тапсырылады, бақылау субъектісінде түпнұсқа түрінде болатын құжаттардың көшірмелерін қоспағанда, қосымшалардың көшірмелерімен бірге екінші данасы бақылау субъектісіне (басшыға не оның уәкілетті адамына) танысу және анықталған бұзушылықтарды жою бойынша шаралар қабылдау және басқа да әрекеттер үшін қолын қойғызып қағаз жеткізгіште немесе электрондық нысанда табыс етіледі, үшінші данасы уәкілетті органда қалады.

      11. Тексеру нәтижелері туралы актіде:

      1) актінің жасалған күні, уақыты және орны;

      2) мемлекеттік органның атауы;

      3) тексеруді тағайындау туралы актінің (бар болған кезде мерзімін ұзарту туралы қосымша актінің) нөмірі мен күні;

      4) тексеру жүргізген адамның (адамдардың) тегі, аты, әкесінің аты (егер ол жеке басты куәландыратын құжатта көрсетілсе) және лауазымы;

      5) мемлекеттік органдардың, ведомстволық бағынысты және өзге де ұйымдардың тексеру жүргізу үшін тартылатын мамандары, консультанттары мен сарапшылары туралы мәліметтер;

      6) бақылау субъектісінің атауы, оның тұрған жері;

      7) тексеру нысанасы;

      8) тексеру түрі;

      9) тексеру жүргізу мерзімі мен кезеңі;

      10) тексеру нәтижелері туралы, оның ішінде анықталған бұзушылықтар және олардың сипаты туралы мәліметтер;

      11) орындалу мерзімі көрсетіле отырып, Қазақстан Республикасының дербес деректер және оларды қорғау туралы заңнамасы талаптарының анықталған бұзушылықтарын жою туралы талаптар;

      12) бақылау субъектісі басшысының не оның уәкілетті адамының, сондай-ақ тексеру жүргізу кезінде қатысқан адамдардың актімен танысқаны немесе танысудан бас тартқаны туралы мәліметтер, олардың қолтаңбалары немесе қол қоюдан бас тартқаны туралы жазба;

      13) тексеруді жүргізген лауазымды адамдардың қолтаңбалары көрсетіледі.

      Тексеру нәтижелері туралы актіге тексеру нәтижелерімен байланысты құжаттар (бар болған кезде) және олардың көшірмелері қоса беріледі.

      12. Тексеру нәтижелері бойынша ескертулер және (немесе) қарсылықтар болған жағдайда, бақылау субъектісі оларды жазбаша түрде баяндайды. Ескертулер және (немесе) қарсылықтар тексеру нәтижелері туралы актіге қоса беріледі, бұл туралы тиісті белгі жасалады.

      Уәкілетті орган бақылау субъектісінің тексеру нәтижелері туралы актіге ескертулерін және (немесе) қарсылықтарын қарауға және он бес жұмыс күні ішінде уәжді жауап беруге тиіс.

      Тексеру нәтижелері туралы актіні қабылдаудан бас тартылған жағдайда акт жасалады, оған тексеруді жүзеге асыратын лауазымды адамдар және бақылау субъектісінің басшысы не оның уәкілетті өкілі қол қояды.

      Бақылау субъектісі бас тартудың себебі туралы жазбаша түсініктеме беріп, актіге қол қоюдан бас тартуға құқылы.

      13. Тексеруді тағайындау туралы актіде немесе тексеру мерзімдерін ұзарту туралы қосымша актіде көрсетілген тексерудің аяқталу мерзімінен кешіктірмей, бақылау субъектісіне тексеру нәтижелері туралы актіні табыс еткен күн тексеру мерзімінің аяқталуы болып есептеледі.

      14. Тексеру нәтижелері туралы актіні орындау мерзімдері оны орындаудың нақты мүмкіндігіне әсер ететін мән-жайлар ескеріле отырып, бірақ тексеру нәтижелері туралы акт табыс етілген күннен бастап кемінде күнтізбелік он күн болып айқындалады.

      15. Тексеру нәтижелері туралы актіні орындау мерзімдерін айқындау кезінде:

      1) бақылау субъектісінде бұзушылықтарды жою бойынша ұйымдастырушылық, техникалық мүмкіндіктердің болуы;

      2) мемлекеттік органдарда Қазақстан Республикасының заңдарында белгіленген міндетті қорытындыларды, келісулерді және басқа да құжаттарды алу мерзімдері ескеріледі.

      16. Анықталған бұзушылықтарды жоюдың тексеру нәтижелері туралы актіде белгіленген мерзімі өткеннен кейін бақылау субъектісі тексеру нәтижелері туралы актіде белгіленген мерзім ішінде уәкілетті органға анықталған бұзушылықтарды жою туралы ақпаратты растаушы құжаттармен қоса беруге міндетті.

      Анықталған бұзушылықтарды жою туралы ақпарат берілмеген жағдайда уәкілетті орган осы баптың 3-тармағының 7) тармақшасына сәйкес жоспардан тыс тексеруді тағайындауға құқылы.

      17. Тексеруді жүзеге асыру кезінде бақылау субъектісінің құқықтары мен заңды мүдделері бұзылған жағдайда бақылау субъектісі уәкілетті органның лауазымды адамдарының шешімдеріне, әрекеттеріне (әрекетсіздігіне) жоғары тұрған лауазымды адамға не Қазақстан Республикасының заңнамасында белгіленген тәртіппен сотқа шағым жасауға құқылы.

      Ескерту. 27-3-баппен толықтырылды – ҚР 11.12.2023 № 44-VIII (алғашқы ресми жарияланған күнінен кейін күнтізбелік алпыс күн өткен соң қолданысқа енгізіледі) Заңымен.

28-бап. Осы Заңның қолданылуын қадағалау

      1. Прокуратура органдары дербес деректер және оларды қорғау саласындағы заңдылықтың сақталуына жоғары қадағалауды жүзеге асырады.

      2. "Прокуратура туралы" Қазақстан Республикасының Конституциялық заңында белгіленген негізде және тәртіппен шығарылған прокурорлық қадағалау актілері барлық органдар, ұйымдар, лауазымды адамдар мен азаматтар үшін міндетті.

      Ескерту. 28-бапқа өзгеріс енгізілді - ҚР 11.07.2017 № 91-VI (алғашқы ресми жарияланған күнінен кейін күнтізбелік он күн өткен соң қолданысқа енгізіледі); 05.11.2022 № 157-VII (алғашқы ресми жарияланған күнінен кейін күнтізбелік он күн өткен соң қолданысқа енгізіледі) Заңдарымен.

6-тарау. ҚОРЫТЫНДЫ ЖӘНЕ ӨТПЕЛІ ЕРЕЖЕЛЕР

29-бап. Қазақстан Республикасының дербес деректер және оларды қорғау туралы заңнамасын бұзғаны үшiн жауаптылық

      Қазақстан Республикасының дербес деректер және оларды қорғау туралы заңнамасын бұзу Қазақстан Республикасының заңдарына сәйкес жауаптылыққа әкеп соғады.

30-бап. Дауларға шағым жасау және оларды қарау тәртібі

      Субъектінің, меншік иесінің және (немесе) оператордың, сондай-ақ үшінші тұлғаның дербес деректерді жинау, өңдеу және қорғау кезіндегі іс-әрекеттеріне (әрекетсіздігіне) Қазақстан Республикасының заңдарында белгіленген тәртіппен шағым жасалуы мүмкін.

      Дербес деректерді жинау, өңдеу және қорғау кезінде туындайтын даулар Қазақстан Республикасының заңдарында белгіленген тәртіппен қаралуға жатады.

31-бап. Осы Заңды қолданысқа енгiзу тәртiбi

      1. Осы Заң алғашқы ресми жарияланғанынан кейiн алты ай өткен соң қолданысқа енгiзiледi.

      2. Меншік иелері және (немесе) операторлар нормативтік құқықтық актілерді және өзге де құжаттарды осы Заң қолданысқа енгізілген күннен бастап үш ай мерзім ішінде осы Заңның талаптарына сәйкес келтіруге міндетті.

      3. Осы Заң қолданысқа енгізілгенге дейін Қазақстан Республикасының заңнамасына сәйкес жүзеге асырылған дербес деректерді жинау, өңдеу, егер осы деректерді одан әрі өңдеу және қорғау оларды жинау мақсаттарына сай болса, осы Заңның талаптарына сәйкес келеді деп танылады.

      Қазақстан Республикасының
Президенті 		Н. НАЗАРБАЕВ

On Personal Data and their Protection

The Law of the Republic of Kazakhstan dated 21 May, 2013 No. 94-V.

      Unofficial translation

      This Law regulates the public relations in the scope of personal data, as well as determines the purpose, principles and legal bases of activity, related with collection, processing and protection of personal data.

Chapter 1. GENERAL PROVISIONS

Article 1. Basic concepts used in this Law

      The following basic concepts shall be used in this Law:

      1) biometric data – personal data that characterize physiological and biological features of the subject of personal data, on the basis of which may establish his (her) identity;

      2) personal data – details, related to the subject of personal data, specific or defined on their basis, recorded on an electronic, paper and (or) other physical media;

      2-1) state service of controlling access to personal data (hereinafter - state service) is a service providing information interaction of owners and/or operators, third parties with the subject of personal data and the competent authority when accessing personal data contained in the information objects of state authorities and/or state legal entities, including obtaining consent from the personal data entity to collect, process personal data or transfer it to third parties;

      2-2) non-state service of controlling access to personal data (hereinafter - non-state service) - service providing information interaction of owners and/or operators, third parties with the subject of personal data during access to personal data contained in non-state facilities of information, including obtaining from the personal data entity consent for collection, processing of personal data or its transfer to third parties;

      3) blocking of personal data – actions on temporary termination of collection, accumulation, change, supplement, use, distribution, depersonalization and destruction of personal data;

      4) accumulation of personal data – actions by inclusion in the database, contained the personal data;

      5) collection of personal data – actions, directed to reception of personal data;

      6) destruction of personal data – actions, in the result of commission of which is impossible to restore the personal data;

      7) depersonalization of personal data – actions, in the result of commission of which determination of belonging of personal data to the subject of personal data is impossible;

      8) the base, containing the personal data (hereinafter – base), a set of ordered personal data;

      9) the owner of the base containing the personal data (hereinafter – owner), - the state body, individual and (or) legal entity, exercising the right of possession, use and disposition of base, contained the personal data in accordance with the Laws of the Republic of Kazakhstan;

      10) operator of base, containing the personal data (hereinafter – operator), - the state body, individual and (or) legal entity, carrying out collection, processing and protection of personal data;

      11) protection of personal data – a set of measures, as well as legal, organization and technical, carrying out for the purposes established by this Law;

      11-1) the authorised body in the field of personal data protection (hereinafter referred to as the authorised body) - the central executive body responsible for supervising the personal data protection field;

      11-2) Excluded by Law of the RK No. 96-VII of 30.12.2021 (shall be put into effect sixty calendar days after the date of its first official publication);

      12) processing of personal data – actions, directed to accumulation, storage, change, supplement, use, distribution, depersonalization, blocking and destruction of personal data;

      13) use of personal data – actions with personal data, directed to implementation of purposes of activity of owner, operator and third person;

      14) storage of personal data – actions on ensuring of integrity, confidentiality and availability of personal data;

      15) distribution of personal data – actions, in the result of commission of which there is a transfer of personal data, as well as through the mass media or provision of access to the personal data by any method;

      16) a subject of personal data (hereinafter – subject) – individual, to which the personal data are referred;

      17) third person – a person, not being a subject, owner and (or) operator, but related to them (him (her) by consequences or legal relationship on collection, processing and protection of personal data.

      Footnote. Article 1 as amended by Law of the RK No. 347-VI dated 25.06.2020 (shall come into effect ten calendar days after the date of its first official publication); No. 96-VII of 30.12.2021 (shall come into force sixty calendar days after the date of its first official publication).

Article 2. The purpose of this Law

      The purpose of this Law shall be ensuring of protection of rights and freedoms of person and citizen upon collection and processing of his (her) personal data.

Article 3. The actions of this Law

      1. The relations, related to collection, processing and protection of personal data shall be regulated by this Law.

      2. Features of collection, processing and protection of personal data may be regulated by other Laws and acts of the President of the Republic of Kazakhstan.

      3. An operation of this Law shall not be distributed to the relations, arising upon:

      1) collection, processing and protection of personal data by the subjects exclusively for the personal and family needs, if upon that the rights of other individuals and (or) legal entities and requirements of the Laws of the Republic of Kazakhstan are nor violated;

      2) generation, storage and use of the documents of the National archive fund of the Republic of Kazakhstan and other archive documents, containing the personal data, in accordance with the legislation of the Republic of Kazakhstan on the National archive fund and archives;

      3) collection, processing and protection of personal data, referred to the state secrets in accordance with the Laws of the Republic of Kazakhstan “On the state secrets”;

      4) collection, processing and protection of personal data in the course of intelligence, counterintelligence, operational and search activity, as well as implementation of security measures on safety ensuring of protected persons and objects within the limits established by the Laws of the Republic of Kazakhstan.

Article 4. The legislation of the Republic of Kazakhstan on personal data and their protection

      1. The legislation of the Republic of Kazakhstan on personal data and their protection shall be based on the Constitution of the Republic of Kazakhstan and shall consist of this Law and other regulatory legal acts of the Republic of Kazakhstan.

      2. If by the international treaty, ratified by the Republic of Kazakhstan, made other rules than those that contained in this Law, the rules of the international treaty shall be applied.

Article 5. Principles of collection, processing and protection of personal data

      Collection, processing and protection of personal data shall be carried out in accordance with the principles of:

      1) observation of constitution rights and freedoms of person and citizens;

      2) legality;

      3) confidentiality of personal data of limited access;

      4) equality of the rights of subjects, owners and operators;

      5) safety ensuring of personality, society and the state.

Chapter 2. COLLECTION AND PROCESSING OF PERSONAL DATA

Article 6. Accessibility of personal data

      Personal data shall be categorised in terms of accessibility into publicly available ones and restricted data.

      Public personal data shall be personal data or information that, in accordance with the Laws of the Republic of Kazakhstan, shall not be subject to confidentiality requirements, access to which shall be free with the consent of the subject.

      Information on the entity, the collection and processing whereof has been performed in violation of the legislation of the Republic of Kazakhstan, shall be excluded from publicly accessible sources of personal data within one working day upon request of the entity or its legal representative or by decision of a court or other authorised public authorities.

      The costs arising from the destruction of personal data from publicly accessible sources of personal data shall be borne by the owner and/or operator, the third party.

      The amount of costs arising from withdrawal of the consent of the person or his/her legal representative for dissemination of his/her personal data in publicly accessible sources of personal data, related to destruction of personal data from publicly accessible sources of personal data, as well as the persons to be charged with such costs, if necessary, shall be determined in court.

      Restricted personal data shall be the personal data, access to which is restricted by the legislation of the Republic of Kazakhstan.

      Footnote. Article 6 as reworded by Law of the RK No. 347-VI dated 25.06.2020 (shall be enacted ten calendar days after the date of its first official publication); as amended by Law of the RK No. 96-VII of 30.12.2021 (shall be enacted upon expiry of sixty calendar days after its first official publication); dated 14.07.2022 № 141-VII (shall enter into force upon expiry of ten calendar days after the day of its first official publication).

Article 7. Conditions for the collection and processing of personal data and specifics of the collection and processing of personal data from publicly accessible sources

      1. Personal data shall be collected and processed by the owner and/or operator, as well as by a third party with the consent of the individual or his/her legal representative, in a way specified by the competent authority, unless the cases provided for in point 5 of this Article and in Article 9 of this Law.

      2. The collection and processing of personal data on deceased (recognised by the court as missing or declared dead) individuals shall be carried out as prescribed by the legislation of the Republic of Kazakhstan.

      3. Dissemination of personal data in publicly accessible sources shall be permitted with the consent of the data individual or his/her legal representative.

      4. The requirements of paragraph 3 hereof shall not apply to holders of information in cases of publication of information the obligation to publish is established by the laws of the Republic of Kazakhstan.

      5. The re-collection, processing and dissemination by third parties of personal data published pursuant to paragraphs 3 and 4 hereof shall be allowed, provided that reference is made to the source of the information.

      6. Processing of personal data in the form of cross-border transfer of personal data, excluding the cases prescribed by Article 16 of this Law, dissemination of personal data in publicly accessible sources, as well as its transfer to third parties shall be subject to the consent of the individual.

      7. Specifics of collection, processing of personal data in electronic information resources containing personal data shall be specified by the legislation of the Republic of Kazakhstan on informatization, considering the provisions of this Law.

      8. Processing of personal data shall be limited to achieving specific, predetermined and legitimate objectives. Processing of personal data that is incompatible with the purpose of personal data collection shall be prohibited.

      9. Personal data containing excessive content and scope in relation to the objectives of processing shall not be processed.

      Footnote. Article 7 - as reworded by Law of the RK No. 96-VII of 30.12.2021 (shall come into force sixty calendar days after the date of its first official publication).

Article 8. Procedure of giving (withdrawal) of consent of subject for collection, processing of personal data

      1. The individual or his/her legal representative shall give (withdraw) consent to the collection and processing of personal data in writing, via a state service, a non-state service or in another manner enabling confirmation of consent.

      When collecting and/or processing personal data stored in the information objects of public authorities and/or public legal entities, consent shall be provided through the public service.

      2. The subject or his (her) legal representative may not withdraw the consent for collection, processing of personal data in the cases, if it is contrary to the Laws of the Republic of Kazakhstan, or in the existence of not executed obligation.

      3. Excluded by Law of the RK No. 96-VII of 30.12.2021 (shall be put into effect sixty calendar days after the date of its first official publication).

      4. Consent to the collection and processing of personal data shall include:

      1) the name (surname, first name, patronymic (if stated in the identity document), business identification number (individual identification number) of the operator;

      2) the person's surname, first name, patronymic (if it appears on the identity document);

      3) the term or period within which consent to the collection, processing of personal data is valid;

      4) information on the operator's ability, or lack thereof, to transfer personal data to third parties;

      5) whether or not personal data are transmitted across borders during the processing of personal data;

      6) information on the dissemination of personal data in publicly accessible sources;

      7) a list of data collected related to the individual;

      8) other information as designated by the owner and/or operator.

      Footnote. Article 8 as amended by the Law of the Republic of Kazakhstan dated 17.11.2015 № 408-V (shall be enforced from 01.03.2016); No. 347-VI of 25.06.2020 (shall come into force ten calendar days after the date of its first official publication); No. 96-VII of 30.12.2021 (shall take effect sixty calendar days after the date of its first official publication).

Article 8-1. Public service

      1. Owners and (or) operators, third parties in the case of interaction with the information objects of the public authorities and (or) public legal entities containing personal data, shall ensure the integration of their own information objects involved in the personal data collection and processing processes with the public service, unless it is envisaged by sub-paragraphs 1), 2), 9) and 9-2) of Article 9 of this Law.

      Integration shall be performed with the observance of the legislation of the Republic of Kazakhstan on the disclosure of information classified as state secrets, personal, family, banking, commercial secrets, medical employee secrets and other secrets protected by law, as well as other confidential information.

      Otherwise, integration with a public service shall take place on a voluntary basis.

      The procedure for integration with a public service shall be established by the competent authority and the rules for the integration of e-government information objects”.

      2. The public service shall ensure:

      1) provision of consent (refusal) by the individual or his/her legal representative for the collection and/or processing of personal data contained in the information objects of public authorities and/or state-owned legal entities;

      2) revocation by the individual or his/her legal representative of consent to the collection and (or) processing of personal data contained in the information objects of public authorities and (or) public legal entities;

      3) notification of the individual of actions with his/her personal data stored in information objects of public authorities and (or) state legal entities (access, viewing, modification, addition, transfer, blocking, destruction);

      4) provision of information to the individual on the owners and/or operators who have consent to the collection and/or processing of his/her personal data stored in the information objects of public authorities and/or state-owned legal entities.

      3. In the events specified in sub-paragraphs 4), 6), 8) and 9-3) of Article 9 of this Law, the individual shall be notified of the initiators of requests for access (collection and processing) to his/her personal data stored in the information objects of public authorities and (or) public legal entities, through a public service.

      Footnote. Chapter 2 as supplemented by Article 8-1 pursuant to Law of the RK No. 96-VII of 30.12.2021 (shall be enacted upon expiry of sixty calendar days after the date of its first official publication).

Article 8-2. Non-state service

      1. To optimize the procedures for obtaining the consent of the individual or his/her legal representative for the collection and (or) processing of personal data, in the absence of interaction with the information objects of public authorities and/or state legal entities that contain personal data, owners and/or operators, third parties may use non-state services.

      2. The non-state service shall ensure:

      1) provision of consent (refusal) by the individual or his/her legal representative for the collection and/or processing of personal data;

      2) notification of the individual on the actions with his or her personal data (viewing, amending, supplementing, transferring, blocking, destroying);

      3) notifying the individual of third party access to his or her personal data.

      Footnote. Chapter 2 as supplemented by Article 8-2 pursuant to Law of the RK No. 96-VII of 30.12.2021 (shall take effect from sixty calendar days after the date of its first official publication).

Article 9. Collection, processing of personal data without the consent of subject

      Collection, processing of personal data shall be carried out without the consent of subject or his (her) legal representative in the cases of:

      1) conducting the activities of law enforcement agencies, courts and other authorized public authorities that bring and hear cases of administrative offences, and enforcement proceedings;

      2) carrying out of the state statistical activity;

      3) use of personal data by the state bodies for the statistical purposes with compulsory condition of their depersonalization;

      4) implementation of international treaties, ratified by the Republic of Kazakhstan;

      5) protection of constitution rights and freedoms of person and citizen, if obtaining the consent of subject or his (her) legal representative is impossible;

      6) performing lawful professional activities of a journalist and (or) the activities of television or radio stations, periodicals, news agencies, network publications or scientific, literary or other creative activities, provided that the requirements of the legislation of the Republic of Kazakhstan for ensuring human and civil rights and freedoms are observed;

      7) publication of personal data in accordance with the Laws of the Republic of Kazakhstan, as well as personal data of candidates for elective public positions;

      8) non-performance of responsibilities of the subject on presentation of personal data in accordance with the Laws of the Republic of Kazakhstan;

      9) reception of information from individuals and legal entities by the state body, carrying out regulation, control and supervision of financial market and financial organizations in accordance with the legislation of the Republic of Kazakhstan;

      9-1) obtaining information from natural and legal persons for tax (customs) administration and (or) control by the state revenue authorities in conformity with the laws of the Republic of Kazakhstan;

      9-2) transferring a backup copy of electronic information resources containing personal data of restricted access to the unified national backup platform for the storage of electronic information resources in cases stipulated by the laws of the Republic of Kazakhstan;

      9-3) use of personal data of business entities directly related to their business activities to form a register of business partners, subject to the requirements of the legislation of the Republic of Kazakhstan;

      10) in other cases, established by the Laws of the Republic of Kazakhstan.

      Footnote. Article 9 as amended by Laws of the Republic of Kazakhstan No. 359-VI of 03.07.2020 (shall be enacted upon expiration of ten calendar days after its first official publication); No. 399-VI of 02.01.2021 (see Art. 2 for the enactment procedure); No. 96-VII of 30.12.2021 (shall come into force sixty calendar days after the date of its first official publication).

Article 10. An access to the personal data

      1. An access to the personal data shall be determined by the conditions of the consent of subject or his (her) legal representative, provided to the owner and (or) operator for their collection and processing, unless otherwise provided by the legislation of the Republic of Kazakhstan.

      An access to the personal data shall be prohibited, if the owner and (or) operator, and (or) third person are refused to accept obligations on ensuring of carrying-out of requirements of this Law or may not provide them.

      2. Application (request) of subject or his (her) legal representative respectively of the access to their personal data shall be filed to the owner and (or) operator in written form or in the form of electronic document or by other method with application of the elements of protective actions, not contradicted to the legislation of the Republic of Kazakhstan.

      3. Relations between the owner and (or) operator, and (or) third person respectively of the access to their personal data shall be regulated by the legislation of the Republic of Kazakhstan.

      4. Third parties may receive personal data stored in the information objects of public authorities and/or public legal entities via the e-government web portal, providing the individual's consent has been confirmed via a public service.

      Footnote. Article 10 as amended by the Law of the Republic of Kazakhstan dated 17.11.2015 № 408-V (shall be enforced from 01.03.2016); No. 347-VI of 25.06.2020 (shall come into force ten calendar days after the date of its first official publication); No. 96-VII of 30.12.2021 (shall be enforced sixty calendar days after the date of its first official publication).

Article 11. Confidentiality of personal data

      1. The owners and (or) operators, as well as third persons, receiving an access shall ensure their confidentiality by observance of requirements to prevent their distribution without the consent of subject or his (her) legal representative or existence of other legal basis.

      2. The persons who became known about personal data of limited access shall be obliged to ensure their confidentiality in connection with professional, official necessity, as well as labour relations.

      3. Confidentiality of biometric data shall be established by the legislation of the Republic of Kazakhstan.

Article 12. Accumulation and storage of personal data

      1. Accumulation of personal data shall be carried out by collection of personal data, necessary and sufficient for performance of tasks, carrying out by the owner and (or) operator, as well as third person.

      2. Personal data shall be stored by the owner and/or operator, as well as by a third party in a database located in the territory of the Republic of Kazakhstan.

      The term of storage of personal data shall be determined by the date of achievement of purposes of their collection and processing, unless otherwise provided by the legislation of the Republic of Kazakhstan.

      Footnote. Article 12 as amended by the Law of the Republic of Kazakhstan dated 24.11.2015 № 419-V (shall be enforced from 01.01.2016); No. 399-VI of 02.01.2021 (shall go into effect ten calendar days after the date of its first official publication).

Article 13. Change and supplement of personal data

      Change and supplement of personal data shall be carried out by the owner and (or) operator on the basis of application (request) of the subject or his (her) legal representative or in other cases provided by the Laws of the Republic of Kazakhstan.

Article 14. Use of personal data

      Use of personal data shall be carried out by the owner, operator and third person only for the previously stated purposes of their collection.

Article 15. Distribution of personal data

      1. Disclosure of personal data shall be subject to the consent of the individual or his/her legal representative, provided that the legitimate interests of other individuals and/or legal entities are not affected thereby.

      2. Distribution of personal data in the cases, fallen beyond the scope of previously stated purposes of their collection shall be carried out with the consent of subject or his (her) legal representative.

      Footnote. Article 15 as amended by Law of the RK No. 96-VII of 30.12.2021 (shall be enacted upon expiration of sixty calendar days after its first official publication).

Article 16. Trans-border transfer of personal data

      1. Trans-border transfer of personal data – a transfer of personal data to the territory of the foreign states.

      2. Trans-border transfer of personal data to the territory of the foreign states shall be carried out only in the case of ensuring of protection of personal data by these states in accordance with this Law.

      3. Trans-border transfer of personal data to the territory of the foreign states, not ensuring protection of personal data may be carried out in the cases of:

      1) existence of the consent of subject or his (her) legal representative to the trans-border transfer of his (her) personal data;

      2) provided international treaties, ratified by the Republic of Kazakhstan;

      3) provided by the Laws of the Republic of Kazakhstan, if it is necessary for the purposes of protection of constitutional order, protection of public order, rights and freedoms of person and citizen, health and morals of population;

      4) protection of constitutional rights and freedoms of person and citizen, if reception of the consent of subject or his (her) legal representative is impossible.

      4. Trans-border transfer of personal data to the territory of the foreign states may be prohibited or restricted by the Laws of the Republic of Kazakhstan.

      5. Specifics for trans-border transfer of service information about subscribers and (or) users of communication services shall be determined by the Law of the Republic of Kazakhstan "On Communications".

      Footnote. Article 16 as amended by the Law of the Republic of Kazakhstan dated 28.12.2017 No. 128-VI (shall be enforced upon expiry of ten calendar days after its first official publication).

Article 17. Depersonalisation of personal data

      1. The owner and/or operator, as well as the third party transferring the personal data must anonymise them in compliance with the rules for collecting, processing personal data when collecting, processing personal data for statistical, sociological, scientific, marketing research.

      2. When collecting, processing personal data for data analytics for the purpose of carrying out activities by state authorities, the impersonation of personal data is carried out by the operator of the information and communication infrastructure of the "electronic government" in accordance with the data management requirements approved by the authorized data management body, except for cases when the impersonation of personal data is carried out by the owner and/or operator.

      Footnote. Article 17 as reworded by Law of the RK No. 347-VI of 25.06.2020 (shall be enacted ten calendar days after the date of its first official publication); as amended by the Law of the Republic of Kazakhstan dated 14.07.2022 № 141-VII (shall enter into force upon expiry of ten calendar days after the day of its first official publication).

Article 18. Destruction of personal data

      The personal data shall subject to destruction by the owner and (or) operator, as well as third person:

      1) upon expiration of the term of storage in accordance with paragraph 2 of Article 12 of this Law;

      2) upon termination of legal relations between the subject, owner and (or) operator, as well as third person;

      3) upon entering of court decision into legal force;

      3-1) if it is discovered that personal data have been collected and processed without the individual's or his or her legal representative's consent, excluding the cases envisaged in Article 7, paragraph 5, and Article 9 of this Law;

      4) in other cases, established by this Law and other regulatory legal acts of the Republic of Kazakhstan.

      Footnote. Article 18 as amended by Law of the RK No. 96-VII of 30.12.2021 (shall be put into effect upon expiration of sixty calendar days after its first official publication).

Article 19. Report on actions with personal data

      1. In the existence of condition on notification of subject on transfer of his (her) personal data to the third person, the owner and (or) operator shall notify on that the subject or his (her) legal representative during ten business days, unless otherwise provided by the Laws of the Republic of Kazakhstan.

      2. Requirements of paragraph 1 of this Article shall not be distributed in the case of:

      1) exercise functions, provided by the legislation of the Republic of Kazakhstan by the state bodies, as well as carrying out activity by the private notaries, private judicial enforcement agents and lawyers;

      2) carrying out collection and processing of personal data in the statistical, sociological or scientific purposes.

Chapter 3. PROTECTION OF PERSONAL DATA

Article 20. Guarantee of protection of personal data

      1. Personal data shall be protected, as guaranteed by the state and implemented in the order established by the competent authority.

      2. Collection and processing of personal data shall be carried out only in the cases of ensuring of their protection.

      Footnote. Article 20 as amended by Law No. 399-VI of the RK of 02.01.2021 (shall be enacted ten calendar days after the date of its first official publication); No. 223-VII of 19.04.2023 (shall become effective upon the expiry of ten calendar days after the date of its first official publication).

Article 21. Purposes of protection of personal data

      Protection of personal data shall be carried out by application a set of measures, as well as legal, organizational and technical, for the purposes of:

      1) exercise of rights of privacy, personal and family secret;

      2) ensuring of their integrity and security;

      3) observance of their confidentiality;

      4) exercise of right of access to them;

      5) prevention of illegal collection and processing.

Article 22. Obligations of the owner and (or) operator, as well as third person on protection of personal data

      1. The owner and (or) operator, as well as the third party must implement the measures required for the protection of personal data hereunder, and the procedure established by the competent authority, ensuring:

      1) prevention of unauthorized access to the personal data;

      2) timely detection of facts of unauthorized access to the personal data, if such unauthorized access could not prevent;

      3) minimization of adverse consequences of unauthorized access to the personal data;

      4) providing access for the state technical service to the software that use, store, process and disseminate personal data of limited access contained in electronic information resource to carry out a survey to ensure the security of the processes of storage, processing and dissemination of personal data of limited access contained in electronic information resources in a manner determined by the competent authority;

      5) the registration and recording of actions under sub-paragraphs 3), 4), 5) and 6) of paragraph 4 of Article 8 of this Law.

      2. Obligations of owner and (or) operator, as well as third person on protection of personal data shall arise from the date of collection of personal data and act up to the date of their destruction or depersonalization.

      Footnote. Article 22 as amended by Law of the RK No. 399-VI of 02.01.2021 (shall come into force ten calendar days after its first official publication); No. 96-VII of 30.12.2021 (shall come into force sixty calendar days after the date of its first official publication); No. 223-VII of 19.04.2023 (shall be put into effect upon the expiry of ten calendar days after the date of its first official publication).

Article 23. Protection of electronic information resources containing personal data

      Electronic information resources containing personal data shall be protected in compliance with this Law and the legislation of the Republic of Kazakhstan on informatization.

      Footnote. Article 23 as reworded by Law of the RK No. 399-VI of 02.01.2021 (shall go into effect ten calendar days after the date of its first official publication).

Article 23-1. Voluntary cyber-insurance

      1. The goal of voluntary cyber-insurance shall be to compensate for property damage caused to the person, owner and/or operator, a third party pursuant to the legislation of the Republic of Kazakhstan on insurance and insurance activities.

      2. Voluntary cyber-insurance shall be by expression of the will of the parties.

      The types, terms and procedure of voluntary cyber-insurance shall be determined by agreement between the parties.

      Footnote. Chapter 3 as supplemented by Article 23-1 in obedience to Law of the RK No. 347-VI dated 25.06.2020 (shall be enacted ten calendar days after the date of its first official publication).

Chapter 4. RIGHTS AND OBLIGATIONS OF THE SUBJECT,
OWNER AND (OR) OPERATOR

Article 24. Rights and obligation of the subject

      1. The subject shall have a right to:

      1) know on existence of the owner and (or) operator, as well as third person of their personal data, as well as receive information, containing:

      certification of the fact, purpose, resources, methods of collection and processing of personal data;

      the list of personal data;

      the terms of processing of personal data, as well as terms of their storage;

      2) require the change and supplement of personal data from the owner and (or) operator in the existence of the grounds, approved by the relevant documents;

      3) require blocking of personal data from the owner and (or) operator, as well as third person in the case of existence of information on violation of condition of collection, processing of personal data;

      4) require destruction of personal data from the owner and (or) operator, as well as third person, collection and processing of which are carried out with violation of the legislation of the Republic of Kazakhstan, as well as in other persons, established by this Law and other regulatory legal acts of the Republic of Kazakhstan;

      5) revoke consent for the collection, processing, dissemination to publicly accessible sources, transfer to third parties and cross-border transfer of personal data, unless specified in paragraph 2 of Article 8 of this Law;

      6) give the consent (withdraw) to the owner and (or) operator for distribution of personal data in the publicly available sources of personal data;

      7) protection of his (her) rights and legal interests, as well as compensation of moral and material damage;

      8) exercise other rights, provided by this Law and other Laws of the Republic of Kazakhstan.

      2. The subject shall be obliged to present his (her) personal data in the cases established by the Laws of the Republic of Kazakhstan.

      Footnote. Article 24 as amended by Law of the RK No. 96-VII of 30.12.2021 (shall be put into effect upon expiration of sixty calendar days after its first official publication).

Article 25. Rights and obligations of the owner and/or operator, the person responsible for organising the processing of personal data

      Footnote. The title of Article 25 as reworded by Law of the RK No. 347-VI dated 25.06.2020 (shall be enacted ten calendar days after the day of its first official publication).

      1. The owner and (or) operator shall have a right to carry out collection, processing of personal data in the manner established by this Law and other regulatory legal acts of the Republic of Kazakhstan.

      2. The owner and (or) operator shall be obliged to:

      1) approve the list of personal data, necessary and sufficient for performance of tasks carried out by them, unless otherwise provided by the Laws of the Republic of Kazakhstan;

      1-1) adopt documents specifying the operator's policy on the collection, processing and protection of personal data;

      2) accept and observe the necessary measures, as well as legal, organizational and technical for protection of personal data in accordance with the legislation of the Republic of Kazakhstan;

      3) observe the legislation of the Republic of Kazakhstan on personal data and their protection;

      3-1) upon the request of the competent authority, as part of the review of applications from natural and legal persons, supply information on the methods and procedures used to ensure the owner and/or operator's compliance with the requirements of this Law;

      4) accept the measures on destruction of personal data in the case of achievement of purpose of their collection and processing, as well as in other cases, established by this Law and other regulatory legal acts of the Republic of Kazakhstan;

      5) give evidence on obtaining the consent of the subject for collection and processing of his (her) personal data in the cases, provided by the legislation of the Republic of Kazakhstan;

      6) upon the request of the individual, communicate information relating to him or her within the time limits stipulated by the legislation of the Republic of Kazakhstan;

      7) in the event of refusal to provide information, the individual or his/her legal representative shall submit a reasoned response within the deadline specified by the legislation of the Republic of Kazakhstan;

      8) during one business day:

      change and (or) supplement the personal data on the basis of relevant documents, approving their reliability, or destroy the personal data upon impossibility of their change and (or) supplement;

      block the personal data, relating to the subject, in the case of existence of information on violation of conditions of their collection, processing;

      destroy the personal data in the case of detection of fact of their collection, processing with violation of the legislation of the Republic of Kazakhstan, as well as in other cases, established by this Law and other regulatory legal acts of the Republic of Kazakhstan;

      withdraw blocking of personal data in the case of disconfirmation of the fact of violation of conditions of collection, processing of personal data;

      9) provide the person or his/her legal representative with access to personal data relating to that person, free of charge;

      10) appoint a person responsible for organising the processing of personal data, if the owner and/or operator is a legal entity.

      Sub-paragraph 10) of the first part of this paragraph shall not apply to the processing of personal data in court proceedings.

      3. The person responsible for the organisation of personal data processing shall be obliged to:

      1) exercise internal control over the observance by the owner and/or operator and its employees of the legislation of the Republic of Kazakhstan on personal data and its protection, including requirements for the protection of personal data;

      2) inform employees of the owner and/or operator on the provisions of the legislation of the Republic of Kazakhstan on personal data and their protection on the processing of personal data, the requirements for the protection of personal data;

      3) supervise the reception and processing of appeals from persons or their legal representatives.

      Footnote. Article 25 as amended by Law of the RK No. 347-VI dated 25.06.2020 (shall be enacted upon expiry of ten calendar days after its first official publication); No. 96-VII of 30.12.2021 (shall enter into force sixty calendar days after the date of its first official publication).

Chapter 5. THE STATE REGULATION IN THE SCOPE OF PERSONAL
DATA AND THEIR PROTECTION

Article 26. Competence of the Government of the Republic of Kazakhstan

      The Government of the Republic of Kazakhstan shall develop the main areas of state policy in the sphere of personal data and their protection.

      Footnote. Article 26 - as reworded by Law of the Republic of Kazakhstan No. 223-VII dated 19.04.2023 (shall be enacted on expiration of ten calendar days after the day of its first official publication).

Article 27. The competence of the state bodies

      The state bodies within their competence shall:

      1) develop and (or) approve the regulatory legal acts in the scope of personal data and their protection;

      2) consider applications of individuals and (or) legal entities on issues of personal data and their protection;

      3) take measures on bringing of persons, committed violation of the legislation of the Republic of Kazakhstan on personal data and their protection to the responsibility, established by the Laws of the Republic of Kazakhstan;

      4) exercise other powers, provided by the Laws of the Republic of Kazakhstan, acts of the President of the Republic of Kazakhstan and the Government of the Republic of Kazakhstan.

Article 27-1. Competence of the competent authority

      1. Within its competence, the competent authority shall:

      1) develop and implement the state policy in the field of personal data and their protection;

      2) develop procedures for the implementation of personal data protection measures by the owner and/or operator, as well as by a third party;

      2-1) develop the rules for the owner and/or operator to determine the list of personal data necessary and sufficient for the performance of their objectives;

      2-2) establish the procedure for determining by the owner and (or) operator the list of personal data required and sufficient for the fulfilment of their objectives;

      2-3) establish the procedure for the implementation of personal data protection measures by the owner and (or) operator, as well as by a third party;

      3) consider appeals of the person or his/her legal representative regarding the compliance of the content of personal data and the means of processing it with the purposes of its processing and make a decision in this regard;

      4) take measures to bring persons who have violated the legislation of the Republic of Kazakhstan on personal data and its protection to justice as prescribed by the laws of the Republic of Kazakhstan;

      5) require the owner and/or operator, as well as third parties, to clarify, block or destroy unreliable or illegally obtained personal data;

      6) implement measures aimed at improving the protection of the persons’ rights;

      6-1) establish an advisory council on personal data and their protection, and outline the procedure for its formation and operation;

      7) approve the rules for the collection and processing of personal data;

      7-1) approve the rules for the survey of the security of the storage, processing and dissemination of restricted personal data contained in electronic information resources, in coordination with the National Security Committee of the Republic of Kazakhstan;

      7-2) endorse the operating rules of the state service for the control of access to personal data;

      7-3) agree on the integration of non-state information objects with the information objects of public authorities and (or) state legal entities, where personal data is transferred and (or) access to personal data is granted;

      7-4) adopts regulations for integration with the government's personal data access control service;

      8) exercise other powers stipulated by this Law, other laws of the Republic of Kazakhstan, acts of the President of the Republic of Kazakhstan and the Government of the Republic of Kazakhstan.

      2. Personal data that become known to the competent authority in the course of its activities shall be kept confidential.

      Footnote. Chapter 5 as supplemented by Article 27-1 in compliance with Law of the RK No. 347-VI dated 25.06.2020 (shall be enacted upon expiration of ten calendar days after its first official publication); as amended by Law of the RK No. 399-VI dated 02.01.2021 (shall come into force upon expiration of ten calendar days after its first official publication); No. 96-VII of 30.12.2021 (shall enter into force sixty calendar days after the date of its first official publication); No. 223-VII of 19.04.2023 (shall enter into force on the expiration of ten calendar days after the date of its first official publication).

Article 28. Supervision of application of this Law

      1. The bodies of the Prosecutor’s Office exercise supreme supervision over compliance with the law in the field of personal data and their protection.

      2. Acts of prosecutor's supervision issued on the basis and in the procedure established by the Constitutional Law of the Republic of Kazakhstan "On prosecutor's office" shall be mandatory for all bodies, organizations, officials and citizens.

      Footnote. Article 28 as amended by the Law of the Republic of Kazakhstan dated 11.07.2017 № 91-VI (shall be enforced upon expiry of ten calendar days after the day its first official publication); dated 05.11.2022 № 157-VII (shall enter into force upon expiry of ten calendar days after the day of its first official publication).

Chapter 6. FINAL AND TRANSITIONAL PROVISIONS

Article 29. Responsibility for violation of the legislation of the Republic of Kazakhstan on personal data and their protection

      Violation of the legislation of the Republic of Kazakhstan on personal data and their protection shall entail responsibility in accordance with the Laws of the Republic of Kazakhstan.

Article 30. Procedure of appeal and consideration of disputes

      Actions (omission) of subject, owner and (or) operator, as well as third person upon collection, processing and protection of personal data may be appealed in the manner established by the Laws of the Republic of Kazakhstan.

      Disputes arising upon collection, processing and protection of personal data shall subject to consideration in the manner established by the Laws of the Republic of Kazakhstan.

Article 31. The order of enforcement of this Law

      1. This Law shall be enforced upon expiry of six months after its first official publication.

      2. The owners and (or) operators shall be obliged to bring the regulatory legal acts and other documents into compliance with the requirements of this Law during three months from the date of enforcement of this Law.

      3. Collection, processing of personal data, carried out according to the legislation of the Republic of Kazakhstan shall be recognized as relevant to the requirements of this Law before enforcement of this Law, if their further processing and protection correspond to the purposes of their collection.

      The President
of the Republic of Kazakhstan 		N.Nazarbayev