ИПС "Әділет"

Қолданушылар назарына!
Қолданушыларға ыңғайлы болуы үшін ЗҚАИ мазмұнды жасады.

ЗҚАИ-ның ескертпесі!
Осы Заңның қолданысқа енгізілу тәртібін 31-баптан қараңыз.

Осы Заң дербес деректер саласындағы қоғамдық қатынастарды реттейді, сондай-ақ дербес деректердi жинаумен, өңдеумен және қорғаумен байланысты қызметтiң мақсатын, қағидаттарын және құқықтық негiздерiн айқындайды.

1-тарау. ЖАЛПЫ ЕРЕЖЕЛЕР

1-бап. Осы Заңда пайдаланылатын негiзгi ұғымдар

Осы Заңда мынадай негiзгi ұғымдар пайдаланылады:

1) биометриялық деректер – дербес деректер субъектісінің физиологиялық және биологиялық ерекшелiктерiн сипаттайтын дербес деректер, олардың негізінде осы субъектінің жеке басын анықтауға болады;

2) дербес деректер – мәліметтер негізінде айқындалған немесе айқындалатын дербес деректер субъектісіне қатысты, электрондық, қағаз және (немесе) өзге де материалдық жеткізгіште тiркелген cол мәліметтер;

2-1) дербес деректерге қол жеткізуді мемлекеттік бақылау сервисі (бұдан әрі – мемлекеттік сервис) – дербес деректер субъектісінен дербес деректерді жинауға, өңдеуге немесе оларды үшінші тұлғаларға беруге келісім алуды қоса алғанда, мемлекеттік органдардың және (немесе) мемлекеттік заңды тұлғалардың ақпараттандыру объектілеріндегі дербес деректерге қол жеткізу кезінде меншік иелерінің және (немесе) операторлардың, үшінші тұлғалардың дербес деректер субъектісімен және уәкілетті органмен ақпараттық өзара іс-қимылын қамтамасыз ететін қызмет;

2-2) дербес деректерге қол жеткізуді мемлекеттік емес бақылау сервисі (бұдан әрі – мемлекеттік емес сервис) – дербес деректер субъектісінен дербес деректерді жинауға, өңдеуге немесе оларды үшінші тұлғаларға беруге келісім алуды қоса алғанда, мемлекеттік емес ақпараттандыру объектілеріндегі дербес деректерге қол жеткізу кезінде меншік иелерінің және (немесе) операторлардың, үшінші тұлғалардың дербес деректер субъектісімен ақпараттық өзара іс-қимылын қамтамасыз ететін қызмет;

3) дербес деректердi бұғаттау – дербес деректердi жинауды, жинақтауды, өзгертуді, толықтыруды, пайдалануды, таратуды, иесiздендiруді және жоюды уақытша тоқтату жөніндегі іс-әрекеттер;

4) дербес деректерді жинақтау – дербес деректерді қамтитын базаға дербес деректерді енгізу арқылы оларды жүйелендіру жөніндегі іс-әрекеттер;

5) дербес деректерді жинау – дербес деректерді алуға бағытталған іс-әрекеттер;

6) дербес деректердi жою – жасалуы нәтижесінде дербес деректердi қалпына келтiру мүмкін болмайтын iс-әрекеттер;

7) дербес деректердi иесiздендiру – жасалуы нәтижесiнде дербес деректердiң дербес деректер субъектiсіне тиесiлiгiн анықтау мүмкін болмайтын iс-әрекеттер;

8) дербес деректерді қамтитын база (бұдан әрі – база) – ретке келтірілген дербес деректердің жиынтығы;

9) дербес деректерді қамтитын базаның меншік иесі (бұдан әрі – меншік иесі) – дербес деректерді қамтитын базаны Қазақстан Республикасының заңдарына сәйкес иелену, пайдалану және оған билік ету құқығын іске асыратын мемлекеттік орган, жеке және (немесе) заңды тұлға;

10) дербес деректерді қамтитын базаның операторы (бұдан әрі – оператор) – дербес деректерді жинауды, өңдеуді және қорғауды жүзеге асыратын мемлекеттік орган, жеке және (немесе) заңды тұлға;

11) дербес деректерді қорғау – осы Заңда белгіленген мақсаттарда жүзеге асырылатын шаралар, оның ішінде құқықтық, ұйымдастырушылық және техникалық шаралар кешені;

11-1) дербес деректерді қорғау саласында уәкілетті орган (бұдан әрі - уәкілетті орган) - дербес деректерді қорғау саласындағы басшылықты жүзеге асыратын орталық атқарушы орган;

11-2) алып тасталды – ҚР 30.12.2021 № 96-VII (алғашқы ресми жарияланған күнінен кейін күнтізбелік алпыс күн өткен соң қолданысқа енгізіледі) Заңымен;

12) дербес деректердi өңдеу – дербес деректерді жинақтауға, сақтауға, өзгертуге, толықтыруға, пайдалануға, таратуға, иесiздендiруге, бұғаттауға және жоюға бағытталған iс-әрекеттер;

13) дербес деректердi пайдалану – меншік иесінің, оператордың және үшінші тұлғаның қызмет мақсаттарын іске асыруға бағытталған дербес деректермен жасалатын iс-әрекеттер;

14) дербес деректерді сақтау – дербес деректердің тұтастығын, құпиялылығын және қолжетімділігін қамтамасыз ету жөніндегі іс-әрекеттер;

15) дербес деректердi тарату – жасалуы нәтижесінде дербес деректер берілетін, оның ішінде масс-медиа арқылы берілетін немесе қандай да бiр өзгеше тәсiлмен дербес деректерге қол жеткізу ұсынылатын іс-әрекеттер;

15-1) дербес деректер қауіпсіздігінің бұзылуы – берілетін, сақталатын немесе өзге де түрде өңделетін дербес деректердің заңсыз таралуына, өзгертілуіне және жойылуына, санкцияланбаған таралуына немесе оларға санкцияланбаған қол жеткізуге алып келген дербес деректер қорғалуының бұзылуы;

16) дербес деректер субъектiсi (бұдан әрі – субъект) – дербес деректер тиесілі жеке тұлға;

17) үшiншi тұлға – субъект, меншік иесі және (немесе) оператор болып табылмайтын, бiрақ дербес деректердi жинау, өңдеу және қорғау бойынша олармен (онымен) мән-жайлар немесе құқық қатынастары арқылы байланысты болатын тұлға.

Ескерту. 1-бапқа өзгерістер енгізілді - ҚР 25.06.2020 № 347-VI (алғашқы ресми жарияланған күнінен кейін күнтізбелік он күн өткен соң қолданысқа енгізіледі); 30.12.2021 № 96-VII (алғашқы ресми жарияланған күнінен кейін күнтізбелік алпыс күн өткен соң қолданысқа енгізіледі); 11.12.2023 № 44-VIII (алғашқы ресми жарияланған күнінен кейін күнтізбелік алпыс күн өткен соң қолданысқа енгізіледі); 19.06.2024 № 94-VIII (алғашқы ресми жарияланған күнінен кейін күнтізбелік алпыс күн өткен соң қолданысқа енгізіледі) Заңдарымен.

2-бап. Осы Заңның мақсаты

Осы Заңның мақсаты адамның және азаматтың дербес деректерiн жинау және өңдеу кезiнде оның құқықтары мен бостандықтарын қорғауды қамтамасыз ету болып табылады.

3-бап. Осы Заңның қолданылуы

1. Осы Заңмен дербес деректердi жинауға, өңдеуге және қорғауға байланысты қатынастар реттеледi.

2. Дербес деректердi жинау, өңдеу және қорғау ерекшелiктері өзге де заңдармен және Қазақстан Республикасы Президентінің актілерімен реттелуі мүмкін.

3. Осы Заңның күші:

1) егер бұл ретте басқа да жеке және (немесе) заңды тұлғалардың құқықтары және Қазақстан Республикасы заңдарының талаптары бұзылмаса, субъектілердің тек қана жеке және отбасылық мұқтаж үшін дербес деректерді жинауы, өңдеуі және қорғауы;

2) Қазақстан Республикасының Ұлттық мұрағат қоры және мұрағаттар туралы заңнамасына сәйкес дербес деректердi қамтитын Қазақстан Республикасы Ұлттық мұрағат қорының құжаттарын және басқа да мұрағаттық құжаттарды қалыптастыру, сақтау және пайдалану;

3) "Мемлекеттік құпиялар туралы" Қазақстан Республикасының Заңына сәйкес мемлекеттік құпияларға жатқызылған дербес деректерді жинау, өңдеу және қорғау;

4) Қазақстан Республикасының заңдарында белгіленген шектерде барлау, қарсы барлау, жедел-іздестіру қызметі, сондай-ақ қорғалатын тұлғалар мен объектілердің қауіпсіздігін қамтамасыз ету жөніндегі күзет іс-шараларын жүзеге асыру барысында дербес деректерді жинау, өңдеу және қорғау кезiнде туындайтын қатынастарға қолданылмайды.

4-бап. Қазақстан Республикасының дербес деректер және оларды қорғау туралы заңнамасы

1. Қазақстан Республикасының дербес деректер және оларды қорғау туралы заңнамасы Қазақстан Республикасының Конституциясына негiзделедi және осы Заң мен Қазақстан Республикасының өзге де нормативтiк құқықтық актiлерiнен тұрады.

2. Егер Қазақстан Республикасы ратификациялаған халықаралық шартта осы Заңда қамтылғаннан өзгеше қағидалар белгiленсе, онда халықаралық шарттың қағидалары қолданылады.

5-бап. Дербес деректердi жинау, өңдеу және қорғау қағидаттары

Дербес деректердi жинау, өңдеу және қорғау:

1) адамның және азаматтың конституциялық құқықтары мен бостандықтарын сақтау;

2) заңдылық;

3) қолжетімділігі шектеулі дербес деректердің құпиялылығы;

4) субъектілер, меншік иелері және операторлар құқықтарының теңдігі;

5) жеке бастың, қоғамның және мемлекеттің қауіпсіздігін қамтамасыз ету қағидаттарына сәйкес жүзеге асырылады.

2-тарау. ДЕРБЕС ДЕРЕКТЕРДІ ЖИНАУ ЖӘНЕ ӨҢДЕУ

6-бап. Дербес деректерге қолжетімділік

Дербес деректер қолжетімділігі бойынша жалпыға бірдей қолжетімді және қолжетімділігі шектеулі болып бөлінеді.

Қазақстан Республикасының заңдарына сәйкес құпиялылықты сақтау талаптары қолданылмайтын, оларға қол жеткізу субъектінің келісімімен еркін болып табылатын дербес деректер немесе мәліметтер жалпыға бірдей қолжетімді дербес деректер болып табылады.

Субъект туралы жиналуы және өңделуі Қазақстан Республикасының заңнамасы бұзыла отырып жасалған мәліметтер субъектінің немесе оның заңды өкілінің талап етуі бойынша не соттың немесе өзге де уәкілетті мемлекеттік органдардың шешімі бойынша бір жұмыс күні ішінде дербес деректердің жалпыға бірдей қолжетімді көздерінен алып тасталады.

Бұл ретте дербес деректердің жалпыға бірдей қолжетімді көздерінен дербес деректерді жою кезінде туындайтын шығыстар меншік иесіне және (немесе) операторға, үшінші тұлғаға жүктеледі.

Субъектінің немесе оның заңды өкілінің өзінің дербес деректерін дербес деректердің жалпыға бірдей қолжетімді көздерінде таратуға келісімін кері қайтарып алу кезінде туындайтын, дербес деректердің жалпыға бірдей қолжетімді көздерінен дербес деректерді жоюға байланысты шығыстардың көлемі, сондай-ақ осы шығыстар жүктелетін адамдар қажеттілік туындаған жағдайда сот тәртібімен айқындалады.

Қазақстан Республикасының заңнамасымен қолжетімділігі шектелген дербес деректер қолжетімділігі шектеулі дербес деректер болып табылады.

Ескерту. 6-бап жаңа редакцияда - ҚР 25.06.2020 № 347-VI (алғашқы ресми жарияланған күнінен кейін күнтізбелік он күн өткен соң қолданысқа енгізіледі); өзгеріс енгізілді – ҚР 30.12.2021 № 96-VII (алғашқы ресми жарияланған күнінен кейін күнтізбелік алпыс күн өткен соң қолданысқа енгізіледі); 14.07.2022 № 141-VII (алғашқы ресми жарияланған күнінен кейін күнтізбелік он күн өткен соң қолданысқа енгізіледі) Заңдарымен.

7-бап. Дербес деректерді жинау, өңдеу шарттары және жалпыға бірдей қолжетімді көздерден алынған дербес деректерді жинаудың, өңдеудің ерекшеліктері

1. Осы баптың 5-тармағында және осы Заңның 9-бабында көзделген жағдайларды қоспағанда, дербес деректерді жинауды, өңдеуді меншік иесі және (немесе) оператор, сондай-ақ үшінші тұлға субъектінің немесе оның заңды өкілінің келісімімен уәкілетті орган айқындайтын тәртіппен жүзеге асырады.

2. Қайтыс болған (сот хабар-ошарсыз кеткен деп таныған немесе қайтыс болды деп жариялаған) субъектінің дербес деректерін жинау, өңдеу Қазақстан Республикасының заңнамасына сәйкес жүзеге асырылады.

3. Дербес деректерді жалпыға бірдей қолжетімді көздерде таратуға субъектінің немесе оның заңды өкілінің келісімі болған кезде жол беріледі.

4. Осы баптың 3-тармағының талаптары орналастыру міндеті Қазақстан Республикасының заңдарында белгіленген ақпарат жарияланған жағдайларда ақпарат иеленушілерге қолданылмайды.

5. Ақпарат көзіне сілтеме болған жағдайда, осы баптың 3 және 4-тармақтарының негізінде жарияланған дербес деректерді үшінші тұлғалардың қайта жинауына, өңдеуіне және таратуына жол беріледі.

6. Осы Заңның 16-бабында көзделген жағдайларды қоспағанда, дербес деректерді трансшекаралық беру түрінде дербес деректерді өңдеу, дербес деректерді жалпыға бірдей қолжетімді көздерде тарату, сондай-ақ оларды үшінші тұлғаларға беру субъектінің келісімі болған жағдайда жүзеге асырылады.

7. Дербес деректерді қамтитын электрондық ақпараттық ресурстарда дербес деректерді жинау, өңдеу ерекшеліктері осы Заңның ережелері ескеріле отырып, Қазақстан Республикасының ақпараттандыру туралы заңнамасына сәйкес белгіленеді.

8. Дербес деректерді өңдеу нақты, алдын ала айқындалған және заңды мақсаттарға жетумен шектелуге тиіс. Дербес деректерді жинау мақсаттарымен үйлеспейтіндей етіп дербес деректерді өңдеуге жол берілмейді.

9. Мазмұны мен көлемі дербес деректерді өңдеу мақсаттарына қатысты артық болып табылатын дербес деректер өңделуге жатпайды.

10. Мемлекеттік органдардың және (немесе) мемлекеттік заңды тұлғалардың ақпараттандыру объектілерімен интеграциялану болмаған, технологиялық құралдарды пайдалана отырып, субъектіні сәйкестендіру мүмкін болмаған жағдайларды қоспағанда, сондай-ақ Қазақстан Республикасының заңдарында көзделген өзге де жағдайларда жеке басты куәландыратын құжаттардың қағаз жеткізгіштегі көшірмелерін жинауға, өңдеуге тыйым салынады.

Жеке басты куәландыратын құжаттардың қағаз жеткізгіштегі көшірмелерін жинаудың, өңдеудің осы тармақтың бірінші бөлігінде көзделген айрықша жағдайлары цифрлық құжаттар сервисі арқылы қалыптастырылатын жеке басты куәландыратын құжаттарды пайдалануға және ұсынуға қолданылмайды.

Ескерту. 7-бап жаңа редакцияда – ҚР 30.12.2021 № 96-VII (алғашқы ресми жарияланған күнінен кейін күнтізбелік алпыс күн өткен соң қолданысқа енгізіледі); өзгеріс енгізілді – ҚР 11.12.2023 № 44-VIII (алғашқы ресми жарияланған күнінен кейін күнтізбелік алпыс күн өткен соң қолданысқа енгізіледі) Заңдарымен.

8-бап. Субъектiнiң дербес деректердi жинауға, өңдеуге келiсiм беру (керi қайтарып алу) тәртiбi

1. Субъект немесе оның заңды өкілі дербес деректерді жинауға, өңдеуге жазбаша, мемлекеттік сервис, мемлекеттік емес сервис арқылы не келісімді алғанын растауға мүмкіндік беретін өзге де тәсілмен келісім береді (оны кері қайтарып алады).

Мемлекеттік органдардың және (немесе) мемлекеттік заңды тұлғалардың ақпараттандыру объектілеріндегі дербес деректерді жинау және (немесе) өңдеу кезінде келісім мемлекеттік сервис арқылы беріледі.

2. Субъект немесе оның заңды өкілі дербес деректердi жинауға, өңдеуге берген келісімді, егер бұл Қазақстан Республикасының заңдарына қайшы келсе не орындалмаған міндеттемесі болған кезде кері қайтарып ала алмайды.

3. Алып тасталды – ҚР 30.12.2021 № 96-VII (алғашқы ресми жарияланған күнінен кейін күнтізбелік алпыс күн өткен соң қолданысқа енгізіледі) Заңымен.

4. Дербес деректерді жинауға және өңдеуге келісім мыналарды қамтиды:

1) оператордың атауы (тегі, аты, әкесінің аты (егер ол жеке басты куәландыратын құжатта көрсетілсе), бизнес сәйкестендіру нөмірі (жеке сәйкестендіру нөмірі);

2) субъектінің тегі, аты, әкесінің аты (егер ол жеке басты куәландыратын құжатта көрсетілсе);

3) дербес деректерді жинауға, өңдеуге келісім қолданыста болатын мерзім немесе кезең;

4) оператордың дербес деректерді үшінші тұлғаларға беру мүмкіндігі немесе оның болмауы туралы мәліметтер;

5) дербес деректерді өңдеу процесінде оларды трансшекаралық берудің болуы не болмауы туралы мәліметтер;

6) дербес деректердің жалпыға бірдей қолжетімді көздерде таратылуы туралы мәліметтер;

7) субъектіге байланысты жиналатын деректердің тізбесі;

8) меншік иесі және (немесе) оператор айқындайтын өзге де мәліметтер.

Ескерту. 8-бапқа өзгерістер енгізілді - ҚР 17.11.2015 № 408-V (01.03.2016 бастап қолданысқа енгізіледі); 25.06.2020 № 347-VI (алғашқы ресми жарияланған күнінен кейін күнтізбелік он күн өткен соң қолданысқа енгізіледі); 30.12.2021 № 96-VII (алғашқы ресми жарияланған күнінен кейін күнтізбелік алпыс күн өткен соң қолданысқа енгізіледі) Заңдарымен.

8-1-бап. Мемлекеттік сервис

1. Меншік иелері және (немесе) операторлар, үшінші тұлғалар мемлекеттік органдардың және (немесе) мемлекеттік заңды тұлғалардың дербес деректер бар ақпараттандыру объектілерімен өзара іс-қимыл жасаған жағдайда, осы Заңның 9-бабының 1), 2), 9) және 9-2) тармақшаларында көзделген жағдайларды қоспағанда, дербес деректерді жинау және өңдеу процестеріне тартылған өздерінің ақпараттандыру объектілерінің мемлекеттік сервиспен интеграциялануын қамтамасыз етеді.

Интеграция Қазақстан Республикасы заңнамасының мемлекеттік құпияларға, жеке басының құпиясына, отбасылық, банктік, коммерциялық құпияға, медицина қызметкерінің құпиясына және заңмен қорғалатын өзге де құпияларға жатқызылған мәліметтерді, сондай-ақ басқа да құпия ақпаратты ұсыну жөніндегі нормалары сақтала отырып жүзеге асырылады.

Өзге жағдайларда мемлекеттік сервиспен интеграция ерікті негізде жүзеге асырылады.

Мемлекеттік сервиспен интеграциялау тәртібін уәкілетті орган айқындайды және "электрондық үкіметтің" ақпараттандыру объектілерін интеграциялау қағидаларында айқындалады.

2. Мыналар мемлекеттік сервис арқылы қамтамасыз етіледі:

1) субъектінің немесе оның заңды өкілінің мемлекеттік органдардың және (немесе) мемлекеттік заңды тұлғалардың ақпараттандыру объектілеріндегі дербес деректерді жинауға және (немесе) өңдеуге келісім беруі (одан бас тартуы);

2) субъектінің немесе оның заңды өкілінің мемлекеттік органдардың және (немесе) мемлекеттік заңды тұлғалардың ақпараттандыру объектілеріндегі дербес деректерді жинауға және (немесе) өңдеуге келісімді кері қайтарып алуы;

3) субъектіні мемлекеттік органдардың және (немесе) мемлекеттік заңды тұлғалардың ақпараттандыру объектілеріндегі өзінің дербес деректерімен жасалатын әрекеттер туралы хабардар ету (қол жеткізу, қарау, өзгерту, толықтыру, беру, бұғаттау, жою);

4) субъектіге мемлекеттік органдардың және (немесе) мемлекеттік заңды тұлғалардың ақпараттандыру объектілеріндегі өзінің дербес деректерін жинауға және (немесе) өңдеуге келісімі бар меншік иелері және (немесе) операторлар туралы мәліметтерді ұсыну.

3. Осы Заңның 9-бабының 4), 6), 8) және 9-3) тармақшаларында көзделген жағдайларда, субъектіні мемлекеттік органдардың және (немесе) мемлекеттік заңды тұлғалардың ақпараттандыру объектілеріндегі оның дербес деректеріне қол жеткізуге (жинауға және өңдеуге) сұрау салулардың бастамашылары туралы мемлекеттік сервис арқылы хабардар ету қамтамасыз етіледі.

Ескерту. 8-1-баппен толықтырылды – ҚР 30.12.2021 № 96-VII (алғашқы ресми жарияланған күнінен кейін күнтізбелік алпыс күн өткен соң қолданысқа енгізіледі) Заңымен.

8-2-бап. Мемлекеттік емес сервис

1. Меншік иелері және (немесе) операторлар, үшінші тұлғалар субъектінің немесе оның заңды өкілінің дербес деректерді жинауға және (немесе) өңдеуге келісімін алу жөніндегі рәсімдерді оңтайландыру мақсатында мемлекеттік органдардың және (немесе) мемлекеттік заңды тұлғалардың дербес деректерді қамтитын ақпараттандыру объектілерімен өзара іс-қимылы болмаған жағдайда, мемлекеттік емес сервистерді пайдалануға құқылы.

2. Мыналар мемлекеттік емес сервис арқылы қамтамасыз етіледі:

1) субъектінің немесе оның заңды өкілінің дербес деректерді жинауға және (немесе) өңдеуге келісім беруі (одан бас тартуы);

2) субъектіні оның дербес деректерімен жасалатын әрекеттер (қарау, өзгерту, толықтыру, беру, бұғаттау, жою) туралы хабардар ету;

3) субъектіні үшінші тұлғалардың оның дербес деректеріне қол жеткізуі туралы хабардар ету.

Ескерту. 8-2-баппен толықтырылды – ҚР 30.12.2021 № 96-VII (алғашқы ресми жарияланған күнінен кейін күнтізбелік алпыс күн өткен соң қолданысқа енгізіледі) Заңымен.

9-бап. Дербес деректердi субъектiнiң келiсiмiнсiз жинау, өңдеу

Дербес деректерді субъектінің немесе оның заңды өкілінің келісімінсіз жинау, өңдеу:

1) құқық қорғау органдарының, соттардың және әкімшілік құқық бұзушылықтар туралы істерді қозғайтын және қарайтын өзге де уәкілетті мемлекеттік органдардың қызметін, атқарушылық іс жүргізуді жүзеге асырған;

2) мемлекеттік статистикалық қызметті жүзеге асырған;

3) дербес деректердi мiндеттi түрде иесiздендiру шартымен оларды статистикалық мақсаттар үшiн мемлекеттік органдар пайдаланған;

4) Қазақстан Республикасы ратификациялаған халықаралық шарттар iске асырылған;

5) егер субъектiнiң немесе оның заңды өкілінің келiсiмiн алу мүмкiн болмаса, адамның және азаматтың конституциялық құқықтары мен бостандықтарын қорғаған;

5-1) бірыңғай жинақтаушы зейнетақы қоры зейнетақы шоттарын ашуға, зейнетақы жинақтарының сомасы туралы, сондай-ақ шартты зейнетақы шоттары туралы ақпаратты беруге байланысты қызметті жүзеге асырған;

6) Қазақстан Республикасының адамның және азаматтың құқықтары мен бостандықтарын қамтамасыз ету жөніндегі заңнамасының талаптары сақталған жағдайда, журналистiң заңды кәсiптік қызметi және (немесе) теле-, радиоарналардың, мерзімді баспасөз басылымдарының, ақпарат агенттіктерінің, желілік басылымдардың қызметі не ғылыми, әдеби немесе өзге де шығармашылық қызмет жүзеге асырылған;

7) Қазақстан Республикасының заңдарына сәйкес дербес деректер, оның iшiнде сайланбалы мемлекеттiк лауазымдарға кандидаттардың дербес деректерi жарияланған;

8) Қазақстан Республикасының заңдарына сәйкес субъект дербес деректерді ұсыну жөніндегі өз міндеттерін орындамаған;

9) қаржы нарығы мен қаржы ұйымдарын реттеудi, бақылауды және қадағалауды жүзеге асыратын мемлекеттiк орган Қазақстан Республикасының заңнамасына сәйкес жеке және заңды тұлғалардан ақпарат алған;

9-1) салықтық (кедендік) әкімшілендіруді және (немесе) бақылауды жүзеге асыру үшін мемлекеттік кіріс органдары Қазақстан Республикасының заңдарына сәйкес жеке және заңды тұлғалардан ақпарат алған;

9-2) Қазақстан Республикасының заңдарында көзделген жағдайларда, қолжетімділігі шектеулі дербес деректерді қамтитын электрондық ақпараттық ресурстардың резервтік көшірмесі электрондық ақпараттық ресурстарды сақтаудың бірыңғай ұлттық резервтік платформасына сақтауға берілген;

9-3) Қазақстан Республикасы заңнамасының талаптарын сақтау шарттарымен кәсіпкерлік субъектілерінің тікелей өз кәсіпкерлік қызметіне қатысты дербес деректері бизнес-әріптестердің тізілімін қалыптастыру үшін пайдаланылған;

9-4) Қазақстан Республикасы азаматының дербес деректері "Қазақстан Республикасы азаматтарының төлем қабілеттілігін қалпына келтіру және банкроттығы туралы" Қазақстан Республикасының Заңына сәйкес соттан тыс немесе сот арқылы банкроттық рәсімін қолдану туралы арыз берілген күннен бастап, сондай-ақ соттан тыс немесе сот арқылы банкроттық рәсімін қолданудың алдындағы үш жылға дейінгі кезеңде пайдаланылған;

10) Қазақстан Республикасының заңдарында белгіленген өзге де жағдайларда жүргізіледі.

Ескерту. 9-бапқа өзгеріс енгізілді – ҚР 03.07.2020 № 359-VI (алғашқы ресми жарияланған күнінен кейін күнтізбелік он күн өткен соң қолданысқа енгізіледі); 02.01.2021 № 399-VI (қолданысқа енгізілу тәртібін 2-баптан қараңыз); 30.12.2021 № 96-VII (алғашқы ресми жарияланған күнінен кейін күнтізбелік алпыс күн өткен соң қолданысқа енгізіледі); 30.12.2022 № 179-VII (алғашқы ресми жарияланған күнінен кейін күнтізбелік алпыс күн өткен соң қолданысқа енгізіледі); 11.12.2023 № 44-VIII (алғашқы ресми жарияланған күнінен кейін күнтізбелік алпыс күн өткен соң қолданысқа енгізіледі) Заңдарымен.

10-бап. Дербес деректерге қол жеткізу

1. Егер Қазақстан Республикасының заңнамасында өзгеше көзделмесе, дербес деректерге қол жеткізу субъектінің немесе оның заңды өкілінің меншік иесіне және (немесе) операторға оларды жинауға, өңдеуге берген келісімінің шарттарымен айқындалады.

Егер меншік иесі және (немесе) оператор және (немесе) үшінші тұлға осы Заңның талаптарын орындауды қамтамасыз ету жөніндегі міндеттемелерді өзіне алудан бас тартса немесе оларды қамтамасыз ете алмаса, дербес деректерге қол жеткізуге тыйым салынуға тиіс.

2. Субъектінің немесе оның заңды өкілінің өз дербес деректеріне қол жеткізуге қатысты өтініш жасауы (сұрау салуы) меншік иесіне және (немесе) операторға жазбаша немесе электрондық құжат нысанында не Қазақстан Республикасының заңнамасына қайшы келмейтін қорғау іс-әрекеттерінің элементін қолдану арқылы өзге де тәсілмен беріледі.

3. Меншік иесінің және (немесе) оператордың және (немесе) үшінші тұлғаның арасындағы дербес деректерге қол жеткізуге қатысты қатынастар Қазақстан Республикасының заңнамасымен реттеледі.

4. Үшінші тұлғалар мемлекеттік органдардың және (немесе) мемлекеттік заңды тұлғалардың ақпараттандыру объектілеріндегі дербес деректерді субъектінің мемлекеттік сервис арқылы расталған келісімі болған жағдайда "электрондық үкіметтің" веб-порталы арқылы ала алады.

Ескерту. 10-бапқа өзгерістер енгізілді - ҚР 17.11.2015 № 408-V (01.03.2016 бастап қолданысқа енгізіледі); 25.06.2020 № 347-VI (алғашқы ресми жарияланған күнінен кейін күнтізбелік он күн өткен соң қолданысқа енгізіледі); 30.12.2021 № 96-VII (алғашқы ресми жарияланған күнінен кейін күнтізбелік алпыс күн өткен соң қолданысқа енгізіледі) Заңдарымен.

11-бап. Дербес деректердiң құпиялылығы

1. Қолжетімділігі шектеулі дербес деректерге қол жеткізе алатын меншік иелері және (немесе) операторлар, сондай-ақ үшiншi тұлғалар субъектінің немесе оның заңды өкілінің келісімі не өзге де заңды негіздер болмағанда оларды таратуға жол бермеу талаптарын сақтау арқылы олардың құпиялылығын қамтамасыз етедi.

2. Кәсіптік, қызметтік қажеттілікке, сондай-ақ еңбек қатынастарына байланысты қолжетімділігі шектеулі дербес деректер өздеріне белгілі болған адамдар олардың құпиялылығын қамтамасыз етуге мiндеттi.

3. Биометриялық деректердің құпиялылығы Қазақстан Республикасының заңнамасында белгіленеді.

12-бап. Дербес деректерді жинақтау және сақтау

1. Дербес деректерді жинақтау меншік иесі және (немесе) оператор, сондай-ақ үшінші тұлға жүзеге асыратын міндеттерді орындау үшін қажетті және жеткілікті дербес деректерді жинау арқылы жүргізіледі.

2. Дербес деректерді сақтауды меншік иесі және (немесе) оператор, сондай-ақ үшінші тұлға Қазақстан Республикасының аумағындағы базада жүзеге асырады.

Егер Қазақстан Республикасының заңнамасында өзгеше көзделмесе, дербес деректерді сақтау мерзімі оларды жинау және өңдеу мақсаттарына қол жеткізген күнмен айқындалады.

Ескерту. 12-бапқа өзгеріс енгізілді - ҚР 24.11.2015 № 419-V (01.01.2016 бастап қолданысқа енгізіледі); 02.01.2021 № 399-VI (алғашқы ресми жарияланған күнінен кейін күнтізбелік он күн өткен соң қолданысқа енгізіледі) Заңдарымен.

13-бап. Дербес деректерді өзгерту және толықтыру

Дербес деректерді өзгертуді және толықтыруды меншік иесі және (немесе) оператор субъектінің немесе оның заңды өкілінің өтініш жасауы (сұрау салуы) негізінде не Қазақстан Республикасының заңдарында көзделген өзге де жағдайларда жүзеге асырады.

14-бап. Дербес деректерді пайдалану

Дербес деректерді пайдалануды меншік иесі, оператор және үшінші тұлға оларды жинаудың бұрын мәлімделген мақсаттары үшін ғана жүзеге асыруға тиіс.

15-бап. Дербес деректерді тарату

1. Егер бұл ретте өзге де жеке және (немесе) заңды тұлғалардың заңды мүдделері қозғалмаса, субъектінің немесе оның заңды өкілінің келісімі болған жағдайда дербес деректерді таратуға жол беріледі.

2. Дербес деректерді жинаудың бұрын мәлімделген мақсаттары шеңберінен шығатын жағдайларда оларды тарату субъектінің немесе оның заңды өкілінің келісімімен жүзеге асырылады.

Ескерту. 15-бапқа өзгеріс енгізілді – ҚР 30.12.2021 № 96-VII (алғашқы ресми жарияланған күнінен кейін күнтізбелік алпыс күн өткен соң қолданысқа енгізіледі) Заңымен.

16-бап. Дербес деректерді трансшекаралық беру

1. Дербес деректерді трансшекаралық беру – дербес деректерді шет мемлекеттердің аумағына беру.

2. Осы Заңға сәйкес дербес деректерді шет мемлекеттердің аумағына трансшекаралық беру осы мемлекеттер дербес деректерді қорғауды қамтамасыз еткен жағдайда ғана жүзеге асырылады.

3. Дербес деректердің қорғалуын қамтамасыз етпейтін шет мемлекеттердің аумағына дербес деректерді трансшекаралық беру мынадай:

1) өзінің дербес деректерін трансшекаралық беруге субъектінің немесе оның заңды өкілінің келісімі болған;

2) Қазақстан Республикасы ратификациялаған халықаралық шарттарда көзделген;

3) егер бұл конституциялық құрылысты қорғау, қоғамдық тәртіпті сақтау, адамның және азаматтың құқықтары мен бостандықтарын, халықтың денсаулығы мен имандылығын қорғау мақсатында қажет болса, Қазақстан Республикасының заңдарында көзделген;

4) егер субъектінің немесе оның заңды өкілінің келісімін алу мүмкін болмаса, адамның және азаматтың конституциялық құқықтары мен бостандықтарын қорғаған жағдайларда жүзеге асырылуы мүмкін.

4. Дербес деректерді шет мемлекеттердің аумағына трансшекаралық беруге Қазақстан Республикасының заңдарымен тыйым салынуы немесе шектеу қойылуы мүмкін.

5. Абоненттер және (немесе) байланыс қызметтерін пайдаланушылар туралы қызметтік ақпаратты трансшекаралық беру ерекшеліктері "Байланыс туралы" Қазақстан Республикасының Заңында айқындалады.

Ескерту. 16-бапқа өзгеріс енгізілді - ҚР 28.12.2017 № 128-VI Заңымен (алғашқы ресми жарияланған күнінен кейін күнтізбелік он күн өткен соң қолданысқа енгізіледі).

17-бап. Дербес деректердi иесiздендiру

1. Дербес деректердi статистикалық, социологиялық, ғылыми, маркетингтік зерттеулер жүргiзу үшiн жинау, өңдеу кезінде дербес деректерді беретін меншік иесі және (немесе) оператор, сондай-ақ үшінші тұлға оларды дербес деректерді жинау және өңдеу қағидаларына сәйкес иесiздендiруге міндетті.

ЗҚАИ-ның ескертпесі!
2-тармаққа өзгеріс енгізу көзделген – ҚР 05.07.2024 № 115-VIII (алғашқы ресми жарияланған күнінен кейін алты ай өткен соң қолданысқа енгізіледі) Заңымен.

2. Дербес деректерді иесіздендіруді меншік иесі және (немесе) оператор жүргізген жағдайларды қоспағанда, мемлекеттік органдардың қызметті іске асыруы мақсатында деректерді талдауды жүзеге асыру үшін дербес деректерді жинау, өңдеу кезінде дербес деректерді иесіздендіруді деректерді басқару жөніндегі уәкілетті орган бекіткен деректерді басқару талаптарына сәйкес "электрондық үкіметтің" ақпараттық-коммуникациялық инфрақұрылымы операторы жүзеге асырады.

Ескерту. 17-бап жаңа редакцияда - ҚР 25.06.2020 № 347-VI (алғашқы ресми жарияланған күнінен кейін күнтізбелік он күн өткен соң қолданысқа енгізіледі); өзгеріс енгізілді – ҚР 14.07.2022 № 141-VII (алғашқы ресми жарияланған күнінен кейін күнтізбелік он күн өткен соң қолданысқа енгізіледі) Заңдарымен.

18-бап. Дербес деректерді жою

Меншік иесі және (немесе) оператор, сондай-ақ үшінші тұлға дербес деректерді:

1) осы Заңның 12-бабының 2-тармағына сәйкес сақтау мерзімі өткен соң;

2) субъект, меншік иесі және (немесе) оператор, сондай-ақ үшінші тұлға арасындағы құқық қатынастары тоқтаған кезде;

3) сот шешімі заңды күшіне енген кезде;

3-1) осы Заңның 7-бабының 5-тармағында және 9-бабында көзделген жағдайларды қоспағанда, субъектінің немесе оның заңды өкілінің келісімінсіз дербес деректерді жинау және өңдеу анықталған кезде;

4) осы Заңда және Қазақстан Республикасының өзге де нормативтік құқықтық актілерінде белгіленген өзге де жағдайларда жоюға тиіс.

Ескерту. 18-бапқа өзгеріс енгізілді – ҚР 30.12.2021 № 96-VII (алғашқы ресми жарияланған күнінен кейін күнтізбелік алпыс күн өткен соң қолданысқа енгізіледі) Заңымен.

19-бап. Дербес деректермен іс-әрекеттер жасау туралы хабарлама

1. Егер Қазақстан Республикасының заңдарында өзгеше көзделмесе, меншік иесі және (немесе) оператор субъектінің дербес деректерін үшінші тұлғаға беру жөнінде оны хабардар ету туралы шарттар болған кезде бұл туралы осы субъектіні немесе оның заңды өкілін он жұмыс күні ішінде хабардар етеді.

2. Осы баптың 1-тармағының талаптары:

1) мемлекеттік органдар Қазақстан Республикасының заңнамасында көзделген өз функцияларын орындаған, сондай-ақ жекеше нотариустар, жеке сот орындаушылары және адвокаттар қызметін жүзеге асырған;

2) дербес деректерді статистикалық, социологиялық немесе ғылыми мақсаттарда жинауды және өңдеуді жүзеге асырған жағдайларға қолданылмайды.

3-тарау. ДЕРБЕС ДЕРЕКТЕРДІ ҚОРҒАУ

20-бап. Дербес деректерді қорғау кепілдігі

1. Дербес деректер қорғалуға жатады, оған мемлекет кепілдік береді және уәкілетті орган айқындайтын тәртіппен жүзеге асырылады.

2. Дербес деректерді жинау және өңдеу олардың қорғалуы қамтамасыз етілген жағдайларда ғана жүзеге асырылады.

Ескерту. 20-бапқа өзгеріс енгізілді – ҚР 02.01.2021 № 399-VI (алғашқы ресми жарияланған күнінен кейін күнтізбелік он күн өткен соң қолданысқа енгізіледі); 19.04.2023 № 223-VII (алғашқы ресми жарияланған күнінен кейін күнтізбелік он күн өткен соң қолданысқа енгізіледі) Заңдарымен.

21-бап. Дербес деректерді қорғаудың мақсаттары

Дербес деректерді қорғау:

1) жеке өмірге қолсұғылмаушылық, жеке және отбасы құпиясы құқықтарын іске асыру;

2) олардың тұтастығын және сақталуын қамтамасыз ету;

3) олардың құпиялылығын сақтау;

4) оларға қол жеткізу құқығын іске асыру;

5) оларды заңсыз жинауды және өңдеуді болғызбау мақсатында шаралар кешенін, оның ішінде құқықтық, ұйымдастырушылық және техникалық шаралар кешенін қолдану арқылы жүзеге асырылады.

22-бап. Меншік иесінің және (немесе) оператордың, сондай-ақ үшінші тұлғаның дербес деректерді қорғау жөніндегі міндеттері

1. Меншік иесі және (немесе) оператор, сондай-ақ үшінші тұлға осы Заңға және уәкілетті орган айқындайтын тәртіпке сәйкес:

1) дербес деректерге рұқсатсыз қол жеткізуді болғызбауды;

2) егер дербес деректерге рұқсатсыз қол жеткізу еңсерілмеген болса, дербес деректерге мұндай рұқсатсыз қол жеткізу фактілерін уақтылы анықтауды;

3) дербес деректерге рұқсатсыз қол жеткізудің қолайсыз салдарын барынша азайтуды;

4) уәкілетті орган айқындайтын тәртіппен мемлекеттік техникалық қызметке электрондық ақпараттық ресурстардағы қолжетімділігі шектеулі дербес деректерді сақтау, өңдеу және тарату процестерінің қорғалуын қамтамасыз етуге зерттеп-қарауды жүзеге асыру үшін электрондық ақпараттық ресурстардағы қолжетімділігі шектеулі дербес деректерді пайдаланатын, сақтайтын, өңдейтін және тарататын ақпараттандыру объектілеріне қолжетімділік беруді;

5) осы Заңның 8-бабы 4-тармағының 3), 4), 5) және 6) тармақшаларында көзделген әрекеттерді тіркеуді және есепке алуды қамтамасыз ететін дербес деректерді қорғау жөніндегі қажетті шараларды қабылдауға міндетті.

2. Меншік иесінің және (немесе) оператордың, сондай-ақ үшінші тұлғаның дербес деректерді қорғау жөніндегі міндеттері дербес деректерді жинаған кезден бастап туындайды және олар жойылған не иесіздендірілген кезге дейін күшінде болады.

Ескерту. 22-бапқа өзгеріс енгізілді – ҚР 02.01.2021 № 399-VI (алғашқы ресми жарияланған күнінен кейін күнтізбелік он күн өткен соң қолданысқа енгізіледі); 30.12.2021 № 96-VII (алғашқы ресми жарияланған күнінен кейін күнтізбелік алпыс күн өткен соң қолданысқа енгізіледі); 19.04.2023 № 223-VII (алғашқы ресми жарияланған күнінен кейін күнтізбелік он күн өткен соң қолданысқа енгізіледі) Заңдарымен.

23-бап. Дербес деректерді қамтитын электрондық ақпараттық ресурстарды қорғау

Дербес деректерді қамтитын электрондық ақпараттық ресурстарды қорғау ерекшеліктері осы Заңға және Қазақстан Республикасының ақпараттандыру туралы заңнамасына сәйкес жүзеге асырылады.

Ескерту. 23-бап жаңа редакцияда – ҚР 02.01.2021 № 399-VI (алғашқы ресми жарияланған күнінен кейін күнтізбелік он күн өткен соң қолданысқа енгізіледі) Заңымен.

23-1-бап. Ерікті киберсақтандыру

1. Ерікті киберсақтандырудың мақсаты Қазақстан Республикасының сақтандыру ісі және сақтандыру қызметі туралы заңнамасына сәйкес субъектіге, меншік иесіне және (немесе) операторға, үшінші тұлғаға келтірілген мүліктік зиянды өтеу болып табылады.

2. Ерікті киберсақтандыру тараптардың ерік білдіруіне қарай жүзеге асырылады.

Ерікті киберсақтандырудың түрлері, шарттары мен тәртібі тараптардың келісімімен айқындалады.

Ескерту. 3-тарау 23-1-баппен толықтырылды - ҚР 25.06.2020 № 347-VI Заңымен (алғашқы ресми жарияланған күнінен кейін күнтізбелік он күн өткен соң қолданысқа енгізіледі).

4-тарау. СУБЪЕКТІНІҢ, МЕНШІК ИЕСІНІҢ ЖӘНЕ (НЕМЕСЕ) ОПЕРАТОРДЫҢ ҚҰҚЫҚТАРЫ МЕН МІНДЕТТЕРІ

24-бап. Субъектiнiң құқықтары мен міндеттері

1. Субъектінің:

1) меншік иесінде және (немесе) операторда, сондай-ақ үшінші тұлғада өз дербес деректерінің болуы туралы бiлуге, сондай-ақ:

дербес деректердi жинау және өңдеу фактісін, мақсаттарын, көздерін, тәсілдерін растауды;

дербес деректердің тiзбесiн;

дербес деректердi өңдеу мерзiмдерiн, оның iшiнде оларды сақтау мерзiмдерiн қамтитын ақпаратты алуға;

2) тиiстi құжаттармен расталған негiздер болған кезде, меншік иесінен және (немесе) оператордан өз дербес деректерін өзгертуді және толықтыруды талап етуге;

3) дербес деректердi жинау, өңдеу шарттарының бұзылғаны туралы ақпарат болған жағдайда, меншік иесінен және (немесе) оператордан, сондай-ақ үшінші тұлғадан өз дербес деректерін бұғаттауды талап етуге;

4) меншік иесінен және (немесе) оператордан, сондай-ақ үшінші тұлғадан Қазақстан Республикасының заңнамасын бұза отырып жиналған және өңделген өз дербес деректерін, сондай-ақ осы Заңда және Қазақстан Республикасының өзге де нормативтік құқықтық актілерінде белгіленген өзге де жағдайларда жоюды талап етуге;

5) осы Заңның 8-бабының 2-тармағында көзделген жағдайлардан басқа, дербес деректерді жинауға, өңдеуге, жалпыға бірдей қолжетімді көздерде таратуға, үшінші тұлғаларға беруге және трансшекаралық беруге келісімін кері қайтарып алуға;

6) меншік иесіне және (немесе) операторға дербес деректердің жалпыға бірдей қолжетімді көздерінде өз дербес деректерінің таратылуына келісім беруге (бас тартуға);

7) өз құқықтарының және заңды мүдделерінің қорғалуына, оның ішінде моральдық және материалдық зиянның өтелуіне;

8) осы Заңда және Қазақстан Республикасының өзге де заңдарында көзделген өзге де құқықтарды жүзеге асыруға құқығы бар.

2. Қазақстан Республикасының заңдарында белгіленген жағдайларда субъект өз дербес деректерін ұсынуға міндетті.

Ескерту. 24-бапқа өзгеріс енгізілді – ҚР 30.12.2021 № 96-VII (алғашқы ресми жарияланған күнінен кейін күнтізбелік алпыс күн өткен соң қолданысқа енгізіледі) Заңымен.

25-бап. Меншік иесінің және (немесе) оператордың, дербес деректерді өңдеуді ұйымдастыруға жауапты тұлғаның құқықтары мен міндеттері

Ескерту. 25-баптың тақырыбы жаңа редакцияда - ҚР 25.06.2020 № 347-VI Заңымен (алғашқы ресми жарияланған күнінен кейін күнтізбелік он күн өткен соң қолданысқа енгізіледі).

1. Меншік иесінің және (немесе) оператордың осы Заңда және Қазақстан Республикасының өзге де нормативтік құқықтық актілерінде көзделген тәртіппен дербес деректерді жинауды, өңдеуді жүзеге асыруға құқығы бар.

2. Меншік иесі және (немесе) оператор:

1) егер Қазақстан Республикасының заңдарында өзгеше көзделмесе, өздері жүзеге асыратын міндеттерді орындауы үшін қажетті және жеткілікті дербес деректердің тізбесін бекітуге;

1-1) оператордың дербес деректерді жинауға, өңдеуге және қорғауға қатысты саясатын айқындайтын құжаттарды бекітуге;

2) Қазақстан Республикасының заңнамасына сәйкес дербес деректерді қорғау үшін қажетті шараларды, оның ішінде құқықтық, ұйымдастырушылық және техникалық шараларды қолдануға және сақтауға;

3) Қазақстан Республикасының дербес деректер және оларды қорғау туралы заңнамасын сақтауға;

3-1) жеке және заңды тұлғалардың өтініштерін қарау шеңберінде уәкілетті органның сұрау салуы бойынша меншік иесінің және (немесе) оператордың осы Заңның талаптарын сақтауын қамтамасыз ету үшін пайдаланылатын тәсілдер мен рәсімдер туралы ақпарат беруге;

4) дербес деректерді жинау және өңдеу мақсаттарына қол жеткізген жағдайда, сондай-ақ осы Заңда және Қазақстан Республикасының өзге де нормативтік құқықтық актілерінде белгіленген өзге де жағдайларда оларды жою жөнінде шаралар қолдануға;

5) Қазақстан Республикасының заңнамасында көзделген жағдайларда, субъектінің дербес деректерін жинауға және өңдеуге оның келісімін алғаны туралы дәлелдемені ұсынуға;

6) субъектінің өтініші бойынша өзіне қатысты ақпаратты Қазақстан Республикасының заңнамасында көзделген мерзімдерде хабарлауға;

7) субъектіге немесе оның заңды өкіліне ақпарат беруден бас тартқан жағдайда Қазақстан Республикасының заңнамасында көзделген мерзімдерде дәлелді жауап ұсынуға;

8) бір жұмыс күні ішінде:

дербес деректердің анықтығын растайтын тиісті құжаттардың негiзiнде оларды өзгертуге және (немесе) толықтыруға немесе дербес деректерді өзгерту және (немесе) толықтыру мүмкін болмаған кезде оларды жоюға;

дербес деректерді жинау, өңдеу шарттарының бұзылғаны туралы ақпарат болған жағдайда, субъектіге қатысы бар дербес деректерді бұғаттауға;

дербес деректердi Қазақстан Республикасының заңнамасын бұза отырып жинау, өңдеу фактісі анықталған жағдайда, сондай-ақ осы Заңда және Қазақстан Республикасының өзге де нормативтік құқықтық актілерінде белгіленген өзге де жағдайларда оларды жоюға;

дербес деректерді жинау, өңдеу шарттарын бұзу фактісі расталмаған жағдайда, дербес деректерді бұғаттауды алып тастауға;

дербес деректер қауіпсіздігінің бұзылуы анықталған кезден бастап, дербес деректерді өңдеуді ұйымдастыруға жауапты адамның байланыс деректерін (болған кезде) көрсете отырып, осындай бұзушылық туралы уәкілетті органды хабардар етуге;

9) субъектіге немесе оның заңды өкіліне осы субъектіге қатысты дербес деректермен танысу мүмкіндігін өтеусіз беруге;

10) егер меншік иесі және (немесе) оператор заңды тұлғалар болып табылған жағдайда, дербес деректерді өңдеуді ұйымдастыруға жауапты тұлғаны тағайындауға міндетті.

Осы тармақтың бірінші бөлігі 10) тармақшасының күші соттар қызметінде дербес деректерді өңдеуге қолданылмайды.

3. Дербес деректерді өңдеуді ұйымдастыруға жауапты тұлға:

1) меншік иесінің және (немесе) оператордың және оның жұмыскерлерінің Қазақстан Республикасының дербес деректер және оларды қорғау туралы заңнамасын, оның ішінде дербес деректерді қорғауға қойылатын талаптарды сақтауына ішкі бақылауды жүзеге асыруға;

2) Қазақстан Республикасының дербес деректер және оларды қорғау туралы заңнамасының дербес деректерді өңдеу мәселелері жөніндегі ережелерін, дербес деректерді қорғауға қойылатын талапты меншік иесі және (немесе) оператор жұмыскерлерінің назарына жеткізуге;

3) субъектілердің немесе олардың заңды өкілдерінің өтініштерін қабылдау мен өңдеуге бақылауды жүзеге асыруға міндетті.

Ескерту. 25-бапқа өзгеріс енгізілді - ҚР 25.06.2020 № 347-VI (алғашқы ресми жарияланған күнінен кейін күнтізбелік он күн өткен соң қолданысқа енгізіледі); 30.12.2021 № 96-VII (алғашқы ресми жарияланған күнінен кейін күнтізбелік алпыс күн өткен соң қолданысқа енгізіледі); 11.12.2023 № 44-VIII (01.07.2024 бастап қолданысқа енгізіледі) Заңдарымен.

5-тарау. ДЕРБЕС ДЕРЕКТЕР ЖӘНЕ ОЛАРДЫ ҚОРҒАУ САЛАСЫНДАҒЫ МЕМЛЕКЕТТІК РЕТТЕУ

26-бап. Қазақстан Республикасы Үкіметінің құзыреті

Қазақстан Республикасының Үкіметі дербес деректер және оларды қорғау саласындағы мемлекеттік саясаттың негізгі бағыттарын әзірлейді.

Ескерту. 26-бап жаңа редакцияда – ҚР 19.04.2023 № 223-VII (алғашқы ресми жарияланған күнінен кейін күнтізбелік он күн өткен соң қолданысқа енгізіледі) Заңымен.

27-бап. Орталық мемлекеттік органдардың және облыстардың, республикалық маңызы бар қалалардың және астананың жергілікті атқарушы органдарының құзыреті

1. Мемлекеттік органдар өз құзыреті шегінде:

1) Қазақстан Республикасының дербес деректер және оларды қорғау саласындағы нормативтік құқықтық актілерін әзiрлейдi және (немесе) бекітеді;

2) жеке және (немесе) заңды тұлғалардың дербес деректер және оларды қорғау мәселелері жөніндегі жолданымдарын қарайды;

3) Қазақстан Республикасының дербес деректер және оларды қорғау туралы заңнамасының бұзылуына жол берген адамдарды Қазақстан Республикасының заңдарында белгіленген жауаптылыққа тарту жөніндегі шараларды қабылдайды;

4) Қазақстан Республикасының заңдарында, Қазақстан Республикасы Президентінің және Қазақстан Республикасы Үкіметінің актілерінде көзделген өзге де өкілеттіктерді жүзеге асырады.

2. Облыстың, республикалық маңызы бар қаланың және астананың жергілікті атқарушы органдары:

1) субъектінің немесе оның заңды өкілінің дербес деректер мазмұнының және оларды өңдеу тәсілдерінің оларды өңдеу мақсаттарына сәйкестігі туралы жолданымдарын қарайды және тиісті шешімдер қабылдайды;

2) тиісті әкімшілік-аумақтық бірлік шегінде жеке кәсіпкерлік субъектілеріне қатысты Қазақстан Республикасының дербес деректер және оларды қорғау туралы заңнамасының сақталуына мемлекеттік бақылауды жүзеге асырады;

4) меншік иесінен және (немесе) оператордан, сондай-ақ үшінші тұлғадан анық емес немесе заңсыз жолмен алынған дербес деректерді нақтылауды, бұғаттауды немесе жоюды талап етеді;

5) субъектілердің құқықтарын қорғауды жетілдіруге бағытталған шараларды жүзеге асырады;

6) жергілікті мемлекеттік басқару мүддесінде облыстың, республикалық маңызы бар қалалардың және астананың жергілікті атқарушы органдарына Қазақстан Республикасының заңнамасында жүктелетін өзге де өкілеттіктерді жүзеге асырады.

Ескерту. 27-бап жаңа редакцияда – ҚР 05.07.2024 № 115-VIII (алғашқы ресми жарияланған күнінен кейін күнтізбелік он күн өткен соң қолданысқа енгізіледі) Заңымен.

27-1-бап. Уәкілетті органның құзыреті

1. Уәкілетті орган өз құзыреті шегінде:

1) дербес деректер және оларды қорғау саласындағы мемлекеттік саясатты қалыптастырады және іске асырады;

1-1) Қазақстан Республикасының дербес деректер және оларды қорғау туралы заңнамасының сақталуын мемлекеттік бақылауды жүзеге асырады;

2) меншік иесінің және (немесе) оператордың, сондай-ақ үшінші тұлғаның дербес деректерді қорғау жөніндегі шараларды жүзеге асыру тәртібін әзірлейді;

2-1) меншік иесінің және (немесе) оператордың өздері жүзеге асыратын міндеттерді орындауна қажетті және жеткілікті дербес деректер тізбесін айқындау қағидаларын әзірлейді;

2-2) меншік иесінің және (немесе) оператордың өздері жүзеге асыратын міндеттерді орындау үшін қажетті және жеткілікті дербес деректердің тізбесін айқындау тәртібін анықтайды;

2-3) меншік иесінің және (немесе) оператордың, сондай-ақ үшінші тұлғаның дербес деректерді қорғау жөніндегі шараларды жүзеге асыру тәртібін анықтайды;

3) субъектінің немесе оның заңды өкілінің дербес деректер мазмұнының және оларды өңдеу тәсілдерінің оларды өңдеу мақсаттарына сәйкестігі туралы өтініштерін қарайды және тиісті шешім қабылдайды;

4) Қазақстан Республикасының дербес деректер және оларды қорғау туралы заңнамасын бұзуға жол берген тұлғаларды Қазақстан Республикасының заңдарында белгіленген жауаптылыққа тарту бойынша шаралар қабылдайды;

5) меншік иесінен және (немесе) оператордан, сондай-ақ үшінші тұлғадан анық емес немесе заңсыз жолмен алынған дербес деректерді нақтылауды, бұғаттауды немесе жоюды талап етеді;

6) субъектілер құқықтарын қорғауды жетілдіруге бағытталған шараларды жүзеге асырады;

6-1) дербес деректер және оларды қорғау мәселелері жөніндегі консультативтік кеңес құрады, сондай-ақ оны қалыптастыру және оның қызметінің тәртібін айқындайды;

6-2) осы Заңда және Қазақстан Республикасының өзге де нормативтік құқықтық актілерінде көзделген мақсаттарда "электрондық үкіметтің" ақпараттық-коммуникациялық инфрақұрылымы операторына субъектілердің құқықтары мен заңды мүдделерінің бұзылу тәуекеліне алып келетін дербес деректер қауіпсіздігінің бұзылуы туралы ақпаратты жібереді;

7) дербес деректерді жинау, өңдеу қағидаларын бекітеді;

7-1) Қазақстан Республикасы Ұлттық қауіпсіздік комитетімен келісу бойынша электрондық ақпараттық ресурстардағы қолжетімділігі шектеулі дербес деректерді сақтау, өңдеу және тарату процестерінің қорғалуын қамтамасыз етуге зерттеп-қарауды жүзеге асыру қағидаларын бекітеді;

7-2) дербес деректерге қол жеткізуді мемлекеттік бақылау сервисінің жұмыс істеу қағидаларын бекітеді;

7-3) мемлекеттік емес ақпараттандыру объектілерінің мемлекеттік органдардың және (немесе) мемлекеттік заңды тұлғалардың ақпараттандыру объектілерімен дербес деректерді беру жүзеге асырылатын және (немесе) дербес деректерге қолжетімділік берілетін интеграциялануын келіседі;

7-4) дербес деректерге қол жеткізуді мемлекеттік бақылау сервисімен интеграциялау қағидаларын бекітеді;

8) осы Заңда, Қазақстан Республикасының өзге де заңдарында, Қазақстан Республикасы Президентінің және Қазақстан Республикасы Үкіметінің актілерінде көзделген өзге де өкілеттіктерді жүзеге асырады.

2. Уәкілетті органға өз қызметін жүзеге асыру барысында белгілі болған дербес деректерге қатысты дербес деректердің құпиялылығы қамтамасыз етілуге тиіс.

Ескерту. 5-тарау 27-1-баппен толықтырылды - ҚР 25.06.2020 № 347-VI (алғашқы ресми жарияланған күнінен кейін күнтізбелік он күн өткен соң қолданысқа енгізіледі); өзгеріс енгізілді – ҚР 2.01.2021 № 399-VI (алғашқы ресми жарияланған күнінен кейін күнтізбелік он күн өткен соң қолданысқа енгізіледі); 30.12.2021 № 96-VII (алғашқы ресми жарияланған күнінен кейін күнтізбелік алпыс күн өткен соң қолданысқа енгізіледі); 19.04.2023 № 223-VII (алғашқы ресми жарияланған күнінен кейін күнтізбелік он күн өткен соң қолданысқа енгізіледі); 11.12.2023 № 44-VIII (алғашқы ресми жарияланған күнінен кейін күнтізбелік алпыс күн өткен соң қолданысқа енгізіледі) Заңдарымен.

27-2-бап. Қазақстан Республикасының дербес деректер және оларды қорғау туралы заңнамасының сақталуын мемлекеттік бақылау

Егер осы баптың екінші және үшінші бөліктерінде өзгеше белгіленбесе, Қазақстан Республикасының дербес деректер және оларды қорғау туралы заңнамасының сақталуын мемлекеттік бақылау Қазақстан Республикасының Кәсіпкерлік кодексіне сәйкес жоспардан тыс тексеру нысанында жүзеге асырылады.

Мемлекеттік органдарға қатысты Қазақстан Республикасының дербес деректер және оларды қорғау туралы заңнамасының сақталуын мемлекеттік бақылау осы Заңға сәйкес жүзеге асырылады.

Қазақстан Республикасының Ұлттық Банкі мен оның ұйымдарына қатысты Қазақстан Республикасының дербес деректер және оларды қорғау туралы заңнамасының сақталуын мемлекеттік бақылау Қазақстан Республикасының Кәсіпкерлік кодексіне, осы Заңға және "Қазақстан Республикасының Ұлттық Банкі туралы" Қазақстан Республикасының Заңына сәйкес жүзеге асырылады.

Ескерту. 27-2-баппен толықтырылды – ҚР 11.12.2023 № 44-VIII (алғашқы ресми жарияланған күнінен кейін күнтізбелік алпыс күн өткен соң қолданысқа енгізіледі) Заңымен.

27-3-бап. Мемлекеттік органдарға қатысты Қазақстан Республикасының дербес деректер және оларды қорғау туралы заңнамасының сақталуын мемлекеттік бақылауды жүргізу тәртібі

1. Мемлекеттік органдарға (бұдан әрі – бақылау субъектілері) қатысты Қазақстан Республикасының дербес деректер және оларды қорғау туралы заңнамасының сақталуын мемлекеттік бақылауды уәкілетті орган тексерулер нысанында жүргізеді.

Тексерулер мерзімді және жоспардан тыс болып бөлінеді.

Бақылау субъектілеріне қатысты мерзімді тексерулер мынадай ақпарат көздеріне:

1) алдыңғы тексерулердің нәтижелеріне;

2) есептілік пен мәліметтер мониторингінің нәтижелеріне;

3) мемлекеттік органдардың интернет-ресурстарын талдау нәтижелеріне;

4) мемлекеттік техникалық қызметтің мәліметтеріне сәйкес жүзеге асырылады.

2. Мерзімді тексерулер уәкілетті органның бірінші басшысы бекіткен мерзімді тексерулер жүргізу жоспарына сәйкес жылына бір реттен жиі болмайтындай кезеңділікпен жүргізіледі.

Уәкілетті орган мерзімді тексерулер жүргізу жоспарын тексерулер жылының алдындағы жылдың 1 желтоқсанынан кешіктірмей бекітеді.

Мерзімді тексерулер жүргізу жоспары уәкілетті органның интернет-ресурсында тексерулер жылының алдындағы жылдың 20 желтоқсанынан кешіктірілмей орналастырылады.

Мерзімді тексерулер жүргізу жоспарында мыналар:

1) жоспардың бекітілген нөмірі мен күні;

2) мемлекеттік органның атауы;

3) бақылау субъектісінің атауы;

4) бақылау субъектісінің (объектісінің) тұрған жері;

5) тексеру жүргізу мерзімдері;

6) тексеру нысанасы;

7) жоспарға қол қоюға уәкілеттік берілген адамның қолтаңбасы қамтылады.

Мерзімді тексерулер жүргізу жоспарына өзгерістер мен толықтырулар енгізу бақылау субъектісі таратылған, қайта ұйымдастырылған, оның атауы өзгертілген немесе бақылау субъектілері арасында өкілеттіктер қайта бөлінген жағдайларда жүзеге асырылады.

3. Мынадай:

1) бақылау субъектісіне жеке және заңды тұлғалардан келіп түскен, Қазақстан Республикасының дербес деректер және оларды қорғау туралы заңнамасы талаптарының бұзылуы туралы расталған өтініштер болған;

2) құқықтары мен заңды мүдделері бұзылған жеке және заңды тұлғалар жүгінген;

3) жеке және заңды тұлғалардың, мемлекеттің құқықтары мен заңды мүдделеріне зиян келтірудің не зиян келтіру қаупінің нақты фактілері бойынша прокурор талап еткен;

4) жеке және заңды тұлғалардың, мемлекеттің құқықтары мен заңды мүдделеріне зиян келтірудің нақты фактілері бойынша, сондай-ақ жойылмауы жеке және заңды тұлғалардың құқықтары мен заңды мүдделеріне зиян келтіруге алып келетін Қазақстан Республикасы заңнамасы талаптарының бұзылуының нақты фактілері бойынша мемлекеттік органдар жүгінген;

5) бақылау субъектісінің бастапқы тексерумен келіспейтіні туралы жүгінуіне байланысты қайта тексеру жүргізілген;

6) қылмыстық қудалау органының Қазақстан Республикасының Қылмыстық-процестік кодексінде көзделген негіздер бойынша тапсырмасы болған;

7) тексеру нәтижелері туралы актінің орындалуына бақылау жүргізу қажет болған жағдайларда уәкілетті орган тағайындайтын тексеру жоспардан тыс тексеру болып табылады.

4. Тексеру жүргізу кезінде уәкілетті органның лауазымды адамдарының:

1) осы баптың 8-тармағында көрсетілген құжаттарды көрсеткен кезде тексеру нысанасына сәйкес бақылау субъектісінің (объектісінің) аумағына және үй-жайларына кедергісіз кіруге;

2) тексеру нәтижелері туралы актіге қосу үшін қағаз және электрондық жеткізгіштердегі құжаттарды (мәліметтерді) не олардың көшірмелерін алуға, сондай-ақ мемлекеттік құпиялар және заңмен қорғалатын өзге де құпиялар туралы талаптарды сақтай отырып, тексеру нысанасына сәйкес автоматтандырылған дерекқорларға (ақпараттық жүйелерге) қолжетімділік алуға;

3) аудио-, фото- және бейнетүсірілімді жүзеге асыруға;

4) мемлекеттік органдардың, ведомстволық бағынысты және өзге де ұйымдардың мамандарын, консультанттарын және сарапшыларын тартуға құқығы бар.

5. Бақылау субъектілері не олардың уәкілетті өкілдері тексеру жүргізу кезінде:

1) уәкілетті органның тексеру жүргізу үшін келген лауазымды адамдарын мынадай:

тексеруді тағайындау туралы актіде көрсетілген, осы бапта белгіленген мерзімдерге сәйкес келмейтін мерзімдер асып кеткен не өткен;

осы баптың 8-тармағында көзделген құжаттар болмаған жағдайларда, тексеру жүргізуге жібермеуге;

2) тексеру нәтижелері туралы актіге Қазақстан Республикасының заңнамасында белгіленген тәртіппен шағым жасауға құқылы.

6. Бақылау субъектілері не олардың уәкілетті өкілдері тексеру жүргізу кезінде:

1) уәкілетті органның лауазымды адамдарының бақылау субъектісінің (объектісінің) аумағына және үй-жайларына кедергісіз кіруін қамтамасыз етуге;

2) уәкілетті органның лауазымды адамдарына тексеру нәтижелері туралы актіге қосу үшін қағаз және электрондық жеткізгіштердегі құжаттарды (мәліметтерді) не олардың көшірмелерін, сондай-ақ мемлекеттік құпиялар және заңмен қорғалатын өзге де құпиялар туралы талаптарды сақтай отырып, тексеру нысанасына сәйкес автоматтандырылған дерекқорларға (ақпараттық жүйелерге) қолжетімділік ұсынуға;

3) тексеруді тағайындау туралы актінің және тексеру нәтижелері туралы актінің екінші данасына ол аяқталған күні белгі қоюға;

4) осы объект үшін белгіленген нормативтерге сәйкес, зиянды және қауіпті өндірістік әсер ету факторларынан тексеру жүргізу үшін келген адамдардың қауіпсіздігін қамтамасыз етуге міндетті.

7. Тексеруді тағайындау туралы актінің негізінде тексеру жүргізіледі.

Тексеруді тағайындау туралы актіде:

1) актінің күні мен нөмірі;

2) мемлекеттік органның атауы;

3) тексеру жүргізуге уәкілеттік берілген адамның (адамдардың) тегі, аты, әкесінің аты (егер ол жеке басты куәландыратын құжатта көрсетілсе) және лауазымы;

4) мемлекеттік органдардың, ведомстволық бағынысты және өзге де ұйымдардың тексеру жүргізу үшін тартылатын мамандары, консультанттары мен сарапшылары туралы мәліметтер;

5) бақылау субъектісінің атауы, оның тұрған жері көрсетіледі.

Мемлекеттік органның құрылымдық бөлімшесі тексерілген жағдайда тексеруді тағайындау туралы актіде оның атауы мен тұрған жері көрсетіледі;

6) тексеру нысанасы;

7) тексеру түрі;

8) тексеру жүргізу мерзімі;

9) тексеруді жүргізудің негіздемесі;

10) тексерілетін кезең;

11) бақылау субъектісінің құқықтары мен міндеттері;

12) бақылау субъектісі басшысының не оның уәкілетті адамының актіні алғаны немесе алудан бас тартқаны туралы қолтаңбасы;

13) актіге қол қоюға уәкілеттік берілген адамның қолтаңбасы көрсетіледі.

Тексеру жүргізу кезінде уәкілетті орган тексеру жүргізу нысанасын көрсете отырып, бақылау субъектісіне тексеру жүргізудің басталатыны туралы оның басталуына кемінде бір тәулік қалғанда хабарлауға міндетті.

Бақылау субъектісіне тексеруді тағайындау туралы акт табыс етілген күн тексеру жүргізудің басталуы болып есептеледі.

8. Уәкілетті органның тексеру үшін объектіге келген лауазымды адамдары бақылау субъектісіне:

1) тексеруді тағайындау туралы актіні;

2) қызметтік куәлігін не сәйкестендіру картасын;

3) қажет болған кезде – құзыретті органның режимдік объектілерге баруға арналған рұқсатын көрсетуге міндетті.

9. Тексеру жүргізу мерзімі тексеру нысанасы, сондай-ақ алдағы жұмыстардың көлемі ескеріліп белгіленеді және он жұмыс күнінен аспауға тиіс.

Тексеру жүргізу мерзімі он бес жұмыс күнінен аспайтын мерзімге бір рет қана ұзартылуы мүмкін. Ұзарту уәкілетті орган басшысының шешімімен жүзеге асырылады.

Тексеру жүргізу мерзімдерін ұзарту бақылау субъектісі хабардар етіле отырып, тексеру мерзімдерін ұзарту туралы қосымша актімен ресімделеді, онда тексеруді тағайындау туралы алдыңғы акт бұйрығының күні мен нөмірі және ұзарту себептері көрсетіледі.

Тексеру мерзімдерін ұзарту туралы хабарламаны уәкілетті орган табыс ету туралы хабарламамен бірге, ұзартуға дейін бір жұмыс күні бұрын бақылау субъектісіне табыс етеді.

10. Тексеру нәтижелері бойынша уәкілетті органның тексеруді жүзеге асыратын лауазымды адамдары тексеру нәтижелері туралы акт жасайды.

Тексеру нәтижелері туралы актінің бірінші данасы өз құзыреті шегінде мемлекеттік құқықтық статистика және арнайы есепке алу саласындағы қызметті жүзеге асыратын мемлекеттік органға электрондық нысанда тапсырылады, бақылау субъектісінде түпнұсқа түрінде болатын құжаттардың көшірмелерін қоспағанда, қосымшалардың көшірмелерімен бірге екінші данасы бақылау субъектісіне (басшыға не оның уәкілетті адамына) танысу және анықталған бұзушылықтарды жою бойынша шаралар қабылдау және басқа да әрекеттер үшін қолын қойғызып қағаз жеткізгіште немесе электрондық нысанда табыс етіледі, үшінші данасы уәкілетті органда қалады.

11. Тексеру нәтижелері туралы актіде:

1) актінің жасалған күні, уақыты және орны;

2) мемлекеттік органның атауы;

3) тексеруді тағайындау туралы актінің (бар болған кезде мерзімін ұзарту туралы қосымша актінің) нөмірі мен күні;

4) тексеру жүргізген адамның (адамдардың) тегі, аты, әкесінің аты (егер ол жеке басты куәландыратын құжатта көрсетілсе) және лауазымы;

5) мемлекеттік органдардың, ведомстволық бағынысты және өзге де ұйымдардың тексеру жүргізу үшін тартылатын мамандары, консультанттары мен сарапшылары туралы мәліметтер;

6) бақылау субъектісінің атауы, оның тұрған жері;

7) тексеру нысанасы;

8) тексеру түрі;

9) тексеру жүргізу мерзімі мен кезеңі;

10) тексеру нәтижелері туралы, оның ішінде анықталған бұзушылықтар және олардың сипаты туралы мәліметтер;

11) орындалу мерзімі көрсетіле отырып, Қазақстан Республикасының дербес деректер және оларды қорғау туралы заңнамасы талаптарының анықталған бұзушылықтарын жою туралы талаптар;

12) бақылау субъектісі басшысының не оның уәкілетті адамының, сондай-ақ тексеру жүргізу кезінде қатысқан адамдардың актімен танысқаны немесе танысудан бас тартқаны туралы мәліметтер, олардың қолтаңбалары немесе қол қоюдан бас тартқаны туралы жазба;

13) тексеруді жүргізген лауазымды адамдардың қолтаңбалары көрсетіледі.

Тексеру нәтижелері туралы актіге тексеру нәтижелерімен байланысты құжаттар (бар болған кезде) және олардың көшірмелері қоса беріледі.

12. Тексеру нәтижелері бойынша ескертулер және (немесе) қарсылықтар болған жағдайда, бақылау субъектісі оларды жазбаша түрде баяндайды. Ескертулер және (немесе) қарсылықтар тексеру нәтижелері туралы актіге қоса беріледі, бұл туралы тиісті белгі жасалады.

Уәкілетті орган бақылау субъектісінің тексеру нәтижелері туралы актіге ескертулерін және (немесе) қарсылықтарын қарауға және он бес жұмыс күні ішінде уәжді жауап беруге тиіс.

Тексеру нәтижелері туралы актіні қабылдаудан бас тартылған жағдайда акт жасалады, оған тексеруді жүзеге асыратын лауазымды адамдар және бақылау субъектісінің басшысы не оның уәкілетті өкілі қол қояды.

Бақылау субъектісі бас тартудың себебі туралы жазбаша түсініктеме беріп, актіге қол қоюдан бас тартуға құқылы.

13. Тексеруді тағайындау туралы актіде немесе тексеру мерзімдерін ұзарту туралы қосымша актіде көрсетілген тексерудің аяқталу мерзімінен кешіктірмей, бақылау субъектісіне тексеру нәтижелері туралы актіні табыс еткен күн тексеру мерзімінің аяқталуы болып есептеледі.

14. Тексеру нәтижелері туралы актіні орындау мерзімдері оны орындаудың нақты мүмкіндігіне әсер ететін мән-жайлар ескеріле отырып, бірақ тексеру нәтижелері туралы акт табыс етілген күннен бастап кемінде күнтізбелік он күн болып айқындалады.

15. Тексеру нәтижелері туралы актіні орындау мерзімдерін айқындау кезінде:

1) бақылау субъектісінде бұзушылықтарды жою бойынша ұйымдастырушылық, техникалық мүмкіндіктердің болуы;

2) мемлекеттік органдарда Қазақстан Республикасының заңдарында белгіленген міндетті қорытындыларды, келісулерді және басқа да құжаттарды алу мерзімдері ескеріледі.

16. Анықталған бұзушылықтарды жоюдың тексеру нәтижелері туралы актіде белгіленген мерзімі өткеннен кейін бақылау субъектісі тексеру нәтижелері туралы актіде белгіленген мерзім ішінде уәкілетті органға анықталған бұзушылықтарды жою туралы ақпаратты растаушы құжаттармен қоса беруге міндетті.

Анықталған бұзушылықтарды жою туралы ақпарат берілмеген жағдайда уәкілетті орган осы баптың 3-тармағының 7) тармақшасына сәйкес жоспардан тыс тексеруді тағайындауға құқылы.

17. Тексеруді жүзеге асыру кезінде бақылау субъектісінің құқықтары мен заңды мүдделері бұзылған жағдайда бақылау субъектісі уәкілетті органның лауазымды адамдарының шешімдеріне, әрекеттеріне (әрекетсіздігіне) жоғары тұрған лауазымды адамға не Қазақстан Республикасының заңнамасында белгіленген тәртіппен сотқа шағым жасауға құқылы.

Ескерту. 27-3-баппен толықтырылды – ҚР 11.12.2023 № 44-VIII (алғашқы ресми жарияланған күнінен кейін күнтізбелік алпыс күн өткен соң қолданысқа енгізіледі) Заңымен.

28-бап. Осы Заңның қолданылуын қадағалау

1. Прокуратура органдары дербес деректер және оларды қорғау саласындағы заңдылықтың сақталуына жоғары қадағалауды жүзеге асырады.

2. "Прокуратура туралы" Қазақстан Республикасының Конституциялық заңында белгіленген негізде және тәртіппен шығарылған прокурорлық қадағалау актілері барлық органдар, ұйымдар, лауазымды адамдар мен азаматтар үшін міндетті.

Ескерту. 28-бапқа өзгеріс енгізілді - ҚР 11.07.2017 № 91-VI (алғашқы ресми жарияланған күнінен кейін күнтізбелік он күн өткен соң қолданысқа енгізіледі); 05.11.2022 № 157-VII (алғашқы ресми жарияланған күнінен кейін күнтізбелік он күн өткен соң қолданысқа енгізіледі) Заңдарымен.

6-тарау. ҚОРЫТЫНДЫ ЖӘНЕ ӨТПЕЛІ ЕРЕЖЕЛЕР

29-бап. Қазақстан Республикасының дербес деректер және оларды қорғау туралы заңнамасын бұзғаны үшiн жауаптылық

Қазақстан Республикасының дербес деректер және оларды қорғау туралы заңнамасын бұзу Қазақстан Республикасының заңдарына сәйкес жауаптылыққа әкеп соғады.

30-бап. Дауларға шағым жасау және оларды қарау тәртібі

Субъектінің, меншік иесінің және (немесе) оператордың, сондай-ақ үшінші тұлғаның дербес деректерді жинау, өңдеу және қорғау кезіндегі іс-әрекеттеріне (әрекетсіздігіне) Қазақстан Республикасының заңдарында белгіленген тәртіппен шағым жасалуы мүмкін.

Дербес деректерді жинау, өңдеу және қорғау кезінде туындайтын даулар Қазақстан Республикасының заңдарында белгіленген тәртіппен қаралуға жатады.

31-бап. Осы Заңды қолданысқа енгiзу тәртiбi

1. Осы Заң алғашқы ресми жарияланғанынан кейiн алты ай өткен соң қолданысқа енгiзiледi.

2. Меншік иелері және (немесе) операторлар нормативтік құқықтық актілерді және өзге де құжаттарды осы Заң қолданысқа енгізілген күннен бастап үш ай мерзім ішінде осы Заңның талаптарына сәйкес келтіруге міндетті.

3. Осы Заң қолданысқа енгізілгенге дейін Қазақстан Республикасының заңнамасына сәйкес жүзеге асырылған дербес деректерді жинау, өңдеу, егер осы деректерді одан әрі өңдеу және қорғау оларды жинау мақсаттарына сай болса, осы Заңның талаптарына сәйкес келеді деп танылады.

Қазақстан Республикасының
Президенті

Н. НАЗАРБАЕВ

Вниманию пользователей!
Для удобства пользования РЦПИ создано ОГЛАВЛЕНИЕ

Настоящий Закон регулирует общественные отношения в сфере персональных данных, а также определяет цель, принципы и правовые основы деятельности, связанные со сбором, обработкой и защитой персональных данных.

Глава 1. ОБЩИЕ ПОЛОЖЕНИЯ

Статья 1. Основные понятия, используемые в настоящем Законе

В настоящем Законе используются следующие основные понятия:

1) биометрические данные – персональные данные, которые характеризуют физиологические и биологические особенности субъекта персональных данных, на основе которых можно установить его личность;

2) персональные данные – сведения, относящиеся к определенному или определяемому на их основании субъекту персональных данных, зафиксированные на электронном, бумажном и (или) ином материальном носителе;

2-1) государственный сервис контроля доступа к персональным данным (далее – государственный сервис) – услуга, обеспечивающая информационное взаимодействие собственников и (или) операторов, третьих лиц с субъектом персональных данных и уполномоченным органом при доступе к персональным данным, содержащимся в объектах информатизации государственных органов и (или) государственных юридических лиц, включая получение от субъекта персональных данных согласия на сбор, обработку персональных данных или их передачу третьим лицам;

2-2) негосударственный сервис контроля доступа к персональным данным (далее – негосударственный сервис) – услуга, обеспечивающая информационное взаимодействие собственников и (или) операторов, третьих лиц с субъектом персональных данных при доступе к персональным данным, содержащимся в негосударственных объектах информатизации, включая получение от субъекта персональных данных согласия на сбор, обработку персональных данных или их передачу третьим лицам;

3) блокирование персональных данных – действия по временному прекращению сбора, накопления, изменения, дополнения, использования, распространения, обезличивания и уничтожения персональных данных;

4) накопление персональных данных – действия по систематизации персональных данных путем их внесения в базу, содержащую персональные данные;

5) сбор персональных данных – действия, направленные на получение персональных данных;

6) уничтожение персональных данных – действия, в результате совершения которых невозможно восстановить персональные данные;

7) обезличивание персональных данных – действия, в результате совершения которых определение принадлежности персональных данных субъекту персональных данных невозможно;

8) база, содержащая персональные данные (далее – база), – совокупность упорядоченных персональных данных;

9) собственник базы, содержащей персональные данные (далее – собственник), – государственный орган, физическое и (или) юридическое лицо, реализующие в соответствии с законами Республики Казахстан право владения, пользования и распоряжения базой, содержащей персональные данные;

10) оператор базы, содержащей персональные данные (далее – оператор), – государственный орган, физическое и (или) юридическое лицо, осуществляющие сбор, обработку и защиту персональных данных;

11) защита персональных данных – комплекс мер, в том числе правовых, организационных и технических, осуществляемых в целях, установленных настоящим Законом;

11-1) уполномоченный орган в сфере защиты персональных данных (далее – уполномоченный орган) – центральный исполнительный орган, осуществляющий руководство в сфере защиты персональных данных;

11-2) Исключен Законом РК от 30.12.2021 № 96-VII (вводится в действие по истечении шестидесяти календарных дней после дня его первого официального опубликования).

12) обработка персональных данных – действия, направленные на накопление, хранение, изменение, дополнение, использование, распространение, обезличивание, блокирование и уничтожение персональных данных;

13) использование персональных данных – действия с персональными данными, направленные на реализацию целей деятельности собственника, оператора и третьего лица;

14) хранение персональных данных – действия по обеспечению целостности, конфиденциальности и доступности персональных данных;

15) распространение персональных данных – действия, в результате совершения которых происходит передача персональных данных, в том числе посредством масс-медиа, или предоставление доступа к персональным данным каким-либо иным способом;

15-1) нарушение безопасности персональных данных – нарушение защиты персональных данных, повлекшее незаконное распространение, изменение и уничтожение, несанкционированное распространение передаваемых, хранимых или иным образом обрабатываемых персональных данных или несанкционированный доступ к ним;

16) субъект персональных данных (далее – субъект) – физическое лицо, к которому относятся персональные данные;

17) третье лицо – лицо, не являющееся субъектом, собственником и (или) оператором, но связанное с ними (ним) обстоятельствами или правоотношениями по сбору, обработке и защите персональных данных.

Сноска. Статья 1 с изменениями, внесенными законами РК от 25.06.2020 № 347-VI (вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования); от 30.12.2021 № 96-VII (вводится в действие по истечении шестидесяти календарных дней после дня его первого официального опубликования); от 11.12.2023 № 44-VIII (вводится в действие по истечении шестидесяти календарных дней после дня его первого официального опубликования); от 19.06.2024 № 94-VIII (вводится в действие по истечении шестидесяти календарных дней после дня его первого официального опубликования).

Статья 2. Цель настоящего Закона

Целью настоящего Закона является обеспечение защиты прав и свобод человека и гражданина при сборе и обработке его персональных данных.

Статья 3. Действие настоящего Закона

1. Настоящим Законом регулируются отношения, связанные со сбором, обработкой и защитой персональных данных.

2. Особенности сбора, обработки и защиты персональных данных могут регулироваться иными законами и актами Президента Республики Казахстан.

3. Действие настоящего Закона не распространяется на отношения, возникающие при:

1) сборе, обработке и защите персональных данных субъектами исключительно для личных и семейных нужд, если при этом не нарушаются права других физических и (или) юридических лиц и требования законов Республики Казахстан;

2) формировании, хранении и использовании документов Национального архивного фонда Республики Казахстан и других архивных документов, содержащих персональные данные, в соответствии с законодательством Республики Казахстан о Национальном архивном фонде и архивах;

3) сборе, обработке и защите персональных данных, отнесенных к государственным секретам в соответствии с Законом Республики Казахстан "О государственных секретах";

4) сборе, обработке и защите персональных данных в ходе разведывательной, контрразведывательной, оперативно-розыскной деятельности, а также осуществлении охранных мероприятий по обеспечению безопасности охраняемых лиц и объектов в пределах, установленных законами Республики Казахстан.

Статья 4. Законодательство Республики Казахстан о персональных данных и их защите

1. Законодательство Республики Казахстан о персональных данных и их защите основывается на Конституции Республики Казахстан и состоит из настоящего Закона и иных нормативных правовых актов Республики Казахстан.

2. Если международным договором, ратифицированным Республикой Казахстан, установлены иные правила, чем те, которые содержатся в настоящем Законе, то применяются правила международного договора.

Статья 5. Принципы сбора, обработки и защиты персональных данных

Сбор, обработка и защита персональных данных осуществляются в соответствии с принципами:

1) соблюдения конституционных прав и свобод человека и гражданина;

2) законности;

3) конфиденциальности персональных данных ограниченного доступа;

4) равенства прав субъектов, собственников и операторов;

5) обеспечения безопасности личности, общества и государства.

Глава 2. СБОР И ОБРАБОТКА ПЕРСОНАЛЬНЫХ ДАННЫХ

Статья 6. Доступность персональных данных

Персональные данные по доступности подразделяются на общедоступные и ограниченного доступа.

Общедоступными персональными данными являются персональные данные или сведения, на которые в соответствии с законами Республики Казахстан не распространяются требования соблюдения конфиденциальности, доступ к которым является свободным с согласия субъекта.

Сведения о субъекте, сбор и обработка которых произведены с нарушением законодательства Республики Казахстан, исключаются из общедоступных источников персональных данных в течение одного рабочего дня по требованию субъекта или его законного представителя либо по решению суда или иных уполномоченных государственных органов.

При этом расходы, возникающие при уничтожении персональных данных с общедоступных источников персональных данных, возлагаются на собственника и (или) оператора, третье лицо.

Объем расходов, возникающих при отзыве согласия субъекта или его законного представителя на распространение его персональных данных в общедоступных источниках персональных данных, связанных с уничтожением персональных данных с общедоступных источников персональных данных, а также лица, на которые возлагаются данные расходы, в случае возникновения необходимости определяются в судебном порядке.

Персональными данными ограниченного доступа являются персональные данные, доступ к которым ограничен законодательством Республики Казахстан.

Сноска. Статья 6 - в редакции Закона РК от 25.06.2020 № 347-VI (вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования); с изменениями, внесенными законами РК от 30.12.2021 № 96-VII (вводится в действие по истечении шестидесяти календарных дней после дня его первого официального опубликования); от 14.07.2022 № 141-VII (вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования).

Статья 7. Условия сбора, обработки персональных данных и особенности сбора, обработки персональных данных из общедоступных источников

1. Сбор, обработка персональных данных осуществляются собственником и (или) оператором, а также третьим лицом с согласия субъекта или его законного представителя в порядке, определяемом уполномоченным органом, за исключением случаев, предусмотренных пунктом 5 настоящей статьи и статьей 9 настоящего Закона.

2. Сбор, обработка персональных данных умершего (признанного судом безвестно отсутствующим или объявленного умершим) субъекта осуществляются в соответствии с законодательством Республики Казахстан.

3. Распространение персональных данных в общедоступных источниках допускается при наличии согласия субъекта или его законного представителя.

4. Требования пункта 3 настоящей статьи не распространяются на обладателей информации в случаях публикации информации, обязанность размещения которой установлена законами Республики Казахстан.

5. Допускается повторный сбор, обработка и распространение третьими лицами персональных данных, опубликованных на основании пунктов 3 и 4 настоящей статьи, при условии наличия ссылки на источник информации.

6. Обработка персональных данных в виде трансграничной передачи персональных данных, за исключением случаев, предусмотренных статьей 16 настоящего Закона, распространения персональных данных в общедоступных источниках, а также их передачи третьим лицам осуществляется при условии согласия субъекта.

7. Особенности сбора, обработки персональных данных в электронных информационных ресурсах, содержащих персональные данные, устанавливаются в соответствии с законодательством Республики Казахстан об информатизации с учетом положений настоящего Закона.

8. Обработка персональных данных должна ограничиваться достижением конкретных, заранее определенных и законных целей. Не допускается обработка персональных данных, несовместимая с целями сбора персональных данных.

9. Не подлежат обработке персональные данные, содержание и объем которых являются избыточными по отношению к целям их обработки.

10. Запрещаются сбор, обработка копий документов, удостоверяющих личность, на бумажном носителе, за исключением случаев отсутствия интеграции с объектами информатизации государственных органов и (или) государственных юридических лиц, невозможности идентификации субъекта с использованием технологических средств, а также в иных случаях, предусмотренных законами Республики Казахстан.

Исключительные случаи сбора, обработки копий документов, удостоверяющих личность, на бумажном носителе, предусмотренные частью первой настоящего пункта, не распространяются на использование и представление документов, удостоверяющих личность, формируемых посредством сервиса цифровых документов.

Сноска. Статья 7 - в редакции Закона РК от 30.12.2021 № 96-VII (вводится в действие по истечении шестидесяти календарных дней после дня его первого официального опубликования); с изменением, внесенным Законом РК от 11.12.2023 № 44-VIII (вводится в действие по истечении шестидесяти календарных дней после дня его первого официального опубликования).

Статья 8. Порядок дачи (отзыва) согласия субъекта на сбор, обработку персональных данных

1. Субъект или его законный представитель дает (отзывает) согласие на сбор, обработку персональных данных письменно, посредством государственного сервиса, негосударственного сервиса либо иным способом, позволяющим подтвердить получение согласия.

При сборе и (или) обработке персональных данных, содержащихся в объектах информатизации государственных органов и (или) государственных юридических лиц, согласие предоставляется посредством государственного сервиса.

2. Субъект или его законный представитель не может отозвать согласие на сбор, обработку персональных данных в случаях, если это противоречит законам Республики Казахстан, либо при наличии неисполненного обязательства.

3. Исключен Законом РК от 30.12.2021 № 96-VII (вводится в действие по истечении шестидесяти календарных дней после дня его первого официального опубликования).

4. Согласие на сбор и обработку персональных данных включает:

1) наименование (фамилию, имя, отчество (если оно указано в документе, удостоверяющем личность), бизнес-идентификационный номер (индивидуальный идентификационный номер) оператора;

2) фамилию, имя, отчество (если оно указано в документе, удостоверяющем личность) субъекта;

3) срок или период, в течение которого действует согласие на сбор, обработку персональных данных;

4) сведения о возможности оператора или ее отсутствии передавать персональные данные третьим лицам;

5) сведения о наличии либо отсутствии трансграничной передачи персональных данных в процессе их обработки;

6) сведения о распространении персональных данных в общедоступных источниках;

7) перечень собираемых данных, связанных с субъектом;

8) иные сведения, определяемые собственником и (или) оператором.

Сноска. Статья 8 с изменениями, внесенными законами РК от 17.11.2015 № 408-V (вводится в действие с 01.03.2016); от 25.06.2020 № 347-VI (вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования); от 30.12.2021 № 96-VII (вводится в действие по истечении шестидесяти календарных дней после дня его первого официального опубликования).

Статья 8-1. Государственный сервис

1. Собственники и (или) операторы, третьи лица в случае взаимодействия с объектами информатизации государственных органов и (или) государственных юридических лиц, содержащими персональные данные, обеспечивают интеграцию собственных объектов информатизации, задействованных в процессах сбора и обработки персональных данных, с государственным сервисом, за исключением случаев, предусмотренных подпунктами 1), 2), 9) и 9-2) статьи 9 настоящего Закона.

Интеграция осуществляется с соблюдением норм законодательства Республики Казахстан по представлению сведений, отнесенных к государственным секретам, личной, семейной, банковской, коммерческой тайне, тайне медицинского работника и иным охраняемым законом тайнам, а также другой конфиденциальной информации.

В иных случаях интеграция с государственным сервисом осуществляется на добровольной основе.

Порядок интеграции с государственным сервисом определяется уполномоченным органом и правилами интеграции объектов информатизации "электронного правительства".

2. Посредством государственного сервиса обеспечиваются:

1) предоставление субъектом или его законным представителем согласия (отказа) на сбор и (или) обработку персональных данных, содержащихся в объектах информатизации государственных органов и (или) государственных юридических лиц;

2) отзыв субъектом или его законным представителем согласия на сбор и (или) обработку персональных данных, содержащихся в объектах информатизации государственных органов и (или) государственных юридических лиц;

3) уведомление субъекта о действиях с его персональными данными, содержащимися в объектах информатизации государственных органов и (или) государственных юридических лиц (доступ, просмотр, изменение, дополнение, передача, блокирование, уничтожение);

4) представление субъекту сведений о собственниках и (или) операторах, имеющих согласие на сбор и (или) обработку его персональных данных, содержащихся в объектах информатизации государственных органов и (или) государственных юридических лиц.

3. В случаях, предусмотренных подпунктами 4), 6), 8) и 9-3) статьи 9 настоящего Закона, обеспечивается уведомление субъекта об инициаторах запросов на доступ (сбор и обработку) к его персональным данным, содержащимся в объектах информатизации государственных органов и (или) государственных юридических лиц, через государственный сервис.

Сноска. Глава 2 дополнена статьей 8-1 в соответствии с Законом РК от 30.12.2021 № 96-VII (вводится в действие по истечении шестидесяти календарных дней после дня его первого официального опубликования).

Статья 8-2. Негосударственный сервис

1. Собственники и (или) операторы, третьи лица в целях оптимизации процедур по получению согласия субъекта или его законного представителя на сбор и (или) обработку персональных данных в случае отсутствия взаимодействия с объектами информатизации государственных органов и (или) государственных юридических лиц, содержащими персональные данные, вправе использовать негосударственные сервисы.

2. Посредством негосударственного сервиса обеспечиваются:

1) предоставление субъектом или его законным представителем согласия (отказа) на сбор и (или) обработку персональных данных;

2) уведомление субъекта о действиях с его персональными данными (просмотр, изменение, дополнение, передача, блокирование, уничтожение);

3) уведомление субъекта о доступе третьих лиц к его персональным данным.

Сноска. Глава 2 дополнена статьей 8-2 в соответствии с Законом РК от 30.12.2021 № 96-VII (вводится в действие по истечении шестидесяти календарных дней после дня его первого официального опубликования).

Статья 9. Сбор, обработка персональных данных без согласия субъекта

Сбор, обработка персональных данных производятся без согласия субъекта или его законного представителя в случаях:

1) осуществления деятельности правоохранительных органов, судов и иных уполномоченных государственных органов, которые возбуждают и рассматривают дела об административных правонарушениях, исполнительного производства;

2) осуществления государственной статистической деятельности;

3) использования государственными органами персональных данных для статистических целей с обязательным условием их обезличивания;

4) реализации международных договоров, ратифицированных Республикой Казахстан;

5) защиты конституционных прав и свобод человека и гражданина, если получение согласия субъекта или его законного представителя невозможно;

5-1) осуществления единым накопительным пенсионным фондом деятельности, связанной с открытием пенсионных счетов, предоставлением информации о сумме пенсионных накоплений, а также об условных пенсионных счетах;

6) осуществления законной профессиональной деятельности журналиста и (или) деятельности теле-, радиоканалов, периодических печатных изданий, информационных агентств, сетевых изданий либо научной, литературной или иной творческой деятельности при условии соблюдения требований законодательства Республики Казахстан по обеспечению прав и свобод человека и гражданина;

7) опубликования персональных данных в соответствии с законами Республики Казахстан, в том числе персональных данных кандидатов на выборные государственные должности;

8) неисполнения субъектом своих обязанностей по представлению персональных данных в соответствии с законами Республики Казахстан;

9) получения государственным органом, осуществляющим регулирование, контроль и надзор финансового рынка и финансовых организаций, информации от физических и юридических лиц в соответствии с законодательством Республики Казахстан;

9-1) получения органами государственных доходов для осуществления налогового (таможенного) администрирования и (или) контроля информации от физических и юридических лиц в соответствии с законами Республики Казахстан;

9-2) передачи на хранение резервной копии электронных информационных ресурсов, содержащих персональные данные ограниченного доступа, на единую национальную резервную платформу хранения электронных информационных ресурсов в случаях, предусмотренных законами Республики Казахстан;

9-3) использования персональных данных субъектов предпринимательства, относящихся непосредственно к их предпринимательской деятельности, для формирования реестра бизнес-партнеров при условии соблюдения требований законодательства Республики Казахстан;

9-4) использования персональных данных гражданина Республики Казахстан со дня подачи заявления о применении процедуры внесудебного или судебного банкротства в соответствии с Законом Республики Казахстан "О восстановлении платежеспособности и банкротстве граждан Республики Казахстан", а также за период до трех лет, предшествующих применению процедуры внесудебного или судебного банкротства;

10) в иных случаях, установленных законами Республики Казахстан.

Сноска. Статья 9 с изменениями, внесенными законами РК от 03.07.2020 № 359-VI (вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования); от 02.01.2021 № 399-VI (порядок введения в действие см. ст. 2); от 30.12.2021 № 96-VII (вводится в действие по истечении шестидесяти календарных дней после дня его первого официального опубликования); от 30.12.2022 № 179-VII (вводится в действие по истечении шестидесяти календарных дней после дня его первого официального опубликования); от 11.12.2023 № 44-VIII (вводится в действие по истечении шестидесяти календарных дней после дня его первого официального опубликования).

Статья 10. Доступ к персональным данным

1. Доступ к персональным данным определяется условиями согласия субъекта или его законного представителя, предоставленного собственнику и (или) оператору на их сбор и обработку, если иное не предусмотрено законодательством Республики Казахстан.

Доступ к персональным данным должен быть запрещен, если собственник и (или) оператор, и (или) третье лицо отказываются принять на себя обязательства по обеспечению выполнения требований настоящего Закона или не могут их обеспечить.

2. Обращение (запрос) субъекта или его законного представителя относительно доступа к своим персональным данным подается собственнику и (или) оператору письменно или в форме электронного документа либо иным способом с применением элементов защитных действий, не противоречащих законодательству Республики Казахстан.

3. Отношения между собственником и (или) оператором, и (или) третьим лицом относительно доступа к персональным данным регулируются законодательством Республики Казахстан.

4. Третьи лица могут получать персональные данные, содержащиеся в объектах информатизации государственных органов и (или) государственных юридических лиц, через веб-портал "электронного правительства" при условии согласия субъекта, подтвержденного через государственный сервис.

Сноска. Статья 10 с изменениями, внесенными законами РК от 17.11.2015 № 408-V (вводится в действие с 01.03.2016); от 25.06.2020 № 347-VI (вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования); от 30.12.2021 № 96-VII (вводится в действие по истечении шестидесяти календарных дней после дня его первого официального опубликования).

Статья 11. Конфиденциальность персональных данных

1. Собственники и (или) операторы, а также третьи лица, получающие доступ к персональным данным ограниченного доступа, обеспечивают их конфиденциальность путем соблюдения требований не допускать их распространения без согласия субъекта или его законного представителя либо наличия иного законного основания.

2. Лица, которым стали известны персональные данные ограниченного доступа в связи с профессиональной, служебной необходимостью, а также трудовыми отношениями, обязаны обеспечивать их конфиденциальность.

3. Конфиденциальность биометрических данных устанавливается законодательством Республики Казахстан.

Статья 12. Накопление и хранение персональных данных

1. Накопление персональных данных производится путем сбора персональных данных, необходимых и достаточных для выполнения задач, осуществляемых собственником и (или) оператором, а также третьим лицом.

2. Хранение персональных данных осуществляется собственником и (или) оператором, а также третьим лицом в базе, находящейся на территории Республики Казахстан.

Срок хранения персональных данных определяется датой достижения целей их сбора и обработки, если иное не предусмотрено законодательством Республики Казахстан.

Сноска. Статья 12 с изменениями, внесенными законами РК от 24.11.2015 № 419-V (вводится в действие с 01.01.2016); от 02.01.2021 № 399-VI (вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования).

Статья 13. Изменение и дополнение персональных данных

Изменение и дополнение персональных данных осуществляются собственником и (или) оператором на основании обращения (запроса) субъекта или его законного представителя либо в иных случаях, предусмотренных законами Республики Казахстан.

Статья 14. Использование персональных данных

Использование персональных данных должно осуществляться собственником, оператором и третьим лицом только для ранее заявленных целей их сбора.

Статья 15. Распространение персональных данных

1. Распространение персональных данных допускается при условии согласия субъекта или его законного представителя, если при этом не затрагиваются законные интересы иных физических и (или) юридических лиц.

2. Распространение персональных данных в случаях, выходящих за рамки ранее заявленных целей их сбора, осуществляется с согласия субъекта или его законного представителя.

Сноска. Статья 15 с изменением, внесенным Законом РК от 30.12.2021 № 96-VII (вводится в действие по истечении шестидесяти календарных дней после дня его первого официального опубликования).

Статья 16. Трансграничная передача персональных данных

1. Трансграничная передача персональных данных – передача персональных данных на территорию иностранных государств.

2. В соответствии с настоящим Законом трансграничная передача персональных данных на территорию иностранных государств осуществляется только в случае обеспечения этими государствами защиты персональных данных.

3. Трансграничная передача персональных данных на территорию иностранных государств, не обеспечивающих защиту персональных данных, может осуществляться в случаях:

1) наличия согласия субъекта или его законного представителя на трансграничную передачу его персональных данных;

2) предусмотренных международными договорами, ратифицированными Республикой Казахстан;

3) предусмотренных законами Республики Казахстан, если это необходимо в целях защиты конституционного строя, охраны общественного порядка, прав и свобод человека и гражданина, здоровья и нравственности населения;

4) защиты конституционных прав и свобод человека и гражданина, если получение согласия субъекта или его законного представителя невозможно.

4. Трансграничная передача персональных данных на территорию иностранных государств может быть запрещена или ограничена законами Республики Казахстан.

5. Особенности трансграничной передачи служебной информации об абонентах и (или) пользователях услуг связи определяются Законом Республики Казахстан "О связи".

Сноска. Статья 16 с изменением, внесенным Законом РК от 28.12.2017 № 128-VI (вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования).

Статья 17. Обезличивание персональных данных

1. При сборе, обработке персональных данных для проведения статистических, социологических, научных, маркетинговых исследований собственник и (или) оператор, а также третье лицо, передающие персональные данные, обязаны их обезличить в соответствии с правилами сбора, обработки персональных данных.

Примечание ИЗПИ!
В пункт 2 предусмотрено изменение Законом РК от 05.07.2024 № 115-VIII (вводится в действие по истечении шести месяцев после дня его первого официального опубликования).

2. При сборе, обработке персональных данных для осуществления аналитики данных в целях реализации государственными органами деятельности обезличивание персональных данных осуществляется оператором информационно-коммуникационной инфраструктуры "электронного правительства" в соответствии с требованиями по управлению данными, утвержденными уполномоченным органом по управлению данными, за исключением случаев, когда обезличивание персональных данных произведено собственником и (или) оператором.

Сноска. Статья 17 - в редакции Закона РК от 25.06.2020 № 347-VI (вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования); с изменениями, внесенными Законом РК от 14.07.2022 № 141-VII (вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования)

Статья 18. Уничтожение персональных данных

Персональные данные подлежат уничтожению собственником и (или) оператором, а также третьим лицом:

1) по истечении срока хранения в соответствии с пунктом 2 статьи 12 настоящего Закона;

2) при прекращении правоотношений между субъектом, собственником и (или) оператором, а также третьим лицом;

3) при вступлении в законную силу решения суда;

3-1) при выявлении сбора и обработки персональных данных без согласия субъекта или его законного представителя, за исключением случаев, предусмотренных пунктом 5 статьи 7 и статьей 9 настоящего Закона;

4) в иных случаях, установленных настоящим Законом и иными нормативными правовыми актами Республики Казахстан.

Сноска. Статья 18 с изменением, внесенным Законом РК от 30.12.2021 № 96-VII (вводится в действие по истечении шестидесяти календарных дней после дня его первого официального опубликования).

Статья 19. Сообщение о действиях с персональными данными

1. При наличии условия об уведомлении субъекта о передаче его персональных данных третьему лицу собственник и (или) оператор в течение десяти рабочих дней уведомляют об этом субъекта или его законного представителя, если иное не предусмотрено законами Республики Казахстан.

2. Требования пункта 1 настоящей статьи не распространяются на случаи:

1) выполнения государственными органами своих функций, предусмотренных законодательством Республики Казахстан, а также осуществления деятельности частными нотариусами, частными судебными исполнителями и адвокатами;

2) осуществления сбора и обработки персональных данных в статистических, социологических или научных целях.

Глава 3. ЗАЩИТА ПЕРСОНАЛЬНЫХ ДАННЫХ

Статья 20. Гарантия защиты персональных данных

1. Персональные данные подлежат защите, которая гарантируется государством и осуществляется в порядке, определяемом уполномоченным органом.

2. Сбор и обработка персональных данных осуществляются только в случаях обеспечения их защиты.

Сноска. Статья 20 с изменениями, внесенными законами РК от 02.01.2021 № 399-VI (вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования); от 19.04.2023 № 223-VII (вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования).

Статья 21. Цели защиты персональных данных

Защита персональных данных осуществляется путем применения комплекса мер, в том числе правовых, организационных и технических, в целях:

1) реализации прав на неприкосновенность частной жизни, личную и семейную тайну;

2) обеспечения их целостности и сохранности;

3) соблюдения их конфиденциальности;

4) реализации права на доступ к ним;

5) предотвращения незаконного их сбора и обработки.

Статья 22. Обязанности собственника и (или) оператора, а также третьего лица по защите персональных данных

1. Собственник и (или) оператор, а также третье лицо обязаны принимать необходимые меры по защите персональных данных в соответствии с настоящим Законом и порядком, определяемым уполномоченным органом, обеспечивающие:

1) предотвращение несанкционированного доступа к персональным данным;

2) своевременное обнаружение фактов несанкционированного доступа к персональным данным, если такой несанкционированный доступ не удалось предотвратить;

3) минимизацию неблагоприятных последствий несанкционированного доступа к персональным данным;

4) предоставление доступа государственной технической службе к объектам информатизации, использующим, хранящим, обрабатывающим и распространяющим персональные данные ограниченного доступа, содержащиеся в электронных информационных ресурсах, для осуществления обследования обеспечения защищенности процессов хранения, обработки и распространения персональных данных ограниченного доступа, содержащихся в электронных информационных ресурсах в порядке, определяемом уполномоченным органом.

5) регистрацию и учет действий, предусмотренных подпунктами 3), 4), 5) и 6) пункта 4 статьи 8 настоящего Закона.

2. Обязанности собственника и (или) оператора, а также третьего лица по защите персональных данных возникают с момента сбора персональных данных и действуют до момента их уничтожения либо обезличивания.

Сноска. Статья 22 с изменениями, внесенными законами РК от 02.01.2021 № 399-VI (вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования); от 30.12.2021 № 96-VII (вводится в действие по истечении шестидесяти календарных дней после дня его первого официального опубликования); от 19.04.2023 № 223-VII (вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования).

Статья 23. Защита электронных информационных ресурсов, содержащих персональные данные

Особенности защиты электронных информационных ресурсов, содержащих персональные данные, осуществляются в соответствии с настоящим Законом и законодательством Республики Казахстан об информатизации.

Сноска. Статья 23 – в редакции Закона РК от 02.01.2021 № 399-VI (вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования).

Статья 23-1. Добровольное киберстрахование

1. Целью добровольного киберстрахования является возмещение имущественного вреда, причиненного субъекту, собственнику и (или) оператору, третьему лицу, в соответствии с законодательством Республики Казахстан о страховании и страховой деятельности.

2. Добровольное киберстрахование осуществляется в силу волеизъявления сторон.

Виды, условия и порядок добровольного киберстрахования определяются соглашением сторон.

Сноска. Глава 3 дополнена статьей 23-1 в соответствии с Законом РК от 25.06.2020 № 347-VI (вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования).

Глава 4. ПРАВА И ОБЯЗАННОСТИ СУБЪЕКТА,
СОБСТВЕННИКА И (ИЛИ) ОПЕРАТОРА

Статья 24. Права и обязанности субъекта

1. Субъект имеет право:

1) знать о наличии у собственника и (или) оператора, а также третьего лица своих персональных данных, а также получать информацию, содержащую:

подтверждение факта, цели, источников, способов сбора и обработки персональных данных;

перечень персональных данных;

сроки обработки персональных данных, в том числе сроки их хранения;

2) требовать от собственника и (или) оператора изменения и дополнения своих персональных данных при наличии оснований, подтвержденных соответствующими документами;

3) требовать от собственника и (или) оператора, а также третьего лица блокирования своих персональных данных в случае наличия информации о нарушении условий сбора, обработки персональных данных;

4) требовать от собственника и (или) оператора, а также третьего лица уничтожения своих персональных данных, сбор и обработка которых произведены с нарушением законодательства Республики Казахстан, а также в иных случаях, установленных настоящим Законом и иными нормативными правовыми актами Республики Казахстан;

5) отозвать согласие на сбор, обработку, распространение в общедоступных источниках, передачу третьим лицам и трансграничную передачу персональных данных, кроме случаев, предусмотренных пунктом 2 статьи 8 настоящего Закона;

6) дать согласие (отказать) собственнику и (или) оператору на распространение своих персональных данных в общедоступных источниках персональных данных;

7) на защиту своих прав и законных интересов, в том числе возмещение морального и материального вреда;

8) на осуществление иных прав, предусмотренных настоящим Законом и иными законами Республики Казахстан.

2. Субъект обязан представлять свои персональные данные в случаях, установленных законами Республики Казахстан.

Сноска. Статья 24 с изменением, внесенным Законом РК от 30.12.2021 № 96-VII (вводится в действие по истечении шестидесяти календарных дней после дня его первого официального опубликования).

Статья 25. Права и обязанности собственника и (или) оператора, лица, ответственного за организацию обработки персональных данных

Сноска. Заголовок статьи 25 в редакции Закона РК от 25.06.2020 № 347-VI (вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования).

1. Собственник и (или) оператор имеют право осуществлять сбор, обработку персональных данных в порядке, установленном настоящим Законом и иными нормативными правовыми актами Республики Казахстан.

2. Собственник и (или) оператор обязаны:

1) утверждать перечень персональных данных, необходимый и достаточный для выполнения осуществляемых ими задач, если иное не предусмотрено законами Республики Казахстан;

1-1) утверждать документы, определяющие политику оператора в отношении сбора, обработки и защиты персональных данных;

2) принимать и соблюдать необходимые меры, в том числе правовые, организационные и технические, для защиты персональных данных в соответствии с законодательством Республики Казахстан;

3) соблюдать законодательство Республики Казахстан о персональных данных и их защите;

3-1) предоставлять по запросу уполномоченного органа в рамках рассмотрения обращений физических и юридических лиц информацию о способах и процедурах, используемых для обеспечения соблюдения собственником и (или) оператором требований настоящего Закона;

4) принимать меры по уничтожению персональных данных в случае достижения цели их сбора и обработки, а также в иных случаях, установленных настоящим Законом и иными нормативными правовыми актами Республики Казахстан;

5) представлять доказательство о получении согласия субъекта на сбор и обработку его персональных данных в случаях, предусмотренных законодательством Республики Казахстан;

6) по обращению субъекта сообщать информацию, относящуюся к нему, в сроки, предусмотренные законодательством Республики Казахстан;

7) в случае отказа в предоставлении информации субъекту или его законному представителю представить мотивированный ответ в сроки, предусмотренные законодательством Республики Казахстан;

8) в течение одного рабочего дня:

изменить и (или) дополнить персональные данные на основании соответствующих документов, подтверждающих их достоверность, или уничтожить персональные данные при невозможности их изменения и (или) дополнения;

блокировать персональные данные, относящиеся к субъекту, в случае наличия информации о нарушении условий их сбора, обработки;

уничтожить персональные данные в случае подтверждения факта их сбора, обработки с нарушением законодательства Республики Казахстан, а также в иных случаях, установленных настоящим Законом и иными нормативными правовыми актами Республики Казахстан;

снять блокирование персональных данных в случае неподтверждения факта нарушения условий сбора, обработки персональных данных;

c момента обнаружения нарушения безопасности персональных данных уведомить уполномоченный орган о таком нарушении с указанием контактных данных лица, ответственного за организацию обработки персональных данных (при наличии);

9) предоставлять безвозмездно субъекту или его законному представителю возможность ознакомления с персональными данными, относящимися к данному субъекту;

10) назначить лицо, ответственное за организацию обработки персональных данных в случае, если собственник и (или) оператор являются юридическими лицами.

Действие подпункта 10) части первой настоящего пункта не распространяется на обработку персональных данных в деятельности судов.

3. Лицо, ответственное за организацию обработки персональных данных, обязано:

1) осуществлять внутренний контроль за соблюдением собственником и (или) оператором и его работниками законодательства Республики Казахстан о персональных данных и их защите, в том числе требований к защите персональных данных;

2) доводить до сведения работников собственника и (или) оператора положения законодательства Республики Казахстан о персональных данных и их защите по вопросам обработки персональных данных, требования к защите персональных данных;

3) осуществлять контроль за приемом и обработкой обращений субъектов или их законных представителей.

Сноска. Статья 25 с изменениями, внесенными законами РК от 25.06.2020 № 347-VI (вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования); от 30.12.2021 № 96-VII (вводится в действие по истечении шестидесяти календарных дней после дня его первого официального опубликования); от 11.12.2023 № 44-VIII (вводится в действие с 01.07.2024).

Глава 5. ГОСУДАРСТВЕННОЕ РЕГУЛИРОВАНИЕ В СФЕРЕ
ПЕРСОНАЛЬНЫХ ДАННЫХ И ИХ ЗАЩИТЫ

Статья 26. Компетенция Правительства Республики Казахстан

Правительство Республики Казахстан разрабатывает основные направления государственной политики в сфере персональных данных и их защиты.

Сноска. Статья 26 - в редакции Закона РК от 19.04.2023 № 223-VII (вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования).

Статья 27. Компетенция центральных государственных органов и местных исполнительных органов областей, городов республиканского значения и столицы

1. Государственные органы в пределах своей компетенции:

1) разрабатывают и (или) утверждают нормативные правовые акты Республики Казахстан в сфере персональных данных и их защиты;

2) рассматривают обращения физических и (или) юридических лиц по вопросам персональных данных и их защиты;

3) принимают меры по привлечению лиц, допустивших нарушения законодательства Республики Казахстан о персональных данных и их защите, к ответственности, установленной законами Республики Казахстан;

4) осуществляют иные полномочия, предусмотренные законами Республики Казахстан, актами Президента Республики Казахстан и Правительства Республики Казахстан.

2. Местные исполнительные органы области, города республиканского значения и столицы:

1) рассматривают обращения субъекта или его законного представителя о соответствии содержания персональных данных и способов их обработки целям их обработки и принимают соответствующие решения;

2) осуществляют государственный контроль за соблюдением законодательства Республики Казахстан о персональных данных и их защите в отношении субъектов частного предпринимательства в пределах соответствующей административно-территориальной единицы;

4) требуют от собственника и (или) оператора, а также третьего лица уточнения, блокирования или уничтожения недостоверных или полученных незаконным путем персональных данных;

5) осуществляют меры, направленные на совершенствование защиты прав субъектов;

6) осуществляют в интересах местного государственного управления иные полномочия, возлагаемые на местные исполнительные органы области, городов республиканского значения и столицы законодательством Республики Казахстан.

Сноска. Статья 27 - в редакции Закона РК от 05.07.2024 № 115-VIII (вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования).

Статья 27-1. Компетенция уполномоченного органа

1. Уполномоченный орган в пределах своей компетенции:

1) формирует и реализует государственную политику в сфере персональных данных и их защиты;

1-1) осуществляет государственный контроль за соблюдением законодательства Республики Казахстан о персональных данных и их защите;

2) разрабатывает порядок осуществления собственником и (или) оператором, а также третьим лицом мер по защите персональных данных;

2-1) разрабатывает правила определения собственником и (или) оператором перечня персональных данных, необходимого и достаточного для выполнения осуществляемых ими задач;

2-2) определяет порядок определения собственником и (или) оператором перечня персональных данных, необходимого и достаточного для выполнения осуществляемых ими задач;

2-3) определяет порядок осуществления собственником и (или) оператором, а также третьим лицом мер по защите персональных данных;

3) рассматривает обращения субъекта или его законного представителя о соответствии содержания персональных данных и способов их обработки целям их обработки и принимает соответствующее решение;

4) принимает меры по привлечению лиц, допустивших нарушения законодательства Республики Казахстан о персональных данных и их защите, к ответственности, установленной законами Республики Казахстан;

5) требует от собственника и (или) оператора, а также третьего лица уточнения, блокирования или уничтожения недостоверных или полученных незаконным путем персональных данных;

6) осуществляет меры, направленные на совершенствование защиты прав субъектов;

6-1) создает консультативный совет по вопросам персональных данных и их защиты, а также определяет порядок его формирования и деятельности;

6-2) направляет оператору информационно-коммуникационной инфраструктуры "электронного правительства" информацию о нарушении безопасности персональных данных, влекущем риск нарушения прав и законных интересов субъектов, в целях, предусмотренных настоящим Законом и иными нормативными правовыми актами Республики Казахстан;

7) утверждает правила сбора, обработки персональных данных;

7-1) утверждает правила осуществления обследования обеспечения защищенности процессов хранения, обработки и распространения персональных данных ограниченного доступа, содержащихся в электронных информационных ресурсах, по согласованию с Комитетом национальной безопасности Республики Казахстан

7-2) утверждает правила функционирования государственного сервиса контроля доступа к персональным данным;

7-3) согласовывает интеграцию негосударственных объектов информатизации с объектами информатизации государственных органов и (или) государственных юридических лиц, при которой осуществляется передача персональных данных и (или) предоставляется доступ к персональным данным;

7-4) утверждает правила интеграции с государственным сервисом контроля доступа к персональным данным;

8) осуществляет иные полномочия, предусмотренные настоящим Законом, иными законами Республики Казахстан, актами Президента Республики Казахстан и Правительства Республики Казахстан.

2. В отношении персональных данных, ставших известными уполномоченному органу в ходе осуществления им своей деятельности, должна обеспечиваться конфиденциальность персональных данных.

Сноска. Глава 5 дополнена статьей 27-1 в соответствии с Законом РК от 25.06.2020 № 347-VI (вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования); с изменениями, внесенными законами РК от 02.01.2021 № 399-VI (вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования); от 30.12.2021 № 96-VII (вводится в действие по истечении шестидесяти календарных дней после дня его первого официального опубликования); от 19.04.2023 № 223-VII (вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования); от 11.12.2023 № 44-VIII (вводится в действие по истечении шестидесяти календарных дней после дня его первого официального опубликования).

Статья 27-2. Государственный контроль за соблюдением законодательства Республики Казахстан о персональных данных и их защите

Государственный контроль за соблюдением законодательства Республики Казахстан о персональных данных и их защите осуществляется в форме внеплановой проверки в соответствии с Предпринимательским кодексом Республики Казахстан, если иное не установлено частями второй и третьей настоящей статьи.

В отношении государственных органов осуществляется государственный контроль за соблюдением законодательства Республики Казахстан о персональных данных и их защите в соответствии с настоящим Законом.

Государственный контроль за соблюдением законодательства Республики Казахстан о персональных данных и их защите в отношении Национального Банка Республики Казахстан и его организаций осуществляется в соответствии с Предпринимательским кодексом Республики Казахстан, настоящим Законом и Законом Республики Казахстан "О Национальном Банке Республики Казахстан".

Сноска. Глава 5 дополнена статьей 27-2 в соответствии с Законом РК от 11.12.2023 № 44-VIII (вводится в действие по истечении шестидесяти календарных дней после дня его первого официального опубликования).

Статья 27-3. Порядок проведения государственного контроля за соблюдением законодательства Республики Казахстан о персональных данных и их защите в отношении государственных органов

1. Государственный контроль за соблюдением законодательства Республики Казахстан о персональных данных и их защите в отношении государственных органов (далее – субъекты контроля) проводится уполномоченным органом в форме проверок.

Проверки делятся на периодические и внеплановые.

Периодические проверки в отношении субъектов контроля осуществляются согласно следующим источникам информации:

1) результатам предыдущих проверок;

2) результатам мониторинга отчетности и сведений;

3) результатам анализа интернет-ресурсов государственных органов;

4) сведениям государственной технической службы.

2. Периодические проверки проводятся с периодичностью не чаще одного раза в год в соответствии с планом проведения периодических проверок, утвержденным первым руководителем уполномоченного органа.

Уполномоченный орган не позднее 1 декабря года, предшествующего году проверок, утверждает план проведения периодических проверок.

План проведения периодических проверок размещается на интернет-ресурсе уполномоченного органа не позднее 20 декабря года, предшествующего году проверок.

План проведения периодических проверок включает:

1) номер и дату утверждения плана;

2) наименование государственного органа;

3) наименование субъекта контроля;

4) место нахождения субъекта (объекта) контроля;

5) сроки проведения проверки;

6) предмет проверки;

7) подпись лица, уполномоченного подписывать план.

Внесение изменений и дополнений в план проведения периодических проверок осуществляется в случаях ликвидации, реорганизации субъекта контроля, изменения его наименования или перераспределения полномочий между субъектами контроля.

3. Внеплановой проверкой является проверка, назначаемая уполномоченным органом, в случаях:

1) наличия подтвержденных обращений на субъект контроля, поступивших от физических и юридических лиц, о нарушении требований законодательства Республики Казахстан о персональных данных и их защите;

2) обращения физических и юридических лиц, права и законные интересы которых нарушены;

3) требования прокурора по конкретным фактам причинения либо об угрозе причинения вреда правам и законным интересам физических и юридических лиц, государства;

4) обращения государственных органов по конкретным фактам причинения вреда правам и законным интересам физических и юридических лиц, государства, а также по конкретным фактам нарушений требований законодательства Республики Казахстан, неустранение которых влечет причинение вреда правам и законным интересам физических и юридических лиц;

5) повторной проверки, связанной с обращением субъекта контроля о несогласии с первоначальной проверкой;

6) поручения органа уголовного преследования по основаниям, предусмотренным Уголовно-процессуальным кодексом Республики Казахстан;

7) необходимости проведения контроля исполнения акта о результатах проверки.

4. Должностные лица уполномоченного органа при проведении проверки имеют право:

1) беспрепятственного доступа на территорию и в помещения субъекта (объекта) контроля в соответствии с предметом проверки при предъявлении документов, указанных в пункте 8 настоящей статьи;

2) получать документы (сведения) на бумажных и электронных носителях либо их копии для приобщения к акту о результатах проверки, а также доступ к автоматизированным базам данных (информационным системам) в соответствии с предметом проверки с соблюдением требований о государственных секретах и иных охраняемых законом тайнах;

3) осуществлять аудио-, фото- и видеосъемку;

4) привлекать специалистов, консультантов и экспертов государственных органов, подведомственных и иных организаций.

5. Субъекты контроля либо их уполномоченные представители при проведении проверки вправе:

1) не допускать к проверке должностных лиц уполномоченного органа, прибывших для проведения проверки, в случаях:

превышения либо истечения указанных в акте о назначении проверки сроков, не соответствующих срокам, установленным настоящей статьей;

отсутствия документов, предусмотренных пунктом 8 настоящей статьи;

2) обжаловать акт о результатах проверки в порядке, установленном законодательством Республики Казахстан.

6. Субъекты контроля либо их уполномоченные представители при проведении проверки обязаны:

1) обеспечить беспрепятственный доступ должностных лиц уполномоченного органа на территорию и в помещения субъекта (объекта) контроля;

2) представлять должностным лицам уполномоченного органа документы (сведения) на бумажных и электронных носителях либо их копии для приобщения к акту о результатах проверки, а также доступ к автоматизированным базам данных (информационным системам) в соответствии с предметом проверки с соблюдением требований о государственных секретах и иных охраняемых законом тайнах;

3) сделать отметку на втором экземпляре акта о назначении проверки и акта о результатах проверки в день ее окончания;

4) обеспечить безопасность лиц, прибывших для проведения проверки, от вредных и опасных производственных факторов воздействия в соответствии с установленными для данного объекта нормативами.

7. Проверка проводится на основании акта о назначении проверки.

В акте о назначении проверки указываются:

1) дата и номер акта;

2) наименование государственного органа;

3) фамилия, имя, отчество (если оно указано в документе, удостоверяющем личность) и должность лица (лиц), уполномоченного (уполномоченных) на проведение проверки;

4) сведения о специалистах, консультантах и экспертах государственных органов, подведомственных и иных организаций, привлекаемых для проведения проверки;

5) наименование субъекта контроля, его место нахождения.

В случае проверки структурного подразделения государственного органа в акте о назначении проверки указываются его наименование и место нахождения;

6) предмет проверки;

7) вид проверки;

8) срок проведения проверки;

9) основания проведения проверки;

10) проверяемый период;

11) права и обязанности субъекта контроля;

12) подпись руководителя субъекта контроля либо его уполномоченного лица о получении или об отказе в получении акта;

13) подпись лица, уполномоченного подписывать акт.

При проведении проверки уполномоченный орган обязан известить субъект контроля о начале проведения проверки не менее чем за сутки до ее начала с указанием предмета проведения проверки.

Началом проведения проверки считается дата вручения субъекту контроля акта о назначении проверки.

8. Должностные лица уполномоченного органа, прибывшие на объект для проверки, обязаны предъявить субъекту контроля:

1) акт о назначении проверки;

2) служебное удостоверение либо идентификационную карту;

3) при необходимости – разрешение компетентного органа на посещение режимных объектов.

9. Срок проведения проверки устанавливается с учетом предмета проверки, а также объема предстоящих работ и не должен превышать десять рабочих дней.

Срок проведения проверки может быть продлен только один раз не более чем на пятнадцать рабочих дней. Продление осуществляется решением руководителя уполномоченного органа.

Продление сроков проведения проверки оформляется дополнительным актом о продлении сроков проверки с уведомлением субъекта контроля, в котором указываются дата и номер приказа предыдущего акта о назначении проверки и причины продления.

Уведомление о продлении сроков проверки вручается субъекту контроля уполномоченным органом за один рабочий день до продления с уведомлением о вручении.

10. По результатам проверки должностными лицами уполномоченного органа, осуществляющими проверку, составляется акт о результатах проверки.

Первый экземпляр акта о результатах проверки в электронной форме сдается в государственный орган, осуществляющий в пределах своей компетенции деятельность в области государственной правовой статистики и специальных учетов, второй экземпляр с копиями приложений, за исключением копий документов, имеющихся в оригинале у субъекта контроля, на бумажном носителе под роспись или в электронной форме вручается субъекту контроля (руководителю либо его уполномоченному лицу) для ознакомления и принятия мер по устранению выявленных нарушений и других действий, третий экземпляр остается у уполномоченного органа.

11. В акте о результатах проверки указываются:

1) дата, время и место составления акта;

2) наименование государственного органа;

3) номер и дата акта о назначении проверки (дополнительного акта о продлении срока при его наличии);

4) фамилия, имя, отчество (если оно указано в документе, удостоверяющем личность) и должность лица (лиц), проводившего (проводивших) проверку;

5) сведения о специалистах, консультантах и экспертах государственных органов, подведомственных и иных организаций, привлекаемых для проведения проверки;

6) наименование субъекта контроля, его место нахождения;

7) предмет проверки;

8) вид проверки;

9) срок и период проведения проверки;

10) сведения о результатах проверки, в том числе о выявленных нарушениях и их характере;

11) требования об устранении выявленных нарушений требований законодательства Республики Казахстан о персональных данных и их защите с указанием срока их исполнения;

12) сведения об ознакомлении или отказе в ознакомлении с актом руководителя субъекта контроля либо его уполномоченного лица, а также лиц, присутствовавших при проведении проверки, их подписи или запись об отказе от подписи;

13) подпись должностных лиц, проводивших проверку.

К акту о результатах проверки прилагаются документы, связанные с результатами проверки (при их наличии), и их копии.

12. В случае наличия замечаний и (или) возражений по результатам проверки субъект контроля излагает их в письменном виде. Замечания и (или) возражения прилагаются к акту о результатах проверки, о чем делается соответствующая отметка.

Уполномоченный орган должен рассмотреть замечания и (или) возражения субъекта контроля к акту о результатах проверки и в течение пятнадцати рабочих дней дать мотивированный ответ.

В случае отказа от принятия акта о результатах проверки составляется акт, который подписывается должностными лицами, осуществляющими проверку, и руководителем субъекта контроля либо его уполномоченным представителем.

Субъект контроля вправе отказаться от подписания акта, дав письменное объяснение о причине отказа.

13. Завершением срока проверки считается день вручения субъекту контроля акта о результатах проверки не позднее срока окончания проверки, указанного в акте о назначении проверки или дополнительном акте о продлении сроков проверки.

14. Сроки исполнения акта о результатах проверки определяются с учетом обстоятельств, оказывающих влияние на реальную возможность его исполнения, но не менее десяти календарных дней со дня вручения акта о результатах проверки.

15. При определении сроков исполнения акта о результатах проверки учитываются:

1) наличие у субъекта контроля организационных, технических возможностей по устранению нарушений;

2) сроки получения в государственных органах обязательных заключений, согласований и других документов, установленных законами Республики Казахстан.

16. По истечении срока устранения выявленных нарушений, установленного в акте о результатах проверки, субъект контроля обязан в течение срока, установленного в акте о результатах проверки, предоставить в уполномоченный орган информацию об устранении выявленных нарушений с подтверждающими документами.

В случае непредоставления информации об устранении выявленных нарушений уполномоченный орган вправе назначить внеплановую проверку в соответствии с подпунктом 7) пункта 3 настоящей статьи.

17. В случае нарушения прав и законных интересов субъекта контроля при осуществлении проверки субъект контроля вправе обжаловать решения, действия (бездействие) должностных лиц уполномоченного органа вышестоящему должностному лицу либо в суд в порядке, установленном законодательством Республики Казахстан.

Сноска. Глава 5 дополнена статьей 27-3 в соответствии с Законом РК от 11.12.2023 № 44-VIII (вводится в действие по истечении шестидесяти календарных дней после дня его первого официального опубликования).

Статья 28. Надзор за применением настоящего Закона

1. Органы прокуратуры осуществляют высший надзор за соблюдением законности в сфере персональных данных и их защиты.

2. Акты прокурорского надзора, вынесенные на основании и в порядке, установленных Конституционным законом Республики Казахстан "О прокуратуре", обязательны для всех органов, организаций, должностных лиц и граждан.

Сноска. Статья 28 с изменениями, внесенными законами РК от 11.07.2017 № 91-VI (вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования); от 05.11.2022 № 157-VII (вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования).

Глава 6. ЗАКЛЮЧИТЕЛЬНЫЕ И ПЕРЕХОДНЫЕ ПОЛОЖЕНИЯ

Статья 29. Ответственность за нарушение законодательства Республики Казахстан о персональных данных и их защите

Нарушение законодательства Республики Казахстан о персональных данных и их защите влечет ответственность в соответствии с законами Республики Казахстан.

Статья 30. Порядок обжалования и рассмотрения споров

Действия (бездействие) субъекта, собственника и (или) оператора, а также третьего лица при сборе, обработке и защите персональных данных могут быть обжалованы в порядке, установленном законами Республики Казахстан.

Споры, возникающие при сборе, обработке и защите персональных данных, подлежат рассмотрению в порядке, установленном законами Республики Казахстан.

Статья 31. Порядок введения в действие настоящего Закона

1. Настоящий Закон вводится в действие по истечении шести месяцев после его первого официального опубликования.

2. Собственники и (или) операторы обязаны в течение трех месяцев со дня введения в действие настоящего Закона привести нормативные правовые акты и иные документы в соответствие с требованиями настоящего Закона.

3. Сбор, обработка персональных данных, осуществленные согласно законодательству Республики Казахстан до введения в действие настоящего Закона, признаются соответствующими требованиям настоящего Закона, если дальнейшие их обработка и защита соответствуют целям их сбора.

Президент
Республики Казахстан	Н. НАЗАРБАЕВ

Дербес деректер және оларды қорғау туралы

1-тарау. ЖАЛПЫ ЕРЕЖЕЛЕР

2-тарау. ДЕРБЕС ДЕРЕКТЕРДІ ЖИНАУ ЖӘНЕ ӨҢДЕУ

3-тарау. ДЕРБЕС ДЕРЕКТЕРДІ ҚОРҒАУ

4-тарау. СУБЪЕКТІНІҢ, МЕНШІК ИЕСІНІҢ ЖӘНЕ (НЕМЕСЕ) ОПЕРАТОРДЫҢ ҚҰҚЫҚТАРЫ МЕН МІНДЕТТЕРІ

5-тарау. ДЕРБЕС ДЕРЕКТЕР ЖӘНЕ ОЛАРДЫ ҚОРҒАУ САЛАСЫНДАҒЫ МЕМЛЕКЕТТІК РЕТТЕУ

6-тарау. ҚОРЫТЫНДЫ ЖӘНЕ ӨТПЕЛІ ЕРЕЖЕЛЕР

О персональных данных и их защите

Глава 1. ОБЩИЕ ПОЛОЖЕНИЯ

Глава 2. СБОР И ОБРАБОТКА ПЕРСОНАЛЬНЫХ ДАННЫХ

Глава 3. ЗАЩИТА ПЕРСОНАЛЬНЫХ ДАННЫХ

Глава 4. ПРАВА И ОБЯЗАННОСТИ СУБЪЕКТА,
СОБСТВЕННИКА И (ИЛИ) ОПЕРАТОРА

Глава 5. ГОСУДАРСТВЕННОЕ РЕГУЛИРОВАНИЕ В СФЕРЕ
ПЕРСОНАЛЬНЫХ ДАННЫХ И ИХ ЗАЩИТЫ

Глава 6. ЗАКЛЮЧИТЕЛЬНЫЕ И ПЕРЕХОДНЫЕ ПОЛОЖЕНИЯ

Дербес деректер және оларды қорғау туралы

1-тарау. ЖАЛПЫ ЕРЕЖЕЛЕР

2-тарау. ДЕРБЕС ДЕРЕКТЕРДІ ЖИНАУ ЖӘНЕ ӨҢДЕУ

3-тарау. ДЕРБЕС ДЕРЕКТЕРДІ ҚОРҒАУ

4-тарау. СУБЪЕКТІНІҢ, МЕНШІК ИЕСІНІҢ ЖӘНЕ (НЕМЕСЕ) ОПЕРАТОРДЫҢ ҚҰҚЫҚТАРЫ МЕН МІНДЕТТЕРІ

5-тарау. ДЕРБЕС ДЕРЕКТЕР ЖӘНЕ ОЛАРДЫ ҚОРҒАУ САЛАСЫНДАҒЫ МЕМЛЕКЕТТІК РЕТТЕУ

6-тарау. ҚОРЫТЫНДЫ ЖӘНЕ ӨТПЕЛІ ЕРЕЖЕЛЕР

О персональных данных и их защите

Глава 1. ОБЩИЕ ПОЛОЖЕНИЯ

Глава 2. СБОР И ОБРАБОТКА ПЕРСОНАЛЬНЫХ ДАННЫХ

Глава 3. ЗАЩИТА ПЕРСОНАЛЬНЫХ ДАННЫХ

Глава 4. ПРАВА И ОБЯЗАННОСТИ СУБЪЕКТА,СОБСТВЕННИКА И (ИЛИ) ОПЕРАТОРА

Глава 5. ГОСУДАРСТВЕННОЕ РЕГУЛИРОВАНИЕ В СФЕРЕПЕРСОНАЛЬНЫХ ДАННЫХ И ИХ ЗАЩИТЫ

Глава 6. ЗАКЛЮЧИТЕЛЬНЫЕ И ПЕРЕХОДНЫЕ ПОЛОЖЕНИЯ

Глава 4. ПРАВА И ОБЯЗАННОСТИ СУБЪЕКТА,
СОБСТВЕННИКА И (ИЛИ) ОПЕРАТОРА

Глава 5. ГОСУДАРСТВЕННОЕ РЕГУЛИРОВАНИЕ В СФЕРЕ
ПЕРСОНАЛЬНЫХ ДАННЫХ И ИХ ЗАЩИТЫ