Копирование персональных данных из критически важных цифровых объектов: приняты правила

Министр искусственного интеллекта и цифрового развития приказом от 13 октября 2026 года утвердил Правила копирования персональных данных из критически важных цифровых объектов на цифровые носители, сообщает Zakon.kz.

Под критически важными цифровыми объектами понимаются цифровые объекты, нарушение или прекращение функционирования которых приводит к незаконному сбору и обработке персональных данных ограниченного доступа и иных сведений, содержащих охраняемую законом тайну, возникновению чрезвычайных ситуаций социального и техногенного характера или к значительным негативным последствиям для обороны, безопасности, международных отношений, экономики, отдельных сфер хозяйства или для жизнедеятельности населения, проживающего на соответствующей территории, в том числе инфраструктуры: теплоснабжения, электроснабжения, газоснабжения, водоснабжения, промышленности, здравоохранения, связи, банковской сферы, транспорта, гидротехнических сооружений, правоохранительной деятельности, "цифрового правительства".

Когда допускается копирование данных

Исключения возможны только:

• по согласованию с уполномоченным органом в сфере защиты персональных данных;
• в рамках разведывательной, контрразведывательной, оперативно-розыскной деятельности;
• при проведении охранных мероприятий по обеспечению безопасности охраняемых лиц и объектов — в пределах, установленных законами.

Как получить разрешение на копирование персональных данных

В запросе обязательно указываются:

• правовое основание;
• конкретная цель использования данных;
• обоснование невозможности интеграции систем;
• перечень категорий и объем персональных данных, а также период;
• срок использования и хранения;
• технические и организационные меры защиты;
• сведения о лицах передающей и принимающей сторон.

Уполномоченный орган рассматривает запрос в течение 15 рабочих дней. В случае отказа можно обратиться за разрешением повторно.

Требования к копированию данных

Выгрузке подлежат исключительно необходимые и достаточные для выполнения задач персональные данные. Персональные данные подлежат обезличиванию, маскированию или хешированию.

Передача и хранение возможны только с применением криптографических средств защиты. Размещение копированных персональных данных в базе, находящейся за пределами РК не допускается.

Также установлено, что передача копированных персональных данных третьим лицам не допускается.

Каждая передача оформляется актом приема-передачи с указанием состава данных, цели, даты, участников и контрольной суммы (хэша). Кроме того, обязательны идентификация и аутентификация лиц, выполняющих операции, а также журналирование всех действий.

Приказ вводится в действие с 31 октября.