13.03.2026, 15:13 1556

В Казахстане изменили правила контроля доступа к персональным данным

В Казахстане изменили правила контроля доступа к персональным данным
Фото: Depositphotos
Астана. 13 марта. KAZAKHSTAN TODAY - Министр искусственного интеллекта и цифрового развития Жаслан Мадиев внес изменения и дополнения в приказ "Об утверждении правил функционирования государственного сервиса контроля доступа к персональным данным", передает корреспондент агентства.

Приказом уточняется, что персональные данные - данные, в том числе биометрические, относящиеся к определенному или определяемому на их основании субъекту персональных данных, зафиксированные на электронном, бумажном и (или) ином материальном носителе. А автоматизированная обработка персональных данных - обработка персональных данных объектом информатизации, исключающая участие собственника и (или) оператора, а также третьего лица в процессе обработки.

Функционирование государственного сервиса контроля доступа к персональным данным осуществляется при автоматизации, в том числе при автоматизированной обработке персональных данных, следующих процессов:

1) информационное взаимодействие собственников и (или) операторов, третьих лиц с субъектом и уполномоченным органом при доступе к персональным данным, содержащимся в объектах информатизации государственных органов и (или) государственных юридических лиц, включая получение от субъекта согласия на сбор, обработку, в том числе автоматизированную обработку персональных данных или их передачу третьим лицам;

2) предоставление субъектом или его законным представителем согласия (отказа) на сбор и (или) обработку в том числе автоматизированную обработку персональных данных, содержащихся в объектах информатизации государственных органов и (или) государственных юридических лиц;

3) отзыв субъектом или его законным представителем согласия на сбор и (или) обработку, в том числе автоматизированную обработку персональных данных, содержащихся в объектах информатизации государственных органов и (или) государственных юридических лиц;

4) уведомление субъекта о действиях, в том числе автоматизированную обработку, с его персональными данными, содержащимися в объектах информатизации государственных органов и (или) государственных юридических лиц (доступ, просмотр, изменение, дополнение, передача, блокирование, уничтожение);

5) представление субъекту сведений о собственниках и (или) операторах, имеющих согласие на сбор и (или) обработку, в том числе автоматизированную обработку его персональных данных, содержащихся в объектах информатизации государственных органов и (или) государственных юридических лиц.

В документе указывается, что

процесс получения доступа к персональным данным посредством запроса/ответа средствами инициатора, оказывающим проактивные услуги, состоит из:

  • получения инициатором согласия у субъекта на доступ к его персональным данным следующими способами:
  • системы биометрии;
  • электронные цифровые подписи;
  • бумажные носители информации;
  • отправки инициатором запроса на доступ к персональным данным к государственному сервису с открытым ключом электронно-цифровой подписи (далее - ЭЦП) в токене верификации и кода проактивной услуги (предоставляется инициатором);
  • проверки государственным сервисом наличия токена верификации в запросе на доступ к персональным данным;
  • проверки государственным сервисом подписи токена верификации на соответствие, представленного ЭЦП;
  • проверки государственным сервисом соответствия бизнес-идентификационного номера и кода проактивной услуги;
  • проверки государственным сервисом соответствия бизнес-идентификационного номера в токене верификации организации и бизнес-идентификационного номера, указанный в запросе на доступ к персональным данным;
  • проверки государственным сервисом на соответствие возможным способам получения доступа к персональным данным и указанным в токене верификации;
  • проверки государственным сервисом даты формирования токена верификации;
  • формирования государственным сервисом токена безопасности на период оказания проактивной услуги при прохождении всех проверок токена верификации;
  • отправки инициатором и (или) оператором запроса на доступ к персональным данным с включенным в запрос токеном безопасности к собственнику;
  • проверки собственником токена безопасности на соответствие запросу и сроку действия;
  • обработки запроса и отправление ответа собственником инициатору и (или) оператору.

Процесс получения доступа к персональным данным посредством запроса/ответа в режиме протоколирования состоит из:

  • отправки инициатором запроса на доступ к персональным данным к государственному сервису с открытым ключом ЭЦП в токене верификации (с пометкой об отсутствии полученного согласия) и кода из справочника оснований получения доступа к персональным данным без получения согласия субъекта персональным данных;
  • проверки государственным сервисом наличия токена верификации в запросе на доступ к персональным данным;
  • проверки государственным сервисом подписи токена верификации на соответствие, представленного ЭЦП;
  • проверки государственным сервисом бизнес-идентификационного номера на предмет возможности получения токена безопасности в режиме протоколирования;
  • проверки государственным сервисом соответствия бизнес-идентификационного номера в токене верификации организации и бизнес-идентификационного номера, указанный в запросе на доступ к персональным данным;
  • проверки государственным сервисом даты формирования токена верификации;
  • формирования государственным сервисом токена безопасности на период 15 минут при прохождении всех проверок токена верификации;
  • отправки инициатором и (или) оператором запроса на доступ к персональным данным с включенным в запрос токеном безопасности к собственнику;
  • проверки собственником токена безопасности на соответствие запросу и сроку действия;
  • обработки запроса и отправление ответа собственником инициатору и (или) оператору.

Процесс получения доступа к персональным данным посредством запроса/ответа в государственный сервис осуществляется посредством sms-сообщений, отправленных через информационную систему "мобильное правительство", состоит из:

  • отправки инициатором и (или) оператором запроса на доступ к персональным данным к государственному сервису;
  • проверки государственным сервисом наличия запроса на доступ к персональным данным в процессе обработки;
  • при наличии запроса на доступ к персональным данным в процессе обработки, государственный сервис отправляет статус "ожидание ответа от субъекта";
  • при отсутствии запроса на доступ к персональным данным в процессе обработки, государственный сервис отправляет запрос на получение абонентского номера сети сотовой связи субъекта к бмг;
  • при отсутствии абонентского номера сети сотовой связи субъекта в бмг, субъект осуществляет регистрацию на веб-портале "электронного правительства";
  • после получения абонентского номера сети сотовой связи субъекта от бмг, государственный сервис отправляет запрос на доступ к персональным данным субъекту посредством sms-сообщения с буквенно-цифровым или цифровым одноразовым кодом через информационную систему "мобильное правительство";
  • после получения ответа от государственного сервиса статуса "ожидание ответа от субъекта" и идентификатора запроса государственного сервиса, инициатор и (или) оператор отправляет повторный запрос с идентификатором запроса государственного сервиса;
  • отправка токена безопасности государственным сервисом при повторном запросе доступа к персональным данным инициатором и (или) оператором с буквенно-цифровым или цифровым одноразовым кодом, соответствующим отправленному коду через информационную систему "мобильное правительство";
  • отправки инициатором и (или) оператором запроса на доступ к персональным данным с включенным в запрос токеном безопасности к собственнику;
  • проверки собственником токена безопасности на соответствие запросу и сроку действия;
  • обработки запроса и отправление ответа собственником инициатору и (или) оператору.

Напомним, что в Казахстане предлагают ввести уголовную ответственность за массовую утечку персональных данных. В рамках Цифрового кодекса планируется актуализация законодательства в сфере защиты персональных данных путем усиления ответственности, введения аудита кибербезопасности и другие меры.

По словам министра ИИ и цифрового развития, результат проверок показал, что госорганы и организации зачастую нарушают законодательно установленные требования информационной безопасности. Одним из основных нарушений является отсутствие подключения информистем госорганов к оперативному центру информационной безопасности. В связи с этим руководителям государственных органов напомнили о персональной ответственности за утечки данных из принадлежащих им информационных систем.

В июне прошлого года в Сети появилась информация об утечке данных 16,3 миллиона казахстанцев. Премьер-министр Казахстана Олжас Бектенов прокомментировал, что утечка произошла, скорее всего, из медицинских организаций. По его словам, "они получают доступ к государственным базам данных, а дальше не обеспечивают их сохранность".
 

новости по теме

Читаемое

Новости RT

    Новости Китая

      Ваше мнение

      Целесообразен ли запрет на отопление домов и других объектов углем, дровами, а также твердым и жидким топливом в газифицированных районах Алматы при сохраняющемся избытке иногороднего транспорта?