Новое требование хранить персональные данные на территории РК

[Vyatta]

Добрый день,  в Закон "О персональных данных и их защите" было внесены изменения, в том числе в п.2. ст. 12., предусматривающие требование хранить базу данных с ПД на территории РК.

Вопрос: ТОО с иностранным участием хранит персональные данные своих работников в общей международной базе данных, пользуется через интернет, сервер на территории США и Великобритании. Также база с ПД клиентов ТОО хранится на сервере в США. Это считается нарушением?

Как вы думаете, это требование каким-либо образом связано с введением ограничений в РФ?

Изменения потихоря ввели с 1 января 2016 г., а нет даже срока для внедрения или переноса данных. Комментариев тоже никаких не нашла.  

Подскажите, пожалуйста, кто в этом вопросе хорошо разбирается? Что делать иностранным и международным компаниям, хранящим все данные на серверах за пределами РК, но в странах, где обеспечивается защита ПД?

Цитата

 

Закон Республики Казахстан от 21 мая 2013 года № 94-V «О персональных данных и их защите» (с изменениями от 24.11.2015 г.)

Статья 12. Накопление и хранение персональных данных

1. Накопление персональных данных производится путем сбора персональных данных, необходимых и достаточных для выполнения задач, осуществляемых собственником и (или) оператором, а также третьим лицом.

В пункт 2 внесены изменения в соответствии с Законом РК от 24.11.15 г. № 419-V (см. стар. ред.)

2. Хранение персональных данных осуществляется собственником и (или) оператором, а также третьим лицом в базе, которая хранится на территории Республики Казахстан.

Срок хранения персональных данных определяется датой достижения целей их сбора и обработки, если иное не предусмотрено законодательством Республики Казахстан.

 

 

Заранее благодарю 

[Лоскутов Игорь Юрьевич]

Да понятно откуда это к нам приплыло.

Насчет того, что имелось в виду и как это применимо к Вашему случаю, не вижу особого смысла строить догадки - задайте вопрос на блоге министру или в комитет письмом, будет на что опираться.

[Vyatta]

Спасибо, Игорь Юрьевич!

Да, видимо придется получить какое-то официальное толкование применения.  Если получим вразумительный ответ, потом поделюсь 

Изменено 14 Января 2016 пользователем Vyatta

[Ivanych]

Данные поправки были вызваны необходимостью обеспечения информационной безопасности, согласно Концепции развития информационной безопасности РК, а также Законом РК "О национальной безопасности". Мое субъективное мнение - поправки правильные.

[Лоскутов Игорь Юрьевич]

39 минуты назад, Ivanych сказал(а):

 согласно Концепции развития информационной безопасности РК, а также Законом РК "О национальной безопасности".

Прям таки и концепция, и закон их упоминают- дескать чтобы безопасность не пострадала надо базы персональных данных хранить на территории РК?

А в каких пунктах, статьях?

И просветите заодно, если речь идет о виртуальных базах, в Интернете -  где там территория страны проходит на которой надо хранить, а то непонятно как-то?

[Ivanych]

     Например:

 

О Концепции информационной безопасности Республики Казахстан до 2016 года: Указ Президента Республики Казахстан от 14 ноября 2011 года № 174 // САПП Республики Казахстан 2011 г., № 60, ст. 851

Кроме того, реалии сегодняшнего дня требуют выделения существующих норм законодательства в отдельную отрасль законодательства - информационное право, разработки законодательства по вопросам защиты критической информационной инфраструктуры, внесения изменений в существующее законодательство по вопросам отнесения отдельных видов информационных правонарушений к уголовно-наказуемым деяниям, также требуется дополнительная правовая регламентация вопросов соблюдения авторского права в информационно-коммуникационных сетях, совершенствование законодательства, регулирующего вопросы защиты персональных данных, совершенствование международных правовых норм в области информационной безопасности и защиты государственных секретов для обеспечения соблюдения национальных интересов Республики Казахстан".

Более отвечать не буду. Если интересно - ищите сами, если не найдете - пишите

[Лоскутов Игорь Юрьевич]

Да уж не буду утруждать- сразу видно, темой владеете в совершенстве, отвечаете по существу, обстоятельно, все сразу понятно! Наверняка или на госслужбе, или типа того, такие на e-gov отвечают, настоящие профи!

 

[Ivanych]

А чисто с философской точки зрения. Разве правильно хранить персональные данные наших граждан на иностранных серверах? Мне бы лично это было бы не приятно

[Chupka]

Цитата

ИМХО, выход только один - в заявлении-согласии работника и клиента делать ссылку на трансграничную передачу данных (ст.16 п.2).

Один сервер стоит у Вас, а репликация делается на зарубежные.

 

 

[Александр Чашкин]

23 часа назад, Ivanych сказал(а):

Разве правильно хранить персональные данные наших граждан на иностранных серверах? Мне бы лично это было бы не приятно

 

Смартфон с его программным обеспечением у вас,  надо полагать, чисто казахстанского производства?  

...устроили фетиш из этих "персональных данных", довели вопрос до абсурда и носятся с ним! Скоро будем опасаться обращаться друг к другу по имени вслух - дабы не получить обвинения в неправомерном распространении ПД.  

[mummysunny]

Коллеги, ограничение же распространяется только на хранение:

Например, регистрируются Ваши клиенты на Вашем сайте, оставляют свою ПД. При этом, запрос и информация уходят на сервер, который находится вне территории РК. Но, при этом, на территории РК сохраняется и периодически обновляется информация с ПД всех клиентов (после регистрации, с интервалом, скажем, один раз в неделю). таким образом ,фактически мы имеем две базы ПД - одна, вне территории РК, с которой и ведется основная работа; и вторая - созданная на территории РК, к которой никто не обращается за чем либо, она здесь только хранится. 

[АдвоКот]

В 17.01.2016 at 08:48, Ivanych сказал(а):

А чисто с философской точки зрения. Разве правильно хранить персональные данные наших граждан на иностранных серверах? Мне бы лично это было бы не приятно

Ну вот, безупречное юридическое обоснование всего (пожалуй, универсальное, абсолютно все этим можно обосновать) - "Ivanych'у это неприятно".  Извините, Иваныч, а вот, например, если бы у Вас были миллионы долларов - вам приятнее было бы их хранить в швейцарском банке или казахстанском?

[Vyatta]

Вопрос же не в приятности или правильности хранения баз с ПД в РК, актуально, наверное, сейчас задать вопрос о применимости и об исполнимости такого требования? 

Сложность в хранении баз данных в РК еще состоит в отсутствии ресурсов для их хранения на территории РК и насколько будет обеспечено безопасное хранение данных на таких серверах? 

Для любой международной или иностранной компании (или компании с иностранным участием) будет нарушением хранить ПД на иностранных серверах или используя облачные базы хранения? 

[АдвоКот]

2 минуты назад, Vyatta сказал(а):

Для любой международной или иностранной компании (или компании с иностранным участием) будет нарушением хранить ПД на иностранных серверах или используя облачные базы хранения? 

Нет, не будет (при условии соблюдения требований ст. 16 Закона).

 

[Vyatta]

АдвоКот, Позвольте высказать сомнения по поводу применения в данном случае ст.16 Закона.  Все-таки трансграничная передача и хранение ПД - это разные понятия.  

п.14) ст.1: хранение персональных данных - действия по обеспечению целостности, конфиденциальности и доступности персональных данных; для термина "передачи данных" нет отдельного определения, но по смысловому значению слова - это скорее распространение ПД.  
Странно, что данные изменения не замечены и не обсуждаются (по сравнению с подобными изменениями в РФ) ....... не поверю, что все хранят данные в РК. 

Официальных комментариев и ответов на мои вопросы тоже пока нет, если появится, я поделюсь. 

[АдвоКот]

Конечно, выражайте.  Я согласен с тем, что понятия разные.  Но это не отменяет правоты тех, кто считает что "можно", и с кем я согласен.

Давайте просто посмотрим, что требует закон - он требует, чтобы данные хранились в РК? ОК, храним их в РК, раз уж государству так приспичило.  Оно понятно, так же ему легче своими жадными щупальцами дотянуться до всего, что в голову придет.  Из-за бугра просить инфу - могут и не дать.  А тут - никуда не денутся, тут у них прав никаких.

Но отложив в сторону политику, думаем - а можем ли мы, будучи не госчиновниками, а людьми ответственными и разумными, полагаться на надежность и удобство хранения данных в РК?  Никак нет, вашевысокоблаородь, не могём! Соответственно, делаем зеркало для хранения данных, как предлагает камрад mummysunny, и храним ПД и тут, и там.  Естественно, вопрос - а можно ли хранить данные "там"? И ответ на этот вопрос - в законе, где нету запрета на хранение данных в "забугорье" и, особенно  ст. 16.

Поелику хранение ПД (то есть, как определяет закон, действия по обеспечению целостности, конфиденциальности и доступности ПД) за рубежом невозможно без трансграничной передачи, таковая совершается при соблюдении требований ст. 16 и "Конвенции о защите физ. лиц..." .

25 минуты назад, Vyatta сказал(а):

Официальных комментариев и ответов на мои вопросы тоже пока нет, если появится, я поделюсь. 

Буду ждать, тоже очень интересно.

[Adileq]

Добрый день, коллеги. Имеются ли какие-либо новости касательно официальных комментариев?

[Лоскутов Игорь Юрьевич]

Увы.

[RuSnake]

Коллеги, для сведения появился интересный ответ на сайте EGOV, возможно будет Вам полезен ссылка:

Цитата

 

Согласно пункту 2 статьи 12 Закона Республики Казахстан от 21 мая 2013 года ¹ 94-V «О персональных данных и их защите» (с изменениями и дополнениями по состоянию на 24.11.2015 г.). «Хранение персональных данных осуществляется собственником и (или) оператором, а также третьим лицом в базе, которая хранится на территории Республики Казахстан». Означает ли данная формулировка, что недопустимо нахождение персональных данных за пределами страны, если они одновременно не хранятся в базе данных в Казахстане? Возможно ли параллельное хранение собственником и (или) оператором, а также третьим лицом персональных данных одновременно в базе, которая хранится на территории Республики Казахстан, а также в базе, находящейся за ее пределами?

 АРЕСТОВ ОЛЕГ ВАЛЕРЬЕВИЧ  О работе государственных органов (госуслуги)  29.03.2016
Дата подачи обращения
  21 Номер обращения 308801
Ответы (1)

Исекешев А. О. 31.03.2016, 12:00

Уважаемый Олег Валерьевич!

Действительно, передача и хранение персональных данных граждан Республики Казахстан на территории иностранных государств допускается в случае обеспечения этими государствами защиты персональных данных, а также хранении их на территории Республики Казахстан.

         Следовательно, по Вашему первому вопросу сообщаем, что хранение персональных данных граждан Республики Казахстан только за границей не допускается. Соответственно по Вашему второму вопросу сообщаем, что параллельное хранение допускается.

 

 

Изменено 3 Июня 2016 пользователем RuSnake