ГОСУДАРСТВЕННОЕ АГЕНТСТВО ПО ЗАЩИТЕ ПЕРСОНАЛЬНЫХ ДАННЫХ ПРИ КАБИНЕТЕ МИНИСТРОВ КЫРГЫЗСКОЙ РЕСПУБЛИКИ
ПРИКАЗ
от 17 апреля 2025 года № 26
Об утверждении Порядка и формы уведомления субъекта персональных данных о факте передачи его персональных данных третьей стороне
Во исполнение пункта 27 постановления Кабинета Министров Кыргызской Республики «О делегировании отдельных нормотворческих полномочий Кабинета Министров Кыргызской Республики государственным органам и исполнительным органам местного самоуправления» от 3 марта 2023 года № 115, руководствуясь пунктом 14 Положения о Государственном агентстве по защите персональных данных при Кабинете Министров Кыргызской Республики, утвержденного постановлением Кабинета Министров Кыргызской Республики от 22 декабря 2021 года № 325, приказываю:
1. Утвердить Порядок и форму уведомления субъекта персональных данных о факте передачи его персональных данных третьей стороне согласно приложению.
2. Отделу законодательной экспертизы и правового обеспечения Государственного агентства по защите персональных данных при Кабинете Министров Кыргызской Республики:
– принять соответствующие меры по официальному опубликованию настоящего приказа в соответствии с постановлением Правительства Кыргызской Республики «Об источниках официального опубликования нормативных правовых актов Кыргызской Республики» от 26 февраля 2010 года № 117;
– в течение трех рабочих дней со дня официального опубликования направить копии настоящего приказа в двух экземплярах на государственном и официальном языках, на бумажном и электронном носителях, с указанием источника опубликования указанного приказа, в Министерство юстиции Кыргызской Республики для включения в Государственный реестр нормативных правовых актов Кыргызской Республики;
– в течение трех рабочих дней со дня вступления в силу настоящего приказа направить копии приказа в Администрацию Президента Кыргызской Республики для сведения.
3. Настоящий Порядок подлежит применению держателями (обладателями) массивов персональных данных, осуществляющими сбор, хранение, обработку, использование, передачу персональных данных, включая трансграничную передачу персональных данных.
4. Контроль за исполнением настоящего приказа оставляю за собой.
5. Настоящий приказ подлежит официальному опубликованию и вступает в силу со дня признания утратившим силу постановления Правительства Кыргызской Республики «Об утверждении Порядка получения согласия субъекта персональных данных на сбор и обработку его персональных данных, порядка и формы уведомления субъектов персональных данных о передаче их персональных данных третьей стороне» от 21 ноября 2017 года № 759».
Директор А.Ж. Усенов
Приложение
к приказу Государственного агентства по защите персональных данных при Кабинете Министров Кыргызской Республики от «15» апреля 2025 года № 26
Порядок и форма уведомления субъекта персональных данных
о факте передачи его персональных данных третьей стороне
1. Общие положения
1. Настоящий Порядок определяет обязательные процедуры уведомления субъекта персональных данных о факте передачи его персональных данных третьей стороне в соответствии с Законом Кыргызской Республики «Об информации персонального характера» (далее по тексту - Закон).
2. Настоящий Порядок подлежит применению держателями (обладателями) массивов персональных данных, осуществляющими сбор, хранение, обработку, использование, передачу персональных данных, включая трансграничную передачу персональных данных.
3. Используемые в настоящем Порядке термины и понятия применяются в значениях, определенных в законах Кыргызской Республики «Об информации персонального характера», «Об электронной подписи», «Об электронном управлении».
4. Передача персональных данных от одного держателя (обладателя) другому допускается при наличии у держателя (обладателя), которому эти персональные данные передаются, правовых оснований осуществления работы с персональными данными, предусмотренных статьей 5 Закона Кыргызской Республики "Об информации персонального характера", на момент такой передачи.
2. Уведомление субъекта персональных данных о факте передачи
его персональных данных третьей стороне
5. Держатель (обладатель) массива персональных данных обязан в недельный срок с момента передачи персональных данных информировать субъекта персональных данных об этой передаче, за исключением случаев, предусмотренных подпунктами а) и б) пункта 2 части 1 статьи 15 Закона.
6. Форму уведомления держатель (обладатель) массива персональных данных выбирает по согласованию с субъектом персональных данных, исходя из способа связи с субъектом (сообщением по телефону, смс-сообщением, письмом, электронным сообщением). При этом держатель (обладатель) массива персональных данных должен хранить доказательства информирования субъекта персональных данных об осуществленной передаче его персональных данных третьей стороне (копии писем, телефонограмм, сообщений) и предоставлять их субъекту персональных данных или уполномоченному государственному органу по их запросам в соответствии с Законом Кыргызской Республики «Об информации персонального характера».
7. В целях информирования субъекта персональных данных об обстоятельствах передачи его персональных данных третьей стороне в содержание уведомления включаются следующие сведения:
1) наименование либо фамилия, имя, отчество и адрес держателя (обладателя) массива персональных данных или его представителя;
2) основание передачи персональных данных;
3) состав переданных персональных данных;
4) цель обработки персональных данных и общее описание способов обработки;
5) источник получения персональных данных.
8. Если держатель (обладатель) массива персональных данных сталкивается с препятствиями, которые не позволяют уведомить субъект данных, необходимо в пятидневный срок сообщить об этом в уполномоченный государственный орган по персональным данным, предоставив подробную информацию о предпринятых шагах и возникших проблемах.
9. Держатель (обладатель) массива данных не обязан дополнительно информировать субъекта персональных данных о передаче его персональных данных в случае осуществления повторной или длящейся передачи персональных данных одному и тому же получателю при условии идентичности цели передачи данных, перечня передаваемых данных и способов обработки данных их получателем для всех эпизодов передачи персональных данных.
10. Если субъект персональных данных считает, что в отношении его персональных данных совершены неправомерные действия, он вправе обжаловать эти действия в уполномоченном государственном органе или в судебном порядке.
Решения уполномоченного государственного органа по защите прав субъектов персональных данных могут быть обжалованы в порядке, предусмотренном Законом Кыргызской Республики «Об основах административной деятельности и административных процедурах».
4. Запрос контактной информации
11. Держатель (обладатель) массива персональных данных при получении персональных данных должен запросить у субъекта персональных данных его контактную информацию (адрес места жительства (места пребывания), номер телефона, адрес электронной почты), с использованием которой субъект в удобной для него форме может быть уведомлен о факте передачи его персональных данных третьей стороне.
12. В отсутствие контактной информации субъекта персональных данных держатель (обладатель) массива персональных данных должен предпринять действия по информированию субъекта персональных данных о передаче его персональных данных третьей стороне в пассивном режиме или запросив недостающую контактную информацию у органов государственной власти или органов местного самоуправления, либо получив ее из общедоступных источников персональных данных.
13. Во всех случаях получения контактной информации о субъекте персональных данных не от самого субъекта персональных данных держатель (обладатель) массива персональных данных должен убедиться, что:
1) полученная контактная информация однозначно относится именно к этому субъекту персональных данных (например, субъект был идентифицирован с использованием государственных информационных систем Кыргызской Республики либо держатель (обладатель) массива персональных данных предварительно связался с субъектом персональных данных в целях удостоверения его личности);
2) сбор дополнительной контактной информации о субъекте персональных данных в целях его информирования не входит в противоречие с теми целями обработки персональных данных, в которых происходило формирование массива персональных данных;
3) держателем (обладателем) массива персональных данных, у которого запрашиваются контактные данные субъекта персональных данных в целях направления уведомления, получено согласие субъекта персональных данных (в случаях, установленных Законом) на передачу его персональных данных третьей стороне.
5. Действия держателя данных при невозможности уведомления
14. Если держатель (обладатель) массива персональных данных на основании имеющихся у него данных не может уведомить субъект персональных данных о передаче его персональных данных, он обязан сообщить об этом в уполномоченный государственный орган по персональным данным, предоставив данные, позволяющие идентифицировать субъект персональных данных в случае обращения его в уполномоченный государственный орган по персональным данным, а также сведения о предпринятых попытках держателя (обладателя) массива персональных данных информировать такого субъекта персональных данных о передаче его персональных данных.
Информирование уполномоченного государственного органа по персональным данным о предпринятых попытках держателя (обладателя) массива персональных данных информировать субъекта персональных данных при реализации уведомления в пассивном режиме не требуется.
6. Роль уполномоченного государственного органа
15. Уполномоченный государственный орган по персональным данным, получив в соответствии со статьей 19 Закона Кыргызской Республики «Об информации персонального характера» заявление субъекта персональных данных о неправомерной передаче персональных данных, незамедлительно проверяет наличие в своих информационных системах сведений о предпринятых попытках держателя (обладателя) массива персональных данных информировать данный субъект персональных данных и в случае обнаружения указанных сведений сообщает об этом субъекту персональных данных (с приложением контактной информации держателя массива персональных данных) и держателю массива персональных данных (с приложением контактной информации о субъекте персональных данных).
7. Регистрация субъектов данных и документирование уведомлений
16. Держатель (обладатель) массива персональных данных должен документировать все случаи уведомления субъектов данных, включая дату, способ и содержание уведомления, а также хранить соответствующие доказательства в течение срока, установленного законодательством в сфере информации персонального характера, для предоставления по запросу субъектов данных или уполномоченного органа.
17. В случае получения от держателя (обладателя) массива персональных данных уведомления о невозможности информировать субъект персональных данных о передаче его персональных данных и идентификации субъекта персональных данных в числе зарегистрированных уполномоченным государственным органом по персональным данным, уполномоченный государственный орган по персональным данным информирует субъект персональных данных о передаче его персональных данных с использованием контактной информации, предоставленной субъектом персональных данных при регистрации.
Приложение
Форма уведомления субъекта персональных данных о факте передачи его персональных данных третьей стороне
В соответствии с частью 2 статьи 24 Закона Кыргызской Республики «Об информации персонального характера» настоящим уведомляем Вас о передаче Ваших персональных данных третьей стороне.
1. Наименование/личные данные получателя:
(Укажите название организации или данные физического лица, которому передаются персональные данные)
2. Цель обработки персональных данных:
(Опишите, с какой целью передаются и будут обрабатываться персональные данные)
3. Правовые основания для обработки данных:
(Укажите правовую основу для передачи данных, например, согласие субъекта данных или требование закона)
4. Перечень передаваемых данных:
(Перечислите, какие именно персональные данные передаются третьей стороне)
5. Способы обработки данных:
(Опишите методы и способы, с помощью которых данные будут обрабатываться)
6. Источник получения персональных данных:
(Укажите, откуда были получены передаваемые персональные данные)
7. Меры по обеспечению безопасности данных: (Описать меры, которые будут предприняты для защиты переданных данных от несанкционированного доступа, утечки и т. д.)
Дата передачи данных: «___» ____________ 20___ г.
Дата отправки уведомления «___» ____________ 20___ г.