Кодекс Кыргызской Республики № 178 от 31.07.2025

1. Персональные данные должны обрабатываться на законных основаниях, справедливым и открытым образом в отношении субъекта персональных данных (принцип законности, справедливости, прозрачности).

2. Обработка персональных данных должна ограничиваться достижением конкретных, заранее определенных и законных целей. Изменение или расширение цели обработки персональных данных владельцем записей без согласия субъекта не допускается, за исключением случаев, установленных законодательством (принцип ограничения цели).

3. Содержание и объем обрабатываемых персональных данных должны соответствовать заявленным целям обработки. Обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки (принцип минимизации данных).

4. При обработке персональных данных должны быть обеспечены точность персональных данных, их достаточность, а в необходимых случаях и актуальность по отношению к целям обработки персональных данных. Владелец записей должен принимать необходимые меры по удалению или уточнению неполных или неточных персональных данных (принцип точности).

5. Хранение персональных данных должно осуществляться в форме, позволяющей определить субъекта персональных данных не дольше, чем этого требуют цели обработки персональных данных, если срок хранения персональных данных не установлен законодательством или обязательным для субъекта договором. Обрабатываемые персональные данные подлежат уничтожению либо обезличиванию по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено законодательством (принцип ограничения хранения).

6. Обработка персональных данных должна осуществляться способом, обеспечивающим их безопасность, то есть с обязательным принятием организационных и технических мер, предотвращающих несанкционированную или незаконную обработку персональных данных, их случайное или преднамеренное уничтожение, потерю, повреждение или изменение (принцип целостности и конфиденциальности).

7. Владелец записей несет ответственность за соблюдение принципов, предусмотренных настоящей статьей, и должен быть способен подтвердить их соблюдение.

1. Обработка персональных данных допускается при наличии хотя бы одного из следующих оснований обработки:

3. Согласие ничтожно, если оно получено в ответ на запрос, который:

4. Согласие на обработку персональных данных должно быть добровольным, конкретным, информированным и сознательным. Согласие на обработку персональных данных может быть дано субъектом персональных данных в любой форме, позволяющей подтвердить факт его получения, если иное не установлено законодательством.

5. Согласие на обработку персональных данных может быть отозвано субъектом персональных данных. Процедура отзыва согласия не должна быть более обременительной, чем процедура предоставления согласия.

6. Выдача и отзыв согласия на обработку персональных данных могут быть совершены представителем субъекта, действующим от его имени на основании доверенности, договора, указания закона либо акта уполномоченного государственного органа или органа местного самоуправления. В случае недееспособности субъекта персональных данных согласие на обработку его персональных данных дает и отзывает законный представитель субъекта персональных данных. В случае смерти субъекта персональных данных согласие на обработку его персональных данных дают и отзывают наследники субъекта персональных данных.

1. Запрещается обработка следующих специальных категорий персональных данных:

2. Обработка персональных данных детей допускается, если:

4. Запрос согласия на обработку персональных данных детей и информация, связанная с обработкой персональных данных детей, должны быть изложены ясным и доступным языком, понятным для ребенка.

5. Владельцы записей обязаны принимать меры, необходимые для предотвращения незаконной обработки персональных данных детей.

2. Оценка воздействия на защиту персональных данных проводится в следующих случаях:

3. Отраслевой регулятор в сфере персональных данных определяет перечень операций по обработке, для которых требуется оценка воздействия на защиту персональных данных, а также перечень операций по обработке, для которых оценка воздействия на защиту данных не требуется.

4. Оценка воздействия на защиту персональных данных включает в себя:

5. Система управления рисками должна учитывать мнения субъектов персональных данных из соответствующей целевой аудитории о запланированной обработке их персональных данных.

6. Владелец записей обязан осуществить пересмотр оценки воздействия при существенном изменении набора операций или перечней персональных данных.

1. Владелец записей обязан, в том числе на основании запроса субъекта персональных данных, немедленно удалить персональные записи при наличии хотя бы одного из следующих оснований:

1. Субъект персональных данных вправе направить владельцу записей возражение против обработки персональных данных о нем определенными способами или в определенных целях. Владелец записей обязан немедленно прекратить обработку персональных данных указанными способами или в указанных целях при наличии хотя бы одного из следующих оснований:

2. Владелец записей обязан рассмотреть возражение против обработки и в течение семи рабочих дней со дня его получения направить субъекту персональных данных мотивированное решение.

3. Субъект персональных данных вправе обжаловать решение владельца записей в отраслевой регулятор в сфере персональных данных или в суд.

1. Владелец записей обязан ограничить обработку цифровых записей в отношении субъекта персональных данных:

2. Владелец записей обязан с использованием имеющейся у него контактной информации проинформировать субъекта персональных данных об установлении или снятии ограничений на обработку персональных записей не позднее одного рабочего дня, следующего за днем, когда были установлены или сняты ограничения.

1. Обработчик осуществляет обработку персональных записей в соответствии с правовым актом или договором с их владельцем на тех же основаниях обработки персональных данных, предусмотренных настоящим Кодексом, что и владелец персональных записей.

2. Владелец записей обязан обеспечить соблюдение обработчиком требований настоящего Кодекса.

3. Обработчик не вправе привлекать другого обработчика без предварительного письменного разрешения владельца записей.

4. Договор обработчика с владельцем записей или правовой акт, в соответствии с которым привлекается обработчик, должен содержать следующие положения:

5. Отраслевой регулятор в сфере персональных данных разрабатывает и публикует на своем сайте типовые (рекомендуемые) формы договора обработчика с владельцем записей и правового акта, в соответствии с которым привлекается обработчик.

1. Владельцы записей, которым совместно принадлежат цифровые права на одни и те же персональные записи (персональные ресурсы) и которые совместно определяют цели и средства обработки, считаются совместными владельцами записей.

2. Совместные владельцы записей должны открытым образом, в том числе путем заключения договора или издания правового акта определить и опубликовать порядок совместного осуществления своих прав и исполнения обязанностей, предусмотренных настоящим Кодексом в отношении владельцев записей. Одновременно с публикацией порядка совместного осуществления прав и исполнения обязанностей должна быть опубликована контактная информация, достаточная для того, чтобы связаться с владельцами записей в цифровой среде.

3. Обработка данных в цифровых сообществах осуществляется в соответствии с правилами сообщества, в которых должно быть определено лицо, ответственное за обработку персональных данных в цифровом сообществе.

4. Обработка данных в цифровых экосистемах осуществляется в соответствии с правилами цифровой экосистемы. Владелец цифровой экосистемы обязан обеспечить соблюдение требований настоящего Кодекса в отношении обработки персональных данных в цифровой экосистеме, должен быть способен подтвердить их соблюдение и несет ответственность за их несоблюдение.

5. Субъект персональных данных может осуществлять свои права в отношении любого из владельцев записей по своему выбору независимо от договоренностей между совместными владельцами записей.

1. Владелец записей обязан осуществлять защиту персональных данных, персональных записей, персональных ресурсов.

2. В целях обеспечения цифровой устойчивости в ходе обработки персональных данных владелец записей:

1. Отраслевой регулятор в сфере персональных данных утверждает и публикует на своем сайте перечень иностранных государств, обеспечивающих адекватную защиту прав субъектов персональных данных. Иностранное государство может быть включено в указанный перечень при условии соответствия действующих в таком государстве норм права и применяемых мер по обеспечению защиты персональных данных положениям настоящего Кодекса.

2. Трансграничная передача персональных данных на территории иностранных государств, включенных в перечень иностранных государств, обеспечивающих адекватную защиту прав субъектов персональных данных, осуществляется в соответствии с настоящим Кодексом и не может быть запрещена или ограничена.

3. Владелец записей обязан до начала осуществления трансграничной передачи персональных данных убедиться в том, что иностранное государство, на территорию которого осуществляется передача персональных данных, включено в перечень, предусмотренный настоящей статьей.

4. Трансграничная передача персональных данных на территории иностранных государств, не обеспечивающих адекватной защиты прав субъектов персональных данных, может осуществляться в случаях:

5. В случае трансграничной передачи персональные данные обрабатываются в соответствии с законодательством страны, в которую они переданы.

2. Руководитель отраслевого регулятора в сфере персональных данных должен обладать квалификацией, опытом и знаниями, в том числе в сфере защиты персональных данных, необходимыми для осуществления полномочий и выполнения обязанностей.

1) обеспечение применения настоящего Кодекса и надзор за его применением в соответствующей сфере;

2) повышение осведомленности субъектов персональных данных относительно рисков, норм, гарантий и прав, касающихся обработки персональных данных, в том числе персональных данных детей;

3) повышение осведомленности владельцев и обработчиков персональных данных об их обязательствах в соответствии с настоящим Кодексом;

4) консультирование государственных органов и организаций в отношении законодательных и административных мер, относящихся к обработке персональных данных;

5) осуществление в порядке, установленном Кабинетом Министров, аккредитации физических или юридических лиц на проведение проверок соблюдения требований в сфере персональных данных;

6) информирование субъектов данных по вопросам осуществления их прав, предусмотренных настоящим Кодексом, в том числе если это требует сотрудничества с надзорными органами других государств в этих целях;

7) рассмотрение жалоб и проведение проверок в ходе применения настоящего Кодекса в сфере персональных данных, в том числе по своей инициативе и на основе информации, полученной от другого надзорного органа или другого государственного органа. Проведение проверок субъектов предпринимательства осуществляется в соответствии с законодательством Кыргызской Республики о порядке проведения проверок субъектов предпринимательства;

8) использование профилактических, корректирующих и принудительных мер по фактам нарушений принципов и правил обработки персональных данных, прав и обязанностей в соответствии с настоящим Кодексом;

9) публикация руководств и рекомендаций по обработке персональных данных, соответствующих мерам безопасности и соблюдению настоящего Кодекса.

4. Отраслевой регулятор в сфере персональных данных ведет реестр владельцев записей, куда по мере получения вносит данные:

5. Порядок ведения реестра владельцев записей определяется отраслевым регулятором самостоятельно. Доступ к реестру осуществляется посредством сайта отраслевого регулятора.

6. Отраслевой регулятор в сфере персональных данных публикует годовой отчет о деятельности и результаты своих расследований на своем сайте.

1) запрашивать у физических лиц и организаций информацию, в том числе относящуюся к государственным секретам или к иной охраняемой законом тайне, необходимую для реализации своих полномочий, и безвозмездно получать такую информацию;

2) для целей установления фактов, имеющих значение для проводимых контрольно-надзорных мероприятий, осуществлять доступ во все помещения, к документам, оборудованию, сотрудникам и контрагентам владельца персональных записей, имеющим отношение к их обработке;

3) осуществлять мониторинг обработки персональных данных государственными органами и их подведомственными организациями за исключением данных, полученных в процессе разведывательной и контрразведывательной деятельности и деятельности, связанной с обороной;

4) требовать от владельца записей уточнения, блокирования или удаления недостоверных либо полученных незаконным путем персональных данных;

5) требовать приостановления обработки персональных данных, осуществляемой с нарушением требований настоящего Кодекса;

6) обращаться в суд с исковыми заявлениями в защиту нарушенных прав субъектов персональных данных, в том числе в защиту прав неопределенного круга лиц, и представлять интересы субъектов персональных данных в суде;

7) направлять материалы, связанные с нарушением прав субъектов персональных данных, в соответствии с подведомственностью;

8) вносить в Кабинет Министров предложения о совершенствовании нормативного правового регулирования в сфере персональных данных. Нормативные правовые акты, принимаемые во исполнение настоящего Кодекса, направленные на осуществление проверок организаций, деятельность которых регулируется банковским законодательством, подлежат обязательному согласованию с Национальным банком Кыргызской Республики;

9) привлекать к ответственности лиц, виновных в нарушении требований настоящего Кодекса в соответствующей сфере.

8. Отраслевой регулятор в сфере персональных данных обязан исключить незаконный доступ к персональным записям, обрабатываемым в ходе осуществления им своей деятельности, и несет ответственность в случае неправомерной обработки таких персональных записей.

1) организовывать соблюдение прав субъектов персональных данных в соответствии с положениями настоящего Кодекса;

2) проверять соблюдение владельцами записей и обработчиками положений настоящего Кодекса в сфере обработки персональных данных и выносить обязательные для исполнения решения по результатам проверок;

3) взаимодействовать с другими государственными органами Кыргызской Республики, в том числе заключать меморандумы о совместных действиях по контролю и надзору, в целях исключения дублирования контрольно-надзорных мероприятий и учета особенностей ведения деятельности в соответствующей сфере;

4) рассматривать жалобы и обращения физических и юридических лиц по вопросам, связанным с обработкой персональных данных, а также принимать в пределах своих полномочий обязательные для исполнения решения по результатам рассмотрения указанных жалоб и обращений;

5) давать разъяснения по вопросам применения законодательства в сфере персональных данных по запросу физических лиц и организаций с опубликованием таких разъяснений на своем сайте;

6) разрабатывать и публиковать рекомендации по вопросам учета операций по обработке персональных данных, проведения обучающих и просветительских мероприятий в сфере персональных данных, а также примерные формы договоров, правовых актов и иных документов в сфере персональных данных.

10. Отраслевой регулятор в сфере персональных данных осуществляет сотрудничество с аналогичными органами в иностранных государствах, утверждает перечень иностранных государств, обеспечивающих адекватную защиту прав субъектов персональных данных.

1. Информация персонального характера, не являющаяся цифровыми данными и обрабатываемая без использования цифровых устройств, должна обрабатываться с соблюдением принципов обработки, установленных настоящим Кодексом, и только при наличии предусмотренных настоящим Кодексом оснований обработки.

2. Если для реализации требований, предъявленных субъектом персональных данных, требуется изготовление копий информации персонального характера на бумажном носителе, субъект персональных данных обязан оплатить стоимость изготовления таких копий.

3. Собственник материальных носителей, содержащих информацию персонального характера, не обязан соблюдать требования настоящего Кодекса по защите персональных данных, однако обязан ограничить доступ к таким носителям и вести учет таких носителей и лиц, имеющих доступ к ним.