1. Сбор, обработка персональных данных осуществляются собственником и (или) оператором, а также третьим лицом с согласия субъекта или его законного представителя в порядке, определяемом уполномоченным органом, за исключением случаев, предусмотренных пунктом 5 настоящей статьи и статьей 9 настоящего Закона.

2. Сбор, обработка персональных данных умершего (признанного судом безвестно отсутствующим или объявленного умершим) субъекта осуществляются в соответствии с законодательством Республики Казахстан.

3. Распространение персональных данных в общедоступных источниках допускается при наличии согласия субъекта или его законного представителя.

3-1. В случае распространения персональных данных в общедоступных источниках самим субъектом или его законным представителем без предоставления собственнику и (или) оператору, а также третьему лицу согласия, предусмотренного пунктом 3 настоящей статьи, обязанность подтверждения законности последующего сбора, распространения или иной обработки таких персональных данных возлагается на каждое лицо, осуществившее их сбор, распространение или иную обработку.

4. Требования пункта 3 настоящей статьи не распространяются на собственников и (или) операторов, а также третьих лиц в случае распространения персональных данных в общедоступных источниках, обязанность размещения которых установлена законами Республики Казахстан.

При этом собственники и (или) операторы, а также третьи лица обязаны обеспечивать защиту персональных данных, не подлежащих распространению в соответствии с законодательством Республики Казахстан, путем их маскирования при размещении информации в общедоступных источниках.

Доступ субъекту или его законному представителю к персональным данным, распространенным на основании части первой настоящего пункта, предоставляется после прохождения процедур авторизации и идентификации, если иное не предусмотрено законами Республики Казахстан.

5. Допускается последующие сбор, обработка и распространение третьими лицами персональных данных, опубликованных на основании пунктов 3, 3-1 и 4 настоящей статьи, при условии наличия ссылки на источник информации.

6. Обработка персональных данных в виде трансграничной передачи персональных данных, за исключением случаев, предусмотренных статьей 16 настоящего Закона, распространения персональных данных в общедоступных источниках, а также их передачи третьим лицам осуществляется при условии согласия субъекта.

7. Особенности сбора, обработки персональных данных в цифровых ресурсах, содержащих персональные данные, устанавливаются в соответствии с цифровым законодательством Республики Казахстан с учетом положений настоящего Закона.

8. Сбор и обработка персональных данных должны ограничиваться достижением конкретных, заранее определенных и законных целей.

Не допускаются сбор и обработка персональных данных в целях причинения имущественного ущерба и (или) морального вреда, ограничения реализации прав, свобод и законных интересов субъекта.

9. Не подлежат обработке персональные данные, содержание и объем которых являются избыточными по отношению к целям их обработки.

10. Запрещаются сбор, обработка копий документов, удостоверяющих личность, на бумажном носителе, за исключением случаев отсутствия интеграции с цифровыми объектами государственных органов и (или) государственных юридических лиц, невозможности идентификации субъекта с использованием технологических средств, а также в иных случаях, предусмотренных законами Республики Казахстан.

Исключительные случаи сбора, обработки копий документов, удостоверяющих личность, на бумажном носителе, предусмотренные частью первой настоящего пункта, не распространяются на использование и представление документов, удостоверяющих личность, формируемых посредством сервиса цифровых документов.

11. Запрещаются сбор, обработка персональных данных для создания или расширения баз и (или) цифровых объектов посредством нецелевого извлечения персональных данных из общедоступных источников.

12. Использование в общественных местах технологических средств по сбору биометрических данных и идентификации субъекта, а также собранных биометрических данных и идентификационной информации может осуществляться исключительно в целях защиты конституционного строя, охраны общественного порядка, прав и свобод человека, здоровья и нравственности населения, за исключением случая, когда получено согласие субъекта.