Не допускается получать общее согласие на достижение всех целей. Если владелец персональных записей заинтересован в получении согласия на несколько несвязанных между собой целей обработки, то он может сделать это в одном документе, но обязан получать отдельное согласие на каждую цель (например, согласие на передачу персональных данных конкретной организации, согласие на трансграничную передачу персональных данных). При этом субъекту должна быть предоставлена возможность согласиться с одной целью и не соглашаться с другой (другими).

Если срок согласия различается для каждой цели, то его необходимо обозначить для каждой цели. Срок согласия должен быть конкретным, доступным для восприятия и понятным для субъекта персональных данных. Срок согласия может быть выражен конкретной датой, периодом времени либо критериями, используемыми для определения таких сроков.

Цифровой кодекс Кыргызской Республики

Персональные данные должны собираться и обрабатываться исключительно для достижения конкретных, заранее определенных и законных целей. Изменение или расширение целей обработки без согласия субъекта персональных данных не допускается, за исключением случаев, установленных законодательством Кыргызской Республики.

Персональные данные подлежат хранению только в течение срока, необходимого для достижения целей обработки, после чего подлежат уничтожению или обезличиванию, если иное не предусмотрено законодательством Кыргызской Республики.

Укажите для каждой строки персональные данные, цель трансграничной передачи, срок хранения и государство получателя. Одни и те же персональные данные можно указывать в нескольких строках, если передача осуществляется в разные страны или в разных целях.

Трансграничная передача допускается в страны, обеспечивающие адекватную защиту персональных данных, либо при наличии согласия субъекта и иных оснований, предусмотренных законодательством Кыргызской Республики.

Необходимо отразить общее описание используемых способов обработки персональных данных, и предполагаемых действий, таких как:

• каким образом будет осуществляться обработка – с использованием средств автоматизации или посредством создания картотек, списков, баз данных, журналов и т.п., без их использования;
• конкретные действия, совершаемые с персональными данными (например, сбор, хранение, изменение, использование, обезличивание, блокирование, удаление персональных данных);
• условия, при которых возможно распространение персональных данных (если предполагается их распространение);
• при наличии трансграничной передачи персональных данных – государства, в которые будет осуществляться передача, а также правовое основание;
• информация об использовании обезличивания персональных данных в целях повышения их защищенности (при использовании обезличивания).

• Необходимо указать конкретный перечень и наименование обработчиков и правовое основание (договор/соглашение) об определении их обработчиками.
• Не допускается указание слишком общих категорий (например, «лица, с которыми владелец имеет договорные отношения»), а также открытого перечня таких лиц («и иные лица»).

Цифровой кодекс Кыргызской Республики

Обработчик — субъект правоотношений в цифровой среде, которому иные субъекты поручили на основании договора или правового акта осуществлять обработку цифровых записей, эксплуатацию цифровых технологических систем или предоставление цифровых сервисов, а равно осуществлять доступ к объектам правоотношений в цифровой среде.