Сбор и обработка собственником или оператором персональных данных допускается в объеме, определенном Перечнем персональных данных, необходимом и достаточном для выполнения осуществляемых задач. При этом Перечень персональных данных определяется и утверждается в соответствии с Правилами определения собственником или оператором перечня персональных данных. Субъект или его законный представитель может отозвать согласие на сбор, обработку персональных данных письменно, в виде электронного документа или посредством сервиса обеспечения безопасности персональных данных либо иным способом с применением элементов защитных действий, не противоречащих законодательству республики.

Также указывается, что использование персональных данных осуществляется собственником, оператором и третьим лицом для ранее заявленных целей их сбора. При этом распространение персональных данных, выходящих за рамки ранее заявленных целей их сбора, осуществляется с согласия субъекта или его законного представителя. Персональные данные обезличиваются для проведения статистических, социологических, научных, маркетинговых исследований. Обезличивание осуществляется собственником или оператором, либо третьим лицом до их распространения, любым не противоречащим законодательству республики.

Также документ предусматривает, в каких случаях персональные данные подлежат уничтожению собственником либо оператором, а также третьим лицом:

— по истечении срока хранения;
— при прекращении правоотношений между субъектом, собственником или оператором, а также третьим лицом;
— при вступлении в законную силу решения суда;
— в иных случаях, установленных законодательством.

Уничтожение персональных данных осуществляется путем удаления информации либо уничтожения материальных носителей персональных данных.

Приказ вводится в действие по истечении 10 календарных дней после дня его первого официального опубликования (28 октября).