Чек-лист действий при утечке данных в Казахстане: контрольный список
Утечка персональных данных в Казахстане — это не только репутационный удар, но и прямая административная ответственность оператора. Закон о персональных данных и их защите требует немедленных и последовательных действий: зафиксировать инцидент, уведомить уполномоченный орган, принять меры по минимизации ущерба. Этот чек-лист даёт собственнику бизнеса конкретный порядок действий — от первых минут после обнаружения до завершения расследования.
Обнаружили утечку данных или получили жалобу субъекта? Время реагирования напрямую влияет на правовые последствия. Проверить обработку персональных данных · info@vetrovkz.com
Что считается утечкой персональных данных по казахстанскому законодательству?
Утечка персональных данных — это любой несанкционированный доступ, раскрытие, изменение, уничтожение или блокирование данных, которые оператор обязан защищать по Закону о персональных данных и их защите. Это не только взлом базы данных: утечкой признаётся и случайная отправка файла не тому адресату, и потеря ноутбука с незашифрованными данными, и несанкционированный доступ сотрудника.
Для собственника бизнеса важно понимать: ответственность наступает не только при умышленных действиях третьих лиц, но и при ненадлежащей организации защиты внутри компании. Казахстанское законодательство исходит из принципа ответственности оператора — именно он обязан обеспечить защиту данных и доказать, что принял все разумные меры.
- Несанкционированный доступ к базе данных клиентов или сотрудников
- Случайная публикация или передача данных третьим лицам
- Кража или потеря носителей с персональными данными
- Атака на IT-инфраструктуру с компрометацией данных
- Внутренняя утечка через действия сотрудника
Утечка через подрядчика или облачный сервис — это не снимает ответственности с оператора. Важно правильно выстроить претензионную работу с третьей стороной.
Проверить обработку персональных данныхШаг 1. Зафиксируйте инцидент немедленно
Первое действие при обнаружении утечки — документирование: кто, когда и при каких обстоятельствах обнаружил инцидент. Эта фиксация станет основой для внутреннего расследования и уведомления уполномоченного органа.
Составьте внутренний акт об инциденте. В нём укажите дату и время обнаружения, источник информации об утечке, предварительную оценку масштаба — какие категории данных затронуты и примерное число субъектов. Назначьте ответственного за координацию реагирования — как правило, это IT-директор совместно с юристом компании.
- Зафиксировать дату, время и обстоятельства обнаружения
- Составить внутренний акт об инциденте
- Назначить ответственного за реагирование
- Сохранить все доказательства: логи, скриншоты, переписку
- Ограничить доступ к информации об инциденте внутри компании
Шаг 2. Локализуйте утечку и остановите распространение данных
Локализация — приоритет первых часов: необходимо прекратить дальнейшее распространение данных до того, как будет установлена полная картина инцидента. Промедление увеличивает масштаб ущерба и осложняет правовую позицию оператора.
Совместно с IT-службой определите вектор утечки: внешняя атака, внутренний доступ, технический сбой или человеческий фактор. Изолируйте скомпрометированные системы или учётные записи. Если утечка произошла через подрядчика или облачный сервис — немедленно уведомите его и потребуйте принять меры со своей стороны.
- Определить вектор и источник утечки
- Изолировать скомпрометированные системы или учётные записи
- Отозвать доступы, через которые произошла утечка
- Уведомить подрядчиков и обработчиков данных при их причастности
Шаг 3. Оцените масштаб и категории затронутых данных
Правовые последствия утечки напрямую зависят от категорий данных: утечка специальных категорий (биометрия, здоровье, финансы) влечёт более серьёзные последствия, чем компрометация базовых контактных данных. Оценка масштаба определяет объём обязательных уведомлений.
Установите: сколько субъектов затронуто, какие именно данные скомпрометированы, есть ли среди них данные несовершеннолетних или специальные категории. Это необходимо для корректного заполнения уведомления в уполномоченный орган и оценки риска для субъектов.
- Определить категории скомпрометированных данных
- Установить примерное число затронутых субъектов
- Выявить наличие специальных категорий данных (здоровье, биометрия, финансы)
- Оценить вероятный ущерб для субъектов данных
Нужно ли уведомлять уполномоченный орган — и в какие сроки?
Да: Закон о персональных данных и их защите обязывает оператора уведомить уполномоченный орган об инциденте. Уполномоченным органом в сфере персональных данных в Казахстане является Министерство цифрового развития, инноваций и аэрокосмической промышленности РК.
Уведомление следует направить в кратчайшие сроки после обнаружения и локализации инцидента. На практике ориентируйтесь на 72 часа с момента обнаружения — этот ориентир соответствует международным стандартам и демонстрирует добросовестность оператора. В уведомлении укажите характер инцидента, категории и число субъектов, принятые меры и контактное лицо.
- Подготовить уведомление в Министерство цифрового развития РК
- Направить уведомление в течение 72 часов с момента обнаружения
- Указать: характер инцидента, категории данных, число субъектов, принятые меры
- Сохранить подтверждение направления уведомления
Шаг 4. Уведомите субъектов данных
Уведомление субъектов данных — обязательный элемент реагирования, если утечка создаёт реальный риск для их прав и интересов. Это не только правовая обязанность, но и инструмент управления репутационным риском.
Уведомление должно быть понятным и содержательным: что произошло, какие данные затронуты, что уже сделано и что субъект может предпринять для защиты себя. Направляйте его по тем каналам, которые использовались при сборе данных. Если индивидуальное уведомление невозможно из-за масштаба — допустимо публичное сообщение. Документируйте факт уведомления.
- Составить текст уведомления: понятный язык, без жаргона
- Направить уведомление по каналам сбора данных (email, SMS, личный кабинет)
- При невозможности индивидуального уведомления — разместить публичное сообщение
- Зафиксировать факт и дату уведомления субъектов
Шаг 5. Проведите внутреннее расследование и устраните уязвимости
Внутреннее расследование — это не формальность, а инструмент защиты компании: его результаты подтверждают добросовестность оператора перед уполномоченным органом и судом. Расследование должно установить причину, виновных и объём ущерба.
Привлеките IT-специалистов для технического анализа и юриста для правовой оценки. Зафиксируйте результаты в письменном отчёте. По итогам расследования разработайте план устранения уязвимостей: технических, организационных и кадровых. Если к утечке причастен сотрудник — рассмотрите вопрос дисциплинарной или материальной ответственности в соответствии с Трудовым кодексом РК.
- Провести технический анализ причин утечки
- Получить правовую оценку инцидента
- Составить письменный отчёт о расследовании
- Разработать план устранения уязвимостей
- Рассмотреть вопрос ответственности причастных сотрудников
Шаг 6. Обновите документацию и внедрите превентивные меры
После устранения последствий инцидента необходимо актуализировать внутреннюю документацию по защите персональных данных — иначе следующая проверка уполномоченного органа выявит системные нарушения. Утечка — повод для полного аудита.
Проверьте актуальность политики обработки персональных данных, регламентов доступа, соглашений с обработчиками и форм согласий. Проведите обучение сотрудников. Внедрите или усильте технические меры: шифрование, двухфакторную аутентификацию, мониторинг доступа. Ознакомьтесь с материалом о составлении политики обработки персональных данных в Казахстане — это базовый документ, который должен быть актуальным.
- Актуализировать политику обработки персональных данных
- Проверить и обновить регламенты доступа к данным
- Пересмотреть договоры с обработчиками данных
- Провести обучение сотрудников по информационной безопасности
- Внедрить или усилить технические меры защиты
Как подготовиться к проверке уполномоченного органа после утечки?
Проверка уполномоченного органа после утечки — вероятный сценарий, к которому нужно готовиться параллельно с реагированием на инцидент. Порядок проведения таких проверок регулируется Административным процедурно-процессуальным кодексом РК и профильным законодательством о персональных данных.
Подготовьте пакет документов: акт об инциденте, уведомление в уполномоченный орган с подтверждением отправки, отчёт о расследовании, план устранения нарушений и доказательства его исполнения. Назначьте единое контактное лицо для взаимодействия с проверяющими. Подробнее о том, как вести себя при проверке, читайте в материале о защите компании при проверке по персональным данным в Казахстане.
- Собрать полный пакет документов по инциденту
- Назначить ответственного за взаимодействие с проверяющими
- Подготовить доказательства принятых мер реагирования
- Проконсультироваться с юристом до начала проверки
Частые вопросы
1. Можно ли хранить персональные данные казахстанцев за границей?
Закон о персональных данных и их защите требует, чтобы базы данных с персональными данными граждан Республики Казахстан располагались на серверах, физически находящихся на территории Казахстана. Трансграничная передача данных допустима при соблюдении ряда условий: наличие согласия субъекта, достаточный уровень защиты в стране-получателе или заключение специального соглашения. Хранение основной базы за рубежом без выполнения этих условий является нарушением и влечёт административную ответственность оператора. На практике компании, использующие зарубежные облачные сервисы, обязаны либо обеспечить зеркалирование данных на казахстанские серверы, либо получить явное согласие каждого субъекта на трансграничную передачу.
2. Как долго можно хранить персональные данные?
Казахстанское законодательство не устанавливает единый универсальный срок хранения персональных данных — он определяется целью обработки. Данные должны уничтожаться или обезличиваться сразу после достижения цели, для которой они собирались. Для трудовых отношений сроки хранения кадровых документов регулируются Трудовым кодексом РК и архивным законодательством. Для клиентских данных срок, как правило, привязан к сроку действия договора плюс период исковой давности. Хранить данные «на всякий случай» без определённой цели — нарушение принципа минимизации. Политика хранения должна быть закреплена во внутреннем регламенте компании и доступна субъектам данных.
3. Нужно ли согласие на обработку данных сотрудников?
Обработка персональных данных сотрудников в рамках трудовых отношений допустима без отдельного согласия, если она необходима для исполнения трудового договора или требований законодательства. Однако для обработки данных сверх этого минимума — например, для публикации фото на сайте, использования в маркетинге или передачи третьим лицам — согласие обязательно. Согласие должно быть добровольным, конкретным и информированным. Принуждение к согласию как условие трудоустройства юридически ничтожно. Работодатель обязан уведомить сотрудника о целях, объёме и сроках обработки его данных при приёме на работу.
4. Что грозит компании за утечку персональных данных в Казахстане?
За нарушение законодательства о персональных данных в Казахстане предусмотрена административная ответственность. Размер санкций зависит от характера нарушения и субъекта: для юридических лиц штрафы исчисляются в МРП (по состоянию на 2026 год МРП составляет 4 325 тенге). Помимо штрафа, уполномоченный орган вправе выдать предписание об устранении нарушений, приостановить обработку данных или обратиться в суд. При наличии умысла и значительного ущерба возможна уголовная ответственность по Уголовному кодексу РК. Репутационные последствия и гражданские иски субъектов данных — дополнительные риски, которые сложнее оцифровать, но не менее серьёзны.
5. Нужно ли уведомлять уполномоченный орган об утечке?
Закон о персональных данных и их защите обязывает оператора уведомить уполномоченный орган — Министерство цифрового развития, инноваций и аэрокосмической промышленности РК — о факте утечки. Срок уведомления и его форма установлены подзаконными актами. На практике рекомендуется направить уведомление в кратчайшие сроки после обнаружения инцидента — промедление усугубляет правовое положение оператора. В уведомлении указываются: характер инцидента, категории и примерное число затронутых субъектов, принятые меры реагирования и контактное лицо. Параллельно следует оценить необходимость уведомления самих субъектов данных.
6. Кто несёт ответственность за утечку — компания или конкретный сотрудник?
Ответственность может быть как корпоративной, так и персональной — в зависимости от обстоятельств. Компания как оператор персональных данных несёт административную ответственность за ненадлежащую организацию защиты данных. Конкретный сотрудник, допустивший утечку умышленно или по грубой неосторожности, может быть привлечён к дисциплинарной, материальной или уголовной ответственности. Руководитель компании рискует личной административной ответственностью, если будет установлено, что надлежащие меры защиты не были внедрены. Разграничение ответственности должно быть закреплено во внутренних документах: политике безопасности, должностных инструкциях и соглашениях о неразглашении.
7. Что такое «оператор персональных данных» по казахстанскому праву?
Оператором персональных данных по казахстанскому законодательству признаётся государственный орган, физическое или юридическое лицо, которое организует и (или) осуществляет обработку персональных данных. Это широкое определение охватывает практически любую компанию, работающую с данными клиентов, сотрудников или контрагентов. Оператор несёт полную ответственность за соблюдение требований Закона о персональных данных и их защите — включая обеспечение безопасности, соблюдение принципов обработки и реагирование на запросы субъектов. Если компания привлекает третьих лиц для обработки данных, она остаётся ответственным оператором и обязана заключить соответствующий договор с обработчиком.
8. Как правильно уведомить субъектов данных об утечке?
Уведомление субъектов данных об утечке должно быть понятным, своевременным и содержательным. В нём следует указать: что именно произошло, какие данные были затронуты, какие меры уже приняты и что субъект может сделать для защиты себя. Уведомление направляется по тем каналам, которые использовались при сборе данных — email, SMS, личный кабинет. Избегайте размытых формулировок и юридического жаргона: субъект должен понять риски и свои права. Если масштаб утечки велик, а индивидуальное уведомление невозможно, допустимо публичное сообщение. Документируйте факт уведомления — это важно для подтверждения добросовестности оператора перед уполномоченным органом.
Выводы
Утечка персональных данных в Казахстане — это управляемый риск при условии, что компания действует быстро и последовательно. Ключевые шаги: немедленная фиксация инцидента, локализация утечки, оценка масштаба, уведомление уполномоченного органа в течение 72 часов, уведомление субъектов данных, внутреннее расследование и устранение уязвимостей. Каждый из этих шагов должен быть задокументирован — документация защищает оператора при проверке и в суде. Превентивный аудит системы обработки персональных данных позволяет выявить уязвимости до инцидента, а не после. Подробнее об аналитике в сфере персональных данных — в разделе Аналитика.
Актуально на: 5 января 2026 года.
Если ситуация требует внимания — мы поможем разобраться.
Смежные направления
Направление практики
Персональные данные и IT-право — соответствие Закону о персональных данных, трансграничная передача, аудит обработки и IT-договоры.