Чек-лист действий при утечке данных в Казахстане

Что считается утечкой персональных данных по казахстанскому законодательству?

Утечка персональных данных — это несанкционированный доступ, раскрытие, изменение или уничтожение персональных данных, которые оператор обязан защищать в соответствии с Законом о персональных данных и их защите. Это может быть взлом базы данных, случайная публикация файла с клиентскими данными, потеря носителя, действия недобросовестного сотрудника или атака на инфраструктуру.

Для топ-менеджера важно понимать: ответственность наступает не только за умышленные действия, но и за ненадлежащую организацию защиты. Если компания не приняла разумных технических и организационных мер, регулятор вправе квалифицировать это как нарушение — независимо от того, кто именно допустил инцидент.

Казахстанское законодательство разграничивает категории данных по степени чувствительности. Биометрические данные, сведения о состоянии здоровья, финансовая информация и данные о судимостях относятся к особым категориям — их утечка влечёт повышенные риски и, как правило, более пристальное внимание регулятора.

Первый шаг при любом подозрении на инцидент — не замалчивать, а зафиксировать. Внутренний журнал инцидентов, отметка о времени обнаружения и первичное описание обстоятельств — это доказательная база, которая потребуется и при внутреннем расследовании, и при взаимодействии с регулятором.

Шаг 1. Немедленная фиксация инцидента

Первые действия после обнаружения утечки определяют всю дальнейшую правовую позицию компании. Зафиксируйте дату и время обнаружения, источник информации об инциденте и предварительный масштаб — какие данные затронуты, сколько субъектов, какие системы.

• Внесите запись в журнал инцидентов с точным временем (дата, час, минута).
• Сохраните все доступные технические логи — не удаляйте и не перезаписывайте.
• Определите ответственного сотрудника (DPO или уполномоченное лицо по защите данных).
• Изолируйте скомпрометированную систему или учётную запись, если это технически возможно без уничтожения доказательств.
• Составьте первичный отчёт об инциденте в свободной форме — для внутреннего использования.

Ключевое правило: не предпринимайте действий, которые могут уничтожить следы инцидента. Форматирование дисков, удаление логов или «восстановление» системы до расследования — это не устранение проблемы, а создание новой, более серьёзной.

Шаг 2. Оценка масштаба и категорий затронутых данных

До уведомления регулятора необходимо понять, что именно произошло. Оценка масштаба — это не формальность: от неё зависит срочность уведомления, содержание сообщения и объём мер реагирования.

• Установите, какие категории данных затронуты: общие (ФИО, контакты) или особые (здоровье, биометрия, финансы).
• Определите приблизительное число субъектов данных, чьи сведения могли быть скомпрометированы.
• Выясните, произошла ли утечка наружу (данные покинули периметр компании) или речь идёт о внутреннем несанкционированном доступе.
• Оцените вероятность реального вреда субъектам: риск мошенничества, дискриминации, репутационного ущерба.
• Зафиксируйте предварительные выводы письменно — они войдут в уведомление регулятору.

Если масштаб инцидента неясен — это не основание откладывать уведомление. Казахстанское законодательство не устанавливает жёсткого 72-часового окна, как в европейском праве, однако принцип разумной срочности действует: промедление без уважительных причин расценивается как отягчающее обстоятельство.

Шаг 3. Уведомление уполномоченного органа

Уведомление регулятора — обязательный элемент реагирования на инцидент по казахстанскому законодательству. Уполномоченный орган в сфере персональных данных — Министерство цифрового развития, инноваций и аэрокосмической промышленности РК.

• Подготовьте уведомление с описанием инцидента: дата обнаружения, характер данных, предполагаемый масштаб, принятые меры.
• Направьте уведомление в разумные сроки — не затягивайте без объективных причин.
• Сохраните подтверждение отправки (входящий номер, квитанция электронной системы).
• Будьте готовы к запросу дополнительных сведений — регулятор вправе запросить уточнения в ходе рассмотрения.
• Если инцидент затрагивает критическую информационную инфраструктуру — параллельно уведомите КНБ РК в соответствии с действующим законодательством.

Уведомление — это не признание вины. Это демонстрация добросовестности оператора. Компании, которые самостоятельно сообщают об инцидентах и принимают меры, как правило, получают более мягкую реакцию регулятора, чем те, у кого нарушение выявляется в ходе проверки.

Шаг 4. Уведомление субъектов персональных данных

Субъекты данных — физические лица, чьи сведения были скомпрометированы, — имеют право знать об инциденте, если он создаёт реальный риск для их прав и интересов. Уведомление субъектов — отдельная обязанность, не заменяющая уведомление регулятора.

• Определите, кого именно затронул инцидент, и составьте список субъектов (или их категорий).
• Сформулируйте сообщение: что произошло, какие данные затронуты, какие меры приняты, куда обращаться с вопросами.
• Выберите канал уведомления — email, SMS, личный кабинет, публичное объявление (если субъекты не идентифицированы поимённо).
• Не используйте формулировки, которые умаляют серьёзность инцидента или вводят субъектов в заблуждение.
• Зафиксируйте факт уведомления и его содержание — это часть документации по инциденту.

Уведомление субъектов — это не только правовая обязанность, но и инструмент управления репутацией. Компании, которые честно и своевременно информируют пострадавших, сохраняют доверие значительно лучше тех, у кого утечка становится публичным скандалом.

Шаг 5. Внутреннее расследование и документирование

Внутреннее расследование — это не формальность для галочки, а основа для устранения уязвимости и защиты позиции компании перед регулятором. Расследование должно быть задокументировано так, чтобы его результаты можно было предъявить в ходе проверки.

• Назначьте руководителя расследования — желательно независимого от IT-подразделения, которое допустило инцидент.
• Соберите и сохраните технические доказательства: логи доступа, записи систем мониторинга, переписку.
• Опросите причастных сотрудников и зафиксируйте показания письменно.
• Установите первопричину: технический сбой, человеческий фактор, атака извне, недостаток процедур.
• Подготовьте итоговый отчёт с выводами и рекомендациями по устранению.

Результаты расследования — конфиденциальный документ компании. Передавать его регулятору в полном объёме не обязательно, если только он не запрошен в рамках официальной проверки. Однако наличие расследования само по себе свидетельствует о добросовестности оператора.

Шаг 6. Устранение уязвимости и превентивные меры

Устранение причины инцидента — обязательный этап, без которого все предыдущие шаги теряют смысл. Регулятор при проверке оценивает не только факт нарушения, но и то, что компания сделала для его предотвращения в будущем.

• Устраните техническую уязвимость: обновите ПО, закройте несанкционированные точки доступа, усильте аутентификацию.
• Пересмотрите политику доступа к персональным данным — принцип минимальной необходимости.
• Проведите внеплановый инструктаж сотрудников, имеющих доступ к данным.
• Обновите внутреннюю политику обработки персональных данных с учётом выявленных пробелов.
• Рассмотрите возможность привлечения внешнего аудитора для независимой оценки защищённости.

Превентивные меры — это не разовая акция. Казахстанское законодательство требует от операторов поддерживать систему защиты данных в актуальном состоянии на постоянной основе. Ежегодный аудит, регулярное обучение персонала и актуализация политик — минимальный стандарт для компании, работающей с персональными данными.

Шаг 7. Взаимодействие с регулятором и юридическое сопровождение

Проверка со стороны уполномоченного органа после инцидента — вероятный, но не неизбежный сценарий. Если проверка всё же инициирована, качество юридического сопровождения на этом этапе во многом определяет итоговые санкции.

• Назначьте единственного уполномоченного представителя для взаимодействия с регулятором — исключите параллельные каналы коммуникации.
• Отвечайте на запросы в установленные сроки — просрочка воспринимается как уклонение.
• Предоставляйте только запрошенные документы — не расширяйте объём добровольно без согласования с юристом.
• Фиксируйте все коммуникации с регулятором письменно или в виде протоколов встреч.
• При получении предписания — исполняйте в срок и направляйте отчёт об исполнении.

Административное производство по делам о нарушении законодательства о персональных данных ведётся по правилам Административного процедурно-процессуального кодекса РК. Это означает, что у компании есть процессуальные права — право на ознакомление с материалами, право на возражения, право на обжалование. Использование этих прав — задача юриста, а не IT-специалиста.

Шаг 8. Итоговая документация по инциденту

Закрытие инцидента — это не момент, когда система восстановлена, а момент, когда сформирован полный пакет документации. Этот пакет — ваша защита при любой будущей проверке или претензии субъекта данных.

• Журнал инцидента с хронологией всех действий от обнаружения до закрытия.
• Копии уведомлений регулятору и субъектам данных с подтверждениями отправки.
• Итоговый отчёт внутреннего расследования с выводами о причинах и масштабе.
• Перечень принятых технических и организационных мер с датами исполнения.
• Обновлённые внутренние политики и инструкции, принятые по итогам инцидента.

Документацию по инциденту рекомендуется хранить не менее трёх лет. Срок исковой давности по требованиям субъектов данных и сроки административного преследования — ориентиры, которые определяют минимальный период хранения. Уточните актуальные сроки с юристом применительно к вашей ситуации.