Уведомление об утечке персональных данных в Казахстане: анализ практики

Контекст: почему утечки данных стали регуляторным приоритетом в Казахстане

Число инцидентов с персональными данными в Казахстане устойчиво растёт — это фиксирует уполномоченный орган в сфере защиты персональных данных. Утечки затрагивают компании всех секторов: от финансовых организаций и телекоммуникаций до розничной торговли и медицины.

Собственник бизнеса принимает решения о том, как хранятся и обрабатываются данные клиентов, сотрудников и контрагентов. Именно он несёт ответственность за выстроенные процессы — или за их отсутствие. Регулятор последовательно ужесточает требования к операторам: проверки участились, санкции стали ощутимее.

Закон о персональных данных и их защите устанавливает не только обязанность защищать данные, но и чёткий порядок действий при инциденте. Уведомление об утечке — это не формальность, а юридически значимое действие с конкретными сроками и содержанием. Его отсутствие или нарушение порядка квалифицируется как самостоятельное правонарушение.

Для понимания масштаба: по данным Бюро национальной статистики РК, на начало 2026 года в стране действовало более 434 000 юридических лиц. Подавляющее большинство из них обрабатывают персональные данные хотя бы своих сотрудников — и формально являются операторами со всеми вытекающими обязанностями.

Что считается утечкой персональных данных по казахстанскому праву?

Утечка персональных данных — это любой инцидент, повлёкший несанкционированный доступ к данным, их раскрытие, изменение, блокирование или уничтожение без ведома оператора. Казахстанское законодательство не ограничивает понятие утечки только внешними атаками: внутренние инциденты (действия сотрудников, ошибки конфигурации, случайная рассылка) подпадают под те же требования.

На практике операторы нередко квалифицируют инцидент как «технический сбой» и не инициируют процедуру уведомления. Это ошибка: уполномоченный орган оценивает не причину инцидента, а его последствия — стал ли возможным несанкционированный доступ к данным. Если ответ положительный, обязанность уведомить возникает независимо от умысла.

Особую категорию составляют инциденты с чувствительными данными: сведениями о состоянии здоровья, биометрией, данными о судимостях. Утечка таких данных автоматически квалифицируется как высокорисковый инцидент и требует уведомления не только регулятора, но и самих субъектов. Подробнее о категориях чувствительных данных — в материале «Что такое чувствительные персональные данные в Казахстане».

Кто обязан уведомлять: оператор, третье лицо или оба?

Обязанность уведомить уполномоченный орган лежит на операторе персональных данных — лице, которое самостоятельно определяет цели и порядок обработки. Если обработка передана третьему лицу (обработчику) по договору, ответственность за уведомление регулятора всё равно остаётся за оператором.

Обработчик обязан незамедлительно сообщить оператору о выявленном инциденте — это условие должно быть прямо закреплено в договоре на обработку данных. На практике многие компании упускают этот пункт, и оператор узнаёт об утечке с опозданием, уже нарушив 72-часовой срок.

Если компания одновременно выступает оператором для одних данных и обработчиком для других (например, облачный провайдер), она несёт разные обязанности в зависимости от роли. Смешение ролей — типичная ошибка при аудите: компания считает себя обработчиком и не выстраивает процедуры уведомления, хотя фактически является оператором.

Порядок уведомления: 72 часа, уполномоченный орган и субъекты данных

С момента обнаружения инцидента у оператора есть 72 часа на уведомление уполномоченного органа — это жёсткий срок, не зависящий от полноты расследования. Если к моменту уведомления оператор не располагает всей информацией, он направляет предварительное уведомление с имеющимися сведениями и дополняет его по мере расследования.

Уведомление уполномоченного органа должно содержать:

• описание характера инцидента и категорий затронутых данных;
• приблизительное число субъектов и записей;
• контактные данные ответственного за защиту данных;
• вероятные последствия инцидента и принятые меры.

Параллельно оператор оценивает риск для субъектов данных. Если риск высокий — необходимо уведомить и самих субъектов без неоправданной задержки. Уведомление субъектов должно быть написано понятным языком: без юридического жаргона, с конкретными рекомендациями о том, что делать пострадавшему.

Типичные ошибки операторов при уведомлении об утечке

Анализ административных дел в сфере персональных данных выявляет устойчивые паттерны нарушений. Первая и наиболее распространённая ошибка — запоздалое обнаружение инцидента из-за отсутствия систем мониторинга. Оператор, не имеющий инструментов логирования и оповещения, узнаёт об утечке от третьих лиц — иногда из публикаций в СМИ.

Вторая типичная ошибка — неверная квалификация инцидента. Компания расценивает событие как «незначительное» и не инициирует процедуру уведомления. Регулятор при проверке квалифицирует то же событие иначе — и фиксирует нарушение порядка уведомления как самостоятельный состав.

Третья ошибка — отсутствие внутреннего регламента реагирования. Когда инцидент происходит, сотрудники не знают, кому сообщать, что фиксировать и в какие сроки действовать. В результате 72-часовой срок нарушается не из-за злого умысла, а из-за организационного хаоса.

Четвёртая ошибка — неполное содержание уведомления. Операторы направляют формальные письма без описания принятых мер, что вызывает дополнительные запросы регулятора и затягивает процедуру. Подробнее о требованиях к согласию на обработку данных — в материале «Как получить согласие на обработку персональных данных в Казахстане».

Административная ответственность: что грозит оператору за нарушение порядка уведомления?

Нарушение порядка уведомления об утечке персональных данных влечёт административную ответственность по казахстанскому законодательству. Санкции применяются как за несоблюдение срока уведомления, так и за неполноту его содержания — это самостоятельные составы.

Размер санкций зависит от категории субъекта (физическое лицо, должностное лицо, юридическое лицо) и наличия отягчающих обстоятельств. Повторное нарушение в течение года, утечка чувствительных данных или данных несовершеннолетних существенно увеличивают размер взыскания.

Помимо административной ответственности, оператор несёт риск гражданско-правовых требований со стороны субъектов данных. Казахстанское законодательство предоставляет субъекту право требовать возмещения вреда, причинённого нарушением его прав в сфере персональных данных. По нашему опыту, такие иски пока редки, но их число растёт по мере роста правовой осведомлённости граждан.

В отдельных случаях — при наличии умысла должностного лица и значительном ущербе — возможна уголовная ответственность. Уголовный кодекс РК содержит составы, охватывающие незаконный сбор и распространение сведений о частной жизни, а также неправомерный доступ к охраняемой информации.

Практические рекомендации: что сделать собственнику до инцидента

Реагирование на утечку начинается задолго до самой утечки — с выстраивания внутренних процедур. Собственник, который выстроил регламент заранее, имеет реальный шанс уложиться в 72-часовой срок и минимизировать санкции.

Первый шаг — провести аудит обработки персональных данных: определить, какие данные собираются, где хранятся, кто имеет доступ и на каком основании. Без этой карты невозможно ни выявить инцидент, ни правильно его квалифицировать. Аудит также позволяет обнаружить «лишние» данные, которые компания хранит без законного основания.

Второй шаг — разработать и утвердить внутренний регламент реагирования на инциденты. Регламент должен определять: кто принимает решение о квалификации инцидента; кто готовит уведомление для регулятора; кто уведомляет субъектов; как фиксируются все действия. Регламент тестируется на учебных сценариях — иначе в реальной ситуации он не работает.

Третий шаг — проверить договоры с подрядчиками, обрабатывающими данные. В каждом таком договоре должна быть прямая обязанность подрядчика немедленно уведомить оператора об инциденте. Подробнее о смежных вопросах защиты интеллектуальной собственности и цифрового контента — в материале «Авторское право в Казахстане: как защитить контент».

Как уполномоченный орган проверяет соблюдение требований об уведомлении?

Уполномоченный орган в сфере защиты персональных данных проводит как плановые, так и внеплановые проверки операторов. Основанием для внеплановой проверки может стать жалоба субъекта данных, публикация в СМИ об инциденте или информация от других государственных органов.

При проверке регулятор запрашивает документацию: политику обработки персональных данных, журналы инцидентов, переписку с уполномоченным органом, договоры с обработчиками. Отсутствие документации само по себе является нарушением и отягчает ответственность.

По нашему опыту, регулятор особо обращает внимание на три момента: соблюдение 72-часового срока уведомления; полноту содержания уведомления; наличие и исполнение внутреннего регламента реагирования. Компании, имеющие задокументированные процедуры и доказательства их исполнения, как правило, получают меньшие санкции даже при наличии нарушения.