Уведомление об утечке персональных данных в Казахстане: экспертная оценка
При обнаружении утечки персональных данных казахстанский оператор обязан уведомить уполномоченный орган в течение 72 часов — и отдельно уведомить самих субъектов, если инцидент создаёт для них высокий риск. Нарушение этого порядка влечёт административную ответственность, а при систематических нарушениях — уголовно-правовые последствия для должностных лиц. В этом материале разбираем, как устроена процедура уведомления, что должен содержать каждый документ и где на практике возникают ошибки.
Если ваша компания обнаружила инцидент с данными или получила запрос от уполномоченного органа — время на реакцию ограничено. Проверить обработку персональных данных · info@vetrovkz.com
Что изменилось в регулировании персональных данных в Казахстане
Казахстанское законодательство о персональных данных прошло несколько волн реформ за последние годы, и требования к операторам существенно ужесточились. Закон о персональных данных и их защите устанавливает обязанности, которые прежде воспринимались как формальность, — сегодня они подкреплены реальными санкциями и активным надзором со стороны уполномоченного органа.
Ключевое изменение — введение обязательного уведомления об инцидентах. Если раньше оператор мог ограничиться внутренними мерами реагирования, то теперь любой инцидент, создающий риск для субъектов данных, требует документированного уведомления регулятора в жёсткие сроки. Параллельно расширился перечень специальных категорий данных, требующих усиленной защиты: биометрия, данные о здоровье, финансовые сведения.
Для бизнеса это означает переход от декларативного соответствия к операционному: нужны не только политики конфиденциальности на сайте, но и работающие процедуры обнаружения, классификации и эскалации инцидентов. Компании, не выстроившие такие процедуры, узнают о своих обязанностях в момент проверки — когда исправить ситуацию уже сложнее.
Если инцидент уже произошёл или вы не уверены, подпадает ли ситуация под обязательное уведомление — лучше проверить это до истечения срока.
Проверить обработку персональных данныхКто обязан уведомлять и в каких случаях?
Обязанность уведомления об утечке лежит на операторе персональных данных — любом юридическом или физическом лице, которое определяет цели и порядок обработки данных. Практически любая компания, работающая с данными клиентов, сотрудников или контрагентов, является оператором по казахстанскому праву.
Уведомление обязательно при инцидентах, которые повлекли или могут повлечь несанкционированный доступ, распространение, изменение или уничтожение персональных данных. Это охватывает широкий круг ситуаций: взлом базы данных, утрата носителя с данными, случайная публикация закрытых сведений, атака вредоносного программного обеспечения с шифрованием данных.
Важное разграничение: не каждый технический сбой является инцидентом в правовом смысле. Если данные не были скомпрометированы — например, система была недоступна, но данные не покинули периметр защиты — обязанность уведомления может не возникать. Оценку ситуации оператор проводит самостоятельно и обязан её задокументировать.
- Взлом или несанкционированный доступ к базам данных
- Утрата или кража устройств с персональными данными
- Случайная передача данных третьим лицам
- Атаки с шифрованием или уничтожением данных
- Внутренние злоупотребления со стороны сотрудников
Срок 72 часа: как он считается и что делать, если не успели?
72-часовой срок уведомления уполномоченного органа начинает течь с момента, когда оператор узнал или должен был узнать об инциденте — не с момента его фактического возникновения. Это принципиальное различие: если утечка произошла в пятницу вечером, а служба безопасности обнаружила её в понедельник утром, отсчёт начинается с понедельника.
На практике 72 часа — очень короткий срок для компаний без выстроенных процедур реагирования. За это время нужно установить факт инцидента, оценить его масштаб, классифицировать затронутые данные, определить круг субъектов и подготовить уведомление с описанием принятых мер. Без заранее подготовленных шаблонов и назначенного ответственного лица это практически невозможно сделать качественно.
Если уведомление направляется позже 72 часов, оператор обязан указать причины задержки. Уважительными причинами могут считаться объективная невозможность установить масштаб инцидента в срок или продолжающееся расследование. Однако ссылка на организационную неготовность уважительной причиной не является и не освобождает от ответственности.
Что должно содержать уведомление об утечке?
Уведомление уполномоченного органа — это структурированный документ, а не произвольное письмо. Казахстанское законодательство определяет обязательный состав сведений, и их неполнота может быть расценена как ненадлежащее исполнение обязанности.
Уведомление должно содержать описание характера инцидента: что произошло, когда было обнаружено, какие категории данных затронуты (контактные, финансовые, биометрические, медицинские). Отдельно указывается примерное число субъектов и записей — даже если точные цифры ещё не установлены, оператор приводит наилучшую оценку с оговоркой.
Обязательный элемент — контактные данные ответственного лица, к которому уполномоченный орган может обратиться за дополнительной информацией. Также описываются возможные последствия инцидента для субъектов и меры, уже принятые или запланированные: изоляция скомпрометированных систем, смена учётных данных, уведомление субъектов, привлечение специалистов по кибербезопасности.
- Характер инцидента и дата обнаружения
- Категории и примерное число затронутых данных
- Контактные данные ответственного лица
- Оценка возможных последствий для субъектов
- Принятые и планируемые меры реагирования
Как и когда уведомлять субъектов персональных данных?
Уведомление субъектов данных — отдельная обязанность, которая возникает не при каждой утечке, а только когда инцидент создаёт высокий риск для прав и свобод физических лиц. Оценку этого риска оператор проводит самостоятельно и документирует.
Высокий риск, как правило, присутствует при утечке финансовых данных, данных о здоровье, биометрии, данных несовершеннолетних или сведений, позволяющих совершить мошенничество или причинить иной существенный вред субъекту. Утечка зашифрованных данных, ключи к которым не скомпрометированы, может не создавать высокого риска — и тогда уведомление субъектов не требуется, хотя уведомление регулятора остаётся обязательным.
Уведомление субъектов должно быть направлено без неоправданной задержки после установления факта инцидента. Оно должно быть написано ясным языком, без технического жаргона, и содержать описание инцидента, его возможных последствий и рекомендации по защите — например, смена паролей или мониторинг финансовых операций. Если уведомить каждого субъекта индивидуально невозможно без несоразмерных усилий, допускается публичное уведомление через СМИ или официальный сайт.
Практические ошибки операторов при реагировании на инциденты
Анализ правоприменительной практики в Казахстане показывает несколько устойчивых паттернов нарушений, которые повторяются вне зависимости от размера компании и отрасли.
Первая и наиболее распространённая ошибка — запоздалое обнаружение инцидента. Компании без систем мониторинга и журналирования узнают об утечке не от своих систем, а от субъектов данных, журналистов или самого уполномоченного органа. К этому моменту 72-часовой срок уже истёк, и нарушение зафиксировано автоматически.
Вторая ошибка — неправильная классификация инцидента. Операторы нередко квалифицируют утечку как «технический сбой» или «незначительный инцидент», не требующий уведомления, — и не документируют основания такой оценки. При проверке отсутствие документации воспринимается как сокрытие инцидента, что существенно отягощает ответственность.
Третья ошибка — неполное уведомление. Операторы направляют уведомление в срок, но без обязательных сведений: без оценки числа субъектов, без описания мер реагирования, без контактного лица. Такое уведомление считается ненадлежащим и не освобождает от ответственности за нарушение порядка уведомления.
Административная и уголовная ответственность: что грозит оператору?
Ответственность за нарушение требований о персональных данных в Казахстане является многоуровневой: административная ответственность наступает при любом нарушении, уголовная — при наличии умысла, систематичности или существенного вреда субъектам.
Административные санкции дифференцированы по субъекту: физическое лицо, должностное лицо и юридическое лицо несут разные размеры штрафов, исчисляемых в МРП (по состоянию на 2026 год — 4 325 тенге за единицу). Повторное нарушение в течение года влечёт увеличенный штраф. Уполномоченный орган вправе также выдать предписание об устранении нарушений и приостановить обработку данных до их устранения.
Уголовная ответственность по Уголовному кодексу РК может наступить при умышленном незаконном сборе, хранении или распространении персональных данных, причинившем существенный вред. Для должностных лиц компаний, допустивших систематические нарушения или сокрытие инцидентов, риск уголовного преследования является реальным — особенно если утечка затронула данные о здоровье, финансовые сведения или данные несовершеннолетних.
Рекомендации: как выстроить процедуру реагирования на инциденты
Эффективная процедура реагирования на инциденты с персональными данными строится на трёх элементах: технической готовности, организационной структуре и заранее подготовленной документации.
С технической стороны необходимы системы мониторинга и журналирования, позволяющие обнаружить инцидент в реальном времени, а не постфактум. Без этого 72-часовой срок превращается в формальность: к моменту обнаружения он уже истёк. Минимальный набор — журналы доступа к базам данных, система оповещения о нетипичных операциях, регулярное резервное копирование.
С организационной стороны нужно назначить ответственное лицо за персональные данные, определить цепочку эскалации при инциденте и провести обучение сотрудников. Сотрудник, обнаруживший подозрительную активность, должен знать, кому сообщать и в какой срок — иначе информация теряется на уровне исполнителя.
- Разработать и утвердить процедуру реагирования на инциденты
- Подготовить шаблоны уведомлений для регулятора и субъектов
- Назначить ответственное лицо с чёткими полномочиями
- Внедрить технический мониторинг доступа к данным
- Провести учебные тренировки по реагированию на инциденты
Частые вопросы
1. Что такое утечка персональных данных по казахстанскому законодательству?
Утечка персональных данных — это несанкционированный доступ, распространение, изменение или уничтожение персональных данных, которые оператор обязан защищать. Казахстанское законодательство обязывает оператора уведомить уполномоченный орган и субъектов данных при выявлении такого инцидента. Отсутствие уведомления влечёт административную ответственность. Важно понимать, что не каждый технический сбой является утечкой в правовом смысле: если данные не покинули защищённый периметр, обязанность уведомления может не возникнуть — но оценку ситуации необходимо задокументировать.
2. В какой срок нужно уведомить уполномоченный орган об утечке данных в Казахстане?
Действующее законодательство Казахстана обязывает оператора уведомить уполномоченный орган в течение 72 часов с момента обнаружения инцидента. Если уведомление направляется позже, оператор обязан указать причины задержки. Срок начинает течь с момента, когда оператор узнал или должен был узнать об инциденте — не с момента его фактического возникновения. Субъекты данных уведомляются отдельно и без неоправданной задержки, если инцидент создаёт для них высокий риск.
3. Что должно содержать уведомление об утечке персональных данных?
Уведомление об утечке должно включать: описание характера инцидента и категорий затронутых данных, примерное число субъектов и записей, контактные данные ответственного лица, описание возможных последствий инцидента, а также меры, принятые или планируемые для устранения нарушения и снижения рисков. Если на момент уведомления не все сведения известны, допускается поэтапное предоставление информации — главное направить первичное уведомление в срок и дополнить его по мере установления обстоятельств.
4. Кто считается оператором персональных данных в Казахстане?
Оператором персональных данных в Казахстане признаётся государственный орган, юридическое или физическое лицо, которое самостоятельно или совместно с другими лицами организует и осуществляет обработку персональных данных, а также определяет цели и состав обрабатываемых данных. Практически любая компания, собирающая данные клиентов, сотрудников или партнёров, является оператором и несёт соответствующие обязанности по Закону о персональных данных и их защите. Статус оператора не зависит от размера компании или объёма обрабатываемых данных.
5. Какая ответственность грозит за неуведомление об утечке данных?
За нарушение требований о защите персональных данных, включая неуведомление об утечке, казахстанское законодательство предусматривает административную ответственность. Санкции дифференцированы по субъекту: физическое лицо, должностное лицо и юридическое лицо несут разные размеры штрафов, исчисляемых в МРП (по состоянию на 2026 год — 4 325 тенге за единицу). При повторных нарушениях или причинении существенного вреда субъектам данных возможно возбуждение уголовного дела по Уголовному кодексу РК.
6. Нужно ли уведомлять субъектов данных при любой утечке?
Нет, уведомление субъектов данных требуется не при любой утечке, а только когда инцидент создаёт высокий риск для прав и свобод физических лиц. Если оператор принял технические меры, делающие данные недоступными для посторонних — например, надёжное шифрование, — или если уведомление каждого субъекта потребует несоразмерных усилий, допускается публичное уведомление. Оценку риска оператор проводит самостоятельно и обязан задокументировать её результаты.
7. Можно ли использовать видеонаблюдение в офисе?
Видеонаблюдение в офисе допустимо, однако требует соблюдения ряда условий по казахстанскому законодательству. Работодатель обязан уведомить сотрудников о ведении съёмки, получить их согласие на обработку биометрических данных и установить таблички с информацией о видеонаблюдении в зонах съёмки. Данные с камер относятся к персональным данным и должны храниться с соблюдением требований Закона о персональных данных и их защите. Несоблюдение этих условий создаёт риск административной ответственности при проверке уполномоченного органа.
8. Как правильно собирать cookies на сайте в Казахстане?
Сбор cookies, идентифицирующих пользователя, является обработкой персональных данных и требует согласия субъекта. На казахстанском сайте необходимо разместить cookie-баннер с описанием категорий файлов и возможностью отказа от нефункциональных cookies, а также обновлённую политику конфиденциальности. Технические cookies, необходимые для работы сайта, согласия не требуют. Аналитические и маркетинговые cookies требуют явного согласия пользователя до их активации — не после.
9. Что делать при запросе субъекта персональных данных?
При получении запроса от субъекта персональных данных оператор обязан ответить в установленный законом срок — как правило, в течение 15 рабочих дней. Субъект вправе запросить подтверждение факта обработки, получить копию своих данных, потребовать исправления неточных сведений или удаления данных. Отказ в предоставлении информации без законных оснований влечёт административную ответственность. Рекомендуется вести журнал запросов субъектов и фиксировать принятые меры — это снижает риски при проверке.
10. Обязательно ли назначать ответственного за персональные данные в компании?
Казахстанское законодательство обязывает операторов, обрабатывающих данные в значительных объёмах или обрабатывающих специальные категории данных, назначить ответственное лицо. Для большинства компаний МСП назначение такого лица является рекомендуемой практикой, существенно снижающей регуляторные риски. Ответственное лицо взаимодействует с уполномоченным органом, ведёт внутреннюю документацию и координирует реагирование на инциденты — без него 72-часовой срок уведомления практически невозможно соблюсти.
Выводы
Уведомление об утечке персональных данных в Казахстане — это не формальность, а жёстко регламентированная процедура с 72-часовым сроком, обязательным составом сведений и реальной административной ответственностью за нарушение. Компании, не выстроившие процедуры обнаружения и реагирования на инциденты заранее, неизбежно нарушают этот срок — просто потому, что узнают о проблеме слишком поздно. Инвестиции в технический мониторинг, назначение ответственного лица и подготовку шаблонов уведомлений обходятся значительно дешевле, чем административные санкции и репутационный ущерб от публичного инцидента.
Актуально на: 13 октября 2026 года.
Если ситуация требует внимания — мы поможем разобраться.
Смежные направления
Направление практики
Персональные данные и IT-право — соответствие Закону о персональных данных, трансграничная передача, аудит обработки и IT-договоры.