Уведомление об утечке персональных данных в Казахстане: обзор изменений

Почему тема уведомлений об утечках стала приоритетом для бизнеса в Казахстане?

Обязанность уведомлять об утечках персональных данных существовала в казахстанском праве и прежде, однако до недавнего времени она оставалась декларативной: механизм исполнения был размытым, ответственность — минимальной, а уполномоченный орган редко инициировал проверки по собственной инициативе. Ситуация изменилась после серии резонансных инцидентов с утечками баз данных казахстанских компаний и государственных структур.

Министерство цифрового развития, инноваций и аэрокосмической промышленности РК последовательно ужесточает правоприменение: число проверок операторов персональных данных растёт, а санкции за нарушения всё чаще применяются к должностным лицам — то есть непосредственно к руководителям компаний. Для топ-менеджера это означает переход темы из зоны ответственности IT-отдела в зону личного риска.

Параллельно Закон о персональных данных и их защите получил ряд уточнений, которые конкретизировали порядок уведомления, расширили перечень субъектов, подпадающих под защиту, и установили более чёткие сроки реагирования. Понимание этих изменений — обязательное условие для любого руководителя, в чьей компании обрабатываются данные клиентов, сотрудников или партнёров.

Что считается утечкой персональных данных по казахстанскому законодательству?

Утечкой персональных данных признаётся любое несанкционированное раскрытие, распространение, изменение или уничтожение персональных данных, произошедшее без ведома и согласия оператора или вопреки установленным им процедурам защиты. Это определение охватывает широкий спектр инцидентов — от целенаправленных кибератак до случайных ошибок сотрудников.

На практике утечкой считаются: взлом базы данных с извлечением записей; случайная публикация файла с персональными данными в открытом доступе; кража или утеря ноутбука, флеш-накопителя или иного носителя с незашифрованными данными; несанкционированный доступ сотрудника к данным, выходящим за рамки его полномочий; а также атаки типа ransomware, при которых данные шифруются злоумышленником.

Важное разграничение: не каждый технический сбой является утечкой. Если данные стали временно недоступны, но не были раскрыты третьим лицам, это инцидент доступности, а не утечка в правовом смысле. Тем не менее такой инцидент всё равно требует документирования и оценки рисков — уполномоченный орган при проверке запросит журнал инцидентов.

Кто обязан уведомлять: операторы, обработчики и цепочка ответственности

Обязанность уведомления об утечке лежит на операторе персональных данных — лице, которое определяет цели и содержание обработки. Практически любая казахстанская компания является оператором: она ведёт кадровый учёт, хранит клиентские базы, использует CRM-системы или обрабатывает данные через корпоративный сайт.

Если компания привлекает третье лицо для обработки данных — облачный провайдер, аутсорсинговый колл-центр, разработчик программного обеспечения — это лицо является обработчиком. Обработчик не несёт самостоятельной обязанности уведомлять уполномоченный орган, однако договор между оператором и обработчиком должен обязывать последнего немедленно сообщать оператору о любом инциденте. Если такого условия в договоре нет — оператор рискует пропустить 72-часовой срок по вине подрядчика, оставаясь при этом единственным ответственным лицом.

Для топ-менеджера это означает конкретное управленческое действие: проверить все договоры с IT-подрядчиками и облачными провайдерами на наличие обязательства об уведомлении об инцидентах. Отсутствие такого условия — типичная уязвимость, которую уполномоченный орган квалифицирует как нарушение требований к защите данных.

Срок 72 часа: как он считается и что делать, если уложиться не получается?

72-часовой срок уведомления уполномоченного органа начинает течь с момента, когда оператор узнал или должен был узнать об утечке. Формулировка «должен был узнать» принципиальна: если инцидент произошёл в пятницу вечером, а IT-служба обнаружила его только в понедельник из-за отсутствия мониторинга — срок всё равно считается с момента, когда мониторинг должен был зафиксировать инцидент.

Если оператор не успевает собрать полную информацию за 72 часа, закон допускает поэтапное уведомление. Первичное уведомление направляется в срок с указанием известных на тот момент фактов и причин, по которым полная информация ещё недоступна. Дополнительные сведения предоставляются по мере их получения без неоправданных задержек. Такой подход лучше, чем молчание: уполномоченный орган расценивает своевременное неполное уведомление значительно мягче, чем запоздалое полное.

На практике компании, не имеющие заранее разработанного плана реагирования на инциденты, тратят первые часы на выяснение того, что произошло, вместо того чтобы параллельно готовить уведомление. Разработка шаблона уведомления и назначение ответственного лица — минимальный организационный минимум, который позволяет уложиться в срок даже при сложном инциденте.

Что должно содержать уведомление уполномоченного органа?

Уведомление об утечке персональных данных — это не произвольное письмо, а структурированный документ с обязательными элементами. Уполномоченный орган оценивает его полноту при принятии решения о проведении проверки и квалификации нарушения.

Обязательные элементы уведомления включают:

• описание характера инцидента: как произошла утечка, какие системы затронуты;
• категории и приблизительное число субъектов персональных данных, чьи сведения скомпрометированы;
• категории и приблизительный объём затронутых записей персональных данных;
• контактные данные ответственного лица оператора, у которого можно получить дополнительную информацию;
• описание вероятных последствий утечки для субъектов;
• меры, принятые или планируемые оператором для устранения последствий и предотвращения повторных инцидентов.

Распространённая ошибка — направлять уведомление в общих чертах, не указывая конкретные категории данных и число пострадавших субъектов. Уполномоченный орган в таком случае запрашивает уточнения, что затягивает процедуру и создаёт дополнительные риски для оператора.

Нужно ли уведомлять субъектов персональных данных — и как это сделать правильно?

Уведомление субъектов персональных данных об утечке обязательно не при каждом инциденте, а только тогда, когда утечка с высокой вероятностью влечёт существенный риск для прав и свобод субъектов. Оператор обязан провести оценку рисков и зафиксировать её результаты.

Существенным риском считается угроза: финансовых потерь (например, утечка данных банковских карт); дискриминации или стигматизации (утечка медицинских данных, данных о судимостях); репутационного ущерба; физической угрозы безопасности субъекта. Если утечка затронула только зашифрованные данные, ключ к которым у злоумышленника отсутствует, уведомление субъектов, как правило, не требуется — при условии, что шифрование соответствует актуальным стандартам.

Уведомление субъектов должно быть написано ясным языком, без технического жаргона, и содержать: описание того, что произошло; какие данные затронуты; какие меры принял оператор; что субъект может сделать для защиты себя; контакты для получения дополнительной информации. Направлять уведомление следует по тем каналам, которые субъект использовал при взаимодействии с оператором — email, SMS, личный кабинет.

Ответственность за нарушение порядка уведомления: что грозит руководителю?

Нарушение обязанности уведомления об утечке персональных данных влечёт административную ответственность по Кодексу об административных правонарушениях РК. Санкции применяются как к юридическому лицу, так и к должностному лицу — то есть непосредственно к директору или лицу, ответственному за обработку данных.

Ответственность наступает не только за полное неуведомление, но и за нарушение срока, неполноту уведомления и непринятие мер по устранению последствий. Повторные нарушения или инциденты, повлёкшие существенный ущерб субъектам, квалифицируются строже. Помимо штрафов, уполномоченный орган вправе выдать предписание об устранении нарушений и приостановить обработку персональных данных — последнее для бизнеса зачастую болезненнее любого штрафа.

Отдельный риск — гражданско-правовая ответственность перед субъектами данных. Если утечка повлекла реальный ущерб для физических лиц, они вправе предъявить иск к оператору. Казахстанская судебная практика по таким делам пока немногочисленна, однако тренд на защиту прав субъектов данных в судах очевиден.

Практические рекомендации: как выстроить процедуру реагирования на инциденты

Эффективная процедура реагирования на утечки строится заранее — не в момент инцидента. Компании, у которых есть утверждённый план, в среднем укладываются в 72-часовой срок уведомления; компании без плана, как правило, нет.

Минимальный набор организационных мер включает:

• назначение ответственного за защиту персональных данных с чёткими полномочиями и доступом к руководству;
• разработку и утверждение плана реагирования на инциденты с указанием ролей, сроков и шаблонов уведомлений;
• внедрение системы мониторинга инцидентов и журнала их регистрации;
• включение в договоры с IT-подрядчиками обязательства об уведомлении об инцидентах в течение 24 часов;
• проведение ежегодного аудита обработки персональных данных с оценкой актуальности технических мер защиты.

Отдельного внимания заслуживает документирование: уполномоченный орган при проверке запрашивает не только уведомление об инциденте, но и доказательства того, что оператор принял разумные меры защиты до его наступления. Отсутствие документации о принятых мерах существенно ухудшает позицию оператора даже при добросовестном поведении после инцидента. Подробнее о сроках хранения документации читайте в материале «Как долго можно хранить персональные данные в Казахстане».

Связь с административным производством: когда утечка становится поводом для проверки?

Уведомление об утечке автоматически не влечёт проверку — уполномоченный орган оценивает масштаб инцидента, категории затронутых данных и действия оператора. Однако ряд факторов существенно повышает вероятность проверки: большое число пострадавших субъектов, утечка специальных категорий данных (медицинские, биометрические, данные о судимостях), публичный резонанс, жалобы субъектов.

Если проверка всё же назначена, оператор вправе представить возражения на акт проверки и обжаловать её результаты в административном порядке по Административному процедурно-процессуальному кодексу РК. Практика показывает, что операторы, которые уведомили орган своевременно, приняли меры по устранению последствий и задокументировали их, получают значительно более мягкие санкции — вплоть до предписания без штрафа.

Подробнее о процедуре уведомления и административной ответственности читайте в материале «Уведомление об утечке персональных данных в Казахстане: анализ». Общий обзор аналитики по смежным темам доступен в разделе «Аналитика».