Уведомление об утечке персональных данных в Казахстане: правовой разбор
Утечка персональных данных в Казахстане — это не только репутационный удар, но и конкретные правовые обязательства: уведомить уполномоченный орган и субъектов данных в установленные сроки. Собственник бизнеса, допустивший нарушение порядка уведомления, рискует административной ответственностью и гражданскими исками от пострадавших. Разбираем, что именно требует казахстанское законодательство, какие сроки критичны и как выстроить процедуру реагирования до того, как инцидент произойдёт.
Если ваша компания столкнулась с инцидентом в сфере персональных данных — важно действовать в первые часы. Проверить обработку персональных данных · info@vetrovkz.com
Что считается утечкой персональных данных по казахстанскому праву?
Утечка персональных данных — это несанкционированный доступ, раскрытие, изменение, уничтожение или иная неправомерная обработка данных, которая нарушает права субъектов. Закон о персональных данных и их защите охватывает широкий круг ситуаций: взлом базы данных, случайная публикация файла с клиентскими данными, утрата ноутбука сотрудника, несанкционированная передача данных подрядчику.
Для целей уведомительных обязательств важно разграничить два понятия: инцидент безопасности (любое нарушение защиты) и утечка, которая влечёт реальный или потенциальный вред субъектам. Казахстанское законодательство ориентируется на второй критерий: обязанность уведомлять возникает тогда, когда инцидент создаёт риск для прав и законных интересов субъектов персональных данных.
На практике оператор нередко сам определяет, является ли инцидент «утечкой» в правовом смысле. Это решение должно быть задокументировано — с оценкой характера данных, масштаба инцидента и вероятных последствий для субъектов. Отсутствие такой документации при последующей проверке уполномоченного органа трактуется не в пользу оператора.
- Несанкционированный доступ к базе данных клиентов
- Случайная отправка файла с персональными данными посторонним лицам
- Утрата или кража носителя с незашифрованными данными
- Атака типа ransomware с шифрованием и угрозой публикации данных
- Несанкционированная передача данных третьим лицам без согласия субъектов
Если ваш подрядчик допустил утечку данных ваших клиентов — ответственность перед законом несёте вы как оператор. Проверьте договоры с обработчиками заранее.
Проверить обработку персональных данныхКто обязан уведомлять и кого именно?
Обязанность уведомления об утечке возлагается на оператора — юридическое или физическое лицо, которое самостоятельно или совместно с другими определяет цели и порядок обработки персональных данных. Если обработку ведёт третье лицо (обработчик) по поручению оператора, именно оператор остаётся ответственным за уведомление.
Уведомление направляется двум адресатам. Первый — уполномоченный орган в сфере защиты персональных данных (в Казахстане эту функцию выполняет Министерство цифрового развития, инноваций и аэрокосмической промышленности РК). Второй — сами субъекты персональных данных, чьи сведения были скомпрометированы.
Если оператор использует услуги обработчика (например, облачного провайдера или аутсорсинговой компании), договор с обработчиком должен содержать обязанность незамедлительно сообщать оператору о любом инциденте. Это условие — не формальность: без него оператор рискует пропустить сроки уведомления по вине подрядчика, оставаясь при этом единственным ответственным лицом перед законом.
Какие сроки установлены для уведомления об утечке?
Казахстанское законодательство устанавливает жёсткие временные рамки для уведомления об утечке: оператор обязан направить уведомление уполномоченному органу в течение 72 часов с момента обнаружения инцидента. Этот срок аналогичен европейскому стандарту GDPR и является одним из наиболее коротких в регуляторной практике.
Отсчёт начинается с момента, когда оператор узнал или должен был узнать об утечке. Последняя формулировка принципиальна: если инцидент произошёл три дня назад, но оператор не имел системы мониторинга и обнаружил его случайно — уполномоченный орган вправе квалифицировать это как нарушение срока. Наличие работающей системы обнаружения инцидентов становится не техническим, а правовым требованием.
Уведомление субъектов данных направляется без необоснованной задержки — конкретный срок в часах для субъектов законодательство не фиксирует, однако практика складывается так, что задержка более 72 часов после уведомления органа требует обоснования. Если число субъектов велико и индивидуальное уведомление невозможно — допускается публичное уведомление через СМИ или официальный сайт оператора.
Что должно содержать уведомление об утечке?
Уведомление уполномоченного органа — это не произвольное письмо, а структурированный документ с обязательными реквизитами. Неполное уведомление приравнивается к ненадлежащему исполнению обязанности и не освобождает от ответственности.
В уведомлении необходимо указать: характер инцидента (что произошло, каким образом), категории и приблизительное число затронутых субъектов, категории и приблизительный объём скомпрометированных данных, вероятные последствия для субъектов, меры, принятые или планируемые оператором для устранения последствий и предотвращения повторения.
Если на момент первичного уведомления не все сведения известны — допускается поэтапное уведомление. Оператор направляет первичное уведомление в течение 72 часов с имеющейся информацией, а затем дополняет его по мере выяснения обстоятельств. Такой подход должен быть явно обозначен в первичном уведомлении.
- Описание характера инцидента и способа его обнаружения
- Категории данных (контактные, финансовые, биометрические, специальные)
- Приблизительное число затронутых субъектов
- Контактные данные ответственного лица оператора (DPO или иного)
- Принятые меры реагирования и планируемые действия
Когда уведомление субъектов данных обязательно, а когда — нет?
Уведомление субъектов персональных данных обязательно, если утечка создаёт высокий риск для их прав и законных интересов. Казахстанское законодательство не устанавливает исчерпывающего перечня таких ситуаций — оператор проводит оценку риска самостоятельно, фиксируя её в документации.
Высокий риск, как правило, присутствует при утечке финансовых данных (номера карт, реквизиты счетов), медицинских сведений, данных о местонахождении, биометрических данных, а также при утечках, которые могут повлечь дискриминацию, мошенничество или физический вред субъектам. Утечка зашифрованных данных, к которым злоумышленник не получил ключа, как правило, не требует уведомления субъектов — но требует уведомления органа.
Уведомление субъектов может быть отложено или заменено публичным сообщением, если индивидуальное уведомление невозможно (неизвестны контактные данные) или потребует несоразмерных усилий. В этом случае оператор обязан опубликовать информацию об инциденте способом, обеспечивающим её доступность для затронутых лиц.
Какова ответственность за нарушение порядка уведомления?
Нарушение обязанности уведомить уполномоченный орган об утечке влечёт административную ответственность оператора. Санкции исчисляются в МРП — в 2026 году МРП составляет 4 325 тенге (по состоянию на 2026 год). Размер штрафа зависит от характера нарушения: неуведомление, несвоевременное уведомление и ненадлежащее уведомление квалифицируются по-разному.
Помимо административных санкций, субъекты данных вправе предъявить гражданско-правовые требования: компенсацию морального вреда и возмещение убытков, если утечка повлекла реальный ущерб. Казахстанская судебная практика по таким делам пока немногочисленна, однако тренд на защиту прав субъектов данных очевиден — число обращений в уполномоченный орган растёт.
Для собственника бизнеса принципиально важно: ответственность несёт оператор как юридическое лицо, но при наличии признаков умысла или грубой халатности возможно привлечение должностных лиц к персональной ответственности. Систематические нарушения могут повлечь приостановление деятельности по обработке персональных данных — что для многих бизнесов означает фактическую остановку операций.
Как выстроить процедуру реагирования на утечку заранее?
Процедура реагирования на инцидент (Incident Response Plan) — это внутренний документ оператора, который определяет порядок действий с момента обнаружения утечки до закрытия инцидента. Его отсутствие при проверке уполномоченного органа — самостоятельный фактор риска.
Документ должен охватывать: порядок обнаружения и классификации инцидента, цепочку эскалации (кто кому сообщает и в какие сроки), ответственного за принятие решения об уведомлении, шаблоны уведомлений для органа и субъектов, порядок документирования всех действий. Наличие назначенного ответственного за защиту данных (аналог DPO) существенно ускоряет реагирование.
На практике компании, прошедшие через реальный инцидент без подготовленной процедуры, тратят первые 24–48 часов на организационные согласования — и пропускают 72-часовой срок. Подготовленная процедура позволяет сосредоточиться на содержательных действиях: локализации утечки, оценке масштаба и формировании уведомления.
Что проверяет уполномоченный орган при расследовании инцидента?
При расследовании утечки уполномоченный орган оценивает не только факт уведомления, но и весь комплекс мер по защите персональных данных, которые оператор принял до инцидента. Это означает, что реагирование на утечку — лишь финальная точка проверки, а не её предмет целиком.
Орган запрашивает: политику обработки персональных данных, перечень обрабатываемых данных и их категории, договоры с обработчиками, документацию о технических и организационных мерах защиты, журналы доступа к данным, документацию об оценке рисков. Если оператор не может предоставить эти документы — это самостоятельное нарушение, не связанное с утечкой.
Смягчающими обстоятельствами при расследовании служат: своевременное уведомление, задокументированная оценка риска, наличие и исполнение процедуры реагирования, принятые меры по устранению последствий. Отягчающими — систематический характер нарушений, сокрытие инцидента, отсутствие базовой документации.
Частые вопросы
1. Какой штраф за нарушение закона о персональных данных?
Казахстанское законодательство предусматривает административную ответственность за нарушения в сфере персональных данных. Конкретные размеры штрафов исчисляются в МРП и зависят от характера нарушения: неуведомление уполномоченного органа об утечке, незаконная обработка данных, нарушение требований локализации. В 2026 году МРП составляет 4 325 тенге (по состоянию на 2026 год). Помимо административных санкций, нарушитель несёт риск гражданско-правовых требований со стороны субъектов данных — компенсации морального вреда и убытков. При систематических нарушениях уполномоченный орган вправе приостановить деятельность оператора по обработке персональных данных.
2. Можно ли хранить персональные данные казахстанцев за границей?
Закон о персональных данных и их защите устанавливает требование локализации: базы данных, содержащие персональные данные граждан Казахстана, должны находиться на серверах, расположенных на территории Республики Казахстан. Трансграничная передача данных допускается при соблюдении ряда условий: наличие согласия субъекта, достаточный уровень защиты в стране-получателе или заключение специального соглашения. На практике многие иностранные компании, работающие в Казахстане, создают локальные зеркала баз данных для соответствия требованиям. Нарушение требования локализации — одно из наиболее часто выявляемых нарушений при проверках уполномоченного органа.
3. Как долго можно хранить персональные данные?
Казахстанское законодательство устанавливает принцип ограничения хранения: персональные данные должны храниться не дольше, чем это необходимо для достижения целей обработки. После достижения цели данные подлежат уничтожению или обезличиванию. Конкретные сроки хранения определяются оператором в политике обработки персональных данных с учётом требований отраслевого законодательства — трудового, налогового, бухгалтерского. Например, кадровые документы хранятся в соответствии со сроками, установленными Трудовым кодексом РК. Рекомендуется закрепить сроки хранения по каждой категории данных в локальных актах компании.
4. Нужно ли согласие на обработку данных сотрудников?
Обработка персональных данных сотрудников в рамках трудовых отношений, как правило, осуществляется на основании трудового договора — отдельное согласие в этом случае не требуется, поскольку обработка необходима для исполнения договора. Однако для обработки данных в иных целях — например, публикации фотографий на сайте компании, передачи данных третьим лицам, использования биометрии — согласие работника обязательно. Согласие должно быть добровольным, конкретным и информированным. На практике работодатели включают согласие в пакет документов при приёме на работу, что само по себе создаёт риск оспаривания добровольности — этот момент стоит проработать с юристом.
5. Что делать в первые часы после обнаружения утечки?
В первые часы после обнаружения утечки оператор должен выполнить три параллельных действия: локализовать инцидент (ограничить дальнейший несанкционированный доступ), начать документирование (фиксировать все факты и принятые меры с временными метками) и запустить оценку масштаба (какие данные, каких субъектов, каким образом скомпрометированы). Параллельно необходимо уведомить внутреннего ответственного за защиту данных и юридическую службу. Привлечение внешних юристов на этом этапе позволяет обеспечить юридическую привилегию для внутренней переписки об инциденте. Не следует публично комментировать инцидент до завершения первичной оценки.
6. Нужно ли уведомлять орган, если данные были зашифрованы?
Если скомпрометированные данные были надёжно зашифрованы и злоумышленник не получил ключа расшифровки, риск для субъектов данных существенно снижается. В этом случае уведомление субъектов данных, как правило, не требуется. Однако уведомление уполномоченного органа об инциденте безопасности остаётся обязательным — орган самостоятельно оценивает, создаёт ли инцидент риск для прав субъектов. Оператор должен задокументировать факт шифрования, его параметры и основания для вывода об отсутствии риска. Эта документация станет ключевым доказательством при возможной проверке.
7. Что такое «специальные категории» персональных данных и почему они важны?
Специальные категории персональных данных — это сведения, обработка которых несёт повышенный риск для субъектов: данные о состоянии здоровья, расовой или этнической принадлежности, политических взглядах, религиозных убеждениях, судимостях, биометрические данные. Казахстанское законодательство устанавливает для них более строгие требования к обработке: как правило, требуется явное согласие субъекта или иное специальное основание. При утечке специальных категорий данных риск для субъектов автоматически считается высоким — уведомление и органа, и субъектов обязательно. Оператор, работающий с такими данными, должен применять усиленные меры технической защиты.
8. Как оформить согласие на обработку персональных данных клиентов?
Согласие на обработку персональных данных должно быть конкретным, информированным и добровольным. Оно должно содержать: перечень обрабатываемых данных, цели обработки, перечень действий с данными, срок действия согласия, информацию о праве на отзыв. Форма согласия — письменная или электронная (с возможностью идентификации субъекта). Галочка «по умолчанию» в форме на сайте не является надлежащим согласием. Согласие должно быть отделено от других условий договора — включение его в текст пользовательского соглашения без явного выделения создаёт риск признания недействительным. Рекомендуется хранить доказательства получения согласия в течение всего срока обработки данных.
9. Обязан ли оператор назначить ответственного за защиту данных?
Казахстанское законодательство обязывает операторов назначить лицо, ответственное за организацию обработки персональных данных. Это требование распространяется на всех операторов — вне зависимости от размера компании и объёма обрабатываемых данных. Ответственное лицо может быть штатным сотрудником или внешним специалистом. Его функции: контроль соблюдения требований законодательства, взаимодействие с уполномоченным органом, организация обучения персонала, реагирование на запросы субъектов данных. Отсутствие назначенного ответственного — самостоятельное нарушение, которое фиксируется при проверке.
10. Что делать, если утечку допустил подрядчик?
Если утечку допустил обработчик (подрядчик, которому оператор передал данные для обработки), ответственность перед уполномоченным органом и субъектами данных по-прежнему несёт оператор. Обязанность уведомить орган в течение 72 часов не снимается ссылкой на вину подрядчика. Оператор вправе предъявить регрессные требования к обработчику — при условии, что договор содержит соответствующие положения об ответственности и обязанности незамедлительного уведомления об инцидентах. Именно поэтому аудит договоров с обработчиками — обязательный элемент комплаенса в сфере персональных данных.
Выводы
Уведомление об утечке персональных данных в Казахстане — это жёсткое процедурное требование с 72-часовым сроком, а не рекомендация. Собственник бизнеса, выстроивший процедуру реагирования заранее, существенно снижает риск административной ответственности и гражданских исков: орган оценивает не только факт уведомления, но и всю систему защиты данных, которая существовала до инцидента. Ключевые элементы готовности — назначенный ответственный, задокументированная процедура реагирования, проверенные договоры с обработчиками и актуальная политика обработки персональных данных. Подробнее о разработке политики — в материале «Как составить политику обработки персональных данных в Казахстане». Анализ смежных вопросов — в материале «Уведомление об утечке персональных данных в Казахстане: анализ». Обзор практики по смежным спорам — в разделе Аналитика.
Актуально на: 8 сентября 2026 года.
Если ситуация требует внимания — мы поможем разобраться.
Смежные направления
Направление практики
Персональные данные и IT-право — соответствие Закону о персональных данных, трансграничная передача, аудит обработки и IT-договоры.