Меры защиты персональных данных

Коротко

Собирать и обрабатывать персональные данные можно только при условии их защиты (ст. 20 п. 2). Закон задаёт цели и общие обязанности (ст. 21–22). Конкретный перечень мер содержат Правила осуществления мер по защите, которые с 21.09.2026 действуют в новой редакции. Главная новация: набор обязательных мер зависит от категории оператора (малый, средний или крупный) по числу уникальных субъектов (Правила, пп. 8–14).

Что говорит закон

• Цели защиты: неприкосновенность частной жизни, целостность и сохранность данных, конфиденциальность, право доступа, предотвращение незаконной обработки (ст. 21).
• Обязанности собственника, оператора и третьего лица: предотвращать несанкционированный доступ, своевременно его обнаруживать, минимизировать последствия, обеспечивать доступ государственной технической службы для обследования защищённости данных ограниченного доступа и вести учёт действий с данными (ст. 22 п. 1). Обязанности действуют с момента сбора и до уничтожения, удаления, анонимизации или обезличивания (ст. 22 п. 2).
• Цифровые объекты защищаются по Закону о персональных данных и цифровому законодательству. Для защиты применяются маскирование и хеширование. Копирование данных из критически важных цифровых объектов идёт в порядке, согласованном с КНБ (ст. 23).
• Внутренние документы: перечень обрабатываемых данных, политика обработки и защиты (ст. 25 п. 2 пп. 1–2).
• Категории операторов: малые (до 10 тыс. уникальных субъектов), средние (от 10 до 500 тыс.), крупные (от 500 тыс.). При обработке данных ограниченного доступа категория повышается на один уровень (ст. 25-1).
• Добровольное киберстрахование допускается, его условия определяют стороны (ст. 23-1).

Закон «О кибербезопасности» дублирует обязанность защищать цифровые ресурсы с персональными данными (ст. 56) и наделяет государственную техническую службу правом обследовать их защищённость (ст. 14).

Меры по категориям

Правила в редакции приказа № 534/НҚ строят требования лестницей: каждая следующая категория выполняет всё, что требуется от предыдущей, и добавляет своё.

Категория	Что добавляется	Где
Все	Меры защиты с учётом категории	п. 11
Малые	Перечень данных и цели обработки; перечень лиц с доступом; ответственное лицо; внутренние документы; разграничение доступа; идентификация и аутентификация; журналирование действий с данными; резервное копирование; антивирусная защита и обновления; защищённые каналы передачи	п. 12
Средние	Учёт цифровых систем и процессов обработки; ролевой доступ; многофакторная аутентификация для доступа к данным ограниченного доступа; регистрация событий кибербезопасности; порядок реагирования на инциденты; обучение работников; анализ уязвимостей; внутренний контроль	п. 13
Крупные	Оценка защищённости систем; независимый аудит мер защиты; мониторинг событий кибербезопасности; контроль привилегированных пользователей и операций с данными; тестирование на проникновение; восстановление данных после нарушений	п. 14

Данные ограниченного доступа требуют отдельного набора мер независимо от категории (п. 15): цели обработки, порядок блокирования, оповещение регулятора об инцидентах, средства защиты информации, журналы событий СУБД и действий пользователей, контроль целостности, передача по защищённым каналам, криптографическая защита не ниже 3-го уровня по СТ РК 1073-2007, идентификация и аутентификация, в том числе биометрическая, для баз более чем на 100 тыс. записей. Собирать и обрабатывать такие данные можно только через цифровые объекты в Казахстане (п. 16), а хранить в серверном помещении или ЦОД в Казахстане (п. 18).

Правила также требуют назначить ответственное лицо, если оператором выступает юридическое лицо (пп. 19–20), повторяют общие обязанности из ст. 22 Закона (п. 21) и требуют интеграции с государственным сервисом контроля доступа при работе с государственными цифровыми объектами (п. 22).

Интерпретация. Категории считаются по числу уникальных субъектов, а повышение категории при работе с данными ограниченного доступа может перевести в «средние» даже небольшую компанию. Поэтому вопрос о том, какие данные относятся к данным ограниченного доступа, становится практическим: от ответа зависит, нужны ли многофакторная аутентификация, анализ уязвимостей и обучение персонала.

Контроль и ответственность

Соблюдение мер проверяют по проверочному листу. Лист утверждён в 2024 году и не отражает деления на категории. За несоблюдение мер защиты предусмотрен штраф до 600 МРП, а если оно повлекло утерю, незаконный сбор или обработку данных, то до 2000 МРП (КоАП, ст. 79).

Сравнение с GDPR

Вопрос	Казахстан	GDPR
Подход	Предписывающий: закрытые перечни мер по категориям	Риск-ориентированный: меры, «соответствующие риску» (Art. 32)
Масштаб оператора	Категория по числу субъектов меняет набор обязательных мер	Размер учитывается через риск; отдельные исключения для малых организаций (Art. 30(5))
Аудит	Независимый аудит обязателен для крупных	Прямо не требуется; есть оценка воздействия для рискованной обработки (Art. 35)
Криптография	Сертифицированные СКЗИ по национальному стандарту для данных ограниченного доступа	Шифрование приводится как один из примеров мер, без привязки к стандарту

Интерпретация. Предписывающий подход проще проверять: есть перечень, по которому можно пройти. Но он не учитывает особенности конкретной обработки, поэтому выполнение всех пунктов Правил ещё не означает, что риски действительно закрыты.

Открытые вопросы

Открытый вопрос: какие данные относятся к данным ограниченного доступа? Закон определяет их как данные, «доступ к которым ограничен законодательством» (ст. 6). Отдельного перечня нет. Относятся ли сюда, например, ИИН, медицинские сведения или данные о зарплате, нужно выводить из других законов.

Открытый вопрос: что такое «независимый аудит» (п. 14 Правил). Правила не определяют, кто может его проводить, по какому стандарту и как часто.

Открытый вопрос: переходный период. Приказ № 534/НҚ вводит новую редакцию Правил через десять календарных дней после опубликования и отдельного срока на внедрение мер не устанавливает (п. 4 приказа). Как регулятор будет оценивать соблюдение в первые месяцы, неясно.

Что ещё изучить

• Обновит ли регулятор проверочный лист под категории операторов.
• Перечень сертифицированных СКЗИ и требования СТ РК 1073-2007.
• Правила обследования защищённости данных ограниченного доступа государственной технической службой.