Заметка
Нарушения безопасности персональных данных и уведомления
Что считается нарушением безопасности персональных данных, кто, кого и в какие сроки уведомляет: оператор сообщает регулятору за один рабочий день, центры кибербезопасности за три часа, а субъектов уведомляет не оператор, а «цифровое правительство». Сравнение с 72 часами по GDPR.
Нарушения безопасности и уведомленияКазахстан и GDPRУполномоченный орган и государственный контрольМеры защиты
Нормы, о которых идёт речь
- Закон № 94-V (откроется в новой вкладке)ст. 1 (откроется в новой вкладке), 23-2 (откроется в новой вкладке), 25 (откроется в новой вкладке), 27-1 (откроется в новой вкладке)альтернативный источник (откроется в новой вкладке)
- Правила уведомления о нарушениях (откроется в новой вкладке)пп. 3 (откроется в новой вкладке)–7 (откроется в новой вкладке)альтернативный источник (откроется в новой вкладке)
- Правила мер защиты ПД (откроется в новой вкладке)пп. 15 (откроется в новой вкладке), 23 (откроется в новой вкладке)альтернативный источник (откроется в новой вкладке)
- Закон «О кибербезопасности» (откроется в новой вкладке)ст. 7-1 (откроется в новой вкладке), 7-4 (откроется в новой вкладке), 7-5 (откроется в новой вкладке)альтернативный источник (откроется в новой вкладке)
Коротко
Нарушением безопасности персональных данных называется нарушение защиты, повлёкшее незаконное распространение, изменение, уничтожение или удаление данных либо несанкционированный доступ к ним (ст. 1 пп. 15-2). Собственник или оператор обязан уведомить уполномоченный орган в течение одного рабочего дня с момента обнаружения (ст. 25 п. 2 пп. 8). Субъектов уведомляет не сам оператор, а оператор «цифрового правительства» через личный кабинет eGov, мобильное приложение или SMS (Правила уведомления, п. 7).
Кто, кого и когда уведомляет
Порядок описан в Правилах уведомления субъектов о нарушении безопасности. Их действующая редакция введена приказом № 232/НҚ с 12.07.2026.
| Шаг | Кто | Кому | Срок | Что сообщается |
|---|---|---|---|---|
| 1 | Собственник и (или) оператор | Уполномоченный орган | 1 рабочий день с момента обнаружения | Контакты ответственного лица; принятые меры; данные субъектов для уведомления: ФИО, ИИН, номер телефона (п. 4) |
| 1а | Центры кибербезопасности (государственный оперативный центр, отраслевые центры, службы реагирования) | Уполномоченный орган | 3 часа с момента обнаружения | Данные субъектов для уведомления; необходимые меры защиты (п. 5; Закон «О кибербезопасности», ст. 7-4, ст. 7-5 и др.) |
| 2 | Уполномоченный орган | Оператор «цифрового правительства» | 1 рабочий день с момента получения | Риски для субъектов; рекомендуемые меры; данные для уведомления; контакты ответственного лица (п. 6) |
| 3 | Оператор «цифрового правительства» | Субъекты | Срок не установлен | Уведомление в личном кабинете, мобильном приложении eGov и (или) SMS (п. 7) |
Уведомление направляется письменно, в форме электронного документа или иным защищённым способом (п. 3). Ту же однодневную обязанность повторяют Правила мер защиты (п. 23). Для данных ограниченного доступа отдельно предусмотрено оповещение регулятора об инцидентах кибербезопасности, связанных с незаконным доступом (п. 15 пп. 3).
Реестр нарушений
Уполномоченный орган ведёт реестр нарушений безопасности персональных данных. Источниками для него служат общедоступная информация и сведения центров кибербезопасности (ст. 23-2; ст. 27-1 пп. 5-1). Об опасных для субъектов нарушениях регулятор сообщает оператору «цифрового правительства» (ст. 27-1 пп. 6-2). По Закону «О кибербезопасности» уполномоченный орган обрабатывает данные, безопасность которых нарушена, чтобы информировать субъектов через личный кабинет eGov (ст. 7-1).
Интерпретация. Модель централизованная: оператор не обязан сам писать пострадавшим, зато передаёт регулятору их ФИО, ИИН и телефоны, а дальше государство уведомляет людей через свои каналы. Для компании это упрощает коммуникацию, но означает, что факт нарушения и масштаб утечки становятся известны регулятору сразу, а информирование субъектов от компании не зависит.
Сравнение с GDPR
| Вопрос | Казахстан | GDPR |
|---|---|---|
| Срок уведомления надзорного органа | 1 рабочий день | Без неоправданной задержки, по возможности не позднее 72 часов (Art. 33) |
| Порог | О любом нарушении | Не нужно, если нарушение вряд ли создаёт риск для прав и свобод (Art. 33(1)) |
| Уведомление субъектов | Делает «цифровое правительство» на основе данных от регулятора | Делает контролёр, если риск высокий (Art. 34) |
| Внутренний учёт нарушений | Отдельного журнала нарушений нет; средние и крупные операторы регистрируют события кибербезопасности (Правила мер защиты, пп. 13–14); реестр нарушений ведёт регулятор | Контролёр документирует все нарушения (Art. 33(5)) |
| Ориентиры | Правила уведомления | EDPB Guidelines 9/2022 |
Интерпретация. Казахстанский срок короче европейского, и в нём нет порога риска. Компании с европейскими процессами реагирования на инциденты стоит перестроить их под один рабочий день и уведомлять обо всех нарушениях, а не только о рискованных.
Ответственность
Отдельного состава за неуведомление о нарушении в КоАП нет. Нарушение может квалифицироваться как несоблюдение мер по защите (до 600 МРП), а если оно повлекло утерю или незаконную обработку данных, то до 2000 МРП (КоАП, ст. 79). Как это применяется на практике, предстоит изучить.
Открытые вопросы
Открытый вопрос: когда нарушение «обнаружено». Срок считается с момента обнаружения, но закон не уточняет, что это: первый сигнал системы мониторинга или подтверждённый вывод расследования.
Открытый вопрос: должен ли оператор сам уведомлять субъектов. Закон и Правила возлагают это на «цифровое правительство». Вопрос о том, есть ли у оператора собственная обязанность, например по договору или по общим нормам гражданского права, остаётся открытым.
Открытый вопрос: иностранные субъекты. Уведомление идёт через eGov по ИИН или номеру телефона. Как будут уведомлены люди без ИИН и без казахстанского номера, Правила не говорят.
Открытый вопрос: неполные сведения. За один рабочий день оператор может не успеть установить список пострадавших. Можно ли дополнить уведомление позже, Правила прямо не регулируют.
Что ещё изучить
- Публикует ли регулятор сведения из реестра нарушений.
- Практику привлечения к ответственности за несвоевременное уведомление.
- Нормы Закона «О кибербезопасности» об инцидентах, не связанных с персональными данными, и их пересечение с этими Правилами.
Материалы к заметке
Закон Республики Казахстан «О персональных данных и их защите» (откроется в новой вкладке)
Базовый закон. Определяет понятия (ст. 1) и сферу действия (ст. 3). Устанавливает требование хранить данные на территории Казахстана (ст. 12) и условия трансграничной передачи (ст. 16). С 25.08.2026 действуют уведомление о начале обработки (ст. 10-1) и деление операторов на малых, средних и крупных (ст. 25-1).
Открыть:Adilet (откроется в новой вкладке)официальныйzakon.uchet.kz (откроется в новой вкладке)альтернативный источник, неофициальный
● Проверено 26 октября 2026 г.действуетАвтоматизированная обработка и ИИНарушения безопасности и уведомленияСогласиеТрансграничная передачаВиды персональных данныхПрава субъектаУдаление, уничтожение и обезличиваниеПередача третьим лицам и распространениеОтветственностьЛокализацияУведомление и реестр операторовПринципы обработкиОбработка без согласияЦели, объём и сроки храненияУполномоченный орган и государственный контрольОтветственное лицо и внутренние документыСфера действия и основные понятияСвязьМеры защиты
Правила осуществления уведомления субъектов персональных данных о нарушении безопасности персональных данных (приказ МЦРИАП РК от 09.08.2024 № 481/НҚ) (откроется в новой вкладке)
Как проходит уведомление о нарушении безопасности. Собственник или оператор в течение одного рабочего дня сообщает уполномоченному органу контакты ответственного лица, принятые меры и данные субъектов для уведомления (п. 4); центры кибербезопасности делают это в течение трёх часов (п. 5). Регулятор за один рабочий день передаёт сведения оператору «цифрового правительства» (п. 6), который уведомляет субъектов через личный кабинет eGov, мобильное приложение или SMS (п. 7).
Открыть:Adilet (откроется в новой вкладке)официальныйzakon.uchet.kz (откроется в новой вкладке)альтернативный источник, неофициальный
● Проверено 26 октября 2026 г.действуетНарушения безопасности и уведомления
Правила осуществления собственником и (или) оператором, а также третьим лицом мер по защите персональных данных (приказ МЦРИАП РК от 12.06.2023 № 179/НҚ) (откроется в новой вкладке)
Главный подзаконный акт о мерах защиты. В редакции сентября 2026 года: уведомление о начале обработки (пп. 3–7), категории операторов и меры защиты для малых, средних и крупных (пп. 8–14), требования к данным ограниченного доступа, включая криптографию по СТ РК 1073-2007 (п. 15), сбор и обработка таких данных через цифровые объекты в Казахстане (п. 16), хранение в серверном помещении или ЦОД в Казахстане (п. 18), ответственное лицо (пп. 19–20), уведомление регулятора о нарушении в течение одного рабочего дня (п. 23).
Открыть:Adilet (откроется в новой вкладке)официальныйzakon.uchet.kz (откроется в новой вкладке)альтернативный источник, неофициальный
● Проверено 26 октября 2026 г.действуетНарушения безопасности и уведомленияВиды персональных данныхЛокализацияУведомление и реестр операторовОтветственное лицо и внутренние документыМеры защиты
Закон Республики Казахстан «О кибербезопасности» (откроется в новой вкладке)
Бывший Закон «Об информатизации». Для персональных данных важны: обязанность центров кибербезопасности оповещать уполномоченный орган о нарушении безопасности персональных данных в течение трёх часов (ст. 7-4, 7-5 и др.), информирование субъектов через личный кабинет eGov (ст. 7-1), обследование защищённости государственной технической службой (ст. 14) и общая обязанность защищать цифровые ресурсы с персональными данными (ст. 56).
Открыть:Adilet (откроется в новой вкладке)официальныйzakon.uchet.kz (откроется в новой вкладке)альтернативный источник, неофициальный
● Проверено 26 октября 2026 г.действуетНарушения безопасности и уведомленияМеры защиты
Кодекс Республики Казахстан об административных правонарушениях (откроется в новой вкладке)
Статья 79 устанавливает административную ответственность за нарушения в сфере персональных данных. Четыре части: незаконные сбор и обработка; то же с использованием служебного положения; несоблюдение мер защиты; несоблюдение мер, повлёкшее утерю или незаконную обработку. Штрафы составляют от 30 до 2000 МРП в зависимости от части и категории нарушителя.
Открыть:Adilet (откроется в новой вкладке)официальныйzakon.uchet.kz (откроется в новой вкладке)альтернативный источник, неофициальный
Регламент (ЕС) 2016/679 (Общий регламент по защите данных, GDPR) (откроется в новой вкладке)
Используется для сравнения. Общего требования о локализации в GDPR нет: внутри ЕС данные перемещаются свободно (Art. 1(3)), а вывоз за пределы ЕЭЗ регулируется главой V: условия передачи — Art. 44–49.
Открыть:EUR-Lex (откроется в новой вкладке)официальный
● Проверено 26 октября 2026 г.действуетТрансграничная передачаКазахстан и GDPRЛокализация
EDPB Guidelines 9/2022 on personal data breach notification under GDPR (откроется в новой вкладке)
Руководство по уведомлению о нарушениях по Art. 33–34 GDPR: когда нарушение нужно сообщать надзорному органу (72 часа, если есть риск) и когда субъектам (высокий риск). Полезно для сравнения с казахстанским сроком в один рабочий день без порога риска.
Открыть:edpb.europa.eu (откроется в новой вкладке)
Не проверено по первоисточникуНарушения безопасности и уведомленияКазахстан и GDPR