С 21 сентября 2026 года вступает в силу новая редакция Правил осуществления собственником и (или) оператором, а также третьим лицом мер по защите персональных данных.
Изменения утверждены приказом Заместителя Премьер-Министра – Министра искусственного интеллекта и цифрового развития Республики Казахстан от 3 сентября 2026 года № 534/НҚ. Документ полностью излагает в новой редакции Правила, утвержденные приказом от 12 июня 2023 года № 179/НҚ.
Новая редакция определяет порядок защиты персональных данных, устанавливает категории лиц, осуществляющих их сбор и обработку, и закрепляет требования с учетом объема обрабатываемой информации.
Кто является собственником, оператором и третьим лицом
Правила применяются к собственникам и (или) операторам, а также третьим лицам, осуществляющим сбор и обработку персональных данных.
Собственник базы и (или) цифрового объекта — государственный орган, физическое или юридическое лицо, обладающее правом владения, пользования и распоряжения базой на бумажном носителе и (или) цифровым объектом, содержащим персональные данные.
Оператор — государственный орган, физическое или юридическое лицо, осуществляющее их сбор, обработку и защиту.
Третье лицо — лицо, не являющееся субъектом, собственником или оператором, но связанное с ними правоотношениями либо обстоятельствами по сбору, обработке и защите персональных данных.
Обработка включает накопление, хранение, изменение, дополнение, использование, распространение, обезличивание, анонимизацию, блокирование, уничтожение и удаление данных.
Три категории по объему данных
Правила вводят классификацию на малых, средних и крупных субъектов.
Критерием является общее количество уникальных субъектов персональных данных, сведения о которых обрабатываются в рамках одной или нескольких цифровых объектов.
| Категория | Количество уникальных субъектов |
| Малые | до 10 000 |
| Средние | от 10 000 до 500 000 |
| Крупные | 500 000 и более |
Критерии применяются независимо от организационно-правовой формы, формы собственности и вида деятельности.
При обработке персональных данных ограниченного доступа категория повышается на один уровень.
Когда требуется уведомление
До начала обработки персональных данных и при ее прекращении необходимо уведомить уполномоченный орган, за исключением случаев, предусмотренных пунктом 2 статьи 10-1 Закона «О персональных данных и их защите».
При этом малые субъекты вправе осуществлять обработку без такого уведомления.
Уведомление направляется на бумажном, цифровом или ином материальном носителе и подписывается уполномоченным лицом.
В нем указываются:
- наименование либо фамилия, имя, отчество;
- БИН или ИИН;
- применяемые меры защиты;
- дата начала обработки;
- возможность передачи данных третьим лицам;
- наличие или отсутствие трансграничной передачи;
- распространение данных в общедоступных источниках;
- перечень собираемых персональных данных;
- место нахождения базы и (или) цифрового объекта;
- иные сведения, определяемые лицом, осуществляющим обработку.
Полученные сведения уполномоченный орган в течение 30 рабочих дней вносит в реестр лиц, осуществляющих сбор и (или) обработку персональных данных.
При прекращении обработки соответствующие сведения исключаются из реестра также в течение 30 рабочих дней.
Что должны обеспечить малые субъекты
Для малых субъектов установлен базовый набор организационных и технических мер.
Необходимо:
- определить перечень собираемых данных и цели их обработки;
- установить круг лиц, осуществляющих сбор и обработку либо имеющих доступ;
- назначить ответственного за организацию обработки и защиту;
- утвердить внутренние документы;
- разграничить права доступа;
- обеспечить идентификацию и аутентификацию пользователей цифровых систем;
- регистрировать действия с персональными данными;
- выполнять резервное копирование;
- применять средства защиты от вредоносного программного обеспечения и своевременно обновлять его;
- передавать данные по защищенным каналам связи.
Дополнительные требования для средних субъектов
Средние субъекты выполняют перечисленные выше требования и дополнительно:
- ведут учет цифровых систем и процессов обработки;
- применяют ролевое управление доступом;
- используют многофакторную аутентификацию для пользователей, работающих с персональными данными ограниченного доступа;
- регистрируют и хранят события кибербезопасности;
- утверждают порядок реагирования на инциденты;
- периодически обучают работников;
- проводят анализ уязвимостей цифровых систем;
- осуществляют внутренний контроль соблюдения законодательства.
Требования к крупным субъектам
Для крупных субъектов дополнительно предусмотрены:
- оценка защищенности цифровых систем;
- независимый аудит мер защиты;
- мониторинг событий кибербезопасности;
- контроль действий пользователей с привилегированными правами;
- контроль операций, связанных с обработкой персональных данных;
- анализ уязвимостей и тестирование на проникновение;
- другие мероприятия по оценке защищенности;
- восстановление данных после нарушений безопасности.
Особые требования к данным ограниченного доступа
При работе с персональными данными ограниченного доступа необходимо:
- определить цели обработки и использовать сведения в соответствии с ними;
- установить порядок блокирования данных при обращении субъекта;
- уведомлять уполномоченный орган об инцидентах, связанных с незаконным доступом;
- обеспечивать защиту технических средств и устанавливать обновления программного обеспечения;
- вести журналы событий систем управления базами данных;
- фиксировать действия пользователей, имеющих доступ к таким сведениям;
- применять средства контроля целостности;
- использовать защищенные каналы связи и (или) шифрование;
- применять криптографические средства защиты для хранения.
При передаче таких данных другим лицам требуется согласие субъекта, если иное не предусмотрено законодательством.
Криптографическая защита
Хранение и передача персональных данных ограниченного доступа осуществляются с использованием средств криптографической защиты информации с параметрами не ниже третьего уровня безопасности по СТ РК 1073-2007.
Это требование не распространяется на случаи трансграничной передачи данных в соответствии со статьей 16 Закона.
Базы свыше 100 тысяч записей
Для базы, содержащей более 100 тысяч записей персональных данных ограниченного доступа, предусматривается применение средств идентификации и (или) аутентификации пользователей, включая биометрическую аутентификацию.
Требование распространяется только на лиц, имеющих доступ к базе.
Где должны находиться цифровые объекты
Сбор и обработка персональных данных ограниченного доступа осуществляются посредством цифровых объектов, размещенных на территории Республики Казахстан.
Хранение персональных данных, содержащихся в цифровых ресурсах, должно осуществляться в базе и (или) цифровом объекте, находящихся в серверном помещении или центре обработки данных на территории Казахстана.
При этом должны быть приняты предусмотренные Правилами меры защиты.
Ответственный за обработку
Если собственником или оператором является юридическое лицо, назначается лицо, ответственное за организацию обработки персональных данных.
Его основные обязанности:
- внутренний контроль за соблюдением законодательства;
- информирование работников о требованиях к обработке и защите данных;
- контроль приема и обработки обращений субъектов либо их законных представителей.
Это требование не распространяется на обработку персональных данных в деятельности судов.
Что должна обеспечивать защита данных
Применяемые меры должны обеспечивать:
- предотвращение несанкционированного доступа;
- своевременное выявление такого доступа, если предотвратить его не удалось;
- минимизацию его неблагоприятных последствий;
- в предусмотренных случаях предоставление государственной технической службе доступа к соответствующим цифровым объектам для обследования их защищенности;
- регистрацию и учет установленных Законом действий с персональными данными.
Таким образом, защита включает не только технические средства, но и организационные процедуры: распределение доступа, внутренний контроль, документирование действий и порядок реагирования на инциденты.
Интеграция с государственным сервисом контроля доступа
При взаимодействии с государственными цифровыми объектами, содержащими персональные данные, собственные цифровые объекты должны интегрироваться с государственным сервисом контроля доступа к персональным данным, кроме предусмотренных Законом исключений.
Такая интеграция осуществляется в соответствии с отдельными Правилами, утвержденными приказом исполняющего обязанности Министра цифрового развития, инноваций и аэрокосмической промышленности от 8 июля 2022 года № 236/НҚ.
При нарушении безопасности — уведомление в течение одного рабочего дня
При обнаружении нарушения безопасности персональных данных необходимо в течение одного рабочего дня уведомить уполномоченный орган.
В уведомлении указываются контактные данные лица, ответственного за организацию обработки персональных данных, если такое лицо назначено.
Порядок уведомления определяется отдельными Правилами осуществления уведомления субъектов персональных данных о нарушении безопасности персональных данных, утвержденными приказом исполняющего обязанности Министра цифрового развития, инноваций и аэрокосмической промышленности от 9 августа 2024 года № 481/НҚ.
Главное в новой редакции
Новая редакция Правил устанавливает дифференцированный подход к защите персональных данных.
Объем требований зависит прежде всего от количества уникальных субъектов, чьи данные обрабатываются. При работе с персональными данными ограниченного доступа требования становятся более строгими, а категория повышается на один уровень.
Для малых субъектов установлен базовый набор мер. Средние и крупные должны дополнительно применять инструменты кибербезопасности, контроля, аудита и оценки защищенности.
Отдельные требования касаются места размещения цифровых объектов, криптографической защиты, контроля доступа и действий при инцидентах.
При этом один из наиболее жестко определенных сроков — один рабочий день на уведомление уполномоченного органа после обнаружения нарушения безопасности персональных данных.
По сути, новая редакция выстраивает последовательную систему: определить, какие данные собираются и для каких целей, установить круг доступа, обеспечить соответствующий уровень защиты, контролировать безопасность и иметь установленный порядок действий при нарушении
Материал подготовлен по информации по ссылке: https://prg.kz/m/amp/document/38779761/
Руководитель УЦ «ЖКХ-ИНФО» Алия БОГАЕВА
