Қазақстанда дербес деректерді қорғау ережелері жаңартылды

• дербес деректерді жою – дербес деректерді қалпына келтіру мүмкін болмайтындай етіп, оларды цифрлық объектіден алып тастауға бағытталған әрекеттер;
• дербес деректерді жинауды және (немесе) өңдеуді жүзеге асыратын тұлғалардың тізілімі – дербес деректерді жинайтын және (немесе) өңдейтін меншік иелерінің және (немесе) операторлардың, сондай-ақ үшінші тұлғалардың тізбесі.

Қағидаларға сәйкес, меншік иесі немесе оператор, сондай-ақ үшінші тұлға дербес деректерді өңдеуді бастамас бұрын және оны тоқтатқан кезде уәкілетті органға деректерді өңдеу ниеті немесе оларды өңдеуді тоқтатқаны туралы хабарлауға міндетті.

Сонымен қатар қағидалар мынадай жаңа тармақпен толықтырылды:

• Меншік иесі немесе оператор, сондай-ақ үшінші тұлға дербес деректерді жинайтын және өңдейтін шағын және орта меншік иелері, операторлар немесе үшінші тұлғалар санатына жатқызылған жағдайда, уәкілетті органға хабарлама жібермей-ақ деректерді өңдеуге құқылы.
• Хабарлама қағаз, цифрлық немесе өзге де материалдық тасымалдағыштағы құжат түрінде жіберіледі және оған уәкілетті тұлға қол қояды.

Хабарламада мынадай мәліметтер көрсетіледі:

• меншік иесінің және (немесе) оператордың, сондай-ақ үшінші тұлғаның атауы немесе тегі, аты, әкесінің аты (егер ол жеке басын куәландыратын құжатта көрсетілсе), бизнес-сәйкестендіру нөмірі немесе жеке сәйкестендіру нөмірі;
• дербес деректерді қорғау бойынша қолданылатын шаралар;
• дербес деректерді өңдеу басталған күн;
• меншік иесінің немесе оператордың, сондай-ақ үшінші тұлғаның дербес деректерді өзге тұлғаларға беру мүмкіндігінің бар-жоғы;
• дербес деректерді өңдеу кезінде оларды трансшекаралық берудің бар-жоғы;
• дербес деректерді жалпыға қолжетімді дереккөздерде тарату туралы ақпарат;
• субъектіге қатысты жиналатын дербес деректердің тізбесі;
• дербес деректер қамтылған базаның және (немесе) цифрлық объектінің орналасқан жері;
• меншік иесі немесе оператор, сондай-ақ үшінші тұлға айқындайтын өзге де мәліметтер.

Уәкілетті орган хабарлама келіп түскен күннен бастап 30 жұмыс күні ішінде дербес деректерді жинайтын немесе өңдейтін тұлғалардың тізіліміне тиісті мәліметтерді енгізеді.

Қағидалардағы негізгі жаңалықтардың бірі – меншік иелерін, операторлар мен үшінші тұлғаларды өңделетін дербес деректердің көлеміне қарай шағын, орта және ірі санаттарға бөлу.

Өңделетін дербес деректердің көлемін анықтау кезінде меншік иесі және (немесе) оператор, сондай-ақ үшінші тұлға бір немесе бірнеше цифрлық объект аясында деректерін өңдейтін бірегей дербес деректер субъектілерінің жалпы саны ескеріледі.

Дербес деректердің меншік иелерін шағын, орта немесе ірі санатқа жатқызу өлшемшарттары олардың ұйымдық-құқықтық нысанына, меншік нысанына және қызмет түріне қарамастан қолданылады.

Бұл ретте:

• 10 мыңнан аспайтын бірегей субъектінің дербес деректерін жинайтын және өңдейтін меншік иелері және (немесе) операторлар, сондай-ақ үшінші тұлғалар шағын санатқа жатады;
• 10 мыңнан 500 мыңға дейінгі бірегей субъектінің дербес деректерін жинайтын және өңдейтін меншік иелері және (немесе) операторлар, сондай-ақ үшінші тұлғалар орта санатқа жатады;
• 500 мың және одан да көп бірегей субъектінің дербес деректерін жинайтын және өңдейтін меншік иелері және (немесе) операторлар, сондай-ақ үшінші тұлғалар ірі санатқа жатады.
• Қолжетімділігі шектеулі дербес деректер жиналған және өңделген жағдайда меншік иесі мен оператордың санаты бір деңгейге жоғарылайды.

Шағын санаттағы меншік иелері мен операторлар, сондай-ақ үшінші тұлғалар:

• жиналуға және өңделуге жататын дербес деректердің тізбесін айқындауға;
• дербес деректерді жинау және өңдеу мақсаттарын белгілеуге;
• дербес деректерді жинайтын және өңдейтін немесе оларға қол жеткізе алатын тұлғалардың тізбесін айқындауға;
• дербес деректерді өңдеу мен қорғауды ұйымдастыруға жауапты тұлғаны тағайындауға;
• дербес деректерді жинау, өңдеу және қорғау тәртібін айқындайтын ішкі құжаттарды бекітуге;
• лауазымдық міндеттерге сәйкес дербес деректерге қол жеткізу құқықтарын ажыратуға;
• цифрлық жүйелерді пайдаланушыларды сәйкестендіру мен аутентификациялауға;
• дербес деректерді жинау, өңдеу, өзгерту, толықтыру, пайдалану, тарату, иесіздендіру, жою және өшіру әрекеттерін тіркеуге;
• дербес деректердің резервтік көшірмесін жасауға;
• зиянды бағдарламалық жасақтамадан қорғау құралдарын қолдануға және бағдарламалық жасақтаманы уақтылы жаңартуға;
• дербес деректерді қорғалған байланыс арналары арқылы беруге міндетті.

Орта санаттағы меншік иелері мен операторлар, сондай-ақ үшінші тұлғалар жоғарыда аталған талаптарды орындаумен қатар:

• цифрлық жүйелер мен дербес деректерді өңдеу процестерінің есебін жүргізуге;
• пайдаланушылардың рөлдері негізінде қолжетімділікті басқаруға;
• қолжетімділігі шектеулі дербес деректерге кіре алатын пайдаланушылар үшін көпфакторлы аутентификацияны қолдануға;
• киберқауіпсіздік оқиғаларын тіркеуге және сақтауға;
• киберқауіпсіздік инциденттеріне ден қою тәртібін бекітуге;
• қызметкерлерді дербес деректерді қорғау мәселелері бойынша мерзімді түрде оқытуға;
• цифрлық жүйелердің осал тұстарын талдауға;
• заң талаптарының сақталуына ішкі бақылау жүргізуге міндетті.

Ірі санаттағы меншік иелері мен операторлар, сондай-ақ үшінші тұлғалар шағын және орта санаттарға қойылатын талаптарды орындаумен қатар:

• дербес деректерді жинау және өңдеу үшін пайдаланылатын цифрлық жүйелердің қорғалу деңгейін бағалауға;
• дербес деректерді қорғау шараларына тәуелсіз аудит жүргізуге;
• киберқауіпсіздік оқиғаларына мониторинг жүргізуге;
• артықшылықты қол жеткізу құқықтары бар пайдаланушылардың әрекеттерін бақылауға;
• дербес деректерді өңдеуге байланысты операцияларды бақылауға;
• осалдықтарды талдауға, жүйеге енуге тест жүргізуге және дербес деректердің қорғалу деңгейін бағалауға бағытталған өзге де іс-шараларды өткізуге;
• дербес деректердің қауіпсіздігі бұзылғаннан кейін оларды қалпына келтіруді қамтамасыз етуге міндетті.

Қолжетімділігі шектеулі дербес деректерді өңдеуге қатысты арнайы талаптар белгіленген.

Осылайша, меншік иесі мен оператор, сондай-ақ үшінші тұлға қолжетімділігі шектеулі дербес деректерді өңдеу кезінде:

• қолжетімділігі шектеулі дербес деректерді өңдеу мақсаттарын белгілейді;
• субъект өтініш жасаған жағдайда оған қатысты қолжетімділігі шектеулі дербес деректерді бұғаттау тәртібін айқындайды;
• қолжетімділігі шектеулі дербес деректерге заңсыз қол жеткізуге байланысты киберқауіпсіздік инциденттері туралы уәкілетті органға хабарлайды;
• дербес деректерді өңдеу қауіпсіздігін қамтамасыз ету үшін қолжетімділігі шектеулі дербес деректер өңделетін техникалық құралдарға ақпаратты қорғау құралдары мен бағдарламалық жасақтама жаңартуларының орнатылуын қамтамасыз етеді;
• қолжетімділігі шектеулі дербес деректерді өңдеуге байланысты оқиғаларды тіркеу үшін дерекқорларды басқару жүйелеріндегі оқиғалар журналын жүргізеді;
• қолжетімділігі шектеулі дербес деректермен жұмыс істеу кезіндегі әрекеттерді есепке алу үшін мұндай деректерге қол жеткізе алатын пайдаланушылардың іс-қимыл журналын жүргізеді;
• дербес деректердің рұқсатсыз өзгертілуіне жол бермеу үшін қолжетімділігі шектеулі дербес деректердің тұтастығын бақылау құралдарын қолданады;
• рұқсатсыз қол жеткізудің алдын алу үшін дербес деректер субъектісінің келісімі болған жағдайда қолжетімділігі шектеулі дербес деректерді өзге тұлғаларға қорғалған байланыс арналары арқылы және (немесе) шифрлауды қолдана отырып беруді қамтамасыз етеді;
• қолжетімділігі шектеулі дербес деректерді сенімді сақтау үшін ақпаратты криптографиялық қорғау құралдарын қолданады.

Қолжетімділігі шектеулі дербес деректерді сақтау және беру «Ақпаратты криптографиялық қорғау құралдары. Жалпы техникалық талаптар» ҚР СТ 1073-2007 стандартына сәйкес қауіпсіздіктің үшінші деңгейінен төмен емес параметрлері бар ақпаратты криптографиялық қорғау құралдарын пайдалану арқылы жүзеге асырылады.

Сондай-ақ қолжетімділігі шектеулі дербес деректермен жұмыс істеген кезде 100 мыңнан астам дербес дерек жазбасы сақталған база үшін пайдаланушыларды сәйкестендіру және аутентификациялау, оның ішінде биометриялық аутентификация құралдары қолданылады.

Пайдаланушыларды сәйкестендіру және аутентификациялау міндеті дербес деректер базасына қол жеткізе алатын тұлғаларға ғана қатысты екені белгіленді.

Қолжетімділігі шектеулі дербес деректерді жинау және өңдеу Қазақстан аумағында орналасқан цифрлық объектілердің көмегімен жүзеге асырылады.

Меншік иесі мен оператор, сондай-ақ үшінші тұлға дербес деректер қауіпсіздігінің бұзылғанын анықтаған сәттен бастап бір жұмыс күні ішінде бұл туралы уәкілетті органға хабарлауға міндетті. Хабарламада дербес деректерді өңдеуді ұйымдастыруға жауапты тұлға болған жағдайда оның байланыс деректері көрсетіледі.

Бұйрық 2026 жылғы 21 қыркүйектен бастап қолданысқа енгізіледі.