Правовые, организационные и технические меры защиты, требования к данным ограниченного доступа.
Нажмите на вопрос, чтобы увидеть краткий ответ. Подробный разбор с нормами — в заметке ниже.
Все операторы защищают данные от несанкционированного доступа, вовремя обнаруживают взломы и уменьшают их последствия, а конкретный набор мер зависит от категории оператора. Для данных ограниченного доступа есть отдельный обязательный набор: установленные цели обработки, порядок блокирования, журналы событий и действий пользователей, контроль целостности, шифрование при хранении и передаче, аутентификация, обработка через системы в Казахстане.
Данные ограниченного доступа хранят и передают с использованием сертифицированных средств криптографической защиты не ниже 3-го уровня по казахстанскому стандарту (кроме трансграничной передачи). Для таких данных ведут журнал событий баз данных и журнал действий пользователей; для баз более 100 тысяч записей нужна идентификация и аутентификация пользователей, в том числе биометрическая.
Малым (до 10 тыс. человек) нужны перечень данных и целей, список лиц с доступом, ответственное лицо, внутренние документы, разграничение доступа, журналирование, резервное копирование, антивирусная защита, защищённые каналы связи. Средним (до 500 тыс.) нужно то же плюс учёт систем, ролевой доступ, многофакторная аутентификация, порядок реагирования на инциденты, обучение работников, анализ уязвимостей и внутренний контроль. Крупным добавляются оценка защищённости, независимый аудит, мониторинг, контроль привилегированных пользователей, тесты на проникновение и восстановление после нарушений.
Заметка
Что считается нарушением безопасности персональных данных, кто, кого и в какие сроки уведомляет: оператор сообщает регулятору за один рабочий день, центры кибербезопасности за три часа, а субъектов уведомляет не оператор, а «цифровое правительство». Сравнение с 72 часами по GDPR.
Заметка
Казахстанский закон делит данные не на «обычные» и «особые», как GDPR, а на общедоступные и ограниченного доступа. Перечня данных ограниченного доступа нет, его приходится собирать по другим законам: о медицинской тайне, о дактилоскопической и геномной регистрации, о доступе к информации. От ответа зависят меры защиты, место обработки и категория оператора.
Заметка
Административная ответственность по ст. 79 КоАП: штрафы от 30 до 2000 МРП (в 2026 году от 129 750 до 8,65 млн тенге), особенности возбуждения дел и годичный срок давности для юридических лиц. Уголовная ответственность по ст. 147 УК и гражданско-правовая в виде возмещения вреда. Сравнение с оборотными штрафами GDPR.
Заметка
С 25 августа 2026 года крупные собственники и операторы обязаны уведомлять уполномоченный орган о начале и прекращении обработки персональных данных. Кто считается крупным, что указывается в уведомлении, как работает реестр и чего закон пока не говорит о переходном периоде, способе подачи и ответственности.
Заметка
Кто обязан назначать лицо, ответственное за организацию обработки персональных данных, что оно делает и чем отличается от DPO по GDPR. Какие внутренние документы нужны оператору в зависимости от категории (малой, средней или крупной) по Правилам защиты в редакции 2026 года.
Заметка
Особый режим персональных медицинских данных по Кодексу о здоровье: тайна медицинского работника и случаи её раскрытия, электронный паспорт здоровья, кто и когда получает доступ к данным пациента, правила Минздрава о согласии, уведомлении пациента и хранении данных в Казахстане.
Заметка
Какие меры защиты требует закон и как с сентября 2026 года они зависят от категории оператора: малые, средние и крупные по числу субъектов, плюс отдельные требования к данным ограниченного доступа. Сравнение с риск-ориентированным подходом GDPR.
Базовый закон. Определяет понятия (ст. 1) и сферу действия (ст. 3). Устанавливает требование хранить данные на территории Казахстана (ст. 12) и условия трансграничной передачи (ст. 16). С 25.08.2026 действуют уведомление о начале обработки (ст. 10-1) и деление операторов на малых, средних и крупных (ст. 25-1).
Открыть:Adilet (откроется в новой вкладке)официальныйzakon.uchet.kz (откроется в новой вкладке)альтернативный источник, неофициальный
● Проверено 26 октября 2026 г.действуетАвтоматизированная обработка и ИИНарушения безопасности и уведомленияСогласиеТрансграничная передачаВиды персональных данныхПрава субъектаУдаление, уничтожение и обезличиваниеПередача третьим лицам и распространениеОтветственностьЛокализацияУведомление и реестр операторовПринципы обработкиОбработка без согласияЦели, объём и сроки храненияУполномоченный орган и государственный контрольОтветственное лицо и внутренние документыСфера действия и основные понятияСвязьМеры защиты
Бывший Закон «Об информатизации». Для персональных данных важны: обязанность центров кибербезопасности оповещать уполномоченный орган о нарушении безопасности персональных данных в течение трёх часов (ст. 7-4, 7-5 и др.), информирование субъектов через личный кабинет eGov (ст. 7-1), обследование защищённости государственной технической службой (ст. 14) и общая обязанность защищать цифровые ресурсы с персональными данными (ст. 56).
Открыть:Adilet (откроется в новой вкладке)официальныйzakon.uchet.kz (откроется в новой вкладке)альтернативный источник, неофициальный
● Проверено 26 октября 2026 г.действуетНарушения безопасности и уведомленияМеры защиты
Главный подзаконный акт о мерах защиты. В редакции сентября 2026 года: уведомление о начале обработки (пп. 3–7), категории операторов и меры защиты для малых, средних и крупных (пп. 8–14), требования к данным ограниченного доступа, включая криптографию по СТ РК 1073-2007 (п. 15), сбор и обработка таких данных через цифровые объекты в Казахстане (п. 16), хранение в серверном помещении или ЦОД в Казахстане (п. 18), ответственное лицо (пп. 19–20), уведомление регулятора о нарушении в течение одного рабочего дня (п. 23).
Открыть:Adilet (откроется в новой вкладке)официальныйzakon.uchet.kz (откроется в новой вкладке)альтернативный источник, неофициальный
● Проверено 26 октября 2026 г.действуетНарушения безопасности и уведомленияВиды персональных данныхЛокализацияУведомление и реестр операторовОтветственное лицо и внутренние документыМеры защиты
33 требования, по которым проверяют собственников и операторов. Полезен как готовый чек-лист соответствия: согласие, цели, локализация (п. 6), трансграничная передача (п. 8), ответственное лицо, журналы, криптография. Формулировки даны до поправок 2026 года.
Открыть:Adilet (откроется в новой вкладке)официальныйzakon.uchet.kz (откроется в новой вкладке)альтернативный источник, неофициальный
● Проверено 26 октября 2026 г.действуетЛокализацияУполномоченный орган и государственный контрольМеры защиты