Кто имеет доступ к данным казахстанцев и как госорганы должны их защищать

Государственные органы ежедневно работают с персональными данными граждан. Это могут быть сведения, которые используются при оказании государственных услуг и выполнении других функций. Поэтому вместе с цифровизацией все важнее становится вопрос: кто имеет доступ к этой информации и как она должна быть защищена от утечек и незаконного использования? Корреспондент BAQ.KZ разбирался, какие требования к защите персональных данных действуют в Казахстане и что должны делать госорганы для обеспечения безопасности своих баз.

С 12 июля 2026 года в Казахстане действует Цифровой кодекс. Он регулирует работу с цифровыми данными – их создание, хранение, передачу и использование. При этом для персональных и других охраняемых законом данных действуют отдельные требования законодательства.

Кто отвечает за защиту персональных данных

За безопасность персональных данных отвечают собственник или оператор базы, а в отдельных случаях – третьи лица, которые участвуют в их обработке. В роли собственника или оператора такой базы может выступать и государственный орган.

Организации должны определить, в каких процессах используются персональные данные, кто из сотрудников занимается их сбором и обработкой и кто имеет к ним доступ. Также должен быть установлен внутренний порядок работы с такой информацией.

Если собственником или оператором является юридическое лицо, оно должно назначить ответственного за организацию обработки персональных данных. Он контролирует соблюдение требований законодательства, знакомит сотрудников с правилами защиты информации и следит за рассмотрением обращений граждан. Исключение предусмотрено для обработки данных в деятельности судов.

Проще говоря, доступ к персональным данным не должен быть бесконтрольным. Организация должна заранее определить, кто и на каких основаниях может работать с такой информацией.

Как должны защищаться базы данных

Одна из главных задач – не допустить посторонних к персональным данным. Если несанкционированный доступ все же произошел, его должны как можно быстрее обнаружить и принять меры, чтобы сократить возможный ущерб.

Для персональных данных ограниченного доступа предусмотрены дополнительные меры защиты.

В частности, необходимо использовать средства защиты информации, своевременно обновлять программное обеспечение и вести журналы действий пользователей, которые работают с базами данных. Также должен контролироваться вопрос целостности информации, чтобы данные нельзя было незаметно изменить или подменить.

Передавать персональные данные ограниченного доступа другим лицам необходимо по защищенным каналам связи или с использованием шифрования – при наличии согласия гражданина, если законом не предусмотрено иное. Для хранения такой информации также используются средства криптографической защиты.

Для баз, содержащих более 100 тысяч записей персональных данных, предусмотрена идентификация и аутентификация пользователей, которые имеют доступ к информации ограниченного доступа. В том числе может использоваться биометрическая аутентификация.

Отдельные правила действуют для информационных систем государственных органов. При организации информационной безопасности госорганы, местные исполнительные органы и организации должны учитывать требования национального стандарта СТ РК ISO/IEC 27002-2023.

Также предусмотрены мониторинг событий информационной безопасности, системы обнаружения вредоносных программ и попыток вторжения, реагирование на киберинциденты. Для предотвращения утечек информации в государственных органах и МИО должны применяться DLP-системы.

Где должны храниться данные

Законодательство устанавливает требования не только к защите информации, но и к месту ее хранения.

Персональные данные должны храниться в базе, расположенной на территории Казахстана.

Если речь идет о данных в цифровых ресурсах, база должна размещаться в серверном помещении или центре обработки данных внутри страны.

Сбор и обработка персональных данных ограниченного доступа также должны проходить через цифровые объекты, расположенные на территории Казахстана.

Центры обработки данных, где размещаются государственные цифровые данные, информация ограниченного доступа или критически важные цифровые объекты, также должны находиться в стране.

Можно ли узнать, кто обращался к данным

Действия пользователей, которые работают с персональными данными ограниченного доступа, должны фиксироваться.

Для этого ведутся журналы событий систем управления базами данных и журналы действий пользователей. Они позволяют отслеживать операции с информацией и устанавливать, кто работал с данными.

Отдельный механизм предусмотрен Цифровым кодексом для системы «цифрового правительства».

Когда цифровые данные гражданина запрашиваются из объектов «цифрового правительства», должен формироваться цифровой след о факте их использования. Такая информация передается в цифровое пространство гражданина.

Оператор «цифрового правительства» должен обеспечивать сохранность этих сведений и давать человеку возможность контролировать их использование.

При этом речь не идет о том, что любой просмотр любой государственной базы автоматически становится виден гражданину. Законодательство разделяет внутренний учет действий сотрудников и отдельный механизм фиксации запросов данных через объекты «цифрового правительства».

Что происходит при утечке данных

Если произошло нарушение безопасности персональных данных, собственник, оператор или третье лицо должны уведомить об этом уполномоченный орган в течение одного рабочего дня после обнаружения инцидента.

Для структур, отвечающих за кибербезопасность, предусмотрен отдельный порядок. В установленных случаях они должны сообщить о выявленном нарушении уполномоченному органу в течение трех часов.

Далее уполномоченный орган передает оператору «цифрового правительства» информацию о возможных рисках и рекомендуемых мерах защиты. После этого граждан могут уведомить через личный кабинет на портале «цифрового правительства», мобильное приложение или SMS.

При этом данные, которые попали в открытый доступ из-за утечки, ошибки, нарушения безопасности или противоправных действий, не становятся автоматически открытыми.

Цифровой кодекс предусматривает их немедленное удаление с цифровых ресурсов в установленном порядке. Об этом также должны уведомить уполномоченный орган в сфере кибербезопасности и Комитет национальной безопасности.

Может ли гражданин потребовать удалить свои данные

Цифровой кодекс дает человеку право требовать удаления, анонимизации или ограничения обработки своих персональных данных в цифровой среде.

Однако это правило действует не во всех случаях.

Удалить данные могут не позволить, если они необходимы, например, для защиты жизни и здоровья людей, прав третьих лиц, рассмотрения дел о правонарушениях, осуществления правосудия, выполнения государственных функций или оказания государственных услуг.

Также существуют случаи, когда закон требует хранить определенную информацию в течение установленного срока. Это может быть связано с исполнением судебных актов, обязательств или архивным хранением.

Таким образом, защита персональных данных в государственных системах включает сразу несколько уровней. Это ограничение доступа сотрудников, фиксация их действий, шифрование, технические средства защиты, хранение баз внутри страны, мониторинг киберугроз и обязательное реагирование на утечки.

При этом у граждан появляется больше возможностей контролировать использование своих данных. Однако полной прозрачности любого обращения к любой государственной базе пока нет: внутренний учет действий сотрудников и цифровые уведомления для граждан работают по разным механизмам.