2026 жылғы 25 тамыздан бастап Қазақстанда дербес деректер қауіпсіздігінің бұзылу жағдайлары арнайы тізілімге енгізіледі. Сонымен қатар азаматтардың мәліметін жинайтын компаниялар базасындағы адам санына қарай үш санатқа бөлінеді. Өзгерістер 24 маусымда қол қойылған №326-VIII заңда қарастырылған.

Жаңа база ресми түрде дербес деректер қауіпсіздігін бұзу тізілімі деп аталады. Оған жеке ақпаратқа заңсыз қол жеткізу, оны тарату, өзгерту, жою немесе өшіру жағдайлары туралы мәлімет енгізіледі.

Бұл тек интернетке жарияланып кеткен ірі деректер базаларына қатысты емес. Егер бөгде адам азаматтың жеке мәліметіне заңды негізсіз қол жеткізсе, мұндай жағдай да қауіпсіздіктің бұзылуы ретінде тіркелуі мүмкін.

Тізілімге қандай ақпарат енгізіледі

Тізілімді дербес деректерді қорғау саласындағы уәкілетті мемлекеттік орган жүргізеді. Ақпарат ашық дереккөздерден, сондай-ақ мемлекеттік, салалық және жеке ақпараттық қауіпсіздік орталықтарынан алынуы мүмкін.

Мәліметті тізілімге енгізу үшін үшінші тұлғаның дербес деректерге рұқсатсыз қол жеткізгені расталуы керек.

Заңда бұл тізілімнің барлығына ашық болатыны жазылмаған. Сондықтан кез келген адам одан зардап шеккен азаматтардың аты-жөнін немесе деректердің таралуына жол берген компаниялардың атауын көре алады деуге әзірге негіз жоқ. Тізілімді жүргізу және пайдалану тәртібі бөлек бекітілуі тиіс.

Азамат деректерінің тарағанын қалай біледі

Дербес деректер қауіпсіздігінің бұзылғаны туралы хабарлау міндеті қазір де бар. База иесі немесе операторы мұндай жағдайды анықтағаннан кейін бір жұмыс күні ішінде уәкілетті органға хабарлауға тиіс.

Хабарламада оқиғаның мән-жайы, ықтимал салдары және қауіптің алдын алу үшін қабылданған шаралар көрсетіледі.

Деректері бөтен адамның қолына түсуі мүмкін азаматқа ақпарат бірнеше арна арқылы жеткізілуі ықтимал:

• электрондық үкімет порталындағы жеке кабинет арқылы;
• тіркелген телефон нөміріне SMS жіберу арқылы;
• мемлекет қарастырған басқа байланыс арналары арқылы.

Хабарламада ықтимал қауіптер мен жеке мәліметті қорғау үшін қандай әрекет жасау керектігі түсіндірілуі тиіс. Азаматтың оқиғаны тізілімге енгізу үшін өз бетінше өтініш беруі талап етілмейді.

Компаниялар үш санатқа бөлінеді

25 тамыздан бастап дербес деректерді жинайтын және өңдейтін ұйымдар базадағы бірегей адамдардың санына қарай жіктеледі:

• шағын операторлар: 10 мыңнан аспайтын адамның деректерін өңдейтін ұйымдар;
• орта операторлар: 10 мыңнан 500 мыңға дейінгі адамның деректерін өңдейтін ұйымдар;
• ірі операторлар: 500 мың және одан көп адамның деректерін өңдейтін ұйымдар.

Егер компания қолжетімділігі шектеулі немесе сезімтал ақпаратты өңдесе, оның санаты бір деңгейге көтерілуі мүмкін. Мысалы, адам саны бойынша шағын оператор саналатын ұйым орта санатқа ауыстырылуы ықтимал.

Әр санат үшін дербес деректерді қорғаудың жеке талаптары белгіленеді. Базадағы адам саны көбейген сайын және ақпарат неғұрлым сезімтал болған сайын қауіпсіздік шаралары да күшейтіледі.

Ірі операторлар мемлекетке алдын ала хабарлайды

Ірі база иелері, операторлар және деректерді өңдеуге қатысатын үшінші тұлғалар жеке мәліметтерді жинауды бастамас бұрын уәкілетті органға хабарлауға міндетті болады. Деректерді өңдеу тоқтатылған кезде де ақпарат берілуі керек.

Ұйымдар хабарламада мына мәліметтерді көрсетуге тиіс:

• қандай дербес деректер жиналатынын;
• ақпараттың қандай мақсатпен өңделетінін;
• деректер базасының қай жерде орналасқанын;
• қандай қорғаныс шаралары қолданылатынын;
• мәліметтің үшінші тұлғаларға берілетінін немесе берілмейтінін;
• деректердің шетелге жіберілетінін немесе жіберілмейтінін;
• ақпараттың ашық дереккөздерде жарияланатынын немесе жарияланбайтынын.

Осы хабарламалар негізінде дербес деректерді жинайтын және өңдейтін тұлғалар мен ұйымдардың тағы бір тізілімі жасалады. Шағын және орта операторлар алдын ала хабарлау міндетінен босатылады.

Қандай ақпарат идентификатор болып саналады

Заңда дербес деректер идентификаторы деген жаңа ұғым бекітілді. Оған адамның тегі, аты және әкесінің аты бірге көрсетілген мәлімет, жеке сәйкестендіру нөмірі, бет-бейне суреті, сондай-ақ беттің биометриялық векторы мен одан алынған ақпарат жатады.

Цифрлық жүйелерде мұндай мәліметті қорғау үшін бүркемелеу және хештеу тәсілдері қолданылуы тиіс. Маңызды цифрлық нысандардан деректерді сыртқы тасымалдағыштарға көшіруге де бөлек талап белгіленеді.

Заңға 2026 жылғы 24 маусымда қол қойылды. Дербес деректерді қорғауға қатысты осы өзгерістердің негізгі бөлігі 25 тамызда күшіне енеді.