Новые правила меняют логику защиты персональных данных в Казахстане

Изменения правил защиты персональных данных в Казахстане означают переход от формального соблюдения требований к управляемой и проверяемой системе обработки информации. Новый порядок фиксирует, что защита данных становится не технической опцией, а обязательным элементом организационной модели компаний и государственных структур.

Обновленные требования утверждены приказом заместителя Премьер-министра - министра цифрового развития, инноваций и аэрокосмической промышленности Жаслана Мадиева. Они распространяются на собственников баз данных, операторов и третьих лиц, участвующих в обработке персональной информации. Ранее регулирование во многом ограничивалось общими принципами, оставляя значительное пространство для интерпретаций.

Ключевое изменение касается целей и прозрачности обработки данных. Организации обязаны заранее и четко определять, зачем собирается информация, кто именно имеет к ней доступ и при каких условиях данные подлежат блокированию по запросу самого человека. Это сокращает возможность нецелевого использования персональных сведений и усиливает позиции граждан в отношениях с операторами данных.

Отдельный акцент сделан на реагировании на инциденты. Теперь вводится прямая обязанность уведомлять уполномоченный государственный орган о случаях утечки или незаконного доступа к персональным данным. Таким образом, государство получает инструмент оперативного контроля, а сами инциденты перестают оставаться внутренней проблемой компании.

Усилены и требования к информационной безопасности. Передача данных должна осуществляться по защищенным каналам, хранение - с применением шифрования. Для крупных баз данных численностью более 100 тысяч записей предусмотрено использование усиленных методов идентификации, включая биометрические технологии. Это фактически разделяет участников рынка по уровню ответственности в зависимости от масштаба обрабатываемых данных.

При этом остаются открытые вопросы практического применения новых норм. Не определено, как будет оцениваться достаточность мер защиты и каким образом уполномоченный орган станет различать технические сбои и системные нарушения. Эти аспекты будут формироваться в процессе правоприменения, что может создать дополнительную нагрузку на бизнес в переходный период.