«Дербес деректер және оларды қорғау туралы» ҚР Заңы: 2026 жылы компания не істеуге міндетті

Қысқаша: «Дербес деректер және оларды қорғау туралы» 2013 жылғы 21 мамырдағы № 94-V ҚР Заңы Қазақстанда клиенттердің, қызметкерлердің немесе контрагенттердің деректерін жинайтын кез келген компанияға қатысты: тегі, аты, әкесінің аты, ЖСН, телефондар, мекенжайлар, e-mail. Бұл — CRM-і бар ЖШС, интернет-дүкен, клиника, мектеп, мемлекеттік ұйым — Өскеменнен Астана мен Алматыға дейін. 2026 жылғы 18 қаңтардан бастап түзетулер (17.11.2025 № 231-VIII Заң), ал 2026 жылғы 12 шілдеден бастап дербес деректерді қорғаудың жаңартылған қағидалары қолданылады. Айыппұлдар өсті, реттеуші жоспардан тыс тексеру жүргізу құқығын алды. Төменде — іс жүзінде не істеу керектігі.

Реттеуші кім және не өзгерді

Уәкілетті орган — ҚР Цифрлық даму, инновациялар және аэроғарыш өнеркәсібі министрлігі (ЦДИАӨМ), техникалық бөлігін Мемлекеттік техникалық қызмет (МТҚ) жүргізеді. 2025–2026 жылдардағы негізгі өзгерістер:

• Келісімге қойылатын талаптар қатаңдатылды: ол айқын, хабардар етілген және кері қайтарып алуға болатын келісім болуға тиіс.
• Жылыстаулар туралы реттеушіні хабардар етудің қатаң мерзімдері енгізілді.
• ҚР ӘҚБтК-нің 79-бабы бойынша айыппұлдар бірнеше есе өсті, ірі бизнес үшін — мыңдаған АЕК-ке дейін.
• Деректерді ҚР аумағындағы дата-орталықта сақтауға қойылатын талаптар нақтыланды.

Ұйымдастырушылық чек-лист

1. Дербес деректер базаларын локализациялау. Заңның 12-бабы бойынша дербес деректерді сақтау Қазақстан аумағындағы базада жүзеге асырылады. CRM, 1С, пошта, сайт және HR-жүйе физикалық түрде қайда орналасқанын тексеріңіз. ҚР-да жергілікті базасы жоқ шетелдік бұлт — тәуекел.
2. Субъектілердің келісімдері. Жинау мен өңдеуге, үшінші тұлғаларға беруге, трансшекаралық беруге жеке-жеке келісім қажет. Нысаны — сайтта, шартта, қызметкердің сауалнамасында. «Әдепкі бойынша» қойылған белгі есепке алынбайды.
3. Уәкілетті органды хабардар ету. Дербес деректері бар базалар туралы хабарлама және өңдеуді ұйымдастыруға жауапты адамды тағайындау — қолданыстағы тәртіпті МТҚ порталы арқылы тексеріп, заңгерден нақтылаңыз.
4. Ішкі құжаттар. Дербес деректерді өңдеу саясаты, деректер мен мақсаттар тізбесі, қол жеткізу регламенті, инциденттерге ден қою тәртібі.
5. Қызметкерлердің деректері. Жұмыс берушіге жеке куәліктердің көшірмелерін сақтауға және кандидаттар туралы мәліметтерді әлеуметтік желілерден негізсіз жинауға тыйым салынған.
6. Жылыстау кезіндегі іс-қимыл тәртібі. Жауапты адам, хабарлама үлгісі, реттеушінің байланыс деректері. Хабардар ету мерзімі — қолданыстағы қағидаларда бір жұмыс күні (бірқатар жарияланымдарда 72 сағат көрсетіледі): қолданыстағы редакцияны нақтылаңыз.

Жауапкершілік

Айыппұлдар ҚР ӘҚБтК-нің 79-бабы бойынша АЕК-пен есептеледі (2026 жылы 1 АЕК = 4 325 ₸). Заңсыз жинау және өңдеу: шағын бизнес үшін — 60 АЕК-тен бастап, орта бизнес үшін — 100 АЕК, ірі бизнес үшін — 200 АЕК. Ірі бизнесте клиенттер базасының жылыстауы үшін — 2 000 АЕК, яғни 8,65 млн ₸. Өрескел бұзушылықтар үшін жарияланымдарда 10 000 АЕК-ке дейінгі (шамамен 43 млн ₸) сомалар аталады. Оған қоса — қызметті тоқтата тұру және беделге келетін нұқсан. Өз санатыңызға қатысты нақты құрамдар мен сомаларды заңгерден тексеріңіз — олар екі жылда екі рет өзгерді.

Интегратордың техникалық чек-листі

Техникалық шараларсыз құжаттар реттеушіні сендірмейді. Genius Systems аудит кезінде мыналарды тексереді:

• Дербес деректерді түгендеу. Карта: қандай деректер, қай жүйелерде, кімнің және қай жерден қолжетімділігі бар. Онсыз қалған жұмыстың бәрі көзді жұмып жасалады.
• Қол жеткізуді бақылау. Рөлдік модель, жеке есептік жазбалар, CRM мен 1С-ке екі факторлы аутентификация, жұмыстан шыққандардың қолжетімділігін шыққан күні өшіру.
• DLP. Деректердің пошта, WhatsApp, Telegram, USB және бұлттар арқылы кетуін бақылау. Бұл — жылыстауды тергеу кезіндегі дәлелдемелік база да. Толығырақ — DLP шешімдері.
• Резервтік көшірмелер. Дербес деректер базаларының көшірмелері ҚР аумағындағы дата-орталықта сақталады, қалпына келтіру тоқсанына кемінде бір рет тексеріледі. Резервтік көшіру және қалпына келтіру бөлімін қараңыз.
• Журналдау. Дербес деректер базаларына қол жеткізу логтары кемінде бір жыл сақталады: кім, қашан, нені ашты және жүктеп алды.
• ЖИ-сервистерді бақылау. Қызметкерлер клиенттік кестелерді ChatGPT пен басқа ЖИ-ге салады — бұл келісімсіз трансшекаралық беру. Саясат пен техникалық бақылау қажет: ЖИ қауіпсіздігі.
• Ақпараттық қауіпсіздік аудиті. Периметрді, осалдықтарды және талаптарға сәйкестікті тұрақты тексеру — ақпараттық қауіпсіздік аудиті.

Мерзімдер: ең алдымен не істеу керек

• Бір ай ішінде: түгендеу, дербес деректерге жауапты адам, келісім нысандары.
• Бір тоқсан ішінде: базаларды локализациялау, қол жеткізуді бақылау, резервтік көшірмелер, журналдау.
• Жыл соңына дейін: DLP, ЖИ-сервистерді бақылау, ден қою регламенті, қайталама аудит.

Әрі қарай не істеу керек

Genius Systems Өскемен, Астана, Алматы және бүкіл Қазақстан компаниялары үшін дербес деректер туралы заңға сәйкестік аудитін жүргізеді: дербес деректер картасы, талаптар мен ағымдағы жай-күй арасындағы алшақтық, басымдықтары мен бюджеті көрсетілген шаралар жоспары. Өтінім қалдырыңыз — алғашқы консультация тегін.