Правовая рамка
Закон РК «О персональных данных и их защите» обязывает собственника, оператора и третье лицо принимать меры, обеспечивающие предотвращение несанкционированного доступа к персональным данным, своевременное обнаружение фактов такого доступа и минимизацию его неблагоприятных последствий.
При выявлении нарушения безопасности персональных данных установлена обязанность уведомить уполномоченный орган с указанием контактных данных лица, ответственного за организацию обработки персональных данных. Срок — один рабочий день.
Параллельно действуют сокращенные сроки для инфраструктурных участников: центры кибербезопасности информируют уполномоченный орган в течение трех часов, а хостинг-провайдеры получили самостоятельные обязанности по передаче сведений об инцидентах.
Шаг 0. Подготовка до инцидента
Алгоритм реагирования работает только тогда, когда он создан заранее. Минимальный набор: назначенное лицо, ответственное за организацию обработки персональных данных (обязательное требование для юридических лиц), внутренний порядок реагирования с распределением зон ответственности между ИТ, юристами и коммуникациями, актуальные контакты и заранее подготовленные шаблоны уведомлений.
Сюда же относится обязательная с июля 2026 года регистрация и учет действий с персональными данными: без таких записей компании будет затруднительно установить объем утечки и подтвердить правомерность обработки.
Шаг 1. Фиксация и локализация (первые часы)
Зафиксируйте дату и время обнаружения, источник информации и предварительное описание события.
Сохраните следы: журналы событий, образы систем, переписку. Распространенная ошибка — немедленная «чистка» системы, после которой установить объем утечки невозможно.
Локализуйте инцидент: отзовите скомпрометированные доступы, смените пароли и ключи, ограничьте доступ к затронутым ресурсам.
Шаг 2. Квалификация инцидента
До направления уведомления необходимо ответить на несколько вопросов: относятся ли затронутые сведения к персональным данным (есть ли среди них идентификаторы, в том числе фамилия, имя и отчество в совокупности, ИИН, изображение лица); чьи это данные; какие категории затронуты, включая данные ограниченного доступа; каков объем; где произошел инцидент — в собственной инфраструктуре или у подрядчика.
Ответ на последний вопрос не снимает обязанностей: если данные передавались подрядчику, компания-собственник сохраняет ответственность перед субъектами и регулятором.
Шаг 3. Уведомление уполномоченного органа
Срок — один рабочий день. Он исчисляется с момента обнаружения нарушения, а не с момента завершения внутреннего расследования. Полная картина к этому моменту обычно отсутствует, и это нормально — уведомление направляется на основании имеющихся сведений и может быть дополнена по мере их уточнения.
В уведомлении указываются контактные данные ответственного лица, сведения о затронутых субъектах и меры, принятые для устранения нарушения.
Шаг 4. Информирование субъектов
Уведомление субъектов осуществляется через государственные каналы. Компании важно учитывать, что это произойдет независимо от ее решения, после уведомления уполномоченного органа — поэтому собственная коммуникация должна быть подготовлена заранее и не противоречить официальному уведомлению.
Шаг 5. Работа с подрядчиками и контрагентами
Если инцидент произошел на стороне поставщика, необходимо запросить официальное описание события и перечень затронутых данных, зафиксировать нарушение договорных обязательств и оценить перспективы возмещения убытков.
Если инцидент произошел у вас, а среди затронутых данных есть данные, полученные от контрагентов, следует проверить договорные обязательства по уведомлению и исполнить их в установленные сроки.
Шаг 6. Устранение причин
Меры не должны ограничиваться техническими. Наряду с закрытием уязвимости и сменой ключей может потребоваться блокирование персональных данных, уничтожение данных, полученных незаконным путем, пересмотр доступов и сокращение объема собираемых данных. Отдельно стоит проверить применение маскирования и хеширования — с 2026 года это самостоятельные меры защиты, предусмотренные законом.
Шаг 7. Документирование
Досье инцидента — хронология, принятые решения, направленные уведомления, переписка с подрядчиком, отчет о мерах — основной аргумент компании при проверке. Документированная и своевременная реакция существенно меняет оценку добросовестности.
Шаг 8. Пересмотр процессов
После закрытия инцидента имеет смысл вернуться к его первопричине: избыточный сбор данных, несоразмерные права доступа, отсутствие обучения сотрудников, слабые договорные условия с подрядчиками. Отдельно стоит оценить целесообразность добровольного киберстрахования, прямо предусмотренного ст. 23-1 Закона.
Вывод
Утечка данных — операционный риск, который невозможно исключить полностью, но можно заранее сделать управляемым.
Ключевые точки: назначенное ответственное лицо, работающий порядок реагирования, ведение учета действий с данными, один рабочий день на уведомление уполномоченного органа и коммуникация с субъектами, согласованная с тем, что они в любом случае получат официальное уведомление.
Компании, у которых этот алгоритм не только описан, но и отработан на практике, проходят инцидент как неприятный, но контролируемый эпизод. Для остальных инцидент превращается в затяжной процесс с регуляторными, договорными и репутационными последствиями.
