В Казахстане рассматривают возможность очередного ужесточения ответственности за крупные утечки персональных данных граждан. Об этом сообщили в пресс-службе Министерства искусственного интеллекта и цифрового развития по итогам межведомственного совещания, посвящённого защите информации и борьбе с киберугрозами.
На заседании глава ведомства Жаслан Мадиев акцентировал внимание на прямой ответственности организаций перед гражданами.
- Персональные данные - это не просто массив информации в информационной системе. За каждой записью стоит конкретный человек. Поэтому защита таких данных должна восприниматься организациями не как формальное требование регулятора, а как прямая ответственность перед гражданами. Необходимо сформировать такую культуру работы с данными, при которой безопасность закладывается в процессы изначально, а не после того, как произошел инцидент, - подчеркнул министр.
Человеческий фактор и системные сбои
В министерстве отметили, что ключевые риски чаще всего создают не сложные хакерские атаки, а халатность внутри самих компаний и госорганов.
- Важный вопрос - это человеческий фактор. Как показывает практика, значительная часть инцидентов связана не со сложными внешними взломами, а с человеческим фактором и несоблюдением элементарных требований информационной безопасности и защиты персональных данных. Передача учетных записей третьим лицам, использование скомпрометированных доступов, отсутствие разграничения прав доступа, неправомерная выгрузка информации и другие нарушения внутренних процедур создают прямые риски утечки данных граждан, - пояснили в ведомстве.
Проверки показывают, что держатели баз данных продолжают допускать системные нарушения. В 2025 году ведомство провело 77 проверок, а с начала 2026 года - ещё 44.
- Среди них, отсутствие согласий граждан на обработку данных, ответственных лиц и утвержденных перечней сотрудников, имеющих доступ к информации, сбор избыточных данных, отсутствие многофакторной аутентификации, журналирования действий пользователей, криптографической защиты, антивирусных решений и межсетевых экранов, - говорится в сообщении.
Статистика и новые меры
По данным Генеральной прокуратуры, за первые семь месяцев 2026 года в этой сфере было зарегистрировано 90 уголовных правонарушений (что на 47,7% меньше прошлого года, когда их было 172), осуждены 58 лиц. В то же время количество привлечённых к административной ответственности выросло более чем в четыре раза.
На данный момент административные штрафы уже увеличены в три раза: до 1000 МРП (4,3 млн тенге) за нарушения требований кибербезопасности и до 2000 МРП (8,6 млн тенге) за нарушения законодательства о персональных данных, а срок давности продлён до одного года. Однако власти готовят дальнейшие шаги.
- Дополнительно рассматривается вопрос об усилении ответственности за наиболее тяжкие нарушения, повлекшие массовые утечки персональных данных. Для государства принципиально важно, чтобы организации заранее понимали требования законодательства, оценивали свои риски и устраняли уязвимости до возникновения инцидентов. В свою очередь, бизнес и другие держатели данных должны иметь возможность своевременно получать разъяснения и выстраивать свои процессы в соответствии с едиными требованиями, - добавили в министерстве.
По итогам совещания Жаслан Мадиев поручил руководителям организаций взять работу по кибербезопасности под личный контроль и провести полную оценку защищённости своих систем. Также в Минцифры подчеркнули, что перед законом равны все операторы баз - от малого бизнеса и банков до медучреждений и госорганов:
- Критически важные цифровые объекты будут проходить дополнительные проверки со стороны Комитета национальной безопасности. Требования законодательства распространяются на всех владельцев и операторов баз персональных данных - государственные органы, квазигосударственный сектор, банки, медицинские и образовательные организации, крупный бизнес и субъекты малого и среднего предпринимательства.
