Жеке деректер қауіпсіздігі: Мемлекеттік органдар ақпаратты қалай қорғайды?

Мемлекеттік органдар күн сайын азаматтардың дербес деректерімен жұмыс істейді. Мұндай мәліметтер мемлекеттік қызметтерді көрсету кезінде және басқа да функцияларды орындауда пайдаланылуы мүмкін. Соңғы уақытта цифрландырумен қатар маңызды сұрақ туындауда: бұл ақпаратқа кімдердің қолжетімділігі бар және ол деректердің ағып кетуі мен заңсыз пайдаланылуынан қалай қорғалуы тиіс? BAQ.KZ тілшісі Қазақстанда дербес деректерді қорғауға қатысты қандай талаптар қолданылатынын және мемлекеттік органдар өз базаларының қауіпсіздігін қамтамасыз ету үшін не істеуі керек екенін анықтап көрді.

2026 жылғы 12 шілдеден бастап Қазақстанда Цифрлық кодекс күшіне енді. Ол цифрлық деректермен жұмыс істеуді – оларды құруды, сақтауды, беруді және пайдалануды реттейді. Бұл ретте дербес және заңмен қорғалатын басқа да деректер үшін заңнаманың бөлек талаптары қолданылады.

Дербес деректерді қорғауға кім жауапты?

Дербес деректердің қауіпсіздігіне базаның меншік иесі немесе операторы, ал бөлек жағдайларда – оларды өңдеуге қатысатын үшінші тұлғалар жауап береді. Мұндай базаның меншік иесі немесе операторы ретінде мемлекеттік орган да әрекет ете алады.

Ұйымдар дербес деректердің қандай процестерде пайдаланылатынын, қызметкерлердің қайсысы оларды жинаумен және өңдеумен айналысатынын әрі оларға кімнің қолжетімділігі бар екенін анықтауы тиіс. Сонымен қатар мұндай ақпаратпен жұмыс істеудің ішкі тәртібі бекітілуі керек.

Егер меншік иесі немесе оператор заңды тұлға болса, ол дербес деректерді өңдеуді ұйымдастыруға жауапты тұлғаны тағайындауы қажет. Ол заңнама талаптарының сақталуын бақылайды, қызметкерлерді ақпаратты қорғау ережелерімен таныстырады және азаматтардың өтініштерінің қаралуын қадағалайды. Тек соттардың қызметіндегі деректерді өңдеу үшін ерекшелік көзделген.

Қарапайым тілмен айтқанда, дербес деректерге қолжетімділік бақылаусыз болмауы тиіс. Ұйым мұндай ақпаратпен кімнің және қандай негізде жұмыс істей алатынын алдын ала анықтауы керек.

Деректер базасы қалай қорғалуы тиіс

Басты міндеттердің бірі – бөгде тұлғаларды дербес деректерге жібермеу. Егер рұқсатсыз қол жеткізу орын алса, оны мүмкіндігінше тез анықтап, ықтимал зиянды азайту үшін шаралар қабылдануы тиіс.

Қолжетімділігі шектеулі дербес деректер үшін қосымша қорғау шаралары қарастырылған.

Атап айтқанда, ақпаратты қорғау құралдарын пайдалану, бағдарламалық қамтамасыз етуді уақытылы жаңартып отыру және деректер базасымен жұмыс істейтін пайдаланушылардың әрекеттер журналын жүргізу қажет. Сонымен қатар ақпаратты білдіртпей өзгертуге немесе ауыстыруға жол бермеу үшін оның тұтастығы мәселесі де бақылануы тиіс.

Қолжетімділігі шектеулі дербес деректерді басқа тұлғаларға беру – заңда өзгеше көзделмесе, азаматтың келісімі болған жағдайда – қорғалған байланыс арналары арқылы немесе шифрлауды пайдалану арқылы жүзеге асырылуы қажет. Мұндай ақпаратты сақтау үшін де криптографиялық қорғау құралдары қолданылады.

Құрамында 100 мыңнан астам дербес деректер жазбасы бар базалар үшін қолжетімділігі шектеулі ақпаратқа рұқсаты бар пайдаланушыларды сәйкестендіру және аутентификациялау қарастырылған. Оның ішінде биометриялық аутентификация да пайдаланылуы мүмкін.

Мемлекеттік органдардың ақпараттық жүйелері үшін бөлек ережелер қолданылады. Ақпараттық қауіпсіздікті ұйымдастыру кезінде мемлекеттік органдар, жергілікті атқарушы органдар және ұйымдар ҚР СТ ISO/IEC 27002-2023 ұлттық стандартының талаптарын ескеруі тиіс.

Сонымен бірге ақпараттық қауіпсіздік оқиғаларына мониторинг жүргізу, зиянды бағдарламалар мен басып кіру әрекеттерін анықтау жүйелері, киберинциденттерге әрекет ету көзделген. Ақпараттың ағып кетуінің алдын алу үшін мемлекеттік органдарда және ЖАО-да DLP-жүйелері қолданылуы тиіс.

Деректер қайда сақталуы керек?

Заңнама ақпаратты қорғауға ғана емес, оны сақтау орнына да талаптар белгілейді.

Дербес деректер Қазақстан аумағында орналасқан базада сақталуы тиіс.

Егер сөз цифрлық ресурстардағы деректер туралы болса, база ел ішіндегі серверлік бөлмеде немесе деректерді өңдеу орталығында орналасуы керек.

Қолжетімділігі шектеулі дербес деректерді жинау және өңдеу де Қазақстан аумағында орналасқан цифрлық объектілер арқылы өтуі тиіс.

Мемлекеттік цифрлық деректер, қолжетімділігі шектеулі ақпарат немесе аса маңызды цифрлық объектілер орналасатын деректерді өңдеу орталықтары да ел ішінде болуы керек.

Деректерге кімнің жүгінгенін білуге бола ма?

Қолжетімділігі шектеулі дербес деректермен жұмыс істейтін пайдаланушылардың әрекеттері тіркелуі тиіс.

Ол үшін деректер базасын басқару жүйелерінің оқиғалар журналдары мен пайдаланушылардың әрекеттер журналдары жүргізіледі. Олар ақпаратпен жасалған операцияларды бақылауға және деректермен кімнің жұмыс істегенін анықтауға мүмкіндік береді.

«Цифрлық үкімет» жүйесі үшін Цифрлық кодексте бөлек механизм қарастырылған.

Азаматтың цифрлық деректері «цифрлық үкімет» объектілерінен сұратылған кезде, оларды пайдалану фактісі туралы цифрлық із қалыптасуы тиіс. Мұндай ақпарат азаматтың цифрлық кеңістігіне беріледі.

«Цифрлық үкімет» операторы бұл мәліметтердің сақталуын қамтамасыз етуі және адамға олардың пайдаланылуын бақылауға мүмкіндік беруі керек.

Бұл ретте кез келген мемлекеттік базаны кез келген қарау азаматқа автоматты түрде көрінеді дегенді білдірмейді. Заңнама қызметкерлердің әрекеттерін ішкі есепке алуды және «цифрлық үкімет» объектілері арқылы деректерді сұрауды тіркеудің бөлек механизмін ажыратады.

Деректер тарап кеткенде не болады?

Егер дербес деректердің қауіпсіздігі бұзылса, меншік иесі, оператор немесе үшінші тұлға инцидент анықталғаннан кейін бір жұмыс күні ішінде бұл туралы уәкілетті органды хабардар етуі тиіс.

Киберқауіпсіздікке жауапты құрылымдар үшін бөлек тәртіп қарастырылған. Белгіленген жағдайларда олар анықталған бұзушылық туралы уәкілетті органға үш сағат ішінде хабарлауы керек.

Одан әрі уәкілетті орган «цифрлық үкімет» операторына ықтимал тәуекелдер мен ұсынылатын қорғау шаралары туралы ақпаратты береді. Осыдан кейін азаматтарға «цифрлық үкімет» порталындағы жеке кабинет, мобильді қосымша немесе SMS арқылы хабарлама жіберілуі мүмкін.

Бұл ретте ағып кету, қателік, қауіпсіздікті бұзу немесе заңсыз әрекеттер салдарынан ашық қолжетімділікке түскен деректер автоматты түрде ашық болып саналмайды.

Цифрлық кодекс оларды белгіленген тәртіппен цифрлық ресурстардан дереу жоюды көздейді. Бұл туралы киберқауіпсіздік саласындағы уәкілетті органға және Ұлттық қауіпсіздік комитетіне де хабарлануы тиіс.

Азамат өз деректерін жоюды талап ете ала ма?

Цифрлық кодекс адамға өзінің цифрлық ортадағы дербес деректерін жоюды, иесіздендіруді немесе өңдеуді шектеуді талап ету құқығын береді.

Дегенмен бұл ереже барлық жағдайда қолданыла бермейді.

Егер деректер, мысалы, адамдардың өмірі мен денсаулығын, үшінші тұлғалардың құқықтарын қорғау, құқық бұзушылықтар туралы істерді қарау, сот төрелігін жүзеге асыру, мемлекеттік функцияларды орындау немесе мемлекеттік қызметтерді көрсету үшін қажет болса, оларды жоюға рұқсат берілмеуі мүмкін.

Сондай-ақ заң белгілі бір ақпаратты белгіленген мерзім ішінде сақтауды талап ететін жағдайлар бар. Бұл сот актілерін, міндеттемелерді орындаумен немесе архивтік сақтаумен байланысты болуы мүмкін.

Сөйтіп, мемлекеттік жүйелерде дербес деректерді қорғау бірден бірнеше деңгейді қамтиды. Бұл – қызметкерлердің қолжетімділігін шектеу, олардың әрекеттерін тіркеу, шифрлау, техникалық қорғау құралдары, базаларды ел ішінде сақтау, киберқауіптерге мониторинг жүргізу және ағып кетулерге міндетті түрде әрекет ету.

Бұл ретте азаматтарда өз деректерінің пайдаланылуын бақылауға көбірек мүмкіндіктер пайда болады. Дегенмен кез келген мемлекеттік базаға кез келген жүгінудің толық ашықтығы әлі жоқ: қызметкерлердің әрекеттерін ішкі есепке алу және азаматтарға арналған цифрлық хабарламалар әртүрлі механизмдер бойынша жұмыс істейді.

Еске салайық, бұған дейін Қазақстанда жеке деректер тарап жатыр ма деген сауалға министрлік ресми мәлімдеме жасады.