Компании обяжут сообщать об утечке персональных данных

«Вводится реестр крупных операторов персональных данных с обязательным уведомлением государственного органа. Это позволит уделять больше внимания организациям, которые работают с большими объемами персональных данных, и устанавливать дополнительные организационные и технические меры защиты», – пояснил он.

В законодательство также введено понятие «идентификатор персональных данных». К таким сведениям относятся фамилия, имя и отчество, индивидуальный идентификационный номер, изображение лица и биометрический вектор лица человека.

Для доступа сотрудников к базам, содержащим медицинскую, коммерческую, банковскую, семейную и другие охраняемые законом тайны, станет обязательной биометрическая аутентификация. Это должно ограничить доступ посторонних лиц к конфиденциальным сведениям.

Кроме того, организации должны будут сообщать об утечках персональных данных не только государству, но и самим гражданам.

Проведено 648 внеплановых проверок
По данным вице-министра, с 2024 года по настоящее время в Казахстане проведено 648 внеплановых проверок по вопросам соблюдения требований кибербезопасности, защиты персональных данных и использования электронной цифровой подписи. К нарушителям применили штрафные санкции.

«Результаты проверок показывают наличие как организационных, так и технических нарушений. К основным организационным недостаткам относятся отсутствие форм согласия на обработку персональных данных, внутренних политик защиты данных и базовых средств защиты информации, таких как антивирусы и межсетевые экраны», – сообщил Досжан Мусалиев.

Среди наиболее распространенных технических нарушений он назвал отсутствие многофакторной аутентификации и криптографической защиты, несвоевременную установку обновлений безопасности и отсутствие подключения к центрам обеспечения кибербезопасности.

Требования распространяются не только на государственные органы и крупные компании, но и на малый и средний бизнес.

«Это салоны красоты, образовательные центры, частные медицинские и микрофинансовые организации, компьютерные клубы, фитнес-центры, магазины, онлайн-платформы, туристические фирмы и другие. Все они собирают персональные данные и обязаны соблюдать требования законодательства», – подчеркнул вице-министр.

В рамках новых законов уже принято около 30 подзаконных актов в сфере кибербезопасности и защиты персональных данных. Еще около 10 документов планируется принять до конца сентября.