2026 жылғы 25 тамыздан бастап Қазақстанда дербес деректерді қорғау айтарлықтай қатаңдады. 2026 жылғы 24 маусымдағы № 326-VIII Заң 2013 жылғы «Дербес деректер және оларды қорғау туралы» базалық заңның бір бөлігін қайта жазды: міндетті бүркемелеу мен хештеу, субъектілер саны бойынша операторларды сыныптау, деректер жылыстауларының мемлекеттік тізілімі және деректерді республика аумағындағы базада немесе цифрлық объектіде сақтау туралы нақтыланған талап пайда болды. Ал 22 қыркүйектен бастап оператор қауіпсіздіктің кез келген бұзылуы туралы уәкілетті органға бір жұмыс күні ішінде хабарлауға міндетті.
West Star Ltd-да біз қазақстандық компаниялар үшін 1С интеграцияларын, веб-сервистер мен AI-агенттерді құрамыз, және соңғы айларда әр жобада дерлік бір сұрақ қайталанады: «Бізге мұны жасауға мүлдем бола ма?» Клиенттік базаны шетелдік бұлтта сақтауға, хат алмасуды нейрожеліге жіберуге, қызметкерлер деректерін HR-сервиске түсіруге бола ма. Бұл материалда нақты не өзгергенін, бұл кімге қатысты екенін және бұзушылар тізіліміне түсіп қалмау үшін ең аз дегенде не істеу керек екенін талдаймыз.
Дербес деректерді қорғау: заңда не өзгерді
Базалық құрылым бұрынғыдай қалды: субъект (деректері өңделетін адам), база меншік иесі мен операторы, келісім және уәкілетті орган бар — қазір бұл Жасанды интеллект және цифрлық даму министрлігі. Бірақ 2026 жылғы түзетулер заңды әлдеқайда «техникалық» етті.
Біріншіден, заңда өшіру, анонимдеу, бүркемелеу және хештеу ұғымдары пайда болды. Бұрын компания жазбаны формалды түрде «жоя» алатын, ал оның көшірмелері бэкаптар мен түсірілімдерде қала беретін. Енді өшіру — нәтижесі түсінікті жеке операция, ал цифрлық объектілердегі бүркемелеу мен хештеу міндетті қорғау әдістері ретінде бекітілген. Қарапайым тілмен айтқанда, клиенттің ЖСН-і әр кестеде және әр логта ашық мәтінмен жатпауы тиіс.
Екіншіден, заң сәйкестендіргіштердің жабық тізбесін енгізді: жиынтықтағы Т.А.Ә., ЖСН, бет бейнесі және беттің биометриялық векторы. Бұл тану функциясы бар камералар орнататындар немесе сауалнамаларда фото жинайтындар үшін маңызды — бет бейнесі енді тікелей сәйкестендіргіш деп аталған.
Үшіншіден, заңсыз жинау немесе өңдеу расталса, оператор деректерді бір жұмыс күні ішінде жоюға немесе өшіруге міндетті. «Мердігермен анықтасуға» бір апта беру енді көзделмеген.
Төртіншіден, дербес деректер қауіпсіздігін бұзушылықтар тізілімі пайда болды. Оны уәкілетті орган жалпыға қолжетімді дереккөздер мен киберқауіпсіздік орталықтарының мәліметтері негізінде жүргізеді. Басқаша айтқанда, мемлекет сіздің деректеріңіздің жылыстағаны туралы сізден емес, Telegram-арнадан біліп қоюы мүмкін — және бұл тізілімге түседі.
Мұның бәрі бұрын қабылданған нормаларды жоққа шығармайды. 2026 жылғы 9 қаңтарда қол қойылған Цифрлық кодекс азаматтардың өңдеуді шектеуге және анонимдеуге құқықтарын бекітті — оны ҚР Цифрлық кодексі туралы материалда егжей-тегжейлі талдадық. Ал 2025 жылғы 17 қарашадағы жасанды интеллект туралы заң бұған AI-жүйелерге қойылатын талаптарды қосты.
Шағын, орта немесе ірі оператор
Жаңа 25-1-бап операторларды базадағы бірегей субъектілер саны бойынша үш сыныпқа бөледі:
- шағын — 10 000 адамға дейін;
- орта — 10 000-нан 500 000-ға дейін;
- ірі — 500 000 және одан жоғары.
Егер сіз қолжетімділігі шектеулі деректерді — денсаулық туралы мәліметтерді, биометрияны — өңдесеңіз, санат бір деңгейге көтеріледі. 50 000 пациенттік базасы бар клиника заң жүзінде ірі ритейлермен бір сыныпқа түседі.
Ірі операторлар уәкілетті органды өңдеудің басталуы мен тоқтатылуы туралы хабардар етуге міндетті, ал орган мәліметтерді 30 жұмыс күні ішінде тізілімге енгізеді. Шағын және орта операторларға хабарлаудың қажеті жоқ — бірақ бұл жалғыз жеңілдік. Деректерді Қазақстанда сақтауға, келісім алуға, сәйкестендіргіштерді бүркемелеуге және жылыстаулар туралы хабарлауға барлығы міндетті.
Бір көзге түсе бермейтін нюанс бар: заңда «бірегей субъект» ұғымы ашылмаған. Қызметкерлерді, клиенттерді, тарату жазылушыларын және кері байланыс формасы бар сайттың келушілерін бөлек санау керек пе? Консультанттар мемлекеттік органға сұрау жолдап та үлгерді. Біз өз тәжірибемізде барынша жоғары есеппен — компанияның барлық жүйелері бойынша біріктіріп санауға кеңес береміз. 8 000 сатып алушысы, 3 000 жазылушысы және 200 қызметкері бар интернет-дүкен 10 000 шегінен оңай асып кетеді.
Деректерді оқшаулау және нейрожелілер: қайда сақтау және қайда беру керек
Жаңа редакциядағы 12-баптың 2-тармағы дербес деректерді Қазақстан аумағында орналасқан базада және (немесе) цифрлық объектіде сақтауды талап етеді. Цифрлық объект — бұл платформа да, қосымша да, бұлттық орта да. Қолданыстағы операторлар үшін өтпелі кезең көзделмеген.
Шетелде қатар сақтауға тікелей тыйым салынбаған, бірақ қазақстандық көшірме тоқсанына бір рет жаңартылатын мұрағат емес, негізгі әрі өзекті болуы тиіс. 2026 жылғы 12 шілдеден бастап қолданылатын редакциядағы қорғау талаптары туралы жеке бұйрық мынаны нақтылайды: дербес деректері бар базалар Қазақстандағы серверлік үй-жайда немесе дата-орталықта орналастырылады, ал қолжетімділігі шектеулі деректер елде орналастырылған цифрлық объектілер арқылы жиналады және өңделеді.
Бұл іс жүзінде нені білдіреді? Барлық клиенттер сақталатын шетелдік SaaS-тағы CRM — тәуекел. Қызметкерлердің тізімі мен олардың ЖСН-і бар Google-кесте — бұл да тәуекел. Сыртқы аналитика сервисіне репликасы бар, қазақстандық дата-орталықтағы сервердегі 1С — егер негізгі база осында болса және репликада артық ештеңе болмаса, рұқсат етіледі.
2026 жылдың ең ауыр сұрағы — AI-мен жұмыс. 12-бап бойынша деректерді оқшаулау трансшекаралық беру туралы 16-баптың талаптарын алып тастамайды. Сіздің серверіңіз Алматыда тұрса да, дербес деректері бар мәтінді шетелдік провайдердің моделіне жіберу — шетелге беру болып саналады. Провайдер сұрауды сақтай ма, әлде бірден өшіре ме — маңызды емес. Мердігердің шетелдік қызметкерлерінің жұмыс базасына қол жеткізуі де — трансшекаралық беру.
Деректерді дербес деректердің қорғалуын қамтамасыз ететін елдерге беруге жол беріледі, ал қалған елдерге — тек заңда тікелей көрсетілген жағдайларда ғана, ал коммерциялық сервис үшін іс жүзінде бұл — субъектінің келісімі. Оның үстіне келісім расталатын болуы және трансшекаралық беруді тікелей атап өтуі тиіс. «Сервисті пайдалануды жалғастыра отырып, Сіз келісесіз» деген тұжырымды заңгерлер жеткіліксіз деп санайды.
Сондықтан біз бизнеске арналған AI-шешімдерді жобалаған кезде, архитектура әрдайым дерлік бірдей құрылады. Модельге жіберер алдында деректер иесіздендіру қабатынан өтеді: Т.А.Ә. белгімен ауыстырылады, ЖСН мен телефон бүркемеленеді, фотосуреттер мүлдем жіберілмейді. Модель «А клиенті 3 позицияға тапсырыс берді және жеткізуді басқа күнге ауыстыруды сұрайды» дегенді көреді, ал белгіні нақты адаммен салыстыру компания периметрінің ішінде жүреді. Медициналық немесе биометриялық деректері бар міндеттер үшін Қазақстанда орналастырылған модельдерді пайдалануды немесе мұндай деректерді сыртқы AI-ға мүлдем жібермеуді ұсынамыз.
Бұл артық сақтық емес. Телефон нөмірлері мен мекенжайлары бар толық хат алмасуды нейрожеліге жіберетін қолдау чат-боты — байқаусызда жасалатын трансшекаралық берудің типтік мысалы. Компания бұл туралы өзіне тексеріспен келген кезде ғана біледі.
Деректердің жылыстауы: алғашқы 24 сағатта не істеу керек
2026 жылғы 22 қыркүйектен бастап қауіпсіздікті бұзу туралы хабарлаудың жаңартылған қағидалары қолданылады. Меншік иесі немесе оператор бұзушылық туралы уәкілетті органға ол анықталған сәттен бастап бір жұмыс күні ішінде хабарлайды. Хабарламада өңдеуді ұйымдастыруға жауапты тұлғаның байланыс деректері, қабылданған шаралар және зардап шеккен субъектілердің деректері — оларға хабарлама жіберу үшін Т.А.Ә. мен ЖСН немесе телефон нөмірі көрсетіледі.
Егер компанияда инцидентке кім жауапты екенін ешкім білмесе, дербес деректерді қорғау жүйесі үшін бір жұмыс күні — өте қатаң норматив. Сондықтан ден қою жоспары база ашық қолжетімділікте пайда болған сәтте емес, алдын ала қажет. Ол төрт сұраққа жауап беруі тиіс: инцидентті кім тіркейді, ауқымын кім бағалайды, хабарламаны кім дайындайды және оған кім қол қояды.
Санкциялар да өсіп келеді. ӘҚБтК-нің 79-бабы бизнестің мөлшеріне қарай сараланған айыппұлдарды көздейді, әрі 2025 жылғы наурыздан бастап олар бір рет көтерілген. 2026 жылдың көктемінде министрлік жоғарғы шекті 5 000 АЕК-ке дейін — АЕК 4 325 теңге болғанда шамамен 21,6 млн теңгеге дейін — көтеруді және жаппай жылыстаулар үшін қылмыстық жауапкершілік енгізуді ұсынды. Бұл әзірге жоба ғана, бірақ бағыт түсінікті.
Жасырын тұзақтар мен шектеулер
Заң мен тәжірибе қай жерде әзірге алшақ жатқаны және компаниялар жиі қай жерде қателесетіні туралы ашық айтсақ:
- Анық емес анықтамалар. «Бірегей субъект» анықталмаған, бұзушылықтар тізілімін жүргізу тәртібі ашылмаған. Талаптардың бір бөлігін түсіндірмелер шыққанға дейін өзіңіз пайымдауға тура келеді, әрі бұл пайым өзгеруі мүмкін.
- Бэкаптар мен логтар. CRM-нен жазбаны өшіру оңай, ал сақтық көшірмелерден, веб-сервер логтарынан және Excel-ге түсірілімдерден өшіру оңай емес. «Өшірілген» деректер көбінесе дәл сол жерде қалып қояды.
- Мердігерлер. Аутсорстағы бухгалтерия, тарату сервисі, жұмыс базасына қолжетімділігі бар әзірлеуші — олардың әрқайсысы сіздің деректеріңізді өңдейді. Субъект алдындағы жауапкершілік бәрібір сізде.
- Иесіздендіру абсолютті емес. Шағын қаланың сирек мамандықтары бойынша бүркемеленген іріктеме адамды біржақты көрсетіп қоюы мүмкін. Анонимдеу бір құсбелгі қоюмен шектелмейді — ол тексеруді талап етеді.
- Деректерді оқшаулау құны. Шетелдік SaaS-тан қазақстандық дата-орталыққа немесе жергілікті серверге көшу — бұл ақша мен көшіруге кететін уақыт, әсіресе жүйе 1С-пен және сайтпен интеграцияланған болса.
- Қағаз жүзіндегі қауіпсіздік. Егер база құпиясөзі ортақ чатта жатса, сайттағы құпиялылық саясатының ешқандай құны жоқ. Құжаттарды емес, нақты жағдайды тексереді.
Мұның іс жүзіндегі салдары рөлге байланысты. Маманға — бухгалтерге, HR-ға, IT-әкімшіге — түгендеуден бастаған жөн: дербес деректер қай жерде, қандай жүйелерде, кестелер мен чаттарда жатыр, оларға кімнің қолжетімділігі бар. Әдетте бұл жағымсыз жаңалық болып шығады: қызметкерлердің деректері тек 1С:ЗУП-та ғана емес, бес Excel-файлда, жеке ноутбуктерде және мессенджерде де жатады.
Басшыға — өңдеуді ұйымдастыруға жауапты тұлғаны тағайындап, нақты адамдар мен мерзімдер көрсетілген жылыстауға ден қою регламентін бекіту керек. Екінші қадам — сайттағы және сауалнамалардағы келісім нысандарын қайта қарау: келісім айқын, расталатын болуы және шетелге беру бар болса, соны атап өтуі тиіс.
Меншік иесіне — оператор сыныбын және деректерді оқшаулау бойынша шешімді бағалау керек. Егер негізгі база шетелде орналасса, көшу жоспары мен бюджет қажет. Осы жерде компанияның AI-ды қалай пайдаланатынын да шешкен жөн: қызметкерлерге клиенттік деректерді жалпыға ашық чат-боттарға көшіруге тыйым салу, ал пайдалы сценарийлер үшін иесіздендіру арқылы бақыланатын процесс құру. Жұмыстың бір бөлігі — бүркемелеу, қолжетімділікті саралау, журналдау, сұрау бойынша өшіру — адамдардың тәртібіне сүйенбей, бизнес-процестер деңгейінде жақсы автоматтандырылады.
2026 жылы дербес деректерді қорғау ешкім оқымайтын құпиялылық саясатындағы бөлім болудан қалды. Бұл — архитектураның қасиеті: сервер қайда тұр, нейрожеліге не жіберіледі, ЖСН-ді кім көреді және компания жылыстауды қаншалықты тез байқайды. Бұл жауаптарды өз жүйелеріне қазір енгізгендер тексеріс кезінде тек тыныштыққа ғана емес, жиі болатын жылыстаулар дәуірінде бәсекелестік артықшылыққа айналып отырған клиенттер сеніміне де ие болады.
Жиі қойылатын сұрақтар
Шағын бизнес дербес деректерді өңдеу туралы мемлекеттік органды хабардар етуі керек пе?
Жоқ, егер базада 500 000-нан аз бірегей субъект болса және санатты көтеретін қолжетімділігі шектеулі деректер болмаса. Өңдеудің басталуы мен тоқтатылуы туралы хабарлама тек ірі операторлар үшін міндетті. Бірақ келісім, Қазақстанда сақтау, қорғау және жылыстау туралы бір жұмыс күні ішінде хабарлау талаптары барлығына, соның ішінде клиенттік базасы шағын ЖК-ға да қолданылады.
Клиенттер базасын шетелдік бұлтта сақтауға бола ма?
Дербес деректері бар негізгі әрі өзекті база Қазақстан аумағында — елде орналастырылған базада немесе цифрлық объектіде болуы тиіс. Шетелдегі қатар көшірмеге тікелей тыйым салынбаған, бірақ бұл трансшекаралық беру: субъектілердің келісімі немесе деректердің қорғалуын қамтамасыз ететін елге беру қажет. Ең қауіпсіз нұсқа — негізгі контурды қазақстандық дата-орталықта ұстау.
ChatGPT, Claude және басқа нейрожелілерді клиенттердің деректерімен пайдалануға бола ма?
Дербес деректерді шетелдік провайдердің моделіне жіберу, тіпті провайдер оларды сақтамаса да, трансшекаралық беру болып саналады. Практикалық жол — деректерді жібермес бұрын иесіздендіру: Т.А.Ә.-ні белгілермен ауыстыру, ЖСН мен телефондарды бүркемелеу, фотосуреттер мен медициналық мәліметтерді бермеу. Сонда модель міндетті шешеді, ал дербес деректер компанияның ішінде қалады.
Дербес деректердің жылыстауы үшін компанияға не қатер төнеді?
ӘҚБтК-нің 79-бабы бойынша мөлшері бизнес санатына байланысты әкімшілік айыппұлдар, оған қоса бұзушылықтардың мемлекеттік тізіліміне түсу және беделге нұқсан. Министрлік ең жоғары айыппұлды 5 000 АЕК-ке дейін көтеруді және жаппай жылыстаулар үшін қылмыстық жауапкершілік енгізуді ұсынған — бұл әзірге жоба ғана.