Қазақстандағы дербес деректер: локализация, бұлттар және бұл әзірлеуге нені білдіреді

Қазақстандағы дербес деректерді 2013 жылғы 21 мамырдағы № 94-V «Дербес деректер және оларды қорғау туралы» Заң реттейді. Ол дербес деректерді Қазақстан Республикасының аумағында орналасқан дерекқорда немесе цифрлық объектіде сақтауды талап етеді, ал шетелге беруге тек 16-бап шарттарында жол береді. Әзірлеушілер үшін бұл нақты шешімдерге айналады: сынақ және жұмыс деректері қайда тұрады, қандай бұлттар мен SaaS-ты қолдануға болады және кодты мен журналдарды сыртқы сервистерге жіберуге бола ма.

Негізгі актілер және олардың 2026 жылғы мәртебесі

• ҚР 2013 жылғы 21 мамырдағы № 94-V «Дербес деректер және оларды қорғау туралы» Заңы — қолданыста; анықтамалық жүйеде 2026 жылғы қыркүйекке дейінгі өзгерістер көрсетілген.
• ҚР Цифрлық кодексі, 2026 жылғы 9 қаңтардағы № 255-VIII — 2026 жылғы шілдеде күшіне енді. Субъектілердің құқықтарын (жою, анонимдеу, өңдеуді шектеу) бекітеді, оның ішінде жаңартылған дербес деректер туралы заң сілтейтін 41-бапта.
• ҚР 2026 жылғы 9 қаңтардағы № 256-VIII Заңы — дербес деректер туралы заңда «ақпараттандыру объектілері» терминдерін «цифрлық объектілерге» ауыстырды; 2026 жылғы 12 шілдеде күшіне енді.
• ҚР 2026 жылғы 24 маусымдағы № 326-VIII Заңы — ірі түзетулер: 10-1, 23-2 және 25-1 жаңа баптары, 12 және 22-баптарға өзгерістер. Дербес деректер туралы заңға қатысты нормалар 2026 жылғы 25 тамызда күшіне енді.

№ 94-V Заң Цифрлық кодекстің келуімен күшін жойған жоқ — олар қатар қолданылады.

Локализация: 12-бап нақты нені талап етеді

12-баптың 2-тармағының қолданыстағы редакциясында дербес деректерді сақтау «Қазақстан Республикасының аумағында орналасқан дерекқорда және (немесе) цифрлық объектіде» жүзеге асырылады. Бұл анықтамалық жүйедегі заңның ресми редакциясының мәтіні. Заңгерлер жасайтын практикалық қорытындылар (оларды норма ретінде емес, пікір ретінде келтіреміз):

• негізгі өзекті база Қазақстанда болуы тиіс; бірқатар авторлардың пікірінше, шетелдегі параллель көшірмелерге тыйым салынбаған;
• «цифрлық объект» деген жаңа тұжырым платформалардың, қосымшалардың және бұлттық орталардың сақтауға жататыны туралы дауды жабады;
• базаны Қазақстанда орналастыру беру мәселесін шешпейді: дербес деректері бар сыртқы SaaS-платформаға немесе ЖИ-моделіне жасалған сұрау трансшекаралық беру деп саналуы мүмкін, ал шетелден жұмыс базасына қашықтан қол жеткізуді де заңгерлер беру деп түсіндіреді.

Трансшекаралық беру: 16-бап

Шет мемлекет дербес деректердің қорғалуын қамтамасыз етсе, беруге жол беріледі. Мұндай қорғауы жоқ мемлекеттер үшін заң ерекшеліктерді тізбелейді: субъектінің келісімі, халықаралық шарттар, ҚР жекелеген заңдары, келісім алу мүмкін болмаған кезде адам құқықтарын қорғау. Беруге заңмен тыйым салынуы немесе шектелуі мүмкін. Заңгерлердің шолуларына қарағанда, «сенімді» елдердің ресми тізбесі жоқ, сондықтан барабар қорғау туралы қорытындыны жазбаша негіздемемен растаған жөн. Келісім тексерілетін болуы және трансшекаралық беруге нұсқауды қамтуы тиіс.

2026 жылғы түзетулер не өзгертті

• Операторларды жіктеу (25-1-баптың жаңа нормасы): бірегей деректер субъектілерінің санына қарай — шағын (10 мыңға дейін), орташа (10 мыңнан 500 мыңға дейін), ірі (500 мыңнан бастап). Шектеулі қолжетімді деректерді өңдеу санатты бір деңгейге көтереді; әр санат үшін қорғау шараларын уәкілетті орган белгілейді. EY шолуы бойынша, заңда «бірегей субъект» ұғымы айқындалмаған.
• Өңдеушілер тізілімі (10-1-бап): иелері мен операторлар өңдеудің басталуы мен аяқталуы туралы уәкілетті органға хабарлайды, оның ішінде базаның орналасқан жерін және трансшекаралық беру туралы мәліметтерді көрсетеді. EY және Morgan Lewis шолулары бойынша хабарлау міндеті ірі операторларға қатысты.
• Қауіпсіздікті бұзу тізілімін (23-2-бап) уәкілетті орган ашық дереккөздер мен киберқауіпсіздік орталықтарының деректеріне сүйеніп жүргізеді.
• Маскілеу және хэштеу қорғау әдістеріне қосылды (23-бап); заңсыз жиналғаны расталған деректерді жою — бір жұмыс күні ішінде.
• Инцидент туралы хабарлау: иесі немесе оператор дербес деректер қауіпсіздігінің бұзылғаны анықталған бойда уәкілетті органға хабарлауға міндетті (25-баптың 2-тармағының 8) тармақшасы).
• Автоматтандырылған шешімдер: 19-1-бап адамның құқықтарын өзі тудыратын немесе тоқтататын өңдеуді келісімсіз немесе заңның тікелей нұсқауынсыз шектейді.

Бұл әзірлеу үшін нені білдіреді

Осы нормалардан әзірлеу процесінде бекіткен жөн инженерлік ережелер туындайды.

1. Деректер картасы. Қандай өрістер дербес, олар қайда сақталады, қайда кетеді: журналдар, трассировкалар, трекерлердегі қателер, аналитика, бэкаптар. Бұл картасыз деректерді локализациялау да, субъектінің сұрауына жауап беру де мүмкін емес.
2. Жұмыс деректерінсіз сынақ орталары. Маскілеуді және синтетикалық деректерді қолданыңыз: заң маскілеу мен хэштеуді қорғау әдістері ретінде тікелей атайды.
3. Код арқылы ағып кетуден қорғау. Статикалық талдау дербес деректерді журналға жазуды, әлсіз криптографияны және қатаң жазылған құпияларды табады — SAST, DAST, SCA және MAST мақаласын қараңыз.
4. Тәуелділіктерді бақылау. Зиянды пакет немесе осал кітапхана — ағып кетудің жиі жолы; SBOM және құрастыру кезінде компоненттерді тексеру қажет.
5. Құпиялар кодтан тыс. Дербес деректері бар базаларға қол жеткізу токендері мен кілттері құпиялар қоймасында тұруы тиіс — құпияларды басқару.
6. Журналдар және ден қою. Ағып кету туралы хабарлау міндеті инциденттің фактісі мен ауқымын тез анықтай алуыңызды талап етеді.

AppSec құралдары үшін бұлт па, on-premise пе

Бастапқы код сканерлері компанияның ең сезімтал активімен — кодпен, жиі деректер мысалдарымен, құпиялармен және конфигурациялармен жұмыс істейді. Мұндай материалды сыртқы бұлттық сервиске бергенде мәселе туындайды: онымен бірге дербес деректер кетпей ме және бұл трансшекаралық беру болмай ма. Азаматтардың деректерін үлкен көлемде өңдейтін ұйымдар үшін мәселені шешудің ең қарапайым жолы — талдағышты компания контурының ішіне орнату.

• On-premise: код пен талдау нәтижелері сіздің инфрақұрылымыңызда қалады; реттеушіге және аудиторға не қайда сақталатынын түсіндіру оңайырақ. Кемшілігі — платформаны өзіңіз пайдаланасыз.
• Бұлттық SaaS: жылдам бастау және пайдалану аз, бірақ серверлердің физикалық тұрған жерін, репозиторийден қандай деректер берілетінін және беруге негізіңіз бар-жоғын тексеру керек.

DerScanner on-premise платформа ретінде жеткізіледі (SAST, DAST, SCA, MAST), бұл талдауды өз контурыңызда ұстауға мүмкіндік береді. Орналастыру орнын таңдаудың жалпы тәсілдерін AppSec үшін on-premise және бұлт туралы мақалада, ал процесті түгел ұйымдастыруды DevSecOps бетінде талдаймыз.

Субъектілердің құқықтары және Цифрлық кодекс

Цифрлық кодекс адамның цифрлық ортадағы құқықтарын күшейтеді, бұл жүйелерді жобалауға әсер етеді:

• Жою, анонимдеу, өңдеуді шектеу (Кодекстің 41-бабы). Заң деректерді сақтауды талап етсе, компания жоюдың орнына қол жеткізуді шектейді және өңдеуді тоқтата тұрады; ерекшеліктер — сот шешімі, шартты орындау, мұрағаттық және қоғамдық мүдделер. Өнімде жазбаларды, соның ішінде көшірмелер мен журналдарды шын мәнінде жоя және анонимдей алатын тетіктер керек.
• Алгоритмдік шешімдер (Кодекстің 43-бабы). Адам автоматтандырылған жүйе қолданылғанын білуге, шешімнің негізгі факторларының түсінікті түсіндірмесін алуға және оны маманның қайта қарауын талап етуге құқылы. Бастапқы кодты немесе модель параметрлерін ашу талап етілмейді. Сервисіңіз клиент туралы шешімді автоматты түрде қабылдаса, журнал мен қолмен қайта қарау мүмкіндігін қарастырыңыз.
• Аутентификация. Bluescreen шолуы бойынша, заңмен белгіленбесе, биометрия кірудің жалғыз тәсілі бола алмайды.

Әзірлеу командаларының типтік қателері

• Журналдар мен қате трекерлеріндегі дербес деректер. ЖСН немесе телефоны бар стек-трейс шетелдік SaaS-мониторингке жіберілсе, трансшекаралық берілімге айналады.
• Жұмыс базасының тестегі көшірмесі. Маскілеусіз бұл қорғау режимінің бұзылуы да, аз қорғалған орта арқылы ағып кету қаупі де.
• Сыртқы ЖИ-көмекшілер мен сервистер. Дербес деректері бар үзінділерді жария модельге көшіру — провайдер ештеңе сақтамаса да, деректерді беру (жағдайды заңгерлер осылай түсіндіреді).
• Шетелден продуктивке қашықтан қол жеткізу — мердігерлерде және вендорлар қолдауында — заңгерлер оны беруге теңестіреді.
• Деректердің бірыңғай иесі жоқ. Дербес деректерді өңдеуге жауаптыны тағайындаңыз және ағындардың өзекті картасын ұстаңыз.

Жиі қойылатын сұрақтар

Мақала ақпараттық сипатта және заң кеңесі болып табылмайды. Нормалар тез өзгереді — шешім қабылдамас бұрын adilet.zan.kz сайтындағы қолданыстағы редакциямен салыстырып тексеріңіз.

Дереккөздер

• ҚР № 94-V «Дербес деректер және оларды қорғау туралы» Заңы (қолданыстағы редакция)
• EY: Дербес деректер туралы заңға өзгерістер (№ 326-VIII заң)
• Morgan Lewis: Kazakhstan data protection law amendments in 2026
• THE TECH: SaaS және шетелдік ЖИ-модельдер — деректерді қайда сақтау керек
• Цифрлық кодекс: азаматтар мен бизнес үшін не өзгереді (zakon.kz)
• ҚР 2026 жылға арналған Дербес деректер және оларды қорғау туралы заңы (prg.kz)