Qozog‘istonda shaxsga doir ma’lumotlar: lokalizatsiya, bulutlar va bu ishlab chiqish uchun nimani anglatadi

Qozog‘istonda shaxsga doir ma’lumotlarni 2013 yil 21 maydagi 94-V-son «Shaxsga doir ma’lumotlar va ularni himoya qilish to‘g‘risida»gi Qonun tartibga soladi. U shaxsga doir ma’lumotlarni Qozog‘iston Respublikasi hududida joylashgan bazada yoki raqamli obyektda saqlashni talab qiladi, chet elga uzatishga esa faqat 16-modda shartlarida ruxsat beradi. Dasturchilar uchun bu aniq qarorlarga aylanadi: sinov va jonli ma’lumotlar qayerda yashaydi, qaysi bulutlar va SaaS’lar joiz, kod va jurnallarni tashqi xizmatlarga yuborish mumkinmi.

Asosiy aktlar va ularning 2026 yildagi holati

• QR Qonuni, 2013 yil 21 may, 94-V-son «Shaxsga doir ma’lumotlar va ularni himoya qilish to‘g‘risida» — amalda; ma’lumotnoma tizimida 2026 yil sentyabrigacha kiritilgan o‘zgartirishlar aks etgan.
• QR Raqamli kodeksi, 2026 yil 9 yanvar, 255-VIII-son — 2026 yil iyulda kuchga kirgan. Sub’ektlarning huquqlarini (o‘chirish, anonimlashtirish, qayta ishlashni cheklash) mustahkamlaydi, shu jumladan yangilangan shaxsga doir ma’lumotlar to‘g‘risidagi qonun havola qiladigan 41-modda bilan.
• QR Qonuni, 2026 yil 9 yanvar, 256-VIII-son — shaxsga doir ma’lumotlar to‘g‘risidagi qonunda «axborotlashtirish obyektlari» atamalarini «raqamli obyektlar» bilan almashtirgan; 2026 yil 12 iyulda kuchga kirgan.
• QR Qonuni, 2026 yil 24 iyun, 326-VIII-son — yirik tuzatishlar: 10-1, 23-2 va 25-1-moddalar yangi, 12 va 22-moddalarga o‘zgartirishlar kiritilgan. Shaxsga doir ma’lumotlar to‘g‘risidagi qonunga taalluqli normalar 2026 yil 25 avgustda kuchga kirgan.

94-V-son Qonun Raqamli kodeks kelishi bilan kuchini yo‘qotmadi — ular parallel amal qiladi.

Lokalizatsiya: 12-modda aynan nimani talab qiladi

12-moddaning 2-bandi amaldagi tahririda shaxsga doir ma’lumotlarni saqlash «Qozog‘iston Respublikasi hududida joylashgan bazada va (yoki) raqamli obyektda» amalga oshiriladi. Bu ma’lumotnoma tizimidagi qonunning rasmiy tahriri matni. Huquqshunoslar chiqaradigan amaliy xulosalar (biz ularni norma sifatida emas, fikr sifatida keltiramiz):

• asosiy dolzarb baza Qozog‘istonda bo‘lishi kerak; chet eldagi parallel nusxalar bir qator mualliflar fikricha taqiqlanmagan;
• «raqamli obyekt» bilan yangi formula platformalar, ilovalar va bulutli muhitlar saqlashga taalluqlimi, degan bahsni yopadi;
• bazani Qozog‘istonda joylashtirish uzatish masalasini hal qilmaydi: shaxsga doir ma’lumotlar bilan tashqi SaaS-platforma yoki SI-modelga so‘rov chegaradan o‘tkazish hisoblanishi mumkin, jonli bazaga chet eldan masofaviy kirishni ham huquqshunoslar uzatish deb talqin qiladi.

Chegaradan o‘tkazish: 16-modda

Chet el davlati shaxsga doir ma’lumotlar himoyasini ta’minlasa, uzatishga ruxsat beriladi. Bunday himoyasi yo‘q davlatlar uchun qonun istisnolarni sanab o‘tadi: sub’ektning roziligi, xalqaro shartnomalar, QR ning ayrim qonunlari, rozilik olishning imkoni bo‘lmaganda inson huquqlarini himoya qilish. Uzatish qonun bilan taqiqlanishi yoki cheklanishi mumkin. Huquqshunoslar sharhlariga ko‘ra, «ishonchli» davlatlarning rasmiy ro‘yxati yo‘q, shuning uchun himoya yetarli degan xulosani yozma asoslash bilan mustahkamlash maqsadga muvofiq. Rozilik tekshiriladigan bo‘lishi va chegaradan o‘tkazishga ishorani o‘z ichiga olishi kerak.

2026 yil tuzatishlari nimani o‘zgartirdi

• Operatorlar tasnifi (yangi 25-1-modda): ma’lumotlarning noyob sub’ektlari soniga ko‘ra — kichik (10 mingtagacha), o‘rta (10 mingdan 500 mingtagacha), yirik (500 mingdan). Cheklangan kirishli ma’lumotlarni qayta ishlash toifani bir darajaga oshiradi; har bir toifa uchun himoya choralarini vakolatli organ belgilaydi. EY sharhiga ko‘ra, «noyob sub’ekt» tushunchasi qonunda aniqlanmagan.
• Ishlov beruvchilar reyestri (10-1-modda): egalar va operatorlar vakolatli organni qayta ishlash boshlanishi va tugashi haqida xabardor qiladi, shu jumladan baza joylashgan joylar va chegaradan o‘tkazish haqidagi ma’lumotlarni ko‘rsatadi. EY va Morgan Lewis sharhlariga ko‘ra, xabardor qilish majburiyati yirik operatorlarga taalluqli.
• Xavfsizlik buzilishlari reyestrini (23-2-modda) vakolatli organ ochiq manbalar va kiberxavfsizlik markazlari ma’lumotlariga tayanib yuritadi.
• Maskalash va xeshlash himoya usullariga qo‘shildi (23-modda); noqonuniy yig‘ish tasdiqlanganda ma’lumotlarni o‘chirish — bir ish kuni ichida.
• Insident haqida xabardor qilish: ega yoki operator shaxsga doir ma’lumotlar xavfsizligi buzilganini aniqlangandan keyin darhol vakolatli organga xabar berishi shart (25-moddaning 2-qismi 8-bandi).
• Avtomatlashtirilgan qarorlar: 19-1-modda inson huquqlarini mustaqil ravishda yaratadigan yoki to‘xtatadigan qayta ishlashni rozilik yoki qonunning to‘g‘ridan-to‘g‘ri ko‘rsatmasisiz cheklaydi.

Bu ishlab chiqish uchun nimani anglatadi

Ushbu normalardan ishlab chiqish jarayonida mustahkamlab qo‘yishga arziydigan muhandislik qoidalari kelib chiqadi.

1. Ma’lumotlar xaritasi. Qaysi maydonlar shaxsga doir, ular qayerda saqlanadi, qayerga ketadi: jurnallar, trassirovkalar, trekerlardagi xatolar, analitika, zaxira nusxalar. Bu xaritasiz ma’lumotlarni lokalizatsiya qilish ham, sub’ekt so‘roviga javob berish ham mumkin emas.
2. Jonli ma’lumotlarsiz sinov muhitlari. Maskalash va sintetik ma’lumotlardan foydalaning: qonun maskalash va xeshlashni himoya usullari deb to‘g‘ridan-to‘g‘ri ataydi.
3. Kod orqali sizib chiqishdan himoya. Statik tahlil shaxsga doir ma’lumotlarni jurnalga yozish, zaif kriptografiya va qattiq yozilgan sirlarni topadi — SAST, DAST, SCA va MAST maqolasiga qarang.
4. Bog‘liqliklar nazorati. Zararli paket yoki zaif kutubxona — ma’lumotlar sizib chiqishining tez-tez uchraydigan yo‘li; SBOM va yig‘ish paytida komponentlarni tekshirish kerak.
5. Sirlar koddan tashqarida. Shaxsga doir ma’lumotli bazalarga kirish tokenlari va kalitlari sirlar saqlash joyida bo‘lishi kerak — sirlarni boshqarish.
6. Jurnallar va javob berish. Sizib chiqish haqida xabardor qilish majburiyati insident faktini va ko‘lamini tez aniqlay olishingizni talab qiladi.

AppSec vositalari uchun bulut yoki on-premise

Manba kodi skanerlari kompaniyaning eng sezgir aktivi — kod bilan, ko‘pincha esa ma’lumot namunalari, sirlar va konfiguratsiyalar bilan ishlaydi. Bunday materialni tashqi bulutli xizmatga uzatishda savol tug‘iladi: u bilan birga shaxsga doir ma’lumotlar ketmayaptimi va bu chegaradan o‘tkazish hisoblanmaydimi. Fuqarolar ma’lumotlarini katta hajmda qayta ishlaydigan tashkilotlar uchun savolni olib tashlashning eng oson yo‘li — tahlilchini kompaniya konturi ichiga o‘rnatish.

• On-premise: kod va tahlil natijalari sizning infratuzilmangizda qoladi; regulyator va auditorga nima qayerda saqlanishini tushuntirish osonroq. Kamchiligi — platformani o‘zingiz ekspluatatsiya qilasiz.
• Bulutli SaaS: start tezroq va ekspluatatsiya kamroq, lekin serverlar jismonan qayerda joylashganini, repozitoriydan qanday ma’lumotlar uzatilishini va uzatish uchun asosingiz bor-yo‘qligini tekshirish kerak.

DerScanner on-premise platforma (SAST, DAST, SCA, MAST) sifatida yetkazib beriladi, bu tahlilni o‘z konturingizda saqlashga imkon beradi. Joylashtirish joyini tanlashning umumiy yondashuvlarini AppSec uchun on-premise va bulut maqolasida, jarayonni to‘liq tashkil etishni esa DevSecOps sahifasida ko‘rib chiqamiz.

Sub’ektlarning huquqlari va Raqamli kodeks

Raqamli kodeks inson huquqlarini raqamli muhitda kuchaytiradi va bu tizimlarni loyihalashga taalluqli:

• O‘chirish, anonimlashtirish, qayta ishlashni cheklash (Kodeksning 41-moddasi). Qonun ma’lumotlarni saqlashni talab qilsa, kompaniya o‘chirish o‘rniga kirishni cheklaydi va qayta ishlashni to‘xtatadi; istisnolar — sud qarori, shartnomani bajarish, arxiv va jamoat manfaatlari. Mahsulotda yozuvlarni, shu jumladan nusxalar va jurnallarni, haqiqatan ham o‘chira va anonimlashtira oladigan mexanizmlar kerak.
• Algoritmik qarorlar (Kodeksning 43-moddasi). Inson avtomatlashtirilgan tizim qo‘llanilganini bilish, qarorning asosiy omillari haqida tushunarli izoh olish va uni mutaxassis tomonidan qayta ko‘rib chiqishni talab qilish huquqiga ega. Manba kodi yoki model parametrlarini oshkor qilish talab qilinmaydi. Xizmatingiz mijoz haqida avtomatik qaror qabul qilsa, jurnal va qo‘lda qayta ko‘rib chiqish imkoniyatini nazarda tuting.
• Autentifikatsiya. Bluescreen sharhiga ko‘ra, biometriya, agar qonunda belgilanmagan bo‘lsa, kirishning yagona usuli bo‘lishi mumkin emas.

Ishlab chiqish jamoalarining odatiy xatolari

• Jurnallar va xato trekerlaridagi shaxsga doir ma’lumotlar. Xorijiy SaaS-monitoringga yuborilgan JSHSHIR (IIN) yoki telefon raqami bor stek-treys chegaradan o‘tkazishga aylanadi.
• Jonli bazaning sinovdagi nusxasi. Maskalashsiz bu ham himoya rejimini buzish, ham kamroq himoyalangan muhit orqali sizib chiqish xavfidir.
• Tashqi SI-yordamchilar va xizmatlar. Shaxsga doir ma’lumotli parchalarni ommaviy modelga nusxalash — provayder hech narsani saqlamasa ham, ma’lumotlarni uzatishdir (huquqshunoslar vaziyatni shunday talqin qiladi).
• Pudratchilar va vendorlar yordam xizmatlarining chet eldan prodaktivga masofaviy kirishi — huquqshunoslar uni uzatishga tenglashtiradi.
• Ma’lumotlarning yagona egasi yo‘q. Shaxsga doir ma’lumotlarni qayta ishlash uchun mas’ul tayinlang va oqimlarning dolzarb xaritasini yuriting.

Ko‘p beriladigan savollar

Maqola axborot xarakteriga ega va yuridik maslahat hisoblanmaydi. Normalar tez o‘zgaradi — qaror qabul qilishdan oldin adilet.zan.kz’dagi amaldagi tahrir bilan solishtiring.

Manbalar

• QR Qonuni 94-V-son «Shaxsga doir ma’lumotlar va ularni himoya qilish to‘g‘risida» (amaldagi tahrir)
• EY: Shaxsga doir ma’lumotlar to‘g‘risidagi qonunga o‘zgartirishlar (326-VIII-son qonun)
• Morgan Lewis: Kazakhstan data protection law amendments in 2026
• THE TECH: SaaS va xorijiy SI-modellar — ma’lumotlarni qayerda saqlash kerak
• Raqamli kodeks: fuqarolar va biznes uchun nima o‘zgaradi (zakon.kz)
• QR ning shaxsga doir ma’lumotlar va ularni himoya qilish to‘g‘risidagi qonuni, 2026 yil uchun (prg.kz)