Бухгалтерия работает не просто с цифрами. В 1С, зарплатных ведомостях, кадровых документах и платёжных реестрах могут содержаться ФИО работников, ИИН, банковские реквизиты, сведения о доходах, удержаниях и другие персональные данные. Ошибка в настройке доступа, отправка файла не тому адресату или компрометация учётной записи способны превратить обычную рабочую операцию в инцидент безопасности.
В августе 2026 года Министерство искусственного интеллекта и цифрового развития Республики Казахстан сообщило: за семь месяцев 2026 года в сфере защиты персональных данных зарегистрировано 90 уголовных правонарушений. Речь идёт обо всей сфере персональных данных, а не только о бухгалтериях. Сам по себе этот показатель не означает, что любая утечка автоматически становится уголовным делом: квалификация зависит от обстоятельств и состава правонарушения. Официальное сообщение государственного органа.
С 12 июля 2026 года действует Цифровой кодекс Республики Казахстан. В июне–октябре 2026 года также обновлялись нормы и подзаконные правила о персональных данных и мерах их защиты. Поэтому правила, составленные несколько лет назад, стоит пересмотреть. Ниже изложены общие требования и практические меры по состоянию на 30 октября 2026 года; конкретные обязанности зависят от вида данных, категории оператора и особенностей обработки.
Какие сведения в бухгалтерии относятся к персональным данным
Персональные данные — это сведения о физическом лице, позволяющие его идентифицировать. В бухгалтерском и кадровом учёте к ним могут относиться:
- ФИО, ИИН, дата рождения, адрес и контактные данные работника;
- банковские реквизиты и сведения о начисленной и выплаченной заработной плате;
- информация об удержаниях, исполнительных документах и отдельных видах выплат;
- копии кадровых документов и материалы, содержащие данные конкретного человека;
- сведения о физических лицах — клиентах, поставщиках и исполнителях, если они позволяют идентифицировать человека.
Не вся финансовая информация автоматически является персональными данными. Например, обезличенный итог расходов компании без возможности определить конкретного работника сам по себе может не относиться к ним. Но связка «ФИО — ИИН — сумма выплаты» требует надлежащего правового основания и защиты.
Что требует законодательство Казахстана
Основной нормативный акт — Закон РК от 21 мая 2013 года № 94-V «О персональных данных и их защите» в действующей редакции. Также применяются Цифровой кодекс РК и Правила осуществления мер по защите персональных данных.
1. Законная и заранее определённая цель обработки
Организация должна понимать, зачем ей нужны сведения о сотруднике и на каком основании она их обрабатывает. Объём данных должен соответствовать конкретной цели. Нельзя собирать информацию «на всякий случай» или использовать зарплатную базу для посторонних задач.
Согласие на обработку требуется в предусмотренных законом случаях; законодательство также устанавливает ситуации, когда обработка допустима без отдельного согласия. Поэтому не следует считать, что одна универсальная подписанная бумага автоматически легализует любые операции, или, наоборот, что абсолютно для каждой бухгалтерской записи нужно новое согласие. Для кадрового и бухгалтерского документооборота основания необходимо сопоставлять с требованиями трудового, налогового и иного законодательства РК.
2. Ограничение доступа и конфиденциальность
Бухгалтер должен видеть только те данные и функции, которые необходимы для его обязанностей. Доступ системного администратора, руководителя, кадрового специалиста и бухгалтера не должен автоматически быть одинаковым. Статья 11 Закона о персональных данных закрепляет обязанность сохранять конфиденциальность данных ограниченного доступа, в том числе для лиц, которым они стали известны по работе.
3. Место хранения и передача за пределы Казахстана
Статья 12 Закона предусматривает хранение персональных данных в базе и (или) цифровом объекте, находящихся на территории Республики Казахстан. Статья 16 отдельно регулирует трансграничную передачу. Это важно, когда бухгалтерия использует иностранные облачные сервисы, зарубежные почтовые платформы, внешние резервные хранилища или подрядчиков с доступом из других стран.
Практический вывод: перед выгрузкой персональных данных в облако или передачей иностранному сервису необходимо проверить законность такого сценария, местонахождение хранения, условия трансграничной передачи, договор с исполнителем и применяемые меры защиты. Наличие пароля у облачного диска само по себе вопрос законности не решает.
4. Документы и ответственный за обработку
Организации следует определить состав обрабатываемых данных, цели, круг допущенных лиц, правила хранения, передачи и удаления, а также порядок обработки обращений субъектов. Для юридических лиц правила предусматривают назначение лица, ответственного за организацию обработки персональных данных. Ответственность нельзя полностью переложить на «человека, который обслуживает компьютеры».
5. Меры защиты зависят от категории оператора
Обновлённые в 2026 году правила разделяют собственников и операторов на категории с учётом количества уникальных субъектов. При обработке персональных данных ограниченного доступа категория повышается на один уровень. Соответственно, перечень необходимых мер может стать строже даже для сравнительно небольшой организации.
Базовые меры включают организационные документы, разграничение прав, идентификацию пользователей, регистрацию действий, резервное копирование, защиту от вредоносного ПО, обновления и защищённые каналы передачи. Для средних и крупных категорий установлены дополнительные требования, в том числе к многофакторной аутентификации, событиям безопасности, реагированию на инциденты и проверкам защищённости. Конкретный набор определяется по действующим Правилам, а не по рекламному списку «обязательных программ».
6. Отдельное внимание — копиям удостоверений личности и подрядчикам
Статья 7 Закона в действующей редакции ограничивает сбор и обработку бумажных копий документов, удостоверяющих личность: предусмотрен запрет с прямо установленными исключениями. Не следует по привычке требовать ксерокопию удостоверения у каждого работника или клиента, не проверив необходимость и законное основание. Если компания передаёт обработку бухгалтерских данных внешнему специалисту, облачному сервису или IT-подрядчику, нужно документально определить цель, объём доступа, обязанности по конфиденциальности и защите данных.
Отдельно организуйте регулярный инструктаж бухгалтеров, кадровиков и администраторов. Практические занятия по фишингу, передаче файлов и реагированию на подозрительные события помогают выполнять установленные требования и снижать риск ошибок персонала. Подробнее о практической подготовке — курс WEB-LABS «Основы кибербезопасности для сотрудников».
Антивирус, VPN, шифрование и резервные копии уменьшают технические риски, но не заменяют правовое основание обработки, необходимые внутренние документы и соблюдение требований к передаче персональных данных. И наоборот: наличие подписанных согласий не защищает открытую всем сотрудникам папку с зарплатными ведомостями.
Где чаще всего возникают риски в бухгалтерской IT-инфраструктуре
Общие папки Windows и файловые выгрузки
Нередко бухгалтер выгружает зарплатную ведомость из 1С в Excel, кладёт её в сетевую папку и забывает удалить. Если папка доступна группе «Все» или слишком широкому кругу сотрудников, персональные данные оказываются у людей без рабочей необходимости.
Что сделать: проверить одновременно права общего доступа SMB и разрешения NTFS, убрать избыточные группы, выделить отдельный каталог для расчётных документов, настроить аудит важных операций и правила хранения экспортов. При проверке не нужно публиковать реальные ИИН или зарплаты в тестовых файлах.
1С, SQL Server и общие учётные записи
Риск возникает, когда все сотрудники входят в 1С под общей учётной записью, у обычного пользователя слишком широкая роль, а пароль администратора известен всем. В такой схеме трудно определить, кто просматривал или выгружал сведения.
Что сделать: использовать именные учётные записи, настроить роли и права в 1С, отдельно ограничить доступ к SQL Server и файловой системе, контролировать привилегированные действия, защищать резервные копии базы. Для расследования инцидента важны журналы 1С, Windows и, где применимо, SQL Server. Чтобы оценить, насколько долго Windows Server будет хранить события безопасности, воспользуйтесь калькулятором глубины журнала Windows Security WEB-LABS. Он рассчитывает параметры именно журнала Windows, а не журналов 1С или SQL Server.
Удалённый доступ через RDP и средства администрирования
Открытый в интернет RDP, повторно используемые пароли, отсутствие контроля подключений и постоянный доступ бывшего подрядчика повышают риск компрометации. Безопасность нельзя считать обеспеченной только потому, что стандартный порт RDP изменён.
Что сделать: по возможности не публиковать RDP напрямую в интернет, использовать защищённую схему удалённого доступа (например, VPN или шлюз с соответствующими ограничениями), внедрить многофакторную аутентификацию там, где она предусмотрена требованиями или обоснована риском, контролировать активные учётные записи и вести журналы подключений.
Почта, мессенджеры и облачные ссылки
Ошибка адресата в письме или ссылка «доступен всем, у кого есть ссылка» могут привести к раскрытию документов. Но нельзя утверждать, что любая отправка бухгалтерского документа по электронной почте или через мессенджер автоматически незаконна: значение имеют правовое основание, получатель, место обработки, защищённость канала и внутренние правила организации.
Что сделать: применять утверждённые защищённые каналы, ограничивать доступ к файлам конкретными адресатами, устанавливать сроки действия ссылок, проверять получателей перед отправкой и отдельно оценивать трансграничную передачу.
Резервные копии без контроля доступа
Даже идеально настроенная рабочая база бесполезна с точки зрения конфиденциальности, если её резервная копия лежит в открытом сетевом каталоге. Бэкап содержит те же персональные данные, что и исходная база.
Что сделать: ограничить доступ к архивам, защищать данные при хранении и передаче в соответствии с применимыми требованиями, использовать раздельные учётные данные, хранить независимые копии и регулярно проверять возможность восстановления. Успешный статус задания копирования ещё не доказывает, что база действительно восстановится.
Практический план защиты бухгалтерии
Начинать лучше с инвентаризации данных и доступа, а не с покупки дорогостоящего оборудования. Последовательность работы может выглядеть так:
Что делать, если произошла утечка
Пример: бухгалтер случайно отправил ведомость с ИИН и зарплатами постороннему адресату. Или администратор обнаружил, что неизвестная учётная запись скачала архив базы 1С. В этих случаях важно не скрывать событие и не ограничиваться заменой пароля «для галочки».
- Остановить распространение. По возможности отозвать ошибочную ссылку, заблокировать скомпрометированную учётную запись, прекратить подозрительную передачу данных. Делать это так, чтобы не уничтожить необходимые следы.
- Зафиксировать обстоятельства. Сохранить сообщения, время обнаружения, доступные журналы, сведения о затронутых файлах, учётных записях и предполагаемом круге лиц. Ограничить доступ к материалам расследования.
- Оценить масштаб и юридические обязанности. Установить, какие персональные данные затронуты, было ли нарушение их безопасности, кто является собственником или оператором и какие дополнительные требования применимы.
- Уведомить уполномоченный орган в установленный срок. По действующим правилам при обнаружении нарушения безопасности персональных данных собственник и (или) оператор уведомляют уполномоченный орган в течение одного рабочего дня. Правила устанавливают содержание и порядок такого уведомления. Это не означает, что любое подозрительное письмо без признаков нарушения автоматически запускает такой срок.
- Устранить причину и восстановить контроль. Отозвать токены и пароли, пересмотреть права, закрыть уязвимости, проверить соседние системы и резервные копии, оформить результаты реагирования.
Порядок уведомления субъектов персональных данных предусмотрен отдельными Правилами уведомления о нарушении безопасности персональных данных. Механизм включает уполномоченный орган и оператора «цифрового правительства»; не следует подменять предусмотренную процедуру произвольной массовой рассылкой сотрудникам. При признаках преступления вопрос обращения в правоохранительные органы решается отдельно.
Не удаляйте журналы, подозрительные письма или файлы только ради того, чтобы «не было следов». Это может помешать установлению масштаба инцидента и подтверждению предпринятых мер. Одновременно не распространяйте сами утекшие персональные данные по чатам и служебной переписке без необходимости.
Какая ответственность предусмотрена
Нарушения законодательства о персональных данных могут повлечь административную ответственность по статье 79 КоАП РК, а при наличии предусмотренных законом признаков — уголовную ответственность, в частности по статье 147 УК РК. Вид ответственности и санкция зависят от конкретного деяния, последствий и субъекта правонарушения.
В августе 2026 года государственный орган сообщал об усилении административной ответственности и верхних размерах санкций до 2 000 МРП за отдельные нарушения законодательства о персональных данных. Это не универсальный штраф для любой организации или любой ошибки бухгалтера. Нельзя рассчитывать размер взыскания, не установив применимую часть статьи и обстоятельства дела.
Почему вопрос касается и небольших компаний
Небольшой офис с несколькими бухгалтерами и одной базой 1С тоже обрабатывает персональные данные. Ему не обязательно нужна сложная инфраструктура крупного банка, однако необходимы меры, соответствующие категории оператора и характеру данных. Сотрудники должны понимать правила обращения с документами, а руководитель — знать, кто отвечает за доступ, хранение, резервирование и инциденты.
Важен и вопрос уведомления о начале обработки персональных данных: статья 10-1 Закона предусматривает такую обязанность, одновременно устанавливая исключение для малых и средних собственников и операторов. Категорию необходимо определять по установленным правилам, включая повышение уровня при обработке данных ограниченного доступа. Не стоит считать отсутствие большого штата достаточным основанием для освобождения от всех требований.
Как WEB-LABS помогает снизить технические риски
На практике защита бухгалтерии начинается с понятных и проверяемых настроек: кто может подключаться к серверу, какие файлы ему доступны, как защищены резервные копии, кто получает сообщения об ошибках и можно ли восстановить работу после сбоя.
WEB-LABS занимается IT-сопровождением организаций, настройкой Windows Server, 1С и SQL Server, разграничением доступа, резервным копированием и обучением сотрудников основам кибербезопасности. Мы можем помочь с технической инвентаризацией, настройкой средств защиты и подготовкой практических рекомендаций. По итогам технических работ можно определить приоритеты защиты, устранить избыточные права доступа и составить план дальнейшего совершенствования IT-инфраструктуры.
Если у вас работают 1С, Windows Server, RDP, сетевые папки и файловые архивы, важно проверить их конфигурацию до инцидента. Свяжитесь с WEB-LABS, чтобы обсудить техническое сопровождение, разграничение доступа, резервное копирование и обучение работников.
Частые вопросы
Короткие ответы на типичные вопросы бухгалтерии и руководителей.
ИИН работника — это персональные данные?
Да. ИИН позволяет идентифицировать конкретного человека и должен обрабатываться при наличии законной цели и надлежащих мер защиты. Открытая публикация ИИН или передача посторонним лицам требует отдельной правовой оценки.
Нужно ли получать отдельное согласие на каждую бухгалтерскую операцию?
Не всегда. Закон предусматривает обработку с согласия и определённые случаи без него. Основание зависит от характера операции и применимых норм трудового, налогового и иного законодательства. Универсальное согласие не заменяет проверку законности целей и передачи данных.
Можно ли хранить базу 1С и резервные копии в иностранном облаке?
Нельзя решать этот вопрос только исходя из удобства сервиса. Статья 12 Закона устанавливает требования к размещению хранения в Казахстане, а статья 16 регулирует трансграничную передачу. Нужно отдельно проверить архитектуру хранения, законность передачи, договоры и меры безопасности.
Обязательна ли многофакторная аутентификация для каждого бухгалтера?
Перечень обязательных мер зависит от категории собственника или оператора, вида обрабатываемых данных и действующих правил. Для средних категорий правила прямо предусматривают MFA для пользователей с доступом к персональным данным ограниченного доступа. Даже там, где конкретная мера не названа как универсальная обязанность, MFA существенно снижает риск компрометации удалённого доступа и почты.
Если ведомость отправили не тому человеку, что делать?
Немедленно сообщить ответственному лицу, попытаться ограничить доступ к документу, сохранить подтверждения и оценить, произошло ли нарушение безопасности персональных данных. При установленном нарушении действуют требования об уведомлении уполномоченного органа в течение одного рабочего дня с момента обнаружения.
Нормативные источники и официальные разъяснения
- Закон РК № 94-V «О персональных данных и их защите» — прежде всего статьи 7–12, 16, 22, 25 и 25-1.
- Цифровой кодекс Республики Казахстан от 9 января 2026 года № 255-VIII.
- Правила осуществления мер по защите персональных данных — действующая редакция с изменениями 2026 года.
- Правила уведомления о нарушении безопасности персональных данных.
- КоАП РК, статья 79; УК РК, статья 147.
- МИИЦР РК: официальный материал о проверках и ответственности, 20 августа 2026 года.
Материал подготовлен WEB-LABS в информационных целях. Состояние законодательства проверено на 30 октября 2026 года. Конкретное применение норм зависит от категории оператора, состава данных, правовых оснований обработки и действующей редакции актов на дату совершения действий. Статья не является индивидуальной юридической консультацией или заключением о соответствии организации обязательным требованиям.
Кибербезопасность начинается с правильных действий.
WEB-LABS проводит обучение сотрудников основам кибербезопасности на рабочем месте: безопасной работе с электронной почтой, паролями, файлами, интернет-ресурсами и корпоративными системами.
После прохождения курса сотрудники проходят итоговое тестирование и получают персональный сертификат WEB-LABS.