Комитет по ИБ завершил проверку ТОО «Daryn.online»

Комитет по информационной безопасности МИИЦР РК провел внеплановую проверку деятельности ТОО «Daryn.online» в связи с распространением в открытых источниках информации о предполагаемой утечке персональных данных пользователей платформы Daryn.online. В ходе проверки изучены вопросы соблюдения требований закона РК «О персональных данных и их защите», включая выполнение обязательных организационных и технических мер по обеспечению безопасности персональных данных.

По результатам проверки факт утечки персональных данных 4,2 млн записей не установлен. Фактический объем персональных данных, содержащихся в информационной системе ТОО «Daryn.online», составляет более 90 тыс. записей, что исключает возможность компрометации данных в объеме, указанном в публикациях.

Вместе с тем выявлены нарушения требований законодательства в сфере защиты персональных данных, связанные с ненадлежащим выполнением обязательных мер по их защите. По данному факту ТОО «Daryn.online» привлечено к административной ответственности в соответствии со статьей 79 Кодекса РК об административных правонарушениях с назначением административного штрафа.

Министерство отмечает, что в ходе проверок организаций частного сектора наиболее часто выявляются нарушения, связанные со сбором избыточного объема персональных данных, отсутствием надлежащего согласия субъектов на их обработку, неурегулированностью внутренних процессов обработки персональных данных, отсутствием ответственных лиц, а также недостаточным уровнем организационной и технической защиты информационных систем.

В целях соблюдения требований законодательства министерство напоминает собственникам и операторам баз персональных данных о необходимости:

— осуществлять сбор и обработку персональных данных с согласия субъекта, за исключением случаев, предусмотренных законодательством, и только в объеме, необходимом для заявленных целей;
— утверждать внутренние документы, регулирующие сбор, обработку и защиту персональных данных;
— назначать лицо, ответственное за организацию обработки персональных данных, и определять перечень работников, имеющих к ним доступ;
— обеспечивать разграничение прав доступа, идентификацию и аутентификацию пользователей, установку и своевременное обновление средств защиты информации и программного обеспечения;
— вести журналы событий информационных систем и действий пользователей, имеющих доступ к персональным данным;
— обеспечивать защищенное хранение и передачу персональных данных ограниченного доступа, в том числе с применением шифрования и защищенных каналов связи;
— осуществлять хранение баз персональных данных на территории Республики Казахстан;
— уведомлять уполномоченный орган о нарушении безопасности персональных данных в течение одного рабочего дня с момента его обнаружения.

Несоблюдение установленных требований влечет ответственность в соответствии с законодательством Республики Казахстан.

Напомним — 20 ноября 2026 г. в Алматы пройдет конференция PROFIT Security Day, посвященная информационной безопасности для бизнеса.