26.05.2026
Внедрение DLP-систем в Казахстане: практический разбор кейсов
Чингис Оралбаев
Управляющий Партнер
ТОО «SOLIS Partners»
26 мая 2026 года | DLP-системы, корпоративный мониторинг, тайна переписки, ст. 18 Конституции РК, Закон РК «О персональных данных и их защите»
www.solispartners.kz
Практический разбор правовых рисков внедрения DLP-систем в Республике Казахстан в свете требований Конституции, Закона Республики Казахстан «О персональных данных и их защите», Постановления Правления Национального Банка Республики Казахстан от 27 марта 2018 года № 48
За последние два-три года DLP-системы (Data Loss Prevention) перестали быть инструментом исключительно крупных банков и стали массовым явлением в казахстанском корпоративном секторе. Брокеры, страховые, IT-компании, ритейл, частная медицина — все они либо уже внедрили DLP, либо находятся на стадии «пилотного проекта». Маркетинговые материалы вендоров — Falcongaze SecureTower, InfoWatch, Solar Dozor, «Гарда DLP» — описывают это как «современное средство обеспечения информационной безопасности» и «защиты от утечек».
В юридической плоскости картина выглядит существенно сложнее. DLP-система — это не просто корпоративный антивирус. Она перехватывает содержание переписки работника в мессенджерах (включая личные коммуникации в WhatsApp Web и Telegram Web), периодически делает снимки экрана, фиксирует посещаемые сайты, отслеживает буфер обмена, контролирует подключаемые устройства и собирает поведенческие профили работников. По функционалу это инструмент тотального мониторинга, а по правовой природе — система массовой обработки персональных данных, затрагивающая конституционное право на тайну переписки.
При этом подавляющее большинство казахстанских работодателей внедряют DLP без надлежащего правового сопровождения: в режиме «пилота», без внутренних нормативных документов, без согласия работников и зачастую без их уведомления. В судебной практике 2025-2026 годов это начинает приводить к серьёзным последствиям — как для самих работодателей (потенциальная незаконность увольнений, построенных на DLP-материалах), так и для практики применения подп. 13) п. 1 ст. 52 Трудового кодекса РК в целом.
SOLIS Partners подготовили практический разбор того, какие правовые требования необходимо соблюсти при внедрении DLP-системы, какие ошибки допускаются работодателями на практике и как линия защиты работника выстраивается, если DLP-материалы используются как доказательства в трудовом споре.
1. Что такое DLP-система с правовой точки зрения
Согласно публичным маркетинговым материалам производителей, DLP-система — это программный комплекс, обеспечивающий «предотвращение утечек конфиденциальной информации» и «контроль действий сотрудников на компьютерах». На практике типовая DLP-система (на примере функционала Falcongaze SecureTower и аналогов) обеспечивает следующее:
· перехват содержания сообщений во всех корпоративных и личных мессенджерах, открытых на рабочей станции (включая веб-версии WhatsApp, Telegram, Signal);
· перехват электронной почты, включая личную (Gmail, Outlook.com, Mail.ru, открытые в браузере);
· периодическое создание снимков экрана работника без его уведомления;
· логирование всех посещённых URL и времени, проведённого на каждом сайте;
· перехват содержимого буфера обмена;
· контроль подключений USB-устройств и копирования файлов;
· контентный, статистический и поведенческий анализ работника по совокупности этих данных, в том числе формирование «оценки лояльности» и «профайла потенциально опасного сотрудника».
С точки зрения Закона Республики Казахстан «О персональных данных и их защите» от 21 мая 2013 года № 94-V ЗРК (далее — Закон о ПДн), всё перечисленное относится к категории персональных данных работника. Содержание переписки, профиль поведения, биометрические в широком смысле данные (паттерны набора, время активности, психологический портрет) — это персональные данные, и их сбор и обработка работодателем требует соблюдения требований Закона о ПДн в полном объёме.
С точки зрения Конституции Республики Казахстан, перехват содержания личной переписки работника затрагивает гарантию, закреплённую в ст. 18: «Каждый имеет право на тайну личных вкладов и сбережений, переписки, телефонных переговоров, почтовых, телеграфных и иных сообщений». Ограничение этого права допускается только в случаях и в порядке, прямо установленных законом.
Таким образом, DLP-система — это инструмент с двойственной правовой природой. Для работодателя — это средство защиты информационной безопасности. Для работника — это вмешательство в его конституционное право на тайну корреспонденции и обработка его персональных данных. Соблюдение баланса между этими двумя категориями интересов требует строгого правового оформления.
2. Требования казахстанского законодательства.
Применительно к DLP-системам в РК действуют четыре уровня регулирования. Понимание их соотношения критически важно для корректного внедрения системы.
2.1. Постановление НБ РК № 48: что оно действительно требует.
Чаще всего работодатели в финансовом секторе ссылаются на Постановление Правления Национального Банка Республики Казахстан от 27 марта 2018 года № 48 «Об утверждении Требований к обеспечению информационной безопасности банков, филиалов банков-нерезидентов Республики Казахстан и организаций, осуществляющих отдельные виды банковских операций» (далее — Постановление НБ РК № 48). Эта ссылка используется как универсальное обоснование внедрения DLP — мол, «нас обязал регулятор».
Это распространённое заблуждение. Постановление НБ РК № 48 действительно устанавливает обширные требования к информационной безопасности банков и организаций, осуществляющих отдельные виды банковских операций. Однако предмет этого регулирования — защита самих информационных активов организации (периметр защиты, контроль доступа, аудит, реагирование на инциденты). Постановление НБ РК № 48 не предоставляет работодателю самостоятельного права на сплошной мониторинг содержимого переписки работника, не подменяет требований Закона о ПДн о согласии субъекта и не отменяет гарантию ст. 18 Конституции.
Иными словами: Постановление НБ РК № 48 обязывает финансовую организацию обеспечить информационную безопасность, но способ выполнения этой обязанности (через DLP-систему или иными средствами) и конкретная конфигурация DLP должны соответствовать общим требованиям к обработке персональных данных. Ссылка на регулятор не освобождает работодателя от необходимости получить согласие работника на сбор содержимого его переписки в рамках DLP-режима.
Дополнительно следует учитывать, что Постановление НБ РК № 48 действует в редакции с изменениями от 17.02.2021, 29.04.2022, 20.08.2025 (изменения от Агентства Республики Казахстан по регулированию и развитию финансового рынка вступили в силу с 01.11.2025). Редакция, действовавшая до 01.11.2025 года, тем более не содержала каких-либо специальных положений о DLP-мониторинге работников.
2.2. Закон о персональных данных — как основа основ.
Ключевая норма — пункт 1 статьи 7 Закона о ПДн: сбор и обработка персональных данных осуществляются с согласия субъекта персональных данных. Это общее правило. Исключения из него (пункт 5 ст. 7 и ст. 9 Закона о ПДн) являются закрытым перечнем: обработка для целей правосудия, исполнения судебных актов, отправления государственных функций, защиты жизни и здоровья субъекта при невозможности получения его согласия, и т. п. Ни одно из этих исключений не покрывает ситуацию корпоративного мониторинга работодателем содержимого личных мессенджеров работника.
Согласие субъекта по смыслу п. 1 ст. 7 Закона о ПДн должно отвечать четырём кумулятивным требованиям:
· конкретность — согласие даётся на обработку определённого объёма данных в определённых целях;
· информированность — субъект осведомлён о составе данных, целях, способах и сроках обработки;
· добровольность — отсутствует принуждение;
· предметность — согласие даётся применительно к конкретному режиму обработки.
Общее ознакомление работника с внутренней политикой обработки персональных данных при приёме на работу — НЕ образует согласия на DLP-мониторинг. Это два разных режима обработки: первый покрывает оформление трудовых отношений, выплату заработной платы, налоговую и пенсионную отчётность; второй — постоянный перехват содержимого коммуникаций. Каждый режим требует самостоятельного согласия. Это базовая ошибка, которую совершают практически все работодатели, внедряющие DLP «под зонтиком» общей Политики ПДн.
Статья 25 Закона о ПДн закрепляет за работодателем (как оператором персональных данных) комплекс обязанностей: утвердить документы, определяющие политику в отношении сбора, обработки и защиты ПДн; принимать необходимые организационные и технические меры; представлять доказательство получения согласия субъекта; назначать лицо, ответственное за организацию обработки ПДн. Применительно к DLP это означает, что у работодателя должны быть документально оформлены: специальная политика DLP-мониторинга (а не общая Политика ПДн), журнал согласий работников именно на DLP-режим, технические меры защиты собранных данных и назначенный ответственный сотрудник.
2.3. Статья 18 Конституции: тайна переписки как абсолютная гарантия.
Статья 18 Конституции Республики Казахстан гарантирует каждому тайну переписки, телефонных переговоров и иных сообщений. Эта гарантия не отменяется фактом трудовых отношений. Содержимое переписки работника в личных мессенджерах (даже если они открыты на рабочем компьютере) сохраняет конституционную защиту тайны корреспонденции.
Ограничение этого права допускается «только в случаях и в порядке, прямо установленных законом» (п. 1 ст. 18 Конституции). Трудовой кодекс РК и Закон о ПДн не содержат прямой нормы, разрешающей работодателю перехватывать содержание личной переписки работника в режиме сплошного мониторинга без его согласия. Соответственно, DLP-режим, охватывающий личные коммуникации работника, без явного согласия последнего находится в зоне конституционного риска.
Отдельно следует учитывать положение третьих лиц — внешних собеседников работника, которые не состоят с работодателем в каких-либо отношениях и не давали согласия на мониторинг своих коммуникаций. Их сообщения, перехваченные DLP-системой, обрабатываются работодателем без какого-либо законного основания, что образует самостоятельное нарушение Закона о ПДн в отношении круга лиц, выходящего далеко за пределы трудового коллектива.
2.4. Закон об оперативно-розыскной деятельности: серая зона DLP.
Менее очевидный, но потенциально значимый аспект — соотношение DLP-функционала со специальными техническими средствами, предназначенными для негласного получения информации, оборот которых регулируется Законом Республики Казахстан «Об оперативно-розыскной деятельности». Скрытое (без уведомления субъекта) перехватывание содержимого переписки, скриншоты рабочего стола и сбор поведенческих данных в скрытом режиме — это, по существу, негласное получение информации.
Вопрос о том, требуются ли для приобретения, импорта, настройки и использования DLP-системы в скрытом режиме какие-либо разрешения или лицензии со стороны Комитета национальной безопасности, на сегодняшний день в публичной правоприменительной практике РК не имеет однозначного ответа. Это серая зона, в которой работодателю следует действовать максимально осторожно: внедрение DLP в «открытом» режиме с предварительным уведомлением работников снимает большую часть рисков; «скрытый» режим — увеличивает их кратно.
3. Международный стандарт: шесть критериев Bărbulescu v. Romania
Хотя решения Европейского Суда по правам человека (далее — ЕСПЧ) не имеют прямой обязательной силы в Республике Казахстан, они служат общепризнанным доктринальным ориентиром при толковании норм, гарантирующих тайну переписки и неприкосновенность частной жизни. Это особенно актуально применительно к ст. 18 Конституции РК, текстуально близкой к ст. 8 Европейской Конвенции о защите прав человека и основных свобод.
Ключевое решение в этой области — постановление Большой Палаты ЕСПЧ от 5 сентября 2017 года по делу Bărbulescu v. Romania (жалоба № 61496/08), принятое большинством 11 против 6 голосов. В этом деле работодатель уволил работника за использование корпоративного мессенджера Yahoo для личных сообщений; для обоснования увольнения была использована распечатка перехваченной переписки работника. ЕСПЧ установил нарушение ст. 8 Конвенции и сформулировал шесть критериев, которым должен соответствовать мониторинг работодателем коммуникаций работника:
Критерий 1. Предварительное уведомление.
Получил ли работник заранее уведомление о возможности мониторинга, его характере и объёме? Уведомление должно быть конкретным, ясным и предшествовать началу мониторинга. Общая фраза в правилах внутреннего трудового распорядка о том, что работодатель имеет право контролировать рабочие процессы, — недостаточна.
Критерий 2. Объём мониторинга и степень вмешательства.
Каков фактический объём мониторинга? Перехватывается ли только факт переписки (метаданные: с кем и когда) или её содержание? Ограничен ли мониторинг служебной перепиской или охватывает личные коммуникации? Чем больше объём — тем строже требования к обоснованию.
Критерий 3. Законные основания.
Привёл ли работодатель законные основания для мониторинга? Защита коммерческой тайны, предотвращение утечек, обеспечение информационной безопасности — это законные цели; но они должны быть документально оформлены и соразмерны объёму мониторинга.
Критерий 4. Менее интрузивные альтернативы.
Была ли возможна система мониторинга, основанная на менее интрузивных методах? Например, мониторинг только при наличии конкретного подозрения; ограничение объёма перехвата метаданными; запрет на использование личных мессенджеров на рабочих устройствах вместо тотального перехвата. Если такие альтернативы существовали и не использовались — это аргумент против работодателя.
Критерий 5. Последствия для работника.
Каковы последствия мониторинга? Использовались ли собранные данные для увольнения? Передавались ли третьим лицам? Если последствия серьёзные (увольнение по виновному основанию, ущерб деловой репутации), требования к обоснованности мониторинга повышаются.
Критерий 6. Адекватные гарантии защиты.
Предоставлены ли работнику адекватные гарантии защиты — прежде всего на стадии доступа к содержанию его коммуникаций? Имеется ли независимое лицо или орган, контролирующий процедуру; обязан ли работодатель уведомить работника о факте доступа к его переписке; имеется ли процедура оспаривания?
Шесть критериев Bărbulescu являются кумулятивными: нарушение даже одного из них существенно ослабляет правовую позицию работодателя. На практике казахстанские работодатели чаще всего нарушают как минимум четыре из шести: уведомления нет (или оно носит общий характер), объём избыточен (перехватывается личная переписка), менее интрузивные альтернативы не рассматривались, гарантии защиты работника отсутствуют.
4. Германский стандарт: Beweisverwertungsverbot
Близкий к казахстанскому правопорядку континентально-европейский ориентир — практика Федерального трудового суда Германии (Bundesarbeitsgericht, BAG). В решении от 27 июля 2017 года по делу № 2 AZR 681/16 BAG рассматривал спор, в котором работодатель установил на компьютер работника keylogger — программу, фиксирующую все нажатия клавиш и периодически делающую снимки экрана. На основании полученных данных работник был уволен.
BAG установил, что применение keylogger в режиме скрытого мониторинга недопустимо в отсутствие конкретного, основанного на фактах подозрения совершения уголовно наказуемого деяния или иного существенного нарушения трудовых обязанностей. Данные, полученные таким образом, не имеют доказательственного значения в процессе об оспаривании увольнения — действует доктрина запрета использования доказательств (Beweisverwertungsverbot).
Применительно к DLP-системам в РК этот подход означает: даже если DLP-материалы фактически фиксируют виновные действия работника, они могут быть исключены из доказательственной базы, если способ их получения нарушает основополагающие гарантии прав работника. Это один из самых сильных аргументов защиты в апелляционной и кассационной инстанциях по трудовым спорам, связанным с увольнением на основании DLP-данных.
5. Типичные ошибки работодателей при внедрении DLP в РК
Анализ практики 2025-2026 годов позволяет систематизировать типичные правовые ошибки работодателей, внедряющих DLP-системы в Республике Казахстан. Каждая из этих ошибок повышает риск признания DLP-материалов недопустимыми доказательствами в случае их использования в трудовом споре.
Ошибка 1. Внедрение DLP в режиме «пилотного проекта» без оформления в ВНД.
Распространённая схема: работодатель издаёт приказ о «пилотном тестировании» DLP-системы, в котором сама система ещё не закреплена во внутренних нормативных документах (далее — ВНД) как штатный режим мониторинга. На стадии пилота уже идёт сбор реальных данных, скриншотов и переписки, которые впоследствии используются для увольнения работников. Это юридически уязвимая конструкция: «пилот» не образует надлежащего нормативного основания, ВНД ещё не приняты, а собранные данные фактически получены в режиме, не закреплённом ни одним документом организации.
Ошибка 2. Отсутствие специального согласия работников именно на DLP-режим.
Работодатели исходят из того, что общая Политика обработки персональных данных, под которой работник расписался при приёме на работу, покрывает любые формы обработки, включая DLP. Это неверно. Общая Политика ПДн обычно описывает обработку данных, связанных с оформлением трудовых отношений, выплатой заработной платы, налоговой отчётностью; она не содержит конкретного указания на перехват содержимого мессенджеров, фиксацию скриншотов и сбор поведенческих профилей. Для DLP-режима требуется отдельное, конкретное, информированное согласие.
Ошибка 3. Прямое исключение уведомления работников.
В отдельных случаях работодатели прямо включают во внутренний приказ о запуске DLP пункт о том, что мониторинг проводится «без предварительного уведомления сотрудников». Это самоубийственная конструкция: работодатель собственным документом фиксирует нарушение первого и основополагающего критерия Bărbulescu. В судебном споре такой приказ становится прямым доказательством против работодателя.
Ошибка 4. Перехват личных коммуникаций третьих лиц.
DLP-система перехватывает не только сообщения работника, но и сообщения его собеседников — клиентов, контрагентов, родственников, друзей. Эти третьи лица никогда не давали согласия на обработку их персональных данных и нередко даже не подозревают о том, что их переписка перехватывается. Это образует самостоятельное нарушение Закона о ПДн в отношении неопределённого круга лиц, никак не связанных с работодателем.
Ошибка 5. Использование общих маркетинговых формулировок вместо конкретного правового регулирования.
Внутренние документы работодателя описывают DLP в маркетинговых терминах вендора («система информационной безопасности», «защита от утечек»), но не фиксируют конкретный состав собираемых данных, способы их обработки, сроки хранения, перечень лиц, имеющих доступ, процедуру удаления. Закон о ПДн требует прямо противоположного — конкретики. Отсутствие такой конкретики делает обработку фактически непрозрачной для работника и, как следствие, не отвечающей требованию информированности согласия.
Ошибка 6. Ссылка на Постановление НБ РК № 48 как на достаточное основание.
Работодатели в финансовом секторе нередко считают, что одной ссылки на Постановление НБ РК № 48 в приказе о внедрении DLP достаточно для легализации мониторинга. Это не так. Постановление № 48 устанавливает требования к информационной безопасности организации в целом, но не предоставляет права на сбор содержимого личной переписки работника без его согласия. Регуляторное обязательство по защите информационных активов не отменяет конституционных гарантий работника.
6. Что должно быть оформлено до запуска DLP: чек-лист SOLIS Partners
Корректное внедрение DLP-системы в Республике Казахстан требует одновременного выполнения следующего комплекса организационно-правовых мер. Каждый пункт — это самостоятельный документ или процедура; отсутствие любого из них создаёт правовой риск.
· Локальный нормативный акт «Политика DLP-мониторинга» — отдельный документ (не общая Политика ПДн), описывающий: цели мониторинга; перечень контролируемых каналов и типов данных; режим (открытый/непрерывный или таргетированный по подозрению); срок хранения данных; перечень лиц, имеющих доступ; процедуру реагирования на инциденты; права работника на доступ к собранным о нём данным.
· Приказ о вводе DLP в эксплуатацию — с указанием даты вступления в силу, ответственных лиц и обязательного пункта о предварительном уведомлении работников. Никаких формулировок «без уведомления».
· Изменения в трудовой договор или дополнительное соглашение к нему — прямая отсылка к Политике DLP-мониторинга, фиксация осведомлённости работника о факте, объёме и целях мониторинга.
· Отдельное письменное согласие работника на обработку персональных данных в режиме DLP — конкретное, информированное, с указанием состава собираемых данных, способов обработки, сроков хранения. Согласие хранится в личном деле работника.
· Технические меры защиты собранных DLP-данных — шифрование, ограничение доступа по принципу минимально необходимого, журналирование действий администраторов системы. Эти меры также фиксируются в Политике DLP.
· Назначение ответственного за обработку персональных данных в DLP-режиме — отдельный приказ; ответственный должен быть осведомлён о требованиях Закона о ПДн и обеспечивать их соблюдение в текущей эксплуатации.
· Разграничение служебных и личных коммуникаций — рекомендация в Политике DLP о неиспользовании рабочих устройств для личной переписки, выделение «зон отсутствия мониторинга» (например, обеденный перерыв, личные мессенджеры за пределами браузера), что снижает риск перехвата личных коммуникаций.
· Процедура уведомления работника о факте доступа к его коммуникациям — в случае выявления инцидента и обращения к содержимому переписки конкретного работника, последний уведомляется об этом с возможностью дать объяснения. Это требование шестого критерия Bărbulescu.
7. Линия защиты работника, если DLP-материалы уже применены
Если работник уже уволен на основании DLP-материалов, эффективная линия защиты строится не на отрицании самого факта переписки или иных действий, зафиксированных системой (это в большинстве случаев бесперспективно), а на оспаривании допустимости DLP-материалов как доказательств. Последовательность действий:
Шаг 1. Запросить у работодателя локальные нормативные документы, регулирующие DLP-мониторинг, действовавшие на дату сбора материалов. Проверить: имелся ли отдельный акт о DLP; была ли DLP интегрирована в постоянный режим или находилась в статусе «пилота»; содержался ли в акте пункт об уведомлении работников; имелась ли отсылка к согласию субъекта.
Шаг 2. Запросить копию письменного согласия работника на обработку персональных данных в режиме DLP. Если такого согласия нет (а в большинстве случаев его нет) — фиксировать это как основание для исключения DLP-материалов как доказательств, полученных с нарушением Закона о ПДн.
Шаг 3. Проанализировать содержание перехваченных коммуникаций с точки зрения разграничения служебной и личной переписки. Сообщения личного характера (с супругом, друзьями, по личным вопросам, не связанным с работой) подлежат отдельной квалификации как охраняемые ст. 18 Конституции, и их использование в качестве доказательства в трудовом споре требует самостоятельного обоснования.
Шаг 4. Проверить, фигурируют ли в DLP-материалах сообщения третьих лиц, не являющихся работниками работодателя. Эти данные обрабатывались работодателем без законного основания и не могут быть надлежащим доказательством.
Шаг 5. Сформулировать применимость шести критериев Bărbulescu к конкретным обстоятельствам дела как доктринальный ориентир в апелляционной жалобе. Хотя суды первой инстанции в РК нередко игнорируют такие ссылки, в апелляции и кассации позиция, выстроенная на международно-правовом стандарте, существенно усиливает доводы о недопустимости доказательств.
Шаг 6. При наличии оснований — параллельно с трудовым спором инициировать административное производство в Комитете по информационной безопасности Министерства цифрового развития или обращение в органы прокуратуры по факту нарушения Закона о ПДн. Соответствующие административные акты могут быть использованы как доказательства в трудовом процессе.
8. Заключение
DLP-системы стали стандартом корпоративной информационной безопасности в Республике Казахстан, но их правовое сопровождение существенно отстаёт от технологического внедрения. Подавляющее большинство работодателей запускают DLP в режимах, не соответствующих требованиям Закона о ПДн, ст. 18 Конституции РК и международному стандарту, сформулированному в практике ЕСПЧ.
Цена этого правового зазора начинает осознаваться рынком в 2026 году. Для работодателя это риск признания увольнений, построенных на DLP-материалах, незаконными, а также риск самостоятельной административной и гражданско-правовой ответственности за нарушение Закона о ПДн в отношении работника и третьих лиц. Для работника это, наоборот, возможность защиты, если квалифицированный юрист системно использует доступные правовые инструменты.
Корректное внедрение DLP — не предмет технологии, а предмет права. Локальные нормативные акты, согласия работников, разграничение режимов, процедуры защиты — всё это должно быть оформлено до запуска системы, а не задним числом. Стоимость такого правового сопровождения многократно меньше стоимости проигранных трудовых споров и репутационных потерь, к которым ведёт небрежное внедрение.
Приведённый анализ основан на нормативных правовых актах Республики Казахстан и международной судебной практике, находившейся в открытом доступе на момент подготовки настоящего материала. Правоприменительная практика по рассмотренным вопросам продолжает развиваться. Настоящая статья носит информационно-аналитический характер и не является юридической консультацией или правовым заключением по конкретной фактической ситуации. Все обобщения практики приведены без раскрытия конфиденциальной информации, охраняемой адвокатской тайной или соглашениями с доверителями SOLIS Partners.
Нормативная и судебная база
Нормативные правовые акты Республики Казахстан:
· Конституция Республики Казахстан, ст. 18.
· Закон Республики Казахстан от 21 мая 2013 года № 94-V ЗРК «О персональных данных и их защите», ст. 7, ст. 9, ст. 25.
· Трудовой кодекс Республики Казахстан, подп. 13) п. 1 ст. 52, п. 7-2 ст. 53.
· Закон Республики Казахстан «Об оперативно-розыскной деятельности».
· Постановление Правления Национального Банка Республики Казахстан от 27 марта 2018 года № 48 «Об утверждении Требований к обеспечению информационной безопасности банков, филиалов банков-нерезидентов Республики Казахстан и организаций, осуществляющих отдельные виды банковских операций», с изменениями и дополнениями.
Международная судебная практика:
· Постановление Большой Палаты Европейского Суда по правам человека от 5 сентября 2017 года по делу Bărbulescu v. Romania (жалоба № 61496/08).
· Постановление Европейского Суда по правам человека от 28 ноября 2017 года по делу Antović and Mirković v. Montenegro (жалоба № 70838/13).
· Решение Федерального трудового суда Германии (Bundesarbeitsgericht) от 27 июля 2017 года по делу № 2 AZR 681/16.
