Какой штраф за нарушение закона о персональных данных в РК: частые вопросы
За нарушение Закона о персональных данных и их защите в Казахстане предусмотрена административная ответственность: штрафы для юридических лиц исчисляются в МРП и при повторных нарушениях существенно возрастают. Собственник бизнеса несёт ответственность как за действия компании, так и за действия сотрудников, получивших доступ к данным клиентов. Ниже — ответы на самые частые вопросы о требованиях казахстанского законодательства в сфере персональных данных.
Не уверены, соответствует ли ваша компания требованиям казахстанского законодательства о персональных данных? Проверить обработку персональных данных · info@vetrovkz.com
Что регулирует закон о персональных данных в Казахстане?
Закон о персональных данных и их защите — основной нормативный акт, устанавливающий правила сбора, хранения, обработки и передачи персональных данных на территории Республики Казахстан. Закон распространяется на любых операторов: компании, индивидуальных предпринимателей, государственные органы.
Персональными данными признаётся любая информация, относящаяся к определённому или определяемому физическому лицу: имя, телефон, email, адрес, ИИН, фотография, данные о местоположении. Даже IP-адрес в ряде случаев квалифицируется как персональные данные.
Для собственника бизнеса это означает: если компания собирает данные клиентов через сайт, мобильное приложение, анкеты или при заключении договоров — она является оператором персональных данных и обязана соблюдать все требования закона. Незнание требований не освобождает от ответственности.
Получили предписание от уполномоченного органа или готовитесь к проверке — важно действовать в установленные сроки.
Проверить обработку персональных данныхКакой штраф за нарушение закона о персональных данных в Казахстане?
Административная ответственность за нарушения в сфере персональных данных предусмотрена Кодексом об административных правонарушениях РК. Размер штрафа зависит от категории нарушителя и факта повторности.
Для физических лиц санкция составляет от 20 до 100 МРП, для должностных лиц — от 50 до 200 МРП, для юридических лиц — от 100 до 500 МРП (по состоянию на 2026 год). При повторном нарушении в течение года санкции существенно возрастают — вплоть до нескольких сотен МРП для организаций. МРП в 2026 году составляет 4 325 тенге.
Помимо штрафов, уполномоченный орган вправе выдать предписание об устранении нарушений и приостановить обработку данных до их устранения. Систематические нарушения при наличии признаков умысла могут повлечь передачу материалов в правоохранительные органы.
Кто проверяет соблюдение требований и как проходит проверка?
Уполномоченным органом в сфере персональных данных в Казахстане является Министерство цифрового развития, инноваций и аэрокосмической промышленности РК. Ведомство проводит плановые и внеплановые проверки операторов, рассматривает жалобы субъектов данных.
Поводом для внеплановой проверки чаще всего служит жалоба субъекта данных — клиента или сотрудника, считающего, что его данные обрабатываются с нарушениями. Утечка данных, ставшая публично известной, также влечёт немедленную реакцию регулятора.
В ходе проверки инспекторы запрашивают политику конфиденциальности, формы согласий, договоры с подрядчиками, имеющими доступ к данным, технические регламенты защиты информации. Отсутствие любого из этих документов — самостоятельное основание для штрафа.
Какие нарушения встречаются чаще всего на практике?
По опыту работы с казахстанскими компаниями, наиболее распространены четыре типа нарушений. Первый — отсутствие или формальная политика конфиденциальности на сайте, не отражающая реальные практики обработки данных.
Второй — передача данных клиентов подрядчикам (колл-центрам, маркетинговым агентствам, IT-компаниям) без надлежащего оформления согласия субъектов и договорных обязательств получателя. Третий — хранение баз данных на зарубежных серверах без соблюдения требований локализации.
Четвёртый — сбор избыточных данных: компания запрашивает у клиента значительно больше информации, чем необходимо для оказания услуги. Принцип минимизации данных — один из ключевых в казахстанском законодательстве, и его нарушение фиксируется регулятором в первую очередь.
Как собственнику снизить риски до проверки?
Превентивный аудит персональных данных — наиболее эффективный способ снизить риски административной ответственности. Аудит включает инвентаризацию всех потоков данных, проверку согласий, анализ договоров с подрядчиками и оценку технических мер защиты.
По итогам аудита формируется план устранения несоответствий с приоритизацией по уровню риска. Как правило, критические нарушения — отсутствие согласий и локализации — устраняются в первую очередь. Документальное оформление и технические меры — на втором этапе.
- Разместить актуальную политику конфиденциальности на сайте
- Проверить формы согласий на сбор данных — они должны быть конкретными и отзываемыми
- Убедиться, что базы данных клиентов размещены на серверах в Казахстане
- Заключить соглашения об обработке данных с подрядчиками
- Назначить ответственного за защиту персональных данных внутри компании
Частые вопросы
1. Какой штраф за нарушение закона о персональных данных в Казахстане?
За нарушение Закона о персональных данных и их защите в Казахстане предусмотрена административная ответственность по Кодексу об административных правонарушениях. Размер штрафа зависит от субъекта нарушения и факта повторности: для физических лиц — от 20 до 100 МРП, для должностных лиц — от 50 до 200 МРП, для юридических лиц — от 100 до 500 МРП (по состоянию на 2026 год). При повторном нарушении санкции существенно возрастают. МРП в 2026 году составляет 4 325 тенге.
2. Можно ли хранить персональные данные казахстанцев за границей?
Закон о персональных данных и их защите устанавливает требование локализации: базы данных, содержащие персональные данные граждан Казахстана, должны размещаться на серверах, физически находящихся на территории Республики Казахстан. Трансграничная передача данных допустима при соблюдении ряда условий: наличие согласия субъекта, достаточный уровень защиты в стране-получателе или специальные договорные гарантии. Нарушение требования локализации влечёт административную ответственность.
3. Как долго можно хранить персональные данные?
Казахстанское законодательство не устанавливает единый универсальный срок хранения персональных данных. Общий принцип: данные хранятся не дольше, чем это необходимо для достижения целей их обработки. После достижения цели или отзыва согласия субъекта данные подлежат уничтожению или обезличиванию. Для отдельных категорий данных — кадровые документы, бухгалтерия — специальное законодательство устанавливает конкретные сроки архивного хранения.
4. Нужно ли согласие на обработку данных сотрудников?
Трудовой кодекс РК и Закон о персональных данных и их защите допускают обработку персональных данных работника без его отдельного согласия в той мере, в какой это необходимо для исполнения трудового договора. Однако для обработки сверх этого объёма — передачи третьим лицам, использования в маркетинге, публикации фото — согласие работника обязательно. На практике рекомендуется включать согласие в трудовой договор или оформлять отдельным документом.
5. Что такое чувствительные персональные данные?
Закон о персональных данных и их защите выделяет особую категорию — специальные (чувствительные) персональные данные. К ним относятся сведения о расовой и национальной принадлежности, политических взглядах, религиозных убеждениях, состоянии здоровья, судимостях, биометрические данные. Обработка таких данных допускается только при наличии явного согласия субъекта или в случаях, прямо предусмотренных законом. Нарушение режима обработки чувствительных данных влечёт повышенную ответственность.
6. Кто проверяет соблюдение закона о персональных данных в Казахстане?
Уполномоченным органом по защите персональных данных в Казахстане является Министерство цифрового развития, инноваций и аэрокосмической промышленности РК. Ведомство проводит плановые и внеплановые проверки операторов персональных данных, рассматривает жалобы субъектов данных и вправе выдавать предписания об устранении нарушений. Административные дела рассматриваются судами по представлению уполномоченного органа.
7. Что такое оператор персональных данных?
Оператором персональных данных по казахстанскому законодательству признаётся государственный орган, физическое или юридическое лицо, которое организует и осуществляет обработку персональных данных. Фактически любая компания, собирающая данные клиентов, сотрудников или контрагентов, является оператором и несёт все предусмотренные законом обязанности: обеспечить защиту данных, уведомить субъекта об обработке, соблюдать требования локализации и хранения.
8. Нужно ли уведомлять об утечке персональных данных?
Да, Закон о персональных данных и их защите обязывает оператора уведомить уполномоченный орган и субъектов данных об утечке или несанкционированном доступе к персональным данным. Уведомление направляется в установленные законом сроки. Промедление или сокрытие факта утечки рассматривается как самостоятельное нарушение и влечёт дополнительную административную ответственность. Подробнее о процедуре — в материале об уведомлении об утечке персональных данных в Казахстане.
9. Применяется ли казахстанский закон к иностранным компаниям?
Закон о персональных данных и их защите распространяется на любых операторов, обрабатывающих персональные данные граждан и резидентов Казахстана, — вне зависимости от места регистрации компании. Иностранная компания, собирающая данные казахстанских пользователей через сайт или приложение, обязана соблюдать требования казахстанского законодательства, включая локализацию баз данных и получение согласия субъектов.
10. Что будет при повторном нарушении закона о персональных данных?
Повторное нарушение требований Закона о персональных данных и их защите в течение года после первого влечёт существенно более высокие штрафы по Кодексу об административных правонарушениях. Для юридических лиц санкция при повторности может достигать нескольких сотен МРП. Кроме того, систематические нарушения могут стать основанием для приостановления деятельности оператора или передачи материалов в правоохранительные органы при наличии признаков уголовно наказуемого деяния.
11. Нужна ли политика конфиденциальности на сайте казахстанской компании?
Да, размещение политики конфиденциальности на сайте является обязательным требованием для операторов, собирающих персональные данные через интернет. Документ должен содержать цели обработки, перечень собираемых данных, порядок их хранения и передачи третьим лицам, а также механизм отзыва согласия. Отсутствие политики конфиденциальности или её несоответствие требованиям закона — самостоятельное основание для привлечения к административной ответственности.
12. Можно ли передавать персональные данные клиентов партнёрам?
Передача персональных данных третьим лицам допускается только с согласия субъекта данных или в случаях, прямо предусмотренных законом. Если компания планирует передавать данные клиентов партнёрам — для маркетинга, аналитики, колл-центра — это должно быть отражено в согласии на обработку данных. Получатель данных также принимает на себя обязанности оператора и несёт ответственность за их защиту.
13. Что такое обезличивание персональных данных?
Обезличивание — это процедура, в результате которой становится невозможным без дополнительной информации определить принадлежность данных конкретному лицу. Обезличенные данные выводятся из-под действия Закона о персональных данных и их защите и могут использоваться свободно — например, для статистики или аналитики. Важно: обезличивание должно быть необратимым; псевдонимизация (замена имени кодом) полноценным обезличиванием не считается.
14. Какие права есть у субъекта персональных данных в Казахстане?
Казахстанское законодательство наделяет субъекта персональных данных рядом прав: получить информацию о том, какие данные о нём обрабатываются и с какой целью; потребовать исправления неточных данных; отозвать согласие на обработку; потребовать уничтожения данных по истечении цели обработки. Оператор обязан ответить на запрос субъекта в установленный законом срок. Игнорирование запросов субъектов — отдельное основание для административной ответственности.
15. Как провести аудит персональных данных в компании?
Аудит персональных данных включает несколько этапов: инвентаризацию всех потоков данных в компании (что собирается, где хранится, кому передаётся); проверку наличия и актуальности согласий субъектов; оценку технических мер защиты; анализ договоров с подрядчиками, получающими доступ к данным; проверку политики конфиденциальности и внутренних регламентов. По итогам аудита формируется план устранения выявленных несоответствий. Рекомендуется проводить аудит не реже одного раза в год.
Выводы
Нарушение Закона о персональных данных и их защите в Казахстане влечёт административную ответственность, размер которой зависит от категории нарушителя и повторности. Для юридических лиц штрафы исчисляются в МРП и при повторных нарушениях существенно возрастают. Наиболее распространённые нарушения — отсутствие политики конфиденциальности, ненадлежащее оформление согласий и хранение данных на зарубежных серверах — выявляются регулятором в первую очередь.
Актуально на: 1 сентября 2026 года.
Если ситуация требует внимания — мы поможем разобраться.
Смежные направления
Направление практики
Персональные данные и IT-право — соответствие Закону о персональных данных, трансграничная передача, аудит обработки и IT-договоры.