Какой штраф за нарушение закона о персональных данных в РК: разъяснение
За нарушение Закона о персональных данных и их защите в Казахстане предусмотрена административная ответственность: штрафы исчисляются в МРП и зависят от статуса нарушителя, характера нарушения и факта повторности. По состоянию на 2026 год МРП составляет 4 325 тенге, что напрямую определяет денежный размер санкций. Директор, который не выстроил систему защиты данных, рискует не только штрафом, но и репутационными потерями при проверке уполномоченного органа.
Если ваша компания обрабатывает персональные данные клиентов или сотрудников — стоит проверить соответствие требованиям до проверки, а не после. Проверить обработку персональных данных · info@vetrovkz.com
Какой штраф за нарушение закона о персональных данных в Казахстане?
Административная ответственность за нарушения в сфере персональных данных в Казахстане установлена Кодексом об административных правонарушениях. Санкции дифференцированы по субъекту: физическое лицо, должностное лицо и юридическое лицо несут разную ответственность. Размер штрафа кратен МРП — по состоянию на 2026 год это 4 325 тенге за единицу.
Для должностных лиц первичное нарушение, как правило, влечёт предупреждение или штраф в диапазоне нескольких десятков МРП. Повторное нарушение в течение года существенно увеличивает санкцию. Юридические лица несут более высокую ответственность: штрафы для организаций при повторном нарушении могут достигать нескольких сотен МРП, что в денежном выражении составляет значительные суммы.
Помимо штрафа, КоАП предусматривает дополнительные меры: предписание об устранении нарушений, приостановление деятельности по обработке данных. Для топ-менеджера важно понимать, что ответственность может быть возложена как на компанию, так и лично на руководителя как должностное лицо — одновременно.
Проверка уполномоченного органа может начаться по жалобе одного субъекта данных — сотрудника или клиента. Лучше провести внутренний аудит заранее.
Проверить обработку персональных данныхКакие нарушения чаще всего выявляются при проверках?
Уполномоченный орган — Министерство цифрового развития РК — при проверках фиксирует несколько типичных нарушений. Первое и наиболее распространённое — отсутствие или несоответствие требованиям политики обработки персональных данных: документ либо не опубликован, либо не содержит обязательных сведений о целях, сроках и порядке обработки.
Второе по частоте нарушение — обработка данных без надлежащего правового основания. Компании нередко собирают данные клиентов «на всякий случай» или используют согласия, оформленные с нарушениями: мелкий шрифт, предварительно проставленные галочки, отсутствие возможности отказаться. Такие согласия юридически ничтожны.
- Отсутствие политики обработки персональных данных или её несоответствие закону
- Хранение данных на серверах за пределами Казахстана без соблюдения условий трансграничной передачи
- Обработка специальных (чувствительных) категорий данных без явного согласия
- Непринятие технических и организационных мер по защите данных
- Неисполнение запросов субъектов на доступ, исправление или удаление данных
Что такое повторность и почему она важна для размера штрафа?
Повторность нарушения — ключевой квалифицирующий признак в казахстанском КоАП, который кратно увеличивает санкцию. Нарушение считается повторным, если лицо уже привлекалось к административной ответственности за аналогичное деяние в течение одного года и вновь совершило то же нарушение.
На практике это означает следующее: компания, получившая предписание и штраф по итогам первой проверки, но не устранившая нарушения, при следующей проверке получит санкцию по повышенной ставке. Для юридических лиц разница между первичным и повторным штрафом может быть двух-трёхкратной.
Руководителю важно фиксировать дату вступления постановления о штрафе в силу и отсчитывать от неё годичный период повышенного риска. В этот период любая проверка или жалоба субъекта данных автоматически квалифицирует нарушение как повторное.
Как соотносятся требования казахстанского закона и международных стандартов?
Казахстанский Закон о персональных данных и их защите концептуально близок к европейскому GDPR, однако имеет существенные отличия в деталях. Общие принципы совпадают: законность обработки, ограничение цели, минимизация данных, точность, ограничение хранения, целостность и конфиденциальность.
Ключевые отличия касаются требования локализации данных — казахстанский закон прямо обязывает хранить базы данных граждан РК на территории страны. Это требование жёстче, чем в большинстве европейских юрисдикций. Для иностранных компаний, работающих в Казахстане, это означает необходимость либо арендовать серверные мощности в РК, либо использовать казахстанских облачных провайдеров.
Компании, уже соответствующие GDPR, имеют хорошую базу, но требуют дополнительной адаптации под казахстанскую специфику — прежде всего в части локализации и уведомительных процедур. Подробнее о требованиях к документации читайте в материале «Как составить политику обработки персональных данных в Казахстане».
Что изменилось в регулировании персональных данных в Казахстане?
Казахстанское законодательство о персональных данных последовательно ужесточается. Среди актуальных изменений — расширение перечня обязательных сведений в политике обработки, уточнение требований к согласию субъекта и усиление контроля за трансграничной передачей данных. Подробный анализ последних изменений содержится в материале «Новые правила защиты персональных данных в Казахстане».
Параллельно усиливается правоприменение: уполномоченный орган увеличивает число плановых и внеплановых проверок, активнее реагирует на жалобы субъектов. Для топ-менеджера это означает, что вопрос соответствия требованиям закона перешёл из категории «теоретического риска» в категорию реального операционного риска.
Отдельного внимания заслуживает тема персональных данных в трудовых отношениях. Работодатели нередко недооценивают объём данных, которые они обрабатывают в рамках кадрового делопроизводства. Смежные вопросы рассмотрены в материале «Аудит трудовых договоров в Казахстане».
Частые вопросы
1. Какой штраф за нарушение закона о персональных данных в РК?
За нарушение Закона о персональных данных и их защите в Казахстане предусмотрена административная ответственность по Кодексу об административных правонарушениях. Для должностных лиц штраф исчисляется в МРП и зависит от характера нарушения и факта повторности. Юридические лица несут более высокую ответственность: санкции за повторное нарушение существенно превышают первичные. По состоянию на 2026 год МРП составляет 4 325 тенге, что напрямую влияет на размер штрафа в денежном выражении.
2. Можно ли хранить персональные данные казахстанцев за границей?
Закон о персональных данных и их защите устанавливает требование локализации: базы данных, содержащие персональные данные граждан Казахстана, должны размещаться на серверах, физически находящихся на территории Республики Казахстан. Трансграничная передача данных допускается только при соблюдении ряда условий — в частности, при наличии согласия субъекта или при передаче в страны с адекватным уровнем защиты. Нарушение требования локализации образует самостоятельный состав административного правонарушения.
3. Как долго можно хранить персональные данные?
Казахстанское законодательство не устанавливает единый универсальный срок хранения персональных данных. Общий принцип: данные хранятся не дольше, чем это необходимо для достижения цели, ради которой они собирались. После достижения цели или отзыва согласия субъекта оператор обязан уничтожить или обезличить данные. Для отдельных категорий — кадровые документы, бухгалтерия, договорная документация — специальные законы устанавливают собственные сроки хранения, которые могут составлять от 3 до 75 лет.
4. Нужно ли согласие на обработку данных сотрудников?
По общему правилу обработка персональных данных требует согласия субъекта. Однако Закон о персональных данных и их защите предусматривает исключения: обработка допускается без согласия, если она необходима для исполнения договора, стороной которого является субъект, либо прямо предусмотрена законом. Трудовые отношения частично подпадают под эти исключения — работодатель вправе обрабатывать данные, необходимые для исполнения трудового договора. Тем не менее на практике рекомендуется получать отдельное согласие при сборе данных, выходящих за рамки трудовой функции.
5. Что такое чувствительные персональные данные?
Казахстанский Закон о персональных данных и их защите выделяет особую категорию — специальные (чувствительные) персональные данные. К ним относятся сведения о расовой и национальной принадлежности, политических взглядах, религиозных убеждениях, состоянии здоровья, судимостях, а также биометрические данные. Обработка таких данных допускается только при наличии явного согласия субъекта или в случаях, прямо предусмотренных законодательством. Нарушение режима обработки специальных данных влечёт повышенную административную ответственность.
6. Кто проверяет соблюдение закона о персональных данных в Казахстане?
Уполномоченным органом в сфере защиты персональных данных в Казахстане является Министерство цифрового развития, инноваций и аэрокосмической промышленности РК. Именно этот орган проводит проверки операторов персональных данных, рассматривает жалобы субъектов и составляет протоколы об административных правонарушениях. Помимо этого, отдельные аспекты — в частности, связанные с информационной безопасностью — могут контролироваться КНБ и иными уполномоченными структурами.
7. Что такое оператор персональных данных?
Оператор персональных данных — это государственный орган, юридическое или физическое лицо, которое организует и осуществляет обработку персональных данных, а также определяет цели и содержание такой обработки. Практически любая компания, которая собирает данные клиентов, сотрудников или контрагентов, является оператором и несёт полный объём обязанностей по казахстанскому законодательству: разработка политики обработки, обеспечение безопасности, реагирование на запросы субъектов.
8. Обязательно ли разрабатывать политику обработки персональных данных?
Да, Закон о персональных данных и их защите обязывает операторов разработать и опубликовать политику обработки персональных данных. Документ должен содержать цели сбора, перечень обрабатываемых данных, сроки хранения, порядок реализации прав субъектов и меры по обеспечению безопасности. Отсутствие политики или её несоответствие требованиям закона — самостоятельное основание для привлечения к административной ответственности при проверке.
9. Что грозит за утечку персональных данных?
Утечка персональных данных влечёт административную ответственность оператора по Кодексу об административных правонарушениях. Помимо штрафа, оператор обязан уведомить уполномоченный орган и пострадавших субъектов. Если утечка произошла вследствие умышленных действий сотрудника или третьих лиц, возможно возбуждение уголовного дела. Субъект данных вправе требовать возмещения ущерба в гражданско-правовом порядке — как материального, так и морального вреда.
10. Нужно ли уведомлять уполномоченный орган о начале обработки данных?
Казахстанское законодательство предусматривает уведомительный порядок: оператор обязан направить уведомление в уполномоченный орган до начала обработки персональных данных в информационной системе. Это не регистрация в классическом смысле, но неисполнение уведомительной обязанности образует состав административного правонарушения. Требование распространяется на большинство коммерческих операторов, ведущих электронные базы данных клиентов или сотрудников.
11. Как субъект может отозвать согласие на обработку данных?
Субъект персональных данных вправе в любой момент отозвать ранее данное согласие на обработку. Отзыв оформляется в той же форме, что и согласие, либо в иной доступной форме — письменно или через электронный канал оператора. После получения отзыва оператор обязан прекратить обработку и уничтожить данные, если иное не предусмотрено законом. Продолжение обработки после отзыва согласия — прямое нарушение, влекущее административную ответственность.
12. Распространяется ли закон о персональных данных на B2B-данные?
Закон о персональных данных и их защите распространяется на данные физических лиц. Сведения о юридических лицах — наименование, БИН, адрес, реквизиты — персональными данными не являются и под действие закона не подпадают. Однако данные контактных лиц, представителей и сотрудников контрагентов — имена, должности, телефоны, email — являются персональными данными физических лиц и требуют соответствующего правового основания для обработки.
13. Что такое обезличивание персональных данных?
Обезличивание — это действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность данных конкретному субъекту. Обезличенные данные выведены из-под режима закона о персональных данных и могут обрабатываться свободно. Компании используют обезличивание для аналитики, тестирования систем и архивирования. Важно: псевдонимизация (замена имени кодом при сохранении ключа соответствия) обезличиванием не является.
14. Нужен ли ответственный за защиту данных в казахстанской компании?
Казахстанский Закон о персональных данных и их защите не вводит обязательной должности DPO в том виде, в каком она предусмотрена европейским GDPR. Тем не менее закон обязывает оператора назначить ответственное лицо за организацию обработки персональных данных внутри компании. На практике крупные операторы выделяют отдельного сотрудника или назначают ответственным юриста либо специалиста по информационной безопасности.
15. Как провести аудит персональных данных в компании?
Аудит персональных данных включает несколько этапов: инвентаризацию всех потоков данных (что собирается, где хранится, кто имеет доступ), проверку правовых оснований обработки каждой категории данных, оценку актуальности политики и согласий, анализ технических мер защиты и проверку договоров с третьими лицами, которым передаются данные. По итогам аудита формируется план устранения нарушений с приоритизацией по степени риска. Рекомендуется проводить аудит не реже одного раза в год.
Выводы
Административная ответственность за нарушения в сфере персональных данных в Казахстане реальна и исчисляется в МРП — по состоянию на 2026 год это 4 325 тенге за единицу. Повторность нарушения кратно увеличивает санкцию, а ответственность может быть возложена одновременно на компанию и на руководителя как должностное лицо. Наиболее частые нарушения — отсутствие политики обработки, ненадлежащие согласия и хранение данных за пределами Казахстана — устраняются в рамках планового аудита. Превентивная работа обходится значительно дешевле, чем реагирование на проверку.
Актуально на: 2 января 2026 года.
Если ситуация требует внимания — мы поможем разобраться.
Смежные направления
Направление практики
Персональные данные и IT-право — соответствие Закону о персональных данных, трансграничная передача, аудит обработки и IT-договоры.