Какой штраф за нарушение закона о персональных данных в РК: что важно знать
За нарушение Закона о персональных данных и их защите в Казахстане предусмотрена административная ответственность: размер штрафа зависит от категории нарушителя и факта повторности и исчисляется в МРП — в 2026 году МРП составляет 4 325 тенге. Юридические лица рискуют значительно больше физических, а повторное нарушение в течение года влечёт существенно более высокие санкции.
Если вы не уверены, соответствует ли обработка данных в вашей компании требованиям казахстанского законодательства — стоит проверить это до проверки регулятора. Проверить обработку персональных данных · info@vetrovkz.com
Какой штраф за нарушение закона о персональных данных в Казахстане?
Административная ответственность за нарушения в сфере персональных данных в Казахстане установлена Кодексом об административных правонарушениях РК. Санкции дифференцированы по субъекту нарушения и зависят от того, совершено ли нарушение впервые или повторно в течение года.
Для физических лиц штраф при первичном нарушении составляет от 50 до 200 МРП, для должностных лиц — от 100 до 500 МРП, для юридических лиц — от 500 до 2 000 МРП (по состоянию на 2026 год). При МРП 4 325 тенге максимальный штраф для юридического лица при первичном нарушении может достигать 8 650 000 тенге.
При повторном нарушении в течение года санкции возрастают: для юридических лиц верхняя граница штрафа увеличивается кратно. Помимо штрафа, суд вправе применить дополнительные меры — в частности, приостановление деятельности оператора.
Если ваша компания собирает данные клиентов или сотрудников — проверьте, есть ли у вас корректные согласия, политика конфиденциальности и локализованные базы данных.
Проверить обработку персональных данныхКто и за что может привлечь к ответственности?
Контроль за соблюдением Закона о персональных данных и их защите в Казахстане осуществляет Министерство цифрового развития, инноваций и аэрокосмической промышленности РК. Именно этот орган проводит плановые и внеплановые проверки операторов, рассматривает жалобы субъектов персональных данных и составляет протоколы об административных правонарушениях.
Поводом для проверки может стать жалоба субъекта, публичная утечка данных или плановое контрольное мероприятие. Отраслевые регуляторы — например, в сфере финансов или здравоохранения — также вправе проверять соблюдение требований к защите данных в рамках своей компетенции.
- Обработка данных без согласия субъекта или без законного основания
- Несоблюдение требования локализации баз данных на серверах в Казахстане
- Непринятие мер по технической защите данных
- Отказ субъекту в реализации его прав (доступ, исправление, удаление)
- Нарушение правил трансграничной передачи персональных данных
Что такое локализация данных и почему это важно?
Требование локализации означает, что базы данных, содержащие персональные данные граждан Казахстана, должны физически располагаться на серверах на территории Республики Казахстан. Это одно из ключевых требований Закона о персональных данных и их защите, нарушение которого образует самостоятельный состав правонарушения.
На практике это означает, что облачные сервисы с серверами за рубежом не могут использоваться для хранения казахстанских персональных данных без дополнительных мер. Трансграничная передача данных допустима, но только при соблюдении условий, установленных законом — в частности, если принимающая сторона обеспечивает надлежащий уровень защиты. Подробнее об условиях трансграничной передачи читайте в нашем материале о трансграничной передаче персональных данных из Казахстана.
Как правильно оформить согласие на обработку персональных данных?
Согласие субъекта персональных данных должно быть конкретным, информированным и добровольным — это базовые требования казахстанского законодательства. Типовые формулировки «согласен на обработку персональных данных» без указания целей, объёма и сроков не соответствуют требованиям закона и не защитят оператора при проверке.
В тексте согласия необходимо указать: цели обработки, перечень конкретных данных, срок действия согласия и порядок его отзыва. Закон допускает электронную форму согласия — при условии, что её можно подтвердить. Для сотрудников согласие оформляется при приёме на работу и охватывает обработку данных, выходящую за рамки прямых трудовых отношений. Подробнее о смежных вопросах трудовых отношений и персональных данных читайте в связанном материале по персональным данным.
Как провести аудит персональных данных в компании?
Аудит персональных данных — это системная проверка того, как компания собирает, хранит, использует и передаёт данные субъектов, и соответствует ли эта практика требованиям казахстанского законодательства. Как правило, аудит занимает от двух до четырёх недель в зависимости от масштаба компании.
Стандартный аудит включает несколько этапов: инвентаризацию всех точек сбора данных (сайт, CRM, кадровый учёт, контрагенты); проверку наличия и корректности согласий; анализ договоров с третьими лицами, которым передаются данные; оценку технических мер защиты; проверку соответствия баз данных требованию локализации. По итогам формируется план устранения выявленных несоответствий. Общий обзор регуляторной среды в сфере персональных данных доступен в разделе аналитики.
Частые вопросы
1. Какой штраф за нарушение закона о персональных данных?
За нарушение Закона о персональных данных и их защите в Казахстане предусмотрена административная ответственность по Кодексу об административных правонарушениях РК. Размер штрафа зависит от субъекта нарушения и факта повторности: для физических лиц — от 50 до 200 МРП, для должностных лиц — от 100 до 500 МРП, для юридических лиц — от 500 до 2 000 МРП (по состоянию на 2026 год). При повторном нарушении в течение года санкции существенно возрастают. МРП в 2026 году составляет 4 325 тенге.
2. Можно ли хранить персональные данные казахстанцев за границей?
Закон о персональных данных и их защите устанавливает требование локализации: базы данных, содержащие персональные данные граждан Казахстана, должны находиться на серверах, расположенных на территории Республики Казахстан. Трансграничная передача данных допустима при соблюдении ряда условий — в частности, если принимающая сторона обеспечивает надлежащий уровень защиты. Нарушение требования локализации образует самостоятельный состав административного правонарушения.
3. Как долго можно хранить персональные данные?
Казахстанское законодательство не устанавливает единый универсальный срок хранения персональных данных. Общий принцип: данные хранятся не дольше, чем это необходимо для достижения целей обработки, либо в течение срока, предусмотренного договором или законодательством. После достижения цели или истечения срока оператор обязан уничтожить данные или обезличить их. Конкретные сроки зависят от категории данных и отраслевого регулирования.
4. Нужно ли согласие на обработку данных сотрудников?
По общему правилу Закона о персональных данных и их защите обработка персональных данных требует согласия субъекта. Для сотрудников согласие необходимо, однако закон допускает обработку без него в случаях, прямо предусмотренных законодательством — в частности, когда обработка необходима для исполнения трудового договора. На практике работодатели оформляют согласие при приёме на работу, чтобы охватить обработку данных, выходящую за рамки прямых трудовых отношений.
5. Что такое чувствительные персональные данные?
Казахстанский Закон о персональных данных и их защите выделяет особую категорию — специальные (чувствительные) персональные данные. К ним относятся сведения о расовой и национальной принадлежности, политических взглядах, религиозных убеждениях, состоянии здоровья, судимостях, а также биометрические данные. Обработка таких данных допускается только при наличии явного согласия субъекта либо в случаях, прямо предусмотренных законом. Требования к защите этой категории данных строже, чем для обычных персональных данных.
6. Кто контролирует соблюдение закона о персональных данных в Казахстане?
Уполномоченным органом в сфере защиты персональных данных в Казахстане является Министерство цифрового развития, инноваций и аэрокосмической промышленности РК. Именно этот орган проводит проверки операторов персональных данных, рассматривает жалобы субъектов и составляет протоколы об административных правонарушениях. Помимо этого, отдельные полномочия в сфере контроля за обработкой данных имеют отраслевые регуляторы — в зависимости от сферы деятельности оператора.
7. Что считается нарушением закона о персональных данных?
Нарушениями Закона о персональных данных и их защите признаются: обработка данных без согласия субъекта или без законного основания; несоблюдение требований локализации баз данных; непринятие мер по защите данных от несанкционированного доступа; непредоставление субъекту информации об обработке его данных; отказ в уничтожении данных по требованию субъекта; нарушение правил трансграничной передачи. Каждое из этих нарушений может повлечь самостоятельную административную ответственность.
8. Как оформить согласие на обработку персональных данных?
Согласие на обработку персональных данных должно быть конкретным, информированным и добровольным. Закон допускает как письменную, так и электронную форму согласия — при условии, что её можно подтвердить. В тексте согласия указываются: цели обработки, перечень обрабатываемых данных, срок действия согласия, а также право субъекта отозвать его. Типовые формулировки «согласен со всем» без конкретизации целей и объёма данных не соответствуют требованиям закона.
9. Распространяется ли закон о персональных данных на иностранные компании, работающие в Казахстане?
Да. Закон о персональных данных и их защите применяется к любым операторам, обрабатывающим персональные данные граждан и резидентов Казахстана, — вне зависимости от места регистрации оператора. Иностранная компания, собирающая данные казахстанских пользователей через сайт или приложение, обязана соблюдать требования казахстанского законодательства, включая локализацию баз данных и получение согласия субъектов.
10. Что такое оператор персональных данных?
Оператором персональных данных по казахстанскому законодательству признаётся государственный орган, юридическое или физическое лицо, которое организует и (или) осуществляет обработку персональных данных, а также определяет цели и содержание такой обработки. Фактически любая компания, которая собирает, хранит или использует данные клиентов, сотрудников или контрагентов, является оператором и несёт соответствующие обязанности по закону.
11. Обязательно ли уведомлять уполномоченный орган об обработке персональных данных?
Казахстанский закон не предусматривает обязательной предварительной регистрации или уведомления уполномоченного органа для всех операторов — в отличие от ряда других юрисдикций. Однако оператор обязан обеспечить внутреннюю документацию: политику обработки персональных данных, формы согласий, регламенты хранения и уничтожения данных. Эти документы проверяются в ходе контрольных мероприятий.
12. Может ли субъект потребовать удалить свои данные?
Да. Закон о персональных данных и их защите закрепляет право субъекта на отзыв согласия и требование об уничтожении данных. После получения такого требования оператор обязан прекратить обработку и уничтожить данные в установленный срок — если только обработка не продолжается на ином законном основании (например, в силу требований налогового или трудового законодательства). Отказ в удовлетворении обоснованного требования субъекта является нарушением закона.
13. Какова ответственность за утечку персональных данных?
Утечка персональных данных сама по себе не образует отдельного состава правонарушения — ответственность наступает за непринятие надлежащих мер защиты, которые и привели к утечке. Оператор несёт административную ответственность, если будет установлено, что он не обеспечил технические и организационные меры защиты данных. Помимо административного штрафа, пострадавшие субъекты вправе требовать возмещения ущерба в гражданском порядке.
14. Нужна ли политика конфиденциальности для казахстанского сайта?
Да. Если сайт собирает персональные данные пользователей — хотя бы имя и email через форму обратной связи, — оператор обязан разместить политику обработки персональных данных в открытом доступе. Политика должна содержать цели обработки, перечень данных, сроки хранения, порядок реализации прав субъектов и контактные данные оператора. Отсутствие политики или её несоответствие требованиям закона фиксируется при проверках как нарушение.
15. Как провести аудит персональных данных в компании?
Аудит персональных данных включает несколько этапов: инвентаризацию всех точек сбора данных (сайт, CRM, кадровый учёт, контрагенты); проверку наличия и корректности согласий; анализ договоров с третьими лицами, которым передаются данные; оценку технических мер защиты; проверку соответствия баз данных требованию локализации. По итогам аудита формируется план устранения выявленных несоответствий. Как правило, аудит занимает от двух до четырёх недель в зависимости от масштаба компании.
Выводы
Административная ответственность за нарушения в сфере персональных данных в Казахстане реальна и ощутима: штрафы для юридических лиц при первичном нарушении могут достигать 8,6 млн тенге, при повторном — существенно больше. Ключевые риски — отсутствие корректных согласий, несоблюдение требования локализации баз данных и отсутствие политики конфиденциальности. Превентивный аудит обработки персональных данных обходится значительно дешевле, чем устранение последствий проверки регулятора.
Актуально на: 20 октября 2026 года.
Если ситуация требует внимания — мы поможем разобраться.
Смежные направления
Направление практики
Персональные данные и IT-право — соответствие Закону о персональных данных, трансграничная передача, аудит обработки и IT-договоры.