Какой штраф за нарушение закона о персональных данных в РК: 5 ключевых вопросов
За нарушение Закона о персональных данных и их защите в Казахстане предусмотрена административная ответственность по КоАП РК: размер штрафа исчисляется в МРП и зависит от вида нарушения, статуса нарушителя и факта повторности. Собственник бизнеса несёт ответственность как за собственные действия, так и за действия компании как оператора персональных данных. Ниже — прямые ответы на пять вопросов, которые чаще всего задают владельцы казахстанского бизнеса.
Не уверены, соответствует ли ваша компания требованиям закона о персональных данных? Проверить обработку персональных данных · info@vetrovkz.com
Что регулирует закон о персональных данных в Казахстане?
Закон о персональных данных и их защите — основной нормативный акт, устанавливающий правила сбора, хранения, обработки и передачи персональных данных физических лиц в Республике Казахстан. Он распространяется на любую компанию или ИП, которые работают с данными клиентов, сотрудников или контрагентов — вне зависимости от размера бизнеса и отрасли.
Персональные данные — это любая информация, относящаяся к определённому или определяемому физическому лицу. Под это определение подпадают ФИО, ИИН, номер телефона, адрес электронной почты, IP-адрес, данные о местоположении, сведения о покупках и поведении на сайте. Если ваша компания ведёт CRM, рассылает email-письма или использует cookie на сайте — она является оператором персональных данных.
Статус оператора влечёт конкретные обязанности: разработать политику конфиденциальности, получать согласия на обработку данных, обеспечивать локализацию баз данных на серверах в РК, соблюдать сроки хранения и уничтожать данные по их истечении. Нарушение любого из этих требований образует состав административного правонарушения.
Получили предписание уполномоченного органа или уведомление о проверке — время реагировать немедленно.
Проверить обработку персональных данныхКакой штраф за нарушение закона о персональных данных?
За нарушение Закона о персональных данных и их защите в Казахстане предусмотрена административная ответственность по КоАП РК: штраф исчисляется в МРП и зависит от вида нарушения, статуса нарушителя и повторности. По состоянию на 2026 год МРП составляет 4 325 тенге — это базовая единица расчёта всех административных санкций.
Для юридических лиц санкции существенно выше, чем для физических лиц и ИП. Первичное нарушение, как правило, влечёт предупреждение или штраф в диапазоне от нескольких десятков до нескольких сотен МРП. При повторном нарушении в течение года размер санкции кратно возрастает — это квалифицирующий признак, прямо предусмотренный КоАП РК.
Помимо штрафа, уполномоченный орган вправе вынести предписание об устранении нарушений. Неисполнение предписания в установленный срок образует самостоятельный состав правонарушения и влечёт дополнительную ответственность. Для компаний, чей бизнес неразрывно связан с обработкой данных, это может означать фактическую приостановку деятельности.
Можно ли хранить персональные данные казахстанцев за границей?
Закон о персональных данных и их защите устанавливает требование локализации: базы данных, содержащие персональные данные граждан РК, должны размещаться на серверах, физически находящихся на территории Казахстана. Это требование распространяется на все компании — как казахстанские, так и иностранные, если они работают с данными казахстанских пользователей.
Трансграничная передача данных допустима при соблюдении условий: наличие согласия субъекта, договорная необходимость или передача в страну с адекватным уровнем защиты данных. Однако хранение данных исключительно за рубежом без выполнения требований локализации является нарушением и влечёт административную ответственность оператора.
На практике многие компании используют гибридную модель: основная база данных — в Казахстане, резервная копия — за рубежом. Такой подход требует отдельной правовой оценки, поскольку резервное копирование само по себе является обработкой персональных данных. Использование зарубежных облачных сервисов (AWS, Google Cloud, Azure) без казахстанской точки присутствия создаёт правовые риски для оператора.
Нужно ли согласие на обработку данных сотрудников?
Трудовой кодекс РК и Закон о персональных данных и их защите допускают обработку персональных данных работника без отдельного согласия в объёме, необходимом для исполнения трудового договора. Работодатель вправе обрабатывать ФИО, ИИН, банковские реквизиты и сведения об образовании без дополнительного согласия — они нужны для расчёта зарплаты и выполнения обязательных требований законодательства.
Для обработки данных сверх этого объёма согласие обязательно. Публикация фото сотрудника на корпоративном сайте, передача данных третьим лицам, использование в маркетинговых материалах — всё это требует явного согласия работника. Согласие должно быть добровольным: принуждение к его подписанию как условие трудоустройства недопустимо.
- Без согласия: расчёт зарплаты, оформление трудовой книжки, подача отчётности в госорганы
- С согласием: публикация фото, передача данных кадровым агентствам, использование в рекламе
- Отдельное согласие: обработка медицинских данных, биометрия (СКУД по отпечатку пальца)
Что такое чувствительные персональные данные и почему это важно для бизнеса?
Закон о персональных данных и их защите выделяет специальную категорию — чувствительные (специальные) персональные данные, обработка которых требует повышенного уровня защиты и явного письменного согласия субъекта. К ним относятся расовое и этническое происхождение, политические взгляды, религиозные убеждения, сведения о состоянии здоровья, биометрические данные и сведения о судимости.
Для бизнеса наиболее актуальны два вида чувствительных данных. Первый — медицинские данные сотрудников: больничные листы, результаты обязательных медосмотров, справки о состоянии здоровья. Второй — биометрия: системы распознавания лиц на входе в офис, считыватели отпечатков пальцев для СКУД, голосовая идентификация.
Обработка чувствительных данных без надлежащего правового основания влечёт повышенную административную ответственность по сравнению с нарушениями в отношении обычных персональных данных. Перед внедрением биометрических систем контроля доступа рекомендуется провести правовую оценку и разработать отдельный регламент обработки биометрии.
Частые вопросы
1. Какой штраф за нарушение закона о персональных данных?
За нарушение Закона о персональных данных и их защите в Казахстане предусмотрена административная ответственность по Кодексу об административных правонарушениях РК. Для юридических лиц размер штрафа исчисляется в МРП и зависит от вида нарушения и факта повторности. По состоянию на 2026 года МРП составляет 4 325 тенге, что напрямую влияет на итоговую сумму санкции. Первичное нарушение, как правило, влечёт предупреждение или штраф в диапазоне от нескольких десятков до нескольких сотен МРП. При повторном нарушении в течение года размер санкции существенно возрастает. Помимо штрафа, уполномоченный орган вправе вынести предписание об устранении нарушений — его неисполнение образует самостоятельный состав.
2. Можно ли хранить персональные данные казахстанцев за границей?
Закон о персональных данных и их защите устанавливает требование локализации: базы данных, содержащие персональные данные граждан Республики Казахстан, должны размещаться на серверах, физически находящихся на территории РК. Трансграничная передача данных допустима при соблюдении ряда условий: наличие согласия субъекта, договорная необходимость или передача в страну с адекватным уровнем защиты данных. Хранение данных исключительно за рубежом без выполнения требований локализации является нарушением и может повлечь административную ответственность оператора. На практике многие компании используют гибридную модель: основная база — в Казахстане, резервная копия — за рубежом. Такой подход требует отдельной правовой оценки в каждом конкретном случае.
3. Как долго можно хранить персональные данные?
Казахстанское законодательство о персональных данных не устанавливает единый универсальный срок хранения: он определяется целью обработки и требованиями отраслевого законодательства. Общий принцип — данные хранятся не дольше, чем это необходимо для достижения цели, ради которой они собирались. После достижения цели или по истечении срока, указанного в согласии субъекта, оператор обязан уничтожить или обезличить данные. Для кадровых документов сроки определяются архивным законодательством и могут составлять от 3 до 75 лет в зависимости от вида документа. Для клиентских баз, маркетинговых рассылок и cookie-данных срок хранения, как правило, устанавливается политикой конфиденциальности и не должен превышать разумно необходимый.
4. Нужно ли согласие на обработку данных сотрудников?
Трудовой кодекс РК и Закон о персональных данных и их защите допускают обработку персональных данных работника без отдельного согласия в объёме, необходимом для исполнения трудового договора. Это означает, что работодатель вправе обрабатывать ФИО, ИИН, банковские реквизиты, сведения об образовании и квалификации без дополнительного согласия — они нужны для расчёта зарплаты, оформления документов и выполнения обязательных требований законодательства. Однако для обработки данных сверх этого объёма — например, для публикации фото сотрудника на сайте, передачи данных третьим лицам или использования в маркетинге — согласие обязательно. Согласие должно быть добровольным, конкретным и информированным; принуждение к его подписанию недопустимо.
5. Что такое чувствительные персональные данные?
Закон о персональных данных и их защите выделяет особую категорию — специальные (чувствительные) персональные данные, обработка которых требует повышенного уровня защиты и, как правило, явного письменного согласия субъекта. К ним относятся: расовое и этническое происхождение, политические взгляды, религиозные и философские убеждения, сведения о состоянии здоровья, биометрические данные, сведения о судимости. Для бизнеса наиболее актуальны медицинские данные сотрудников (больничные листы, результаты медосмотров) и биометрия (системы распознавания лиц, отпечатки пальцев для СКУД). Обработка таких данных без надлежащего правового основания влечёт повышенную административную ответственность по сравнению с нарушениями в отношении обычных персональных данных.
6. Кто является уполномоченным органом по персональным данным в Казахстане?
Уполномоченным органом в сфере персональных данных в Казахстане является Министерство цифрового развития, инноваций и аэрокосмической промышленности РК. Именно этот орган осуществляет государственный контроль за соблюдением законодательства о персональных данных, рассматривает жалобы субъектов данных, проводит проверки операторов и выносит предписания об устранении нарушений. Помимо этого, отдельные полномочия в части надзора за обработкой данных в своих секторах имеют отраслевые регуляторы — например, Агентство по регулированию и развитию финансового рынка в части банков и страховых компаний. Жалобу на оператора субъект данных вправе подать как напрямую в уполномоченный орган, так и в суд.
7. Что такое оператор персональных данных и кто им является?
Оператор персональных данных — это физическое или юридическое лицо, которое самостоятельно или совместно с другими лицами организует и осуществляет обработку персональных данных, а также определяет цели и содержание такой обработки. На практике оператором является практически любая компания, которая собирает данные клиентов, ведёт кадровый учёт или использует CRM-системы. Статус оператора влечёт полный перечень обязанностей по закону: разработка политики конфиденциальности, получение согласий, обеспечение безопасности данных, уведомление субъектов об их правах, локализация баз данных. Незнание о наличии статуса оператора не освобождает от ответственности — регулятор оценивает фактическую деятельность, а не самоидентификацию компании.
8. Обязательно ли разрабатывать политику конфиденциальности?
Да, наличие политики конфиденциальности (или политики обработки персональных данных) является обязательным требованием для операторов в Казахстане. Документ должен быть размещён в открытом доступе — как правило, на сайте компании — и содержать сведения о целях обработки, категориях обрабатываемых данных, сроках хранения, правах субъектов и порядке их реализации, а также о мерах защиты данных. Отсутствие политики или её несоответствие требованиям закона фиксируется при проверках как самостоятельное нарушение. Для компаний, работающих с данными клиентов онлайн, политика конфиденциальности также является обязательным элементом пользовательского соглашения и условием законности cookie-баннеров.
9. Что грозит за повторное нарушение закона о персональных данных?
Повторное нарушение законодательства о персональных данных в течение года после первого является квалифицирующим признаком и влечёт существенно более высокий штраф по сравнению с первичным нарушением. КоАП РК предусматривает для повторных нарушений санкции в кратно большем размере в МРП. По состоянию на 2026 год МРП составляет 4 325 тенге, поэтому итоговая сумма штрафа для юридического лица при повторном нарушении может быть весьма значительной. Помимо увеличенного штрафа, повторность может повлечь приостановление деятельности по обработке данных на основании предписания уполномоченного органа. Это особенно критично для компаний, чей бизнес-процесс неразрывно связан с обработкой персональных данных.
10. Нужно ли регистрировать базы данных с персональными данными?
Казахстанское законодательство о персональных данных не предусматривает обязательной регистрации баз данных в государственном реестре. Однако оператор обязан вести внутренний учёт обрабатываемых данных и обеспечивать их защиту в соответствии с установленными требованиями. Для информационных систем, обрабатывающих персональные данные, могут применяться требования по аттестации и сертификации средств защиты информации в соответствии с законодательством об информационной безопасности. Компаниям рекомендуется вести реестр обработки персональных данных как внутренний документ — он помогает при проверках и демонстрирует добросовестность оператора.
11. Как правильно получить согласие на обработку персональных данных?
Согласие на обработку персональных данных в Казахстане должно быть добровольным, конкретным, информированным и однозначным. Закон о персональных данных и их защите допускает как письменную, так и электронную форму согласия — в частности, проставление галочки на сайте при условии, что текст согласия доступен пользователю до его подтверждения. Недопустимы предзаполненные чекбоксы, согласие «по умолчанию», включение согласия в общие условия договора без возможности отказа. Субъект данных вправе отозвать согласие в любой момент, и оператор обязан прекратить обработку после получения такого отзыва. Для чувствительных данных требуется явное письменное согласие.
12. Что делать, если произошла утечка персональных данных?
При утечке персональных данных оператор обязан принять немедленные меры по локализации инцидента и минимизации ущерба. Действующее казахстанское законодательство о персональных данных не устанавливает жёсткого срока уведомления уполномоченного органа об утечке, однако промедление с реагированием усугубляет положение оператора при проверке. На практике рекомендуется: зафиксировать факт инцидента, провести внутреннее расследование, устранить уязвимость, уведомить субъектов данных, чьи права могли быть нарушены, и при необходимости — уполномоченный орган. Сокрытие утечки или непринятие мер по её устранению может квалифицироваться как самостоятельное нарушение и повлечь дополнительную ответственность.
13. Распространяется ли закон о персональных данных на ИП?
Да, Закон о персональных данных и их защите распространяется на индивидуальных предпринимателей в той же мере, что и на юридические лица, если ИП осуществляет обработку персональных данных третьих лиц — клиентов, сотрудников, контрагентов. ИП, ведущий кадровый учёт или работающий с клиентской базой, является оператором персональных данных и несёт соответствующие обязанности. Размер административного штрафа для физических лиц (в том числе ИП) по КоАП РК, как правило, ниже, чем для юридических лиц, однако также исчисляется в МРП. Отсутствие политики конфиденциальности, несоблюдение требований локализации и обработка данных без согласия — нарушения, актуальные для ИП в той же степени, что и для компаний.
14. Можно ли передавать персональные данные клиентов третьим лицам?
Передача персональных данных третьим лицам в Казахстане допустима при наличии одного из следующих оснований: согласие субъекта данных, договорная необходимость (например, передача данных курьерской службе для доставки заказа), требование закона или судебное решение. При передаче данных третьему лицу оператор обязан убедиться, что получатель обеспечивает надлежащий уровень защиты данных. Передача данных без правового основания является нарушением и влечёт административную ответственность. Особого внимания требует передача данных маркетинговым агентствам, аналитическим платформам и облачным сервисам — в каждом случае необходима оценка правового основания и условий договора с получателем.
15. Как провести аудит персональных данных в компании?
Аудит персональных данных — это систематическая проверка того, какие данные компания собирает, как хранит, кому передаёт и на каком правовом основании. Стандартный аудит включает несколько этапов: инвентаризацию всех точек сбора данных (сайт, CRM, кадровые документы, мобильное приложение), проверку наличия и актуальности согласий, оценку соответствия политики конфиденциальности требованиям закона, анализ договоров с третьими лицами — получателями данных, проверку технических мер защиты и локализации баз данных. По результатам аудита формируется план устранения выявленных несоответствий. Регулярный аудит — раз в год или при существенных изменениях в бизнес-процессах — позволяет снизить риск штрафов и предписаний регулятора.
Выводы
Нарушение Закона о персональных данных и их защите в Казахстане влечёт административную ответственность по КоАП РК: штраф исчисляется в МРП (4 325 тенге в 2026 году), размер зависит от вида нарушения и повторности. Для собственника бизнеса ключевые риски — отсутствие политики конфиденциальности, хранение данных за рубежом без соблюдения требований локализации, обработка чувствительных данных без надлежащего согласия и неисполнение предписаний уполномоченного органа. Превентивный аудит соответствия обходится значительно дешевле, чем устранение последствий проверки.
Актуально на: 29 сентября 2026 года.
Если ситуация требует внимания — мы поможем разобраться.
Смежные направления
Направление практики
Персональные данные и IT-право — соответствие Закону о персональных данных, трансграничная передача, аудит обработки и IT-договоры.