Какой штраф за нарушение закона о персональных данных в РК

Какой штраф за нарушение закона о персональных данных?

За нарушение требований Закона о персональных данных и их защите в Казахстане ответственность установлена Кодексом об административных правонарушениях. Санкции дифференцированы по субъекту нарушения и по признаку повторности.

Для физических лиц штраф, как правило, составляет несколько десятков МРП. Для должностных лиц — выше. Для юридических лиц — значительно выше, нередко исчисляется сотнями МРП. При повторном нарушении в течение года размер санкции возрастает — в ряде составов кратно.

Помимо штрафа, уполномоченный орган вправе выдать предписание об устранении нарушений. Неисполнение предписания образует самостоятельный состав правонарушения. Таким образом, одно исходное нарушение может повлечь несколько последовательных санкций.

Поскольку ставки МРП ежегодно пересматриваются, итоговая сумма штрафа в тенге меняется. В 2026 году МРП составляет 4 325 тенге (по состоянию на 2026 год) — это базовый ориентир для расчёта.

Кто и за что несёт ответственность по казахстанскому законодательству?

Субъектом ответственности является оператор персональных данных — любое лицо, которое организует или осуществляет обработку данных. Это может быть компания, ИП, государственный орган или физическое лицо.

Наиболее распространённые нарушения, фиксируемые на практике: обработка данных без согласия субъекта; непринятие мер по обеспечению безопасности; несоблюдение требования локализации баз данных на территории Казахстана; отказ предоставить субъекту доступ к его данным или уничтожить их по требованию.

Отдельно выделяется ответственность за нарушение режима чувствительных данных — сведений о здоровье, биометрии, религиозных убеждениях. Обработка таких данных без явного согласия субъекта или без законного основания влечёт повышенные санкции.

Можно ли хранить персональные данные казахстанцев за границей?

Закон о персональных данных и их защите устанавливает требование локализации: базы данных, содержащие персональные данные граждан Казахстана, должны физически размещаться на серверах, находящихся на территории Республики Казахстан.

Трансграничная передача данных допускается при соблюдении условий: наличие согласия субъекта, обеспечение уровня защиты не ниже казахстанского, либо передача в государство, признанное обеспечивающим надлежащий уровень защиты. Использование зарубежных облачных сервисов без соблюдения этих условий является нарушением.

На практике многие компании, особенно работающие с иностранными облачными платформами, не осознают, что хранение данных на зарубежных серверах без надлежащего оформления уже образует состав правонарушения. Аудит IT-инфраструктуры — первый шаг к устранению этого риска.

Как долго можно хранить персональные данные?

Казахстанское законодательство закрепляет принцип ограничения срока хранения: данные должны храниться не дольше, чем необходимо для достижения цели их обработки.

После того как цель достигнута или субъект отозвал согласие, оператор обязан уничтожить или обезличить данные. Конкретные сроки для отдельных категорий — кадровых документов, бухгалтерских записей, медицинских сведений — устанавливаются отраслевым законодательством и могут существенно различаться.

Отсутствие утверждённой политики хранения и уничтожения данных само по себе является нарушением. Регулятор при проверке запрашивает внутренние документы, регламентирующие жизненный цикл данных — их отсутствие фиксируется как нарушение организационных мер защиты.

Нужно ли согласие на обработку данных сотрудников?

Обработка персональных данных работников в рамках трудовых отношений допускается без отдельного согласия, если она необходима для исполнения трудового договора и прямо предусмотрена Трудовым кодексом РК или иным законодательством.

Однако для обработки, выходящей за рамки трудовых отношений, согласие обязательно. Это касается передачи данных третьим лицам, использования биометрии, обработки чувствительных данных о здоровье или религиозных убеждениях. На практике работодатели оформляют согласие при приёме на работу — отдельным документом или в составе трудового договора.

Важно понимать: согласие, включённое в трудовой договор как условие трудоустройства, может быть признано недобровольным. Рекомендуется оформлять его отдельным документом с чётким указанием цели, перечня данных и срока действия.

Что такое чувствительные персональные данные и почему они важны?

Чувствительные (специальные) персональные данные — это категория, требующая повышенного уровня защиты. Закон о персональных данных и их защите относит к ним сведения о расовом и этническом происхождении, политических взглядах, религиозных убеждениях, состоянии здоровья, биометрические данные, а также сведения о судимостях.

Обработка таких данных допускается только при наличии явного согласия субъекта или в случаях, прямо предусмотренных законом. Нарушение режима обработки чувствительных данных влечёт повышенную ответственность по сравнению с нарушениями в отношении обычных данных.

• Биометрия (фото, отпечатки пальцев, распознавание лица) — чувствительные данные
• Медицинские сведения о сотрудниках — чувствительные данные
• Данные о религиозных убеждениях — чувствительные данные
• Сведения о судимостях — чувствительные данные
• Политические взгляды — чувствительные данные

Как проводится проверка соблюдения закона о персональных данных?

Уполномоченным органом в сфере персональных данных в Казахстане является Министерство цифрового развития, инноваций и аэрокосмической промышленности РК. Именно этот орган осуществляет государственный контроль, проводит проверки операторов и рассматривает жалобы субъектов данных.

Проверки могут быть плановыми и внеплановыми. Внеплановая проверка инициируется, как правило, по жалобе субъекта данных или при выявлении признаков нарушения. В ходе проверки регулятор запрашивает внутренние документы: политику конфиденциальности, формы согласий, договоры с подрядчиками, технические меры защиты.

Отсутствие документации или её несоответствие требованиям закона фиксируется как нарушение. По результатам проверки выносится предписание и/или составляется протокол об административном правонарушении. Подробнее о практике IT-права и персональных данных — в разделе Персональные данные и IT-право.