Кто считается оператором персональных данных в Казахстане: частые вопросы
Оператором персональных данных в Казахстане признаётся любое лицо — физическое или юридическое, — которое организует и осуществляет обработку персональных данных. Если ваша компания собирает сведения о клиентах, сотрудниках или партнёрах, она уже является оператором по казахстанскому законодательству — вне зависимости от того, зарегистрировалась ли она в каком-либо реестре.
Не уверены, соответствует ли ваша компания требованиям казахстанского законодательства о персональных данных? Проверить обработку персональных данных · info@vetrovkz.com
Что означает статус оператора персональных данных в Казахстане?
Оператор персональных данных — это любое лицо, которое самостоятельно определяет цели и способы обработки персональных данных. Статус возникает автоматически: никакой регистрации, лицензии или специального разрешения для этого не требуется.
На практике оператором является практически каждая компания, ведущая деятельность в Казахстане. Работодатель, хранящий личные дела сотрудников, — оператор. Интернет-магазин, собирающий email-адреса покупателей, — оператор. Медицинская клиника, ведущая карточки пациентов, — тоже оператор.
Ключевой критерий — контроль над базой данных и наличие цели обработки. Если компания решает, зачем и как обрабатываются данные, она несёт полную ответственность оператора по Закону о персональных данных и их защите.
Если ваша компания ещё не провела аудит соответствия требованиям законодательства о персональных данных — это стоит сделать до первой проверки уполномоченного органа.
Проверить обработку персональных данныхЧем оператор отличается от собственника базы данных?
Казахстанское законодательство разграничивает два понятия: собственник базы данных и оператор. Собственник — тот, кому принадлежит база как объект права. Оператор — тот, кто фактически осуществляет обработку.
В большинстве случаев эти роли совпадают в одном лице. Однако при аутсорсинге — например, когда компания передаёт ведение кадрового учёта внешнему провайдеру — собственник и оператор могут быть разными субъектами. Каждый из них несёт самостоятельную ответственность в пределах своих полномочий.
Для топ-менеджера это означает следующее: даже если обработкой данных занимается подрядчик, компания-заказчик не снимает с себя ответственности. Договор с подрядчиком должен чётко распределять обязанности и закреплять требования к защите данных.
Какие обязанности возникают у оператора по казахстанскому праву?
Оператор персональных данных в Казахстане несёт комплекс обязанностей, установленных Законом о персональных данных и их защите. Их неисполнение влечёт административную ответственность.
- Уведомить уполномоченный орган до начала обработки данных
- Получить согласие субъекта данных (в случаях, предусмотренных законом)
- Разработать и опубликовать политику обработки персональных данных
- Обеспечить хранение данных казахстанских граждан на серверах в Казахстане
- Назначить ответственного за организацию обработки персональных данных
Помимо этого, оператор обязан обеспечить субъектам доступ к их данным, право на исправление и уничтожение, а также реагировать на инциденты безопасности в установленные сроки.
Нужно ли регистрироваться как оператор персональных данных?
Казахстанское законодательство не предусматривает регистрацию операторов в отдельном реестре. Вместо этого установлена обязанность уведомления: оператор направляет уведомление в уполномоченный орган до начала обработки персональных данных.
Уведомление подаётся в электронном виде через портал egov.kz. Для ряда случаев предусмотрены исключения — например, обработка данных исключительно в личных целях или в рамках исполнения договора с самим субъектом данных. Для коммерческих компаний исключения применяются редко.
Нарушение требования об уведомлении является самостоятельным основанием для привлечения к административной ответственности. Уведомление — не формальность, а первый шаг к выстраиванию системы комплаенса в области персональных данных.
Распространяется ли казахстанский закон на иностранные компании?
Закон о персональных данных и их защите применяется к операторам, осуществляющим обработку данных на территории Казахстана, вне зависимости от страны их регистрации. Иностранная компания, собирающая данные казахстанских пользователей через сайт или приложение, формально подпадает под действие казахстанского законодательства.
Иностранные компании с дочерними структурами, филиалами или представительствами в Казахстане обязаны соблюдать требования закона в полном объёме. Это касается и требований локализации: данные казахстанских граждан должны храниться на серверах, физически расположенных в Казахстане.
Для топ-менеджеров международных групп это означает необходимость проверить, где фактически хранятся данные казахстанских клиентов и сотрудников, — особенно при использовании глобальных облачных платформ.
Частые вопросы
1. Кто считается оператором персональных данных в Казахстане?
Оператором персональных данных в Казахстане признаётся любое физическое или юридическое лицо, которое самостоятельно или совместно с другими лицами организует и осуществляет обработку персональных данных. Это определение охватывает практически любую компанию, ведущую деятельность в Казахстане: работодателей, интернет-магазины, банки, медицинские учреждения, образовательные организации. Статус оператора возникает автоматически — в момент, когда компания начинает собирать, хранить или использовать сведения о физических лицах. Регистрация или получение специального разрешения для этого не требуется. Ключевой критерий — наличие цели обработки и контроль над базой данных.
2. Нужно ли уведомлять уполномоченный орган об обработке данных?
По казахстанскому законодательству операторы обязаны уведомить уполномоченный орган — Министерство цифрового развития, инноваций и аэрокосмической промышленности РК — до начала обработки персональных данных. Уведомление подаётся в электронном виде через портал egov.kz. Исключения предусмотрены для ряда категорий: обработка данных исключительно в личных целях, обработка в рамках договора с субъектом данных, а также некоторые виды журналистской деятельности. Для большинства коммерческих компаний уведомление обязательно. Нарушение этого требования влечёт административную ответственность.
3. Какой штраф за нарушение закона о персональных данных?
Казахстанское законодательство предусматривает административную ответственность за нарушения в сфере персональных данных. Размер санкций исчисляется в месячных расчётных показателях (МРП) и зависит от характера нарушения: незаконная обработка, нарушение требований к хранению, непредоставление субъекту доступа к его данным. Санкции применяются как к должностным лицам, так и к юридическим лицам. Повторные нарушения влекут более строгие меры. Для получения актуальных размеров штрафов рекомендуется обратиться к действующей редакции Кодекса об административных правонарушениях РК или к специалисту по персональным данным.
4. Можно ли хранить персональные данные казахстанцев за границей?
Закон о персональных данных и их защите устанавливает требование локализации: персональные данные граждан Казахстана должны храниться и обрабатываться на серверах, физически расположенных на территории Республики Казахстан. Трансграничная передача данных допускается при соблюдении ряда условий: наличие согласия субъекта, обеспечение уровня защиты не ниже казахстанского, а также в случаях, прямо предусмотренных законодательством. Использование зарубежных облачных сервисов без соблюдения требований локализации является нарушением. На практике многие компании используют гибридные решения: основная база — в Казахстане, резервные копии — за рубежом при соблюдении условий передачи.
5. Как долго можно хранить персональные данные?
Казахстанское законодательство не устанавливает единого универсального срока хранения персональных данных. Общий принцип: данные хранятся не дольше, чем это необходимо для достижения цели обработки. После достижения цели оператор обязан уничтожить данные или обезличить их. Для отдельных категорий данных специальные сроки установлены отраслевым законодательством: трудовые данные — в соответствии с Трудовым кодексом РК и архивным законодательством, финансовые данные — согласно требованиям налогового и банковского законодательства. Оператор обязан закрепить сроки хранения во внутренней политике обработки персональных данных.
6. Чем оператор отличается от собственника базы данных?
Казахстанский Закон о персональных данных и их защите разграничивает понятия оператора и собственника базы данных. Собственник — это лицо, которому принадлежит база данных как объект права. Оператор — лицо, которое фактически осуществляет обработку: сбор, систематизацию, хранение, изменение, использование, распространение. На практике эти роли часто совпадают в одном лице. Однако при аутсорсинге обработки данных (например, передача HR-функций внешнему провайдеру) собственник и оператор могут быть разными субъектами. Каждый из них несёт самостоятельную ответственность в пределах своих полномочий.
7. Распространяется ли казахстанский закон на иностранные компании?
Закон о персональных данных и их защите применяется к операторам, осуществляющим обработку данных на территории Казахстана, вне зависимости от места их регистрации. Иностранная компания, которая собирает данные казахстанских пользователей через сайт, мобильное приложение или иные каналы, формально подпадает под действие казахстанского законодательства. На практике правоприменение в отношении иностранных операторов без присутствия в Казахстане затруднено. Тем не менее иностранные компании с казахстанскими дочерними структурами или представительствами обязаны соблюдать требования закона в полном объёме.
8. Нужно ли согласие на обработку персональных данных сотрудников?
По казахстанскому законодательству обработка персональных данных, как правило, требует письменного согласия субъекта. Для трудовых отношений предусмотрен ряд исключений: данные, необходимые для исполнения трудового договора, могут обрабатываться без отдельного согласия. Однако это исключение не безгранично. Обработка биометрических данных, передача данных третьим лицам, использование данных в маркетинговых целях — всё это требует явного согласия сотрудника. Работодателям рекомендуется включать положения об обработке персональных данных в трудовой договор или оформлять отдельное согласие при приёме на работу.
9. Что такое политика обработки персональных данных и обязательна ли она?
Политика обработки персональных данных — внутренний документ оператора, описывающий цели, способы, сроки обработки данных, а также права субъектов. Казахстанское законодательство обязывает операторов разработать и опубликовать такую политику. Для компаний, работающих с сайтами и мобильными приложениями, политика должна быть размещена в открытом доступе — как правило, в виде ссылки на главной странице. Отсутствие политики или её несоответствие требованиям закона является самостоятельным основанием для привлечения к административной ответственности. Документ должен регулярно актуализироваться при изменении целей или способов обработки.
10. Какие данные считаются персональными по казахстанскому праву?
Персональные данные по казахстанскому законодательству — это любые сведения, относящиеся к определённому или определяемому физическому лицу. Перечень открытый: имя, дата рождения, адрес, номер телефона, ИИН, электронная почта, IP-адрес, данные о местоположении, биометрические данные, сведения о здоровье, финансовом положении. Закон выделяет особые категории чувствительных данных — расовое происхождение, политические взгляды, религиозные убеждения, состояние здоровья, судимость — для которых установлен повышенный режим защиты. Обработка таких данных допускается только в строго определённых случаях.
11. Обязан ли оператор назначить ответственного за персональные данные?
Казахстанское законодательство предусматривает обязанность оператора определить лицо, ответственное за организацию обработки персональных данных. Это может быть штатный сотрудник или внешний специалист. Ответственное лицо обеспечивает соблюдение требований закона, взаимодействует с уполномоченным органом и субъектами данных, организует внутренний контроль. На практике эту роль нередко совмещают с должностью юриста, специалиста по IT-безопасности или HR-директора. Для крупных компаний, обрабатывающих значительные объёмы данных, рекомендуется выделить отдельную позицию — аналог DPO (Data Protection Officer) в европейской практике.
12. Что происходит при утечке персональных данных?
При утечке или несанкционированном доступе к персональным данным оператор обязан принять меры по локализации инцидента и уведомить уполномоченный орган. Казахстанское законодательство устанавливает обязанность уведомления субъектов данных о нарушении, если это может повлечь существенный вред их правам и интересам. Промедление с реагированием усугубляет ответственность оператора. Помимо административных санкций, пострадавшие субъекты вправе требовать возмещения ущерба в гражданском порядке. Наличие задокументированного плана реагирования на инциденты существенно снижает правовые риски оператора.
13. Распространяются ли требования на обработку данных клиентов в CRM-системах?
Да, использование CRM-систем для хранения и обработки данных клиентов полностью подпадает под действие Закона о персональных данных и их защите. Оператор обязан получить согласие клиентов на обработку их данных, определить цели использования, обеспечить защиту от несанкционированного доступа. Если CRM-система размещена на зарубежных серверах, возникает вопрос соблюдения требований локализации. При использовании облачных CRM иностранных вендоров необходимо проверить, где физически хранятся данные, и при необходимости настроить хранение казахстанских данных на локальных серверах.
14. Как субъект данных может потребовать удаления своих данных?
Казахстанское законодательство закрепляет за субъектом персональных данных право требовать прекращения обработки и уничтожения его данных. Требование направляется оператору в письменной форме. Оператор обязан рассмотреть обращение и уничтожить данные, если основания для их дальнейшего хранения отсутствуют. Исключения: данные необходимы для исполнения договора, для выполнения требований законодательства (например, налогового или архивного), либо для защиты прав оператора в судебном споре. Отказ в удовлетворении обоснованного требования является нарушением закона и основанием для жалобы в уполномоченный орган.
15. Нужен ли отдельный договор при передаче данных третьим лицам?
При передаче персональных данных третьим лицам — подрядчикам, партнёрам, облачным провайдерам — казахстанское законодательство требует заключения договора, регулирующего условия обработки. Договор должен определять цели передачи, перечень передаваемых данных, обязательства получателя по обеспечению конфиденциальности и безопасности. Передача данных без надлежащего договорного оформления является нарушением. На практике такие условия включают в основной договор оказания услуг или оформляют отдельным соглашением об обработке персональных данных.
Выводы
Статус оператора персональных данных в Казахстане возникает автоматически — в момент начала обработки любых сведений о физических лицах. Для топ-менеджера это означает личную ответственность за соблюдение требований Закона о персональных данных и их защите: уведомление уполномоченного органа, локализация данных, политика обработки, назначение ответственного лица. Аудит соответствия — не разовое мероприятие, а постоянный процесс, особенно с учётом развития цифрового законодательства Казахстана.
Актуально на: 3 января 2026 года.
Если ситуация требует внимания — мы поможем разобраться.
Смежные направления
Направление практики
Персональные данные и IT-право — соответствие Закону о персональных данных, трансграничная передача, аудит обработки и IT-договоры.