Кто считается оператором персональных данных в Казахстане: разъяснение
Оператором персональных данных в Казахстане признаётся любое лицо — физическое, юридическое или государственный орган, — которое самостоятельно определяет цели и способы обработки персональных данных. Этот статус возникает автоматически: регистрации или специального разрешения не требуется. Под действие Закона о персональных данных и их защите подпадает практически любой бизнес, работающий с данными клиентов, сотрудников или пользователей в Республике Казахстан.
Не уверены, является ли ваша компания оператором персональных данных? Проверить обработку персональных данных · info@vetrovkz.com
Что такое оператор персональных данных по казахстанскому законодательству?
Оператор персональных данных — это субъект, который самостоятельно или совместно с другими лицами определяет цели и способы обработки персональных данных. Закон о персональных данных и их защите распространяет это понятие на физических лиц, юридических лиц и государственные органы без каких-либо изъятий по размеру или форме собственности.
Ключевой признак оператора — именно самостоятельное определение целей. Если организация решает, зачем собирать данные (например, для выполнения договора, маркетинга или кадрового учёта) и каким способом их обрабатывать, она является оператором. Компания, которая обрабатывает данные исключительно по поручению другого лица и строго в рамках его инструкций, считается третьим лицом — но не освобождается от всех обязанностей по защите данных.
На практике операторами являются: интернет-магазины и маркетплейсы, работодатели любого масштаба, медицинские учреждения, банки и МФО, мобильные приложения, образовательные платформы, а также государственные органы, ведущие реестры граждан. Даже небольшой ИП, хранящий контакты клиентов в таблице Excel, формально является оператором.
Если ваша компания собирает данные клиентов или сотрудников — проверьте, соответствует ли документация требованиям казахстанского законодательства.
Провести аудит персональных данныхЧем оператор отличается от собственника базы данных?
Понятия «оператор» и «собственник базы данных» в казахстанском законодательстве не совпадают. Собственник базы данных — это лицо, которому принадлежат права на саму базу как объект интеллектуальной собственности или имущество. Оператор — это лицо, которое фактически обрабатывает персональные данные и несёт ответственность за соблюдение требований закона.
На практике это разграничение важно при аутсорсинге IT-инфраструктуры. Компания может передать хранение данных облачному провайдеру: провайдер становится владельцем серверов, но оператором остаётся сама компания — поскольку именно она определяет, какие данные собирать и для чего. Провайдер в этой схеме действует как третье лицо, обрабатывающее данные по поручению оператора.
- Оператор несёт полную ответственность перед субъектами данных и регулятором.
- Третье лицо (процессор) обрабатывает данные строго по инструкции оператора.
- Договор между оператором и третьим лицом должен содержать обязательства по защите данных.
- Передача данных третьему лицу не снимает с оператора ответственности за их сохранность.
Какие обязанности возникают у оператора персональных данных в Казахстане?
С момента начала обработки персональных данных оператор приобретает комплекс обязанностей, установленных Законом о персональных данных и их защите. Их неисполнение влечёт административную ответственность вне зависимости от того, причинён ли реальный ущерб субъектам данных.
Основные обязанности оператора включают несколько направлений. Во-первых, получение согласия субъекта на обработку данных — письменного или электронного, конкретного и информированного. Во-вторых, уведомление уполномоченного органа до начала обработки. В-третьих, обеспечение конфиденциальности и принятие технических и организационных мер защиты. В-четвёртых, соблюдение требования локализации: данные казахстанских граждан должны храниться на серверах в Казахстане.
Дополнительно оператор обязан: предоставлять субъекту доступ к его данным по запросу, вносить исправления и удалять данные при наличии оснований, уведомлять об утечках, а также вести внутреннюю документацию — политику обработки персональных данных, журналы доступа и записи о согласиях. Для крупных операторов, обрабатывающих данные в значительных объёмах, рекомендуется назначение ответственного за защиту данных.
Нужно ли регистрироваться как оператор персональных данных в Казахстане?
Специальной регистрации в реестре операторов казахстанское законодательство не предусматривает — статус оператора возникает в силу факта обработки данных. Однако обязанность уведомления уполномоченного органа является самостоятельным требованием, которое нередко воспринимается как аналог регистрации.
Уведомление подаётся в Министерство цифрового развития, инноваций и аэрокосмической промышленности РК через портал egov.kz до начала обработки персональных данных. В уведомлении указываются: наименование и реквизиты оператора, цели обработки, категории субъектов и данных, меры защиты, сведения о трансграничной передаче (если применимо). Уведомление носит заявительный, а не разрешительный характер: орган не выдаёт лицензию, а фиксирует факт начала деятельности.
Исключения из обязанности уведомления предусмотрены для ограниченного круга случаев. Для подавляющего большинства коммерческих организаций, работающих с персональными данными клиентов или сотрудников, уведомление обязательно. Нарушение этого требования является самостоятельным составом административного правонарушения.
Как определить, является ли ваша компания оператором персональных данных?
Практический тест для определения статуса оператора состоит из трёх вопросов: собирает ли компания какие-либо сведения о физических лицах, определяет ли она самостоятельно, зачем эти сведения нужны, и принимает ли решения о способах их обработки. Положительный ответ хотя бы на два из трёх вопросов — достаточное основание считать компанию оператором.
На практике статус оператора возникает в следующих типичных ситуациях: ведение базы клиентов с именами и контактами, обработка резюме и личных дел сотрудников, использование систем видеонаблюдения с записью, сбор cookies и данных о поведении пользователей на сайте, выставление счетов с указанием ФИО и ИИН, а также любая CRM-система. Отсутствие специализированного ПО не освобождает от статуса оператора: таблица с именами клиентов в Excel — это тоже база персональных данных.
Частые вопросы
1. Кто считается оператором персональных данных в Казахстане?
Оператором персональных данных в Казахстане признаётся любое лицо — физическое, юридическое или государственный орган, — которое самостоятельно или совместно с другими определяет цели и способы обработки персональных данных. Ключевой признак — именно самостоятельное определение целей: если организация решает, зачем и как собирать данные клиентов, сотрудников или пользователей, она является оператором. Это означает, что статус оператора возникает автоматически с момента начала обработки данных — без какой-либо регистрации или получения разрешения. Под действие Закона о персональных данных и их защите подпадают практически все компании: интернет-магазины, работодатели, медицинские учреждения, банки, мобильные приложения и даже небольшие ИП, ведущие клиентскую базу.
2. Нужно ли уведомлять уполномоченный орган об обработке данных?
По казахстанскому законодательству операторы персональных данных обязаны уведомить уполномоченный орган — Министерство цифрового развития, инноваций и аэрокосмической промышленности РК — до начала обработки персональных данных. Уведомление подаётся в электронной форме через портал egov.kz. В нём указываются цели обработки, категории субъектов, перечень обрабатываемых данных, меры защиты и сведения об операторе. Исключения из обязанности уведомления предусмотрены для ряда случаев — например, при обработке данных исключительно в личных или семейных целях. Однако для большинства коммерческих организаций уведомление обязательно. Нарушение этого требования влечёт административную ответственность.
3. Какой штраф за нарушение закона о персональных данных?
Административная ответственность за нарушение Закона о персональных данных и их защите в Казахстане предусмотрена Кодексом об административных правонарушениях. Размер штрафов исчисляется в МРП (в 2026 году — 4 325 тенге по состоянию на 2026 год). Санкции дифференцированы в зависимости от типа нарушения: незаконный сбор, обработка без согласия, непринятие мер защиты, нарушение требований локализации. Для юридических лиц штрафы существенно выше, чем для физических. Помимо штрафов, возможно предписание об устранении нарушений. При повторных нарушениях или утечке данных в крупном масштабе регулятор вправе инициировать более серьёзные меры воздействия. Точные размеры санкций следует уточнять на актуальную дату, поскольку они периодически пересматриваются.
4. Можно ли хранить персональные данные казахстанцев за границей?
Закон о персональных данных и их защите устанавливает требование локализации: персональные данные граждан Казахстана должны храниться и обрабатываться на серверах, физически расположенных на территории Республики Казахстан. Трансграничная передача данных допускается при соблюдении ряда условий: наличие согласия субъекта, обеспечение уровня защиты не ниже казахстанского, а также при передаче в страны, обеспечивающие адекватный уровень защиты. Оператор обязан убедиться, что получатель данных за рубежом соблюдает сопоставимые стандарты защиты. Использование иностранных облачных сервисов без соблюдения этих условий является нарушением. На практике многие компании используют гибридные решения: первичное хранение в Казахстане с возможностью резервного копирования за рубежом при соблюдении требований закона.
5. Как долго можно хранить персональные данные?
Казахстанское законодательство о персональных данных закрепляет принцип ограничения срока хранения: данные должны храниться не дольше, чем это необходимо для достижения целей их обработки. После достижения цели или по истечении установленного срока оператор обязан уничтожить или обезличить данные. Конкретные сроки хранения определяются либо законодательством (например, для кадровых документов — Трудовым кодексом РК, для бухгалтерских — налоговым законодательством), либо самим оператором в политике обработки персональных данных. Субъект данных вправе потребовать удаления своих данных, если основания для их хранения отпали. Оператор обязан вести учёт сроков хранения и обеспечить их соблюдение в технических системах.
6. Нужно ли получать согласие сотрудников на обработку их персональных данных?
Да, работодатель как оператор персональных данных обязан получить согласие сотрудника на обработку его персональных данных. Согласие должно быть конкретным, информированным и добровольным. На практике оно оформляется отдельным документом при приёме на работу или включается в трудовой договор в виде отдельного раздела. Важно, что согласие должно охватывать все цели обработки: кадровый учёт, расчёт заработной платы, передачу данных в государственные органы, использование систем контроля рабочего времени. Обработка данных сотрудников сверх согласованных целей является нарушением. Трудовой кодекс РК содержит дополнительные требования к обращению с персональными данными работников, которые применяются наряду с общим законом о персональных данных.
7. Что такое специальные категории персональных данных и как их обрабатывать?
Специальные категории персональных данных — это сведения, обработка которых требует повышенного уровня защиты в силу их чувствительного характера. К ним относятся данные о расовой и национальной принадлежности, политических взглядах, религиозных убеждениях, состоянии здоровья, судимостях и биометрические данные. Казахстанское законодательство устанавливает для таких данных более строгие требования: обработка допускается только при наличии явного согласия субъекта или в случаях, прямо предусмотренных законом. Медицинские организации, страховые компании и работодатели, обрабатывающие медицинские справки сотрудников, обязаны применять усиленные меры защиты. Нарушение режима обработки специальных категорий данных влечёт повышенную административную ответственность.
8. Обязан ли оператор разработать политику обработки персональных данных?
Да, разработка и публикация политики обработки персональных данных является обязательным требованием для операторов в Казахстане. Политика должна содержать: наименование и контакты оператора, цели и правовые основания обработки, перечень обрабатываемых данных, сроки хранения, порядок реализации прав субъектов, сведения о трансграничной передаче и меры защиты. Для операторов, имеющих сайт или мобильное приложение, политика должна быть размещена в открытом доступе — как правило, в виде ссылки в подвале сайта или при регистрации пользователя. Отсутствие политики или её несоответствие фактической практике обработки является нарушением. Рекомендуется ежегодно актуализировать политику с учётом изменений в деятельности компании и законодательстве.
9. Что происходит при утечке персональных данных?
При утечке персональных данных оператор в Казахстане обязан предпринять ряд мер. Прежде всего — локализовать инцидент и принять меры по минимизации ущерба. Далее — уведомить уполномоченный орган об инциденте в установленные сроки. В зависимости от масштаба утечки и категории затронутых данных может потребоваться уведомление самих субъектов данных. Оператор обязан провести внутреннее расследование, установить причины утечки и устранить уязвимости. Регулятор вправе провести проверку и привлечь оператора к административной ответственности. При наличии умысла или грубой халатности возможна уголовная ответственность должностных лиц. Наличие задокументированного плана реагирования на инциденты существенно снижает регуляторные риски.
10. Распространяется ли казахстанский закон о персональных данных на иностранные компании?
Закон о персональных данных и их защите распространяется на всех операторов, обрабатывающих персональные данные граждан и резидентов Казахстана, — вне зависимости от места регистрации оператора. Иностранная компания, которая предоставляет услуги казахстанским пользователям и собирает их данные, обязана соблюдать казахстанское законодательство о персональных данных. Это означает необходимость локализации данных, получения согласий, уведомления регулятора и обеспечения прав субъектов. На практике правоприменение в отношении иностранных компаний сложнее, однако риск санкций при работе через казахстанские юридические лица или при наличии местного представительства вполне реален. Иностранным компаниям, выходящим на казахстанский рынок, рекомендуется провести оценку соответствия до начала сбора данных.
11. Какие права есть у субъекта персональных данных в Казахстане?
Субъект персональных данных в Казахстане обладает комплексом прав, которые оператор обязан обеспечить. Во-первых, право на доступ: субъект вправе запросить у оператора информацию о том, какие его данные обрабатываются, с какой целью и кому передаются. Во-вторых, право на исправление неточных данных. В-третьих, право на удаление данных, если основания для их обработки отпали или субъект отозвал согласие. В-четвёртых, право на ограничение обработки в определённых случаях. Оператор обязан ответить на запрос субъекта в установленные законом сроки. Отказ в реализации прав или игнорирование запроса является нарушением и может стать основанием для жалобы в уполномоченный орган.
12. Нужно ли согласие на обработку данных, если они уже публичны?
Публичность персональных данных не означает автоматического согласия на любую их обработку. Если человек разместил свои контакты в открытом источнике для одной цели (например, для поиска работы), это не даёт оператору права использовать эти данные для других целей — скажем, для рассылки рекламы. Казахстанское законодательство требует, чтобы согласие было конкретным: оно должно охватывать именно те цели, для которых данные будут использоваться. Исключения предусмотрены для случаев, когда обработка необходима для исполнения договора, выполнения законного требования или защиты жизненно важных интересов субъекта. Во всех остальных случаях публичность данных не заменяет согласие.
13. Как правильно оформить согласие на обработку персональных данных?
Согласие на обработку персональных данных в Казахстане должно быть конкретным, информированным, добровольным и однозначным. Оно может быть оформлено в письменной форме с подписью субъекта или в электронной форме — через проставление галочки в чекбоксе при регистрации на сайте или в приложении. Заранее проставленные галочки, согласие «по умолчанию» или согласие, включённое в общие условия без выделения, не соответствуют требованиям закона. В тексте согласия должны быть указаны: цели обработки, перечень данных, срок действия согласия, порядок его отзыва. Субъект вправе отозвать согласие в любой момент, и оператор обязан прекратить обработку данных после получения такого отзыва.
14. Что такое обезличивание персональных данных и когда оно применяется?
Обезличивание персональных данных — это процедура, в результате которой данные утрачивают связь с конкретным физическим лицом и не позволяют его идентифицировать без дополнительной информации. После обезличивания данные перестают считаться персональными и выходят из-под действия специального режима защиты. Обезличивание применяется, когда оператор хочет использовать данные для аналитики, тестирования систем или исследований, не нарушая права субъектов. Важно отличать обезличивание от псевдонимизации: при псевдонимизации данные заменяются псевдонимом, но могут быть восстановлены — такие данные по-прежнему считаются персональными. Полное обезличивание должно быть необратимым. Оператор обязан задокументировать применяемые методы обезличивания.
15. Какие технические меры защиты персональных данных обязан принять оператор?
Казахстанское законодательство обязывает оператора принять технические и организационные меры, обеспечивающие защиту персональных данных от несанкционированного доступа, уничтожения, изменения, блокирования и распространения. Конкретный перечень мер законом не установлен — оператор определяет их самостоятельно исходя из характера обрабатываемых данных и рисков. Как правило, к обязательным мерам относятся: разграничение прав доступа к данным, шифрование при передаче и хранении, ведение журналов доступа, регулярное резервное копирование, антивирусная защита и обучение сотрудников. Для операторов, обрабатывающих специальные категории данных или большие объёмы, требования к защите выше. Регулятор при проверке оценивает не только наличие мер, но и их соответствие актуальным угрозам.
Выводы
Оператором персональных данных в Казахстане является любое лицо, самостоятельно определяющее цели и способы обработки данных — статус возникает автоматически, без регистрации. Обязанности оператора включают уведомление регулятора, получение согласий, локализацию данных и обеспечение прав субъектов. Нарушение требований Закона о персональных данных и их защите влечёт административную ответственность, размер которой исчисляется в МРП (4 325 тенге в 2026 году по состоянию на 2026 год).
Актуально на: 27 октября 2026 года.
Если ситуация требует внимания — мы поможем разобраться.
Смежные направления
Направление практики
Персональные данные и IT-право — соответствие Закону о персональных данных, трансграничная передача, аудит обработки и IT-договоры.