Кто считается оператором персональных данных в Казахстане
Оператором персональных данных в Казахстане считается любое лицо — физическое или юридическое, — которое самостоятельно или совместно с другими организует и осуществляет обработку персональных данных. Под это определение подпадает практически любой бизнес: от интернет-магазина с базой покупателей до работодателя, ведущего кадровый учёт. Казахстанское законодательство не делает исключений по масштабу компании или отрасли.
Не уверены, является ли ваша компания оператором персональных данных и какие обязанности из этого следуют? Проверить обработку персональных данных · info@vetrovkz.com
Что означает статус оператора персональных данных?
Оператор персональных данных — это лицо, которое определяет цели и способы обработки данных. Именно оператор решает: какие данные собирать, зачем, как долго хранить и кому передавать. Это ключевое отличие от третьего лица, которое обрабатывает данные по чужому поручению.
Закон о персональных данных и их защите устанавливает широкое определение оператора. Под него подпадают: компании с базами клиентов в CRM; работодатели, ведущие кадровый учёт; медицинские организации, хранящие данные пациентов; банки и финансовые организации; интернет-сервисы, собирающие данные пользователей.
Важно понимать: статус оператора возникает автоматически — с момента, когда компания начинает обрабатывать данные физических лиц. Регистрация или уведомление регулятора для этого не требуются. Вместе со статусом возникают и обязанности — независимо от того, знает о них собственник бизнеса или нет.
Если ваша компания передаёт данные клиентов или сотрудников подрядчикам — важно правильно оформить эти отношения и разграничить ответственность.
Проверить обработку персональных данныхКакие обязанности несёт оператор по казахстанскому праву?
Оператор персональных данных в Казахстане несёт полный комплекс обязанностей по защите данных субъектов. Центральная из них — обеспечить законность обработки: наличие правового основания (согласие, договор или прямое указание закона) для каждой категории обрабатываемых данных.
Ключевые обязанности оператора:
- разработать и опубликовать политику обработки персональных данных;
- получить согласие субъектов там, где оно требуется;
- обеспечить хранение данных на серверах в Казахстане;
- ограничить срок хранения данных целями обработки;
- реагировать на запросы субъектов об их правах.
Отдельная обязанность — обеспечить технические и организационные меры защиты данных от несанкционированного доступа, утечки или уничтожения. При инциденте оператор обязан уведомить уполномоченный орган и при необходимости — пострадавших субъектов.
Чем оператор отличается от третьего лица, обрабатывающего данные?
Оператор определяет цели обработки самостоятельно. Третье лицо — обрабатывает данные по поручению оператора, в его интересах и в рамках установленных им условий. Это разграничение принципиально: оператор несёт основную ответственность перед субъектами и регулятором.
Практический пример: компания-работодатель является оператором данных своих сотрудников. Если она передаёт расчёт зарплаты на аутсорсинг — бухгалтерская фирма выступает третьим лицом. Отношения между ними должны быть оформлены договором, закрепляющим обязанности по защите данных.
Граница между оператором и третьим лицом может быть размытой. Если подрядчик начинает самостоятельно определять, как использовать полученные данные — в своих целях, не связанных с поручением, — он фактически становится самостоятельным оператором. Это создаёт риски для обеих сторон: оператор утрачивает контроль над данными, подрядчик принимает на себя обязанности, к которым может быть не готов.
Распространяется ли закон на малый бизнес и ИП?
Казахстанский Закон о персональных данных и их защите не устанавливает порогов по размеру бизнеса или численности сотрудников. Индивидуальный предприниматель с базой из ста клиентов является оператором наравне с крупной корпорацией.
На практике это означает: любой бизнес, у которого есть сайт с формой обратной связи, CRM-система, база рассылки или кадровый учёт, — уже обрабатывает персональные данные и несёт соответствующие обязанности. Масштаб влияет лишь на сложность требуемых мер защиты, но не на сам факт их наличия.
Для малого бизнеса минимальный комплект документов включает: политику обработки персональных данных, форму согласия для клиентов и сотрудников, регламент уничтожения данных по истечении срока хранения. Отсутствие этих документов — наиболее частое нарушение, выявляемое при проверках.
Какие данные считаются персональными и требуют защиты?
Персональные данные по казахстанскому праву — любая информация, позволяющая идентифицировать конкретное физическое лицо. Это широкое определение охватывает значительно больше, чем принято считать в бизнес-среде.
К персональным данным относятся: имя, ИИН, адрес, телефон, email, IP-адрес, данные о местоположении, биометрические данные, сведения о здоровье и финансовом положении. Закон выделяет особые категории — биометрические и медицинские данные, данные о судимостях — для которых установлены повышенные требования к обработке.
Данные юридических лиц — БИН, наименование, реквизиты — персональными не являются. Однако данные конкретных сотрудников контрагента (имя, телефон, email) — уже персональные данные физических лиц, и их обработка требует правового основания. Это разграничение важно для B2B-компаний, ведущих базы контактов.
Что грозит оператору за нарушение требований закона?
Административная ответственность за нарушения в сфере персональных данных предусмотрена казахстанским законодательством. Санкции исчисляются в МРП — в 2026 году МРП составляет 4 325 тенге (по состоянию на 2026 год). Размер штрафа зависит от характера нарушения и категории субъекта.
Наиболее распространённые основания для привлечения к ответственности: незаконная обработка данных без правового основания; нарушение требований к локализации данных; непредоставление информации субъекту по его запросу; отсутствие политики обработки персональных данных. Каждое из этих нарушений может квалифицироваться отдельно.
Помимо штрафов, регулятор вправе выдать предписание об устранении нарушений. При повторных нарушениях санкции увеличиваются. Для компаний, работающих с большими массивами данных, совокупный размер санкций по нескольким эпизодам может быть существенным. Репутационные последствия утечки данных нередко превышают размер административного штрафа.
Частые вопросы
1. Кто считается оператором персональных данных в Казахстане?
Оператором персональных данных в Казахстане считается любое физическое или юридическое лицо, которое самостоятельно или совместно с другими лицами организует и осуществляет обработку персональных данных. Это определение закреплено в Законе о персональных данных и их защите. На практике оператором является практически любой бизнес: интернет-магазин, собирающий данные покупателей; работодатель, ведущий кадровый учёт; медицинская клиника, хранящая карты пациентов; банк, обрабатывающий данные клиентов. Ключевой критерий — факт организации обработки данных, а не масштаб бизнеса или отрасль. Даже небольшое ТОО с пятью сотрудниками и базой клиентов в CRM формально является оператором и несёт соответствующие обязанности по казахстанскому законодательству.
2. Нужно ли уведомлять уполномоченный орган об обработке данных?
Казахстанское законодательство о персональных данных не предусматривает обязательной предварительной регистрации операторов в уполномоченном органе — в отличие от ряда других юрисдикций. Однако оператор обязан вести внутреннюю документацию: политику обработки персональных данных, согласия субъектов, регламенты хранения и уничтожения данных. При проверке уполномоченный орган вправе запросить эти документы. Отсутствие надлежащей документации само по себе является нарушением. Кроме того, в случае утечки данных оператор обязан уведомить уполномоченный орган и пострадавших субъектов в установленные сроки. Требования к уведомлению об утечках ужесточились в последние годы, поэтому наличие плана реагирования на инциденты — не рекомендация, а необходимость для любого оператора.
3. Какой штраф за нарушение закона о персональных данных?
Административная ответственность за нарушения в сфере персональных данных в Казахстане предусмотрена Кодексом об административных правонарушениях. Размер санкций зависит от характера нарушения: незаконная обработка данных, нарушение требований к хранению, непредоставление информации субъекту данных — каждое из этих нарушений влечёт отдельный штраф. Санкции исчисляются в МРП (в 2026 году МРП составляет 4 325 тенге, по состоянию на 2026 год). Для должностных лиц и субъектов малого бизнеса штрафы ниже, для крупных организаций — существенно выше. Помимо штрафов, возможно предписание об устранении нарушений. При повторных нарушениях санкции увеличиваются. Для бизнеса, работающего с большими массивами данных, совокупный размер штрафов по нескольким эпизодам может быть значительным.
4. Можно ли хранить персональные данные казахстанцев за границей?
Закон о персональных данных и их защите устанавливает требование локализации: персональные данные граждан Казахстана должны храниться и обрабатываться на серверах, физически расположенных на территории Республики Казахстан. Трансграничная передача данных допустима только при соблюдении ряда условий: наличие согласия субъекта, достаточный уровень защиты данных в стране-получателе или наличие соответствующего договора между операторами. На практике это означает, что использование зарубежных облачных сервисов для хранения данных казахстанских пользователей без локальной копии создаёт правовой риск. Многие компании решают этот вопрос через гибридную архитектуру: основное хранилище — в Казахстане, зарубежные сервисы — только для обработки обезличенных данных.
5. Как долго можно хранить персональные данные?
Казахстанское законодательство устанавливает принцип ограничения срока хранения: персональные данные должны храниться не дольше, чем это необходимо для достижения целей обработки. После достижения цели или отзыва согласия субъекта данные подлежат уничтожению или обезличиванию. Конкретные сроки зависят от категории данных и отрасли: кадровые документы — по нормам архивного законодательства (как правило, несколько лет после увольнения); данные клиентов — на период действия договора плюс срок исковой давности; данные, собранные на основании согласия, — до его отзыва. Оператор обязан закрепить сроки хранения во внутренней политике и обеспечить их соблюдение технически. Хранение данных «на всякий случай» без определённой цели и срока — типичное нарушение, которое выявляется при проверках.
6. Чем оператор отличается от третьего лица, обрабатывающего данные?
Оператор — это тот, кто определяет цели и способы обработки персональных данных. Третье лицо (в международной практике — обработчик или процессор) обрабатывает данные по поручению оператора и в его интересах. Например, компания-работодатель является оператором в отношении данных своих сотрудников. Если она передаёт расчёт зарплаты на аутсорсинг бухгалтерской фирме — та выступает третьим лицом. Ключевое различие: оператор несёт основную ответственность перед субъектами данных и регулятором. Третье лицо обязано соблюдать условия договора с оператором и требования закона, но не определяет цели обработки самостоятельно. На практике граница бывает размытой: если подрядчик самостоятельно решает, как использовать полученные данные, он фактически становится оператором со всеми вытекающими обязанностями.
7. Какие данные считаются персональными по казахстанскому праву?
Персональные данные по казахстанскому законодательству — это любая информация, относящаяся к определённому или определяемому физическому лицу. Это широкое определение охватывает: имя, ИИН, адрес, телефон, email, IP-адрес, данные о местоположении, биометрические данные, сведения о здоровье, финансовое положение, трудовую историю. Закон выделяет особые категории данных, требующие повышенной защиты: биометрические, медицинские, данные о судимостях. Их обработка допустима только при наличии прямого согласия субъекта или в случаях, прямо предусмотренных законом. На практике собственники бизнеса нередко недооценивают объём данных, которые они обрабатывают: CRM-система, форма обратной связи на сайте, корпоративная почта — всё это источники персональных данных, требующие правового оформления.
8. Нужно ли согласие на обработку данных сотрудников?
Обработка персональных данных сотрудников в рамках трудовых отношений в Казахстане допустима без отдельного согласия — в той мере, в какой это необходимо для исполнения трудового договора и требований законодательства. Работодатель вправе обрабатывать данные, необходимые для кадрового учёта, расчёта зарплаты, социального страхования. Однако для обработки данных, выходящей за эти рамки — например, видеонаблюдение, мониторинг переписки, передача данных третьим лицам — согласие сотрудника, как правило, необходимо. Важно: согласие должно быть добровольным. Если сотрудник подписывает согласие под давлением или как условие трудоустройства, его правовая сила может быть оспорена. Рекомендуется разграничивать обработку данных в рамках трудового договора и за его пределами — и оформлять последнюю отдельным документом.
9. Что должна содержать политика обработки персональных данных?
Политика обработки персональных данных — обязательный документ для любого оператора в Казахстане. Она должна содержать: наименование и контакты оператора; цели обработки данных; перечень обрабатываемых категорий данных; правовые основания обработки (согласие, договор, закон); сроки хранения данных; порядок реализации прав субъектов (доступ, исправление, удаление); условия передачи данных третьим лицам и за рубеж; меры по защите данных. Политика должна быть размещена в открытом доступе — как правило, на сайте компании. Документ не должен быть формальным: регулятор при проверке оценивает соответствие реальных процессов задекларированным. Политика, скопированная из интернета без адаптации под реальные процессы компании, создаёт риск, а не защиту.
10. Распространяется ли казахстанский закон о персональных данных на иностранные компании?
Казахстанский Закон о персональных данных и их защите распространяется на операторов, осуществляющих обработку данных граждан Казахстана, — вне зависимости от места регистрации оператора. Иностранная компания, которая собирает данные казахстанских пользователей через сайт, мобильное приложение или иной сервис, формально подпадает под действие казахстанского законодательства. На практике правоприменение в отношении иностранных операторов ограничено, однако риск существует — особенно если компания имеет представительство или дочернюю структуру в Казахстане. Для иностранных инвесторов, выходящих на казахстанский рынок, это означает необходимость оценить соответствие своих глобальных процессов обработки данных требованиям казахстанского права ещё на этапе входа на рынок.
11. Какие права есть у субъекта персональных данных в Казахстане?
Субъект персональных данных в Казахстане вправе: получить информацию о том, какие его данные обрабатываются и с какой целью; потребовать исправления неточных данных; отозвать согласие на обработку; потребовать прекращения обработки или уничтожения данных в случаях, предусмотренных законом; обжаловать действия оператора в уполномоченный орган или суд. Оператор обязан ответить на запрос субъекта в установленные сроки. Игнорирование запросов — самостоятельное нарушение. Для бизнеса это означает необходимость выстроить процедуру обработки обращений субъектов: назначить ответственное лицо, установить сроки ответа, зафиксировать порядок в политике. Отсутствие такой процедуры выявляется при первой же жалобе субъекта в регулятор.
12. Нужен ли ответственный за защиту персональных данных в компании?
Казахстанское законодательство о персональных данных не устанавливает обязательного требования о назначении специального должностного лица — аналога DPO (Data Protection Officer) в европейском праве. Однако на практике оператор обязан обеспечить исполнение требований закона, что предполагает наличие ответственного лица де-факто. Крупные компании, обрабатывающие значительные массивы данных, как правило, назначают ответственного за защиту данных — юриста, специалиста по информационной безопасности или выделенного сотрудника. Для среднего бизнеса эту функцию нередко совмещает юрист или руководитель IT-подразделения. Отсутствие ответственного лица при проверке свидетельствует об организационных пробелах в системе защиты данных и может усугубить оценку нарушений регулятором.
13. Что происходит при утечке персональных данных?
При утечке персональных данных оператор в Казахстане обязан предпринять ряд мер: немедленно локализовать инцидент и минимизировать ущерб; уведомить уполномоченный орган; при необходимости — уведомить пострадавших субъектов. Параллельно возникает риск административной ответственности, если утечка стала следствием нарушения требований к защите данных. Если утечка произошла по вине третьего лица, которому оператор передал данные, ответственность оператора перед субъектами от этого не снимается — оператор отвечает за выбор надёжного подрядчика и надлежащее оформление договора. Для минимизации рисков рекомендуется заранее разработать план реагирования на инциденты: кто уведомляет регулятора, в какие сроки, какие данные фиксируются. Наличие такого плана при проверке свидетельствует о добросовестности оператора.
14. Как оформить согласие на обработку персональных данных?
Согласие на обработку персональных данных в Казахстане должно быть конкретным, информированным и добровольным. Закон допускает как письменную, так и электронную форму согласия — при условии, что оно однозначно идентифицирует субъекта и содержит перечень данных, цели обработки, срок действия и порядок отзыва. Типичные ошибки: согласие «на всё» без конкретизации целей; предзаполненные чекбоксы на сайте; согласие, включённое мелким шрифтом в пользовательское соглашение без явного акцепта. Каждая из этих практик создаёт риск признания согласия недействительным. Для интернет-бизнеса рекомендуется отдельный чекбокс для согласия на обработку данных — не совмещённый с принятием условий использования сервиса. Хранить подтверждение согласия необходимо на весь период обработки данных.
15. Применяется ли закон о персональных данных к данным юридических лиц?
Нет, казахстанский Закон о персональных данных и их защите распространяется исключительно на данные физических лиц. Информация о юридических лицах — наименование, БИН, адрес, реквизиты — не является персональными данными в смысле этого закона и не требует получения согласия на обработку. Однако на практике граница нередко размыта: данные индивидуального предпринимателя могут одновременно быть данными физического лица — особенно если речь идёт об ИИН, адресе проживания или личном телефоне. В таких случаях рекомендуется применять требования закона о персональных данных. Для B2B-компаний это означает: базы данных контрагентов-юрлиц не требуют согласия, но базы контактов конкретных сотрудников (имя, телефон, email) — уже персональные данные, и их обработка должна быть оформлена надлежащим образом.
Выводы
Оператором персональных данных в Казахстане является любой бизнес, который собирает, хранит или иным образом обрабатывает данные физических лиц — вне зависимости от размера компании и отрасли. Статус оператора возникает автоматически и влечёт комплекс обязанностей: разработка документации, получение согласий, локализация данных, реагирование на запросы субъектов и инциденты. Нарушение требований закона влечёт административную ответственность, размер которой исчисляется в МРП (4 325 тенге в 2026 году, по состоянию на 2026 год). Для собственника бизнеса практичный первый шаг — провести аудит: какие данные обрабатывает компания, на каком основании и соответствует ли это требованиям казахстанского законодательства.
Актуально на: 8 сентября 2026 года.
Если ситуация требует внимания — мы поможем разобраться.
Смежные направления
Направление практики
Персональные данные и IT-право — соответствие Закону о персональных данных, трансграничная передача, аудит обработки и IT-договоры.