Нужно ли уведомлять уполномоченный орган об обработке данных в Казахстане: частые вопросы
В Казахстане большинство операторов персональных данных обязаны уведомить уполномоченный орган до начала обработки — это требование Закона о персональных данных и их защите. Исключения существуют, но они ограничены. Ниже — ответы на самые частые вопросы об уведомлении, порядке подачи, сроках, исключениях и ответственности за нарушения.
Не уверены, нужно ли вашей компании подавать уведомление? Проверить обработку персональных данных · info@vetrovkz.com
Что такое уведомление об обработке данных и кто его подаёт?
Уведомление об обработке персональных данных — это обязательное информирование уполномоченного государственного органа о том, что организация или индивидуальный предприниматель собирает, хранит или иным образом обрабатывает персональные данные. В Казахстане функции уполномоченного органа в сфере персональных данных выполняет Министерство цифрового развития, инноваций и аэрокосмической промышленности РК.
Обязанность уведомления распространяется на операторов персональных данных — юридических и физических лиц, которые самостоятельно или совместно с другими лицами организуют и осуществляют обработку данных. Это касается как казахстанских компаний, так и иностранных организаций, обрабатывающих данные граждан Республики Казахстан.
Уведомление подаётся до начала обработки данных — не после запуска продукта или сервиса, а заблаговременно. Форма подачи — электронная, через портал egov.kz. Бумажный вариант не предусмотрен в качестве основного способа.
Если ваша компания обрабатывает данные клиентов, пользователей или сотрудников — стоит проверить, соответствует ли текущая практика требованиям казахстанского законодательства.
Провести аудит персональных данныхКакие исключения предусмотрены: кому уведомлять не нужно?
Закон о персональных данных и их защите устанавливает закрытый перечень случаев, когда уведомление уполномоченного органа не требуется. Перечень ограничен — большинство коммерческих операторов под исключения не подпадают.
Уведомление, как правило, не требуется в следующих ситуациях:
- обработка данных осуществляется исключительно для личных или семейных нужд, без распространения третьим лицам;
- обработка данных сотрудников ведётся исключительно в рамках трудовых отношений и не предполагает передачи данных вовне;
- обработка данных осуществляется в целях однократного пропуска физического лица на охраняемую территорию;
- данные обрабатываются в составе государственных информационных систем, для которых установлен отдельный порядок.
Если деятельность компании не укладывается ни в одно из перечисленных исключений — уведомление обязательно. При сомнениях в применимости исключения безопаснее подать уведомление, чем рисковать административной ответственностью.
Каков порядок и форма подачи уведомления?
Уведомление подаётся в электронной форме через портал egov.kz с использованием электронной цифровой подписи (ЭЦП). Для юридических лиц используется ЭЦП руководителя или уполномоченного представителя; для индивидуальных предпринимателей — личная ЭЦП.
В уведомлении указываются: наименование и реквизиты оператора, цели обработки данных, категории субъектов и перечень обрабатываемых данных, сведения о мерах защиты, информация о трансграничной передаче (если применимо). Неполное или недостоверное уведомление приравнивается к его отсутствию.
После подачи уведомления оператор вносится в реестр операторов персональных данных. Реестр является публичным. Если сведения об операторе изменились — необходимо подать обновлённое уведомление в установленный срок.
Какие сроки установлены для уведомления и обновления сведений?
Уведомление подаётся до начала обработки персональных данных — это общее правило без исключений для «пробного» или «тестового» режима. Если компания уже обрабатывает данные без уведомления, нарушение считается длящимся с момента начала обработки.
При изменении сведений, указанных в уведомлении (смена целей обработки, новые категории данных, изменение мер защиты, начало трансграничной передачи), оператор обязан уведомить уполномоченный орган об изменениях. Срок для такого уведомления установлен законодательством — как правило, в течение нескольких рабочих дней с момента изменений.
При прекращении обработки данных оператор также обязан уведомить уполномоченный орган. Это важно для исключения из реестра и снятия соответствующих обязательств.
Что происходит при нарушении требований об уведомлении?
Нарушение требований об уведомлении уполномоченного органа влечёт административную ответственность по казахстанскому законодательству. Санкции предусмотрены как за непредоставление уведомления, так и за предоставление недостоверных сведений.
Размер штрафов исчисляется в месячных расчётных показателях (МРП) и дифференцирован в зависимости от субъекта нарушения: физическое лицо, должностное лицо или юридическое лицо несут разную ответственность. Повторное нарушение в течение года, как правило, влечёт более строгие санкции. Помимо штрафа, уполномоченный орган вправе выдать предписание об устранении нарушений.
Отдельно стоит отметить: нарушение требований к локализации данных, безопасности обработки или трансграничной передаче — самостоятельные составы нарушений, которые могут применяться параллельно с ответственностью за отсутствие уведомления.
Частые вопросы
1. Нужно ли уведомлять уполномоченный орган об обработке данных?
По казахстанскому законодательству большинство операторов персональных данных обязаны уведомить уполномоченный орган — Министерство цифрового развития, инноваций и аэрокосмической промышленности РК — до начала обработки данных. Уведомление подаётся в электронной форме через портал egov.kz. Исключения предусмотрены для ограниченного круга случаев: обработка данных исключительно для личных нужд, в рамках трудовых отношений без передачи третьим лицам, а также в ряде иных ситуаций, прямо указанных в Законе о персональных данных и их защите. Если ваша компания обрабатывает данные клиентов, пользователей или партнёров — уведомление, как правило, обязательно.
2. Какой штраф за нарушение закона о персональных данных?
Казахстанское законодательство предусматривает административную ответственность за нарушения в сфере персональных данных. Санкции дифференцированы в зависимости от характера нарушения: незаконная обработка данных, непредоставление уведомления, нарушение требований к локализации или безопасности данных влекут штрафы, исчисляемые в месячных расчётных показателях. Повторные нарушения, как правило, влекут более строгие санкции. Для точного расчёта актуального размера штрафа рекомендуется обратиться к юристу, поскольку суммы привязаны к МРП и ежегодно пересматриваются (МРП в 2026 году составляет 4 325 тенге, по состоянию на 2026 год).
3. Можно ли хранить персональные данные казахстанцев за границей?
Закон о персональных данных и их защите устанавливает требование локализации: персональные данные граждан Казахстана должны храниться и обрабатываться на серверах, физически расположенных на территории Республики Казахстан. Трансграничная передача данных допустима при соблюдении ряда условий — в частности, при наличии согласия субъекта данных или при передаче в страны с адекватным уровнем защиты персональных данных. Нарушение требований локализации является самостоятельным основанием для привлечения к ответственности и не перекрывается фактом подачи уведомления. Облачные сервисы с серверами за рубежом требуют отдельной правовой оценки.
4. Как долго можно хранить персональные данные?
Казахстанское законодательство не устанавливает единого универсального срока хранения персональных данных. Общий принцип: данные хранятся не дольше, чем это необходимо для достижения целей обработки, либо в течение срока, установленного договором или законодательством для конкретной категории данных. По истечении срока данные подлежат уничтожению или обезличиванию. Для кадровых документов, бухгалтерских записей и ряда других категорий действуют специальные сроки хранения, установленные отраслевым законодательством. Хранение данных «на всякий случай» без определённой цели является нарушением принципа минимизации данных.
5. Нужно ли согласие на обработку данных сотрудников?
Обработка персональных данных сотрудников в рамках трудовых отношений в Казахстане в большинстве случаев осуществляется на основании Трудового кодекса РК без отдельного согласия работника — если обработка необходима для исполнения трудового договора. Однако для обработки данных в целях, выходящих за рамки трудовых отношений (например, публикация фотографий сотрудника, передача данных третьим лицам, использование биометрии), согласие работника обязательно. Согласие должно быть добровольным, конкретным и информированным — общая формулировка в трудовом договоре, как правило, недостаточна.
6. Распространяется ли требование об уведомлении на иностранные компании?
Требования казахстанского законодательства о персональных данных распространяются на операторов, обрабатывающих данные граждан Республики Казахстан, вне зависимости от места регистрации оператора. Иностранная компания, предоставляющая услуги казахстанским пользователям и собирающая их данные, формально подпадает под действие Закона о персональных данных и их защите. На практике степень правоприменения в отношении иностранных операторов варьируется, однако риск ответственности существует — особенно при наличии представительства или аффилированного лица в Казахстане.
7. Что такое реестр операторов персональных данных?
Реестр операторов персональных данных — публичная база данных, которую ведёт уполномоченный орган. После подачи уведомления оператор вносится в реестр; сведения доступны для проверки. Наличие в реестре подтверждает, что оператор выполнил обязанность по уведомлению. Отсутствие в реестре при фактической обработке данных — признак нарушения, который может быть выявлен в ходе проверки уполномоченного органа или по жалобе субъекта данных. Реестр также используется при проведении due diligence при сделках M&A.
8. Нужно ли уведомление при обработке данных через мобильное приложение?
Мобильное приложение, собирающее персональные данные пользователей (имя, email, геолокация, идентификаторы устройства и т.д.), является инструментом обработки персональных данных. Компания-разработчик или владелец приложения выступает оператором и обязана подать уведомление уполномоченному органу до запуска приложения в публичный доступ. Политика конфиденциальности приложения — обязательный, но недостаточный элемент: она не заменяет уведомление уполномоченного органа. Отдельно следует оценить вопросы локализации данных, если приложение использует зарубежную облачную инфраструктуру.
9. Что такое трансграничная передача данных и когда она допустима?
Трансграничная передача персональных данных — это передача данных за пределы территории Республики Казахстан, в том числе через облачные сервисы с зарубежными серверами. Такая передача допустима при наличии согласия субъекта данных, при передаче в страны с адекватным уровнем защиты данных, либо в иных случаях, предусмотренных законодательством. Перечень стран с адекватным уровнем защиты определяется уполномоченным органом. Передача данных в страны, не включённые в перечень, без согласия субъекта является нарушением и влечёт ответственность оператора.
10. Как получить согласие на обработку персональных данных?
Согласие на обработку персональных данных в Казахстане должно быть добровольным, конкретным, информированным и однозначным. Допустимые формы: письменное согласие с подписью, электронное согласие с использованием ЭЦП или иного подтверждения личности, а также согласие через интерфейс сайта или приложения — при условии, что пользователь совершил активное действие (не предзаполненный чекбокс). Согласие должно содержать: цели обработки, перечень данных, срок действия, информацию об операторе и праве на отзыв. Молчание или бездействие согласием не считается.
11. Можно ли отозвать согласие на обработку данных?
Субъект персональных данных вправе в любой момент отозвать ранее данное согласие на обработку данных. После получения отзыва оператор обязан прекратить обработку и уничтожить данные, если иное не предусмотрено законодательством (например, при наличии обязательных сроков хранения). Оператор не вправе ставить предоставление услуги в зависимость от согласия на обработку данных, не связанных с оказанием этой услуги. Механизм отзыва согласия должен быть простым и доступным — не сложнее, чем механизм его предоставления.
12. Нужна ли политика конфиденциальности на сайте?
Наличие политики конфиденциальности на сайте — обязательное требование для операторов, собирающих данные через интернет-ресурсы. Политика должна быть доступна до начала сбора данных, написана понятным языком и содержать: цели и правовые основания обработки, перечень собираемых данных, сведения об операторе, порядок реализации прав субъектов, информацию о трансграничной передаче и сроках хранения. Политика конфиденциальности не заменяет уведомление уполномоченного органа — это два самостоятельных требования законодательства.
13. Какие права есть у субъекта персональных данных?
Субъект персональных данных в Казахстане вправе: получить информацию об обработке своих данных; потребовать исправления неточных данных; потребовать прекращения обработки и уничтожения данных при отсутствии законных оснований для их хранения; отозвать согласие; обжаловать действия оператора в уполномоченный орган или суд. Оператор обязан ответить на обращение субъекта в установленный срок. Игнорирование обращений субъектов данных является самостоятельным нарушением и может стать основанием для жалобы в уполномоченный орган.
14. Что такое обезличивание данных и когда оно применяется?
Обезличивание персональных данных — это процедура, в результате которой данные утрачивают связь с конкретным физическим лицом и не позволяют его идентифицировать без использования дополнительной информации. Обезличенные данные выводятся из-под действия законодательства о персональных данных. Обезличивание применяется при истечении срока хранения данных, при необходимости использования данных в аналитических или статистических целях, а также как альтернатива уничтожению. Псевдонимизация (замена имени на код) обезличиванием не является, если оператор сохраняет ключ соответствия.
15. Как проверить, соответствует ли компания требованиям закона о персональных данных?
Проверка соответствия (аудит персональных данных) включает несколько ключевых блоков: наличие уведомления уполномоченного органа и актуальность сведений в реестре; наличие и содержание политики конфиденциальности; наличие согласий субъектов данных и механизма их отзыва; соответствие инфраструктуры требованиям локализации; наличие договоров с обработчиками данных; меры технической и организационной защиты. По итогам аудита формируется перечень нарушений и план их устранения. Рекомендуется проводить аудит при запуске нового продукта, при изменении бизнес-процессов и не реже одного раза в год.
Выводы
Уведомление уполномоченного органа об обработке персональных данных — обязательное требование казахстанского законодательства для большинства операторов. Исключения ограничены и не охватывают типичную коммерческую деятельность. Нарушение влечёт административную ответственность, а параллельно могут применяться санкции за нарушение требований локализации, безопасности и трансграничной передачи данных.
Актуально на: 5 января 2026 года.
Если ситуация требует внимания — мы поможем разобраться.
Смежные направления
Направление практики
Персональные данные и IT-право — соответствие Закону о персональных данных, трансграничная передача, аудит обработки и IT-договоры.