Нужно ли уведомлять уполномоченный орган об обработке данных в Казахстане: разъяснение
По казахстанскому законодательству большинство компаний, обрабатывающих персональные данные, обязаны уведомить уполномоченный орган до начала обработки — за исключением случаев, прямо предусмотренных Законом о персональных данных и их защите. Нарушение этого требования влечёт административную ответственность. Ниже — разъяснение: кто обязан уведомлять, в каком порядке и какие исключения существуют.
Если вы собственник бизнеса и не уверены, выполнены ли требования по персональным данным, — лучше проверить до проверки. Проверить обработку персональных данных · info@vetrovkz.com
Прямой ответ: кто обязан уведомлять и когда?
Обязанность уведомить уполномоченный орган возникает у оператора персональных данных до начала обработки — если деятельность не подпадает под законодательные исключения. Оператором признаётся любое лицо, которое самостоятельно определяет цели и порядок обработки данных: это большинство компаний, работающих с клиентами, сотрудниками или контрагентами в Казахстане.
Уполномоченный орган в сфере персональных данных — Министерство цифрового развития, инноваций и аэрокосмической промышленности Республики Казахстан (МЦРИАП). Уведомление направляется в электронном виде через портал eGov.kz или официальный сайт МЦРИАП. Форма содержит сведения об операторе, целях обработки, категориях данных, сроках хранения и мерах защиты.
Важно: уведомление — это не разовое действие. При изменении целей, категорий данных или иных существенных параметров обработки оператор обязан направить обновлённое уведомление. Сохраняйте подтверждение подачи — оно потребуется при проверке.
Если ваша компания обрабатывает данные клиентов или сотрудников, но уведомление в МЦРИАП ещё не направлено — это нарушение, которое устраняется до проверки.
Проверить обработку персональных данныхКакие исключения предусмотрены законом?
Закон о персональных данных и их защите содержит закрытый перечень случаев, когда уведомление уполномоченного органа не требуется. Перечень является исчерпывающим: расширительное толкование не допускается.
К типичным исключениям относятся: обработка данных исключительно в личных или семейных целях без распространения третьим лицам; обработка, осуществляемая в рамках деятельности, прямо предусмотренной законодательством (например, государственными органами в пределах их полномочий); ряд иных специальных случаев, установленных законом.
На практике большинство коммерческих компаний под исключения не подпадают. Если вы ведёте базу клиентов, обрабатываете данные сотрудников в HR-системе или используете CRM — с высокой вероятностью обязанность уведомления на вас распространяется. Проверить это можно только применительно к конкретной деятельности.
Что должно содержать уведомление?
Форма уведомления об обработке персональных данных в Казахстане стандартизирована. Оператор указывает: наименование и реквизиты организации; цели обработки персональных данных; категории субъектов и перечень обрабатываемых данных; правовые основания обработки; сроки хранения данных; описание технических и организационных мер защиты.
Отдельно указываются сведения о трансграничной передаче данных — если она осуществляется. Это важный элемент: требования к трансграничной передаче данных из Казахстана подробно рассмотрены в материале о трансграничной передаче персональных данных.
После подачи уведомления оператор вносится в реестр операторов персональных данных. Реестр является публичным. Отсутствие в реестре при фактической обработке данных — прямое нарушение закона.
Какова ответственность за нарушение порядка уведомления?
Нарушение обязанности уведомить уполномоченный орган образует самостоятельный состав административного правонарушения. Санкции исчисляются в МРП: в 2026 году МРП составляет 4 325 тенге (по состоянию на 2026 год). Для юридических лиц размер штрафов существенно выше, чем для физических и должностных лиц.
Помимо штрафа за нарушение порядка уведомления, при проверке могут быть выявлены и иные нарушения: отсутствие политики обработки данных, незаконная трансграничная передача, несоблюдение требований локализации. Каждое из них образует отдельный состав. Совокупность нарушений существенно увеличивает итоговую сумму санкций.
При повторных нарушениях размер санкций увеличивается. В отдельных случаях — при наличии умысла и существенного вреда субъектам данных — возможна уголовная ответственность по Уголовному кодексу РК.
Нужно ли согласие субъектов данных — и когда?
Согласие субъекта персональных данных — одно из нескольких законных оснований для обработки, но не единственное. Казахстанское законодательство допускает обработку без согласия, если она необходима для исполнения договора с субъектом, для соблюдения требований законодательства или в иных случаях, прямо предусмотренных законом.
Для обработки данных сотрудников в рамках трудовых отношений отдельное согласие, как правило, не требуется — достаточно трудового договора и требований Трудового кодекса РК. Однако для обработки в целях, выходящих за рамки трудовых отношений (маркетинг, публикация фото), согласие обязательно.
Согласие должно быть конкретным, информированным и добровольным. Практика «согласие по умолчанию» или «согласие, встроенное в договор мелким шрифтом» не соответствует требованиям закона. Подробнее о требованиях к договорам с работниками — в чек-листе по договорам ГПХ и трудовым договорам.
Как собственнику бизнеса выстроить соответствие требованиям?
Соответствие требованиям Закона о персональных данных и их защите строится на нескольких базовых элементах. Первый — инвентаризация: определите, какие данные вы обрабатываете, с какой целью и на каком основании. Второй — документация: политика обработки данных, внутреннее положение, формы согласий, договоры с контрагентами.
Третий элемент — уведомление МЦРИАП: направьте его до начала обработки или, если обработка уже ведётся, — как можно скорее. Четвёртый — технические меры: защита баз данных, разграничение доступа, журналирование операций. Пятый — назначение ответственного лица за организацию обработки данных.
Аудит персональных данных позволяет выявить несоответствия до проверки МЦРИАП и устранить их в рабочем режиме. Подробнее о практике БЕРІК в этой области — на странице Персональные данные и IT-право. Общий обзор аналитических материалов по теме — в разделе Аналитика.
Частые вопросы
1. Нужно ли уведомлять уполномоченный орган об обработке данных?
По казахстанскому законодательству обязанность уведомлять уполномоченный орган об обработке персональных данных существует, однако она распространяется не на все случаи. Закон о персональных данных и их защите устанавливает перечень исключений, при которых уведомление не требуется. Если ваша деятельность не подпадает под исключения, уведомление необходимо направить до начала обработки данных. Несоблюдение этого требования влечёт административную ответственность.
2. Какой штраф за нарушение закона о персональных данных?
Казахстанское законодательство предусматривает административную ответственность за нарушения в сфере персональных данных. Размер санкций зависит от характера нарушения: незаконная обработка данных, нарушение порядка уведомления, несоблюдение требований локализации — каждое из них образует самостоятельный состав. Санкции исчисляются в МРП (в 2026 году МРП составляет 4 325 тенге, по состоянию на 2026 год). Для юридических лиц штрафы существенно выше, чем для физических. При повторных нарушениях размер санкций увеличивается.
3. Можно ли хранить персональные данные казахстанцев за границей?
Закон о персональных данных и их защите устанавливает требование локализации: базы данных, содержащие персональные данные граждан Казахстана, должны находиться на серверах, расположенных на территории Республики Казахстан. Трансграничная передача данных допустима, но только при соблюдении ряда условий: наличие согласия субъекта, достаточный уровень защиты в стране-получателе или заключение соответствующего договора. Нарушение требований локализации — самостоятельное основание для привлечения к ответственности.
4. Как долго можно хранить персональные данные?
Казахстанское законодательство не устанавливает единый универсальный срок хранения персональных данных. Срок определяется целью обработки: данные должны храниться не дольше, чем это необходимо для достижения цели, ради которой они собирались. После достижения цели или отзыва согласия субъекта данные подлежат уничтожению или обезличиванию. Отдельные категории данных (например, кадровые документы) имеют специальные сроки хранения, установленные иными нормативными актами.
5. Нужно ли согласие на обработку данных сотрудников?
Обработка персональных данных работников в рамках трудовых отношений, как правило, допускается без отдельного согласия — если она необходима для исполнения трудового договора или требований законодательства. Однако для обработки данных в целях, выходящих за рамки трудовых отношений (например, публикация фото сотрудника в рекламных материалах), согласие обязательно. Работодателю рекомендуется закрепить порядок обработки данных во внутренних документах и ознакомить с ними работников под подпись.
6. Кто является уполномоченным органом по персональным данным в Казахстане?
Уполномоченным органом в сфере персональных данных в Казахстане является Министерство цифрового развития, инноваций и аэрокосмической промышленности Республики Казахстан (МЦРИАП). Именно в этот орган направляется уведомление об обработке персональных данных, и именно он осуществляет контроль за соблюдением требований Закона о персональных данных и их защите. Жалобы субъектов данных также рассматриваются МЦРИАП.
7. В какой форме подаётся уведомление об обработке персональных данных?
Уведомление об обработке персональных данных в Казахстане подаётся в уполномоченный орган в установленной форме — как правило, в электронном виде через портал eGov.kz или непосредственно через официальный сайт МЦРИАП. Форма уведомления содержит сведения об операторе, целях обработки, категориях данных, сроках хранения и мерах защиты. Рекомендуется сохранять подтверждение подачи уведомления — оно может потребоваться при проверке.
8. Какие исключения из обязанности уведомлять предусмотрены законом?
Закон о персональных данных и их защите предусматривает ряд случаев, когда уведомление уполномоченного органа не требуется. В частности, исключения распространяются на обработку данных исключительно в личных или семейных целях, на обработку в рамках деятельности, прямо предусмотренной законодательством, а также на ряд иных случаев. Перечень исключений является закрытым. Если ваша деятельность не подпадает ни под одно из них — уведомление обязательно.
9. Что такое оператор персональных данных по казахстанскому праву?
Оператором персональных данных по казахстанскому законодательству признаётся лицо — физическое или юридическое, — которое самостоятельно или совместно с другими лицами организует и осуществляет обработку персональных данных, а также определяет цели и содержание такой обработки. Большинство компаний, работающих с клиентами, сотрудниками или контрагентами, являются операторами и несут соответствующие обязанности по Закону о персональных данных и их защите.
10. Обязательно ли назначать ответственного за обработку персональных данных?
Казахстанское законодательство обязывает операторов определить лицо, ответственное за организацию обработки персональных данных. Это может быть штатный сотрудник или привлечённый специалист. Ответственное лицо обеспечивает соблюдение требований закона, взаимодействует с уполномоченным органом и субъектами данных. Отсутствие назначенного ответственного — нарушение, которое фиксируется при проверках МЦРИАП.
11. Нужно ли получать согласие на обработку данных клиентов при заключении договора?
Если обработка персональных данных клиента необходима для исполнения договора, заключённого с ним, отдельное согласие, как правило, не требуется — обработка в этом случае основана на договоре. Однако для обработки данных в иных целях (например, для маркетинговых рассылок) согласие обязательно. Согласие должно быть конкретным, информированным и добровольным. Рекомендуется оформлять его в письменной или электронной форме с возможностью подтверждения.
12. Что грозит за незаконную передачу персональных данных третьим лицам?
Незаконная передача персональных данных третьим лицам без согласия субъекта или иного законного основания является нарушением Закона о персональных данных и их защите. Это влечёт административную ответственность оператора. В отдельных случаях — при наличии умысла и существенного вреда — возможна уголовная ответственность по Уголовному кодексу РК. Субъект данных вправе требовать возмещения причинённого вреда в судебном порядке.
13. Распространяется ли казахстанский закон о персональных данных на иностранные компании?
Закон о персональных данных и их защите распространяется на операторов, осуществляющих обработку данных граждан Казахстана, вне зависимости от места регистрации оператора. Иностранная компания, собирающая или обрабатывающая данные казахстанских пользователей (например, через сайт или мобильное приложение), обязана соблюдать требования казахстанского законодательства, включая требования локализации и уведомления.
14. Как провести аудит обработки персональных данных в компании?
Аудит обработки персональных данных включает несколько этапов: инвентаризацию всех процессов, в которых участвуют персональные данные; проверку наличия правовых оснований для каждого вида обработки; анализ договоров с контрагентами на предмет условий о данных; оценку технических мер защиты; проверку наличия уведомления уполномоченного органа и внутренних политик. По результатам аудита формируется план устранения выявленных несоответствий.
15. Какие документы должны быть у оператора персональных данных?
Оператор персональных данных в Казахстане должен иметь как минимум следующий комплект документов: политику обработки персональных данных (публичный документ), внутреннее положение об обработке данных, формы согласий субъектов, перечень обрабатываемых данных с указанием целей и сроков, договоры с третьими лицами, которым передаются данные, а также подтверждение направления уведомления в МЦРИАП. Отсутствие любого из этих документов — типичное нарушение, выявляемое при проверках.
Выводы
Большинство казахстанских компаний, обрабатывающих данные клиентов или сотрудников, обязаны уведомить МЦРИАП до начала обработки. Исключения — закрытый перечень, и на практике коммерческие организации под них, как правило, не подпадают. Нарушение влечёт административную ответственность, а совокупность нарушений (отсутствие уведомления, политики, ответственного лица) существенно увеличивает итоговые санкции. Аудит персональных данных позволяет выявить и устранить несоответствия до проверки.
Актуально на: 1 января 2026 года.
Если ситуация требует внимания — мы поможем разобраться.
Смежные направления
Направление практики
Персональные данные и IT-право — соответствие Закону о персональных данных, трансграничная передача, аудит обработки и IT-договоры.