Нужно ли уведомлять уполномоченный орган об обработке данных в Казахстане: 5 ключевых вопросов
По казахстанскому законодательству большинство операторов персональных данных обязаны уведомлять уполномоченный орган до начала обработки — исключения строго ограничены. Ниже — пять вопросов, которые чаще всего возникают у бизнеса при выстраивании работы с персональными данными в Казахстане.
Не уверены, нужно ли вашей компании уведомлять уполномоченный орган? Проверить обработку персональных данных · info@vetrovkz.com
Нужно ли уведомлять уполномоченный орган об обработке данных?
Да — по общему правилу казахстанского законодательства оператор персональных данных обязан уведомить уполномоченный орган до начала обработки. Уведомление подаётся в электронной форме через портал egov.kz; бумажный вариант не предусмотрен.
Уполномоченный орган в сфере персональных данных — Министерство цифрового развития, инноваций и аэрокосмической промышленности РК. Именно туда направляется уведомление, и именно это ведомство ведёт реестр операторов.
Закон о персональных данных и их защите предусматривает ряд исключений. Уведомление не требуется, если обработка ведётся исключительно в личных целях, не затрагивает публичную сферу, либо если данные составляют государственные секреты. Журналисты, обрабатывающие данные в профессиональных целях, также освобождены от уведомления — при соблюдении установленных условий.
На практике большинство компаний, работающих с клиентскими базами, кадровыми данными или данными пользователей цифровых сервисов, под исключения не подпадают. Рекомендуется провести аудит обрабатываемых данных и сверить перечень оснований для освобождения с актуальной редакцией закона.
Если ваша компания уже обрабатывает персональные данные, но уведомление не подавалось — это нарушение, которое можно устранить до проверки.
Проверить обработку персональных данныхКаков порядок подачи уведомления и какие сведения в нём указываются?
Уведомление подаётся через портал egov.kz с использованием электронной цифровой подписи (ЭЦП) уполномоченного представителя организации. Форма уведомления утверждена уполномоченным органом и включает несколько обязательных блоков.
В уведомлении указываются: наименование и реквизиты оператора, цели обработки персональных данных, категории субъектов и перечень обрабатываемых данных, правовые основания обработки, сведения о мерах защиты, а также информация о трансграничной передаче данных — если она осуществляется.
Уведомление подаётся однократно до начала обработки. При изменении существенных параметров — например, при расширении перечня обрабатываемых данных или смене целей — оператор обязан направить обновлённое уведомление. Сроки направления обновлений установлены законодательством.
Какие исключения из обязанности уведомлять предусмотрены законом?
Закон о персональных данных и их защите содержит закрытый перечень случаев, когда уведомление уполномоченного органа не требуется. Перечень является исчерпывающим — расширительное толкование не допускается.
Основные исключения охватывают следующие ситуации: обработка данных физическим лицом исключительно в личных целях без распространения третьим лицам; обработка данных, отнесённых к государственным секретам; обработка данных в рамках деятельности средств массовой информации при соблюдении установленных ограничений.
Важно понимать: исключение «для личных целей» не распространяется на предпринимательскую деятельность. Если ИП или ТОО собирает данные клиентов — даже в небольшом объёме — это уже не личная цель, и уведомление обязательно.
На практике компании нередко ошибочно полагают, что обработка данных собственных сотрудников освобождает от уведомления. Это не так: кадровая обработка данных также подпадает под общий режим, если иное прямо не предусмотрено законом.
Можно ли хранить персональные данные казахстанцев за границей?
Казахстанское законодательство устанавливает требование локализации: персональные данные граждан Республики Казахстан должны собираться, обрабатываться и храниться на серверах, физически расположенных на территории Казахстана.
Трансграничная передача данных допустима при одновременном соблюдении нескольких условий. Во-первых, субъект данных должен дать согласие на передачу за рубеж — отдельное, явное и информированное. Во-вторых, принимающая сторона должна обеспечивать уровень защиты не ниже казахстанского стандарта. В-третьих, оператор обязан отразить факт трансграничной передачи в уведомлении уполномоченного органа.
Компании, использующие зарубежные облачные платформы — AWS, Google Cloud, Microsoft Azure и аналогичные — обязаны либо настроить хранение казахстанских данных на локальных узлах, либо получить надлежащее правовое основание для передачи. Простое согласие пользователя с пользовательским соглашением, как правило, недостаточно.
Нужно ли согласие на обработку данных сотрудников и клиентов?
Согласие субъекта данных — одно из нескольких правовых оснований для обработки, предусмотренных Законом о персональных данных и их защите. Оно не является единственным и не всегда обязательным.
Для сотрудников: обработка данных, необходимая для исполнения трудового договора и выполнения требований трудового законодательства, допускается без отдельного согласия. Работодатель вправе обрабатывать данные для кадрового учёта, начисления заработной платы, социального страхования. Однако публикация фотографий, передача данных третьим лицам или использование в маркетинговых целях требуют согласия.
Для клиентов: если обработка необходима для исполнения договора с клиентом — согласие, как правило, не нужно. Если же данные используются для целей, выходящих за рамки договора (например, рассылки, профилирование, передача партнёрам) — согласие обязательно. Оно должно быть конкретным, добровольным и отзываемым.
Форма согласия законодательно не ограничена: допустимы письменная, электронная и иные формы, позволяющие подтвердить факт его получения. На практике рекомендуется фиксировать согласие способом, обеспечивающим доказательную базу на случай проверки или спора.
Частые вопросы
1. Нужно ли уведомлять уполномоченный орган об обработке данных?
По казахстанскому законодательству большинство операторов персональных данных обязаны уведомить уполномоченный орган до начала обработки. Уведомление подаётся через портал egov.kz с использованием ЭЦП. Исключения — строго ограниченный перечень: личные цели физического лица, государственные секреты, отдельные случаи журналистской деятельности. Если ваша организация собирает данные клиентов, сотрудников или пользователей — уведомление, как правило, обязательно. Рекомендуется проверить, подпадает ли ваша деятельность под исключения, до начала обработки, а не после получения предписания.
2. Какой штраф за нарушение закона о персональных данных?
Нарушение требований Закона о персональных данных и их защите влечёт административную ответственность. Размер штрафа исчисляется в МРП — в 2026 году МРП составляет 4 325 тенге (по состоянию на 2026 год). Конкретный размер зависит от состава нарушения и категории субъекта: для должностных лиц он ниже, для крупных организаций — существенно выше. Помимо штрафа, уполномоченный орган вправе выдать предписание об устранении нарушений с установленным сроком исполнения. При систематических нарушениях или причинении значительного ущерба субъектам данных возможно возбуждение уголовного дела по соответствующим составам Уголовного кодекса РК.
3. Можно ли хранить персональные данные казахстанцев за границей?
По общему правилу — нет: казахстанское законодательство требует хранить персональные данные граждан РК на серверах, расположенных на территории Казахстана. Трансграничная передача допустима при наличии согласия субъекта, обеспечении надлежащего уровня защиты и отражении факта передачи в уведомлении уполномоченного органа. Компании, использующие зарубежные облачные сервисы, обязаны либо настроить локальное хранение казахстанских данных, либо получить отдельное правовое основание для передачи. Нарушение требований локализации является самостоятельным составом административного правонарушения и может повлечь предписание о прекращении обработки.
4. Как долго можно хранить персональные данные?
Казахстанское законодательство закрепляет принцип ограничения сроков хранения: данные должны храниться не дольше, чем необходимо для достижения целей их обработки. После достижения цели оператор обязан уничтожить или обезличить данные. Конкретные сроки могут устанавливаться отраслевым законодательством — для кадровых документов, бухгалтерских записей, данных финансовых организаций действуют специальные нормы. Если специальный срок не установлен, оператор определяет его самостоятельно и фиксирует в политике обработки персональных данных. Рекомендуется закрепить сроки хранения в локальных актах и обеспечить их фактическое соблюдение — в том числе процедуру уничтожения данных по истечении срока.
5. Нужно ли согласие на обработку данных сотрудников?
Обработка персональных данных работников в рамках трудовых отношений допускается без отдельного согласия, если она необходима для исполнения трудового договора или выполнения требований Трудового кодекса РК. Работодатель вправе обрабатывать данные для кадрового учёта, начисления заработной платы, социального страхования. Однако для обработки, выходящей за рамки трудовых отношений — публикация фотографий, передача данных третьим лицам, использование в маркетинговых целях — согласие обязательно. Согласие должно быть добровольным, конкретным и отзываемым; форма фиксации должна обеспечивать доказательную базу на случай проверки.
6. Что такое политика обработки персональных данных и обязательна ли она?
Политика обработки персональных данных — локальный документ оператора, в котором описываются цели, основания, перечень обрабатываемых данных, сроки хранения и меры защиты. По казахстанскому законодательству оператор обязан обеспечить субъектам данных доступ к информации об условиях обработки. На практике это реализуется через публикацию политики на сайте или предоставление её при заключении договора. Отсутствие политики или её несоответствие фактической обработке — типичное нарушение, выявляемое при проверках. Документ должен быть актуальным: при изменении процессов обработки политика обновляется.
7. Кто является уполномоченным органом по персональным данным в Казахстане?
Уполномоченным органом в сфере персональных данных в Казахстане является Министерство цифрового развития, инноваций и аэрокосмической промышленности РК. Именно это ведомство принимает уведомления от операторов, ведёт реестр операторов персональных данных, проводит проверки и выдаёт предписания об устранении нарушений. Обращения субъектов данных с жалобами на нарушение их прав также направляются в это министерство. Помимо административного контроля, отдельные составы нарушений в сфере персональных данных могут расследоваться органами прокуратуры и МВД РК.
8. Распространяется ли казахстанский закон о персональных данных на иностранные компании?
Закон о персональных данных и их защите распространяется на операторов, осуществляющих обработку персональных данных граждан и резидентов Казахстана, вне зависимости от места регистрации оператора. Иностранная компания, собирающая данные казахстанских пользователей через сайт или мобильное приложение, формально подпадает под действие казахстанского законодательства. На практике правоприменение в отношении иностранных операторов без присутствия в Казахстане ограничено, однако при наличии местного представительства, филиала или дочерней компании риски существенно возрастают. Рекомендуется оценить правовые риски до выхода на казахстанский рынок.
9. Что такое обезличивание данных и когда оно применяется?
Обезличивание — процедура, в результате которой персональные данные утрачивают связь с конкретным субъектом и не позволяют его идентифицировать без использования дополнительной информации. После обезличивания данные перестают считаться персональными и выходят из-под действия Закона о персональных данных и их защите. Обезличивание применяется, когда срок хранения истёк, но данные сохраняют аналитическую ценность — например, для статистики или улучшения сервиса. Важно: псевдонимизация (замена имени на идентификатор) не является обезличиванием, если обратное сопоставление технически возможно. Требования к методам обезличивания устанавливаются уполномоченным органом.
10. Как субъект данных может отозвать согласие на обработку?
Субъект персональных данных вправе отозвать ранее данное согласие в любое время. Отзыв согласия влечёт обязанность оператора прекратить обработку данных и уничтожить их — если иное основание для обработки отсутствует. Порядок отзыва должен быть не сложнее порядка дачи согласия: если согласие давалось через форму на сайте, отзыв должен быть доступен аналогичным способом. Оператор обязан рассмотреть обращение об отзыве в установленный законом срок и уведомить субъекта о принятых мерах. Отказ в отзыве согласия или игнорирование обращения является нарушением, которое субъект вправе обжаловать в уполномоченный орган.
11. Нужно ли назначать ответственного за обработку персональных данных?
Казахстанское законодательство обязывает операторов персональных данных назначить лицо, ответственное за организацию обработки персональных данных. Это может быть штатный сотрудник или внешний специалист. Ответственное лицо обеспечивает соблюдение требований закона, организует внутренние процедуры, взаимодействует с уполномоченным органом и субъектами данных. Назначение оформляется приказом руководителя организации. На практике функции ответственного нередко возлагаются на юриста, IT-директора или специалиста по безопасности — важно, чтобы это лицо реально понимало требования законодательства и имело полномочия для их реализации.
12. Что проверяет уполномоченный орган при плановой проверке?
При плановой проверке уполномоченный орган, как правило, проверяет: наличие уведомления об обработке персональных данных и его соответствие фактической деятельности; наличие политики обработки персональных данных и её доступность для субъектов; наличие согласий субъектов данных и их соответствие требованиям закона; соблюдение требований локализации данных; наличие назначенного ответственного лица; технические и организационные меры защиты данных. По итогам проверки составляется акт; при выявлении нарушений выдаётся предписание и возбуждается административное дело. Подготовка к проверке — аудит документации и процессов — существенно снижает риски.
13. Как правильно оформить согласие на обработку данных на сайте?
Согласие на обработку персональных данных, получаемое через сайт, должно быть конкретным, добровольным и информированным. Типичные ошибки: предзаполненный чекбокс (не является добровольным согласием), согласие, «зашитое» в общие условия использования без отдельного акцепта, отсутствие информации о целях и составе обрабатываемых данных. Корректная форма: отдельный незаполненный чекбокс с текстом «Я согласен на обработку персональных данных» и ссылкой на политику обработки. Факт согласия должен фиксироваться с отметкой времени и версии политики. Для данных, передаваемых третьим лицам или за рубеж, рекомендуется отдельное согласие.
14. Применяется ли закон о персональных данных к данным юридических лиц?
Нет — Закон о персональных данных и их защите регулирует обработку данных физических лиц. Информация о юридических лицах (наименование, ИИН/БИН, адрес, реквизиты) персональными данными не является и под действие закона не подпадает. Однако данные о руководителях, учредителях и сотрудниках юридических лиц — это данные физических лиц, и они охраняются законом. На практике это означает: база данных контрагентов-организаций не требует соблюдения режима персональных данных, но база контактов менеджеров этих организаций — требует. Разграничение важно при построении CRM-систем и маркетинговых баз.
15. Что делать, если произошла утечка персональных данных?
При утечке персональных данных оператор обязан принять меры по локализации инцидента и минимизации ущерба. Казахстанское законодательство устанавливает обязанность уведомить уполномоченный орган об инцидентах, связанных с нарушением безопасности персональных данных. Субъекты данных, чьи права могли быть нарушены, также должны быть уведомлены. Промедление с уведомлением или сокрытие инцидента является самостоятельным нарушением и может повлечь дополнительную ответственность. Рекомендуется заранее разработать план реагирования на инциденты (incident response plan) и назначить ответственных за его исполнение — это существенно снижает правовые и репутационные риски при утечке.
Выводы
Уведомление уполномоченного органа об обработке персональных данных — обязанность большинства казахстанских операторов, а не опция. Исключения строго ограничены законом и не распространяются на предпринимательскую деятельность. Требования локализации данных, правила получения согласий и сроки хранения — три ключевых элемента комплаенса, нарушение каждого из которых влечёт самостоятельную ответственность.
Актуально на: 22 сентября 2026 года.
Если ситуация требует внимания — мы поможем разобраться.
Смежные направления
Направление практики
Персональные данные и IT-право — соответствие Закону о персональных данных, трансграничная передача, аудит обработки и IT-договоры.