Нужно ли уведомлять уполномоченный орган об обработке данных в Казахстане
Да — большинство казахстанских операторов персональных данных обязаны уведомить уполномоченный орган до начала обработки. Закон о персональных данных и их защите предусматривает исключения, но они трактуются узко: компания с клиентской базой, CRM-системой или HR-учётом под исключение, как правило, не подпадает. Директор, подписывающий договоры с подрядчиками по обработке данных, несёт личную ответственность за соблюдение этого требования.
Если ваша компания собирает данные клиентов или сотрудников — проверьте, выполнено ли уведомление уполномоченного органа. Проверить обработку персональных данных · info@vetrovkz.com
Кто обязан уведомлять уполномоченный орган об обработке данных в Казахстане?
Обязанность уведомления распространяется на операторов персональных данных — юридических и физических лиц, которые самостоятельно определяют цели и способы обработки данных. Если компания ведёт клиентскую базу, обрабатывает анкеты соискателей, хранит данные сотрудников в кадровой системе или использует CRM — она является оператором.
Уведомление направляется в Министерство цифрового развития, инноваций и аэрокосмической промышленности РК. Это единственный уполномоченный орган в данной сфере. Уведомление подаётся в электронной форме через портал egov.kz до начала обработки данных — не после запуска системы, не в момент первого инцидента.
Для топ-менеджера это означает следующее: если компания уже работает с персональными данными, но уведомление не подано, нарушение уже существует. Его устранение — административная процедура, которая занимает несколько дней, но требует предварительного аудита фактической практики обработки.
Если практика обработки данных в вашей компании менялась, а уведомление не обновлялось — это типичное нарушение, выявляемое при проверках.
Проверить обработку персональных данныхКакие исключения предусмотрены законом?
Закон о персональных данных и их защите предусматривает случаи, когда уведомление не требуется. Основное исключение — обработка данных исключительно для собственных нужд оператора без передачи третьим лицам и без использования автоматизированных систем, доступных извне.
На практике это исключение применяется редко. Если данные хранятся в облачном сервисе — даже корпоративном — формально задействован третий поставщик. Если HR-система интегрирована с банком для перечисления зарплат, данные передаются третьему лицу. Если сайт компании использует аналитику или формы обратной связи, собирающие персональные данные, — это уже выход за рамки «собственных нужд».
Рекомендация для руководителя: не полагаться на исключение без предварительной правовой оценки. Стоимость ошибки — административный штраф и предписание об устранении нарушений, которое потребует дополнительных ресурсов на исполнение.
Что именно указывается в уведомлении?
Уведомление содержит стандартный набор сведений об операторе и его практике обработки данных. Форма утверждена уполномоченным органом и заполняется в электронном виде.
- Наименование и реквизиты оператора
- Цели обработки персональных данных
- Категории субъектов данных (клиенты, сотрудники, контрагенты)
- Категории обрабатываемых данных
- Меры по обеспечению безопасности данных
Ключевой практический момент: уведомление фиксирует заявленную практику обработки. Если фактическая практика расходится с уведомлением — например, компания начала передавать данные новому подрядчику или расширила перечень обрабатываемых данных — уведомление необходимо обновить. Несоответствие между уведомлением и реальной практикой само по себе является нарушением.
Какова ответственность за отсутствие уведомления?
Отсутствие уведомления уполномоченного органа образует самостоятельный состав административного правонарушения по казахстанскому законодательству. Ответственность наступает как для юридического лица, так и для должностного лица — то есть для руководителя, в чьи полномочия входит обеспечение соответствия требованиям законодательства.
Помимо штрафа, уполномоченный орган вправе выдать предписание об устранении нарушений в установленный срок. Неисполнение предписания влечёт повторную ответственность с увеличенными санкциями. В случае утечки данных или жалобы субъекта данных отсутствие уведомления становится отягчающим обстоятельством при оценке действий оператора.
Для топ-менеджера важно понимать: персональная административная ответственность должностного лица не поглощается ответственностью компании. Оба субъекта могут быть привлечены одновременно.
Как организовать процесс уведомления на практике?
Перед подачей уведомления необходимо провести внутренний аудит: зафиксировать, какие данные обрабатываются, с какой целью, кто имеет к ним доступ и кому они передаются. Без этого шага уведомление будет неполным или недостоверным.
Аудит, как правило, охватывает несколько направлений: кадровые данные, клиентские базы, данные контрагентов, данные, собираемые через сайт и мобильные приложения. По итогам аудита формируется реестр обработки данных — внутренний документ, который служит основой для уведомления и последующего комплаенса.
После подачи уведомления необходимо обеспечить его актуальность: назначить ответственное лицо за мониторинг изменений в практике обработки и своевременное обновление уведомления. Подробнее о построении системы комплаенса — в материале «Новые правила защиты персональных данных в Казахстане».
Связанные вопросы: локализация данных и трансграничная передача
Уведомление об обработке данных — лишь один из элементов комплаенса. Параллельно компания обязана соблюдать требование локализации: базы данных казахстанских пользователей должны храниться на серверах в Казахстане.
Трансграничная передача данных — например, использование зарубежных облачных сервисов или передача данных иностранной материнской компании — допускается при соблюдении условий, предусмотренных Законом о персональных данных и их защите. Это отдельный правовой вопрос, требующий оценки каждой конкретной ситуации. Смежные аспекты IT-права и корпоративного структурирования рассмотрены в материале «Обработка данных: дополнительные вопросы».
Для компаний, работающих с иностранными партнёрами или использующих зарубежную IT-инфраструктуру, вопрос трансграничной передачи данных нередко пересекается с корпоративным структурированием — подробнее об этом на странице практики «Персональные данные и IT-право».
Частые вопросы
1. Нужно ли уведомлять уполномоченный орган об обработке данных?
По казахстанскому законодательству большинство операторов персональных данных обязаны уведомить уполномоченный орган — Министерство цифрового развития, инноваций и аэрокосмической промышленности РК — до начала обработки данных. Уведомление подаётся в электронной форме через портал egov.kz. Закон о персональных данных и их защите предусматривает ряд исключений: если обработка ведётся исключительно для собственных нужд оператора без передачи третьим лицам, уведомление может не требоваться. Однако на практике граница «собственных нужд» трактуется узко, и большинство компаний, ведущих клиентские базы, CRM-системы или HR-учёт, под исключение не подпадают. Рекомендуется проверить статус компании до начала обработки.
2. Какой штраф за нарушение закона о персональных данных?
Административная ответственность за нарушение законодательства о персональных данных в Казахстане предусмотрена Кодексом об административных правонарушениях. Размер санкций зависит от характера нарушения: необеспечение конфиденциальности, незаконная передача данных третьим лицам, отсутствие уведомления уполномоченного органа — каждое из этих нарушений образует самостоятельный состав. Для должностных лиц и субъектов малого бизнеса санкции ниже, для крупных компаний — существенно выше. Помимо штрафа, уполномоченный орган вправе выдать предписание об устранении нарушений. Повторное нарушение влечёт увеличенные санкции. Точные размеры штрафов уточняйте у юриста — они привязаны к МРП и меняются ежегодно.
3. Можно ли хранить персональные данные казахстанцев за границей?
Закон о персональных данных и их защите устанавливает требование локализации: базы данных, содержащие персональные данные граждан Казахстана, должны храниться на серверах, физически расположенных на территории Республики Казахстан. Трансграничная передача данных допускается при соблюдении ряда условий: наличие согласия субъекта данных, заключение договора с иностранным получателем, обеспечивающего уровень защиты не ниже казахстанского, либо передача в страну, признанную обеспечивающей адекватный уровень защиты. На практике это означает, что использование зарубежных облачных сервисов для хранения данных казахстанских пользователей требует отдельного правового обоснования и, как правило, дополнительных договорных механизмов.
4. Как долго можно хранить персональные данные?
Казахстанское законодательство о персональных данных закрепляет принцип ограничения срока хранения: данные должны храниться не дольше, чем это необходимо для достижения цели их сбора. После достижения цели оператор обязан уничтожить данные или обезличить их. Конкретные сроки хранения для отдельных категорий данных могут устанавливаться отраслевым законодательством — например, для кадровых документов Трудовой кодекс РК предусматривает собственные сроки архивного хранения. Для клиентских данных срок, как правило, определяется сроком действия договора плюс период исковой давности. Политика хранения данных должна быть закреплена во внутренних документах компании и доступна субъектам данных.
5. Нужно ли согласие на обработку данных сотрудников?
Обработка персональных данных сотрудников в Казахстане в целом допускается без отдельного согласия, если она необходима для исполнения трудового договора — ведение кадрового учёта, начисление заработной платы, оформление социальных выплат. Однако для обработки данных, выходящей за рамки трудовых отношений — например, использование биометрии, передача данных третьим лицам, обработка специальных категорий данных (здоровье, судимости) — согласие сотрудника обязательно. Согласие должно быть конкретным, информированным и добровольным; принуждение к его подписанию как условие трудоустройства юридически уязвимо. Форму согласия рекомендуется разрабатывать с учётом специфики обрабатываемых данных.
6. Кто является уполномоченным органом по персональным данным в Казахстане?
Уполномоченным органом в сфере персональных данных в Казахстане является Министерство цифрового развития, инноваций и аэрокосмической промышленности Республики Казахстан. Именно в этот орган операторы персональных данных направляют уведомления об обработке, а также обращаются за разъяснениями. Субъекты данных вправе подавать жалобы на действия операторов как непосредственно в министерство, так и в суд. Контрольные функции включают проверки операторов, выдачу предписаний и составление протоколов об административных правонарушениях.
7. Что такое оператор персональных данных по казахстанскому праву?
Оператором персональных данных по казахстанскому законодательству признаётся государственный орган, физическое или юридическое лицо, которое самостоятельно или совместно с другими лицами организует и осуществляет обработку персональных данных. Ключевой критерий — самостоятельное определение целей и способов обработки. Если компания обрабатывает данные по поручению другого лица (например, IT-подрядчик, обслуживающий CRM клиента), она может выступать третьим лицом, а не оператором — но это разграничение требует чёткого договорного оформления. Большинство казахстанских компаний, ведущих клиентские базы или HR-учёт, являются операторами и несут полный объём обязанностей по закону.
8. Какие данные считаются специальными категориями и требуют усиленной защиты?
Закон о персональных данных и их защите выделяет специальные категории данных, обработка которых требует явного согласия субъекта и повышенных мер защиты. К ним относятся: данные о расовой и национальной принадлежности, политических взглядах, религиозных убеждениях, состоянии здоровья, интимной жизни, судимостях. Биометрические данные — отпечатки пальцев, данные распознавания лиц — также требуют особого правового основания для обработки. Для компаний, использующих системы контроля доступа по биометрии или медицинские страховые программы, это означает необходимость отдельной правовой базы и усиленных технических мер защиты.
9. Нужна ли политика конфиденциальности на сайте казахстанской компании?
Да, наличие политики конфиденциальности на сайте является обязательным требованием для казахстанских операторов, собирающих данные через интернет. Политика должна содержать: перечень собираемых данных, цели обработки, сроки хранения, порядок передачи третьим лицам, права субъектов данных и контактные данные оператора. Документ должен быть доступен пользователю до момента предоставления данных — как правило, ссылка размещается рядом с формой сбора данных. Отсутствие политики или её несоответствие фактической практике обработки — типичное нарушение, выявляемое при проверках уполномоченного органа.
10. Что происходит при утечке персональных данных?
При выявлении утечки персональных данных казахстанский оператор обязан принять меры по локализации инцидента и минимизации ущерба. Закон о персональных данных и их защите предусматривает обязанность уведомить уполномоченный орган об инциденте. Субъекты данных, чьи права нарушены, вправе требовать возмещения ущерба в судебном порядке. Помимо административной ответственности, при утечке данных, связанной с умышленными действиями, возможна уголовная ответственность по Уголовному кодексу РК. Наличие задокументированного плана реагирования на инциденты существенно снижает правовые риски оператора и демонстрирует добросовестность при взаимодействии с регулятором.
Выводы
Уведомление уполномоченного органа об обработке персональных данных — обязательное требование для большинства казахстанских операторов. Исключения трактуются узко: компания с клиентской базой, CRM или HR-учётом под них не подпадает. Ответственность за нарушение наступает как для юридического лица, так и для должностного лица — одновременно. Подача уведомления требует предварительного аудита фактической практики обработки; уведомление необходимо поддерживать в актуальном состоянии при любых изменениях.
Актуально на: 15 сентября 2026 года.
Если ситуация требует внимания — мы поможем разобраться.
Смежные направления
Направление практики
Персональные данные и IT-право — соответствие Закону о персональных данных, трансграничная передача, аудит обработки и IT-договоры.