Новые правила защиты персональных данных в Казахстане: что изменилось
Казахстанское законодательство о персональных данных ужесточилось: операторы данных получили новые обязанности, а требования к локализации и уведомлению уполномоченного органа стали строже. Изменения затрагивают большинство компаний, которые собирают, хранят или передают данные граждан Республики Казахстан.
Не уверены, соответствует ли ваша компания новым требованиям? Проверить обработку персональных данных · info@vetrovkz.com
Что изменилось в регулировании персональных данных в Казахстане
Казахстан последовательно ужесточает требования к операторам персональных данных: обновлены технические требования к защите баз данных, расширен перечень обязательных организационных мер, уточнены сроки уведомления уполномоченного органа при утечке данных. Закон о персональных данных и их защите остаётся основным регуляторным документом, однако подзаконные акты, принятые в 2025–2026 годах, существенно детализировали его требования.
Ключевые изменения касаются трёх направлений: порядка уведомления об обработке данных, требований к трансграничной передаче и технических стандартов защиты информационных систем. Операторы, которые не приводили свои процессы в соответствие с обновлёнными нормами, рискуют получить предписание или административный штраф по итогам проверки.
Если ваша компания хранит данные клиентов или сотрудников — стоит проверить, соответствуют ли ваши процессы актуальным требованиям.
Проверить обработку персональных данныхКого затрагивают новые требования?
Новые требования распространяются на всех операторов персональных данных, зарегистрированных в Казахстане, — независимо от размера бизнеса и отрасли. Под действие закона подпадают интернет-магазины, HR-системы, медицинские организации, финансовые компании, мобильные приложения и любые другие субъекты, которые собирают данные о физических лицах.
Иностранные компании, обрабатывающие данные граждан Казахстана, также обязаны соблюдать требования о локализации. Это означает, что хранение данных исключительно на зарубежных серверах без казахстанского зеркала является нарушением действующего законодательства РК.
Что делать операторам прямо сейчас?
Первый шаг — провести внутренний аудит: составить реестр обрабатываемых данных, проверить наличие согласий субъектов, оценить технические меры защиты и убедиться, что уведомление уполномоченного органа направлено в установленном порядке. По нашему опыту, большинство нарушений выявляется именно на этапе инвентаризации — компании нередко обрабатывают больше категорий данных, чем отражено в их политиках.
- Обновить политику конфиденциальности и формы согласия на сайте и в приложениях
- Проверить договоры с подрядчиками, которые получают доступ к данным клиентов или сотрудников
- Убедиться, что базы данных физически размещены на серверах в Казахстане
- Назначить ответственного за обработку персональных данных внутри компании
- Выстроить процедуру реагирования на утечку данных с соблюдением сроков уведомления
Подробнее о процедуре уведомления при утечке данных читайте в материале «Уведомление об утечке персональных данных в Казахстане». Общий обзор регулирования — в статье «Правила защиты персональных данных в Казахстане».
Частые вопросы
1. Нужно ли уведомлять уполномоченный орган об обработке данных?
По казахстанскому законодательству операторы персональных данных обязаны уведомлять уполномоченный орган о начале обработки данных. Требование распространяется на юридических лиц и индивидуальных предпринимателей, которые собирают, хранят или иным образом обрабатывают персональные данные граждан Казахстана. Порядок и сроки уведомления установлены Законом о персональных данных и их защите.
2. Какой штраф за нарушение закона о персональных данных?
Нарушение требований законодательства о персональных данных в Казахстане влечёт административную ответственность. Размер санкций зависит от характера нарушения и субъекта ответственности — физическое лицо, должностное лицо или юридическое лицо. Повторные нарушения и нарушения, повлёкшие утечку данных, как правило, влекут более строгие санкции. Для уточнения актуальных размеров штрафов рекомендуется обратиться к юристу.
3. Можно ли хранить персональные данные казахстанцев за границей?
Казахстанское законодательство устанавливает требование о локализации персональных данных граждан Республики Казахстан: базы данных, содержащие такие сведения, должны размещаться на серверах, физически расположенных на территории Казахстана. Трансграничная передача данных допускается при соблюдении ряда условий, в том числе при наличии согласия субъекта данных или в рамках международных договоров. Нарушение требования о локализации является самостоятельным основанием для привлечения к ответственности.
Выводы
Требования к операторам персональных данных в Казахстане ужесточились: обновлены технические стандарты, уточнены сроки уведомления при утечках, подтверждено требование о локализации баз данных. Большинство компаний, работающих с данными клиентов или сотрудников, обязаны привести свои процессы в соответствие с актуальными нормами. Практический первый шаг — внутренний аудит обработки данных.
Актуально на: 1 января 2026 года.
Если ситуация требует внимания — мы поможем разобраться.
Смежные направления
Направление практики
Персональные данные и IT-право — соответствие Закону о персональных данных, трансграничная передача, аудит обработки и IT-договоры.