Новые правила защиты персональных данных в Казахстане: новые правила
В 2026 году требования к операторам персональных данных в Казахстане существенно ужесточились: обновлены порядок получения согласия, сроки хранения данных и обязанности по уведомлению уполномоченного органа. Компании, не приведшие внутренние процессы в соответствие, рискуют административной ответственностью.
Ваша компания обрабатывает персональные данные клиентов или сотрудников? Проверить обработку персональных данных · info@vetrovkz.com
Что изменилось в регулировании персональных данных в Казахстане?
Казахстанское законодательство о персональных данных получило новый импульс в 2026 году: уполномоченный орган утвердил обновлённые требования к операторам, которые затрагивают порядок сбора, хранения и передачи данных. Закон о персональных данных и их защите действует уже несколько лет, однако подзаконные акты, конкретизирующие обязанности операторов, обновлялись поэтапно.
Ключевые изменения касаются трёх направлений: формы и содержания согласия субъекта, требований к технической защите баз данных, а также порядка уведомления уполномоченного органа при утечках. Операторы обязаны привести внутреннюю документацию в соответствие в установленные сроки.
Если ваша компания передаёт данные за рубеж или использует облачные сервисы иностранных провайдеров — требования к трансграничной передаче данных стали строже.
Проверить обработку персональных данныхКого затрагивают новые требования?
Новые правила распространяются на всех операторов персональных данных в Казахстане — юридических и физических лиц, которые собирают, хранят или иным образом обрабатывают сведения о гражданах. Под действие норм подпадают работодатели, интернет-платформы, медицинские организации, банки, ритейл и любые компании, ведущие клиентские базы.
Особое внимание уделяется операторам, обрабатывающим чувствительные категории данных: биометрию, сведения о состоянии здоровья, данные несовершеннолетних. Для них установлены дополнительные требования к техническим мерам защиты и ограничены основания для передачи данных третьим лицам.
- Работодатели — в части кадрового учёта и систем контроля доступа
- Интернет-сервисы и мобильные приложения — в части cookie и трекинга
- Медицинские и финансовые организации — в части чувствительных данных
- Компании с трансграничной передачей данных — в части локализации
Что нужно сделать операторам прямо сейчас?
Первый шаг — провести внутренний аудит: составить реестр обрабатываемых данных, проверить актуальность форм согласия и политики конфиденциальности. По сложившейся практике, большинство компаний использует устаревшие шаблоны согласий, не отвечающие актуальным требованиям к содержанию и форме.
Второй шаг — проверить технические меры защиты: шифрование, разграничение доступа, журналирование операций с данными. Третий — назначить ответственного за обработку персональных данных и утвердить внутренние регламенты. Нарушение требований влечёт административную ответственность, а при повторных нарушениях — более серьёзные последствия для руководства компании.
Частые вопросы
1. Нужно ли согласие на обработку данных сотрудников?
Согласие сотрудника на обработку его персональных данных требуется в большинстве случаев, однако казахстанское законодательство предусматривает ряд исключений. Данные, необходимые для исполнения трудового договора, как правило, можно обрабатывать без отдельного согласия — на основании самого договора. Но если работодатель планирует передавать сведения третьим лицам, использовать биометрию или обрабатывать чувствительные категории данных, письменное согласие обязательно. Форму согласия рекомендуется согласовать с юристом, поскольку требования к её содержанию стали строже.
2. Что такое чувствительные персональные данные?
Чувствительные персональные данные — это особая категория сведений, обработка которых требует повышенной защиты. Закон о персональных данных и их защите относит к ним расовое и этническое происхождение, политические взгляды, религиозные убеждения, состояние здоровья, биометрические и генетические данные, а также сведения о судимостях. Для их обработки требуется явное согласие субъекта либо прямое указание закона. Операторы, работающие с такими данными, обязаны применять усиленные меры технической и организационной защиты.
3. Можно ли использовать видеонаблюдение в офисе?
Видеонаблюдение в офисе допустимо при соблюдении ряда условий. Работодатель обязан уведомить сотрудников о ведении съёмки — как правило, через локальный акт и размещение информационных табличек. Цели наблюдения должны быть чётко определены и соразмерны: охрана имущества, безопасность, контроль доступа. Использовать записи для оценки производительности или передавать их третьим лицам без правового основания нельзя. Хранение видеозаписей также ограничено по срокам. Нарушение этих требований влечёт административную ответственность оператора.
Выводы
Требования к операторам персональных данных в Казахстане ужесточились: обновлены формы согласия, требования к технической защите и порядок уведомления при утечках. Под действие норм подпадают практически все компании, ведущие клиентские или кадровые базы. Приоритетный шаг — внутренний аудит обработки данных и актуализация документации.
Актуально на: 22 сентября 2026 года.
Если ситуация требует внимания — мы поможем разобраться.
Смежные направления
Направление практики
Персональные данные и IT-право — соответствие Закону о персональных данных, трансграничная передача, аудит обработки и IT-договоры.