Новые правила защиты персональных данных в Казахстане: обновление законодательства
Казахстанское законодательство о персональных данных ужесточает требования к операторам: расширяется перечень обязательных мер защиты, уточняются сроки реагирования на инциденты и порядок трансграничной передачи данных. Топ-менеджеру важно понять, что изменилось и какие действия необходимо предпринять до наступления ответственности.
Если ваша компания обрабатывает персональные данные сотрудников или клиентов — проверьте соответствие новым требованиям до проверки регулятора. Проверить обработку персональных данных · info@vetrovkz.com
Что изменилось в регулировании персональных данных в Казахстане?
Закон о персональных данных и их защите получил существенные дополнения, которые вступили в силу в 2026 году. Ключевые изменения касаются трёх блоков: расширенных требований к операторам, уточнённого порядка уведомления об инцидентах и новых правил трансграничной передачи данных.
Операторы теперь обязаны назначить ответственное лицо за защиту персональных данных, вести реестр обрабатываемых данных и проводить периодическую оценку рисков. Требования распространяются на компании любого размера — от малого бизнеса до крупных корпораций. Директор подписывает — и несёт ответственность за соответствие внутренних процедур обновлённым нормам.
Новые требования к реестру данных и назначению ответственного лица — типичные пробелы, которые выявляет аудит.
Обсудить ситуациюКого затрагивают новые требования?
Новые правила распространяются на всех операторов персональных данных, зарегистрированных или ведущих деятельность на территории Республики Казахстан. Под действие закона подпадают компании, которые собирают, хранят, обрабатывают или передают данные физических лиц — сотрудников, клиентов, контрагентов.
Особое внимание регулятор уделяет секторам с высоким объёмом обработки данных: финансовым организациям, телекоммуникационным компаниям, медицинским учреждениям, интернет-платформам и ритейлу. Иностранные компании, обрабатывающие данные казахстанских граждан, также обязаны соответствовать требованиям казахстанского законодательства.
Что делать топ-менеджеру прямо сейчас?
Первый шаг — провести внутренний аудит: составить карту потоков персональных данных, проверить наличие согласий субъектов и актуальность политики конфиденциальности. Это базовый минимум, который позволяет оценить реальный масштаб несоответствий.
- Назначить ответственного за защиту персональных данных и зафиксировать это приказом.
- Обновить политику конфиденциальности с учётом новых требований к содержанию и срокам хранения данных.
- Проверить договоры с подрядчиками, которые обрабатывают данные от имени компании, — они должны содержать условия о защите данных.
- Выстроить процедуру реагирования на инциденты: кто уведомляет регулятора, в какой срок и по какой форме.
По сложившейся практике, компании, которые провели аудит и устранили нарушения до проверки, получают существенно меньшие санкции — либо ограничиваются предписанием об устранении.
Частые вопросы
1. Можно ли использовать видеонаблюдение в офисе?
Видеонаблюдение в офисе допустимо при соблюдении ряда условий. Работодатель обязан уведомить сотрудников о ведении съёмки — как правило, через локальный акт и подпись в трудовом договоре или отдельном согласии. Камеры не должны устанавливаться в местах, где сотрудники обоснованно ожидают приватности: туалеты, раздевалки, комнаты отдыха. Записи хранятся в течение срока, установленного политикой оператора, но не дольше, чем это необходимо для заявленных целей. Нарушение этих требований влечёт административную ответственность оператора.
2. Как правильно собирать cookies на сайте в Казахстане?
Сбор cookies, которые позволяют идентифицировать пользователя, квалифицируется как обработка персональных данных по казахстанскому законодательству. Оператор обязан разместить на сайте политику конфиденциальности и получить информированное согласие пользователя до начала сбора данных — через cookie-баннер с возможностью отказа. Технические cookies, необходимые для работы сайта, согласия не требуют. Маркетинговые и аналитические cookies — требуют. Отсутствие баннера или политики конфиденциальности является нарушением Закона о персональных данных и их защите.
3. Что делать при запросе субъекта персональных данных?
При получении запроса от субъекта персональных данных оператор обязан ответить в установленный законом срок. Субъект вправе запросить сведения о составе своих данных, целях их обработки, а также потребовать исправления или удаления. Оператор должен иметь внутреннюю процедуру обработки таких запросов: назначенное ответственное лицо, шаблон ответа, журнал учёта обращений. Отказ в предоставлении информации без законного основания или нарушение сроков ответа влечёт административную ответственность. Рекомендуется зафиксировать процедуру в политике конфиденциальности и локальных актах компании.
Выводы
Обновлённые требования казахстанского законодательства о персональных данных затрагивают всех операторов без исключения. Назначение ответственного лица, ведение реестра данных и выстроенная процедура реагирования на инциденты — минимальный набор мер, который снижает риск санкций. Чем раньше компания проведёт аудит, тем меньше вероятность получить предписание или штраф по итогам проверки регулятора.
Актуально на: 6 октября 2026 года.
Если ситуация требует внимания — мы поможем разобраться.
Смежные направления
Направление практики
Персональные данные и IT-право — соответствие Закону о персональных данных, трансграничная передача, аудит обработки и IT-договоры.