Новые правила защиты персональных данных в Казахстане: последствия для бизнеса
Казахстанское законодательство о персональных данных ужесточает требования к операторам: расширяется перечень обязанностей, вводятся новые сроки реагирования на запросы субъектов, усиливается контроль за трансграничной передачей данных. Собственник бизнеса, который не привёл внутренние процессы в соответствие, рискует административной ответственностью и репутационными потерями.
Ваша компания собирает данные клиентов или сотрудников — проверьте, соответствуют ли процессы новым требованиям. Проверить обработку персональных данных · info@vetrovkz.com
Что изменилось в регулировании персональных данных в Казахстане
Закон о персональных данных и их защите дополнен новыми требованиями к операторам: расширен перечень обязательных организационных мер, уточнены основания обработки специальных категорий данных, введены более жёсткие требования к уведомлению субъектов. Изменения затрагивают как крупный бизнес, так и малые компании, которые ведут базы клиентов, сотрудников или пользователей цифровых сервисов.
Ключевое направление — усиление контроля за операторами персональных данных со стороны уполномоченного органа. Проверки стали плановыми и внеплановыми; основанием для внеплановой проверки может служить жалоба субъекта данных. По сложившейся практике, большинство нарушений выявляется именно по обращениям граждан, а не в ходе плановых инспекций.
Аудит персональных данных — первый шаг к снижению регуляторных рисков для вашего бизнеса.
Проверить обработку персональных данныхКого затрагивают новые требования
Новые требования распространяются на всех операторов персональных данных — юридических и физических лиц, которые собирают, хранят, обрабатывают или передают данные граждан Казахстана. На практике это означает практически любой бизнес: интернет-магазины, работодатели, медицинские организации, финансовые компании, мобильные приложения.
Особое внимание уделяется трём категориям операторов. Первая — компании, обрабатывающие специальные категории данных: биометрию, сведения о здоровье, политических взглядах, судимостях. Вторая — операторы, передающие данные третьим лицам или за рубеж. Третья — организации, использующие автоматизированную обработку для принятия решений, затрагивающих права субъектов.
Что конкретно должен сделать собственник бизнеса
Первый шаг — провести аудит текущих процессов обработки данных: составить реестр баз данных, определить правовые основания для каждой категории обработки, проверить наличие согласий и политик конфиденциальности. Без этого невозможно оценить реальный масштаб несоответствия.
- Актуализировать политику конфиденциальности и формы согласий на сайте и в договорах
- Проверить договоры с подрядчиками, которым передаются данные клиентов или сотрудников
- Убедиться, что базы данных казахстанских граждан хранятся на серверах в Казахстане
- Назначить ответственного за обработку персональных данных внутри компании
- Выстроить процедуру реагирования на запросы субъектов данных в установленные сроки
По нашему опыту, наиболее распространённые нарушения — отсутствие актуальных согласий, передача данных подрядчикам без надлежащих договоров и хранение данных на зарубежных облачных платформах без соблюдения требований локализации.
Частые вопросы
1. Можно ли хранить персональные данные казахстанцев за границей?
По казахстанскому законодательству базы данных, содержащие персональные данные граждан Республики Казахстан, должны храниться на серверах, физически расположенных на территории Казахстана. Трансграничная передача данных допускается только при соблюдении ряда условий: наличие согласия субъекта, обеспечение уровня защиты не ниже казахстанского, а также в случаях, прямо предусмотренных законодательством. Нарушение требования локализации влечёт административную ответственность для оператора.
2. Как долго можно хранить персональные данные?
Закон о персональных данных и их защите устанавливает принцип ограничения хранения: данные должны храниться не дольше, чем это необходимо для достижения целей обработки. После достижения цели или отзыва согласия субъекта оператор обязан уничтожить или обезличить данные. Конкретные сроки зависят от категории данных и основания обработки — для кадровых документов действуют сроки, установленные архивным законодательством, для маркетинговых баз — до отзыва согласия.
3. Нужно ли согласие на обработку данных сотрудников?
Обработка персональных данных работников в целях исполнения трудового договора, как правило, не требует отдельного согласия — основанием служит сам договор и требования Трудового кодекса РК. Однако для обработки данных в иных целях (например, публикация фото на сайте компании, передача данных третьим лицам, использование в маркетинге) письменное согласие работника обязательно. Отсутствие такого согласия создаёт правовые риски для работодателя.
Выводы
Новые требования к операторам персональных данных в Казахстане затрагивают практически любой бизнес, работающий с данными клиентов или сотрудников. Ключевые направления для собственника — аудит текущих процессов, актуализация согласий и политик, проверка договоров с подрядчиками и соблюдение требований локализации данных. Промедление создаёт риски административной ответственности и репутационных потерь при проверке или жалобе субъекта.
Актуально на: 8 сентября 2026 года.
Если ситуация требует внимания — мы поможем разобраться.
Смежные направления
Направление практики
Персональные данные и IT-право — соответствие Закону о персональных данных, трансграничная передача, аудит обработки и IT-договоры.