Новые правила защиты персональных данных в Казахстане: срочный разбор
Казахстанские операторы персональных данных столкнулись с обновлёнными требованиями: изменились правила обработки, хранения и передачи данных, а также ответственность за нарушения. Собственнику бизнеса важно понять, что именно изменилось, кого затрагивает и какие шаги нужно предпринять уже сейчас.
Ваша компания обрабатывает данные клиентов или сотрудников — и новые требования касаются вас напрямую. Проверить обработку персональных данных · info@vetrovkz.com
Что изменилось: суть обновлённых требований
Казахстанское законодательство о персональных данных получило новый импульс: обновлённые подзаконные акты уточнили требования к операторам по составу технической документации, срокам реагирования на запросы субъектов и порядку трансграничной передачи данных. Закон о персональных данных и их защите действует в Казахстане уже несколько лет, однако правоприменительная практика последовательно ужесточается.
Ключевые изменения затрагивают три блока: требования к политике обработки данных (она должна быть публично доступна и актуальна), порядок получения согласия субъектов (устное согласие больше не считается достаточным для большинства случаев), а также обязанности при инцидентах — утечках или несанкционированном доступе к данным.
Если вы не уверены, правильно ли оформлены согласия и политика обработки данных в вашей компании — это стоит проверить до проверки регулятора.
Проверить обработку персональных данныхКого затрагивают новые правила?
Новые требования распространяются на любого оператора персональных данных в Казахстане — вне зависимости от размера бизнеса и организационно-правовой формы. Оператором признаётся лицо, которое самостоятельно определяет цели и способы обработки данных: ведёт базу клиентов, хранит анкеты сотрудников, использует CRM-системы или передаёт данные третьим лицам.
На практике под действие закона подпадают интернет-магазины, медицинские клиники, финансовые компании, HR-платформы, мобильные приложения и любой бизнес с сайтом, собирающим контактные формы. Иностранные компании, обрабатывающие данные казахстанских граждан, также обязаны соблюдать требования казахстанского законодательства.
Что делать собственнику прямо сейчас?
Первый шаг — провести внутренний аудит: составить реестр обрабатываемых данных, проверить актуальность политики конфиденциальности и форм согласия. Второй шаг — убедиться, что договоры с подрядчиками и облачными сервисами содержат положения о защите данных. Третий — назначить ответственного за обработку персональных данных внутри компании.
По нашему опыту, большинство нарушений выявляется не при целевых проверках, а при рассмотрении жалоб субъектов данных. Своевременный аудит снижает этот риск. Подробнее о практике защиты данных — в обзоре по персональным данным в Казахстане и в материале об ответственности за нарушение закона о персональных данных. Общий каталог аналитических материалов — в разделе Аналитика.
Частые вопросы
1. Что делать при запросе субъекта персональных данных?
При получении запроса от субъекта персональных данных оператор обязан ответить в установленный законодательством срок. Ответ должен содержать информацию о составе обрабатываемых данных, целях и основаниях обработки, а также о третьих лицах, которым данные передаются. Если субъект требует прекратить обработку или удалить данные — оператор обязан исполнить требование либо письменно обосновать отказ. Рекомендуется заранее разработать внутреннюю процедуру обработки таких запросов и назначить ответственное лицо.
2. Кто считается оператором персональных данных в Казахстане?
Оператором персональных данных в Казахстане признаётся любое лицо — физическое или юридическое, государственный орган — которое самостоятельно или совместно с другими определяет цели и способы обработки персональных данных. На практике это означает, что практически любой бизнес, ведущий базу клиентов, сотрудников или контрагентов, является оператором и несёт соответствующие обязанности по Закону о персональных данных и их защите.
3. Нужно ли уведомлять уполномоченный орган об обработке данных?
Действующее казахстанское законодательство предусматривает уведомительный порядок для отдельных категорий операторов и видов обработки. Уполномоченным органом в сфере персональных данных выступает Министерство цифрового развития, инноваций и аэрокосмической промышленности РК. Конкретный перечень случаев, при которых уведомление обязательно, определяется подзаконными актами. Во избежание нарушений рекомендуется проверить, подпадает ли ваша деятельность под уведомительные требования, до начала или изменения характера обработки данных.
Выводы
Обновлённые требования к защите персональных данных в Казахстане затрагивают практически любой бизнес, работающий с данными клиентов или сотрудников. Ключевые действия — аудит реестра данных, актуализация политики конфиденциальности и форм согласия, а также выстраивание процедуры реагирования на запросы субъектов. Промедление увеличивает риск административной ответственности по итогам проверки или жалобы. Смотрите также материал об авторском праве в Казахстане — смежная область IT-права, где требования также ужесточаются.
Актуально на: 20 октября 2026 года.
Если ситуация требует внимания — мы поможем разобраться.
Смежные направления
Направление практики
Персональные данные и IT-право — соответствие Закону о персональных данных, трансграничная передача, аудит обработки и IT-договоры.