Новые правила защиты персональных данных в Казахстане
В начале 2026 года в Казахстане вступили в силу обновлённые требования к операторам персональных данных: изменились порядок уведомления уполномоченного органа, требования к локализации баз данных и сроки реагирования на инциденты. Руководителям компаний, которые собирают или обрабатывают данные сотрудников, клиентов или пользователей, необходимо проверить соответствие внутренних процессов новым стандартам.
Если ваша компания обрабатывает персональные данные — проверьте соответствие новым требованиям до первой проверки. Проверить обработку персональных данных · info@vetrovkz.com
Что изменилось в регулировании персональных данных в Казахстане?
С начала 2026 года операторы персональных данных в Казахстане работают в условиях обновлённой нормативной базы. Закон о персональных данных и их защите получил новые подзаконные акты, конкретизирующие требования к операторам — компаниям и индивидуальным предпринимателям, которые собирают, хранят, передают или иным образом обрабатывают данные физических лиц.
Ключевые изменения затрагивают три блока: порядок уведомления уполномоченного органа о начале обработки данных, технические и организационные требования к защите баз данных, а также сроки уведомления об инцидентах — утечках и несанкционированном доступе. Требования стали более детализированными и предполагают документальное подтверждение каждого из этапов обработки.
Аудит обработки персональных данных позволяет выявить нарушения до проверки — и устранить их без штрафных последствий.
Проверить обработку персональных данныхКого затрагивают новые требования?
Новые правила распространяются на все организации, которые обрабатывают персональные данные граждан Республики Казахстан, — вне зависимости от формы собственности, отраслевой принадлежности и размера бизнеса. Под действие закона подпадают как крупные корпорации с развитой IT-инфраструктурой, так и небольшие компании, ведущие базу клиентов или кадровый учёт.
Для топ-менеджера практический смысл изменений следующий: ответственность за соблюдение требований лежит на операторе данных — то есть на юридическом лице, которое определяет цели и способы обработки. Директор подписывает политику обработки персональных данных и несёт ответственность за её исполнение. Делегирование обработки третьим лицам (аутсорсинг, облачные сервисы) не снимает ответственности с оператора.
Что делать руководителю прямо сейчас?
Первый шаг — провести внутренний аудит: составить реестр обрабатываемых данных, проверить наличие согласий субъектов, оценить актуальность политики конфиденциальности и договоров с подрядчиками, которые получают доступ к данным. По нашему опыту, большинство компаний обнаруживают пробелы уже на этапе инвентаризации — устаревшие формы согласий, отсутствие регламентов реагирования на инциденты, хранение данных на зарубежных серверах без надлежащего правового основания.
Второй шаг — привести документацию в соответствие: обновить политику обработки персональных данных, заключить соглашения об обработке с подрядчиками, назначить ответственного за защиту данных внутри компании. Уведомление уполномоченного органа подаётся до начала обработки — если компания уже работает с данными, уведомление должно быть направлено в установленные сроки.
Частые вопросы
1. Нужно ли уведомлять уполномоченный орган об обработке данных?
По действующему казахстанскому законодательству операторы персональных данных обязаны уведомлять уполномоченный орган о начале обработки данных. Уведомление подаётся до начала обработки. Порядок и форма уведомления установлены нормативными актами Министерства цифрового развития, инноваций и аэрокосмической промышленности РК. Несоблюдение этого требования влечёт административную ответственность.
2. Какой штраф за нарушение закона о персональных данных?
Нарушение требований Закона о персональных данных и их защите влечёт административную ответственность. Размер санкций зависит от характера нарушения и субъекта ответственности — физического лица, должностного лица или юридического лица. Для юридических лиц санкции существенно выше. Повторные нарушения, а также нарушения, повлёкшие ущерб субъектам данных, могут квалифицироваться строже. Точные размеры штрафов установлены Кодексом об административных правонарушениях РК и периодически пересматриваются.
3. Можно ли хранить персональные данные казахстанцев за границей?
Казахстанское законодательство устанавливает требование локализации: базы данных, содержащие персональные данные граждан Республики Казахстан, должны размещаться на серверах, физически находящихся на территории Казахстана. Трансграничная передача данных допускается при соблюдении ряда условий — в частности, при наличии согласия субъекта или если принимающая сторона обеспечивает надлежащий уровень защиты. Нарушение требования локализации является самостоятельным составом правонарушения.
Выводы
Обновлённые требования к защите персональных данных в Казахстане затрагивают практически каждую компанию, работающую с данными сотрудников или клиентов. Ответственность оператора не снимается при передаче обработки на аутсорсинг. Внутренний аудит и актуализация документации — минимальный набор действий, который позволяет снизить регуляторный риск до начала проверок.
Актуально на: 5 января 2026 года.
Если ситуация требует внимания — мы поможем разобраться.
Смежные направления
Направление практики
Персональные данные и IT-право — соответствие Закону о персональных данных, трансграничная передача, аудит обработки и IT-договоры.