Цифровой кодекс РК вступил в силу: ключевые изменения: новые правила
В Казахстане вступил в силу Цифровой кодекс — системный нормативный акт, который меняет требования к обработке персональных данных, кибербезопасности и цифровым сервисам. Для топ-менеджеров это означает новые обязанности и повышенную ответственность за несоблюдение правил работы с данными.
Ваша компания обрабатывает персональные данные клиентов или сотрудников? Проверить обработку персональных данных · info@vetrovkz.com
Что произошло: Цифровой кодекс РК вступил в силу
Казахстан принял и ввёл в действие Цифровой кодекс — единый кодифицированный акт в сфере цифрового регулирования. Документ объединяет нормы о персональных данных, кибербезопасности, электронном документообороте и цифровых государственных услугах, которые ранее были рассредоточены по нескольким законам.
Ключевое изменение для бизнеса — расширение перечня обязанностей операторов персональных данных и ужесточение требований к их защите. Компании, которые собирают, хранят или передают данные казахстанских пользователей, обязаны привести свои процессы в соответствие с новыми нормами.
Если ваша компания передаёт данные за рубеж или работает с иностранными партнёрами — трансграничная передача персональных данных теперь требует отдельного правового обоснования.
Проверить обработку персональных данныхКого затрагивают новые правила?
Новые требования распространяются на все организации, работающие с персональными данными физических лиц на территории Казахстана. Под действие кодекса подпадают как казахстанские юридические лица, так и иностранные компании, если они обрабатывают данные резидентов РК.
Особое внимание уделяется операторам, работающим с чувствительными категориями данных: биометрией, сведениями о здоровье, финансовой информацией. Для них установлены повышенные требования к локализации хранения и уведомлению уполномоченного органа.
- Интернет-платформы и маркетплейсы с казахстанской аудиторией
- Работодатели, ведущие электронный кадровый учёт
- Финансовые организации и страховые компании
- Медицинские учреждения и телемедицинские сервисы
- Государственные и квазигосударственные структуры
Что делать топ-менеджеру прямо сейчас?
Первый шаг — провести аудит текущих процессов обработки персональных данных: выявить, какие данные собираются, на каком основании, где хранятся и кому передаются. По сложившейся практике компании, которые провели такой аудит заблаговременно, значительно быстрее проходят проверки уполномоченных органов.
Параллельно стоит пересмотреть внутренние политики и согласия на обработку данных — формы, которые использовались до вступления кодекса в силу, могут не соответствовать обновлённым требованиям. Отдельного внимания требует вопрос трансграничной передачи данных: если ваша компания использует зарубежные облачные сервисы или передаёт данные иностранным контрагентам, это направление необходимо проверить в первую очередь.
Частые вопросы
1. Как долго можно хранить персональные данные?
Казахстанское законодательство не устанавливает единый срок хранения персональных данных для всех категорий. Срок определяется целью обработки: данные должны уничтожаться или обезличиваться сразу после достижения цели, для которой они собирались. Для кадровых документов действуют отдельные архивные сроки по Трудовому кодексу РК. Рекомендуется закрепить сроки хранения во внутренней политике обработки персональных данных и регулярно проводить их ревизию.
2. Нужно ли согласие на обработку данных сотрудников?
Согласие сотрудника на обработку его персональных данных требуется в большинстве случаев, однако казахстанское законодательство предусматривает ряд исключений — в частности, когда обработка необходима для исполнения трудового договора. На практике работодатели включают согласие в текст трудового договора или оформляют отдельным документом при приёме на работу. Для чувствительных категорий данных (биометрия, здоровье) согласие обязательно в любом случае.
3. Что такое чувствительные персональные данные?
Чувствительные персональные данные — это категория сведений, обработка которых требует повышенной защиты и, как правило, явного согласия субъекта. К ним относятся данные о расовом или этническом происхождении, политических взглядах, религиозных убеждениях, состоянии здоровья, биометрические данные, а также сведения о судимостях. Казахстанский Закон о персональных данных и их защите устанавливает для этой категории более строгие требования к хранению, передаче и уничтожению.
Выводы
Вступление Цифрового кодекса РК в силу — не формальное событие, а реальное изменение требований к бизнесу. Компании, работающие с персональными данными казахстанских пользователей, обязаны пересмотреть свои процессы, политики и договорную базу. Промедление создаёт риски административной ответственности и репутационных потерь. Аудит обработки персональных данных — разумный первый шаг, который позволяет оценить масштаб необходимых изменений до прихода проверяющих.
Актуально на: 15 сентября 2026 года.
Если ситуация требует внимания — мы поможем разобраться.
Смежные направления
Направление практики
Персональные данные и IT-право — соответствие Закону о персональных данных, трансграничная передача, аудит обработки и IT-договоры.