Цифровой кодекс РК вступил в силу: ключевые изменения: последствия для бизнеса (вариант 2)
Казахстан принял Цифровой кодекс — системный нормативный акт, который меняет правила работы с персональными данными, кибербезопасностью и цифровой инфраструктурой для всех операторов данных в стране. Собственник бизнеса, который собирает, хранит или передаёт данные клиентов и сотрудников, теперь работает в новых правовых условиях. Игнорировать это — значит принимать на себя административные и репутационные риски.
Ваша компания собирает данные клиентов или сотрудников — Цифровой кодекс РК уже распространяется на вас. Проверить обработку персональных данных · info@vetrovkz.com
Что произошло: Цифровой кодекс РК как новый правовой каркас
Казахстан систематизировал цифровое законодательство в единый кодифицированный акт — Цифровой кодекс РК. Документ объединил и переработал нормы, ранее рассредоточенные по десяткам отраслевых законов: о персональных данных, об информатизации, о кибербезопасности, об электронной торговле и цифровых документах.
Для бизнеса это означает не просто обновление одного закона, а смену всей регуляторной логики. Требования стали более детальными, ответственность — более чёткой, а контроль — более системным. Закон о персональных данных и их защите теперь встроен в более широкую конструкцию с усиленными механизмами надзора.
Если ваша компания передаёт данные клиентов подрядчикам или хранит их в облаке — проверьте соответствие новым требованиям до первой проверки.
Проверить обработку персональных данныхКого затрагивают изменения?
Новые требования распространяются на любую компанию, которая в ходе деятельности обрабатывает персональные данные — то есть практически на весь бизнес в Казахстане. Под действие Цифрового кодекса подпадают интернет-магазины, HR-службы, медицинские организации, финтех-компании, логистика, ритейл и сервисные предприятия.
- Операторы персональных данных — компании, самостоятельно определяющие цели и способы обработки данных.
- Третьи лица — подрядчики и партнёры, которым данные передаются для обработки.
- Иностранные компании, оказывающие услуги казахстанским пользователям дистанционно.
Особое внимание — к компаниям с большим объёмом клиентских баз, к работодателям с численностью персонала свыше нескольких десятков человек и к бизнесу, использующему облачные сервисы с зарубежными серверами.
Что изменилось: ключевые обязанности для собственника бизнеса
Цифровой кодекс РК вводит или уточняет несколько блоков требований, которые напрямую затрагивают операционную деятельность компании.
- Локализация данных. Базы данных с персональными данными граждан Казахстана должны размещаться на серверах внутри страны. Использование зарубежных облачных платформ без соблюдения этого требования является нарушением.
- Согласие субъекта. Требования к форме и содержанию согласия на обработку данных стали строже. Согласие должно быть конкретным, информированным и отзываемым.
- Уведомление об утечках. При инцидентах кибербезопасности, повлёкших несанкционированный доступ к данным, оператор обязан уведомить уполномоченный орган в установленные сроки.
- Политика обработки данных. Компания обязана иметь актуальный внутренний документ, описывающий цели, способы и сроки обработки персональных данных.
Частые вопросы
1. Какой штраф за нарушение закона о персональных данных?
Размер административных санкций за нарушение требований в области персональных данных в Казахстане зависит от характера нарушения и субъекта ответственности. Для юридических лиц санкции, как правило, существенно выше, чем для физических. Конкретные размеры штрафов устанавливаются в МРП — в 2026 году МРП составляет 4 325 тенге (по состоянию на 2026 год). Повторные нарушения и нарушения, повлёкшие утечку данных, влекут более строгие последствия. Рекомендуем уточнять актуальные санкции у юриста, поскольку с принятием Цифрового кодекса РК ответственность пересматривается.
2. Можно ли хранить персональные данные казахстанцев за границей?
Казахстанское законодательство о персональных данных устанавливает требование локализации: базы данных, содержащие персональные данные граждан Казахстана, должны размещаться на серверах, физически расположенных на территории Республики Казахстан. Трансграничная передача данных допускается при соблюдении ряда условий — в частности, при наличии согласия субъекта или при передаче в страны с адекватным уровнем защиты данных. Цифровой кодекс РК уточняет и расширяет эти требования. Нарушение правил локализации является самостоятельным основанием для привлечения к ответственности.
3. Как долго можно хранить персональные данные?
Срок хранения персональных данных определяется целью их сбора: данные должны уничтожаться или обезличиваться, как только цель достигнута. Если цель — исполнение договора, данные хранятся на протяжении срока договора и в течение установленного законодательством срока исковой давности. Для кадровых данных действуют отдельные архивные сроки. Бессрочное хранение персональных данных без обоснованной цели является нарушением. Цифровой кодекс РК закрепляет принцип минимизации данных, обязывая операторов регулярно пересматривать необходимость дальнейшего хранения.
Выводы
Цифровой кодекс РК — не точечная поправка, а системное обновление правил работы с данными в Казахстане. Собственник бизнеса, который собирает данные клиентов, сотрудников или партнёров, обязан привести внутренние процессы в соответствие: пересмотреть политику обработки данных, проверить договоры с подрядчиками и убедиться в соблюдении требований локализации. Промедление увеличивает риск штрафов и репутационных потерь при первой же проверке.
Актуально на: 2 января 2026 года.
Если ситуация требует внимания — мы поможем разобраться.
Смежные направления
Направление практики
Персональные данные и IT-право — соответствие Закону о персональных данных, трансграничная передача, аудит обработки и IT-договоры.