Цифровой кодекс РК вступил в силу: ключевые изменения: последствия для бизнеса
В Казахстане вступил в силу Цифровой кодекс — системный нормативный акт, объединивший регулирование персональных данных, кибербезопасности и цифровой инфраструктуры. Для бизнеса это означает новые обязанности по защите данных, требования к локализации и повышенные санкции за нарушения. Компаниям, работающим с персональными данными казахстанских пользователей, необходимо провести аудит процессов обработки данных и привести внутренние политики в соответствие с новыми требованиями.
Ваша компания обрабатывает персональные данные клиентов или сотрудников? Проверить обработку персональных данных · info@vetrovkz.com
Что произошло: Цифровой кодекс РК вступил в силу
Цифровой кодекс Республики Казахстан вступил в силу в 2026 году и стал первым в стране кодифицированным актом в сфере цифрового регулирования. Документ объединил нормы, ранее разрозненно закреплённые в Законе о персональных данных и их защите, законодательстве об информатизации и смежных актах.
Ключевое изменение — переход от декларативных норм к конкретным требованиям с установленными сроками исполнения и санкциями. Кодекс вводит понятие «оператора персональных данных» с расширенным перечнем обязанностей, требования к назначению ответственного за защиту данных и обязательную регистрацию баз данных в уполномоченном органе.
Параллельно усилены требования к кибербезопасности: компании, относящиеся к субъектам критической информационной инфраструктуры, обязаны соответствовать новым стандартам защиты и уведомлять регулятора об инцидентах в установленные сроки.
Если ваша компания собирает данные через сайт, приложение или CRM — новые требования Цифрового кодекса затрагивают вас напрямую.
Проверить обработку персональных данныхКого затрагивают новые требования?
Цифровой кодекс распространяется на все организации, обрабатывающие персональные данные граждан Казахстана, — вне зависимости от формы собственности и места регистрации компании.
- Интернет-магазины, маркетплейсы и сервисные платформы с казахстанской аудиторией
- Работодатели, ведущие кадровый учёт сотрудников в электронном виде
- Финансовые организации, страховщики, медицинские учреждения
- Иностранные компании, предоставляющие услуги пользователям в Казахстане
Особое внимание уделяется обработке специальных категорий данных: биометрии, сведений о здоровье, религиозных и политических взглядах. Для таких данных установлены повышенные требования к согласию субъекта и техническим мерам защиты.
Что делать бизнесу: первые шаги
Приоритетная задача для большинства компаний — провести аудит текущих процессов обработки персональных данных и выявить несоответствия новым требованиям Цифрового кодекса.
- Составить реестр баз данных с персональными данными и проверить их регистрацию
- Обновить политику конфиденциальности и формы согласия на обработку данных
- Назначить ответственного за защиту персональных данных (если требуется по масштабу обработки)
- Проверить соответствие серверной инфраструктуры требованиям локализации
- Пересмотреть договоры с подрядчиками, которым передаются персональные данные
Подробнее о требованиях к обработке данных и типичных нарушениях — в материале «Цифровой кодекс РК: обзор ключевых изменений». Вопросы дистанционной работы и хранения кадровых данных рассмотрены в руководстве «Оформление дистанционной работы в Казахстане». Актуальные новости по теме — в материале «Цифровой кодекс РК: новые разъяснения».
Частые вопросы
1. Какой штраф за нарушение закона о персональных данных?
Казахстанское законодательство предусматривает административную ответственность за нарушение требований в сфере персональных данных. Размер санкций исчисляется в МРП и зависит от характера нарушения: незаконная обработка, непредоставление доступа субъекту, нарушение требований локализации. Для юридических лиц суммы существенно выше, чем для физических. Уточнять актуальные размеры санкций следует в действующей редакции законодательства на момент проверки.
2. Можно ли хранить персональные данные казахстанцев за границей?
Казахстанское законодательство о персональных данных устанавливает требование локализации: базы данных, содержащие персональные данные граждан Казахстана, должны размещаться на серверах, физически находящихся на территории Республики Казахстан. Трансграничная передача данных допускается при соблюдении ряда условий, в том числе при наличии согласия субъекта или при передаче в страны с надлежащим уровнем защиты. Нарушение требования локализации влечёт административную ответственность.
3. Как долго можно хранить персональные данные?
Срок хранения персональных данных определяется целью их обработки: данные не должны храниться дольше, чем это необходимо для достижения заявленной цели. После её достижения данные подлежат уничтожению или обезличиванию. Для отдельных категорий данных (кадровые документы, бухгалтерия) сроки хранения устанавливаются специальным законодательством. Компаниям рекомендуется закрепить сроки хранения в политике обработки персональных данных.
Выводы
Цифровой кодекс РК системно меняет требования к обработке персональных данных в Казахстане: вводит новые обязанности операторов, ужесточает требования к локализации и кибербезопасности, повышает санкции за нарушения. Компаниям, работающим с данными казахстанских пользователей, рекомендуется провести аудит текущих процессов и привести политики в соответствие с новыми нормами — не дожидаясь проверки регулятора. Своевременная адаптация, как правило, обходится значительно дешевле, чем устранение нарушений под давлением надзорного органа.
Актуально на: 1 сентября 2026 года.
Если ситуация требует внимания — мы поможем разобраться.
Смежные направления
Направление практики
Персональные данные и IT-право — соответствие Закону о персональных данных, трансграничная передача, аудит обработки и IT-договоры.