Цифровой кодекс РК вступил в силу: ключевые изменения: срочный разбор
Казахстан принял Цифровой кодекс — комплексный нормативный акт, который объединяет регулирование персональных данных, кибербезопасности и цифровой инфраструктуры в единую систему. Документ вступил в силу осенью 2026 года и затрагивает практически каждую компанию, работающую с данными казахстанских пользователей или государственными информационными системами.
Ваша компания обрабатывает данные казахстанских пользователей — и теперь работает в новых условиях. Проверить обработку персональных данных · info@vetrovkz.com
Что произошло: Цифровой кодекс РК как новый правовой фундамент
Цифровой кодекс Республики Казахстан — это кодифицированный акт, который заменяет разрозненные нормы в сфере цифровизации, персональных данных и кибербезопасности единым документом. До его принятия регулирование было распределено между несколькими законами, что создавало правовые пробелы и противоречия на практике.
Кодекс закрепляет обязанности операторов персональных данных, требования к кибербезопасности для операторов критической информационной инфраструктуры, а также порядок взаимодействия с государственными информационными системами. Отдельный блок посвящён правам субъектов данных и механизмам их защиты.
Важно: Закон о персональных данных и их защите не отменяется полностью — часть его положений инкорпорирована в Кодекс, часть продолжает действовать в переходный период. Компаниям необходимо отслеживать, какие нормы применяются к их деятельности уже сейчас.
Если ваша компания хранит персональные данные клиентов или сотрудников — самое время проверить соответствие новым требованиям.
Провести аудит персональных данныхКого затрагивают изменения в первую очередь?
Новые требования распространяются на широкий круг субъектов: от крупных IT-компаний до малого бизнеса, ведущего базы клиентов. Под действие Кодекса подпадают операторы персональных данных, владельцы сайтов, собирающих данные казахстанских пользователей, работодатели и организации, использующие государственные информационные системы.
Повышенные требования установлены для операторов критической информационной инфраструктуры — финансовых организаций, телекоммуникационных компаний, операторов транспортной и энергетической инфраструктуры. Для них предусмотрены обязательная сертификация систем защиты и уведомление уполномоченного органа об инцидентах кибербезопасности в сжатые сроки.
Иностранные компании, обрабатывающие данные резидентов Казахстана, также обязаны соблюдать требования Кодекса — в части локализации данных и назначения представителя на территории РК.
Что делать бизнесу прямо сейчас?
Первый шаг — провести инвентаризацию: какие персональные данные обрабатывает компания, на каком основании, где хранятся и кому передаются. Это базовый аудит, без которого невозможно оценить реальный объём изменений.
Далее необходимо проверить документацию: политику конфиденциальности, формы согласия на обработку данных, договоры с третьими лицами, которым передаются данные. Кодекс ужесточает требования к содержанию согласия — оно должно быть конкретным, информированным и добровольным.
Компаниям, подпадающим под требования к кибербезопасности, следует оценить соответствие технических мер защиты новым стандартам и при необходимости привлечь специализированного подрядчика для аттестации систем. Подробнее о смежных вопросах структурирования и комплаенса читайте в разделе аналитики БЕРІК.
Частые вопросы
1. Как правильно собирать cookies на сайте в Казахстане?
Сайты, работающие с казахстанскими пользователями, обязаны получать явное согласие на сбор cookies до их установки. Согласие должно быть информированным: пользователь понимает, какие данные собираются и с какой целью. Баннер «Продолжая использование сайта, вы соглашаетесь» без возможности отказа не соответствует требованиям Закона о персональных данных и их защите. Необходимо предусмотреть раздельное согласие на функциональные, аналитические и маркетинговые cookies, а также возможность отозвать согласие в любой момент.
2. Что делать при запросе субъекта персональных данных?
При получении запроса от субъекта персональных данных оператор обязан ответить в установленный законодательством срок. Субъект вправе запросить подтверждение факта обработки, получить копию своих данных, потребовать исправления неточностей или удаления. Отказ в предоставлении информации без законного основания является нарушением. Рекомендуется разработать внутренний регламент обработки таких запросов с фиксацией даты получения, содержания и принятых мер — это снижает риски при проверке уполномоченного органа.
3. Кто считается оператором персональных данных в Казахстане?
Оператором персональных данных в Казахстане признаётся любое лицо — физическое или юридическое, государственный орган — которое самостоятельно или совместно с другими определяет цели и способы обработки персональных данных. Это охватывает компании, ведущие базы клиентов, работодателей, обрабатывающих данные сотрудников, а также владельцев сайтов, собирающих данные через формы регистрации или аналитику. Статус оператора влечёт полный объём обязанностей по Закону о персональных данных и их защите.
Выводы
Цифровой кодекс РК формирует новый стандарт работы с данными в Казахстане: требования к согласию, локализации, кибербезопасности и правам субъектов данных существенно детализированы. Компаниям, которые ещё не провели аудит своих процессов обработки данных, следует сделать это в приоритетном порядке — переходный период не бесконечен, а штрафы за нарушения предусмотрены действующим законодательством.
Актуально на: 13 октября 2026 года.
Если ситуация требует внимания — мы поможем разобраться.
Смежные направления
Направление практики
Персональные данные и IT-право — соответствие Закону о персональных данных, трансграничная передача, аудит обработки и IT-договоры.