Цифровой кодекс РК вступил в силу: ключевые изменения
В Казахстане вступил в силу Цифровой кодекс — системный нормативный акт, объединивший регулирование персональных данных, кибербезопасности и цифровой инфраструктуры. Для собственников бизнеса это означает новые обязанности по защите данных клиентов и сотрудников, а также повышенную административную ответственность за нарушения.
Ваш бизнес обрабатывает данные клиентов или сотрудников — проверьте, соответствуете ли вы новым требованиям. Проверить обработку персональных данных · info@vetrovkz.com
Что произошло: Цифровой кодекс РК вступил в силу
Цифровой кодекс Республики Казахстан — новый системообразующий акт в сфере цифрового регулирования — вступил в силу в начале 2026 года. Документ консолидирует нормы, ранее рассредоточенные по отдельным законам: о персональных данных и их защите, об информатизации, об электронном документе и электронной цифровой подписи, о кибербезопасности.
До принятия кодекса казахстанское цифровое законодательство развивалось фрагментарно. Бизнес был вынужден ориентироваться в нескольких разрозненных актах, нередко содержавших противоречия. Кодекс устраняет эту проблему: единый документ устанавливает сквозные понятия, единую систему ответственности и согласованные процедуры.
Если ваша компания передаёт данные клиентов в облачные сервисы или за рубеж — это зона повышенного риска по новому кодексу.
Проверить обработку персональных данныхКого затрагивают изменения?
Новые требования затрагивают практически любой бизнес в Казахстане, который собирает, хранит или передаёт персональные данные. Под действие кодекса подпадают интернет-магазины, работодатели, медицинские организации, финансовые компании, платформы с пользовательскими аккаунтами и любые операторы, ведущие базы данных клиентов или сотрудников.
Особое внимание кодекс уделяет трём категориям субъектов:
- операторы персональных данных, обрабатывающие специальные категории — биометрию, медицинские сведения, данные о судимостях;
- владельцы критической информационной инфраструктуры;
- компании, передающие данные за рубеж или использующие иностранные облачные сервисы.
Для собственника среднего бизнеса наиболее практически значимы разделы о согласии на обработку данных, локализации хранения и уведомлении об инцидентах.
Что делать собственнику: три первых шага
Первый шаг — провести аудит обработки персональных данных: составить реестр данных, которые компания собирает, определить правовые основания обработки и проверить актуальность форм согласия. Большинство компаний обнаруживают, что используют устаревшие формулировки согласий или вовсе не имеют документированных оснований для части операций с данными.
Второй шаг — проверить договоры с подрядчиками и IT-поставщиками. Кодекс вводит требования к договорному оформлению передачи данных третьим лицам — так называемым «обработчикам». Если данные клиентов обрабатывает внешняя CRM, колл-центр или облачный сервис, договор должен содержать специальные положения о защите данных.
Третий шаг — назначить ответственного за защиту персональных данных внутри компании и разработать внутреннюю политику. Кодекс закрепляет требование к наличию такого лица для операторов, обрабатывающих данные в значительном объёме. Подробнее об обязанностях операторов — в материале об уведомлении уполномоченного органа.
Частые вопросы
1. Кто считается оператором персональных данных в Казахстане?
Оператором персональных данных в Казахстане признаётся любое лицо — физическое или юридическое, — которое самостоятельно или совместно с другими определяет цели и способы обработки персональных данных. На практике это большинство компаний, которые собирают данные клиентов, сотрудников или контрагентов: интернет-магазины, работодатели, банки, медицинские учреждения. Статус оператора влечёт обязанности по обеспечению защиты данных, уведомлению субъектов и соблюдению требований Закона о персональных данных и их защите.
2. Нужно ли уведомлять уполномоченный орган об обработке данных?
По действующему казахстанскому законодательству операторы персональных данных обязаны уведомлять уполномоченный орган об обработке данных в случаях, установленных Законом о персональных данных и их защите. Обязанность уведомления распространяется прежде всего на операторов, обрабатывающих специальные категории данных — биометрические, медицинские, данные о судимостях. Порядок и сроки уведомления устанавливаются подзаконными актами уполномоченного органа. Подробнее — в нашем материале о новых правилах защиты персональных данных в Казахстане.
3. Какой штраф за нарушение закона о персональных данных?
Административная ответственность за нарушение законодательства о персональных данных в Казахстане предусмотрена действующим кодексом об административных правонарушениях. Размер штрафа зависит от характера нарушения и субъекта ответственности: для должностных лиц и субъектов малого бизнеса — одни пороги, для крупных организаций — иные. Конкретные размеры штрафов исчисляются в МРП; по состоянию на 2026 год МРП составляет 4 325 тенге. Для уточнения актуальных размеров санкций применительно к вашей ситуации рекомендуется обратиться к юристу.
Выводы
Цифровой кодекс РК — не косметическое обновление, а системная перестройка регулирования. Для собственника бизнеса в Казахстане это означает конкретные обязанности: актуализировать согласия на обработку данных, оформить договоры с подрядчиками и назначить ответственного за защиту данных. Компании, которые не приведут процессы в соответствие, несут риск административной ответственности. Начать стоит с аудита — он покажет реальный масштаб изменений применительно к вашей ситуации.
Актуально на: 3 января 2026 года.
Если ситуация требует внимания — мы поможем разобраться.
Смежные направления
Направление практики
Персональные данные и IT-право — соответствие Закону о персональных данных, трансграничная передача, аудит обработки и IT-договоры.