Персональные данные в Казахстане: полное руководство для бизнеса
Любой казахстанский бизнес, собирающий данные клиентов, сотрудников или пользователей, является оператором персональных данных и несёт юридическую ответственность за их обработку. Закон о персональных данных и их защите устанавливает обязанности по регистрации баз данных, получению согласия, локализации хранения и реагированию на утечки. Нарушение этих требований влечёт административную ответственность и гражданские иски от субъектов данных.
Если вы собираете данные клиентов или сотрудников и не уверены в соответствии требованиям казахстанского законодательства — Проверить обработку персональных данных · info@vetrovkz.com
Что такое персональные данные по казахстанскому законодательству
Персональные данные в Казахстане — это любые сведения, относящиеся к определённому или определяемому физическому лицу. Закон о персональных данных и их защите охватывает широкий круг информации: имя, адрес, телефон, email, идентификационный номер, биометрические данные, сведения о здоровье, финансовом положении и многое другое.
Для бизнеса принципиально важно понимать: данные считаются персональными не только тогда, когда они прямо идентифицируют человека, но и когда позволяют его идентифицировать косвенно — например, через комбинацию IP-адреса, геолокации и поведенческих паттернов. Это означает, что большинство CRM-систем, маркетинговых платформ и HR-инструментов работают с персональными данными.
Закон выделяет особые категории данных, требующие повышенной защиты: сведения о расовой и национальной принадлежности, политических взглядах, религиозных убеждениях, состоянии здоровья, судимостях. Обработка таких данных допустима только в строго определённых случаях и, как правило, требует явного согласия субъекта.
Собственнику бизнеса важно провести инвентаризацию: какие данные собирает компания, на каком основании, где хранит и кому передаёт. Без этого понимания выстроить соответствующую систему защиты невозможно.
Если ваши формы сбора данных не соответствуют требованиям казахстанского законодательства — это риск административной ответственности и претензий от субъектов данных.
Проверить обработку персональных данныхКто является оператором и какие обязанности это влечёт
Оператором персональных данных в Казахстане признаётся любое лицо, которое самостоятельно или совместно с другими определяет цели и способы обработки данных. На практике это означает, что практически каждая компания — от интернет-магазина до производственного предприятия — является оператором.
Основные обязанности оператора включают несколько ключевых направлений. Первое — получение законного основания для обработки: согласие субъекта, исполнение договора, выполнение требований законодательства или иное основание, предусмотренное Законом о персональных данных и их защите. Второе — регистрация баз данных, содержащих персональные данные, в уполномоченном органе.
Третье направление — обеспечение технических и организационных мер защиты: разграничение доступа, шифрование, резервное копирование, журналирование операций. Четвёртое — соблюдение прав субъектов данных: права на доступ, исправление, удаление и ограничение обработки.
- Разработать и утвердить политику обработки персональных данных
- Назначить ответственного за организацию обработки данных
- Зарегистрировать базы данных в уполномоченном органе
- Обеспечить технические меры защиты информационных систем
- Установить порядок реагирования на запросы субъектов данных
Согласие субъекта данных: когда оно нужно и как его получить
Согласие субъекта данных — основной и наиболее распространённый способ легализации обработки персональных данных в Казахстане. Однако не любое согласие является действительным: закон предъявляет к нему конкретные требования.
Действительное согласие должно быть свободным, конкретным, информированным и однозначным. «Галочка» в форме регистрации, проставленная по умолчанию, не соответствует этим требованиям. Субъект должен активно выразить своё согласие, понимая, какие именно данные собираются, с какой целью и кому они могут быть переданы.
Согласие может быть отозвано в любой момент. Оператор обязан обеспечить простой механизм отзыва и прекратить обработку данных после получения такого запроса — за исключением случаев, когда обработка необходима для исполнения договора или выполнения требований законодательства.
Для ряда категорий данных — биометрических, медицинских, данных несовершеннолетних — требования к согласию ужесточены. Обработка данных детей до 16 лет требует согласия родителей или законных представителей.
Регистрация баз данных: кто обязан и как это сделать
Регистрация баз данных персональных данных в уполномоченном органе — обязательное требование казахстанского законодательства для операторов, осуществляющих автоматизированную обработку. Уполномоченным органом в сфере персональных данных выступает Министерство цифрового развития, инноваций и аэрокосмической промышленности РК.
Регистрации подлежат базы данных, содержащие персональные данные и используемые для автоматизированной обработки. Это охватывает большинство корпоративных информационных систем: CRM, ERP, системы кадрового учёта, маркетинговые платформы, мобильные приложения с пользовательскими аккаунтами.
Процедура регистрации предполагает подачу заявления с описанием базы данных: наименование, цели обработки, категории субъектов и данных, сроки хранения, меры защиты. Изменение существенных параметров базы данных требует внесения изменений в регистрационные сведения.
Нарушение требования о регистрации является самостоятельным составом административного правонарушения. На практике многие компании игнорируют эту обязанность, не осознавая, что она распространяется на стандартные бизнес-системы, а не только на специализированные базы данных.
Локализация данных: что значит хранить данные в Казахстане
Казахстанское законодательство устанавливает требование локализации: базы данных, содержащие персональные данные граждан Республики Казахстан, должны храниться на серверах, физически расположенных на территории РК. Это требование распространяется на операторов независимо от их юрисдикции — если компания собирает данные казахстанских пользователей, она обязана обеспечить их локальное хранение.
Требование локализации не означает полного запрета на использование зарубежных облачных сервисов. Допустима схема, при которой первичное хранение осуществляется в Казахстане, а зеркалирование или резервное копирование — за рубежом. Однако основная база данных должна находиться в казахстанском дата-центре.
Для иностранных компаний, работающих на казахстанском рынке через веб-сервисы или мобильные приложения, требование локализации создаёт практические сложности. Использование глобальных облачных платформ без казахстанских узлов может нарушать это требование.
- Провести аудит: где физически хранятся данные казахстанских пользователей
- Проверить договоры с облачными провайдерами на предмет локации серверов
- При необходимости — перенести данные в казахстанский дата-центр или выбрать провайдера с казахстанской инфраструктурой
- Зафиксировать в политике обработки данных информацию о местах хранения
Трансграничная передача персональных данных из Казахстана
Трансграничная передача персональных данных — передача данных оператором на территорию иностранного государства — допустима при соблюдении условий, установленных Законом о персональных данных и их защите. Ключевое условие: страна-получатель должна обеспечивать надлежащий уровень защиты персональных данных.
Если страна-получатель не обеспечивает надлежащий уровень защиты, трансграничная передача возможна только при наличии дополнительных гарантий: явного согласия субъекта данных на передачу с уведомлением о рисках, либо договора с получателем, предусматривающего меры защиты, эквивалентные казахстанским требованиям.
На практике трансграничная передача данных происходит постоянно: при использовании зарубежных CRM-систем, email-сервисов, платёжных шлюзов, аналитических платформ. Большинство компаний не осознают, что передача данных на серверы зарубежного SaaS-провайдера является трансграничной передачей и требует правового основания.
Подробнее о порядке приведения обработки данных в соответствие с требованиями казахстанского законодательства — в материале «Как привести обработку персональных данных в соответствие с законом».
Права субъектов данных и обязанности бизнеса по их соблюдению
Субъект персональных данных в Казахстане наделён комплексом прав, которые оператор обязан обеспечить. Игнорирование этих прав — самостоятельное основание для административной ответственности и гражданских претензий.
Право на доступ позволяет субъекту запросить у оператора подтверждение факта обработки его данных и получить копию обрабатываемых сведений. Оператор обязан ответить на такой запрос в установленный срок. Право на исправление даёт субъекту возможность потребовать уточнения неточных или неполных данных.
Право на удаление («право быть забытым») обязывает оператора уничтожить данные субъекта по его требованию, если основание для обработки отпало. Исключения — случаи, когда обработка необходима для исполнения договора, выполнения требований законодательства или защиты законных интересов оператора.
- Разработать процедуру обработки запросов субъектов данных с фиксацией сроков ответа
- Назначить ответственного сотрудника для работы с такими запросами
- Обеспечить технические возможности для исправления и удаления данных
- Вести журнал запросов субъектов и принятых мер
Что делать при утечке персональных данных
Утечка персональных данных — инцидент, при котором данные стали доступны неуполномоченным лицам в результате взлома, ошибки сотрудника, технического сбоя или иного события. Казахстанское законодательство устанавливает обязанности оператора при выявлении такого инцидента.
Оператор обязан незамедлительно принять меры по локализации инцидента: ограничить доступ к скомпрометированным данным, приостановить обработку при необходимости, провести техническое расследование. Параллельно необходимо уведомить уполномоченный орган об инциденте в установленные сроки.
Субъекты данных, чьи сведения были скомпрометированы, также должны быть уведомлены, если инцидент создаёт для них высокий риск. Уведомление должно содержать описание инцидента, категории затронутых данных, контактные данные ответственного лица и рекомендации по снижению рисков.
Пошаговый алгоритм действий при утечке данных — в материале «Чек-лист действий при утечке данных в Казахстане». Промедление с реагированием усугубляет ответственность оператора и увеличивает риск претензий от субъектов данных.
Персональные данные сотрудников: особенности для работодателя
Работодатель является оператором персональных данных своих сотрудников и несёт все соответствующие обязанности. При этом трудовые отношения создают специфику: часть обработки данных осуществляется на основании Трудового кодекса РК, а не согласия работника.
Обработка данных, необходимых для исполнения трудового договора и выполнения требований трудового законодательства, не требует отдельного согласия сотрудника. Это охватывает кадровый учёт, расчёт заработной платы, социальные отчисления, воинский учёт. Однако обработка данных за пределами этих целей — например, мониторинг активности в интернете или использование биометрии для контроля рабочего времени — требует отдельного правового основания.
Работодатель обязан ознакомить сотрудников с политикой обработки персональных данных, обеспечить конфиденциальность данных и ограничить доступ к ним кругом лиц, которым это необходимо для выполнения трудовых функций. Передача данных сотрудников третьим лицам — кадровым агентствам, аутсорсинговым компаниям — требует правового основания и договорных гарантий защиты.
О документах, которые обязан вести работодатель в Казахстане, — в материале «Какие документы обязан вести работодатель в Казахстане».
Кибербезопасность и технические меры защиты данных
Казахстанское законодательство обязывает операторов принимать технические и организационные меры, обеспечивающие защиту персональных данных от несанкционированного доступа, уничтожения, изменения, блокирования и распространения. Конкретный набор мер зависит от категории обрабатываемых данных и масштаба обработки.
Технические меры включают разграничение прав доступа по принципу минимальных привилегий, шифрование данных при хранении и передаче, многофакторную аутентификацию для доступа к системам с персональными данными, регулярное резервное копирование и журналирование операций. Организационные меры — политики и регламенты, обучение сотрудников, проверка контрагентов.
Отдельного внимания требует безопасность мобильных приложений и веб-сервисов, работающих с персональными данными. Уязвимости в коде, незащищённые API, слабые механизмы аутентификации — типичные точки входа для злоумышленников. Регулярный аудит безопасности и тестирование на проникновение снижают эти риски.
- Провести инвентаризацию систем, обрабатывающих персональные данные
- Внедрить разграничение прав доступа и многофакторную аутентификацию
- Обеспечить шифрование данных при хранении и передаче
- Разработать план реагирования на инциденты информационной безопасности
- Проводить регулярное обучение сотрудников по вопросам защиты данных
Ответственность за нарушения: административная и гражданская
Нарушение требований казахстанского законодательства о персональных данных влечёт административную ответственность по Кодексу об административных правонарушениях РК. Размер штрафов исчисляется в МРП — в 2026 году МРП составляет 4 325 тенге (по состоянию на 2026 год).
Составы административных правонарушений охватывают широкий спектр нарушений: незаконная обработка персональных данных без законного основания, непринятие мер по защите данных, нарушение порядка трансграничной передачи, отказ в предоставлении субъекту информации о его данных, нарушение требования о регистрации баз данных. Каждый состав — самостоятельное правонарушение.
Помимо административной, оператор несёт гражданско-правовую ответственность перед субъектами данных. Если незаконная обработка или утечка данных причинила субъекту вред — материальный или моральный — он вправе обратиться в суд с требованием о возмещении. Гражданский кодекс РК устанавливает общее правило о полном возмещении причинённого вреда.
Для собственника бизнеса важно понимать: ответственность несёт не только юридическое лицо, но и должностные лица, допустившие нарушение. Директор или иное ответственное лицо может быть привлечено к административной ответственности персонально.
Как провести аудит персональных данных в компании
Аудит персональных данных — систематическая проверка того, как компания собирает, хранит, обрабатывает и передаёт персональные данные, и насколько эта деятельность соответствует требованиям казахстанского законодательства. Для большинства компаний аудит выявляет существенные пробелы.
Первый этап аудита — инвентаризация данных: составление реестра всех категорий персональных данных, которые обрабатывает компания, с указанием источников получения, целей обработки, мест хранения и получателей. Этот реестр становится основой для всей последующей работы.
Второй этап — правовой анализ: для каждой категории данных определяется законное основание обработки, проверяется наличие и корректность согласий, соответствие форм сбора данных требованиям закона. Третий этап — технический: оценка мер защиты информационных систем, проверка настроек доступа, анализ договоров с IT-подрядчиками.
По результатам аудита формируется план устранения выявленных нарушений с приоритизацией по степени риска. Как правило, наиболее критичные пробелы — отсутствие регистрации баз данных, некорректные формы согласия и незащищённая трансграничная передача данных. Подробнее о процедуре приведения обработки в соответствие — в материале «Как привести обработку персональных данных в соответствие с законом».
Цифровой кодекс и развитие регулирования персональных данных в Казахстане
Казахстанское регулирование персональных данных находится в активной стадии развития. Действующий Закон о персональных данных и их защите дополняется отраслевыми требованиями в сфере финансов, здравоохранения, электронной коммерции и государственных услуг.
Концепция Цифрового кодекса РК предполагает консолидацию норм в сфере цифровых отношений, включая обработку персональных данных, в единый кодифицированный акт. Это направление развития регулирования требует от бизнеса готовности к адаптации существующих практик обработки данных.
Параллельно ужесточается правоприменение: уполномоченный орган активизировал проверочную деятельность, а субъекты данных становятся более осведомлёнными о своих правах. Компании, выстроившие систему защиты данных заблаговременно, имеют существенное преимущество перед теми, кто реагирует на претензии постфактум.
Для иностранных инвесторов и компаний, работающих в Казахстане, важно учитывать, что требования казахстанского законодательства о персональных данных применяются независимо от юрисдикции регистрации оператора — если он обрабатывает данные казахстанских граждан или использует оборудование, расположенное в Казахстане.
Частые вопросы
1. Кто считается оператором персональных данных в Казахстане?
Оператором персональных данных в Казахстане признаётся любое лицо — физическое, юридическое или государственный орган — которое самостоятельно или совместно с другими определяет цели и способы обработки персональных данных. На практике это означает, что практически любой бизнес, собирающий данные клиентов, сотрудников или партнёров, является оператором и несёт полный объём обязанностей по Закону о персональных данных и их защите. Статус оператора не зависит от масштаба бизнеса: ИП с базой клиентов в 100 человек несёт те же базовые обязанности, что и крупная корпорация.
2. Нужно ли уведомлять уполномоченный орган об обработке данных?
По действующему казахстанскому законодательству операторы обязаны регистрировать базы данных, содержащие персональные данные, в уполномоченном органе — Министерстве цифрового развития, инноваций и аэрокосмической промышленности РК. Требование распространяется на базы данных, которые используются для автоматизированной обработки. Порядок регистрации и перечень исключений установлены действующим законодательством РК. Нарушение требования о регистрации является самостоятельным составом административного правонарушения, поэтому откладывать регистрацию не рекомендуется.
3. Какой штраф за нарушение закона о персональных данных?
Административная ответственность за нарушения в сфере персональных данных в Казахстане предусмотрена Кодексом об административных правонарушениях РК. Размер штрафов исчисляется в МРП — в 2026 году МРП составляет 4 325 тенге (по состоянию на 2026 год). Конкретный размер зависит от характера нарушения: незаконная обработка, непринятие мер защиты, нарушение порядка трансграничной передачи, отказ субъекту в доступе к его данным. Помимо административной, возможна гражданско-правовая ответственность за причинённый вред субъекту данных — в том числе компенсация морального вреда.
4. Можно ли хранить персональные данные казахстанцев за границей?
Трансграничная передача персональных данных из Казахстана допустима при соблюдении ряда условий: страна-получатель должна обеспечивать надлежащий уровень защиты данных, либо оператор обязан принять дополнительные меры — получить согласие субъекта или заключить договор с получателем, гарантирующий соответствующий уровень защиты. Первичное хранение баз данных граждан Казахстана должно осуществляться на серверах, расположенных на территории РК. Использование зарубежных облачных сервисов без казахстанских узлов может нарушать требование о локализации.
5. Как долго можно хранить персональные данные?
Казахстанское законодательство устанавливает принцип ограничения хранения: персональные данные должны храниться не дольше, чем это необходимо для достижения целей обработки. После достижения цели или по истечении установленного срока данные подлежат уничтожению или обезличиванию. Конкретные сроки хранения определяются целью обработки, отраслевыми требованиями и договорными обязательствами. Для кадровых документов действуют сроки, установленные законодательством об архивном деле. Хранение данных «на всякий случай» без определённой цели является нарушением принципа минимизации данных.
6. Нужно ли согласие сотрудника на обработку его персональных данных?
Обработка персональных данных сотрудника, необходимая для исполнения трудового договора и выполнения требований Трудового кодекса РК, не требует отдельного согласия. Это охватывает кадровый учёт, расчёт заработной платы, социальные отчисления. Однако обработка данных за пределами этих целей — биометрия, мониторинг активности, передача данных третьим лицам — требует отдельного правового основания, как правило, согласия. Работодатель обязан ознакомить сотрудников с политикой обработки персональных данных под подпись.
7. Что такое обезличивание данных и когда оно применяется?
Обезличивание — процедура, в результате которой становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту. Обезличенные данные выходят из-под действия требований о защите персональных данных, что позволяет использовать их для аналитики, исследований и тестирования без ограничений. Обезличивание применяется как альтернатива удалению данных по истечении срока хранения, а также при передаче данных для аналитических целей. Важно: псевдонимизация (замена идентификаторов псевдонимами) не является обезличиванием, если возможна повторная идентификация.
8. Как правильно составить политику обработки персональных данных?
Политика обработки персональных данных — обязательный документ для любого оператора в Казахстане. Она должна содержать: наименование и контактные данные оператора, цели и правовые основания обработки, категории субъектов и данных, сроки хранения, порядок реализации прав субъектов, сведения о трансграничной передаче и мерах защиты. Политика должна быть размещена в открытом доступе — как правило, на сайте компании — и изложена ясным языком, понятным субъектам данных. Документ необходимо актуализировать при изменении практик обработки данных.
9. Какие данные относятся к особым категориям и почему это важно?
Особые категории персональных данных в Казахстане включают сведения о расовой и национальной принадлежности, политических взглядах, религиозных убеждениях, состоянии здоровья, биометрические данные и сведения о судимостях. Обработка таких данных допустима только в строго определённых случаях: как правило, требуется явное согласие субъекта или специальное основание в законодательстве. Для бизнеса это означает повышенные требования при работе с медицинскими данными пациентов, биометрией для контроля доступа, данными о религиозных предпочтениях в HR-системах.
10. Что такое поручение на обработку персональных данных?
Поручение на обработку — договорная конструкция, при которой оператор передаёт обработку персональных данных третьему лицу (обработчику) для выполнения конкретных задач. Типичные примеры: передача данных в аутсорсинговую бухгалтерию, облачному провайдеру, колл-центру. Оператор остаётся ответственным перед субъектами данных, а обработчик действует строго в рамках инструкций оператора. Договор с обработчиком должен содержать обязательства по конфиденциальности, мерам защиты и ограничению целей обработки. Отсутствие такого договора — типичное нарушение, выявляемое при проверках.
11. Как субъект данных может реализовать своё право на удаление?
Субъект данных вправе направить оператору требование об удалении своих персональных данных, если основание для их обработки отпало или обработка осуществляется незаконно. Оператор обязан рассмотреть требование и либо удалить данные, либо мотивированно отказать — например, если данные необходимы для исполнения договора или выполнения требований законодательства. Оператор должен обеспечить простой и доступный механизм подачи таких требований. Игнорирование запроса субъекта является самостоятельным нарушением и основанием для жалобы в уполномоченный орган.
12. Распространяются ли требования казахстанского закона на иностранные компании?
Требования казахстанского законодательства о персональных данных применяются к иностранным компаниям, если они обрабатывают данные граждан Республики Казахстан или используют оборудование, расположенное на территории РК. Это означает, что зарубежный интернет-сервис, работающий с казахстанскими пользователями, обязан соблюдать требования о локализации, трансграничной передаче и правах субъектов. На практике правоприменение в отношении иностранных компаний ограничено, однако риск претензий существует — особенно при наличии казахстанского юридического лица в структуре группы.
13. Нужно ли согласие на обработку данных при заключении договора?
При заключении договора обработка персональных данных, необходимая для его исполнения, не требует отдельного согласия — исполнение договора является самостоятельным законным основанием. Это охватывает данные, без которых исполнение договора невозможно: имя, адрес доставки, платёжные реквизиты. Однако обработка данных за пределами этих целей — например, для маркетинговых рассылок или передачи партнёрам — требует отдельного согласия. Рекомендуется разграничивать согласие на исполнение договора и согласие на маркетинговую обработку данных.
14. Что проверяет уполномоченный орган при плановой проверке?
При плановой проверке уполномоченный орган, как правило, проверяет: наличие и корректность регистрации баз данных, наличие политики обработки персональных данных и её соответствие фактическим практикам, корректность форм согласия, наличие договоров с обработчиками, технические меры защиты информационных систем, порядок реализации прав субъектов данных, соблюдение требований о локализации и трансграничной передаче. Подготовка к проверке включает актуализацию документации, проверку технических мер и обучение ответственных сотрудников.
15. Как защититься от претензий субъектов данных?
Защита от претензий субъектов данных строится на нескольких элементах. Первый — документальное подтверждение законного основания обработки: хранить согласия, договоры, внутренние регламенты. Второй — оперативное реагирование на запросы субъектов: отвечать в установленные сроки, фиксировать переписку. Третий — прозрачность: политика обработки данных должна точно описывать фактические практики. Четвёртый — технические меры: минимизировать данные, ограничивать доступ, шифровать. Компания, выстроившая систему защиты данных, существенно снижает риск как административных претензий, так и гражданских исков.
16. Что такое минимизация данных и почему это важно для бизнеса?
Минимизация данных — принцип, согласно которому оператор должен собирать и обрабатывать только те персональные данные, которые необходимы для достижения конкретной цели. Сбор «лишних» данных — на всякий случай, для возможного использования в будущем — является нарушением. Для бизнеса этот принцип означает практическую задачу: пересмотреть формы сбора данных и удалить поля, которые не нужны для заявленной цели. Минимизация данных снижает не только правовые риски, но и риски утечки: чем меньше данных хранится, тем меньше ущерб при инциденте.
17. Как оформить согласие на обработку данных в мобильном приложении?
Согласие на обработку персональных данных в мобильном приложении должно быть получено до начала обработки — как правило, при первом запуске или регистрации. Форма согласия должна содержать: перечень обрабатываемых данных, цели обработки, сведения об операторе, информацию о правах субъекта и порядке их реализации. Согласие должно быть активным — пользователь должен совершить действие (нажать кнопку, поставить галочку), а не просто продолжить использование приложения. Отдельные согласия рекомендуется получать на разные цели: основная функциональность, аналитика, маркетинговые коммуникации.
18. Нужен ли специальный сотрудник по защите данных?
Казахстанское законодательство обязывает операторов назначить лицо, ответственное за организацию обработки персональных данных. Это не обязательно отдельная штатная единица — функция может быть возложена на существующего сотрудника. Однако для компаний, обрабатывающих большие объёмы данных или особые категории, выделенный специалист по защите данных является практической необходимостью. Ответственное лицо должно знать требования законодательства, контролировать их соблюдение и взаимодействовать с уполномоченным органом.
19. Как обрабатывать данные клиентов в CRM-системе законно?
Законная обработка данных клиентов в CRM-системе предполагает несколько шагов. Первый — определить правовое основание для каждой категории данных: исполнение договора, согласие, законный интерес. Второй — получить корректные согласия там, где они необходимы, — особенно для маркетинговых коммуникаций. Третий — зарегистрировать базу данных CRM в уполномоченном органе. Четвёртый — проверить, где физически хранятся данные, и обеспечить соответствие требованию локализации. Пятый — настроить разграничение доступа к CRM по принципу минимальных привилегий.
20. Что изменится с принятием Цифрового кодекса РК?
Концепция Цифрового кодекса РК предполагает консолидацию норм в сфере цифровых отношений, включая обработку персональных данных, в единый кодифицированный акт. Ожидается усиление требований к защите данных, расширение прав субъектов и ужесточение ответственности операторов. Для бизнеса это означает необходимость выстраивать систему защиты данных с запасом: компании, уже соответствующие действующим требованиям, адаптируются к новым нормам с меньшими затратами. Следить за актуальными изменениями законодательства рекомендуется через официальные ресурсы Министерства цифрового развития РК.
Выводы
Персональные данные в Казахстане — зарегулированная область с реальной административной и гражданской ответственностью. Для собственника бизнеса ключевые риски: отсутствие регистрации баз данных, некорректные формы согласия, нарушение требования о локализации и незащищённая трансграничная передача данных. Большинство этих нарушений устраняются в ходе планового аудита — без необходимости кардинальной перестройки бизнес-процессов. Компании, выстроившие систему защиты данных заблаговременно, существенно снижают риск претензий со стороны уполномоченного органа и субъектов данных.
Актуально на: 8 сентября 2026 года.
Если ситуация требует внимания — мы поможем разобраться.
Смежные направления
Направление практики
Персональные данные и IT-право — соответствие Закону о персональных данных, трансграничная передача, аудит обработки и IT-договоры.