Штрафы за нарушение закона о персональных данных в Казахстане: обзор изменений
Казахстанское законодательство о персональных данных последовательно ужесточается: размеры административных санкций растут, круг проверяемых субъектов расширяется, а уполномоченный орган переходит от предупреждений к реальным взысканиям. Собственник бизнеса, который хранит клиентские базы, использует CRM или ведёт сайт с формой обратной связи, уже является оператором персональных данных — со всеми вытекающими обязанностями по казахстанскому праву. В этом обзоре — актуальная картина санкций, типичные нарушения и практические шаги по снижению рисков.
Если ваша компания собирает данные клиентов или сотрудников — проверьте соответствие требованиям до проверки, а не после. Проверить обработку персональных данных · info@vetrovkz.com
Почему тема персональных данных стала приоритетом для казахстанского бизнеса
Закон о персональных данных и их защите действует в Казахстане уже более десяти лет, однако реальное правоприменение активизировалось сравнительно недавно. До 2022–2023 годов большинство нарушений заканчивалось предупреждениями или формальными предписаниями. Сегодня картина иная: уполномоченный орган — Министерство цифрового развития, инноваций и аэрокосмической промышленности РК — перешёл к систематическим проверкам, а Кодекс об административных правонарушениях предусматривает санкции, которые ощутимы даже для среднего бизнеса.
Параллельно изменился контекст: цифровизация бизнеса означает, что практически каждая компания обрабатывает персональные данные — в CRM, мессенджерах, облачных сервисах, на сайте. Многие собственники не осознают, что уже являются операторами персональных данных в юридическом смысле и несут соответствующие обязанности по казахстанскому законодательству.
Дополнительный фактор — рост числа жалоб от субъектов данных. Один недовольный клиент, чьи данные были переданы третьим лицам без согласия, способен инициировать проверку, которая вскроет системные нарушения. Для собственника это означает не только штраф, но и репутационные потери.
Если вы не уверены, соответствует ли ваша практика сбора данных требованиям закона — это лучший момент для аудита, пока проверка не началась.
Проверить обработку персональных данныхКакие нарушения влекут административную ответственность по КоАП РК?
Казахстанский Кодекс об административных правонарушениях выделяет несколько самостоятельных составов в сфере персональных данных, каждый из которых влечёт отдельное взыскание. Это принципиально важно: одна проверка может зафиксировать сразу несколько нарушений, и штрафы суммируются.
Наиболее распространённые составы, которые выявляются при проверках:
- Обработка персональных данных без согласия субъекта или с нарушением его формы
- Непредоставление субъекту информации об обработке его данных по запросу
- Нарушение требований к защите персональных данных (отсутствие технических и организационных мер)
- Трансграничная передача данных без соблюдения установленных условий
- Несоблюдение требований к локализации данных казахстанских граждан
Отдельно стоит выделить нарушения, связанные с чувствительными категориями данных — биометрией, сведениями о здоровье, судимостях. По сложившейся практике уполномоченного органа, нарушения в этой категории рассматриваются как более серьёзные и с большей вероятностью влекут максимальные санкции.
Каков размер штрафов за нарушение закона о персональных данных в Казахстане?
Размер административных санкций за нарушения в сфере персональных данных исчисляется в месячных расчётных показателях (МРП). В 2026 году МРП составляет 4 325 тенге (по состоянию на 2026 год), что делает расчёт штрафов достаточно прозрачным.
Санкции дифференцированы по субъекту нарушения и степени тяжести. Для физических лиц — предпринимателей и должностных лиц — размеры взысканий ниже, чем для юридических лиц. При этом КоАП РК предусматривает повышенные санкции за повторные нарушения в течение года после первого взыскания: как правило, размер штрафа при повторности возрастает в два раза и более по сравнению с первичным нарушением.
Важная деталь для собственника: штраф налагается не только на юридическое лицо, но и на должностное лицо — директора или ответственного за обработку данных сотрудника. Таким образом, одно нарушение может повлечь два параллельных взыскания. Это стандартная практика при проверках крупных операторов.
Как повторность нарушения влияет на размер санкции?
Повторность — один из ключевых квалифицирующих признаков в казахстанском административном праве применительно к персональным данным. Нарушение считается повторным, если совершено в течение года после вступления в силу предыдущего постановления о взыскании по аналогичному составу.
На практике это означает следующее: компания, получившая предупреждение или штраф за отсутствие согласия на обработку данных, обязана немедленно устранить нарушение и выстроить систему комплаенса. Если при следующей проверке или по жалобе субъекта аналогичное нарушение будет зафиксировано снова — санкция существенно возрастёт. Уполномоченный орган ведёт реестр нарушителей, и история взысканий учитывается.
Для собственника бизнеса это создаёт чёткий стимул: устранять нарушения системно, а не точечно. Разовое исправление одного выявленного факта без пересмотра всей практики обработки данных — распространённая ошибка, которая приводит к повторным взысканиям с удвоенными санкциями.
Что проверяет уполномоченный орган: типичные объекты контроля
Проверки в сфере персональных данных в Казахстане бывают плановыми и внеплановыми. Внеплановые, как правило, инициируются жалобой субъекта данных или по результатам мониторинга интернет-ресурсов. Плановые проверки охватывают крупных операторов — банки, телекоммуникационные компании, медицинские организации, маркетплейсы.
Типичный перечень вопросов при проверке среднего бизнеса:
- Наличие и содержание политики конфиденциальности на сайте
- Механизм получения согласия на обработку данных (форма, содержание, возможность отзыва)
- Договоры с третьими лицами, которым передаются данные (подрядчики, облачные сервисы)
- Технические меры защиты: шифрование, разграничение доступа, журналирование
- Порядок реагирования на запросы субъектов и на инциденты утечки данных
Отдельное внимание уделяется трансграничной передаче данных. Использование зарубежных CRM, email-сервисов, аналитических платформ без надлежащего правового основания — одно из наиболее частых нарушений, выявляемых у компаний с иностранным участием и у технологических стартапов.
Какие изменения в регулировании произошли в последние годы?
Казахстанское законодательство о персональных данных прошло несколько волн ужесточения за последние три года. Ключевые изменения затронули три направления: расширение круга обязанностей операторов, усиление санкций и введение новых требований к локализации данных.
В части локализации: данные казахстанских граждан должны первично обрабатываться и храниться на серверах, расположенных на территории Республики Казахстан. Это требование существенно влияет на выбор облачных провайдеров и архитектуру IT-систем. Компании, использующие исключительно зарубежную инфраструктуру без казахстанского зеркала, находятся в зоне риска.
В части санкций: поправки в КоАП РК последовательно увеличивали верхние пороги штрафов. Тенденция сохраняется: законодатель движется в сторону модели, при которой размер санкции соразмерен масштабу нарушения и оборотам компании. Это сближает казахстанский подход с европейской практикой, хотя до уровня GDPR-штрафов казахстанские санкции пока не доходят.
Практические рекомендации: как собственнику снизить риски
Снижение рисков в сфере персональных данных — это не разовая акция, а постоянный процесс. Для собственника среднего бизнеса в Казахстане разумный минимум выглядит следующим образом.
Первый шаг — провести инвентаризацию: определить, какие персональные данные собирает компания, на каком основании, где хранятся и кому передаются. Без этой карты невозможно оценить реальный масштаб рисков. Второй шаг — привести документацию в порядок: политика конфиденциальности, формы согласий, договоры с подрядчиками, обрабатывающими данные. Третий шаг — выстроить операционные процедуры: порядок реагирования на запросы субъектов, на инциденты утечки, на запросы уполномоченного органа.
Отдельного внимания заслуживает работа с сотрудниками. По казахстанскому законодательству работодатель является оператором персональных данных своих работников. Трудовые договоры, кадровые системы, видеонаблюдение в офисе — всё это требует надлежащего правового оформления. Подробнее о практике получения согласий — в материале о согласии на обработку персональных данных в Казахстане.
Как связаны нарушения в сфере персональных данных с другими правовыми рисками бизнеса?
Нарушения в сфере персональных данных редко существуют изолированно. На практике они часто сопряжены с корпоративными рисками и рисками в сфере цифровых активов. Если компания передаёт данные клиентов аффилированным структурам без надлежащего основания — это одновременно нарушение законодательства о персональных данных и потенциальный корпоративный конфликт интересов.
Для компаний, работающих с цифровыми продуктами и платформами, вопрос персональных данных неотделим от вопроса интеллектуальной собственности: базы данных пользователей могут быть объектом охраны как составные произведения. Подробнее об охране прав на базы данных — в материале о регистрации авторского права в Казахстане.
Наконец, утечка персональных данных может повлечь не только административную, но и гражданско-правовую ответственность перед субъектами данных — иски о компенсации морального вреда. Казахстанская судебная практика в этой части пока немногочисленна, однако тенденция к росту подобных требований прослеживается. Общий обзор нарушений и санкций доступен в базовом материале о штрафах за нарушение закона о персональных данных.
Частые вопросы
1. Что такое чувствительные персональные данные?
Чувствительные персональные данные — это особая категория сведений, обработка которых несёт повышенный риск для субъекта. Казахстанское законодательство относит к ним данные о расовой и национальной принадлежности, политических взглядах, религиозных убеждениях, состоянии здоровья, судимостях и биометрические данные. Для их обработки требуется явное письменное согласие субъекта, а требования к защите существенно строже, чем для обычных данных. Нарушение режима обработки чувствительных данных влечёт повышенную административную ответственность по казахстанскому законодательству.
2. Можно ли использовать видеонаблюдение в офисе?
Видеонаблюдение в офисе в Казахстане допустимо, но требует соблюдения ряда условий. Работодатель обязан письменно уведомить сотрудников о ведении съёмки — как правило, это фиксируется в трудовом договоре или локальном акте. Записи являются персональными данными, поэтому на их хранение, доступ и передачу распространяются требования Закона о персональных данных и их защите. Скрытое видеонаблюдение без уведомления работников создаёт риск административной ответственности и трудовых споров.
3. Как правильно собирать cookies на сайте в Казахстане?
Сбор cookies, которые позволяют идентифицировать пользователя, квалифицируется как обработка персональных данных по казахстанскому законодательству. Сайт обязан до начала сбора получить информированное согласие пользователя — через cookie-баннер с возможностью отказа от нефункциональных файлов. Политика конфиденциальности должна описывать цели сбора, срок хранения и порядок отзыва согласия. Отсутствие такого механизма — типичное нарушение, выявляемое при проверках уполномоченного органа.
4. Что делать при запросе субъекта персональных данных?
При получении запроса от субъекта персональных данных оператор обязан ответить в установленный законом срок. Субъект вправе запросить подтверждение факта обработки, получить копию своих данных, потребовать исправления неточностей или удаления данных. Отказ или игнорирование запроса является самостоятельным основанием для привлечения к административной ответственности. Рекомендуется вести журнал входящих запросов и фиксировать факт ответа — это снижает риски при возможной проверке.
5. Кто в Казахстане контролирует соблюдение законодательства о персональных данных?
Уполномоченным органом по защите персональных данных в Казахстане является Министерство цифрового развития, инноваций и аэрокосмической промышленности РК. Именно этот орган проводит проверки операторов, рассматривает жалобы субъектов и составляет протоколы об административных правонарушениях. Прокуратура РК также вправе инициировать проверки в рамках надзора за законностью. Результаты проверок могут стать основанием для административного производства с последующим взысканием штрафа.
6. Обязан ли малый бизнес соблюдать закон о персональных данных?
Да, требования Закона о персональных данных и их защите распространяются на всех операторов персональных данных вне зависимости от размера бизнеса. Любая компания, которая собирает имена, телефоны, email-адреса клиентов или сотрудников, является оператором. Исключений для субъектов малого предпринимательства закон не предусматривает. На практике малый бизнес реже попадает в фокус проверок, однако жалоба одного субъекта данных достаточна для инициирования административного производства.
7. Что такое трансграничная передача персональных данных и когда она разрешена?
Трансграничная передача — это передача персональных данных на серверы или получателям, находящимся за пределами Казахстана. Она допустима при условии, что страна-получатель обеспечивает надлежащий уровень защиты данных, либо при наличии отдельного согласия субъекта на такую передачу. Использование зарубежных CRM, облачных сервисов и маркетинговых платформ автоматически создаёт ситуацию трансграничной передачи — это требует юридической оценки до начала использования сервиса.
8. Нужна ли политика конфиденциальности для казахстанского сайта?
Политика конфиденциальности обязательна для любого сайта, собирающего персональные данные пользователей — будь то форма обратной связи, регистрация или cookies. Документ должен содержать цели и правовые основания обработки, перечень собираемых данных, сроки хранения, порядок реализации прав субъектов и контактные данные оператора. Отсутствие политики или её формальное наличие без реального соответствия практике — распространённое нарушение, фиксируемое при проверках.
9. Каков срок хранения персональных данных по казахстанскому законодательству?
Казахстанское законодательство не устанавливает единый универсальный срок хранения персональных данных. Общий принцип: данные хранятся не дольше, чем необходимо для достижения цели обработки. По истечении этого срока оператор обязан уничтожить данные или обезличить их. Для отдельных категорий данных — кадровые документы, бухгалтерские записи — специальное законодательство устанавливает собственные сроки архивного хранения, которые имеют приоритет.
10. Что такое согласие на обработку персональных данных и как его правильно оформить?
Согласие на обработку персональных данных — это добровольное, конкретное и информированное волеизъявление субъекта. По казахстанскому законодательству оно должно быть получено до начала обработки и содержать: наименование оператора, цели обработки, перечень данных, срок действия и порядок отзыва. Согласие, встроенное в длинный договор мелким шрифтом без возможности отдельного отказа, не отвечает требованиям закона. Подробнее о практике получения согласий — в материале о согласии на обработку персональных данных в Казахстане.
Выводы
Административная ответственность за нарушения в сфере персональных данных в Казахстане перестала быть формальностью. Размер санкций исчисляется в МРП и при повторных нарушениях существенно возрастает; штрафы налагаются одновременно на юридическое лицо и на должностное лицо. Типичные нарушения — отсутствие надлежащего согласия, ненадлежащая политика конфиденциальности, трансграничная передача данных без правового основания — выявляются как при плановых проверках, так и по жалобам субъектов. Системный подход к комплаенсу в сфере персональных данных обходится значительно дешевле, чем устранение последствий проверки.
Актуально на: 27 октября 2026 года.
Если ситуация требует внимания — мы поможем разобраться.
Смежные направления
Направление практики
Персональные данные и IT-право — соответствие Закону о персональных данных, трансграничная передача, аудит обработки и IT-договоры.