Штрафы за нарушение закона о персональных данных в Казахстане: правовой разбор
Нарушение требований казахстанского законодательства о персональных данных влечёт административную ответственность по Кодексу об административных правонарушениях РК — для физических лиц, должностных лиц и организаций. Размер санкций определяется характером нарушения, субъектным составом и фактом повторности. Этот материал разбирает состав нарушений, механизм привлечения к ответственности и практические меры снижения рисков для операторов персональных данных в Казахстане.
Если ваша компания обрабатывает персональные данные клиентов или сотрудников — проверьте соответствие требованиям до проверки, а не после. Проверить обработку персональных данных · info@vetrovkz.com
Закон о персональных данных в Казахстане: что регулирует и кого затрагивает
Основу регулирования в Казахстане составляет Закон о персональных данных и их защите, который распространяется на любое лицо, собирающее, хранящее, использующее или передающее персональные данные граждан РК. Это означает, что под действие закона подпадают не только крупные IT-компании, но и небольшие ТОО, ведущие базы клиентов, кадровые службы предприятий, интернет-магазины и медицинские организации.
Оператором персональных данных признаётся любое лицо — физическое или юридическое, государственное или частное, — которое самостоятельно или совместно с другими определяет цели и способы обработки данных. Подробнее о критериях признания оператором читайте в материале «Кто считается оператором персональных данных в Казахстане».
Уполномоченным органом в сфере персональных данных в Казахстане является Министерство цифрового развития, инноваций и аэрокосмической промышленности РК. Именно этот орган проводит проверки, выносит предписания и составляет протоколы об административных правонарушениях. Прокуратура РК также вправе инициировать проверки соблюдения законодательства о персональных данных.
Практика показывает: большинство нарушений выявляется не в ходе плановых проверок, а по жалобам субъектов данных — граждан, чьи данные были обработаны без надлежащего согласия или переданы третьим лицам без законного основания.
Если вы получили предписание уполномоченного органа или уведомление о проверке — время на реагирование ограничено.
Проверить обработку персональных данныхКакие нарушения влекут административную ответственность?
Казахстанский Кодекс об административных правонарушениях (КоАП РК) выделяет несколько самостоятельных составов правонарушений в сфере персональных данных, каждый из которых имеет собственную санкцию.
Наиболее распространённые составы нарушений, фиксируемые при проверках:
- Сбор и обработка персональных данных без согласия субъекта или с нарушением требований к форме согласия
- Несоблюдение требования локализации — хранение баз данных граждан РК на серверах за пределами Казахстана
- Отсутствие или ненадлежащее оформление политики обработки персональных данных
- Передача персональных данных третьим лицам без законного основания или без согласия субъекта
- Непринятие мер по защите данных от несанкционированного доступа, утечки или уничтожения
Отдельным составом выступает нарушение права субъекта на доступ к своим данным и их исправление. Если оператор не отвечает на запрос субъекта в установленный срок или отказывает без законного основания — это самостоятельное нарушение, не поглощаемое другими составами.
Размер штрафов: как исчисляется санкция по КоАП РК?
Санкции за нарушения в сфере персональных данных в Казахстане исчисляются в месячных расчётных показателях (МРП). По состоянию на 2026 год МРП составляет 4 325 тенге, что непосредственно определяет итоговую сумму штрафа в тенге.
Размер санкции зависит от трёх ключевых факторов: субъектного состава (физическое лицо, должностное лицо или юридическое лицо), конкретного состава нарушения и факта повторности. Для юридических лиц санкции кратно превышают санкции для физических лиц по тому же составу. Повторное нарушение в течение года, как правило, влечёт увеличение размера штрафа.
Помимо штрафа, уполномоченный орган вправе вынести предписание об устранении нарушения с установлением конкретного срока. Неисполнение предписания — самостоятельный состав правонарушения с отдельной санкцией. Таким образом, одно первоначальное нарушение может повлечь последовательно несколько штрафов, если оператор не устраняет нарушение своевременно.
Повторность нарушения: как она влияет на размер санкции?
Повторное нарушение — одно из ключевых квалифицирующих обстоятельств в административном праве Казахстана. Нарушение признаётся повторным, если лицо уже привлекалось к ответственности за аналогичный состав в течение года с момента вступления в силу предыдущего постановления.
На практике это означает: если компания получила штраф за отсутствие политики обработки персональных данных, не устранила нарушение и при следующей проверке нарушение выявлено вновь — санкция будет применена по повышенной ставке. Ряд составов при повторности предусматривает не только увеличение штрафа, но и приостановление деятельности по обработке данных.
Важно учитывать: повторность отсчитывается не от даты нарушения, а от даты вступления в силу постановления о привлечении к ответственности. Обжалование постановления в суде приостанавливает его вступление в силу, что влияет на исчисление срока повторности.
Локализация данных: требование, которое нарушают чаще всего
Требование локализации персональных данных граждан Казахстана — одно из наиболее часто нарушаемых положений казахстанского законодательства о персональных данных, особенно среди компаний с иностранным участием и международных платформ.
Закон о персональных данных и их защите устанавливает: базы данных, содержащие персональные данные граждан РК, должны размещаться на серверах, физически расположенных на территории Казахстана. Трансграничная передача данных допускается при условии, что принимающая сторона обеспечивает надлежащий уровень защиты, а субъект данных дал на это согласие или передача осуществляется по иному законному основанию.
Практика проверок показывает: уполномоченный орган проверяет не только наличие формального согласия на трансграничную передачу, но и фактическое местонахождение серверов. Облачные сервисы с дата-центрами за пределами РК создают риск нарушения требования локализации даже при наличии согласия пользователей — если основная база данных физически не находится в Казахстане.
Как проходит проверка и что проверяет уполномоченный орган?
Проверки соблюдения законодательства о персональных данных в Казахстане проводятся в плановом и внеплановом порядке. Внеплановая проверка, как правило, инициируется по жалобе субъекта данных или по поручению прокуратуры.
В ходе проверки уполномоченный орган запрашивает и анализирует следующие документы и сведения:
- Политику обработки персональных данных и её доступность для субъектов
- Формы согласий на обработку данных и их соответствие требованиям закона
- Договоры с третьими лицами, которым передаются данные
- Технические меры защиты данных (шифрование, разграничение доступа, журналы доступа)
- Сведения о местонахождении серверов и баз данных
По результатам проверки составляется акт. Если выявлены нарушения — выносится предписание об устранении и составляется протокол об административном правонарушении. Постановление о наложении штрафа может быть обжаловано в административном порядке через АППК РК или в суде.
Что делать, если компания получила штраф или предписание?
Получение предписания или постановления о штрафе — не финальная точка, а начало процедуры, у которой есть несколько развилок. Первое, что необходимо сделать, — зафиксировать дату получения документа: от неё отсчитываются сроки обжалования и исполнения.
Постановление по делу об административном правонарушении может быть обжаловано в вышестоящий орган или в суд. Административный порядок обжалования регулируется АППК РК и предполагает обязательный досудебный этап. Срок подачи жалобы ограничен — пропуск срока существенно осложняет защиту.
Параллельно с обжалованием необходимо оценить, устранимо ли нарушение фактически и в какие сроки. Своевременное устранение нарушения и документальное подтверждение этого факта могут повлиять как на исход обжалования, так и на квалификацию возможных будущих нарушений как повторных. Подробнее о смежных вопросах административного обжалования читайте в материале «Штрафы за нарушение закона о персональных данных в Казахстане».
Практические меры: как снизить риск штрафов до проверки
Превентивный комплаенс в сфере персональных данных обходится значительно дешевле, чем устранение последствий проверки. Минимальный набор мер, который снижает риск административной ответственности, включает несколько направлений.
Документационный блок: разработка и утверждение политики обработки персональных данных, актуальных форм согласий, регламентов работы с данными сотрудников и клиентов. Документы должны быть не только разработаны, но и реально применяться — уполномоченный орган проверяет фактическую практику, а не только наличие бумаг.
Технический блок: инвентаризация баз данных и мест их хранения, проверка местонахождения серверов используемых облачных сервисов, настройка разграничения доступа и ведения журналов. Особое внимание — к CRM-системам, HR-платформам и сервисам email-маркетинга, которые нередко хранят данные на зарубежных серверах.
Договорный блок: проверка договоров с контрагентами, которым передаются данные (колл-центры, IT-подрядчики, маркетинговые агентства). Передача данных третьим лицам без надлежащего договорного оформления — самостоятельный состав нарушения. Смежные вопросы лицензирования и договорного оформления разобраны в материале «Лицензионный договор в Казахстане: ключевые условия».
Частые вопросы
1. Нужно ли уведомлять уполномоченный орган об обработке персональных данных?
Казахстанское законодательство о персональных данных не предусматривает обязательного предварительного уведомления уполномоченного органа о начале обработки данных — в отличие от ряда других юрисдикций. Однако оператор обязан разработать и утвердить внутреннюю политику обработки персональных данных, обеспечить её доступность субъектам данных и выполнять требования по локализации, защите и уничтожению данных. При проверке уполномоченный орган вправе запросить эти документы, и их отсутствие является самостоятельным основанием для привлечения к административной ответственности.
2. Какой штраф за нарушение закона о персональных данных?
Размер административного штрафа за нарушение Закона о персональных данных и их защите в Казахстане зависит от субъекта и характера нарушения. Для физических лиц и должностных лиц санкции исчисляются в месячных расчётных показателях (МРП); для юридических лиц — существенно выше. При повторном нарушении в течение года размер санкции увеличивается. Конкретные размеры санкций установлены Кодексом об административных правонарушениях РК. По состоянию на 2026 год МРП составляет 4 325 тенге, что определяет итоговую сумму штрафа в тенге.
3. Можно ли хранить персональные данные казахстанцев за границей?
Закон о персональных данных и их защите устанавливает требование локализации: базы данных, содержащие персональные данные граждан Казахстана, должны размещаться на серверах, физически находящихся на территории Республики Казахстан. Трансграничная передача данных допускается при соблюдении ряда условий — в частности, если принимающая сторона обеспечивает уровень защиты не ниже казахстанского. Нарушение требования локализации является одним из наиболее часто выявляемых нарушений при проверках и влечёт административную ответственность.
4. Как долго можно хранить персональные данные?
Казахстанское законодательство не устанавливает единого универсального срока хранения персональных данных. Общий принцип: данные хранятся не дольше, чем это необходимо для достижения целей, ради которых они собирались. После достижения цели или отзыва согласия субъекта оператор обязан уничтожить данные. Отдельные отраслевые нормы — трудовое, налоговое, бухгалтерское законодательство — могут устанавливать минимальные сроки хранения для конкретных категорий данных. Отсутствие задокументированных сроков хранения и процедур уничтожения данных фиксируется при проверках как нарушение.
5. Кто несёт ответственность за нарушение — компания или директор?
Административная ответственность за нарушения в сфере персональных данных в Казахстане может быть возложена одновременно на юридическое лицо и на должностное лицо — директора или иного руководителя, в чьи обязанности входит обеспечение соблюдения требований закона. Это означает, что штраф может быть наложен и на компанию, и на её руководителя по одному и тому же факту нарушения. Назначение ответственного за обработку персональных данных внутри организации и документальное закрепление его полномочий снижает риск личной ответственности директора, но не устраняет её полностью.
6. Что такое согласие на обработку персональных данных и как оно должно быть оформлено?
Согласие субъекта персональных данных — основное законное основание для обработки данных в Казахстане. Закон о персональных данных и их защите предъявляет к согласию ряд требований: оно должно быть добровольным, конкретным, информированным и однозначным. Согласие может быть дано в письменной или электронной форме; устное согласие допускается в ограниченных случаях. Типичные ошибки операторов: включение согласия в общие условия договора мелким шрифтом, использование заранее проставленных галочек, отсутствие указания на конкретные цели обработки. Каждая из этих ошибок может быть квалифицирована как нарушение при проверке.
7. Распространяется ли казахстанский закон о персональных данных на иностранные компании?
Да, Закон о персональных данных и их защите распространяется на иностранные компании, если они обрабатывают персональные данные граждан Республики Казахстан — вне зависимости от места регистрации компании. Иностранная компания, предоставляющая услуги казахстанским пользователям и собирающая их данные, обязана соблюдать требования казахстанского законодательства, включая требование локализации. На практике привлечение иностранных компаний к ответственности сложнее, однако блокировка сервиса или ограничение его работы на территории РК является реальным инструментом воздействия.
8. Можно ли обжаловать штраф за нарушение закона о персональных данных?
Постановление о наложении административного штрафа за нарушение законодательства о персональных данных может быть обжаловано в административном или судебном порядке. Административный порядок предполагает подачу жалобы в вышестоящий орган; судебный — обращение в специализированный межрайонный административный суд (СМАС) в соответствии с АППК РК. Срок обжалования ограничен и отсчитывается от даты вручения постановления. Основания для отмены: процессуальные нарушения при проверке, неправильная квалификация нарушения, отсутствие состава правонарушения. По нашему опыту, наиболее результативны жалобы, основанные на процессуальных нарушениях при проведении проверки.
9. Обязан ли оператор уведомлять субъектов об утечке данных?
Казахстанское законодательство о персональных данных предусматривает обязанность оператора принимать меры по предотвращению несанкционированного доступа к данным и их утечки. Требования об обязательном уведомлении субъектов данных и уполномоченного органа об утечках в казахстанском законодательстве менее детализированы по сравнению с европейским регулированием. Тем не менее непринятие мер по защите данных после выявления инцидента и непредоставление информации уполномоченному органу по его запросу могут квалифицироваться как нарушение. Рекомендуется разработать внутренний регламент реагирования на инциденты безопасности данных.
10. Нужно ли назначать ответственного за защиту персональных данных внутри компании?
Казахстанское законодательство о персональных данных прямо не обязывает все компании назначать отдельного сотрудника, аналогичного европейскому Data Protection Officer. Однако оператор обязан обеспечить организационные меры защиты данных, что на практике предполагает закрепление соответствующих обязанностей за конкретным лицом. Назначение ответственного за обработку персональных данных, документальное закрепление его полномочий и проведение регулярного обучения сотрудников — стандартные элементы комплаенса, которые снижают риск нарушений и демонстрируют добросовестность оператора при проверке.
Выводы
Административная ответственность за нарушения в сфере персональных данных в Казахстане носит реальный, а не декларативный характер: уполномоченный орган проводит проверки, выносит предписания и накладывает штрафы. Наиболее распространённые нарушения — отсутствие надлежащей политики обработки данных, несоблюдение требования локализации и передача данных третьим лицам без законного основания. Повторность нарушения увеличивает санкцию и создаёт риск приостановления деятельности по обработке данных. Превентивный комплаенс — разработка документов, инвентаризация баз данных, проверка договоров с подрядчиками — остаётся наиболее эффективным инструментом управления этим риском.
Актуально на: 1 сентября 2026 года.
Если ситуация требует внимания — мы поможем разобраться.
Смежные направления
Направление практики
Персональные данные и IT-право — соответствие Закону о персональных данных, трансграничная передача, аудит обработки и IT-договоры.