Штрафы за нарушение закона о персональных данных в Казахстане: экспертная оценка
Административная ответственность за нарушение Закона о персональных данных и их защите в Казахстане применяется через Кодекс об административных правонарушениях и затрагивает как должностных лиц, так и организации. Директор подписывает политику конфиденциальности — и несёт личную ответственность за её соблюдение. Размер санкций зависит от характера нарушения, статуса нарушителя и факта повторности.
Если ваша компания обрабатывает персональные данные сотрудников или клиентов — проверьте соответствие требованиям до проверки, а не после. Проверить обработку персональных данных · info@vetrovkz.com
Почему тема штрафов за персональные данные актуальна для топ-менеджера в Казахстане
Ответственность за нарушения в сфере персональных данных в Казахстане носит персональный характер: должностное лицо отвечает отдельно от организации. Это означает, что генеральный директор, финансовый директор или директор по персоналу могут получить административный штраф лично — даже если нарушение допустил рядовой сотрудник, действовавший в рамках установленных процедур.
Казахстанский регулятор — Министерство цифрового развития, инноваций и аэрокосмической промышленности РК — последовательно усиливает надзор в этой сфере. Число проверок операторов персональных данных растёт, а практика привлечения к ответственности выходит за рамки формальных предписаний. По данным открытых источников, в 2024–2025 годах зафиксирован рост административных дел, связанных с нарушением требований к обработке и хранению данных.
Для топ-менеджера ключевой риск — не сам штраф, а сопутствующие последствия: предписание об устранении нарушений, приостановление обработки данных и репутационный ущерб. В отдельных случаях нарушения в сфере персональных данных создают основания для уголовной ответственности — если речь идёт о незаконном распространении сведений, составляющих личную или семейную тайну.
Если регулятор уже направил предписание или запрос — у вас ограниченное время на ответ. Промедление увеличивает риск повторного нарушения.
Проверить обработку персональных данныхКто является оператором персональных данных и несёт ответственность?
Оператором персональных данных в Казахстане признаётся любое лицо — физическое или юридическое, — которое самостоятельно или совместно с другими определяет цели и способы обработки персональных данных. Это ключевое понятие, поскольку именно оператор несёт полную административную ответственность за соблюдение требований закона.
На практике оператором является практически любая компания, которая собирает данные сотрудников при трудоустройстве, ведёт клиентскую базу, использует CRM-систему, запускает сайт с формой обратной связи или применяет системы видеонаблюдения. Подробнее о критериях отнесения к операторам — в материале «Кто считается оператором персональных данных в Казахстане».
Должностное лицо оператора — как правило, руководитель или уполномоченный им сотрудник — несёт самостоятельную ответственность. Это означает двойную санкцию: штраф на организацию плюс штраф на конкретного менеджера. Делегирование полномочий ответственному за персональные данные снижает личный риск руководителя, но не устраняет его полностью.
Какие нарушения влекут административную ответственность по КоАП РК?
Кодекс об административных правонарушениях РК предусматривает несколько составов, непосредственно связанных с нарушением Закона о персональных данных и их защите. Составы различаются по объекту нарушения, субъекту ответственности и размеру санкции.
Основные категории нарушений, которые фиксирует регулятор:
- Обработка персональных данных без согласия субъекта или с нарушением условий согласия
- Непредоставление субъекту информации об обработке его данных по запросу
- Нарушение требований к трансграничной передаче данных
- Несоблюдение требований к защите персональных данных от несанкционированного доступа
- Отказ уничтожить или исправить данные по требованию субъекта
Повторное совершение аналогичного нарушения в течение года после первого привлечения к ответственности квалифицируется как отдельный, более тяжкий состав и влечёт существенно более высокий штраф. Это принципиально важно: первичное нарушение нередко воспринимается как «предупреждение», но повторность автоматически переводит дело в другую санкционную категорию.
Размер штрафов: на что ориентироваться топ-менеджеру?
Санкции по КоАП РК исчисляются в месячных расчётных показателях (МРП). В 2026 году МРП составляет 4 325 тенге (по состоянию на 2026 год). Это означает, что реальный размер штрафа в тенге необходимо пересчитывать ежегодно — фиксированных тенговых сумм закон не устанавливает.
Для должностных лиц санкции, как правило, ниже, чем для юридических лиц, однако они применяются параллельно. Субъекты малого предпринимательства и крупные организации могут попадать в разные санкционные диапазоны — КоАП РК разграничивает ответственность в зависимости от категории субъекта.
Ключевые ориентиры для планирования комплаенс-бюджета:
- Первичное нарушение — как правило, предупреждение или штраф в нижней части диапазона
- Повторное нарушение — штраф существенно выше, нередко в 2–3 раза
- Нарушения, связанные с чувствительными данными, — отдельный, более строгий состав
- Нарушения при трансграничной передаче данных — отдельный состав с учётом международного контекста
Конкретные диапазоны МРП по каждому составу следует уточнять в актуальной редакции КоАП РК, поскольку санкции периодически пересматриваются. Подробный разбор составов — в материале «Штрафы за нарушение закона о персональных данных в Казахстане».
Как на практике проходят проверки операторов персональных данных?
Проверки операторов персональных данных в Казахстане проводятся уполномоченным органом — Министерством цифрового развития, инноваций и аэрокосмической промышленности РК — в плановом и внеплановом порядке. Внеплановые проверки, как правило, инициируются по жалобам субъектов данных или в рамках надзорных мероприятий.
Типичная последовательность проверки включает несколько этапов. Сначала оператор получает уведомление о проверке с указанием её предмета и сроков. Затем следует запрос документов: политики конфиденциальности, форм согласий, договоров с третьими лицами, обрабатывающими данные, технической документации по защите информационных систем. По итогам проверки составляется акт — с предписанием об устранении нарушений или без него.
На практике наиболее частые замечания связаны с тремя проблемами: отсутствием актуальной политики конфиденциальности, использованием форм согласия, не соответствующих требованиям закона, и отсутствием документированных процедур реагирования на запросы субъектов. Эти нарушения легко устранимы превентивно — и именно они составляют основу большинства административных дел. Сравните с практикой трудовых проверок: «Проверка инспекции труда в Казахстане: к чему готовиться».
Трансграничная передача данных: отдельный риск для международных компаний
Трансграничная передача персональных данных — то есть их передача за пределы Казахстана — требует соблюдения специальных условий. Казахстанское законодательство устанавливает, что передача допустима либо в страны с адекватным уровнем защиты данных, либо при наличии отдельного согласия субъекта на такую передачу, либо в рамках международного договора.
Для международных компаний, использующих облачные сервисы с серверами за рубежом, CRM-системы иностранных вендоров или централизованные HR-платформы группы, это создаёт практический риск. Передача данных казахстанских сотрудников или клиентов на серверы, расположенные в юрисдикциях без адекватного уровня защиты, без надлежащего согласия субъектов является нарушением.
Регулятор уделяет этому вопросу повышенное внимание — особенно в контексте использования иностранных SaaS-решений. Топ-менеджеру важно понимать: стандартные пользовательские соглашения с иностранными вендорами не заменяют согласие субъектов данных по казахстанскому праву. Этот вопрос требует отдельного юридического анализа при выборе IT-инфраструктуры.
Практические рекомендации: как снизить риск штрафов
Снижение административных рисков в сфере персональных данных строится на нескольких последовательных мерах, которые топ-менеджер может инициировать без привлечения внешних консультантов — на первом этапе.
Базовый комплаенс-минимум для любой компании-оператора:
- Актуальная политика конфиденциальности, опубликованная на сайте и доступная сотрудникам
- Формы согласия на обработку данных, соответствующие требованиям закона: конкретные цели, перечень данных, срок, право на отзыв
- Документированные процедуры реагирования на запросы субъектов данных
- Договоры с третьими лицами, обрабатывающими данные по поручению оператора
- Назначенное ответственное лицо за обработку персональных данных
Для компаний, обрабатывающих чувствительные данные или работающих с иностранными IT-системами, базового минимума недостаточно. В этих случаях целесообразен полноценный аудит обработки данных с оценкой рисков по каждому процессу. Аудит позволяет выявить нарушения до проверки регулятора — и устранить их без административных последствий.
Что изменилось в правоприменении в 2025–2026 годах?
Правоприменительная практика в сфере персональных данных в Казахстане заметно активизировалась в 2025–2026 годах. Регулятор последовательно расширяет охват проверок: если ранее основное внимание уделялось крупным операторам — банкам, телекоммуникационным компаниям, государственным структурам, — то теперь в зону надзора попадают средние и малые компании.
Среди заметных тенденций — усиление контроля за обработкой биометрических данных. Системы распознавания лиц, используемые для контроля доступа или учёта рабочего времени, привлекают повышенное внимание регулятора. Биометрия относится к чувствительным данным, и требования к её обработке строже, чем для обычных персональных данных.
Параллельно растёт число жалоб от субъектов данных — физических лиц, обращающихся к регулятору с претензиями к операторам. Это создаёт дополнительный канал инициирования внеплановых проверок, который не зависит от плановых надзорных мероприятий. Для топ-менеджера это означает: риск проверки существует постоянно, а не только в период плановых контрольных мероприятий.
Частые вопросы
1. Что такое чувствительные персональные данные?
Чувствительные персональные данные — это особая категория сведений, обработка которых несёт повышенный риск для субъекта. Казахстанское законодательство относит к ним данные о расовой и национальной принадлежности, политических взглядах, религиозных убеждениях, состоянии здоровья, судимостях, а также биометрические данные. Для их обработки требуется явное письменное согласие субъекта, а нарушение этого требования влечёт более строгую административную ответственность по сравнению с обработкой обычных персональных данных. Компании, использующие системы распознавания лиц или собирающие медицинские сведения о сотрудниках, автоматически попадают в категорию операторов чувствительных данных со всеми вытекающими требованиями.
2. Можно ли использовать видеонаблюдение в офисе?
Видеонаблюдение в офисе допустимо при соблюдении ряда условий. Работодатель обязан уведомить сотрудников о ведении съёмки — как правило, это делается через трудовой договор или отдельное соглашение. Записи с камер являются персональными данными, поскольку позволяют идентифицировать конкретных лиц. Это означает, что на них распространяются все требования Закона о персональных данных и их защите: ограниченный срок хранения, запрет на передачу третьим лицам без согласия, обеспечение защиты от несанкционированного доступа. Отсутствие уведомления сотрудников или нарушение условий хранения записей может повлечь административную ответственность оператора. Если записи используются в качестве доказательств в трудовых или иных спорах — их правовой статус необходимо оценивать отдельно.
3. Как правильно собирать cookies на сайте в Казахстане?
Сбор cookies, позволяющих идентифицировать пользователя, квалифицируется как обработка персональных данных по казахстанскому законодательству. Сайт обязан до начала сбора получить информированное согласие пользователя — через cookie-баннер с возможностью отказа от нефункциональных cookies. Политика конфиденциальности должна быть доступна на сайте и описывать цели сбора, сроки хранения и порядок передачи данных третьим сервисам (аналитика, реклама). Технические cookies, необходимые для работы сайта, согласия не требуют. Нарушение этих требований создаёт риск административной ответственности оператора. Особое внимание следует уделить сайтам, использующим иностранные аналитические и рекламные сервисы: передача данных через них может квалифицироваться как трансграничная передача.
4. Что делать при запросе субъекта персональных данных?
При получении запроса от субъекта персональных данных оператор обязан ответить в установленный законом срок. Субъект вправе запросить подтверждение факта обработки его данных, получить их копию, потребовать исправления неточных сведений или уничтожения данных при отсутствии законных оснований для их хранения. Оператор должен зафиксировать запрос, проверить личность заявителя и предоставить ответ в письменной форме. Игнорирование запроса или немотивированный отказ являются самостоятельным нарушением, которое может повлечь административную ответственность независимо от иных нарушений в сфере обработки данных. Рекомендуется разработать внутреннюю процедуру обработки таких запросов с фиксацией сроков и ответственных лиц.
5. Несёт ли директор личную ответственность за нарушения в сфере персональных данных?
Да, директор как должностное лицо несёт самостоятельную административную ответственность по КоАП РК — параллельно с ответственностью организации. Штраф на должностное лицо и штраф на юридическое лицо назначаются одновременно и не заменяют друг друга. Делегирование полномочий ответственному за персональные данные снижает личный риск руководителя, но не устраняет его полностью: если нарушение стало следствием системного бездействия руководства, ответственность директора сохраняется. Назначение ответственного лица, утверждение внутренних политик и регулярный аудит — основные инструменты снижения личного риска топ-менеджера.
6. Что такое повторное нарушение и как оно влияет на размер штрафа?
Повторным признаётся нарушение, совершённое в течение одного года после вступления в силу постановления о первом административном взыскании за аналогичное нарушение. КоАП РК выделяет повторность как квалифицирующий признак, существенно увеличивающий санкцию. На практике это означает, что компания, получившая предписание или штраф за первичное нарушение и не устранившая его причины, при следующей проверке рискует получить взыскание в значительно большем размере. Именно поэтому реакция на первое предписание регулятора должна быть системной — не только устранение конкретного нарушения, но и аудит всех смежных процессов обработки данных.
7. Нужно ли регистрироваться в реестре операторов персональных данных?
Казахстанское законодательство предусматривает уведомительный порядок для отдельных категорий операторов. Требования к уведомлению и регистрации зависят от характера обрабатываемых данных и масштаба обработки. Операторы, обрабатывающие чувствительные данные или осуществляющие трансграничную передачу, подпадают под более строгие требования. Уточнять актуальный порядок следует в Законе о персональных данных и их защите в действующей редакции — требования к уведомлению периодически корректируются. Отсутствие уведомления там, где оно обязательно, является самостоятельным составом нарушения.
8. Как оформить согласие на обработку персональных данных сотрудника?
Согласие сотрудника на обработку персональных данных должно быть конкретным, информированным и добровольным. Закон о персональных данных и их защите устанавливает обязательные элементы согласия: наименование оператора, цели обработки, перечень данных, срок действия согласия, порядок его отзыва. Включение согласия в трудовой договор допустимо, однако оно должно быть выделено отдельным блоком и не обусловлено заключением договора — иначе добровольность согласия ставится под сомнение. Для чувствительных данных (например, медицинских сведений для ДМС) требуется отдельное письменное согласие. Шаблонные формы из интернета, как правило, не соответствуют актуальным требованиям казахстанского законодательства.
9. Что происходит с данными при ликвидации компании?
При ликвидации компании-оператора персональные данные подлежат уничтожению или передаче правопреемнику при его наличии. Уничтожение должно быть задокументировано: составляется акт об уничтожении с указанием перечня данных, способа уничтожения и ответственных лиц. Передача данных правопреемнику требует соблюдения тех же условий, что и обычная передача третьим лицам: субъекты данных должны быть уведомлены, а при необходимости — получено их согласие. Нарушение порядка уничтожения или несанкционированная передача данных при ликвидации создают риск ответственности для ликвидационной комиссии.
10. Распространяется ли закон о персональных данных на иностранные компании, работающие в Казахстане?
Да, Закон о персональных данных и их защите распространяется на всех операторов, осуществляющих обработку данных на территории Казахстана, — вне зависимости от их национальной принадлежности. Иностранная компания, зарегистрированная в Казахстане в форме филиала, представительства или дочерней структуры, является полноценным оператором и несёт все установленные обязательства. Это касается и компаний, работающих через МФЦА: несмотря на особый правовой режим МФЦА, обработка персональных данных казахстанских субъектов регулируется казахстанским законодательством. Иностранное происхождение компании не является основанием для освобождения от административной ответственности.
Выводы
Административная ответственность за нарушения в сфере персональных данных в Казахстане носит двойной характер: штраф назначается одновременно на организацию и на должностное лицо. Повторность нарушения существенно увеличивает санкцию, а активизация надзора в 2025–2026 годах означает, что риск проверки существует постоянно. Превентивный аудит обработки данных — наиболее эффективный инструмент снижения рисков: он позволяет выявить и устранить нарушения до визита регулятора, а не после получения предписания.
Актуально на: 6 октября 2026 года.
Если ситуация требует внимания — мы поможем разобраться.
Смежные направления
Направление практики
Персональные данные и IT-право — соответствие Закону о персональных данных, трансграничная передача, аудит обработки и IT-договоры.