Штрафы за нарушение закона о персональных данных в Казахстане: тренды и выводы
Административная ответственность за нарушение Закона о персональных данных и их защите в Казахстане становится реальным инструментом давления на бизнес: число проверок растёт, а повторные нарушения влекут кратно большие санкции. Собственник, который не выстроил внутренние процедуры обработки данных, рискует не только штрафом, но и репутационными потерями и приостановкой деятельности информационной системы.
Если ваша компания обрабатывает персональные данные клиентов или сотрудников — проверьте соответствие требованиям до проверки, а не после. Проверить обработку персональных данных · info@vetrovkz.com
Почему тема штрафов за персональные данные актуальна для казахстанского бизнеса прямо сейчас
Казахстан последовательно ужесточает правоприменение в сфере персональных данных: уполномоченный орган — Министерство цифрового развития, инноваций и аэрокосмической промышленности РК — наращивает число плановых и внеплановых проверок операторов. Если ещё несколько лет назад нарушения в этой сфере воспринимались как формальность, то сегодня административные дела доходят до судов, а штрафы взыскиваются реально.
Для собственника среднего бизнеса это означает конкретный риск: любая компания, которая собирает контактные данные клиентов, ведёт кадровый учёт или использует CRM-систему, является оператором персональных данных по казахстанскому законодательству. Отсутствие политики обработки, неуведомление уполномоченного органа или хранение данных на зарубежных серверах — каждое из этих нарушений образует самостоятельный состав правонарушения.
Закон о персональных данных и их защите действует в Казахстане с 2013 года, однако активная правоприменительная практика сформировалась значительно позже. Сейчас мы наблюдаем переход от декларативного к реальному контролю — и этот тренд продолжается.
Если ваша компания использует зарубежные облачные сервисы для хранения данных клиентов — это потенциальное нарушение требования локализации, которое фиксируется при проверках.
Проверить обработку персональных данныхКто является оператором персональных данных и несёт ответственность?
Оператором персональных данных по казахстанскому законодательству признаётся любое лицо — физическое, юридическое или государственный орган, — которое самостоятельно или совместно с другими определяет цели и осуществляет обработку персональных данных. Это широкое определение охватывает практически любой бизнес, работающий с клиентами или сотрудниками.
На практике операторами являются: интернет-магазины и маркетплейсы, банки и МФО, медицинские организации, HR-платформы и кадровые агентства, телекоммуникационные компании, а также любые работодатели, ведущие кадровый учёт. Важно понимать, что статус оператора возникает автоматически — с момента начала сбора данных, а не с момента регистрации в реестре операторов.
Ответственность за нарушения несут как юридическое лицо (организация-оператор), так и должностные лица — директор, ответственный за обработку данных сотрудник. Это означает, что собственник, совмещающий функции директора, может быть привлечён к ответственности лично. Третья сторона — обработчик данных, действующий по поручению оператора, — также несёт самостоятельную ответственность за нарушения в рамках своих полномочий.
Какие нарушения чаще всего фиксируют проверяющие органы в Казахстане?
Казахстанская правоприменительная практика выделяет несколько устойчивых категорий нарушений, которые выявляются при проверках операторов персональных данных наиболее часто. Понимание этих категорий позволяет собственнику расставить приоритеты при выстраивании системы комплаенса.
Первая и наиболее распространённая категория — отсутствие или ненадлежащее оформление согласия субъекта на обработку данных. Закон о персональных данных и их защите требует, чтобы согласие было конкретным, информированным и добровольным. Типовые формулировки в договорах-офертах, которые «автоматически» включают согласие на обработку любых данных в любых целях, как правило, не соответствуют этому требованию.
Вторая категория — нарушение требования локализации: хранение баз данных казахстанских пользователей на серверах, расположенных за пределами Республики Казахстан, без соблюдения установленных условий трансграничной передачи. Это нарушение особенно характерно для компаний, использующих зарубежные облачные сервисы — CRM, ERP, HR-платформы.
Третья категория — неуведомление уполномоченного органа о начале обработки данных в информационных системах. Многие операторы не знают об этой обязанности или считают её формальной. Между тем проверяющие органы рассматривают её как самостоятельный состав нарушения, не зависящий от того, соблюдены ли остальные требования.
Как устроена система санкций: размеры штрафов и повторность нарушений
Административная ответственность за нарушения в сфере персональных данных в Казахстане установлена Кодексом об административных правонарушениях РК. Санкции дифференцированы по субъекту нарушения и по тому, совершено ли нарушение впервые или повторно в течение года.
Для должностных лиц и субъектов малого предпринимательства первичное нарушение, как правило, влечёт предупреждение или штраф в относительно небольшом размере, исчисляемом в МРП (по состоянию на 2026 год — 4 325 тенге за один МРП). Повторное нарушение в течение года — существенно более высокий штраф. Для субъектов среднего и крупного предпринимательства санкции изначально выше, а повторность может влечь приостановление деятельности информационной системы.
Принципиально важно: каждое нарушение образует самостоятельный состав. Если при проверке выявлено три нарушения — отсутствие согласия, нарушение локализации и неуведомление органа, — штрафы назначаются по каждому составу отдельно. Совокупная сумма санкций для среднего бизнеса может составить несколько миллионов тенге по итогам одной проверки.
- Первичное нарушение: предупреждение или штраф (для МСП — меньший размер)
- Повторное нарушение в течение года: кратно больший штраф
- Нарушение, повлёкшее утечку данных: отягчающее обстоятельство
- Каждый состав нарушения — отдельная санкция
- Для крупного бизнеса — возможность приостановления работы информационной системы
Что изменилось в правоприменении: тренды 2024–2025 годов
Правоприменительная практика в сфере персональных данных в Казахстане за последние два года претерпела качественные изменения. Уполномоченный орган перешёл от преимущественно реактивной модели — реагирование на жалобы субъектов — к проактивной: плановые проверки операторов по отраслевому принципу.
Первый значимый тренд — отраслевые волны проверок. Уполномоченный орган последовательно проверял финансовый сектор, затем телекоммуникации, затем медицинские организации. Это означает, что если ваша отрасль ещё не попала под волну — она попадёт. Компании, которые провели внутренний аудит заблаговременно, оказались в принципиально лучшем положении.
Второй тренд — внимание к трансграничной передаче данных. На фоне роста использования зарубежных SaaS-решений уполномоченный орган всё активнее проверяет соответствие требованию локализации. Формальное наличие политики конфиденциальности на сайте не защищает, если фактически данные обрабатываются на серверах за пределами Казахстана.
Третий тренд — рост числа жалоб от субъектов данных. Казахстанские потребители становятся более осведомлёнными о своих правах: праве на доступ к данным, праве на исправление, праве на удаление. Жалоба субъекта в уполномоченный орган автоматически инициирует проверку оператора. Для бизнеса это означает, что каждый недовольный клиент потенциально является источником административного дела.
Как проходит проверка оператора персональных данных: процедура и права бизнеса
Проверка оператора персональных данных в Казахстане проводится в рамках государственного контроля и надзора в соответствии с Административным процедурно-процессуальным кодексом РК и отраслевым законодательством. Понимание процедуры позволяет бизнесу защитить свои права и минимизировать негативные последствия.
Плановая проверка включается в полугодовой план проверок, который публикуется на официальном сайте уполномоченного органа. Оператор уведомляется о предстоящей проверке заблаговременно — как правило, не менее чем за 30 дней. Это окно возможностей: компания, получившая уведомление, имеет время для проведения экспресс-аудита и устранения наиболее очевидных нарушений до прихода проверяющих.
Внеплановая проверка инициируется по жалобе субъекта данных, по поручению вышестоящего органа или при наличии информации о нарушениях. Срок уведомления при внеплановой проверке значительно короче. По итогам проверки составляется акт, на который оператор вправе подать возражения в установленный срок. Возражения — не формальность: грамотно составленные возражения позволяют снизить размер санкции или исключить отдельные составы нарушений.
Практические рекомендации: что должен сделать собственник для снижения рисков
Снижение рисков административной ответственности в сфере персональных данных требует системного подхода, а не точечных мер. Собственник, который воспринимает комплаенс в этой сфере как разовую задачу, неизбежно сталкивается с повторными нарушениями — а повторность кратно увеличивает санкции.
Первый шаг — инвентаризация: составить реестр всех процессов обработки персональных данных в компании. Какие данные собираются, с какой целью, где хранятся, кто имеет доступ, как долго хранятся и как уничтожаются. Без этого базового документа невозможно оценить ни масштаб рисков, ни приоритеты устранения нарушений.
Второй шаг — проверка согласий. Все формы сбора данных — на сайте, в мобильном приложении, в бумажных договорах — должны содержать корректное согласие субъекта: конкретное, информированное, добровольное, с указанием целей обработки. Типовые формулировки «согласен на обработку персональных данных» без раскрытия целей и состава данных не соответствуют требованиям закона.
- Составить реестр процессов обработки данных
- Проверить и актуализировать формы согласий
- Проверить соответствие требованию локализации (серверы в РК)
- Направить уведомление в уполномоченный орган (если не сделано)
- Разработать и утвердить политику обработки персональных данных
Третий шаг — назначить ответственного за обработку персональных данных внутри компании. Это не обязательно отдельная штатная единица, но конкретный сотрудник с зафиксированными полномочиями и ответственностью. Наличие такого лица — один из факторов, которые уполномоченный орган учитывает при оценке добросовестности оператора.
Смягчающие обстоятельства и как ими воспользоваться при назначении штрафа
Казахстанское административное законодательство предусматривает смягчающие обстоятельства, которые влияют на размер санкции. Для бизнеса, уже столкнувшегося с проверкой, грамотное использование этих инструментов — реальный способ снизить финансовые последствия.
К смягчающим обстоятельствам, как правило, относятся: добровольное устранение нарушения до вынесения постановления, содействие проверяющим органам, отсутствие предшествующих нарушений, незначительность последствий. Если оператор самостоятельно выявил нарушение, устранил его и уведомил уполномоченный орган — это существенно меняет картину по сравнению с ситуацией, когда нарушение выявлено в ходе проверки.
Важно также понимать, что постановление о назначении административного взыскания может быть обжаловано в суде. Административные суды Казахстана (СМАС) рассматривают такие дела в рамках АППК. По нашему опыту, суды нередко снижают размер санкции при наличии доказательств добросовестности оператора и принятых мер по устранению нарушений. Обжалование — не автоматическая победа, но реальный инструмент защиты прав бизнеса.
Частые вопросы
1. Нужно ли уведомлять уполномоченный орган об обработке данных?
Казахстанское законодательство о персональных данных обязывает операторов, осуществляющих обработку данных в информационных системах, направлять уведомление в уполномоченный орган — Министерство цифрового развития, инноваций и аэрокосмической промышленности РК. Уведомление подаётся до начала обработки. Нарушение этого требования квалифицируется как самостоятельный состав административного правонарушения и влечёт штраф. Уведомление подаётся через портал egov.kz или непосредственно в орган. Важно понимать, что уведомление — не разовое действие: при изменении целей или состава обрабатываемых данных оператор обязан направить обновлённое уведомление.
2. Какой штраф за нарушение закона о персональных данных?
Размер штрафа за нарушение Закона о персональных данных и их защите в Казахстане зависит от субъекта нарушения и характера нарушения. Для должностных лиц и субъектов малого предпринимательства штрафы исчисляются в МРП — по состоянию на 2026 год один МРП составляет 4 325 тенге. При повторном нарушении в течение года размер санкции существенно возрастает. Для крупных организаций и операторов, обрабатывающих значительные массивы данных, санкции изначально выше. Принципиально важно: каждое нарушение образует самостоятельный состав, поэтому при выявлении нескольких нарушений в ходе одной проверки штрафы суммируются.
3. Можно ли хранить персональные данные казахстанцев за границей?
Закон о персональных данных и их защите устанавливает требование локализации: базы данных, содержащие персональные данные граждан Казахстана, должны храниться на серверах, физически расположенных на территории Республики Казахстан. Трансграничная передача данных допускается только при соблюдении ряда условий — в частности, если принимающая сторона обеспечивает надлежащий уровень защиты и получено согласие субъекта. Нарушение требования локализации является самостоятельным составом правонарушения. Использование зарубежных облачных сервисов без соблюдения этих условий — одно из наиболее часто выявляемых нарушений при проверках.
4. Как долго можно хранить персональные данные?
Казахстанское законодательство о персональных данных устанавливает принцип ограничения срока хранения: данные должны храниться не дольше, чем это необходимо для достижения целей обработки. После достижения цели или истечения установленного срока оператор обязан уничтожить или обезличить данные. Конкретные сроки хранения для отдельных категорий данных могут устанавливаться отраслевым законодательством — например, для кадровых документов, финансовой отчётности, медицинских записей. Отсутствие задокументированных сроков хранения и процедур уничтожения данных — типичное нарушение, выявляемое при проверках.
5. Что такое «специальные категории» персональных данных и почему они важны?
Специальные категории персональных данных — это сведения, обработка которых сопряжена с повышенными рисками для субъекта и потому требует усиленной защиты. К ним относятся данные о расовой и национальной принадлежности, политических взглядах, религиозных убеждениях, состоянии здоровья, судимостях и биометрические данные. Для обработки специальных категорий требуется явное письменное согласие субъекта или иное специальное основание, предусмотренное законом. Нарушения при обработке специальных категорий данных, как правило, влекут более строгие санкции по сравнению с нарушениями при обработке обычных данных.
6. Обязан ли оператор уведомлять субъектов об утечке данных?
Казахстанское законодательство о персональных данных предусматривает обязанность оператора уведомить уполномоченный орган об инцидентах, связанных с нарушением безопасности персональных данных. Требования к срокам и порядку уведомления установлены законодательством. Неуведомление об утечке является самостоятельным составом нарушения. Помимо уведомления органа, оператор обязан принять меры по устранению последствий инцидента и предотвращению повторного нарушения. Подробнее о процедуре уведомления — в нашем материале «Уведомление об утечке персональных данных в Казахстане».
7. Может ли директор компании быть привлечён к ответственности лично?
Да, казахстанское административное законодательство предусматривает ответственность как юридического лица — оператора данных, так и должностных лиц. Директор или иное должностное лицо, ответственное за обработку данных, может быть привлечено к административной ответственности одновременно с организацией. Это означает, что собственник, совмещающий функции директора, несёт личный финансовый риск. Назначение ответственного за обработку персональных данных с чётко зафиксированными полномочиями позволяет разграничить ответственность и снизить личные риски руководителя.
8. Можно ли обжаловать штраф за нарушение закона о персональных данных?
Постановление о назначении административного взыскания за нарушение законодательства о персональных данных может быть обжаловано в административном суде (СМАС) в рамках Административного процедурно-процессуального кодекса РК. Срок обжалования ограничен, поэтому действовать нужно оперативно. Суды рассматривают как законность самого постановления, так и соразмерность назначенной санкции. По нашему опыту, при наличии доказательств добросовестности оператора и принятых мер по устранению нарушений суды нередко снижают размер штрафа или отменяют постановление полностью.
9. Распространяется ли закон о персональных данных на обработку данных сотрудников?
Да, Закон о персональных данных и их защите в Казахстане распространяется на обработку данных физических лиц вне зависимости от их статуса — клиентов, контрагентов или сотрудников. Работодатель является оператором персональных данных своих работников и обязан соблюдать все требования закона: получать согласие на обработку, обеспечивать безопасность данных, соблюдать сроки хранения кадровых документов. Трудовой кодекс РК содержит дополнительные требования к обработке персональных данных работников, которые необходимо учитывать наряду с общим законодательством.
10. Что такое политика обработки персональных данных и обязательна ли она?
Политика обработки персональных данных — это документ, в котором оператор раскрывает цели, состав, способы и сроки обработки данных, а также права субъектов и порядок их реализации. Казахстанское законодательство обязывает операторов, осуществляющих обработку данных в информационных системах с общедоступным доступом, публиковать такую политику. Отсутствие политики или её несоответствие фактическим процессам обработки — типичное нарушение, выявляемое при проверках. Политика должна быть не формальным документом «для галочки», а реальным отражением того, как компания работает с данными.
Выводы
Административная ответственность за нарушения в сфере персональных данных в Казахстане перестала быть теоретической: число проверок растёт, санкции реально взыскиваются, а повторные нарушения влекут кратно большие штрафы. Для собственника среднего бизнеса ключевые риски — отсутствие корректных согласий, нарушение требования локализации и неуведомление уполномоченного органа. Каждое из этих нарушений образует самостоятельный состав, и при одной проверке они суммируются. Системный подход — инвентаризация процессов, актуализация согласий, проверка локализации, назначение ответственного — позволяет снизить риски до управляемого уровня. Если проверка уже началась, грамотные возражения на акт и обжалование в СМАС — реальные инструменты защиты.
Актуально на: 2 января 2026 года.
Если ситуация требует внимания — мы поможем разобраться.
Смежные направления
Направление практики
Персональные данные и IT-право — соответствие Закону о персональных данных, трансграничная передача, аудит обработки и IT-договоры.