Штрафы за нарушение закона о персональных данных в Казахстане: анализ практики
Нарушение требований казахстанского законодательства о персональных данных влечёт административную ответственность по Кодексу об административных правонарушениях РК — от предупреждения до значительных штрафов, размер которых зависит от категории нарушителя и повторности. В 2025–2026 годах уполномоченный орган заметно активизировал проверочную деятельность, и число дел против операторов персональных данных устойчиво растёт. Понимание состава нарушений и логики правоприменения позволяет выстроить защиту до того, как придёт проверка.
Если ваша компания обрабатывает персональные данные клиентов или сотрудников — проверьте соответствие требованиям до прихода проверки. Проверить обработку персональных данных · info@vetrovkz.com
Правовая основа: какой закон регулирует персональные данные в Казахстане
Основным нормативным актом в сфере персональных данных в Казахстане является Закон о персональных данных и их защите. Он устанавливает права субъектов, обязанности операторов и третьих лиц, а также требования к трансграничной передаче данных.
Административная ответственность за нарушения в этой сфере предусмотрена Кодексом об административных правонарушениях РК. Санкции дифференцированы: отдельные составы предусмотрены для физических лиц, должностных лиц и юридических лиц. Размер штрафа исчисляется в месячных расчётных показателях (МРП), что означает его ежегодную индексацию — в 2026 году МРП составляет 4 325 тенге (по состоянию на 2026 год).
Уполномоченным органом по контролю и надзору в сфере персональных данных является Министерство цифрового развития, инноваций и аэрокосмической промышленности РК (МЦРИАП). Именно оно проводит плановые и внеплановые проверки, рассматривает жалобы субъектов и инициирует административные производства.
Помимо административной, казахстанское законодательство предусматривает гражданско-правовую ответственность оператора перед субъектом данных — возмещение убытков и компенсацию морального вреда. Это отдельный риск, который нередко реализуется параллельно с административным производством.
Если ваша компания получила предписание МЦРИАП или уведомление о проверке — время на подготовку ограничено.
Проверить обработку персональных данныхКакие нарушения чаще всего фиксирует регулятор?
Наиболее распространённые нарушения, выявляемые МЦРИАП при проверках, связаны с отсутствием или ненадлежащим оформлением согласия субъекта на обработку его персональных данных. Это базовое требование закона, которое нарушается системно — особенно в сегменте малого и среднего бизнеса.
Вторая по частоте группа нарушений — несоблюдение требований к защите данных: отсутствие технических и организационных мер, обеспечивающих конфиденциальность и целостность информации. Сюда входят незащищённые базы данных, отсутствие разграничения прав доступа, хранение данных без шифрования.
Третья группа — нарушения при трансграничной передаче данных. Использование зарубежных облачных сервисов, CRM-систем с серверами за пределами Казахстана без надлежащего оформления согласия субъектов или уведомления регулятора квалифицируется как самостоятельное нарушение.
- Отсутствие согласия субъекта или его ненадлежащее оформление
- Обработка данных сверх заявленных целей
- Несоблюдение сроков хранения и уничтожения данных
- Игнорирование запросов субъектов об исправлении или удалении данных
- Передача данных третьим лицам без оснований
Как устроена система штрафов: категории нарушителей и размеры санкций
Административные санкции за нарушения в сфере персональных данных в Казахстане построены по принципу градации: размер штрафа зависит от субъектного состава (физическое лицо, должностное лицо, юридическое лицо) и от того, совершено ли нарушение впервые или повторно.
Для физических лиц санкции, как правило, минимальны и нередко ограничиваются предупреждением при первичном нарушении. Должностные лица — руководители, ответственные за обработку данных, — несут более существенную ответственность. Юридические лица подвергаются наиболее значительным штрафам, исчисляемым в десятках и сотнях МРП.
Повторное совершение аналогичного нарушения в течение года после первого является отягчающим обстоятельством. Кодекс об административных правонарушениях РК предусматривает для повторных нарушений санкции, которые могут быть в несколько раз выше первоначальных. В отдельных случаях повторное нарушение может повлечь приостановление деятельности оператора.
Отдельно следует отметить, что нарушения при обработке чувствительных персональных данных — сведений о здоровье, биометрии, судимости — квалифицируются строже и влекут повышенные санкции по сравнению с нарушениями при обработке обычных данных.
Что происходит при утечке персональных данных?
Утечка персональных данных — один из наиболее серьёзных инцидентов с точки зрения правовых последствий для оператора. Казахстанское законодательство обязывает оператора уведомить уполномоченный орган и субъектов данных об инциденте в установленные сроки.
Несвоевременное уведомление или его отсутствие является самостоятельным составом правонарушения, независимо от того, были ли приняты меры по устранению последствий утечки. На практике регулятор рассматривает сокрытие инцидента как отягчающее обстоятельство при определении размера санкции.
Параллельно с административным производством субъекты данных, чьи сведения были скомпрометированы, вправе предъявить гражданско-правовые требования к оператору — о возмещении убытков и компенсации морального вреда. Казахстанские суды в последние годы всё чаще удовлетворяют такие требования, хотя размеры компенсаций пока остаются умеренными.
Для снижения рисков рекомендуется заблаговременно разработать план реагирования на инциденты (incident response plan), определить ответственных лиц и установить внутренние процедуры уведомления — это позволяет действовать быстро и документировать принятые меры.
Как проходит проверка МЦРИАП: процедура и права оператора
Проверки МЦРИАП в сфере персональных данных проводятся в плановом и внеплановом порядке. Основанием для внеплановой проверки чаще всего служит жалоба субъекта данных или информация из открытых источников об инциденте.
Оператор вправе ознакомиться с актом проверки, представить возражения и пояснения. Административный процессуальный порядок в Казахстане предусматривает обязательное соблюдение процедуры: нарушение порядка проведения проверки может стать основанием для признания её результатов недействительными в суде.
На практике значительная часть дел завершается на стадии добровольного устранения нарушений. Если оператор оперативно реагирует на предписание и документирует принятые меры, это учитывается при определении санкции. Полное игнорирование предписания, напротив, влечёт составление протокола и передачу дела в суд.
- Запросить основание для проверки и ознакомиться с приказом
- Обеспечить доступ к запрошенным документам и системам
- Фиксировать все действия проверяющих в акте
- Представить письменные возражения на акт проверки
- При несогласии — обжаловать результаты в СМАС или вышестоящем органе
Практические рекомендации: как снизить риск штрафов
Снижение риска административной ответственности в сфере персональных данных достигается через системную работу, а не разовые меры. Ключевой элемент — актуальная политика конфиденциальности и работающие процедуры получения согласия субъектов.
Согласие должно быть конкретным, информированным и добровольным. Формальные «галочки» в договорах, которые субъект не читал, всё чаще оспариваются регулятором. Рекомендуется разделять согласие на обработку обязательных данных (необходимых для исполнения договора) и согласие на маркетинговые коммуникации.
Технические меры защиты должны соответствовать категории обрабатываемых данных. Для чувствительных данных — шифрование, двухфакторная аутентификация, ограниченный доступ. Для обычных данных — минимально достаточный уровень защиты с документированием принятых мер.
- Провести инвентаризацию всех баз данных и потоков информации
- Актуализировать согласия субъектов и политику конфиденциальности
- Назначить ответственного за обработку персональных данных
- Разработать процедуру реагирования на запросы субъектов
- Проверить договоры с подрядчиками, получающими доступ к данным
Персональные данные в трудовых отношениях: отдельный блок рисков
Работодатель в Казахстане является оператором персональных данных своих сотрудников и несёт полный объём обязанностей по их защите. Это направление остаётся одним из наиболее уязвимых с точки зрения правоприменения.
Типичные нарушения в трудовых отношениях: передача данных сотрудников третьим лицам (кадровым агентствам, банкам, страховщикам) без надлежащего согласия; хранение избыточных сведений о работниках после прекращения трудового договора; использование биометрических данных (системы контроля доступа, учёт рабочего времени) без письменного согласия.
Отдельного внимания заслуживает видеонаблюдение в офисе. Оно допустимо при условии уведомления сотрудников — как правило, через трудовой договор или локальный акт. Скрытое наблюдение без уведомления создаёт самостоятельный состав правонарушения и может стать основанием для трудового спора. Подробнее об этом — в материале «Видеонаблюдение в офисе в Казахстане».
Трудовые споры, связанные с нарушением режима персональных данных, рассматриваются в рамках Трудового кодекса РК и Закона о персональных данных и их защите одновременно. Это означает двойную ответственность работодателя — административную и трудово-правовую.
Персональные данные и цифровой бизнес: сайты, приложения, CRM
Цифровой бизнес — интернет-магазины, мобильные приложения, SaaS-сервисы — обрабатывает персональные данные в промышленных масштабах, что делает его приоритетным объектом внимания регулятора. Казахстанское законодательство не делает исключений для онлайн-операторов.
Сайт, собирающий данные пользователей через формы регистрации, cookies или аналитические сервисы, обязан иметь актуальную политику конфиденциальности на казахском и русском языках, размещённую в доступном месте. Политика должна описывать цели обработки, категории данных, сроки хранения и права субъектов. О правилах работы с cookies подробнее — в материале «Штрафы за нарушение закона о персональных данных».
CRM-системы с серверами за пределами Казахстана создают риск нарушения требований о трансграничной передаче данных. Перед внедрением зарубежного облачного решения рекомендуется проверить, входит ли страна размещения серверов в перечень государств с надлежащим уровнем защиты, и при необходимости получить согласие субъектов на трансграничную передачу.
Частые вопросы
1. Что такое чувствительные персональные данные?
Чувствительные персональные данные — это категория сведений, обработка которых несёт повышенный риск для субъекта. В казахстанском законодательстве к ним относятся данные о расовой и национальной принадлежности, политических взглядах, религиозных убеждениях, состоянии здоровья, судимости, а также биометрические данные. Для их обработки требуется явное письменное согласие субъекта, а требования к защите и хранению существенно строже, чем для обычных персональных данных. Нарушение режима обработки чувствительных данных влечёт повышенную административную ответственность.
2. Можно ли использовать видеонаблюдение в офисе?
Видеонаблюдение в офисе в Казахстане допустимо при соблюдении ряда условий. Работодатель обязан уведомить сотрудников о ведении съёмки — как правило, это делается через трудовой договор или отдельное соглашение. Видеозаписи являются персональными данными, поэтому на их обработку распространяются требования Закона о персональных данных и их защите: наличие цели обработки, ограниченный срок хранения, защита от несанкционированного доступа. Скрытое наблюдение без уведомления работников создаёт риск административной ответственности.
3. Как правильно собирать cookies на сайте в Казахстане?
Сбор cookies на казахстанском сайте требует информирования пользователей и получения их согласия, если cookies используются для идентификации личности или отслеживания поведения. Технически необходимые cookies (сессионные, корзина) согласия не требуют. Для аналитических и маркетинговых cookies необходимо разместить cookie-баннер с возможностью отказа, а политику конфиденциальности — на видном месте. Данные, собранные через cookies, подпадают под действие Закона о персональных данных и их защите, если позволяют идентифицировать пользователя.
4. Что делать при запросе субъекта персональных данных?
При получении запроса от субъекта персональных данных оператор обязан ответить в установленный законодательством срок. Субъект вправе запросить подтверждение факта обработки, получить копию своих данных, потребовать исправления неточных сведений или уничтожения данных при отсутствии законных оснований для их хранения. Отказ в предоставлении информации или нарушение сроков ответа является самостоятельным основанием для привлечения оператора к административной ответственности. Рекомендуется вести журнал обращений субъектов и фиксировать принятые меры.
5. Какой орган контролирует соблюдение законодательства о персональных данных в Казахстане?
Уполномоченным органом в сфере персональных данных в Казахстане является Министерство цифрового развития, инноваций и аэрокосмической промышленности РК (МЦРИАП). Именно этот орган проводит проверки операторов персональных данных, рассматривает жалобы субъектов и составляет протоколы об административных правонарушениях. Дела об административных правонарушениях рассматриваются судами. Помимо МЦРИАП, отдельные надзорные полномочия в части персональных данных имеют отраслевые регуляторы — например, в банковской и медицинской сферах.
6. Что считается нарушением при трансграничной передаче персональных данных?
Трансграничная передача персональных данных в Казахстане допустима только в государства, обеспечивающие надлежащий уровень защиты данных, либо при наличии согласия субъекта на такую передачу. Нарушением считается передача данных в страны без адекватного уровня защиты без согласия субъекта, а также передача без уведомления уполномоченного органа в случаях, когда такое уведомление обязательно. Особую осторожность следует проявлять при использовании облачных сервисов с серверами за рубежом — это также квалифицируется как трансграничная передача.
7. Обязан ли ИП соблюдать требования закона о персональных данных?
Индивидуальный предприниматель в Казахстане является оператором персональных данных, если обрабатывает сведения о физических лицах — клиентах, сотрудниках, контрагентах. Требования Закона о персональных данных и их защите распространяются на ИП в полном объёме: необходимо получать согласие, обеспечивать защиту данных, реагировать на запросы субъектов. Административная ответственность за нарушения также применяется к ИП. Размер штрафов для физических лиц и ИП, как правило, ниже, чем для юридических лиц, однако повторные нарушения существенно увеличивают санкцию.
8. Нужно ли регистрировать базу данных персональных данных в Казахстане?
Казахстанское законодательство не предусматривает обязательной регистрации всех баз персональных данных в уполномоченном органе. Однако оператор обязан уведомить МЦРИАП о начале обработки персональных данных в случаях, установленных законодательством, — в частности, при обработке чувствительных данных или при трансграничной передаче. Отсутствие уведомления в обязательных случаях является самостоятельным составом правонарушения. Рекомендуется вести внутренний реестр баз данных и регулярно его актуализировать.
9. Как повторность нарушения влияет на размер штрафа?
Повторное совершение аналогичного нарушения в течение года после первого является отягчающим обстоятельством и, как правило, влечёт существенно более высокий штраф по сравнению с первичным нарушением. Кодекс об административных правонарушениях РК предусматривает для повторных нарушений в сфере персональных данных санкции, которые могут быть в несколько раз выше первоначальных. Помимо увеличенного штрафа, повторное нарушение может повлечь приостановление деятельности оператора. Это делает профилактику нарушений экономически значимой задачей.
10. Что включает аудит персональных данных для бизнеса?
Аудит персональных данных — это комплексная проверка соответствия деятельности компании требованиям Закона о персональных данных и их защите. Он включает инвентаризацию всех баз данных и потоков информации, проверку наличия и актуальности согласий субъектов, оценку технических мер защиты, анализ договоров с третьими лицами — получателями данных, проверку локальных политик и регламентов. По итогам аудита формируется перечень выявленных нарушений и план их устранения. Проведение аудита до проверки регулятора позволяет существенно снизить риск штрафов.
Выводы
Административная ответственность за нарушения в сфере персональных данных в Казахстане становится всё более реальным риском: МЦРИАП активизировал проверочную деятельность, а число дел против операторов устойчиво растёт. Ключевые факторы риска — отсутствие надлежащего согласия субъектов, несоблюдение требований к защите данных и нарушения при трансграничной передаче. Повторные нарушения влекут существенно более высокие санкции и могут привести к приостановлению деятельности. Превентивный аудит и выстроенные внутренние процедуры — наиболее эффективный способ снизить риск штрафов до того, как придёт проверка. Дополнительно о смежных рисках — в материале «Что грозит за задержку зарплаты в Казахстане» и на странице аналитики БЕРІК.
Актуально на: 15 сентября 2026 года.
Если ситуация требует внимания — мы поможем разобраться.
Смежные направления
Направление практики
Персональные данные и IT-право — соответствие Закону о персональных данных, трансграничная передача, аудит обработки и IT-договоры.