Штрафы за нарушение закона о персональных данных в Казахстане
Нарушение требований Закона о персональных данных и их защите в Казахстане влечёт административную ответственность по Кодексу об административных правонарушениях РК — штрафы для юридических лиц исчисляются сотнями МРП и кратно возрастают при повторном нарушении. Для топ-менеджера это означает не только финансовые потери компании, но и риск личной ответственности как должностного лица. В этом материале — разбор составов, размеров санкций, практики проверок и конкретных шагов по снижению рисков.
Если ваша компания обрабатывает персональные данные клиентов или сотрудников — проверьте соответствие требованиям до того, как это сделает регулятор. Проверить обработку персональных данных · info@vetrovkz.com
Почему тема штрафов за персональные данные актуальна для бизнеса в Казахстане
Казахстан последовательно ужесточает правоприменение в сфере персональных данных: число проверок уполномоченного органа растёт, а суммы штрафов для организаций становятся ощутимыми. Закон о персональных данных и их защите действует в Казахстане уже более десяти лет, однако активная правоприменительная практика сформировалась относительно недавно — в последние три-четыре года регулятор перешёл от предупреждений к реальным санкциям.
Для топ-менеджера ключевой вопрос — не только размер штрафа для компании, но и личная ответственность. Кодекс об административных правонарушениях РК разграничивает ответственность юридического лица и должностного лица: директор или ответственный за обработку данных сотрудник может быть привлечён к ответственности параллельно с организацией. Это делает тему персональных данных вопросом личного риска, а не только корпоративного комплаенса.
Практика показывает, что наиболее распространённые нарушения — отсутствие согласия субъекта, несоблюдение требований локализации данных и непредоставление информации уполномоченному органу. Именно эти составы чаще всего фигурируют в материалах проверок.
Получили уведомление о проверке МЦРИАП или жалобу от субъекта данных — у вас ограниченное время на подготовку позиции.
Проверить обработку персональных данныхКакой закон регулирует персональные данные в Казахстане?
Основной нормативный акт — Закон о персональных данных и их защите. Он устанавливает права субъектов данных, обязанности операторов и условия обработки. Закон распространяется на любые организации, которые собирают, хранят, используют или передают персональные данные физических лиц на территории Казахстана — вне зависимости от формы собственности и отраслевой принадлежности.
Административная ответственность за нарушения установлена Кодексом об административных правонарушениях РК. Именно КоАП РК содержит конкретные составы и размеры санкций — Закон о персональных данных сам по себе не устанавливает штрафы, а лишь формирует обязанности. Это разграничение важно: при проверке инспектор квалифицирует нарушение по КоАП, а не по Закону.
Помимо этих двух актов, отдельные требования к обработке данных содержатся в отраслевом законодательстве — банковском, медицинском, телекоммуникационном. Для компаний в регулируемых отраслях применяется совокупность требований, что увеличивает число потенциальных оснований для привлечения к ответственности.
Кто проводит проверки и как они инициируются?
Уполномоченным органом в сфере персональных данных в Казахстане является Министерство цифрового развития, инноваций и аэрокосмической промышленности РК (МЦРИАП). Именно этот орган проводит плановые и внеплановые проверки операторов персональных данных, рассматривает жалобы субъектов и выносит предписания об устранении нарушений.
Проверки инициируются по нескольким основаниям. Плановые проверки включаются в ежегодный план и публикуются заблаговременно — у компании есть возможность подготовиться. Внеплановые проверки назначаются по жалобам субъектов данных, по результатам мониторинга или при наличии информации о нарушении. Утечка данных, публикация персональных данных в открытом доступе или жалоба уволенного сотрудника — типичные триггеры внеплановой проверки.
Административный процедурно-процессуальный кодекс РК (АППК) регулирует порядок проведения проверок и права проверяемого лица. Знание этого порядка позволяет своевременно заявить о процессуальных нарушениях, которые могут стать основанием для отмены результатов проверки.
Основные составы административных правонарушений в сфере персональных данных
КоАП РК выделяет несколько самостоятельных составов нарушений в сфере персональных данных, каждый из которых влечёт отдельную санкцию. Это означает, что одна проверка может выявить несколько нарушений одновременно, и штрафы суммируются.
Наиболее распространённые составы включают: обработку персональных данных без согласия субъекта или с нарушением условий согласия; несоблюдение требований к локализации данных на территории Казахстана; непредоставление субъекту информации о его данных по запросу; нарушение порядка уведомления уполномоченного органа; несоблюдение требований к защите данных от несанкционированного доступа.
Отдельно выделяется состав, связанный с трансграничной передачей данных без соблюдения установленных условий. Этот состав особенно актуален для компаний, использующих зарубежные облачные сервисы, CRM-системы или передающих данные материнской компании за рубеж.
- Обработка без согласия субъекта или с нарушением его условий
- Нарушение требований локализации данных
- Непредоставление информации субъекту по запросу
- Нарушение порядка уведомления уполномоченного органа
- Несоблюдение требований к защите данных от несанкционированного доступа
Размеры штрафов: сколько платит компания и должностное лицо?
Санкции по КоАП РК исчисляются в месячных расчётных показателях (МРП). По состоянию на 2026 год МРП составляет 4 325 тенге. Размер штрафа зависит от субъекта ответственности (физическое, должностное или юридическое лицо), конкретного состава и наличия повторности.
Для должностных лиц (директор, ответственный за обработку данных) штрафы, как правило, составляют от нескольких десятков до нескольких сотен МРП за одно нарушение. Для юридических лиц санкции существенно выше — в несколько раз. При повторном нарушении в течение года размер штрафа увеличивается кратно; в ряде составов повторность является квалифицирующим признаком, влекущим более тяжкую санкцию.
Важно понимать, что штраф — не единственное последствие. Уполномоченный орган вправе выдать предписание об устранении нарушения с установленным сроком. Неисполнение предписания образует самостоятельный состав и влечёт дополнительный штраф. Таким образом, одно исходное нарушение при бездействии компании может генерировать цепочку санкций.
Что такое повторность и как она влияет на размер санкции?
Повторность в административном праве Казахстана — это совершение аналогичного правонарушения в течение одного года после вступления в силу постановления о предыдущем нарушении. Это не просто отягчающее обстоятельство — в ряде составов КоАП РК повторность образует отдельный, более тяжкий состав со значительно большей санкцией.
На практике это означает следующее: если компания получила штраф за обработку данных без согласия субъекта и в течение года допустила аналогичное нарушение повторно — размер штрафа может возрасти в два-три раза по сравнению с первичным. Для юридических лиц это уже ощутимые суммы, исчисляемые миллионами тенге.
Кроме того, повторные нарушения формируют негативную историю взаимодействия с регулятором, что влияет на частоту плановых проверок и степень лояльности при рассмотрении будущих дел. По нашему опыту, компании с историей нарушений проверяются чаще и с большей тщательностью.
Локализация данных: требование, которое нарушают чаще всего
Требование локализации персональных данных казахстанских граждан — одно из ключевых в Законе о персональных данных и их защите. Данные должны собираться, обрабатываться и храниться на серверах, физически расположенных на территории Казахстана. Трансграничная передача допускается только при соблюдении установленных условий.
На практике это требование нарушается чаще всего непреднамеренно: компания использует зарубежный облачный сервис (Google Workspace, Microsoft 365, Salesforce), не осознавая, что данные казахстанских пользователей хранятся на серверах за рубежом. Аналогичная ситуация — с CRM-системами, HR-платформами и корпоративными мессенджерами, серверы которых расположены вне Казахстана.
Для трансграничной передачи данных Закон предусматривает несколько правовых оснований: согласие субъекта, передача в страны с адекватным уровнем защиты, исполнение договора с субъектом. Каждое из этих оснований требует документального оформления. Отсутствие такого оформления при фактической передаче данных за рубеж — готовый состав нарушения.
Согласие субъекта: типичные ошибки при оформлении
Согласие субъекта персональных данных — центральный инструмент легализации обработки в казахстанском праве. Закон предъявляет к согласию конкретные требования: оно должно быть добровольным, информированным, конкретным и однозначным. Нарушение любого из этих требований делает согласие недействительным, а обработку данных — незаконной.
Наиболее распространённые ошибки при оформлении согласия: использование предзаполненных чекбоксов на сайте; включение согласия на обработку данных в общие условия договора без возможности отдельного отказа; формулировки, не раскрывающие цели и объём обработки; отсутствие указания на право отзыва согласия. Каждая из этих ошибок может быть квалифицирована как нарушение при проверке.
Отдельного внимания заслуживает обработка данных сотрудников. Трудовые отношения создают ситуацию зависимости, при которой согласие работника формально не может считаться добровольным. Казахстанское законодательство допускает обработку данных сотрудников на основании Трудового кодекса РК, однако объём такой обработки ограничен целями трудовых отношений.
Как проходит проверка и что проверяет инспектор?
Проверка уполномоченного органа в сфере персональных данных, как правило, охватывает несколько ключевых аспектов: наличие и содержание политики конфиденциальности, форм согласия, внутренних регламентов обработки данных; техническую инфраструктуру — где физически хранятся данные; порядок реагирования на запросы субъектов; наличие уведомления уполномоченного органа (если применимо).
Инспектор вправе запрашивать документы, проводить осмотр информационных систем, опрашивать сотрудников. По результатам проверки составляется акт, на основании которого выносится предписание и/или возбуждается дело об административном правонарушении. Компания вправе представить возражения на акт проверки — это важный инструмент защиты, которым нередко пренебрегают.
АППК устанавливает процессуальные гарантии для проверяемого лица. Нарушение порядка проведения проверки — например, превышение её сроков или непредоставление копии акта — может стать основанием для оспаривания результатов в суде или в СМАС.
Практические рекомендации: как снизить риски до проверки
Превентивный аудит обработки персональных данных — наиболее эффективный способ снизить риски административной ответственности. Аудит позволяет выявить нарушения до того, как их обнаружит регулятор, и устранить их в рабочем порядке, без штрафных последствий.
Минимальный набор мер для топ-менеджера включает: проверку актуальности политики конфиденциальности и форм согласия; инвентаризацию информационных систем с точки зрения локализации данных; проверку договоров с подрядчиками, которым передаются данные (облачные сервисы, колл-центры, HR-платформы); назначение ответственного за обработку данных с чётко прописанными полномочиями.
- Провести инвентаризацию всех точек сбора персональных данных
- Проверить соответствие форм согласия требованиям Закона
- Убедиться в локализации данных или наличии правовых оснований для трансграничной передачи
- Проверить договоры с подрядчиками на предмет условий обработки данных
- Назначить ответственного за обработку персональных данных
По нашему опыту, компании, прошедшие превентивный аудит, в среднем устраняют три-пять нарушений до проверки регулятора. Это не только снижает риск штрафов, но и формирует позицию добросовестного оператора, что учитывается при рассмотрении дел.
Частые вопросы
1. Нужно ли уведомлять уполномоченный орган об обработке данных?
Казахстанское законодательство о персональных данных предусматривает уведомительный порядок для отдельных категорий операторов. Обязанность уведомить уполномоченный орган возникает при обработке данных в информационных системах, а также при трансграничной передаче данных. Нарушение уведомительного порядка квалифицируется как самостоятельное административное правонарушение и влечёт штраф. Конкретный перечень случаев, когда уведомление обязательно, установлен Законом о персональных данных и их защите. На практике многие компании игнорируют это требование, считая его формальностью, — и именно оно становится первым нарушением, выявленным при проверке.
2. Какой штраф за нарушение закона о персональных данных?
Размер штрафа за нарушение Закона о персональных данных и их защите в Казахстане зависит от конкретного состава правонарушения, субъекта (физическое, должностное или юридическое лицо) и наличия повторности. Санкции исчисляются в МРП — по состоянию на 2026 год МРП составляет 4 325 тенге. Для должностных лиц штрафы составляют, как правило, от нескольких десятков до нескольких сотен МРП. Для юридических лиц санкции кратно выше. При повторном нарушении в течение года размер штрафа существенно возрастает. Точные размеры установлены Кодексом об административных правонарушениях РК.
3. Можно ли хранить персональные данные казахстанцев за границей?
Закон о персональных данных и их защите устанавливает требование локализации: персональные данные граждан Казахстана должны собираться, обрабатываться и храниться на серверах, расположенных на территории Республики Казахстан. Трансграничная передача данных допускается при соблюдении ряда условий — в частности, при наличии согласия субъекта или при передаче в страны с адекватным уровнем защиты. Нарушение требований локализации является одним из наиболее распространённых оснований для привлечения к административной ответственности. Использование зарубежных облачных сервисов без надлежащего правового оформления — типичный пример такого нарушения.
4. Как долго можно хранить персональные данные?
Казахстанское законодательство о персональных данных устанавливает принцип ограничения срока хранения: данные должны храниться не дольше, чем это необходимо для достижения целей обработки. После достижения цели или отзыва согласия субъекта оператор обязан уничтожить данные или обезличить их. Конкретные сроки хранения для отдельных категорий данных могут устанавливаться отраслевым законодательством — например, для данных сотрудников Трудовой кодекс РК предусматривает отдельные сроки. Хранение данных сверх установленного срока без правового основания образует состав административного правонарушения.
5. Несёт ли директор личную ответственность за нарушения в сфере персональных данных?
Да, директор как должностное лицо может быть привлечён к административной ответственности параллельно с юридическим лицом. КоАП РК предусматривает отдельные санкции для должностных лиц по составам нарушений в сфере персональных данных. Это означает, что компания платит штраф как юридическое лицо, а директор — как должностное лицо, и эти штрафы суммируются. Назначение ответственного за обработку данных с чётко прописанными полномочиями частично снижает личный риск директора, однако не исключает его полностью при системных нарушениях.
6. Что такое политика конфиденциальности и обязательна ли она?
Политика конфиденциальности — документ, раскрывающий субъектам данных информацию о целях, объёме и порядке обработки их персональных данных. Казахстанское законодательство обязывает операторов информировать субъектов об обработке их данных, и политика конфиденциальности является стандартным инструментом выполнения этой обязанности. Отсутствие политики или её несоответствие требованиям Закона — самостоятельное основание для привлечения к ответственности. Для сайтов, собирающих данные пользователей, наличие актуальной политики конфиденциальности является обязательным минимумом.
7. Распространяется ли закон о персональных данных на иностранные компании, работающие в Казахстане?
Да, Закон о персональных данных и их защите распространяется на любых операторов, осуществляющих обработку персональных данных граждан Казахстана на территории республики, вне зависимости от страны регистрации компании. Иностранная компания, имеющая представительство или филиал в Казахстане, либо оказывающая услуги казахстанским пользователям через сайт, обязана соблюдать казахстанское законодательство о персональных данных. Нарушение этих требований влечёт административную ответственность в общем порядке.
8. Можно ли оспорить штраф за нарушение закона о персональных данных?
Постановление по делу об административном правонарушении может быть обжаловано в вышестоящий орган или в суд. АППК и КоАП РК устанавливают порядок и сроки обжалования. Основаниями для отмены постановления могут служить: нарушение процедуры проверки, неправильная квалификация нарушения, истечение срока давности привлечения к ответственности, малозначительность нарушения. По нашему опыту, грамотно составленные возражения на акт проверки и жалоба на постановление позволяют в ряде случаев снизить размер штрафа или добиться его отмены.
9. Что такое «специальные категории» персональных данных и почему они важны?
Специальные категории персональных данных — это сведения, обработка которых требует повышенного уровня защиты: данные о состоянии здоровья, биометрические данные, сведения о судимости, расовой и национальной принадлежности, политических взглядах и религиозных убеждениях. Закон о персональных данных и их защите устанавливает для таких данных более строгие требования к основаниям обработки и мерам защиты. Нарушение этих требований, как правило, влечёт более высокие санкции по сравнению с нарушениями при обработке обычных персональных данных.
10. Обязательно ли назначать ответственного за обработку персональных данных?
Казахстанское законодательство о персональных данных предусматривает возможность назначения ответственного за организацию обработки персональных данных. Для крупных операторов и организаций, обрабатывающих специальные категории данных, наличие такого лица является элементом надлежащей системы защиты данных. Отсутствие назначенного ответственного при системных нарушениях может усугубить положение компании при проверке, поскольку свидетельствует об отсутствии организационных мер защиты. На практике назначение ответственного с чёткими полномочиями снижает риск личной ответственности директора.
Выводы
Административная ответственность за нарушения в сфере персональных данных в Казахстане — реальный и нарастающий риск для бизнеса. Ключевые выводы для топ-менеджера: штрафы суммируются по нескольким составам и кратно возрастают при повторности; директор несёт личную ответственность как должностное лицо параллельно с компанией; наиболее распространённые нарушения — локализация данных и ненадлежащее оформление согласия — устраняются в рабочем порядке при своевременном аудите. Превентивные меры обходятся значительно дешевле, чем защита при проверке и оплата штрафов.
Актуально на: 22 сентября 2026 года.
Если ситуация требует внимания — мы поможем разобраться.
Смежные направления
Направление практики
Персональные данные и IT-право — соответствие Закону о персональных данных, трансграничная передача, аудит обработки и IT-договоры.