Цифровой кодекс Казахстана: что изменилось для бизнеса: анализ практики
Казахстан формирует единую цифровую правовую базу: Цифровой кодекс РК систематизирует требования к обработке персональных данных, кибербезопасности и цифровым сервисам в одном документе. Для топ-менеджера это означает новые обязанности, конкретные сроки и реальные санкции — игнорировать которые дороже, чем выстроить комплаенс заранее.
Если ваша компания ещё не провела аудит обработки персональных данных — сейчас подходящий момент, пока проверка не пришла сама. Проверить обработку персональных данных · info@vetrovkz.com
Что такое Цифровой кодекс Казахстана и зачем он нужен бизнесу?
Цифровой кодекс Республики Казахстан — это кодифицированный акт, который объединяет под одной «крышей» нормы о персональных данных, электронном документообороте, информационной безопасности и цифровых государственных услугах. До его принятия эти вопросы регулировались разрозненными законами, что создавало правовую неопределённость: компании не понимали, какой акт применять в конкретной ситуации.
Для топ-менеджера ключевое значение имеет то, что Кодекс переводит ответственность за цифровой комплаенс с абстрактного «IT-отдела» на уровень руководства. Директор подписывает — и отвечает лично. Кодекс прямо устанавливает обязанности оператора персональных данных, которым является любая компания, собирающая сведения о клиентах, сотрудниках или контрагентах.
Практическое значение документа: он формирует единый стандарт, по которому уполномоченный орган — Министерство цифрового развития, инноваций и аэрокосмической промышленности РК — проводит проверки и назначает санкции. Незнание требований Кодекса не освобождает от ответственности.
Если ваша компания работает в финансовом секторе, телекоммуникациях или энергетике — проверьте, не отнесена ли она к субъектам критической инфраструктуры: требования к ней принципиально строже.
Проверить обработку персональных данныхКакие новые обязанности Цифровой кодекс возложил на операторов данных?
Оператор персональных данных по казахстанскому законодательству — это любое лицо, которое самостоятельно или совместно с другими определяет цели и способы обработки персональных данных. Под это определение подпадает практически каждая компания, ведущая деятельность в Казахстане.
Цифровой кодекс закрепил несколько принципиально новых обязанностей. Во-первых, обязательная регистрация баз персональных данных в уполномоченном органе — для баз, содержащих данные более установленного порогового числа субъектов. Во-вторых, назначение ответственного за организацию обработки персональных данных внутри компании — аналог европейского DPO, но с казахстанской спецификой. В-третьих, разработка и утверждение политики обработки персональных данных, которая должна быть публично доступна.
Отдельно Кодекс регулирует трансграничную передачу данных: передача персональных данных за пределы Казахстана допустима только в страны с адекватным уровнем защиты или при наличии специальных гарантий. Для компаний, использующих облачные сервисы иностранных провайдеров, это требование становится практически значимым уже сейчас.
Кибербезопасность: что Кодекс требует от частного бизнеса?
Требования к кибербезопасности в Цифровом кодексе распространяются не только на государственные органы, но и на частные компании, отнесённые к субъектам критической информационной инфраструктуры. Перечень таких субъектов охватывает финансовый сектор, телекоммуникации, энергетику, транспорт и ряд других отраслей.
Для компаний из этого перечня Кодекс устанавливает обязательные меры: аттестацию информационных систем, подключение к государственной системе мониторинга инцидентов, уведомление уполномоченного органа об инцидентах в течение установленного срока. Нарушение сроков уведомления — самостоятельное основание для привлечения к ответственности, независимо от того, был ли причинён реальный ущерб.
Для компаний вне перечня критической инфраструктуры Кодекс устанавливает общие требования: принятие организационных и технических мер защиты, соразмерных характеру обрабатываемых данных. Это означает, что компания, хранящая медицинские или биометрические данные, обязана применять более строгие меры, чем компания, работающая только с контактными данными клиентов.
Согласие на обработку данных: как изменились требования?
Требования к согласию на обработку персональных данных в Казахстане стали строже: Цифровой кодекс закрепил принцип информированного, конкретного и добровольного согласия. Согласие, полученное «по умолчанию» или через заранее проставленные галочки, не соответствует этому стандарту.
Кодекс разграничивает основания для обработки данных. Согласие — лишь одно из них. Обработка также допустима для исполнения договора, выполнения законной обязанности оператора или в целях законных интересов — при условии, что они не перевешиваются интересами субъекта. Это разграничение важно: компании нередко запрашивают согласие там, где оно не нужно, и наоборот — обрабатывают данные без надлежащего основания.
Отдельного внимания заслуживает согласие несовершеннолетних: для лиц до 16 лет требуется согласие родителей или законных представителей. Для компаний, работающих с образовательными или развлекательными сервисами, это требование носит практический характер.
Права субъектов данных: что теперь может потребовать клиент или сотрудник?
Цифровой кодекс расширил перечень прав субъектов персональных данных, и каждое из этих прав — потенциальный запрос, на который компания обязана ответить в установленный срок. Игнорирование запроса субъекта само по себе является нарушением.
Субъект вправе запросить: подтверждение факта обработки его данных, копию обрабатываемых сведений, исправление неточных данных, удаление данных при наличии оснований («право на забвение»), ограничение обработки на период рассмотрения возражения. Срок ответа на запрос — как правило, не более 15 рабочих дней, если иное не установлено специальными нормами.
Для топ-менеджера это означает необходимость выстроить внутренний процесс обработки запросов субъектов: кто принимает, кто отвечает, в какие сроки. Отсутствие такого процесса — системная уязвимость, которую проверяющий орган выявит при первой же проверке.
Ответственность за нарушения: какие санкции предусмотрены?
Административная ответственность за нарушения в сфере персональных данных в Казахстане существенно возросла после принятия Цифрового кодекса. Санкции дифференцированы в зависимости от характера нарушения, субъекта и повторности.
Среди наиболее значимых оснований для привлечения к ответственности: незаконная обработка персональных данных без согласия субъекта, непринятие мер по защите данных, повлёкшее их утечку, нарушение требований к трансграничной передаче, несоблюдение сроков ответа на запросы субъектов, а также непредоставление сведений уполномоченному органу по его запросу.
Важно: ответственность может быть возложена как на юридическое лицо, так и на должностное лицо — руководителя или ответственного за обработку данных. Параллельное привлечение компании и директора к ответственности по казахстанскому административному праву допустимо. Это делает личный контроль топ-менеджера за состоянием цифрового комплаенса не просто желательным, а необходимым.
Практические шаги: как привести компанию в соответствие с Цифровым кодексом?
Приведение компании в соответствие с требованиями Цифрового кодекса — это проект, а не разовое действие. По нашему опыту, компании, начавшие с аудита, тратят на комплаенс значительно меньше ресурсов, чем те, кто реагирует на предписание проверяющего органа.
Первый шаг — инвентаризация: какие персональные данные компания собирает, на каком основании, где хранит, кому передаёт и как долго. Результат инвентаризации — реестр операций по обработке данных. Без него невозможно оценить ни риски, ни объём необходимых изменений.
Второй шаг — документация: политика обработки персональных данных, формы согласий, уведомления для сотрудников и клиентов, договоры с обработчиками данных (подрядчиками, облачными провайдерами). Третий шаг — технические меры: шифрование, разграничение доступа, журналирование операций. Четвёртый — обучение персонала и назначение ответственного лица. Пятый — регулярный аудит: не реже одного раза в год или при существенном изменении процессов обработки.
Частые вопросы
1. Нужно ли согласие на обработку данных сотрудников?
Согласие сотрудника на обработку персональных данных требуется в большинстве случаев, однако казахстанское законодательство предусматривает ряд исключений. Данные, необходимые для исполнения трудового договора, могут обрабатываться без отдельного согласия — например, ФИО, ИИН, банковские реквизиты для выплаты зарплаты. Однако биометрия, медицинские сведения и данные о дисциплинарных взысканиях относятся к чувствительным категориям и требуют явного письменного согласия. Работодатель обязан уведомить сотрудника о целях, объёме и сроках обработки данных до начала их сбора.
2. Что такое чувствительные персональные данные?
Чувствительные персональные данные — это категория сведений, обработка которых несёт повышенный риск нарушения прав субъекта. По казахстанскому законодательству к ним относятся: биометрические данные (отпечатки пальцев, сканы лица, голос), сведения о состоянии здоровья, расовая и национальная принадлежность, политические и религиозные убеждения, судимости, а также данные о частной жизни. Для их обработки требуется явное письменное согласие субъекта или прямое указание в законе. Нарушение режима обработки чувствительных данных влечёт повышенную административную ответственность.
3. Можно ли использовать видеонаблюдение в офисе?
Видеонаблюдение в офисе допустимо при соблюдении ряда условий. Работодатель обязан уведомить сотрудников о наличии видеонаблюдения — как правило, через локальный нормативный акт и таблички в зонах съёмки. Скрытое наблюдение за работниками без их уведомления нарушает требования законодательства о персональных данных. Записи с камер являются персональными данными и должны храниться с соблюдением установленных сроков и мер защиты. Использование записей в дисциплинарных целях допустимо, если это предусмотрено внутренними документами компании.
4. Как правильно собирать cookies на сайте в Казахстане?
Сбор cookies на казахстанском сайте требует информирования пользователей и, в ряде случаев, получения их согласия. Технические cookies, необходимые для работы сайта, могут использоваться без согласия. Аналитические и маркетинговые cookies, позволяющие идентифицировать пользователя, требуют явного согласия — через баннер или всплывающее окно. Политика конфиденциальности сайта должна описывать типы cookies, цели их использования и срок хранения. Отсутствие cookie-баннера при наличии трекинговых скриптов является нарушением законодательства о персональных данных.
5. Что такое трансграничная передача данных и когда она допустима?
Трансграничная передача персональных данных — это любая передача данных казахстанских субъектов на серверы или лицам, находящимся за пределами Республики Казахстан. Она допустима в нескольких случаях: если страна-получатель обеспечивает адекватный уровень защиты данных, если субъект дал явное согласие на такую передачу, или если передача необходима для исполнения договора с участием субъекта. Использование иностранных облачных сервисов (хранение данных на зарубежных серверах) автоматически квалифицируется как трансграничная передача. Компании обязаны проверить правовое основание для каждого такого случая.
6. Нужно ли регистрировать базу данных клиентов в уполномоченном органе?
Обязанность регистрации баз персональных данных зависит от их объёма и характера содержащихся сведений. Базы, включающие данные значительного числа субъектов или содержащие чувствительные категории данных, подлежат регистрации в уполномоченном органе — Министерстве цифрового развития РК. Небольшие базы, используемые исключительно для внутренних административных целей, как правило, освобождены от регистрации. Рекомендуется провести инвентаризацию всех баз данных компании и оценить необходимость регистрации каждой из них — это первый шаг любого аудита персональных данных.
7. Кто в компании несёт ответственность за защиту персональных данных?
Ответственность за организацию обработки персональных данных несёт оператор — то есть юридическое лицо в лице его руководителя. Цифровой кодекс предусматривает назначение специального ответственного лица внутри компании, однако это не снимает ответственности с директора. При нарушениях к административной ответственности могут быть привлечены как само юридическое лицо, так и должностное лицо — одновременно. Поэтому топ-менеджер заинтересован в том, чтобы система защиты данных была выстроена системно, а не существовала только на бумаге.
8. Как Цифровой кодекс регулирует использование данных в маркетинге?
Использование персональных данных в маркетинговых целях требует отдельного согласия субъекта — оно не вытекает автоматически из факта заключения договора или регистрации на сайте. Согласие на маркетинговые коммуникации должно быть конкретным: субъект должен понимать, какие именно сообщения он будет получать и по каким каналам. Субъект вправе в любой момент отозвать согласие на маркетинговую рассылку, и компания обязана прекратить коммуникации в разумный срок. Продолжение рассылки после отзыва согласия — самостоятельное нарушение.
9. Что происходит при утечке персональных данных?
При утечке персональных данных оператор обязан уведомить уполномоченный орган в установленный срок — как правило, в течение нескольких рабочих дней с момента обнаружения инцидента. Если утечка затрагивает значительное число субъектов или чувствительные категории данных, может потребоваться также уведомление самих субъектов. Промедление с уведомлением или его отсутствие являются самостоятельным основанием для привлечения к ответственности. Компаниям рекомендуется заранее разработать план реагирования на инциденты — это снижает и репутационные, и правовые риски.
10. Распространяется ли Цифровой кодекс на иностранные компании, работающие в Казахстане?
Требования Цифрового кодекса распространяются на любых операторов персональных данных, обрабатывающих сведения о гражданах и резидентах Казахстана, — вне зависимости от места регистрации компании. Иностранная компания, имеющая казахстанский филиал, представительство или просто работающая с казахстанскими клиентами через сайт, обязана соблюдать требования казахстанского законодательства о персональных данных. Это особенно актуально для компаний, релоцировавших бизнес в Казахстан: правовая база страны присутствия применяется в полном объёме.
Выводы
Цифровой кодекс Казахстана — это не декларативный документ, а рабочий инструмент уполномоченного органа. Он устанавливает конкретные обязанности операторов данных, сроки исполнения, основания для проверок и санкции. Для топ-менеджера ключевой вывод: ответственность персональная, параллельная с ответственностью компании, и наступает она не только за умышленные нарушения, но и за системное бездействие — отсутствие политики, реестра операций, процесса обработки запросов субъектов.
Актуально на: 8 сентября 2026 года.
Если ситуация требует внимания — мы поможем разобраться.
Смежные направления
Направление практики
Персональные данные и IT-право — соответствие Закону о персональных данных, трансграничная передача, аудит обработки и IT-договоры.