Цифровой кодекс Казахстана: что изменилось для бизнеса: экспертная оценка
Казахстан принял Цифровой кодекс — первый в стране кодифицированный акт, объединивший нормы о персональных данных, кибербезопасности и цифровой инфраструктуре. Для собственника бизнеса это означает новые обязанности по защите данных клиентов и сотрудников, обновлённые требования к локализации, расширенный перечень оснований для проверок и изменившиеся штрафные санкции. Разбираем, что именно изменилось и что нужно сделать, чтобы не оказаться в зоне риска.
Ваш бизнес обрабатывает данные клиентов или сотрудников — и Цифровой кодекс уже применяется к вам. Проверить обработку персональных данных · info@vetrovkz.com
Что такое Цифровой кодекс Казахстана и почему он важен для бизнеса?
Цифровой кодекс Республики Казахстан — это кодифицированный нормативный акт, который заменил и объединил ранее разрозненные законы в сфере информатизации, персональных данных и кибербезопасности. До его принятия бизнес ориентировался на несколько отдельных законов, нередко противоречивших друг другу в деталях. Кодекс устранил эти коллизии и установил единую систему требований.
Для собственника бизнеса принципиально важно понять: Цифровой кодекс распространяется на любое юридическое лицо или индивидуального предпринимателя, который собирает, хранит, передаёт или иным образом обрабатывает персональные данные граждан Казахстана. Это касается интернет-магазинов, работодателей, медицинских клиник, финансовых компаний, мобильных приложений и даже небольших сервисных бизнесов, ведущих базу клиентов.
Кодекс вводит понятие «оператора персональных данных» как центральной фигуры ответственности. Если ваша компания определяет цели и способы обработки данных — вы оператор, и именно на вас лежит основная нагрузка по соблюдению требований. Передача обработки на аутсорс не снимает ответственности: оператор отвечает за действия своих подрядчиков.
Кодекс также вводит принцип «privacy by design» — защита данных должна закладываться в бизнес-процессы изначально, а не добавляться постфактум. Это меняет подход к разработке продуктов, найму персонала и выстраиванию IT-инфраструктуры.
Если ваши формы согласия составлялись до принятия Цифрового кодекса — они, вероятно, не соответствуют новым требованиям.
Проверить обработку персональных данныхКак изменились требования к согласию на обработку персональных данных?
Согласие субъекта персональных данных по Цифровому кодексу стало более формализованным и конкретным. Общие формулировки вида «я согласен на обработку моих данных» больше не соответствуют требованиям — согласие должно быть информированным, добровольным, конкретным и однозначным.
Кодекс устанавливает обязательные элементы согласия: перечень обрабатываемых данных, цели обработки, срок действия согласия, перечень третьих лиц, которым данные могут передаваться. Отсутствие хотя бы одного элемента делает согласие юридически ничтожным — это означает, что вся последующая обработка данных будет незаконной.
Важное нововведение — право субъекта отозвать согласие в любой момент без объяснения причин. Бизнес обязан обеспечить технический механизм отзыва: кнопку в личном кабинете, форму на сайте или иной доступный способ. Отзыв согласия не влечёт автоматического удаления данных, если есть иное законное основание для их хранения — например, исполнение договора или требование закона.
- Согласие на маркетинговые рассылки — отдельно от согласия на обработку данных для исполнения договора
- Согласие несовершеннолетних до 16 лет — только через законного представителя
- Электронное согласие через ЭЦП или иную верифицированную форму — приравнивается к письменному
Локализация данных: кого затрагивает и что требует?
Требование о локализации персональных данных граждан Казахстана на серверах, расположенных на территории страны, сохранилось и было уточнено Цифровым кодексом. Для бизнеса это одно из наиболее затратных требований с точки зрения IT-инфраструктуры.
Локализация распространяется на первичную базу данных — то есть основное хранилище, в котором данные обрабатываются. Использование зарубежных облачных сервисов (AWS, Azure, Google Cloud) для хранения персональных данных казахстанских граждан без наличия локальной копии является нарушением. Кодекс допускает трансграничную передачу данных при соблюдении ряда условий: наличие локализованной копии, согласие субъекта или наличие международного договора с соответствующей страной.
На практике многие компании решают вопрос через гибридную архитектуру: основная база — на казахстанском сервере или в дата-центре с казахстанской юрисдикцией, аналитические и вспомогательные процессы — в зарубежном облаке. Такой подход формально соответствует требованиям, но требует грамотного юридического и технического оформления.
Кодекс также уточнил перечень операторов, обязанных уведомлять уполномоченный орган о начале обработки данных. Компании, обрабатывающие данные в значительных объёмах или обрабатывающие чувствительные категории данных, обязаны пройти регистрацию и вести внутренний реестр операций с данными.
Кибербезопасность: новые обязанности операторов
Цифровой кодекс впервые закрепил на уровне кодифицированного акта обязанности бизнеса в сфере кибербезопасности — ранее они были разбросаны по подзаконным актам и отраслевым требованиям. Теперь это единая система, применимая ко всем операторам персональных данных.
Ключевые обязанности включают: проведение оценки рисков информационной безопасности, внедрение технических и организационных мер защиты, назначение ответственного за защиту данных (аналог европейского DPO — Data Protection Officer), а также разработку и тестирование плана реагирования на инциденты. Для крупных операторов и компаний, обрабатывающих чувствительные данные, требования более детализированы.
Особого внимания заслуживает обязанность уведомлять уполномоченный орган об утечках данных. Кодекс устанавливает сжатые сроки такого уведомления — нарушение сроков само по себе является самостоятельным основанием для привлечения к ответственности, независимо от того, причинила ли утечка реальный вред субъектам данных.
- Назначить ответственного за защиту персональных данных
- Разработать политику обработки персональных данных и разместить её в открытом доступе
- Вести журнал операций с персональными данными
- Обеспечить технические меры защиты от несанкционированного доступа
- Установить порядок реагирования на запросы субъектов данных
Штрафы и ответственность: как изменилась санкционная система?
Административная ответственность за нарушения в сфере персональных данных по Цифровому кодексу существенно ужесточилась по сравнению с ранее действовавшим регулированием. Санкции дифференцированы в зависимости от характера нарушения, субъекта ответственности и наличия повторности.
Нарушения делятся на несколько категорий: процедурные (отсутствие политики обработки данных, ненадлежащее оформление согласия), технические (отсутствие мер защиты, несоблюдение требований локализации) и существенные (незаконная передача данных третьим лицам, необеспечение уведомления об утечке). Для каждой категории предусмотрены разные размеры санкций, исчисляемых в МРП.
Помимо административной ответственности, Кодекс сохраняет возможность гражданско-правовых требований со стороны субъектов данных: компенсация морального вреда, возмещение убытков. В случаях, когда нарушение носит умышленный характер и причинило существенный вред, возможно уголовное преследование по соответствующим статьям Уголовного кодекса РК.
Важно учитывать, что проверки в сфере персональных данных могут инициироваться не только уполномоченным органом, но и по жалобам субъектов данных. Жалоба одного клиента или сотрудника способна запустить проверку всей системы обработки данных компании.
Что изменилось для работодателей: данные сотрудников под новыми правилами
Трудовые отношения — одна из наиболее насыщенных сфер обработки персональных данных: работодатель собирает данные при найме, ведёт кадровый учёт, обрабатывает медицинские справки, использует системы контроля рабочего времени и видеонаблюдение. Цифровой кодекс уточнил правила для каждого из этих процессов.
Обработка данных, необходимых для исполнения трудового договора и выполнения обязательств работодателя перед государством (отчисления в пенсионный фонд, налоговая отчётность), не требует отдельного согласия сотрудника. Однако любая обработка сверх этого минимума — публикация фотографий на корпоративном сайте, передача данных партнёрам, использование биометрии для учёта рабочего времени — требует явного согласия.
Видеонаблюдение в офисе допустимо при условии надлежащего уведомления сотрудников. Записи являются персональными данными и должны храниться с соблюдением требований о защите и ограниченным сроком хранения. Установка скрытых камер в местах, где сотрудники вправе рассчитывать на приватность, прямо запрещена.
Для работодателей с численностью персонала свыше определённого порога Кодекс вводит обязанность разработать и утвердить внутреннюю политику обработки персональных данных сотрудников, ознакомить с ней каждого работника под подпись и обеспечить механизм реализации прав субъектов данных внутри компании.
Практические рекомендации: что сделать собственнику прямо сейчас
Соответствие требованиям Цифрового кодекса — это не разовое мероприятие, а система процессов, которую нужно выстроить и поддерживать. Ниже — приоритетные шаги для собственника бизнеса, который хочет снизить регуляторный риск.
- Аудит данных: составьте карту всех персональных данных, которые обрабатывает компания — источники, цели, сроки хранения, третьи лица, которым данные передаются
- Правовые основания: для каждого типа обработки определите законное основание — согласие, договор, закон. Устраните случаи, когда основание отсутствует
- Документация: разработайте или обновите политику обработки персональных данных, формы согласий, договоры с подрядчиками (соглашения об обработке данных)
- Технические меры: проведите оценку текущего уровня защиты IT-систем, устраните критические уязвимости, внедрите контроль доступа к базам данных
- Ответственный: назначьте сотрудника, ответственного за защиту персональных данных, и определите его полномочия
Подробный чек-лист по комплаенсу в сфере персональных данных доступен в нашем материале «Чек-лист комплаенса по персональным данным в Казахстане». Общий обзор цифрового регулирования — в базовом материале по Цифровому кодексу. Вопросы переквалификации договоров ГПХ в трудовые отношения, затрагивающие обработку данных подрядчиков, разобраны в соответствующем обзоре.
Как Цифровой кодекс соотносится с международными стандартами защиты данных?
Казахстанский Цифровой кодекс концептуально ориентирован на международные стандарты — прежде всего на европейский GDPR и Конвенцию Совета Европы о защите персональных данных. Это не случайно: казахстанский бизнес, работающий с европейскими партнёрами или обрабатывающий данные граждан ЕС, должен соответствовать сразу двум регуляторным системам.
Ключевые принципы — законность, прозрачность, ограничение цели, минимизация данных, точность, ограничение хранения — присутствуют в обоих документах. Это означает, что компания, выстроившая систему комплаенса по Цифровому кодексу, получает хорошую базу для соответствия и международным требованиям.
Вместе с тем есть существенные различия. Казахстанский кодекс в ряде аспектов менее детализирован, чем GDPR, и оставляет больше пространства для подзаконного регулирования. Это создаёт правовую неопределённость в переходный период: часть требований будет уточняться через акты уполномоченного органа. Для бизнеса это означает необходимость мониторинга подзаконной базы наравне с самим Кодексом.
Компании в МФЦА, работающие по английскому праву, применяют AIFC Data Protection Regulations — отдельный режим, созданный по образцу GDPR. Подробнее о структурировании через МФЦА — на странице практики МФЦА / AIFC.
Частые вопросы
1. Нужно ли согласие на обработку данных сотрудников?
Согласие сотрудника на обработку персональных данных требуется в большинстве случаев, однако казахстанское законодательство предусматривает ряд исключений. Обработка данных, необходимых для исполнения трудового договора, может осуществляться без отдельного согласия — это касается, например, передачи данных в пенсионный фонд или налоговые органы. Для всех иных целей — рассылки, публикации фото, передачи третьим лицам — согласие обязательно, оформляется письменно и должно содержать конкретный перечень обрабатываемых данных и целей.
2. Что такое чувствительные персональные данные?
Чувствительные (специальные категории) персональных данных — это сведения, обработка которых требует повышенной защиты: данные о расовом или этническом происхождении, политических взглядах, религиозных убеждениях, состоянии здоровья, биометрические и генетические данные. Казахстанское законодательство устанавливает для таких данных более строгие требования: обработка допускается только с явного согласия субъекта либо в прямо предусмотренных законом случаях. Хранение и передача таких данных требуют усиленных технических мер защиты.
3. Можно ли использовать видеонаблюдение в офисе?
Видеонаблюдение в офисе допустимо при соблюдении ряда условий. Работодатель обязан уведомить сотрудников о ведении съёмки — как правило, это делается через локальный акт и подпись в трудовом договоре или отдельном соглашении. Камеры не должны устанавливаться в местах, где сотрудники вправе рассчитывать на приватность: туалеты, раздевалки, комнаты отдыха. Записи являются персональными данными и должны храниться с соблюдением требований о защите данных, включая ограничение доступа и сроки хранения.
4. Как правильно собирать cookies на сайте в Казахстане?
Сбор cookies, позволяющих идентифицировать пользователя, является обработкой персональных данных по казахстанскому законодательству. Сайт обязан уведомить пользователя о сборе cookies до начала обработки — через баннер или всплывающее уведомление — и получить его согласие на нефункциональные cookies (аналитика, реклама). Технические cookies, необходимые для работы сайта, согласия не требуют. Политика конфиденциальности должна быть доступна на сайте и описывать все виды собираемых данных, цели и сроки хранения.
5. Распространяется ли Цифровой кодекс на ИП и малый бизнес?
Да, Цифровой кодекс распространяется на всех операторов персональных данных — физических и юридических лиц, включая индивидуальных предпринимателей. Объём требований может варьироваться в зависимости от масштаба обработки и категорий данных, однако базовые обязанности — наличие правового основания для обработки, обеспечение прав субъектов, принятие мер защиты — обязательны для всех. ИП, ведущий клиентскую базу или использующий CRM-систему, является оператором персональных данных и несёт соответствующую ответственность.
6. Что такое «оператор персональных данных» по Цифровому кодексу?
Оператор персональных данных — это лицо (физическое или юридическое), которое самостоятельно или совместно с другими определяет цели и способы обработки персональных данных. Ключевой критерий — именно определение целей, а не техническое осуществление обработки. Компания, которая поручила обработку данных IT-подрядчику, остаётся оператором и несёт ответственность за соответствие требованиям Кодекса. Подрядчик в этом случае является «обработчиком» — его отношения с оператором должны быть оформлены отдельным договором с конкретными обязательствами по защите данных.
7. Обязательно ли назначать ответственного за защиту данных (DPO)?
Цифровой кодекс обязывает операторов назначить лицо, ответственное за организацию обработки персональных данных. Это не обязательно должен быть отдельный штатный сотрудник — функцию можно возложить на существующего работника или привлечь внешнего специалиста. Требование о наличии такого лица является обязательным для всех операторов. Ответственный должен иметь достаточные полномочия и ресурсы для выполнения своих функций, а его контактные данные — быть доступны субъектам данных.
8. Какие права есть у субъектов персональных данных?
Цифровой кодекс закрепляет широкий перечень прав субъектов данных: право на доступ к своим данным и получение информации об их обработке, право на исправление неточных данных, право на удаление данных («право на забвение») при отсутствии законных оснований для их хранения, право на ограничение обработки, право на переносимость данных. Оператор обязан ответить на запрос субъекта в установленный срок. Отказ или игнорирование запроса является самостоятельным нарушением и основанием для жалобы в уполномоченный орган.
9. Что считается утечкой персональных данных и как на неё реагировать?
Утечка персональных данных — это любой инцидент, повлёкший несанкционированный доступ, раскрытие, изменение или уничтожение персональных данных. Это может быть взлом базы данных, случайная отправка данных не тому адресату, кража ноутбука с незашифрованными данными. При обнаружении утечки оператор обязан уведомить уполномоченный орган в сжатые сроки, а в ряде случаев — и самих субъектов данных. Промедление с уведомлением является самостоятельным нарушением. Рекомендуется заранее разработать план реагирования на инциденты, чтобы действовать быстро и не нарушить процедурные требования.
10. Как Цифровой кодекс регулирует использование биометрических данных?
Биометрические данные — отпечатки пальцев, данные распознавания лица, голосовые образцы — относятся к чувствительным категориям персональных данных и требуют особой защиты. Их обработка допускается только с явного согласия субъекта или в прямо предусмотренных законом случаях. Использование биометрии для учёта рабочего времени сотрудников требует их письменного согласия и разработки отдельного регламента. Хранение биометрических данных должно осуществляться с применением усиленных мер защиты, а срок хранения — быть ограничен необходимостью.
Выводы
Цифровой кодекс Казахстана — это системное изменение регуляторной среды, а не очередная поправка к закону. Для собственника бизнеса он означает три вещи: новые обязанности по документированию обработки данных, ужесточение ответственности за нарушения и расширение прав субъектов данных, которые теперь могут инициировать проверки через жалобы. Компании, выстроившие систему комплаенса заблаговременно, получают конкурентное преимущество — особенно в работе с иностранными партнёрами, для которых защита данных является стандартным требованием при входе в сделку. Откладывать приведение процессов в соответствие не стоит: проверки уже ведутся, а штрафы исчисляются в МРП и могут быть существенными для бизнеса любого масштаба.
Актуально на: 29 сентября 2026 года.
Если ситуация требует внимания — мы поможем разобраться.
Смежные направления
Направление практики
Персональные данные и IT-право — соответствие Закону о персональных данных, трансграничная передача, аудит обработки и IT-договоры.