Цифровой кодекс Казахстана: что изменилось для бизнеса: обзор изменений
Казахстан принял Цифровой кодекс — первый в стране кодифицированный акт, объединивший нормы о персональных данных, кибербезопасности и цифровой инфраструктуре. Для бизнеса это означает новые обязанности по защите данных, обновлённые требования к локализации и усиленную ответственность за нарушения. В этом обзоре — что именно изменилось, кого затрагивает и что нужно сделать уже сейчас.
Получили запрос от уполномоченного органа или обнаружили пробелы в обработке данных? Проверить обработку персональных данных · info@vetrovkz.com
Что такое Цифровой кодекс Казахстана и зачем он принят?
Цифровой кодекс Республики Казахстан — это единый законодательный акт, кодифицировавший разрозненные нормы в сфере информационно-коммуникационных технологий, персональных данных и кибербезопасности. До его принятия регулирование было рассредоточено по десяткам законов и подзаконных актов, что создавало правовую неопределённость как для бизнеса, так и для регуляторов.
Ключевая цель кодекса — выстроить единую систему требований к цифровой среде: от регистрации операторов персональных данных до стандартов защиты критической информационной инфраструктуры. Казахстан при этом ориентировался на международные стандарты — в частности, на европейский регламент GDPR и практику стран ОЭСР, адаптируя их к местной правовой системе.
Для бизнеса принятие кодекса означает переход от фрагментарного соблюдения отдельных норм к системному комплаенсу. Компании, которые ранее работали по старому Закону о персональных данных и их защите, теперь должны проверить, соответствуют ли их процессы обновлённым требованиям — в части согласий, локализации, уведомлений об инцидентах и назначения ответственных лиц.
Ваша компания использует зарубежные облачные сервисы для хранения данных казахстанских клиентов? Это может нарушать требование локализации.
Проверить обработку персональных данныхКак изменились требования к персональным данным?
Цифровой кодекс существенно расширил перечень обязанностей операторов персональных данных по сравнению с прежним регулированием. Центральное изменение — введение принципа минимизации данных: оператор вправе собирать только те сведения, которые прямо необходимы для заявленной цели обработки.
Обновлены требования к форме и содержанию согласия субъекта. Согласие должно быть конкретным (отдельно для каждой цели), информированным (с указанием оператора, целей, сроков и получателей) и свободным (без принуждения). Практика «галочки по умолчанию» или включения согласия в общие условия договора теперь прямо противоречит кодексу.
Введена обязанность назначить ответственного за организацию обработки персональных данных — по аналогии с DPO (Data Protection Officer) в европейской практике. Для крупных операторов и компаний, обрабатывающих чувствительные данные, это требование носит обязательный характер. Малый бизнес с ограниченным объёмом обработки может совместить эту функцию с иными должностными обязанностями.
- Принцип минимизации: только необходимые данные для конкретной цели
- Конкретное и информированное согласие для каждой цели обработки
- Назначение ответственного за обработку персональных данных
- Ведение реестра операций по обработке данных
- Уведомление об инцидентах в установленные сроки
Локализация данных: что изменилось на практике?
Требование хранить персональные данные казахстанских граждан на серверах, расположенных в Республике Казахстан, существовало и до Цифрового кодекса. Однако кодекс уточнил его содержание и ужесточил контроль за исполнением.
Теперь локализация распространяется не только на первичные базы данных, но и на резервные копии, если они содержат персональные данные граждан РК. Облачные сервисы, использующие зарубежные дата-центры, обязаны либо перенести хранение в Казахстан, либо обеспечить, чтобы данные казахстанских пользователей обрабатывались исключительно на локальных узлах.
Трансграничная передача данных — то есть их направление за пределы РК — допускается при одном из условий: наличие явного согласия субъекта, исполнение договора с субъектом, либо передача в страну с надлежащим уровнем защиты данных по оценке уполномоченного органа. Список таких стран публикуется МЦРИАП и периодически обновляется.
Для иностранных компаний, работающих с казахстанскими пользователями, требование локализации означает необходимость либо арендовать мощности у казахстанских провайдеров, либо использовать сертифицированные облачные решения с казахстанскими узлами. Игнорирование этого требования — одно из наиболее часто выявляемых нарушений при проверках.
Кибербезопасность: новые обязанности для бизнеса
Цифровой кодекс впервые закрепил единые требования к кибербезопасности для частного сектора — ранее они распространялись преимущественно на государственные органы и объекты критической инфраструктуры. Теперь обязанности по защите информационных систем распространяются и на коммерческие организации, работающие с персональными данными.
Ключевые требования для бизнеса включают: проведение оценки рисков информационной безопасности, внедрение технических и организационных мер защиты, а также разработку плана реагирования на инциденты. Конкретный набор мер зависит от категории оператора и объёма обрабатываемых данных — кодекс предусматривает дифференцированный подход.
Введена обязанность уведомлять уполномоченный орган об инцидентах, повлёкших несанкционированный доступ к персональным данным или их утечку. Срок уведомления — в течение 72 часов с момента обнаружения инцидента. Это требование аналогично европейскому стандарту и является принципиально новым для казахстанского регулирования.
Что изменилось в части ответственности за нарушения?
Цифровой кодекс ужесточил санкции за нарушения в сфере персональных данных и кибербезопасности. Административная ответственность операторов существенно возросла по сравнению с прежним регулированием — как по размеру штрафов, так и по перечню составов.
Наиболее строгие санкции предусмотрены за: обработку данных без согласия субъекта, нарушение требования локализации, непредоставление субъекту информации о его данных и несвоевременное уведомление об инцидентах. Для юридических лиц размеры штрафов кратно выше, чем для физических.
Помимо административной ответственности, кодекс усилил основания для гражданско-правовых требований субъектов данных. Субъект вправе потребовать возмещения убытков, причинённых незаконной обработкой его данных, — включая моральный вред. Это создаёт дополнительный стимул для бизнеса выстраивать комплаенс превентивно, а не реактивно.
Отдельно стоит отметить введение института предписаний: уполномоченный орган вправе обязать оператора устранить нарушение в определённый срок. Неисполнение предписания является самостоятельным составом и влечёт повторную ответственность.
Как Цифровой кодекс регулирует работу с сотрудниками и HR-данными?
Трудовые отношения генерируют значительный объём персональных данных: ИИН, банковские реквизиты, медицинские справки, данные о дисциплинарных взысканиях, результаты оценки эффективности. Цифровой кодекс уточнил правила обработки этих данных в контексте трудовых отношений.
Работодатель вправе обрабатывать данные, необходимые для исполнения трудового договора, без отдельного согласия сотрудника. Однако для любых дополнительных целей — публикация фото на корпоративном сайте, передача данных кадровому агентству, использование биометрии для учёта рабочего времени — требуется явное письменное согласие.
Видеонаблюдение в офисе допустимо при условии уведомления сотрудников и соблюдения ограничений по зонам съёмки. Записи являются персональными данными и должны храниться с соблюдением установленных сроков и мер защиты. Использование записей в дисциплинарных процедурах требует соблюдения процессуальных требований Трудового кодекса РК.
Что нужно сделать бизнесу прямо сейчас?
Приведение компании в соответствие Цифровому кодексу — это не разовое мероприятие, а системная работа. Первый шаг — аудит текущих процессов обработки данных: что собирается, на каком основании, где хранится, кому передаётся и как защищается.
По результатам аудита, как правило, выявляются типичные пробелы: отсутствие или устаревшие согласия, хранение данных на зарубежных серверах без правового основания, отсутствие политики конфиденциальности или cookie-баннера на сайте, неназначенный ответственный за обработку данных.
- Провести аудит всех процессов обработки персональных данных
- Обновить формы согласий под требования кодекса
- Проверить соответствие хранения данных требованию локализации
- Назначить ответственного за обработку персональных данных
- Разработать или обновить политику конфиденциальности и cookie-баннер
Компании, работающие с чувствительными данными (медицина, HR-tech, финтех), должны уделить особое внимание разработке плана реагирования на инциденты и процедуре уведомления уполномоченного органа в течение 72 часов. Промедление здесь создаёт самостоятельный состав нарушения.
Частые вопросы
1. Нужно ли согласие на обработку данных сотрудников?
Согласие сотрудника на обработку его персональных данных требуется в большинстве случаев, однако казахстанское законодательство допускает ряд исключений. Трудовой кодекс РК и Закон о персональных данных и их защите предусматривают, что работодатель вправе обрабатывать данные, необходимые для исполнения трудового договора, без отдельного согласия — в частности, ФИО, ИИН, банковские реквизиты для выплаты зарплаты, сведения о стаже. Для иных целей — например, публикации фото сотрудника на сайте компании, передачи данных третьим лицам или использования биометрии — письменное согласие обязательно. Согласие должно быть конкретным, информированным и добровольным; принуждение к подписанию делает его недействительным.
2. Что такое чувствительные персональные данные?
Чувствительные (специальные) персональные данные — это категория сведений, обработка которых несёт повышенный риск для субъекта и требует усиленной защиты. По казахстанскому законодательству к ним относятся: расовое и этническое происхождение, политические взгляды, религиозные и философские убеждения, состояние здоровья, сексуальная жизнь, биометрические данные (отпечатки пальцев, изображение лица), генетические данные, а также сведения о судимости. Для обработки таких данных требуется явное письменное согласие субъекта либо прямое указание закона. Хранить их необходимо в изолированных базах с усиленными мерами защиты. Нарушение режима обработки чувствительных данных влечёт более строгую ответственность, чем нарушения в отношении обычных персональных данных.
3. Можно ли использовать видеонаблюдение в офисе?
Видеонаблюдение в офисе законно при соблюдении ряда условий. Работодатель обязан уведомить сотрудников о ведении видеозаписи — как правило, путём включения соответствующего пункта в трудовой договор или локальный акт, а также размещения заметных предупреждающих табличек. Съёмка в зонах, где сотрудники обоснованно ожидают приватности (туалеты, раздевалки), запрещена. Записи относятся к персональным данным и должны храниться с соблюдением требований Закона о персональных данных и их защите: ограниченный срок хранения, доступ только уполномоченных лиц, защита от несанкционированного доступа. Передача записей третьим лицам допускается только с согласия субъекта или по требованию уполномоченных органов.
4. Как правильно собирать cookies на сайте в Казахстане?
Сбор cookies, которые позволяют идентифицировать пользователя, является обработкой персональных данных и регулируется казахстанским законодательством. Сайт обязан до начала сбора cookies уведомить пользователя о целях обработки и получить его согласие — как правило, через cookie-баннер с возможностью отказа от необязательных категорий (аналитика, маркетинг). Технические cookies, необходимые для работы сайта, согласия не требуют. Политика конфиденциальности должна быть доступна на сайте и содержать сведения об операторе, целях, сроках хранения и правах пользователя. Отсутствие cookie-баннера или политики конфиденциальности — типичное нарушение, которое фиксируется при проверках уполномоченного органа.
5. Какой орган контролирует соблюдение законодательства о персональных данных в Казахстане?
Уполномоченным органом в сфере персональных данных в Казахстане является Министерство цифрового развития, инноваций и аэрокосмической промышленности РК (МЦРИАП). Именно этот орган проводит проверки операторов персональных данных, рассматривает жалобы субъектов и вправе выдавать предписания об устранении нарушений. Помимо этого, отдельные полномочия в части контроля за информационной безопасностью имеет Комитет по информационной безопасности МЦРИАП. При нарушениях, связанных с утечкой данных, к расследованию могут подключаться органы прокуратуры и МВД РК.
6. Что такое локализация персональных данных и кого она касается?
Локализация персональных данных — требование хранить базы данных казахстанских граждан на серверах, физически расположенных на территории Республики Казахстан. Это требование распространяется на всех операторов, которые собирают и обрабатывают персональные данные граждан РК, — независимо от того, где зарегистрирована компания. Иностранные компании, работающие с казахстанскими пользователями, также обязаны соблюдать это правило. Трансграничная передача данных допускается при наличии согласия субъекта или если страна-получатель обеспечивает надлежащий уровень защиты. Нарушение требования локализации является самостоятельным основанием для привлечения к ответственности.
7. Какие права есть у субъекта персональных данных?
Субъект персональных данных в Казахстане вправе: получить информацию о том, какие его данные обрабатываются и с какой целью; потребовать исправления неточных данных; отозвать согласие на обработку в любой момент; потребовать удаления данных, если основание для их обработки отпало. Оператор обязан ответить на обращение субъекта в установленный срок. Отказ или игнорирование обращения является нарушением и может стать основанием для жалобы в уполномоченный орган. Эти права действуют в отношении как физических лиц — граждан РК, так и иностранных граждан, чьи данные обрабатываются на территории Казахстана.
8. Нужно ли регистрировать базу данных персональных данных?
По действующему казахстанскому законодательству операторы персональных данных обязаны уведомить уполномоченный орган о создании базы данных, содержащей персональные данные. Это уведомительный, а не разрешительный порядок: регистрация не требует получения разрешения, однако факт создания базы должен быть задокументирован и отражён в реестре операторов. Компании, которые обрабатывают данные исключительно для внутренних кадровых нужд и не передают их третьим лицам, в ряде случаев освобождены от уведомления. Рекомендуется проверить, подпадает ли конкретная база данных под исключения, до начала обработки.
9. Что грозит за утечку персональных данных?
Утечка персональных данных влечёт административную ответственность оператора по казахстанскому законодательству. Размер санкций зависит от характера нарушения, масштаба утечки и наличия умысла. Помимо штрафа, уполномоченный орган вправе выдать предписание о приостановлении обработки данных. Если утечка повлекла существенный вред субъектам — возможна гражданско-правовая ответственность в виде возмещения убытков. В случаях, когда утечка связана с умышленными действиями сотрудников или третьих лиц, возможно уголовное преследование по нормам Уголовного кодекса РК о неправомерном доступе к компьютерной информации. Оператор обязан уведомить уполномоченный орган об инциденте в установленные сроки.
10. Распространяется ли казахстанское законодательство о персональных данных на иностранные компании?
Да, казахстанское законодательство о персональных данных распространяется на иностранные компании, если они обрабатывают данные граждан РК — независимо от места регистрации. Это означает, что зарубежный интернет-сервис, собирающий данные казахстанских пользователей, обязан соблюдать требования Закона о персональных данных и их защите: получать согласие, обеспечивать локализацию, соблюдать права субъектов. На практике контроль за иностранными операторами сложнее, однако уполномоченный орган вправе ограничить доступ к сервису на территории РК при систематических нарушениях.
Выводы
Цифровой кодекс Казахстана — это системный сдвиг в регулировании, а не очередная поправка к закону. Для бизнеса он означает переход к полноценному комплаенсу в сфере персональных данных: с назначенным ответственным, актуальными согласиями, локализованным хранением и готовностью к инцидентам. Компании, которые выстроят эту систему превентивно, избегут штрафов и репутационных потерь. Те, кто продолжит работать по старым лекалам, рискуют столкнуться с предписаниями и санкциями уполномоченного органа. Первый шаг — аудит текущих процессов обработки данных, который даёт чёткую картину пробелов и приоритетов.
Актуально на: 20 октября 2026 года.
Если ситуация требует внимания — мы поможем разобраться.
Смежные направления
Направление практики
Персональные данные и IT-право — соответствие Закону о персональных данных, трансграничная передача, аудит обработки и IT-договоры.