Цифровой кодекс Казахстана: что изменилось для бизнеса: правовой разбор
Цифровой кодекс Казахстана — первый в стране кодифицированный акт в сфере цифрового регулирования — меняет правила работы с персональными данными, кибербезопасностью и цифровыми сервисами для всех компаний, ведущих деятельность в РК. Директор, подписывающий договоры с контрагентами и утверждающий IT-политики, несёт прямую ответственность за соответствие новым требованиям. В этом материале — системный разбор ключевых изменений, практических обязанностей и рисков для бизнеса.
Ваша компания обрабатывает персональные данные клиентов или сотрудников — и Цифровой кодекс РК уже применяется к вам. Проверить обработку персональных данных · info@vetrovkz.com
Что такое Цифровой кодекс Казахстана и почему он важен для директора
Цифровой кодекс Республики Казахстан — кодифицированный нормативный акт, объединивший и систематизировавший разрозненные нормы в сфере цифровизации, персональных данных, электронной коммерции и кибербезопасности. До его принятия регулирование строилось на множестве отдельных законов, которые нередко противоречили друг другу или оставляли правовые пробелы.
Для топ-менеджера принципиально важно понять: Цифровой кодекс — это не технический документ для IT-отдела. Это акт, устанавливающий обязанности оператора персональных данных, требования к кибербезопасности и ответственность руководителя за несоблюдение. Директор подписывает политики, утверждает бюджеты на защиту данных и несёт личную ответственность за системные нарушения.
Кодекс охватывает широкий круг субъектов: от крупных корпораций до малого бизнеса, от государственных информационных систем до частных мобильных приложений. Если ваша компания собирает хотя бы email-адреса клиентов — вы уже оператор персональных данных со всеми вытекающими обязанностями.
Формы сбора данных на вашем сайте и в договорах могут не соответствовать новым требованиям Цифрового кодекса РК — это выявляется только при детальном аудите.
Проверить обработку персональных данныхКак изменился статус оператора персональных данных в Казахстане?
Оператором персональных данных в Казахстане признаётся любое лицо, которое самостоятельно или совместно с другими определяет цели и способы обработки данных. Цифровой кодекс уточнил и расширил это определение, введя понятие «совместных операторов» — компаний, которые обрабатывают данные в рамках одной группы или по единому договору.
Практическое следствие для бизнеса: холдинговые структуры, где материнская компания передаёт данные дочерним, теперь обязаны оформлять внутригрупповые соглашения об обработке данных. Это требование ранее существовало в рекомендательном формате — Цифровой кодекс сделало его обязательным.
Кодекс также ввёл понятие «уполномоченного по защите данных» (Data Protection Officer, DPO) для компаний, обрабатывающих данные в значительных объёмах или работающих с чувствительными категориями. Назначение DPO — не формальность: это лицо несёт ответственность за соответствие внутренних процессов требованиям законодательства и является точкой контакта для регулятора.
- Операторы, обрабатывающие биометрические данные, обязаны назначить DPO
- Операторы с базами свыше установленного порога субъектов — также
- Государственные органы и компании с государственным участием — в обязательном порядке
- Остальные операторы — по собственному решению, но с документальным обоснованием
Новые требования к согласию на обработку персональных данных
Цифровой кодекс ужесточил требования к форме и содержанию согласия субъекта на обработку его персональных данных. Согласие должно быть конкретным, информированным, однозначным и свободно данным — каждый из этих критериев теперь закреплён нормативно и может быть проверен регулятором.
Для директора это означает необходимость пересмотра всех форм сбора данных: регистрационных форм на сайте, анкет при трудоустройстве, договоров с клиентами. Типовая фраза «Нажимая кнопку, вы соглашаетесь с политикой конфиденциальности» больше не является достаточным основанием для обработки данных в маркетинговых целях.
Отдельно урегулированы ситуации, когда согласие не требуется: исполнение договора, законная обязанность оператора, защита жизненно важных интересов субъекта. Однако расширительное толкование этих исключений — распространённая ошибка, которая при проверке квалифицируется как нарушение.
Кодекс также закрепил право субъекта на отзыв согласия в любой момент. Оператор обязан обеспечить технически простой механизм отзыва — «не сложнее, чем дача согласия». Отсутствие такого механизма само по себе является нарушением, независимо от того, воспользовался ли кто-либо этим правом.
Локализация данных: что изменилось и как это работает на практике?
Требование локализации персональных данных граждан Казахстана на серверах, физически расположенных в РК, существовало и до Цифрового кодекса. Кодекс уточнил механизм его применения и ввёл более чёткие критерии для трансграничной передачи данных.
На практике это означает следующее: если ваша компания использует облачные сервисы иностранных провайдеров (AWS, Google Cloud, Microsoft Azure) для хранения данных казахстанских пользователей или сотрудников — необходимо либо обеспечить хранение в казахстанском регионе этих провайдеров, либо выстроить гибридную архитектуру с локальным хранением первичной базы.
Трансграничная передача данных допускается при соблюдении одного из условий: наличие согласия субъекта с явным указанием страны-получателя; достаточный уровень защиты данных в стране-получателе по оценке уполномоченного органа; заключение договора, обеспечивающего надлежащий уровень защиты. Цифровой кодекс расширил перечень допустимых правовых оснований, однако требование первичной локализации базы данных сохраняется.
- Хранение первичной базы — только на серверах в РК
- Резервные копии за рубежом — допустимы при наличии правового основания
- Передача данных партнёрам за рубежом — требует отдельного правового основания
- Использование иностранных CRM и ERP — требует анализа архитектуры хранения
Кибербезопасность: новые обязанности для бизнеса по Цифровому кодексу
Цифровой кодекс Казахстана впервые систематизировал требования к кибербезопасности для частного бизнеса, выйдя за рамки регулирования государственных информационных систем. Компании, отнесённые к субъектам критической информационной инфраструктуры, получили расширенный перечень обязательных мер защиты.
Для большинства коммерческих компаний ключевое нововведение — обязанность уведомлять уполномоченный орган об инцидентах кибербезопасности в установленные сроки. Нарушение сроков уведомления — самостоятельный состав правонарушения, не зависящий от последствий инцидента. Это принципиально меняет подход к реагированию на инциденты: у директора должен быть готовый план действий, а не импровизация в момент кризиса.
Кодекс также установил требования к проведению аудита информационной безопасности. Для ряда категорий операторов такой аудит обязателен на регулярной основе. Результаты аудита должны документироваться и храниться — они могут быть запрошены регулятором при проверке.
Ответственность за нарушения: штрафы и личные риски руководителя
Административная ответственность за нарушения в сфере персональных данных и кибербезопасности в Казахстане исчисляется в МРП (в 2026 году — 4 325 тенге, по состоянию на 2026 год). Размер санкций зависит от характера нарушения, субъекта и повторности.
Для директора принципиально важно: ответственность может быть возложена как на юридическое лицо, так и на должностное лицо персонально. Повторное нарушение влечёт существенно более высокие санкции. Цифровой кодекс ужесточил ответственность за нарушение требований локализации и за незаконную трансграничную передачу данных — эти составы выделены в отдельные нормы с повышенными санкциями.
Помимо административной ответственности, нарушение требований к защите данных может повлечь гражданско-правовые иски субъектов данных о возмещении ущерба. Казахстанское законодательство предусматривает право субъекта на компенсацию вреда, причинённого незаконной обработкой его данных. По казахстанской судебной практике такие иски пока редки, однако тренд на их рост очевиден.
- Незаконная обработка данных — административный штраф на юрлицо и должностное лицо
- Нарушение локализации — повышенные санкции, возможна приостановка деятельности
- Несвоевременное уведомление об инциденте — самостоятельный состав
- Повторные нарушения — кратно увеличенные штрафы
Что должна сделать компания прямо сейчас: практические шаги
Приведение компании в соответствие с Цифровым кодексом РК — это не разовая акция, а процесс, требующий системного подхода. Первый шаг — аудит текущего состояния: инвентаризация всех потоков персональных данных, оценка правовых оснований обработки и анализ архитектуры хранения.
По нашему опыту, большинство компаний среднего бизнеса обнаруживают три типичных нарушения: устаревшие формы согласия, отсутствие внутренней политики обработки данных и использование иностранных облачных сервисов без анализа требований локализации. Каждое из них — самостоятельный состав правонарушения.
Практический минимум для директора, который хочет снизить риски до проверки регулятора, включает несколько обязательных элементов. Во-первых, актуальная политика конфиденциальности и политика обработки персональных данных — два разных документа с разными функциями. Во-вторых, реестр операций по обработке данных — внутренний документ, фиксирующий все категории данных, цели, сроки и правовые основания. В-третьих, договоры с контрагентами-обработчиками данных — поставщиками IT-услуг, аутсорсинговыми компаниями, облачными провайдерами.
- Провести аудит потоков персональных данных
- Обновить политику конфиденциальности и формы согласия
- Составить реестр операций по обработке данных
- Заключить договоры с обработчиками данных
- Оценить архитектуру хранения на предмет локализации
Как Цифровой кодекс меняет работу с сотрудниками и HR-процессами?
Персональные данные сотрудников — отдельная и часто недооценённая область применения Цифрового кодекса. Работодатель является оператором персональных данных своих работников, и требования кодекса распространяются на весь цикл: от анкеты при найме до хранения документов уволенного сотрудника.
Цифровой кодекс уточнил правила обработки специальных категорий данных работников — медицинских сведений, биометрии (системы контроля доступа, распознавание лиц), данных о профсоюзном членстве. Для обработки таких данных требуется явное согласие работника или иное законное основание, предусмотренное Трудовым кодексом РК.
Отдельного внимания заслуживает мониторинг рабочих устройств и корпоративной переписки. Казахстанское законодательство допускает такой мониторинг при соблюдении ряда условий: работник должен быть уведомлён о мониторинге, его объём и цели должны быть закреплены во внутренних документах. Отсутствие надлежащего уведомления делает результаты мониторинга юридически уязвимыми — в том числе при трудовых спорах.
Подробнее о требованиях к работодателю при проверках — в материале «Как работодателю подготовиться к проверке инспекции труда».
Частые вопросы
1. Кто считается оператором персональных данных в Казахстане?
Оператором персональных данных в Казахстане признаётся любое лицо — физическое или юридическое, — которое самостоятельно или совместно с другими определяет цели и способы обработки персональных данных. Статус оператора возникает автоматически с момента начала сбора данных: достаточно вести базу клиентов, сотрудников или пользователей сайта. Регистрация в реестре операторов не требуется, однако обязанности по соблюдению требований законодательства о персональных данных наступают немедленно. Цифровой кодекс РК дополнительно ввёл понятие совместных операторов — компаний, совместно определяющих цели обработки, — и установил для них обязанность заключать внутреннее соглашение о распределении ответственности.
2. Нужно ли уведомлять уполномоченный орган об обработке данных?
По действующему казахстанскому законодательству о персональных данных общего обязательного уведомления уполномоченного органа о начале обработки данных не предусмотрено. Вместе с тем ряд категорий операторов — в частности, обрабатывающих биометрические или специальные категории данных — обязан соблюдать дополнительные требования. Цифровой кодекс РК вводит расширенные требования к документированию и внутренним политикам, что фактически создаёт систему косвенной отчётности перед регулятором. Отдельно установлена обязанность уведомлять уполномоченный орган об инцидентах кибербезопасности в установленные сроки — это требование является безусловным и не зависит от масштаба инцидента.
3. Какой штраф за нарушение закона о персональных данных?
Административная ответственность за нарушения в сфере персональных данных в Казахстане исчисляется в МРП (в 2026 году МРП составляет 4 325 тенге, по состоянию на 2026 год). Размер санкций зависит от характера нарушения, субъекта ответственности и наличия повторности. Для юридических лиц штрафы существенно выше, чем для физических. Цифровой кодекс РК ужесточил ответственность за трансграничную передачу данных без надлежащего правового основания и за нарушение требований к локализации — эти составы выделены в отдельные нормы. Помимо административных штрафов, субъект данных вправе предъявить гражданско-правовой иск о возмещении вреда, причинённого незаконной обработкой его данных.
4. Можно ли хранить персональные данные казахстанцев за границей?
Казахстанское законодательство о персональных данных устанавливает требование локализации: базы данных, содержащие персональные данные граждан РК, должны храниться на серверах, физически расположенных на территории Казахстана. Трансграничная передача данных допускается при соблюдении ряда условий: наличие согласия субъекта с указанием страны-получателя, достаточный уровень защиты в стране-получателе или заключение соответствующего договора. Цифровой кодекс уточнил и расширил перечень оснований для трансграничной передачи, однако требование локализации первичной базы данных сохраняется. Использование иностранных облачных сервисов без анализа архитектуры хранения — одно из наиболее распространённых нарушений, выявляемых при проверках.
5. Что такое реестр операций по обработке данных и зачем он нужен?
Реестр операций по обработке персональных данных — внутренний документ оператора, фиксирующий все категории обрабатываемых данных, цели обработки, правовые основания, сроки хранения, категории субъектов и получателей данных. Цифровой кодекс РК закрепил обязанность ведения такого реестра для операторов, обрабатывающих данные в значительных объёмах или работающих с чувствительными категориями. На практике реестр является основным документом, который запрашивает регулятор при проверке. Его отсутствие или неполнота — самостоятельное нарушение, независимо от того, соответствует ли фактическая обработка данных требованиям закона.
6. Обязательно ли назначать уполномоченного по защите данных (DPO)?
Обязанность назначить уполномоченного по защите данных (DPO) по Цифровому кодексу РК распространяется на операторов, обрабатывающих биометрические данные, специальные категории данных, а также на государственные органы и компании с государственным участием. Для остальных операторов назначение DPO является добровольным, однако рекомендуется при значительных объёмах обработки. DPO не обязан быть штатным сотрудником — функции могут быть переданы внешнему консультанту по договору. Ключевое требование: DPO должен обладать необходимыми знаниями в области защиты данных и иметь прямой доступ к руководству компании.
7. Распространяется ли Цифровой кодекс на иностранные компании, работающие в Казахстане?
Цифровой кодекс РК применяется ко всем операторам, обрабатывающим персональные данные граждан Казахстана, вне зависимости от места регистрации оператора. Иностранная компания, предлагающая товары или услуги казахстанским потребителям или отслеживающая их поведение в сети, подпадает под действие кодекса. Это означает, что требования к локализации, согласию и правам субъектов данных распространяются и на иностранные юридические лица. На практике регуляторное давление в первую очередь направлено на компании, имеющие физическое присутствие в РК, однако правовая обязанность существует независимо от этого.
8. Каковы права субъекта персональных данных по Цифровому кодексу?
Цифровой кодекс РК закрепил и расширил перечень прав субъекта персональных данных. Субъект вправе получить информацию об обработке своих данных, потребовать их исправления или удаления, отозвать согласие на обработку, а также возразить против обработки в определённых целях. Новым элементом является право на переносимость данных — получение своих данных в машиночитаемом формате для передачи другому оператору. Оператор обязан ответить на запрос субъекта в установленные сроки; нарушение сроков — самостоятельное нарушение. Для директора это означает необходимость выстроить процедуру обработки запросов субъектов данных с фиксацией сроков и ответственных лиц.
9. Что считается чувствительными (специальными) категориями персональных данных?
К специальным категориям персональных данных в Казахстане относятся сведения, раскрытие которых может причинить существенный вред субъекту: данные о состоянии здоровья, биометрические данные, сведения о расовом или этническом происхождении, политических взглядах, религиозных убеждениях, судимости. Цифровой кодекс РК установил повышенные требования к обработке таких данных: явное согласие субъекта или специальное законное основание, усиленные меры защиты, обязательное назначение DPO. Подробнее о правовом режиме чувствительных данных — в материале «Что такое чувствительные персональные данные в Казахстане».
10. Как Цифровой кодекс регулирует использование cookies и трекинговых технологий?
Цифровой кодекс РК распространяет требования о согласии на использование cookies и аналогичных технологий отслеживания, если они позволяют идентифицировать пользователя или отслеживать его поведение. Технические cookies, необходимые для работы сайта, согласия не требуют. Аналитические и маркетинговые cookies — требуют явного согласия пользователя до их установки. Баннер «Мы используем cookies» без реальной возможности отказаться не является надлежащим согласием. Компании, использующие системы веб-аналитики и ретаргетинга, обязаны привести cookie-политику в соответствие с требованиями кодекса.
Выводы
Цифровой кодекс Казахстана — это системный сдвиг в регулировании цифровой среды, а не очередная поправка к действующему закону. Для директора он означает три вещи: расширение личной ответственности за нарушения в сфере данных, новые обязательные документы и процедуры, а также повышенные требования к архитектуре IT-систем. Компании, которые воспринимают соответствие требованиям кодекса как разовую задачу IT-отдела, принимают на себя регуляторный риск. Те, кто выстраивает систему управления данными как бизнес-процесс, — снижают его до управляемого уровня. Аудит текущего состояния — первый и наиболее важный шаг, который позволяет понять реальный масштаб задачи.
Актуально на: 5 января 2026 года.
Если ситуация требует внимания — мы поможем разобраться.
Смежные направления
Направление практики
Персональные данные и IT-право — соответствие Закону о персональных данных, трансграничная передача, аудит обработки и IT-договоры.