Цифровой кодекс Казахстана: что изменилось для бизнеса: тренды и выводы
Казахстан последовательно формирует цифровое законодательство: Закон о персональных данных и их защите действует уже несколько лет, а работа над комплексным регулированием цифровой среды продолжается. Для бизнеса это означает новые обязанности по обработке данных, требования кибербезопасности и реальные административные риски при несоблюдении норм. В этом материале — аналитический разбор ключевых изменений, практических последствий и того, что компаниям нужно сделать уже сейчас.
Ваша компания собирает данные клиентов или сотрудников — проверьте, соответствует ли это требованиям казахстанского законодательства. Проверить обработку персональных данных · info@vetrovkz.com
Контекст: почему цифровое регулирование в Казахстане ужесточается
Казахстан входит в число стран, которые целенаправленно строят цифровую экономику — и параллельно выстраивают её правовую инфраструктуру. Закон о персональных данных и их защите был принят ещё в 2013 году, однако реальное правоприменение заметно усилилось в последние годы: уполномоченный орган активнее проводит проверки, суды рассматривают споры о нарушениях, а бизнес начинает ощущать административные последствия.
Параллельно в Казахстане ведётся работа над концепцией «Цифрового кодекса» — консолидированного акта, который должен объединить разрозненные нормы об электронной торговле, цифровых услугах, персональных данных, кибербезопасности и платформенной экономике. Пока кодекс не принят в окончательной редакции, действует совокупность специальных законов — и именно их требования определяют реальные обязанности бизнеса.
Для компаний, работающих в Казахстане, это означает одно: правовая среда в сфере цифрового регулирования меняется быстро, и реагировать на изменения нужно заблаговременно, а не после получения предписания.
Если ваша компания собирает данные клиентов через сайт, приложение или CRM — проверьте, зарегистрированы ли ваши базы данных и соответствует ли политика конфиденциальности требованиям закона.
Проверить обработку персональных данныхЧто такое «Цифровой кодекс» и на каком этапе находится его разработка?
«Цифровой кодекс» Казахстана — это концептуальный проект консолидации цифрового законодательства, который обсуждается на уровне государственных органов и экспертного сообщества. По состоянию на начало 2026 года единый кодифицированный акт не принят: действующее регулирование представлено несколькими специальными законами.
Ключевые действующие акты в сфере цифрового права Казахстана:
- Закон о персональных данных и их защите — основной акт об обработке данных физических лиц
- Закон об информатизации — регулирует электронные государственные услуги и информационные системы
- Закон об электронной торговле — устанавливает правила дистанционных сделок
- Закон о связи — регулирует телекоммуникационную инфраструктуру
- Закон о кибербезопасности — определяет требования к защите информационных систем
Концепция кодификации предполагает, что эти акты будут объединены в единый документ с унифицированной терминологией, чёткими санкциями и механизмами надзора. Для бизнеса это важно: сейчас требования разбросаны по разным законам, что создаёт риск неполного соблюдения норм даже при добросовестном подходе.
Кто является оператором персональных данных и какие обязанности это влечёт?
Оператором персональных данных в Казахстане признаётся любое лицо, которое самостоятельно или совместно с другими определяет цели и способы обработки персональных данных. Это определение охватывает практически любой бизнес: интернет-магазин, работодателя, медицинскую клинику, банк, мобильное приложение.
Основные обязанности оператора по казахстанскому законодательству:
- Получить согласие субъекта данных на обработку — в письменной или электронной форме
- Зарегистрировать базу данных в уполномоченном органе (Министерство цифрового развития РК)
- Обеспечить локализацию данных: хранить базы данных граждан РК на серверах в Казахстане
- Принять технические и организационные меры защиты данных от несанкционированного доступа
- Уведомить субъекта и уполномоченный орган об утечке данных в установленные сроки
На практике многие компании выполняют только часть этих требований — как правило, получают согласие, но игнорируют регистрацию баз данных или не имеют утверждённой политики обработки данных. Именно эти пробелы становятся основанием для предписаний при проверках.
Требования локализации данных: что это значит для бизнеса на практике?
Требование локализации персональных данных — одно из наиболее практически значимых для бизнеса, использующего облачные сервисы или иностранную IT-инфраструктуру. Казахстанское законодательство обязывает операторов хранить базы данных, содержащие персональные данные граждан РК, на серверах, физически расположенных на территории Республики Казахстан.
Это требование затрагивает широкий круг компаний:
- Бизнес, использующий зарубежные CRM-системы (Salesforce, HubSpot и аналоги)
- Компании с облачной инфраструктурой на AWS, Google Cloud, Azure без казахстанских регионов
- Маркетплейсы и агрегаторы, передающие данные пользователей иностранным партнёрам
- Работодатели, использующие зарубежные HR-платформы для хранения данных сотрудников
Трансграничная передача данных допускается при соблюдении условий: страна-получатель обеспечивает надлежащий уровень защиты, либо субъект дал явное согласие на передачу данных за рубеж. Однако само хранение основной базы данных должно оставаться в Казахстане. Нарушение требований локализации — одно из наиболее часто выявляемых нарушений при проверках уполномоченного органа.
Кибербезопасность: новые обязанности для операторов критической инфраструктуры
Казахстанское законодательство о кибербезопасности устанавливает повышенные требования для операторов объектов критической информационно-коммуникационной инфраструктуры (КИКИ). К таким объектам относятся информационные системы в сферах энергетики, финансов, транспорта, здравоохранения и государственного управления.
Для операторов КИКИ действующее законодательство предусматривает:
- Обязательную аттестацию информационных систем на соответствие требованиям безопасности
- Подключение к государственной системе мониторинга инцидентов кибербезопасности
- Уведомление уполномоченного органа об инцидентах в установленные сроки
- Проведение периодических аудитов безопасности
Для обычного коммерческого бизнеса, не относящегося к КИКИ, требования менее жёсткие, однако обязанность принимать меры по защите данных распространяется на всех операторов. Тренд последних лет — расширение перечня объектов, признаваемых критической инфраструктурой, что постепенно затрагивает крупные финтех-компании и телеком-операторов.
Согласие на обработку данных: как правильно его получить?
Согласие субъекта персональных данных — ключевое основание для законной обработки данных в Казахстане. Казахстанское законодательство предъявляет к согласию конкретные требования: оно должно быть добровольным, информированным, конкретным и однозначным.
Типичные ошибки бизнеса при получении согласия:
- Предзаполненный чекбокс «Согласен с политикой конфиденциальности» — не является действительным согласием
- Согласие «на любую обработку данных» без указания конкретных целей — слишком широко
- Отсутствие механизма отзыва согласия — нарушение права субъекта
- Политика конфиденциальности на иностранном языке без перевода на казахский или русский
Для сайтов и мобильных приложений, ориентированных на казахстанских пользователей, рекомендуется отдельная форма согласия с указанием целей обработки, перечня передаваемых третьим лицам данных и срока хранения. Подробнее о требованиях к cookie-баннерам и формам согласия — в материале «Как правильно собирать cookies на сайте в Казахстане».
Административная ответственность: какие санкции предусмотрены за нарушения?
Административная ответственность за нарушения в сфере персональных данных в Казахстане предусмотрена Кодексом об административных правонарушениях. Санкции исчисляются в МРП — в 2026 году МРП составляет 4 325 тенге (по состоянию на 2026 год), что определяет фактический денежный эквивалент штрафов.
Наиболее распространённые основания для привлечения к ответственности:
- Незаконный сбор персональных данных без согласия субъекта
- Нарушение требований к регистрации баз данных
- Несоблюдение требований локализации данных
- Непринятие мер по защите данных от несанкционированного доступа
- Нарушение прав субъекта данных (отказ в доступе, исправлении, удалении)
Для юридических лиц санкции существенно выше, чем для физических. Помимо штрафа, уполномоченный орган вправе выдать предписание об устранении нарушений с установленным сроком исполнения. Повторное нарушение влечёт более строгую ответственность. Подробнее о практике применения санкций — в материале «Цифровой кодекс Казахстана: что изменилось для бизнеса».
Практические рекомендации: что сделать бизнесу прямо сейчас
Соответствие требованиям казахстанского законодательства о персональных данных — это не разовое мероприятие, а системная работа. По нашему опыту, большинство компаний имеют пробелы минимум в двух-трёх из ключевых требований.
Приоритетные шаги для приведения бизнеса в соответствие:
- Провести аудит: составить карту всех точек сбора данных — сайт, CRM, HR-система, мобильное приложение
- Проверить регистрацию баз данных в уполномоченном органе и при необходимости зарегистрировать
- Обновить политику конфиденциальности и формы согласия в соответствии с действующими требованиями
- Оценить инфраструктуру хранения данных на предмет соответствия требованиям локализации
- Назначить ответственного за обработку персональных данных внутри компании
Для компаний, работающих с данными в больших объёмах или в регулируемых секторах (финансы, медицина, телеком), рекомендуется также разработать внутренние регламенты обработки данных и провести обучение сотрудников. Если ваша компания зарегистрирована в МФЦА — дополнительно применяются требования AIFC Acts в части защиты данных, подробнее на странице практики «Персональные данные и IT-право».
Частые вопросы
1. Кто считается оператором персональных данных в Казахстане?
Оператором персональных данных в Казахстане признаётся любое лицо — физическое или юридическое, государственный орган — которое самостоятельно или совместно с другими определяет цели и способы обработки персональных данных. Это означает, что практически любой бизнес, собирающий данные клиентов, сотрудников или партнёров, является оператором и несёт соответствующие обязанности по Закону о персональных данных и их защите. Исключений для малого бизнеса или стартапов законодательство не предусматривает: объём обрабатываемых данных не влияет на статус оператора.
2. Нужно ли уведомлять уполномоченный орган об обработке данных?
По действующему казахстанскому законодательству операторы персональных данных обязаны регистрировать базы данных, содержащие персональные данные, в уполномоченном органе — Министерстве цифрового развития, инноваций и аэрокосмической промышленности РК. Требование распространяется на базы данных, которые ведутся в автоматизированном режиме. Порядок регистрации и перечень исключений определяются действующим законодательством о персональных данных. На практике многие компании пропускают этот шаг, что создаёт риск привлечения к административной ответственности при проверке.
3. Какой штраф за нарушение закона о персональных данных?
Административная ответственность за нарушение законодательства о персональных данных в Казахстане предусмотрена Кодексом об административных правонарушениях. Размер санкций исчисляется в МРП и зависит от характера нарушения: незаконный сбор, обработка без согласия субъекта, непринятие мер по защите данных. В 2026 году МРП составляет 4 325 тенге (по состоянию на 2026 год), что определяет фактический денежный эквивалент штрафов. Для юридических лиц санкции существенно выше, чем для физических. Помимо штрафа, уполномоченный орган вправе выдать предписание об устранении нарушений.
4. Можно ли хранить персональные данные казахстанцев за границей?
Казахстанское законодательство о персональных данных устанавливает требование локализации: базы данных, содержащие персональные данные граждан Республики Казахстан, должны храниться на серверах, физически расположенных на территории Казахстана. Трансграничная передача данных допускается при соблюдении ряда условий — в частности, если страна-получатель обеспечивает надлежащий уровень защиты данных или получено явное согласие субъекта. Нарушение требований локализации влечёт административную ответственность. Использование зарубежных облачных сервисов без казахстанских серверных мощностей создаёт прямой правовой риск.
5. Распространяется ли казахстанское законодательство о персональных данных на иностранные компании?
Казахстанское законодательство о персональных данных применяется к обработке данных граждан и резидентов Республики Казахстан вне зависимости от места регистрации оператора. Иностранная компания, которая собирает данные казахстанских пользователей через сайт или приложение, формально подпадает под действие закона. На практике правоприменение в отношении иностранных операторов, не имеющих юридического присутствия в Казахстане, затруднено — однако компании с казахстанскими дочерними структурами или представительствами несут полный объём обязанностей.
6. Что такое «чувствительные» персональные данные и как их обрабатывать?
Казахстанское законодательство выделяет особую категорию — специальные (чувствительные) персональные данные: сведения о расовой и национальной принадлежности, политических взглядах, религиозных убеждениях, состоянии здоровья, сексуальной жизни, судимостях. Обработка таких данных допускается только при наличии явного согласия субъекта или в случаях, прямо предусмотренных законодательством. Для медицинских организаций, страховых компаний и HR-служб, работающих с медицинскими данными сотрудников, это требование имеет особое практическое значение.
7. Обязан ли бизнес уведомлять пользователей об утечке данных?
Казахстанское законодательство предусматривает обязанность оператора уведомить уполномоченный орган и субъектов данных об инцидентах, повлёкших несанкционированный доступ к персональным данным. Конкретные сроки и порядок уведомления определяются действующим законодательством. По нашему опыту, многие компании не имеют утверждённого плана реагирования на инциденты, что усугубляет ситуацию при проверке: отсутствие процедуры само по себе может квалифицироваться как нарушение требований к организационным мерам защиты.
8. Нужна ли политика конфиденциальности на казахском языке?
Казахстанское законодательство об информатизации и о персональных данных не устанавливает прямого требования публиковать политику конфиденциальности на казахском языке. Однако Закон о языках в Республике Казахстан предусматривает, что документы, адресованные потребителям на территории Казахстана, должны быть доступны на государственном языке. На практике регуляторы и суды всё чаще обращают внимание на доступность пользовательских документов на казахском языке — особенно для компаний, работающих с широкой аудиторией. Наличие казахскоязычной версии снижает регуляторный риск.
9. Как правильно передавать данные третьим лицам — партнёрам и подрядчикам?
Передача персональных данных третьим лицам в Казахстане допускается только при наличии согласия субъекта данных или в случаях, предусмотренных законодательством. Оператор обязан убедиться, что получатель данных обеспечивает надлежащий уровень их защиты. На практике это означает включение в договоры с подрядчиками и партнёрами специальных положений об обработке данных — так называемых DPA (Data Processing Agreements). Отсутствие таких положений в договорах — распространённый пробел, который выявляется при аудите.
10. Применяется ли казахстанское законодательство о персональных данных к данным сотрудников?
Да, данные сотрудников являются персональными данными в полном смысле закона, и их обработка подпадает под действие Закона о персональных данных и их защите. Работодатель как оператор обязан получить согласие сотрудника на обработку его данных, обеспечить их защиту и соблюдать требования локализации. Трудовой кодекс РК дополнительно регулирует отдельные аспекты работы с персональными данными в трудовых отношениях. Особого внимания требует обработка данных при использовании зарубежных HR-платформ и систем видеонаблюдения на рабочем месте.
Выводы
Казахстанское цифровое законодательство последовательно ужесточается: требования к локализации данных, регистрации баз данных и получению согласия субъектов уже действуют и активно применяются. Работа над консолидированным «Цифровым кодексом» означает, что в ближайшие годы регулирование станет более системным и предсказуемым — но и более строгим. Для бизнеса это сигнал: приводить процессы в соответствие нужно сейчас, не дожидаясь проверки. Ключевые шаги — аудит точек сбора данных, регистрация баз данных, обновление политики конфиденциальности и оценка инфраструктуры хранения. Подробнее о регистрации товарных знаков как части цифровой стратегии бизнеса — в материале «Как зарегистрировать товарный знак в Казахстане». Актуальные материалы по смежным темам — в разделе Аналитика.
Актуально на: 1 января 2026 года.
Если ситуация требует внимания — мы поможем разобраться.
Смежные направления
Направление практики
Персональные данные и IT-право — соответствие Закону о персональных данных, трансграничная передача, аудит обработки и IT-договоры.