Цифровой кодекс Казахстана: что изменилось для бизнеса

Что такое Цифровой кодекс и зачем он появился

Цифровой кодекс Казахстана — это кодифицированный нормативный правовой акт, который систематизировал регулирование в сфере цифровых технологий, персональных данных, кибербезопасности, электронной коммерции и государственных информационных систем. До его принятия соответствующие нормы были разрозненно закреплены в нескольких законах, что создавало правовую неопределённость и затрудняло правоприменение.

Кодекс принят в рамках масштабной цифровой реформы Казахстана и вступает в силу поэтапно: часть требований действует с момента принятия, другие — после переходных периодов, предусмотренных для адаптации бизнеса. Ключевая идея документа — привести казахстанское регулирование в соответствие с международными стандартами защиты данных и одновременно создать правовую основу для развития цифровой экономики страны.

Для собственника бизнеса кодекс означает прежде всего одно: если ваша компания работает с персональными данными — а это практически любой бизнес, имеющий сотрудников, клиентов или пользователей, — вы автоматически становитесь оператором данных со всеми вытекающими обязанностями. Незнание новых требований не освобождает от ответственности.

Кого затрагивает Цифровой кодекс: сфера применения

Цифровой кодекс распространяется на всех операторов персональных данных, осуществляющих деятельность на территории Республики Казахстан, — вне зависимости от организационно-правовой формы, размера компании и отрасли. Иностранные компании, предоставляющие услуги казахстанским пользователям, также подпадают под действие кодекса, если они целенаправленно работают с резидентами РК.

Оператором данных признаётся любое лицо, которое самостоятельно или совместно с другими определяет цели и способы обработки персональных данных. На практике это означает, что интернет-магазин, ведущий базу покупателей, кадровая служба, хранящая личные дела сотрудников, и мобильное приложение, собирающее геолокацию, — все они являются операторами. Отдельная категория — обработчики данных: компании, которые обрабатывают данные по поручению оператора (например, облачные провайдеры или аутсорсинговые колл-центры). Для них кодекс также устанавливает самостоятельные обязанности.

Малый и средний бизнес получил ряд послаблений по отдельным требованиям — в частности, по обязательному назначению ответственного за защиту данных и проведению оценки воздействия на приватность. Однако базовые обязанности — получение согласия, обеспечение безопасности, реагирование на запросы субъектов — распространяются на всех без исключения.

Какие новые обязанности появились у операторов данных?

Цифровой кодекс существенно расширил перечень обязанностей операторов по сравнению с ранее действовавшим Законом о персональных данных и их защите. Ключевые новшества касаются организационных мер, документирования и взаимодействия с уполномоченным органом.

Среди наиболее значимых новых требований выделяются следующие:

• Назначение ответственного за защиту персональных данных (аналог европейского DPO) — обязательно для операторов, осуществляющих масштабную или высокорисковую обработку данных.
• Ведение реестра операций по обработке данных — внутреннего документа, фиксирующего все виды обработки, их цели, категории данных и сроки хранения.
• Проведение оценки воздействия на приватность (Privacy Impact Assessment) до начала новых высокорисковых видов обработки.
• Уведомление уполномоченного органа об инцидентах безопасности в течение 72 часов с момента обнаружения.
• Обеспечение права субъекта данных на перенос данных в машиночитаемом формате.

Для компаний, которые ранее ограничивались стандартной политикой конфиденциальности и согласием на обработку данных, переход к новым требованиям потребует системной работы: аудита текущих процессов, разработки внутренних регламентов и обучения персонала.

Как изменились требования к согласию и правам субъектов данных?

Цифровой кодекс ужесточает стандарты получения согласия субъекта данных: оно должно быть конкретным, информированным, однозначным и свободно отзываемым. Практика «согласия по умолчанию», предварительно проставленных галочек и согласия, встроенного в общие условия пользования, более не соответствует требованиям закона.

Расширен и перечень прав субъектов данных. Помимо уже существовавших прав на доступ, исправление и удаление данных, кодекс закрепляет право на перенос данных (data portability) — возможность получить свои данные в структурированном машиночитаемом формате и передать их другому оператору. Это особенно актуально для финтех-компаний, маркетплейсов и сервисов подписки. Также закреплено право на ограничение обработки — субъект может потребовать приостановить обработку своих данных на период рассмотрения его возражений.

Для детей до 16 лет требуется согласие родителей или законных представителей — это важно для операторов образовательных платформ, игровых сервисов и любых приложений, ориентированных на молодёжную аудиторию. Оператор обязан хранить доказательства получения согласия и предоставлять их по запросу уполномоченного органа в ходе проверки.

Подробнее о том, как правильно выстроить процедуру реагирования на запросы субъектов, читайте в материале «Что делать при запросе субъекта персональных данных в Казахстане».

Локализация данных и трансграничная передача: что изменилось?

Требование локализации персональных данных граждан Казахстана сохраняется и в Цифровом кодексе: базы данных должны храниться на серверах, физически расположенных на территории Республики Казахстан. Это требование распространяется на все компании, работающие с данными казахстанских пользователей, — в том числе на иностранные.

Трансграничная передача данных допускается при соблюдении одного из условий: наличие явного согласия субъекта данных, достаточный уровень защиты данных в стране-получателе (по оценке уполномоченного органа) или заключение специального соглашения между оператором и получателем данных, обеспечивающего надлежащий уровень защиты. Цифровой кодекс уточняет порядок документального оформления трансграничных передач и вводит требование уведомления уполномоченного органа в отдельных случаях.

На практике это означает, что использование зарубежных облачных сервисов (AWS, Google Cloud, Microsoft Azure) для хранения персональных данных казахстанских пользователей требует либо размещения данных в казахстанских дата-центрах этих провайдеров, либо специального правового оформления. Компании, игнорировавшие это требование до принятия кодекса, рискуют столкнуться с повышенным вниманием регулятора.

Кибербезопасность по Цифровому кодексу: требования к бизнесу

Цифровой кодекс устанавливает обязательные требования к технической и организационной защите информационных систем, обрабатывающих персональные данные. Меры защиты должны быть соразмерны рискам: чем чувствительнее данные и масштабнее обработка — тем строже требования.

Базовый набор мер включает шифрование данных при хранении и передаче, контроль и разграничение доступа, регулярное резервное копирование, ведение журналов событий безопасности и периодическое тестирование систем защиты. Для операторов критической информационной инфраструктуры — банков, телекоммуникационных компаний, операторов государственных информационных систем — требования существенно строже: обязательная аккредитация, подключение к государственной системе мониторинга инцидентов и прохождение регулярных независимых аудитов безопасности.

Важное нововведение — обязанность уведомлять уполномоченный орган об инцидентах безопасности в течение 72 часов с момента их обнаружения. Под инцидентом понимается любое нарушение безопасности, повлёкшее случайное или незаконное уничтожение, утрату, изменение, несанкционированное раскрытие или доступ к персональным данным. Несоблюдение срока уведомления само по себе является самостоятельным основанием для привлечения к ответственности.

Ответственность за нарушения: как изменились санкции?

Цифровой кодекс существенно увеличил верхние пороги административных санкций за нарушения в сфере персональных данных по сравнению с ранее действовавшим регулированием. Размер штрафов исчисляется в МРП — по состоянию на 2026 год МРП составляет 4 325 тенге.

Ответственность дифференцирована в зависимости от характера нарушения. Наиболее строгие санкции предусмотрены за: незаконную обработку данных без согласия субъекта, нарушение требований локализации, несоблюдение срока уведомления об инциденте и воспрепятствование реализации прав субъектов данных. Повторные нарушения влекут повышенную ответственность. Помимо административных штрафов, кодекс предусматривает возможность приостановления деятельности оператора по решению суда в случае систематических или грубых нарушений.

Уголовная ответственность за нарушения в сфере персональных данных сохраняется в Уголовном кодексе РК — в части незаконного сбора и распространения сведений о частной жизни лица. Для собственника бизнеса это означает, что в случае масштабной утечки данных или умышленного нарушения требований закона риски выходят за рамки административного взыскания.

О том, как правильно составить политику обработки персональных данных, чтобы минимизировать риски, читайте в материале «Как составить политику обработки персональных данных в Казахстане».

Практические рекомендации: что сделать собственнику прямо сейчас

Собственник принимает решения — и несёт ответственность за последствия. Цифровой кодекс создаёт новую правовую реальность, в которой игнорирование требований к персональным данным становится измеримым финансовым и репутационным риском.

Первоочередные шаги для приведения бизнеса в соответствие с требованиями кодекса:

• Провести аудит текущих процессов обработки данных: составить карту данных (какие данные, откуда, зачем, где хранятся, кому передаются).
• Проверить актуальность форм согласия и политики конфиденциальности — привести их в соответствие с новыми требованиями к содержанию и форме.
• Оценить необходимость назначения ответственного за защиту данных и проведения оценки воздействия на приватность.
• Проверить соответствие требованиям локализации — убедиться, что данные казахстанских пользователей хранятся на серверах в РК.
• Разработать процедуру реагирования на инциденты безопасности с соблюдением 72-часового срока уведомления.

Переходные периоды, предусмотренные кодексом, дают время на адаптацию — но не бесконечное. Компании, начавшие работу по приведению процессов в соответствие заблаговременно, находятся в значительно более выгодном положении при проверках, чем те, кто откладывает этот вопрос. Подробнее о трудовых аспектах цифровой реформы — в материале «Поправки в Трудовой кодекс РК с 8 июня 2026 года».