В 2025 году в Республике Казахстан вступили в силу важные поправки к Закону "О персональных данных и их защите". Это связано с активным развитием цифровой экономики, ростом онлайн-сервисов и необходимостью усиления защиты конфиденциальной информации граждан. В статье рассмотрим, какие изменения вступили в силу, кто обязан соблюдать новые требования и какие риски несёт их нарушение.
Что изменилось в законодательстве о персональных данных?
С начала 2025 года:
- Усилен контроль за сбором и обработкой персональных данных (ПД);
- Уточнены основания и цели обработки ПД;
- Введены новые обязанности для операторов и владельцев баз данных;
- Расширены права субъектов персональных данных.
Новые обязанности операторов персональных данных
1. Регистрация в государственном реестре
Юридические лица и ИП, обрабатывающие ПД, обязаны зарегистрироваться в реестре операторов. Исключение — если ПД используются только в трудовых или бытовых целях (например, контактные данные сотрудников без передачи третьим лицам).
2. Назначение ответственного за защиту ПД
Компании обязаны назначить уполномоченного сотрудника по защите ПД и отразить это во внутренних регламентах.
3. Уведомление при утечках
При инцидентах, связанных с утечкой данных, оператор обязан:
- уведомить Комитет по защите ПД;
- проинформировать пострадавших граждан в течение 72 часов.
4. Хранение данных на территории РК
Если оператор собирает персональные данные граждан Казахстана, он обязан обеспечить их первичное хранение на серверах, расположенных в РК.
Права граждан в 2025 году
Граждане Казахстана получили расширенные полномочия:
- право требовать удаления, изменения или блокировки ПД;
- право знать, кто и с какой целью обрабатывает их данные;
- право на отзыв согласия в любое время;
- право на защиту в суде и обращение в Комитет по защите ПД.
Ответственность за нарушение закона
Административная
- Штрафы за нарушение правил обработки данных могут достигать 3000 МРП;
- При повторных нарушениях — приостановка деятельности или блокировка сайта.
Уголовная
- За незаконный сбор, распространение или использование ПД предусмотрено наказание вплоть до лишения свободы (ст. 147 УК РК).
Практика: интернет-магазин без согласия
Если интернет-магазин собирает номера телефонов клиентов без получения согласия, размещения политики конфиденциальности и не зарегистрирован как оператор, он рискует попасть под санкции по нескольким статьям.
Что делать бизнесу?
- Провести аудит всех процессов, связанных с ПД;
- Разработать и внедрить политику конфиденциальности;
- Назначить ответственного за защиту ПД;
- Зарегистрироваться в реестре операторов ПД;
- Обеспечить локализацию данных в РК.
Заключение
В 2025 году вопросы персональных данных приобретают стратегическое значение. Соблюдение закона — не только правовая обязанность, но и элемент доверия со стороны клиентов. Предпринимателям и организациям важно своевременно адаптироваться к новым реалиям и усилить меры кибербезопасности.
Вопросы и ответы:
- Какие данные считаются персональными?
Ответ: Это любая информация, позволяющая установить личность человека (ФИО, ИИН, адрес, фото, IP-адрес и др.). - Кто обязан регистрироваться как оператор ПД?
Ответ: Любые организации и ИП, собирающие и обрабатывающие данные граждан. - Обязательна ли локализация данных?
Ответ: Да, для ПД граждан РК первичное хранение должно быть на территории Казахстана. - Что делать при утечке данных?
Ответ: Сообщить в госорган и уведомить пострадавших в течение 72 часов. - Как получить согласие на обработку ПД?
Ответ: В письменной или электронной форме с указанием цели и объёма обработки. - Может ли гражданин отозвать своё согласие?
Ответ: Да, в любое время, направив соответствующее заявление. - Какие штрафы предусмотрены за нарушения?
Ответ: До 3000 МРП и блокировка сайта при повторных инцидентах. - Кто контролирует соблюдение закона?
Ответ: Комитет по защите персональных данных при Министерстве цифрового развития. - Как проверить, зарегистрирован ли оператор?
Ответ: Через официальный реестр операторов ПД на сайте egov.kz. - Нужно ли согласие для e-mail рассылки?
Ответ: Да, это форма обработки персональных данных и требует согласия.
