Библиотека

Конституция Республики Казахстан (принята на республиканском референдуме 15.03.2026) (откроется в новой вкладке)

Республиканский референдум · 15 марта 2026 г.

Новая Конституция, вступившая в силу 1 июля 2026 года вместо Конституции 1995 года (ст. 94). Статья 21 впервые прямо называет право на защиту персональных данных от незаконного сбора, обработки, хранения и использования, в том числе с применением цифровых технологий, наряду с неприкосновенностью частной жизни и тайной сообщений.

Открыть:Adilet (откроется в новой вкладке)официальныйzakon.uchet.kz (откроется в новой вкладке)альтернативный источник, неофициальный

Ключевые положения

ст. 21 (откроется в новой вкладке), ст. 94 (откроется в новой вкладке)

Вступает в силу

1 июля 2026 г.

Примечание

Законодательство о персональных данных «основывается на Конституции» (ст. 4 Закона № 94-V); прежняя Конституция 1995 года утратила силу.

● Проверено 26 октября 2026 г.действуетПринципы обработкиСфера действия и основные понятия

Цифровой кодекс Республики Казахстан (откроется в новой вкладке)

Парламент Республики Казахстан · 9 января 2026 г.

Новый кодекс о цифровой среде. Для персональных данных важен прежде всего понятийный аппарат: «цифровой объект» и его виды (ст. 20), на которые теперь ссылается Закон о персональных данных. Отдельно закреплено право на удаление, анонимизацию и ограничение обработки (ст. 41). Вводится через шесть месяцев после опубликования 10.01.2026.

Открыть:Adilet (откроется в новой вкладке)официальныйzakon.uchet.kz (откроется в новой вкладке)альтернативный источник, неофициальный

Ключевые положения

ст. 20 (откроется в новой вкладке), ст. 41 (откроется в новой вкладке), ст. 106 (откроется в новой вкладке)

Примечание

Точная дата вступления в силу (09.07 или 10.07.2026) не уточнена.

● Проверено 26 октября 2026 г.действуетПрава субъектаУдаление, уничтожение и обезличиваниеСфера действия и основные понятия

Кодекс Республики Казахстан «О здоровье народа и системе здравоохранения» (откроется в новой вкладке)

Парламент Республики Казахстан · 7 июля 2020 г.

Персональные медицинские данные, факт обращения за помощью, состояние здоровья и диагноз составляют тайну медицинского работника (ст. 273 п. 1). Статья 273 перечисляет случаи, когда сведения можно передать без согласия, а ст. 62 описывает особенности защиты цифровых ресурсов с медицинскими данными.

Открыть:Adilet (откроется в новой вкладке)официальныйzakon.uchet.kz (откроется в новой вкладке)альтернативный источник, неофициальный

Ключевые положения

ст. 62 (откроется в новой вкладке), ст. 273 (откроется в новой вкладке)

● Проверено 26 октября 2026 г.действуетВиды персональных данныхЗдравоохранение

Административный процедурно-процессуальный кодекс Республики Казахстан (откроется в новой вкладке)

Парламент Республики Казахстан · 29 июня 2020 г.

Общий порядок рассмотрения обращений государственными органами. По нему уполномоченный орган рассматривает жалобы субъектов на собственников и операторов: 15 рабочих дней, с продлением не более чем на два месяца (ст. 76 пп. 1, 3).

Открыть:Adilet (откроется в новой вкладке)официальныйzakon.uchet.kz (откроется в новой вкладке)альтернативный источник, неофициальный

Ключевые положения

ст. 76 (откроется в новой вкладке)

● Проверено 26 октября 2026 г.действуетПрава субъекта

Трудовой кодекс Республики Казахстан (откроется в новой вкладке)

Парламент Республики Казахстан · 23 ноября 2015 г.

Специальных правил об обработке персональных данных работников в кодексе почти нет. Работник вправе требовать защиты своих данных (ст. 22 п. 1 пп. 24), работодатель обязан собирать, обрабатывать и защищать их в соответствии с законодательством о персональных данных (ст. 23 п. 2 пп. 24) и вносить сведения о трудовых договорах в единую систему учёта (ст. 23 п. 2 пп. 27). При приёме на работу можно требовать только документы из закрытого перечня ст. 32.

Открыть:Adilet (откроется в новой вкладке)официальныйzakon.uchet.kz (откроется в новой вкладке)альтернативный источник, неофициальный

Ключевые положения

ст. 6 (откроется в новой вкладке), ст. 22 (откроется в новой вкладке), ст. 23 (откроется в новой вкладке), ст. 25 (откроется в новой вкладке), ст. 32 (откроется в новой вкладке)

● Проверено 26 октября 2026 г.действуетОбработка без согласияТрудовые отношения

Предпринимательский кодекс Республики Казахстан (откроется в новой вкладке)

Парламент Республики Казахстан · 29 октября 2015 г.

Порядок проверок бизнеса. Контроль за соблюдением законодательства о персональных данных в отношении частного бизнеса проводится только в форме внеплановых проверок (ст. 27-2 Закона) по основаниям ст. 144 п. 5, например по обоснованной жалобе, требованию прокурора или поручению органа уголовного преследования; анонимные жалобы основанием не являются.

Открыть:Adilet (откроется в новой вкладке)официальныйzakon.uchet.kz (откроется в новой вкладке)альтернативный источник, неофициальный

Ключевые положения

ст. 143 (откроется в новой вкладке), ст. 144 (откроется в новой вкладке)

● Проверено 26 октября 2026 г.действуетУполномоченный орган и государственный контроль

Кодекс Республики Казахстан об административных правонарушениях (откроется в новой вкладке)

Парламент Республики Казахстан · 5 июля 2014 г.

Статья 79 устанавливает административную ответственность за нарушения в сфере персональных данных. Четыре части: незаконные сбор и обработка; то же с использованием служебного положения; несоблюдение мер защиты; несоблюдение мер, повлёкшее утерю или незаконную обработку. Штрафы составляют от 30 до 2000 МРП в зависимости от части и категории нарушителя.

Открыть:Adilet (откроется в новой вкладке)официальныйzakon.uchet.kz (откроется в новой вкладке)альтернативный источник, неофициальный

Ключевые положения

ст. 79 (откроется в новой вкладке)

Редакция

ст. 79 в редакции Закона № 155-VIII от 10.01.2025

● Проверено 26 октября 2026 г.действуетОтветственность

Уголовный кодекс Республики Казахстан (откроется в новой вкладке)

Парламент Республики Казахстан · 3 июля 2014 г.

Ст. 147 устанавливает уголовную ответственность за несоблюдение мер защиты персональных данных, причинившее существенный вред, за незаконные сбор, обработку и распространение персональных данных с существенным вредом и за нарушение тайны частной жизни. Наказание: от штрафа до лишения свободы на срок до семи лет.

Открыть:Adilet (откроется в новой вкладке)официальныйzakon.uchet.kz (откроется в новой вкладке)альтернативный источник, неофициальный

Ключевые положения

ст. 147 (откроется в новой вкладке)

● Проверено 26 октября 2026 г.действуетОтветственность

Закон Республики Казахстан «О персональных данных и их защите» (откроется в новой вкладке)

Парламент Республики Казахстан · 21 мая 2013 г.

Базовый закон. Определяет понятия (ст. 1) и сферу действия (ст. 3). Устанавливает требование хранить данные на территории Казахстана (ст. 12) и условия трансграничной передачи (ст. 16). С 25.08.2026 действуют уведомление о начале обработки (ст. 10-1) и деление операторов на малых, средних и крупных (ст. 25-1).

Открыть:Adilet (откроется в новой вкладке)официальныйzakon.uchet.kz (откроется в новой вкладке)альтернативный источник, неофициальный

Ключевые положения

ст. 1 (откроется в новой вкладке), ст. 3 (откроется в новой вкладке), ст. 10-1 (откроется в новой вкладке), ст. 12 (откроется в новой вкладке), ст. 16 (откроется в новой вкладке), ст. 25-1 (откроется в новой вкладке), ст. 29 (откроется в новой вкладке)

Редакция

редакция на 17.10.2026 (с изменениями, включая Закон № 326-VIII от 24.06.2026)

● Проверено 26 октября 2026 г.действуетАвтоматизированная обработка и ИИНарушения безопасности и уведомленияСогласиеТрансграничная передачаВиды персональных данныхПрава субъектаУдаление, уничтожение и обезличиваниеПередача третьим лицам и распространениеОтветственностьЛокализацияУведомление и реестр операторовПринципы обработкиОбработка без согласияЦели, объём и сроки храненияУполномоченный орган и государственный контрольОтветственное лицо и внутренние документыСфера действия и основные понятияСвязьМеры защиты

Закон Республики Казахстан «О внесении изменений и дополнений в некоторые законодательные акты Республики Казахстан по вопросам цифровизации, защиты персональных данных, дорожного движения и регулирования передовых технологий на транспорте» (откроется в новой вкладке)

Парламент Республики Казахстан · 24 июня 2026 г.

Пакет поправок 2026 года. Изменения в Закон о персональных данных собраны в п. 37 ст. 1: «цифровой объект» в норме о локализации, новые ст. 10-1, 23-2, 25-1, удаление и анонимизация данных. Опубликован 25.06.2026, вступает в силу через 60 календарных дней (по расчёту, 25.08.2026); исключения перечислены в ст. 2.

Открыть:Adilet (откроется в новой вкладке)официальныйzakon.uchet.kz (откроется в новой вкладке)альтернативный источник, неофициальный

Ключевые положения

ст. 1 (откроется в новой вкладке) п. 37, ст. 2 (откроется в новой вкладке)

Вступает в силу

25 августа 2026 г.

Примечание

Дата вступления в силу получена расчётом от даты опубликования.

● Проверено 26 октября 2026 г.действуетНарушения безопасности и уведомленияУдаление, уничтожение и обезличиваниеЛокализацияУведомление и реестр операторов

Закон Республики Казахстан «О банках и банковской деятельности в Республике Казахстан» (откроется в новой вкладке)

Парламент Республики Казахстан · 16 января 2026 г.

Новый закон 2026 года, заменивший Закон о банках 1995 года (действует с 18.03.2026, отдельные нормы вступают в силу с 01.07.2026 и 01.01.2027). Банковская тайна и случаи её раскрытия (ст. 69), биометрическая аутентификация при дистанционном открытии счёта и выдаче займов (ст. 52, 58), обработка данных клиентов без согласия при передаче активов (ст. 68).

Открыть:Adilet (откроется в новой вкладке)официальныйzakon.uchet.kz (откроется в новой вкладке)альтернативный источник, неофициальный

Ключевые положения

ст. 52 (откроется в новой вкладке), ст. 58 (откроется в новой вкладке), ст. 68 (откроется в новой вкладке), ст. 69 (откроется в новой вкладке), ст. 75 (откроется в новой вкладке)

● Проверено 26 октября 2026 г.действуетФинансовый сектор

Закон Республики Казахстан «Об искусственном интеллекте» (откроется в новой вкладке)

Парламент Республики Казахстан · 17 ноября 2025 г.

Первый в Казахстане закон об ИИ: деление систем по степени риска и автономности, запрещённые функции (в том числе обработка персональных данных с нарушением закона и распознавание эмоций без согласия), прозрачность и маркировка синтетического контента, требования к библиотекам данных для обучения моделей. Правила о решениях, основанных исключительно на автоматизированной обработке, закон оставляет законодательству о персональных данных (ст. 21 п. 4). Вступил в силу через 60 календарных дней после опубликования 18.11.2025.

Открыть:Adilet (откроется в новой вкладке)официальныйzakon.uchet.kz (откроется в новой вкладке)альтернативный источник, неофициальный

Ключевые положения

ст. 7 (откроется в новой вкладке), ст. 10 (откроется в новой вкладке), ст. 16 (откроется в новой вкладке), ст. 17 (откроется в новой вкладке), ст. 21 (откроется в новой вкладке), ст. 27 (откроется в новой вкладке)

● Проверено 26 октября 2026 г.действуетАвтоматизированная обработка и ИИ

Закон Республики Казахстан «О дактилоскопической и геномной регистрации» (откроется в новой вкладке)

Парламент Республики Казахстан · 30 декабря 2016 г.

Редкий пример прямого указания закона: дактилоскопическая и геномная информация относится к персональным данным ограниченного доступа (ст. 8 п. 1).

Открыть:Adilet (откроется в новой вкладке)официальныйzakon.uchet.kz (откроется в новой вкладке)альтернативный источник, неофициальный

Ключевые положения

ст. 8 (откроется в новой вкладке)

● Проверено 26 октября 2026 г.действуетВиды персональных данных

Закон Республики Казахстан «О платежах и платежных системах» (откроется в новой вкладке)

Парламент Республики Казахстан · 26 июля 2016 г.

Определяет инфраструктуру Национального Банка, через которую проходят данные клиентов: Центр обмена идентификационными данными (биометрическая аутентификация клиентов финансовых организаций) и антифрод-центр (данные о транзакциях с признаками мошенничества).

Открыть:Adilet (откроется в новой вкладке)официальныйzakon.uchet.kz (откроется в новой вкладке)альтернативный источник, неофициальный

Ключевые положения

ст. 1 (откроется в новой вкладке)

● Проверено 26 октября 2026 г.действуетФинансовый сектор

Закон Республики Казахстан «О кибербезопасности» (откроется в новой вкладке)

Парламент Республики Казахстан · 24 ноября 2015 г.

Бывший Закон «Об информатизации». Для персональных данных важны: обязанность центров кибербезопасности оповещать уполномоченный орган о нарушении безопасности персональных данных в течение трёх часов (ст. 7-4, 7-5 и др.), информирование субъектов через личный кабинет eGov (ст. 7-1), обследование защищённости государственной технической службой (ст. 14) и общая обязанность защищать цифровые ресурсы с персональными данными (ст. 56).

Открыть:Adilet (откроется в новой вкладке)официальныйzakon.uchet.kz (откроется в новой вкладке)альтернативный источник, неофициальный

Ключевые положения

ст. 7-1 (откроется в новой вкладке), ст. 7-4 (откроется в новой вкладке), ст. 7-5 (откроется в новой вкладке), ст. 14 (откроется в новой вкладке), ст. 16 (откроется в новой вкладке), ст. 56 (откроется в новой вкладке)

Примечание

На зеркале zakon.uchet.kz закон может отображаться под прежним названием «Об информатизации».

● Проверено 26 октября 2026 г.действуетНарушения безопасности и уведомленияМеры защиты

Закон Республики Казахстан «О доступе к информации» (откроется в новой вкладке)

Парламент Республики Казахстан · 16 ноября 2015 г.

Определяет «информацию с ограниченным доступом»: государственные секреты, личная, семейная, банковская, коммерческая тайна, тайна медицинского работника и иные охраняемые законом тайны, персональные данные ограниченного доступа, служебная информация ограниченного распространения (ст. 1 пп. 8). Полезен, чтобы понять, какие сведения закон считает закрытыми.

Открыть:Adilet (откроется в новой вкладке)официальныйzakon.uchet.kz (откроется в новой вкладке)альтернативный источник, неофициальный

Ключевые положения

ст. 1 (откроется в новой вкладке)

● Проверено 26 октября 2026 г.действуетВиды персональных данных

Закон Республики Казахстан «О микрофинансовой деятельности» (откроется в новой вкладке)

Парламент Республики Казахстан · 26 ноября 2012 г.

Тайна предоставления микрокредита служит аналогом банковской тайны для микрофинансовых организаций: сведения о заёмщиках и условиях микрокредитов раскрываются заёмщику, третьим лицам с его письменного согласия и государственным органам в случаях закона (ст. 21).

Открыть:Adilet (откроется в новой вкладке)официальныйzakon.uchet.kz (откроется в новой вкладке)альтернативный источник, неофициальный

Ключевые положения

ст. 21 (откроется в новой вкладке)

● Проверено 26 октября 2026 г.действуетФинансовый сектор

Закон Республики Казахстан «О противодействии легализации (отмыванию) доходов, полученных преступным путем, финансированию терроризма и финансированию распространения оружия массового уничтожения» (откроется в новой вкладке)

Парламент Республики Казахстан · 28 августа 2009 г.

Надлежащая проверка клиентов (ст. 5), передача сведений об операциях в орган финансового мониторинга (ст. 10) и хранение досье клиента не менее пяти лет после прекращения отношений (ст. 11 п. 4) дают законные основания обработки данных клиентов финансовыми организациями без отдельного согласия.

Открыть:Adilet (откроется в новой вкладке)официальныйzakon.uchet.kz (откроется в новой вкладке)альтернативный источник, неофициальный

Ключевые положения

ст. 5 (откроется в новой вкладке), ст. 10 (откроется в новой вкладке), ст. 11 (откроется в новой вкладке)

● Проверено 26 октября 2026 г.действуетФинансовый сектор

Закон Республики Казахстан «О кредитных бюро и формировании кредитных историй в Республике Казахстан» (откроется в новой вкладке)

Парламент Республики Казахстан · 6 июля 2004 г.

Кредитная история формируется с согласия заёмщика; без согласия передаётся негативная информация (ст. 25). Права субъекта кредитной истории: получить отчёт о себе, оспорить сведения, бесплатно установить добровольный отказ от займов (ст. 22).

Открыть:Adilet (откроется в новой вкладке)официальныйzakon.uchet.kz (откроется в новой вкладке)альтернативный источник, неофициальный

Ключевые положения

ст. 22 (откроется в новой вкладке), ст. 25 (откроется в новой вкладке)

● Проверено 26 октября 2026 г.действуетФинансовый сектор

Закон Республики Казахстан «О связи» (откроется в новой вкладке)

Парламент Республики Казахстан · 5 июля 2004 г.

Специальный режим для служебной информации об абонентах (номера, идентификаторы устройств, ИИН/БИН, биллинг, геолокация, IP-адреса и т. п., ст. 23-1). Операторы связи хранят её в Казахстане; передавать её за пределы страны запрещено, кроме обслуживания казахстанских абонентов за рубежом (ст. 15 п. 1 пп. 2). Закон о персональных данных прямо отсылает к этому режиму (ст. 16 п. 5).

Открыть:Adilet (откроется в новой вкладке)официальныйzakon.uchet.kz (откроется в новой вкладке)альтернативный источник, неофициальный

Ключевые положения

ст. 15 (откроется в новой вкладке), ст. 23-1 (откроется в новой вкладке)

Примечание

На зеркале zakon.uchet.kz на 18.10.2026 нет поправок 2026 года (ст. 23-1), поэтому сверяйтесь с Adilet.

● Проверено 26 октября 2026 г.действуетТрансграничная передачаЛокализацияСвязь

Правила сбора, обработки персональных данных (приказ Министра цифрового развития, инноваций и аэрокосмической промышленности РК от 21.10.2020 № 395/НҚ) (откроется в новой вкладке)

Министерство искусственного интеллекта и цифрового развития РК · 21 октября 2020 г.

Порядок сбора и обработки, детализирующий закон. Повторяет требование согласия на распространение в общедоступных источниках, передачу третьим лицам и трансграничную передачу (п. 4-5). Устанавливает срок ответа субъекту в три рабочих дня (п. 16), правила обезличивания, по которым оно проводится до распространения и без возможности обратного восстановления (пп. 20–21), блокирование и удаление по требованию субъекта (п. 25).

Открыть:Adilet (откроется в новой вкладке)официальныйzakon.uchet.kz (откроется в новой вкладке)альтернативный источник, неофициальный

Ключевые положения

пп. 4 (откроется в новой вкладке)–4-5 (откроется в новой вкладке), п. 6-3 (откроется в новой вкладке), п. 11 (откроется в новой вкладке), п. 16 (откроется в новой вкладке), пп. 17 (откроется в новой вкладке)–18 (откроется в новой вкладке), пп. 20 (откроется в новой вкладке)–21 (откроется в новой вкладке), п. 25 (откроется в новой вкладке)

Редакция

с изменениями на 17.09.2026

● Проверено 26 октября 2026 г.действуетСогласиеТрансграничная передачаПрава субъектаУдаление, уничтожение и обезличиваниеПередача третьим лицам и распространениеЦели, объём и сроки хранения

Правила осуществления собственником и (или) оператором, а также третьим лицом мер по защите персональных данных (приказ МЦРИАП РК от 12.06.2023 № 179/НҚ) (откроется в новой вкладке)

Министерство искусственного интеллекта и цифрового развития РК · 12 июня 2023 г.

Главный подзаконный акт о мерах защиты. В редакции сентября 2026 года: уведомление о начале обработки (пп. 3–7), категории операторов и меры защиты для малых, средних и крупных (пп. 8–14), требования к данным ограниченного доступа, включая криптографию по СТ РК 1073-2007 (п. 15), сбор и обработка таких данных через цифровые объекты в Казахстане (п. 16), хранение в серверном помещении или ЦОД в Казахстане (п. 18), ответственное лицо (пп. 19–20), уведомление регулятора о нарушении в течение одного рабочего дня (п. 23).

Открыть:Adilet (откроется в новой вкладке)официальныйzakon.uchet.kz (откроется в новой вкладке)альтернативный источник, неофициальный

Ключевые положения

пп. 3 (откроется в новой вкладке)–7 (откроется в новой вкладке), пп. 8 (откроется в новой вкладке)–14 (откроется в новой вкладке), п. 15 (откроется в новой вкладке), п. 16 (откроется в новой вкладке), п. 18 (откроется в новой вкладке), пп. 19 (откроется в новой вкладке)–20 (откроется в новой вкладке), п. 23 (откроется в новой вкладке)

Редакция

в редакции приказа от 03.09.2026 № 534/НҚ (Правила изложены заново)

Вступает в силу

21 сентября 2026 г.

Примечание

Предыдущие редакции: приказ № 566/НҚ (с 08.01.2025), приказ № 338/НҚ (с 12.07.2026). Нумерация пунктов в редакции № 534/НҚ другая. Дата вступления в силу получена расчётом: опубликован 10.09.2026 + 10 календарных дней.

● Проверено 26 октября 2026 г.действуетНарушения безопасности и уведомленияВиды персональных данныхЛокализацияУведомление и реестр операторовОтветственное лицо и внутренние документыМеры защиты

Стандарт применения искусственного интеллекта в системе среднего образования Республики Казахстан (приказ и. о. Министра просвещения РК от 28.09.2026 № 283-НҚ) (откроется в новой вкладке)

Министерство просвещения РК · 28 сентября 2026 г.

Отраслевой акт о применении ИИ в школах с прямыми нормами о данных учеников: решения об оценках и дисциплине принимает работник школы, а не система (п. 4); материалы перед передачей сторонним ИИ-сервисам обезличиваются (п. 5); учётные записи учеников — с учётом возрастных ограничений и согласия законного представителя по закону (п. 6); нельзя требовать полную историю запросов к ИИ (п. 8); вывод ИИ-детектора не доказывает нарушение (п. 14). Действует со дня подписания.

Открыть:Adilet (откроется в новой вкладке)официальныйzakon.uchet.kz (откроется в новой вкладке)альтернативный источник, неофициальный

Ключевые положения

пп. 4 (откроется в новой вкладке)–6 (откроется в новой вкладке), п. 8 (откроется в новой вкладке), п. 11 (откроется в новой вкладке), пп. 14 (откроется в новой вкладке)–16 (откроется в новой вкладке)

● Проверено 26 октября 2026 г.действуетАвтоматизированная обработка и ИИ

Перечень типовых документов, образующихся в деятельности государственных и негосударственных организаций, с указанием срока хранения (приказ Министра культуры и информации РК от 17.06.2025 № 279-НҚ) (откроется в новой вкладке)

Министерство культуры и информации РК · 17 июня 2025 г.

Сроки хранения типовых документов любой организации. Для кадровых документов: локальные акты о персональных данных работников хранятся постоянно (п. 460), трудовые договоры и личные дела 75 лет (пп. 461–462), документы лиц, не принятых на работу, до минования надобности (п. 464), заявления работников о согласии на обработку персональных данных 1 год (п. 467). Заменил прежний Перечень (приказ № 263 от 29.09.2017).

Открыть:Adilet (откроется в новой вкладке)официальныйzakon.uchet.kz (откроется в новой вкладке)альтернативный источник, неофициальный

Ключевые положения

пп. 460–467

Примечание

Прежний Перечень (V1700015997) утратил силу приказом от 30.06.2025 № 298-НҚ; на альтернативном источнике он может отображаться как действующий.

● Проверено 26 октября 2026 г.действуетЦели, объём и сроки храненияТрудовые отношения

Правила осуществления уведомления субъектов персональных данных о нарушении безопасности персональных данных (приказ МЦРИАП РК от 09.08.2024 № 481/НҚ) (откроется в новой вкладке)

Министерство искусственного интеллекта и цифрового развития РК · 9 августа 2024 г.

Как проходит уведомление о нарушении безопасности. Собственник или оператор в течение одного рабочего дня сообщает уполномоченному органу контакты ответственного лица, принятые меры и данные субъектов для уведомления (п. 4); центры кибербезопасности делают это в течение трёх часов (п. 5). Регулятор за один рабочий день передаёт сведения оператору «цифрового правительства» (п. 6), который уведомляет субъектов через личный кабинет eGov, мобильное приложение или SMS (п. 7).

Открыть:Adilet (откроется в новой вкладке)официальныйzakon.uchet.kz (откроется в новой вкладке)альтернативный источник, неофициальный

Ключевые положения

пп. 3 (откроется в новой вкладке)–7 (откроется в новой вкладке)

Редакция

в редакции приказа от 30.04.2026 № 232/НҚ

Вступает в силу

12 июля 2026 г.

● Проверено 26 октября 2026 г.действуетНарушения безопасности и уведомления

Проверочный лист за соблюдением законодательства РК о персональных данных и их защите (совместный приказ МНЭ РК от 19.03.2024 № 12 и МЦРИАП РК от 14.03.2024 № 149/НҚ) (откроется в новой вкладке)

МНЭ РК; МЦРИАП РК · 19 марта 2024 г.

33 требования, по которым проверяют собственников и операторов. Полезен как готовый чек-лист соответствия: согласие, цели, локализация (п. 6), трансграничная передача (п. 8), ответственное лицо, журналы, криптография. Формулировки даны до поправок 2026 года.

Открыть:Adilet (откроется в новой вкладке)официальныйzakon.uchet.kz (откроется в новой вкладке)альтернативный источник, неофициальный

Ключевые положения

пп. 1–33

Примечание

Проверить, обновлялся ли лист после 2026 года.

● Проверено 26 октября 2026 г.действуетЛокализацияУполномоченный орган и государственный контрольМеры защиты

Правила определения собственником и (или) оператором перечня персональных данных, необходимого и достаточного для выполнения осуществляемых ими задач (приказ МЦРИАП РК от 21.06.2023 № 199/НҚ) (откроется в новой вкладке)

Министерство искусственного интеллекта и цифрового развития РК · 21 июня 2023 г.

Как составить перечень обрабатываемых данных: до начала обработки проанализировать задачи, указать для каждой задачи цели обработки («однозначные, законные») и не включать избыточные данные (пп. 3–4); обеспечить доступ к перечню (п. 5). Форма перечня дана в приложении. Практическое воплощение принципов ограничения цели и минимизации.

Открыть:Adilet (откроется в новой вкладке)официальныйzakon.uchet.kz (откроется в новой вкладке)альтернативный источник, неофициальный

Ключевые положения

пп. 3 (откроется в новой вкладке)–5 (откроется в новой вкладке)

● Проверено 26 октября 2026 г.действуетПринципы обработкиЦели, объём и сроки хранения

Правила функционирования государственного сервиса контроля доступа к персональным данным (приказ МЦРИАП РК от 29.04.2022 № 144/НҚ) (откроется в новой вкладке)

Министерство искусственного интеллекта и цифрового развития РК · 29 апреля 2022 г.

Как работает государственный сервис, через который дают согласие на доступ к данным из государственных цифровых объектов. Субъект получает запрос и отвечает через SMS-шлюз «1414» или «цифровое правительство», может отозвать согласие, видит, у кого есть его согласие, и получает уведомления о действиях со своими данными (п. 3).

Открыть:Adilet (откроется в новой вкладке)официальныйzakon.uchet.kz (откроется в новой вкладке)альтернативный источник, неофициальный

Ключевые положения

пп. 2 (откроется в новой вкладке)–4 (откроется в новой вкладке)

● Проверено 26 октября 2026 г.действуетСогласиеПрава субъекта

Правила осуществления сбора, обработки, хранения, защиты и предоставления персональных медицинских данных субъектами цифрового здравоохранения (приказ Министра здравоохранения РК от 14.04.2021 № ҚР ДСМ-30) (откроется в новой вкладке)

Министерство здравоохранения РК · 14 апреля 2021 г.

Согласие пациента и формы его дачи, обработка только для оказания медицинской помощи, уведомление пациента через «цифровое правительство» о каждом использовании его данных, обезличивание для исследований, хранение на серверах в Казахстане, ответ на запрос пациента за 3 рабочих дня.

Открыть:Adilet (откроется в новой вкладке)официальныйzakon.uchet.kz (откроется в новой вкладке)альтернативный источник, неофициальный

Ключевые положения

пп. 5 (откроется в новой вкладке)–7 (откроется в новой вкладке), пп. 12 (откроется в новой вкладке)–16 (откроется в новой вкладке), п. 19 (откроется в новой вкладке), пп. 27 (откроется в новой вкладке)–29 (откроется в новой вкладке)

● Проверено 26 октября 2026 г.действуетЗдравоохранение

Регламент (ЕС) 2016/679 (Общий регламент по защите данных, GDPR) (откроется в новой вкладке)

Европейский парламент и Совет ЕС · 27 апреля 2016 г.

Используется для сравнения. Общего требования о локализации в GDPR нет: внутри ЕС данные перемещаются свободно (Art. 1(3)), а вывоз за пределы ЕЭЗ регулируется главой V: условия передачи — Art. 44–49.

Открыть:EUR-Lex (откроется в новой вкладке)официальный

Ключевые положения

Art. 1(3), Art. 44–49

● Проверено 26 октября 2026 г.действуетТрансграничная передачаКазахстан и GDPRЛокализация

Конвенция Совета Европы о защите физических лиц при автоматизированной обработке персональных данных (ETS № 108): таблица подписаний и ратификаций (откроется в новой вкладке)

Совет Европы, Бюро договоров · 28 января 1981 г.

Единственный обязательный международный договор о защите персональных данных; открыт и для государств вне Совета Европы. По таблице ратификаций на 18.10.2026 Казахстан участником не является. Это важно для трансграничной передачи: участие в Конвенции часто используют как ориентир «адекватной» защиты.

Открыть:coe.int (откроется в новой вкладке)

● Проверено 18 октября 2026 г.Трансграничная передача

EDPB Guidelines 9/2022 on personal data breach notification under GDPR (откроется в новой вкладке)

European Data Protection Board

Руководство по уведомлению о нарушениях по Art. 33–34 GDPR: когда нарушение нужно сообщать надзорному органу (72 часа, если есть риск) и когда субъектам (высокий риск). Полезно для сравнения с казахстанским сроком в один рабочий день без порога риска.

Открыть:edpb.europa.eu (откроется в новой вкладке)

Не проверено по первоисточникуНарушения безопасности и уведомленияКазахстан и GDPR

EDPB Guidelines 01/2025 on Pseudonymisation (откроется в новой вкладке)

European Data Protection Board

Разбор псевдонимизации по GDPR: псевдонимизированные данные остаются персональными. Пригодится, чтобы сопоставить с казахстанскими понятиями «маскирование», «обезличивание» и «анонимизация». Документ выносился на публичное обсуждение.

Открыть:edpb.europa.eu (откроется в новой вкладке)

Не проверено по первоисточникуУдаление, уничтожение и обезличиваниеКазахстан и GDPR

EDPB Guidelines 05/2021 on the Interplay between the application of Article 3 and the provisions on international transfers as per Chapter V of the GDPR (откроется в новой вкладке)

European Data Protection Board

Что считается «передачей» по главе V GDPR: критерии (экспортёр, импортёр в третьей стране, раскрытие или предоставление доступа). Помогает сформулировать тот же вопрос для Казахстана, где понятие передачи определено лишь через территорию.

Открыть:edpb.europa.eu (откроется в новой вкладке)

Не проверено по первоисточникуТрансграничная передачаКазахстан и GDPR

Article 29 Working Party, Opinion 05/2014 on Anonymisation Techniques (WP216) (откроется в новой вкладке)

Article 29 Data Protection Working Party

Классический европейский документ о методах анонимизации (рандомизация, обобщение) и их рисках: выделение, связывание, вывод. Даёт критерии, по которым можно судить, «невозможно ли восстановить» принадлежность данных.

Открыть:ec.europa.eu (откроется в новой вкладке)

Не проверено по первоисточникуУдаление, уничтожение и обезличиваниеКазахстан и GDPR

Ч. Оралбаев (SOLIS Partners). SaaS и зарубежные ИИ-модели: где хранить данные и что разрешает закон о персональных данных в Казахстане (откроется в новой вкладке)

THE TECH · 15 октября 2026 г.

Практический разбор локализации после поправок 2026 года. Автор разграничивает хранение (ст. 12) и передачу (ст. 16). По его мнению, параллельное хранение за рубежом допустимо, если основная и актуальная база находится в Казахстане. Он ссылается на письмо Комитета по информационной безопасности от 06.05.2024. Отдельно разобраны вызовы зарубежных ИИ-моделей.

Открыть:the-tech.kz (откроется в новой вкладке)

Примечание

Письмо регулятора, на которое ссылается автор, в открытом доступе не найдено.

Трансграничная передачаЛокализация