Ответственность за нарушения законодательства о персональных данных

Коротко

Закон о персональных данных отсылает к ответственности «в соответствии с законами» (ст. 29). Основной состав закреплен в ст. 79 КоАП: четыре части, штрафы от 30 до 2000 МРП. Уголовная ответственность наступает по ст. 147 УК, если причинён существенный вред. Субъект вправе требовать возмещения морального и материального вреда (ст. 24 п. 1 пп. 7).

Административная ответственность: ст. 79 КоАП

Размеры штрафов увеличены Законом от 10.01.2025 № 155-VIII. Суммы в тенге рассчитаны по МРП 2026 года (4 325 тенге).

Часть	Нарушение	Физические лица	Должностные лица, малый бизнес, НКО	Средний бизнес	Крупный бизнес
1	Незаконные сбор и (или) обработка	30 МРП (129 750 ₸)	60 МРП (259 500 ₸)	100 МРП (432 500 ₸)	200 МРП (865 000 ₸)
2	То же с использованием служебного положения	100 МРП (432 500 ₸)	200 МРП (865 000 ₸)	300 МРП (1 297 500 ₸)	600 МРП (2 595 000 ₸)
3	Несоблюдение мер по защите	150 МРП (648 750 ₸)	300 МРП (1 297 500 ₸)	450 МРП (1 946 250 ₸)	600 МРП (2 595 000 ₸)
4	Несоблюдение мер защиты, повлёкшее утерю, незаконные сбор или обработку	200 МРП (865 000 ₸)	750 МРП (3 243 750 ₸)	1000 МРП (4 325 000 ₸)	2000 МРП (8 650 000 ₸)

Все части применяются, только если деяние не содержит признаков уголовного преступления.

Интерпретация. «Малый, средний и крупный бизнес» в ст. 79 означает категории субъектов предпринимательства по Предпринимательскому кодексу (по численности работников и доходу). Они не совпадают с категориями операторов по числу субъектов данных (ст. 25-1 Закона). Компания может быть малым бизнесом для штрафа и крупным оператором для уведомления и мер защиты.

Особенности

• Ч. 1: только по заявлению потерпевшего. Дела по ч. 1 возбуждаются не иначе как по заявлению потерпевшего и прекращаются при примирении (КоАП, ст. 64 п. 1).
• Срок давности. Юридическое лицо (и индивидуальный предприниматель) не может быть привлечено по истечении одного года со дня нарушения, но и не позднее двух месяцев со дня его обнаружения (КоАП, ст. 62 п. 2). Для физических лиц действует общий срок в два месяца (ст. 62 п. 1).
• Кто рассматривает. Уполномоченный орган в сфере обеспечения кибербезопасности (КоАП, ст. 692-2).

Интерпретация. Шире всех часть 3 («несоблюдение мер по защите»). Под неё, вероятно, подпадают и технические меры, и организационные требования Правил защиты: перечень данных, ответственное лицо, внутренние документы, уведомление о нарушении безопасности, уведомление о начале обработки.

Уголовная ответственность: ст. 147 УК

Часть	Деяние	Максимальное наказание
1	Несоблюдение мер защиты лицом, обязанным их принимать, причинившее существенный вред	Штраф до 3000 МРП или лишение свободы до 2 лет
2	Незаконное собирание сведений о частной жизни (личной, семейной тайне) либо существенный вред от незаконных сбора и обработки иных персональных данных	Штраф до 5000 МРП или лишение свободы до 3 лет
3	Деяния ч. 2 с использованием служебного положения, спецсредств, незаконного доступа к информационным системам или в целях выгоды	Лишение свободы до 5 лет
4	Распространение сведений о частной жизни либо существенный вред от незаконного распространения иных персональных данных	Лишение свободы от 3 до 6 лет
5	Деяния ч. 4 публично, в масс-медиа, сетях телекоммуникаций, на онлайн-платформах	Лишение свободы от 3 до 7 лет

Источник: УК, ст. 147.

Интерпретация. Границу между ст. 79 КоАП и ст. 147 УК проводит «существенный вред правам и законным интересам». Закон его не определяет, поэтому вопрос решается в каждом деле. Утечка, затронувшая много людей, может стать основанием для уголовного дела против должностного лица, ответственного за меры защиты.

Другие последствия

• Возмещение вреда. Субъект вправе требовать возмещения морального и материального вреда (ст. 24 п. 1 пп. 7); споры рассматриваются в порядке, установленном законами (ст. 30).
• Требования регулятора. Уполномоченный орган вправе потребовать уточнения, блокирования, уничтожения или удаления недостоверных или незаконно полученных данных (ст. 27-1 пп. 5).
• Удаление данных. Данные, собранные без согласия и без законного основания, подлежат уничтожению или удалению (ст. 18 пп. 3-1).

Сравнение с GDPR

Вопрос	Казахстан	GDPR
Максимальный штраф	2000 МРП (8,65 млн тенге)	20 млн евро или 4% мирового оборота (Art. 83(5))
Зависимость от размера компании	Фиксированные суммы по категориям бизнеса	Процент от оборота
Кто налагает	Уполномоченный орган по протоколу (КоАП)	Надзорный орган (Art. 58(2)(i))
Уголовная ответственность	Да, ст. 147 УК	Оставлена на усмотрение государств (Art. 84)
Компенсация субъекту	Моральный и материальный вред (ст. 24)	Материальный и нематериальный вред (Art. 82)

Интерпретация. Даже максимальный штраф в Казахстане на несколько порядков ниже максимума по GDPR. Поэтому для крупного бизнеса основные риски связаны не с административными штрафами, а с уголовной ответственностью должностных лиц, исками субъектов и репутационными последствиями.

Открытые вопросы

Открытый вопрос: практика. Сколько дел по ст. 79 КоАП рассматривается в год и по каким частям? Открытой статистики найти не удалось.

Открытый вопрос: «существенный вред». Как суды оценивают существенный вред по ст. 147 УК в делах об утечках?

Открытый вопрос: множественность. Налагается ли один штраф за утечку, затронувшую миллионы субъектов, или возможны отдельные составы по каждому эпизоду?

Что ещё изучить

• Судебную практику по ст. 79 КоАП и ст. 147 УК (база судебных актов).
• Статистику Комитета по правовой статистике и специальным учётам.
• Практику взыскания морального вреда за нарушения в сфере персональных данных.