Общедоступные данные и данные ограниченного доступа; биометрия; данные, требующие особого режима.
Нажмите на вопрос, чтобы увидеть краткий ответ. Подробный разбор с нормами — в заметке ниже.
Это данные, доступ к которым ограничен законами, например медицинские сведения (врачебная тайна), дактилоскопическая и геномная информация, сведения, составляющие банковскую тайну. Для них требования строже: конфиденциальность, дополнительные меры защиты (шифрование, журналы доступа), обработка только через системы в Казахстане, а сам оператор переходит в более высокую категорию.
Общедоступными считаются данные, на которые закон не распространяет конфиденциальность и доступ к которым свободен с согласия человека; опубликовать данные, как правило, можно только с согласия. Идентификаторами называют то, по чему человека можно установить: ФИО вместе, ИИН, изображение лица и биометрический вектор лица. Сведения становятся персональными данными, когда связаны с таким идентификатором.
Единого перечня нет, его приходится собирать по отраслевым законам: Кодексу о здоровье (врачебная тайна), Закону о дактилоскопической и геномной регистрации, Закону о банках (банковская тайна), Закону о доступе к информации. Ссылки на эти акты собраны в библиотеке.
Прямого аналога нет. В ЕС особые категории выделены по содержанию сведений (здоровье, религия, политические взгляды и т. п.), а в Казахстане по тому, закрыт ли к ним доступ каким-либо законом. Поэтому, например, политические взгляды или религия сами по себе к данным ограниченного доступа не отнесены.
Заметка
Казахстанский закон делит данные не на «обычные» и «особые», как GDPR, а на общедоступные и ограниченного доступа. Перечня данных ограниченного доступа нет, его приходится собирать по другим законам: о медицинской тайне, о дактилоскопической и геномной регистрации, о доступе к информации. От ответа зависят меры защиты, место обработки и категория оператора.
Заметка
Как закон разграничивает передачу данных определённым лицам и их распространение в общедоступных источниках, когда для этого нужно согласие, что меняют поправки о самостоятельно опубликованных данных и запрет «нецелевого извлечения», и почему в казахстанском праве нет привычной фигуры обработчика.
Заметка
На чём стоит казахстанское регулирование персональных данных после 2026 года: новая Конституция, узкое определение персональных данных через закрытый перечень идентификаторов, роли собственника, оператора и третьего лица, изъятия из сферы действия закона и нерешённый вопрос о том, распространяется ли закон на иностранные сервисы.
Заметка
Что Трудовой кодекс говорит о персональных данных: закрытый перечень документов при приёме на работу, запрет требовать лишнее, единая система учёта трудовых договоров. Когда работодателю нужно согласие, а когда хватает закона, как обращаться с данными кандидатов, сколько хранить кадровые документы и почему нельзя копировать удостоверения личности.
Заметка
Как в банках, микрофинансовых организациях и кредитных бюро законодательство о персональных данных сочетается с банковской тайной, тайной микрокредита, правилами о кредитных историях и ПОД/ФТ. Новый Закон о банках 2026 года, биометрическая аутентификация через Национальный Банк и сроки хранения досье клиентов.
Заметка
Особый режим персональных медицинских данных по Кодексу о здоровье: тайна медицинского работника и случаи её раскрытия, электронный паспорт здоровья, кто и когда получает доступ к данным пациента, правила Минздрава о согласии, уведомлении пациента и хранении данных в Казахстане.
Заметка
Какие меры защиты требует закон и как с сентября 2026 года они зависят от категории оператора: малые, средние и крупные по числу субъектов, плюс отдельные требования к данным ограниченного доступа. Сравнение с риск-ориентированным подходом GDPR.
Персональные медицинские данные, факт обращения за помощью, состояние здоровья и диагноз составляют тайну медицинского работника (ст. 273 п. 1). Статья 273 перечисляет случаи, когда сведения можно передать без согласия, а ст. 62 описывает особенности защиты цифровых ресурсов с медицинскими данными.
Открыть:Adilet (откроется в новой вкладке)официальныйzakon.uchet.kz (откроется в новой вкладке)альтернативный источник, неофициальный
● Проверено 26 октября 2026 г.действуетВиды персональных данныхЗдравоохранение
Базовый закон. Определяет понятия (ст. 1) и сферу действия (ст. 3). Устанавливает требование хранить данные на территории Казахстана (ст. 12) и условия трансграничной передачи (ст. 16). С 25.08.2026 действуют уведомление о начале обработки (ст. 10-1) и деление операторов на малых, средних и крупных (ст. 25-1).
Открыть:Adilet (откроется в новой вкладке)официальныйzakon.uchet.kz (откроется в новой вкладке)альтернативный источник, неофициальный
● Проверено 26 октября 2026 г.действуетАвтоматизированная обработка и ИИНарушения безопасности и уведомленияСогласиеТрансграничная передачаВиды персональных данныхПрава субъектаУдаление, уничтожение и обезличиваниеПередача третьим лицам и распространениеОтветственностьЛокализацияУведомление и реестр операторовПринципы обработкиОбработка без согласияЦели, объём и сроки храненияУполномоченный орган и государственный контрольОтветственное лицо и внутренние документыСфера действия и основные понятияСвязьМеры защиты
Редкий пример прямого указания закона: дактилоскопическая и геномная информация относится к персональным данным ограниченного доступа (ст. 8 п. 1).
Открыть:Adilet (откроется в новой вкладке)официальныйzakon.uchet.kz (откроется в новой вкладке)альтернативный источник, неофициальный
● Проверено 26 октября 2026 г.действуетВиды персональных данных
Определяет «информацию с ограниченным доступом»: государственные секреты, личная, семейная, банковская, коммерческая тайна, тайна медицинского работника и иные охраняемые законом тайны, персональные данные ограниченного доступа, служебная информация ограниченного распространения (ст. 1 пп. 8). Полезен, чтобы понять, какие сведения закон считает закрытыми.
Открыть:Adilet (откроется в новой вкладке)официальныйzakon.uchet.kz (откроется в новой вкладке)альтернативный источник, неофициальный
● Проверено 26 октября 2026 г.действуетВиды персональных данных
Главный подзаконный акт о мерах защиты. В редакции сентября 2026 года: уведомление о начале обработки (пп. 3–7), категории операторов и меры защиты для малых, средних и крупных (пп. 8–14), требования к данным ограниченного доступа, включая криптографию по СТ РК 1073-2007 (п. 15), сбор и обработка таких данных через цифровые объекты в Казахстане (п. 16), хранение в серверном помещении или ЦОД в Казахстане (п. 18), ответственное лицо (пп. 19–20), уведомление регулятора о нарушении в течение одного рабочего дня (п. 23).
Открыть:Adilet (откроется в новой вкладке)официальныйzakon.uchet.kz (откроется в новой вкладке)альтернативный источник, неофициальный
● Проверено 26 октября 2026 г.действуетНарушения безопасности и уведомленияВиды персональных данныхЛокализацияУведомление и реестр операторовОтветственное лицо и внутренние документыМеры защиты