Кто и когда подпадает под регулирование; что такое персональные данные, собственник, оператор, третье лицо, цифровой объект.
Нажмите на вопрос, чтобы увидеть краткий ответ. Подробный разбор с нормами — в заметке ниже.
Закон регулирует сбор, обработку и защиту сведений о людях как в бумажных базах, так и в цифровых системах. Он не применяется, когда человек обрабатывает данные только для личных и семейных нужд (например, контакты в своём телефоне), а также к архивам (кроме сведений о частной жизни), государственным секретам и разведывательной и оперативно-розыскной деятельности.
Собственником называют того, кому принадлежит база или система с данными, а оператором того, кто собирает, обрабатывает и защищает данные. Часто это одна и та же компания. Прямого аналога европейской пары «контролёр и обработчик» нет: подрядчик, который работает с данными по поручению, в законе отдельно не выделен.
Прямого ответа закон не даёт: нормы о его действии за пределами страны нет. Цифровой кодекс распространяет обязанности на иностранцев, которые работают с цифровыми данными на территории Казахстана. Для зарубежного онлайн-сервиса без присутствия в стране вопрос пока открыт.
Слово «база» в законе теперь означает данные на бумаге, а для электронных данных в 2026 году введено понятие «цифровой объект, содержащий персональные данные». Благодаря этому требования закона, в том числе хранить данные в Казахстане, прямо распространяются на электронные системы, и спорить об этом больше не приходится.
Заметка
Сводная таблица по 20 вопросам: где казахстанское регулирование персональных данных похоже на GDPR, а где принципиально расходится (основания обработки, локализация, трансграничная передача, сроки, ответственное лицо, штрафы). И список того, что компании, уже соответствующей GDPR, нужно сделать дополнительно для Казахстана.
Заметка
На чём стоит казахстанское регулирование персональных данных после 2026 года: новая Конституция, узкое определение персональных данных через закрытый перечень идентификаторов, роли собственника, оператора и третьего лица, изъятия из сферы действия закона и нерешённый вопрос о том, распространяется ли закон на иностранные сервисы.
Новая Конституция, вступившая в силу 1 июля 2026 года вместо Конституции 1995 года (ст. 94). Статья 21 впервые прямо называет право на защиту персональных данных от незаконного сбора, обработки, хранения и использования, в том числе с применением цифровых технологий, наряду с неприкосновенностью частной жизни и тайной сообщений.
Открыть:Adilet (откроется в новой вкладке)официальныйzakon.uchet.kz (откроется в новой вкладке)альтернативный источник, неофициальный
● Проверено 26 октября 2026 г.действуетПринципы обработкиСфера действия и основные понятия
Новый кодекс о цифровой среде. Для персональных данных важен прежде всего понятийный аппарат: «цифровой объект» и его виды (ст. 20), на которые теперь ссылается Закон о персональных данных. Отдельно закреплено право на удаление, анонимизацию и ограничение обработки (ст. 41). Вводится через шесть месяцев после опубликования 10.01.2026.
Открыть:Adilet (откроется в новой вкладке)официальныйzakon.uchet.kz (откроется в новой вкладке)альтернативный источник, неофициальный
● Проверено 26 октября 2026 г.действуетПрава субъектаУдаление, уничтожение и обезличиваниеСфера действия и основные понятия
Базовый закон. Определяет понятия (ст. 1) и сферу действия (ст. 3). Устанавливает требование хранить данные на территории Казахстана (ст. 12) и условия трансграничной передачи (ст. 16). С 25.08.2026 действуют уведомление о начале обработки (ст. 10-1) и деление операторов на малых, средних и крупных (ст. 25-1).
Открыть:Adilet (откроется в новой вкладке)официальныйzakon.uchet.kz (откроется в новой вкладке)альтернативный источник, неофициальный
● Проверено 26 октября 2026 г.действуетАвтоматизированная обработка и ИИНарушения безопасности и уведомленияСогласиеТрансграничная передачаВиды персональных данныхПрава субъектаУдаление, уничтожение и обезличиваниеПередача третьим лицам и распространениеОтветственностьЛокализацияУведомление и реестр операторовПринципы обработкиОбработка без согласияЦели, объём и сроки храненияУполномоченный орган и государственный контрольОтветственное лицо и внутренние документыСфера действия и основные понятияСвязьМеры защиты