Изменения в Закон о персональных данных: новые понятия «удаление» и «анонимизация», реестр нарушений и классификация операторов

24 июня 2026 года Президент Республики Казахстан подписал Закон Республики Казахстан «О внесении изменений и дополнений в некоторые законодательные акты Республики Казахстан по вопросам цифровизации, защиты персональных данных, дорожного движения и регулирования передовых технологий на транспорте» № 326-VIII («Закон»), которым внесены изменения и дополнения, в том числе в Закон Республики Казахстан «О персональных данных и их защите» от 21 мая 2013 года № 94-V («Закон о ПД»).

Изменения в Закон о ПД, внесенные пунктом 37 статьи 1 Закона, вводятся в действие с 25 августа 2026 года.

Настоящий обзор охватывает исключительно те положения Закона о ПД, которые являются новыми или изменёнными в связи с принятием Закона, по сравнению с ранее действовавшей редакцией Закона о ПД.

I. Новые понятия «удаление» и «анонимизация» персональных данных

Статья 1 Закона о ПДн дополнена рядом новых определений, в том числе :

• удаление персональных данных – действия, направленные на исключение персональных данных из цифрового объекта, в результате совершения которых невозможно восстановить персональные данные;
• анонимизация – действия, направленные на необратимое преобразование идентификаторов персональных данных, в результате совершения которых определение принадлежности персональных данных субъекту персональных данных невозможно;
• маскирование – процесс защиты информации путем замены части реальных персональных данных на недействительные и (или) обезличенные;
• хеширование – процесс преобразования цифровых данных любого размера в строку фиксированной длины с целью их защиты;
• нарушение безопасности персональных данных – нарушение защиты, повлекшее незаконное распространение, изменение, уничтожение, удаление, несанкционированный доступ и т.п.;
• распространение персональных данных в общедоступных источниках - действия, в результате совершения которых доступ к персональным данным предоставляется неограниченному кругу лиц.

Отдельно, хотим отметить введение понятия «идентификатор персональных данных»  (далее «ИПД»)– информация, позволяющая идентифицировать субъект персональных данных или связать отдельные наборы данных о нем в совокупность сведений, позволяющих идентифицировать данного субъекта. В свою очередь, статья 6 Закона о ПД отмечает, что ИПД применяются для идентификации субъекта в отношении общедоступных персональных данных (далее «ОПД») и персональных данных ограниченного доступа (далее – «ПДОД»). Статья также дополнена закрытым перечнем идентификаторов персональных данных:

–    фамилия, имя, отчество (при указании в документе, удостоверяющем личность) в совокупности;

–    индивидуальный идентификационный номер (ИИН);

–    изображение лица субъекта;

–    биометрический вектор лица субъекта или его производные, которые могут быть восстановлены до первоначального значения.

II. Новая обязанность уведомлять уполномоченный орган о начале и прекращении обработки персональных данных

Ключевое нововведение – новая статья 10-1, вводящая обязанность собственника, оператора и третьего лица уведомлять уполномоченный орган о намерении начать обработку персональных данных и о её прекращении. 

Уведомление направляется на бумажном, цифровом или ином носителе за подписью уполномоченного лица и должно содержать, в частности:

–    наименование (ФИО), БИН (ИИН) собственника/оператора/третьего лица;

–    применяемые меры по защите персональных данных;

–    дату начала обработки; перечень собираемых данных;

–    сведения о возможности передачи данных третьим лицам и о наличии либо отсутствии трансграничной передачи ПД в процессе их обработки;

–    сведения о распространении данных в общедоступных источниках;

–    перечень собираемых ПД, связанных с субъектом

–    место нахождения базы и (или) цифрового объекта, содержащего персональные данные

–    Иные сведения, определяемые собственником и (или) оператором, а также третьим лицом.

Уполномоченный орган в течение 30 рабочих дней вносит указанные сведения в реестр лиц, осуществляющих сбор и (или) обработку персональных данных (либо исключает их — при уведомлении о прекращении обработки).

Исключение: от данной обязанности освобождаются собственники и (или) операторы, а также третьи лица, отнесённые к малым и средним собственникам и (или) операторам, а также третьим лицам, осуществляющим сбор и обработку ПД (см. раздел III ниже).

III. Новая классификация собственников и (или) операторов по объёму обрабатываемых данных

Новая статья 25-1 вводит классификацию собственников/операторов и третьих лиц на малых, средних и крупных в зависимости от числа уникальных субъектов персональных данных, данные которых обрабатываются. Классификация применяется независимо от организационно-правовой формы, формы собственности и вида деятельности.

При этом понятие «уникальный субъект персональных данных» в законодательстве отсутствует. В нашем понимании законодатель исходил из понятия отдельное физическое лицо, чьи данные обрабатываются, исключая повторный учет одного и того же физического лица при обработке нескольких наборов его персональных данных и (или) обработке его персональных данных в нескольких цифровых объектах.

В связи с отсутствием в законодательстве понятия и утвержденной методики подсчета мы направили соответствующий запрос в уполномоченный государственный орган.

Важно: при сборе и обработке персональных данных ограниченного доступа категория собственника/оператора повышается на один уровень. Меры по защите данных по каждой категории определяются уполномоченным органом в сфере защиты персональных данных – Министерством искусственного интеллекта и цифрового развития РК.

IV. Расширение перечня методов защиты цифровых объектов, содержащих персональные данные

Статья 23 Закона о ПД изложена в новой редакции под названием «Защита цифровых объектов, содержащих персональные данные».

• В целях защиты персональных данных применяются методы маскирования и хеширования в цифровых объектах; порядок применения этих методов определяется уполномоченным органом.
• Допускается передача персональных данных посредством интеграции цифровых объектов.
• Копирование (выгрузка) персональных данных из критически важных цифровых объектов на цифровые носители осуществляется в порядке, определяемом уполномоченным органом по согласованию с Комитетом национальной безопасности Республики Казахстан.

Ранее статья 23 Закона о ПД содержала лишь общую отсылочную норму о том, что защита цифровых ресурсов, содержащих персональные данные, осуществляется в соответствии с цифровым законодательством Республики Казахстан, без перечисления конкретных методов защиты.

V. Новое понятие - реестр нарушений безопасности персональных данных

Статья 23-2 вводит новое понятие – реестр нарушений безопасности персональных данных, который ведёт уполномоченный орган на основе информации из общедоступных источников и от центров кибербезопасности. Уполномоченный орган осуществляет обработку персональных данных в этом реестре на основании фактов совершения несанкционированного доступа третьих лиц к ним без получения согласия субъекта и его законного представителя.

Вместе с тем на текущем этапе законодательство не раскрывает порядок ведения указанного реестра, объем подлежащих включению в него сведений, а также режим доступа граждан и бизнеса к такой информации. В связи с этим остаются неопределенными как содержание реестра, так и возможные правовые последствия включения в него информации о нарушении безопасности персональных данных. Однако, учитывая характер регулируемых отношений, можно ожидать, что соответствующие вопросы будут урегулированы принятием соответствующих правил ведения такого реестра.

VI. Расширение прав субъекта персональных данных

Статья 24 Закона о ПД дополнена в части прав субъекта персональных данных:

• субъект вправе требовать от собственника и (или) оператора, а также третьего лица блокирования и (или) анонимизации своих персональных данных при наличии информации о нарушении условий их сбора, обработки (ранее — только блокирования);
• субъект вправе требовать уничтожения или удаления своих персональных данных, сбор и обработка которых произведены с нарушением законодательства Республики Казахстан (ранее — только уничтожения).

Аналогичным образом дополнены обязанности собственника и (или) оператора (статья 25 Закона о ПД) — в частности, принимать меры по уничтожению и (или) удалению персональных данных по достижении цели их сбора и обработки, а в течение одного рабочего дня уничтожить или удалить персональные данные при подтверждении факта их незаконного сбора или обработки.

Одновременно установлено, что требование об удалении персональных данных не подлежит исполнению в случаях, определённых пунктом 4 статьи 41 Цифрового кодекса Республики Казахстан (в частности, при необходимости сохранения данных для судебных актов, исполнения обязательств по закону или договору, целей статистики и др.).

VII. Распространение данных в общедоступных источниках

Статья 7 дополнена пунктом 3-1: если субъект (или его законный представитель) сам распространил свои данные в общедоступных источниках без предоставления согласия, обязанность подтверждения законности последующего сбора и обработки таких данных возлагается на каждое лицо, которое их собрало, распространило или иным образом обработало.

Кроме того, собственники/операторы обязаны маскировать не подлежащие распространению данные при размещении информации в общедоступных источниках, а доступ субъекта к таким данным предоставляется после авторизации и идентификации.

VIII. Практические шаги для бизнеса

В свете изменений в Законе о ПД компаниям целесообразно рассмотреть возможность осуществления следующих шагов:

Примечание:

Если вам требуется экспертная помощь в сфере защиты персональных данных, включая аудит процессов обработки и обеспечение соответствия обновлённым требованиям Закона о ПД, мы готовы оказать квалифицированную поддержку и юридическое сопровождение.