Выпуск 2
Дайджест за 19–25 октября 2026 года
На обсуждение вынесены пилот биометрической аутентификации пассажиров с ИИ в аэропорту Астаны и правила «витрин данных» банков, к которым получит доступ АРРФР. МВД разъяснило, как требовать компенсацию за утечку. С 1 января 2027 года данные можно будет обрабатывать без согласия для выявления конфликта интересов и ведения цифровой кадровой системы.
- Важно сейчас принятые нормы и сроки ближайших 90 дней
- Стоит учесть проекты, разъяснения, практика
- На горизонте планы и инициативы
Коротко
- Период19–25.10.2026
- найдено1 принятый акт (опубликован раньше периода), 4 проекта, 1 разъяснение
- ближайший срок03.11.2026, конец обсуждения правил «витрин данных» банков
Главное за неделю: открыты обсуждения двух проектов, которые расширяют обработку персональных данных. Минтранс предлагает пилот биометрической аутентификации пассажиров с ИИ в аэропорту Астаны (обсуждение до 4 ноября). АРРФР готовит правила «витрин данных» в банках с надзорным доступом регулятора (обсуждение до 3 ноября).
- МВД разъяснило, что за утечку можно требовать компенсацию в суде, но доказывать обстоятельства утечки и вред должен сам пострадавший.
- Минздрав обновил правила профессионального регистра медицинских кадров: какие сведения учитываются, кто и в какой срок их вносит, для чего их используют.
- 21 октября вступили в силу поправки Закона № 352-VIII в Закон о кредитных бюро и Цифровой кодекс (описаны в прошлом выпуске).
- По Adilet подтверждено: с 1 января 2027 года Закон о персональных данных дополняется новым основанием для обработки без согласия (Закон № 311-VIII).
Принято и вступило в силу
Медицинские кадры: правила профессионального регистра изложены заново
Приказ Министра здравоохранения заново изложил правила учёта кадровых ресурсов здравоохранения и добавил правила сопровождения и кибербезопасности профессионального регистра. В регистре учитываются студенты медицинских вузов и колледжей (зачисление, переводы, отчисление, распределение и отработка), а также работающие специалисты: квалификация, оценка деятельности, профессиональная ответственность, непрерывное обучение, трудовая деятельность, уровень оплаты труда и миграция кадров (п. 4 Правил учёта). Кадровая служба медицинской организации вносит изменения о работнике в течение трёх рабочих дней со дня, когда для этого появились основания; сведения также поступают автоматически из государственных и иных цифровых систем (п. 21). Правила перечисляют 13 целей использования сведений, от планирования кадров и госзаказа до блокирования учётных записей при просроченном сертификате и научных исследований (п. 24). Сведения регистра отнесены к информации ограниченного доступа. Доступ разграничен: организация видит только своих работников и обучающихся, специалист видит сведения о себе и может сообщить о несоответствии, а действия технических администраторов регистрируются. В прошлом выпуске акт не разбирался.
- Кого касается
- медицинские организации, вузы и колледжи, частнопрактикующие врачи и фармацевты, сами медицинские работники и студенты.
- Что сделать
- кадровым службам наладить внесение изменений в трёхдневный срок; специалистам при случае проверить сведения о себе в регистре.
Других актов, меняющих обработку персональных данных, в базе Adilet за период не найдено. Остальные 19 кандидатов — стандарты и правила госуслуг с типовой оговоркой об отказе при отсутствии согласия на доступ к персональным данным, а также формы согласия в договорах и заявлениях (страхование ответственности медработников, добровольное переселение, расширенные обязательства производителей).
21 октября вступил в силу Закон № 352-VIII: поправки в Закон о кредитных бюро в основном терминологические, в Цифровом кодексе изменена ст. 95 (индекс цифрового развития). Подробно — в выпуске за 12–18 октября.
Скоро вступает в силу
В ближайшие 45 дней, до 09.12.2026, новых норм о персональных данных не найдено. Ниже — норма, которая вступит в силу позже, но впервые подтверждена по официальному тексту.
С 1 января 2027 года: обработка без согласия для выявления конфликта интересов и цифровой кадровой системы
Закон № 311-VIII об антикоррупционной политике дополняет ст. 9 Закона о персональных данных (случаи обработки без согласия) подпунктом 9-6: выявление конфликта интересов по законодательству о противодействии коррупции и ведение цифровой кадровой системы. Цифровую кадровую систему тот же закон ввёл в Трудовой кодекс (глава 12-1). В ней государственные учреждения и субъекты квазигосударственного сектора ведут кадровые процессы, а о работнике вносятся в том числе ИИН супруга и близких родственников. Сама глава Трудового кодекса в основном уже действует; поправка в Закон о персональных данных вступает в силу с 1 января 2027 года, отдельно от остальных норм закона.
- Кого касается
- государственные учреждения, национальные компании и другие субъекты квазигосударственного сектора, их работники и родственники работников.
- Что сделать
- с 2027 года не запрашивать согласие для этих целей, но сообщить работникам, какие сведения о них и их родственниках вносятся в систему и зачем.
Готовится
Биометрическая аутентификация пассажиров с ИИ: пилот в аэропорту Астаны
Министерство транспорта вынесло на обсуждение проект приказа о пилотном проекте биометрической аутентификации пассажиров с использованием искусственного интеллекта в аэропорту Астаны. По паспорту проекта, цель — сократить время обслуживания пассажиров, упростить предполётные процедуры и повысить безопасность в аэропорту. Основанием названы постановление Правительства о работе цифровых заместителей руководителей госорганов и ст. 48 Цифрового кодекса о биометрической аутентификации. На портале размещён только паспорт проекта, а текст приказа приложен файлом и для выпуска не открывался. Поэтому не подтверждены: какие данные собираются, добровольно ли участие, кто оператор, сроки хранения и есть ли альтернатива для тех, кто не хочет проходить биометрию.
- Кого касается
- пассажиры, аэропорт Астаны, авиакомпании и поставщики биометрических решений.
- Что сделать
- до 4 ноября направить замечания на портале; разработчикам решений — следить за итоговым текстом.
«Витрины данных» в банках: регулятор получит прямой доступ к сведениям об операциях
АРРФР разработало правила формирования, ведения и обновления «витрины данных» на инфраструктуре банка и филиала банка-нерезидента, а также порядок доступа регулятора к ней. Основание — закон о банках и банковской деятельности. По пересказу проекта в СМИ, витрина ведётся автоматически, вручную загружать в неё данные запрещено. АРРФР подключается к ней через центральную платформу, технический оператор которой — Центр цифрового развития Национального банка. Платформа не хранит первичные данные банков, а лишь агрегированные результаты запросов. Права доступа проверяются при каждом запросе, а журнал обращений хранится не менее трёх лет без права изменения. Там же сказано, что по закону в витрины входят сведения о кредитном портфеле, крупных депозитах, крупных платежах, переводах и снятии наличных; пороги «крупных» операций и полный перечень полей проектом не установлены. Текст проекта по первоисточнику не открывался, поэтому состав данных и сроки (по СМИ — с 1 января 2027 года) не подтверждены.
- Кого касается
- банки и филиалы банков-нерезидентов, их клиенты.
- Что сделать
- банкам оценить, какие персональные данные клиентов попадут в витрину, и подготовить замечания до 3 ноября.
Ещё два проекта, по паспортам на портале, носят редакционный характер:
- Министерство ИИ и цифрового развития уточняет понятие «служебная информация об абонентах» в правилах её сбора и хранения операторами связи; приводит правила в соответствие с Цифровым кодексом и законами о связи и кибербезопасности. Обсуждение до 05.11.2026. Проект.
- МВД и Минюст приводят правила национальных реестров идентификационных номеров в соответствие с Законом № 326-VIII и Цифровым кодексом (термины «цифровая система», «иностранцы»). Обсуждение до 28.10.2026. Проект.
Новости и практика
МВД: компенсацию за утечку присуждает суд, доказывать вред должен пострадавший
21 октября на брифинге в Службе центральных коммуникаций представитель Департамента по противодействию киберпреступности МВД объяснил, как пострадавшим от утечки добиться компенсации. По его словам, право на компенсацию морального вреда закреплено в ст. 24 Закона о персональных данных, а сумму в каждом деле определяет суд. Истец должен показать, где и при каких обстоятельствах произошла утечка и какой вред причинён. Отдельной процедуры возмещения материального ущерба за распространение данных, по словам представителя МВД, нет. Если утечка произошла по вине банка, советуют одновременно обратиться в банк, в полицию и в Комитет информационной безопасности Министерства ИИ и цифрового развития. Сам закон даёт субъекту право на защиту, в том числе на возмещение и морального, и материального вреда (ст. 24 п. 1 пп. 7).
- Кого касается
- граждане, чьи данные утекли; операторы, к которым могут предъявить иски.
- Что сделать
- операторам сохранять материалы расследования инцидента: они понадобятся и при проверке, и в суде.
- Итогов проверки Kinopark, Lucem Medical Clinic и inDrive, а также ответов на депутатский запрос после сбоя «Яндекса» (см. прошлый выпуск) за период в открытых источниках не найдено.
Что это значит
- Возмещается не только моральный вред. Закон прямо называет право на возмещение и морального, и материального вреда (ст. 24 п. 1 пп. 7). Отсутствие «отдельной процедуры» означает, что материальный ущерб взыскивается в общем гражданском порядке, а не что он не возмещается. Интерпретация. См. заметки «Права субъекта персональных данных» и «Ответственность за нарушения законодательства о персональных данных».
- Биометрия в аэропорту должна иметь основание в законе или быть добровольной. Цифровой кодекс допускает обязательную обработку биометрических данных и обязательную биометрическую аутентификацию только в случаях, установленных законами (ст. 48 п. 3). Приказ о пилоте сам такое основание не создаёт, поэтому в итоговом тексте стоит искать добровольность и альтернативный способ прохождения процедур. Интерпретация. См. заметку «Виды персональных данных».
- Надзорный доступ к витринам — новая обработка данных клиентов банков. Если в витрины попадут сведения о платежах и переводах физических лиц, банкам стоит отразить это в описании обработки и в мерах защиты, а журнал доступа регулятора пригодится как доказательство законности передачи. Интерпретация. См. заметку «Персональные данные в финансовом секторе».
- Цифровые кадровые системы растут. Регистр медицинских кадров и цифровая кадровая система квазигосударственного сектора — примеры того, как данные о работниках уходят из кадровой службы в государственные системы. Работодателю стоит отслеживать, какие сведения он передаёт по закону, и сообщать об этом работникам. Интерпретация. См. заметку «Персональные данные работников и кандидатов».
Календарь
| Дата | Событие | Статус |
|---|---|---|
| 21.10.2026 | Поправки в Закон о кредитных бюро и Цифровой кодекс (Закон № 352-VIII) | вступили в силу |
| 28.10.2026 | Окончание обсуждения проекта о национальных реестрах идентификационных номеров | через 3 дня |
| 03.11.2026 | Окончание обсуждения правил «витрин данных» банков (АРРФР) | через 9 дней |
| 04.11.2026 | Окончание обсуждения пилота биометрической аутентификации пассажиров в аэропорту Астаны | через 10 дней |
| 05.11.2026 | Окончание обсуждения поправок о служебной информации об абонентах связи | через 11 дней |
| 01.01.2027 | Новое основание обработки без согласия: конфликт интересов и цифровая кадровая система (пп. 9-6 ст. 9 Закона о персональных данных, Закон № 311-VIII) | через 68 дней |
| 01.01.2027 | Правила «витрин данных» банков (по СМИ; проект) | проект |
| 01.01.2027 | Назначение мер соцзащиты по нуждаемости с согласием на сбор данных, включая банковскую тайну (проект приказа Минтруда) | проект |
| уточняется | Правила применения методов маскирования и хеширования (утверждает министерство) | планируется |
| уточняется | Правила выгрузки персональных данных из критически важных цифровых объектов (по согласованию с КНБ) | планируется |
Источники
- Приказ Министра здравоохранения РК от 29.09.2026 № 123 (Adilet)
- Закон РК от 12.06.2026 № 311-VIII (Adilet)
- Закон РК от 23.07.2026 № 352-VIII (Adilet)
- Закон о персональных данных и их защите (Adilet)
- Цифровой кодекс (Adilet)
- Проект пилота биометрической аутентификации пассажиров в аэропорту Астаны («Открытые НПА»)
- Проект правил «витрин данных» банков («Открытые НПА»); страница проекта на сайте АРРФР
- Проект поправок о служебной информации об абонентах («Открытые НПА»)
- Проект поправок в правила национальных реестров идентификационных номеров («Открытые НПА»)
- zakon.kz, 21.10.2026: как добиться компенсации за утечку
- Finratings, 16.10.2026: витрины данных банков
- bes.media, 16.10.2026: АРРФР сможет автоматически получать данные банков
- New Times: биометрию пассажиров введут в аэропорту Астаны
Какие ресурсы проверены
| Ресурс | Статус | Что найдено |
|---|---|---|
| adilet.zan.kz (сырьё скриптом, 27.10) | ✅ открыт | 20 актов с заметной темой, 29 с единичными упоминаниями; принятых в самом периоде нет (задержка публикации). Отобран приказ Минздрава № 123; остальное — стандарты госуслуг и формы согласия |
| adilet.zan.kz (тексты актов, 27.10) | ✅ открыт | открыты 8 кандидатов, Цифровой кодекс, Закон о кредитных бюро, Закон № 311-VIII |
| legalacts.egov.kz | ✅ открыт | просмотрено 344 проекта (созданные с 12.10 и другие из выдачи); найдены пилот биометрии в аэропорту, витрины данных банков, служебная информация об абонентах, реестры идентификационных номеров |
| gov.kz, Министерство ИИ и цифрового развития | ⚠️ через поиск | лента новостей — HTTP 404; новых сообщений о проверках за период не найдено |
| gov.kz, страница АРРФР | ✅ открыт | паспорт проекта о витринах данных |
| finreg.kz (АРРФР) | ❌ недоступен | сайт не открылся (ENOTFOUND); проект найден на gov.kz и «Открытых НПА» |
| nationalbank.kz (Нацбанк) | ⚠️ через поиск | страницы документов и проектов — HTTP 404; по поиску ничего за период |
| minjust.gov.kz | ❌ недоступен | сайт не открылся; проекты проверены через legalacts.egov.kz |
| Мажилис / Курултай | ⚠️ через поиск | законопроектов о персональных данных за период не найдено |
| СМИ: zakon.kz, finratings.kz, bes.media, newtimes.kz | ✅ открыты | разъяснение МВД, витрины данных банков, пилот биометрии |