Уведомление уполномоченного органа и реестр операторов

Коротко

До начала и до прекращения обработки персональных данных собственник, оператор и третье лицо уведомляют уполномоченный орган (ст. 10-1 п. 1). Малые и средние вправе обрабатывать данные без уведомления (ст. 10-1 п. 2), поэтому на практике обязанность касается только крупных, от 500 тыс. уникальных субъектов (ст. 25-1). Сведения из уведомления в течение 30 рабочих дней вносятся в реестр лиц, осуществляющих сбор и обработку персональных данных (ст. 10-1 п. 4). Норма введена Законом № 326-VIII и действует с 25.08.2026.

Кто уведомляет

Категория	Число уникальных субъектов	Уведомление
Малые	До 10 тыс.	Не требуется
Средние	От 10 тыс. до 500 тыс.	Не требуется
Крупные	От 500 тыс.	Обязательно

Категория определяется по общему числу уникальных субъектов в одном или нескольких цифровых объектах, независимо от организационно-правовой формы и вида деятельности. При обработке данных ограниченного доступа категория повышается на один уровень (ст. 25-1; Правила защиты, пп. 8–10).

Интерпретация. Из-за повышения категории средний оператор (от 10 тыс. субъектов), обрабатывающий данные ограниченного доступа (например, медицинские или биометрические), становится крупным и должен уведомлять. Поэтому порог в 500 тыс. для многих клиник, банков, страховых и HR-сервисов фактически не работает.

Что указывается в уведомлении

Уведомление подаётся на бумажном, цифровом или ином материальном носителе и подписывается уполномоченным лицом (ст. 10-1 п. 3; Правила защиты, п. 5). Обязательные сведения:

1. наименование и БИН (ИИН) собственника, оператора или третьего лица;
2. применяемые меры защиты;
3. дата начала обработки;
4. передаются ли данные третьим лицам;
5. есть ли трансграничная передача;
6. распространяются ли данные в общедоступных источниках;
7. перечень собираемых данных;
8. место нахождения базы или цифрового объекта;
9. иные сведения по усмотрению.

Интерпретация. Почти все пункты совпадают с тем, что уже должно быть в перечне персональных данных и в согласиях (ст. 8 п. 4). Если перечень и внутренние документы ведутся аккуратно, уведомление собирается из них.

Реестр

Уполномоченный орган ведёт реестр лиц, осуществляющих сбор и обработку персональных данных (ст. 27-1 пп. 2-4; ст. 1 пп. 5-1):

• сведения из уведомления о начале обработки и дата его направления вносятся в реестр в течение 30 рабочих дней (ст. 10-1 п. 4);
• по уведомлению о прекращении обработки сведения исключаются из реестра в тот же срок (ст. 10-1 п. 5).

Правила защиты повторяют эти нормы (пп. 3–7). По п. 6 Правил в реестр вносятся «сведения, указанные в пункте 6 настоящих Правил», то есть пункт ссылается сам на себя; по смыслу речь идёт о сведениях из п. 5.

Ответственность

Отдельного состава за неподачу уведомления в КоАП нет. Ст. 79 наказывает незаконные сбор и обработку и несоблюдение мер по защите персональных данных (КоАП, ст. 79).

Интерпретация. Уведомление описано в Правилах защиты, в главе о порядке осуществления мер по защите. Поэтому неподачу уведомления, вероятно, будут квалифицировать как несоблюдение мер защиты (ч. 3 ст. 79). Подробнее о штрафах см. в заметке «Ответственность за нарушения».

Сравнение с GDPR

Вопрос	Казахстан	GDPR
Общее уведомление регулятора	Да, для крупных операторов (ст. 10-1)	Нет: прежняя обязанность Директивы 95/46/EC отменена
Чем заменено	—	Реестр операций обработки у самого контролёра (Art. 30); предварительная консультация при высоком риске (Art. 36)
Публичный реестр	Реестр ведёт уполномоченный орган	Нет общего реестра; регулятору сообщаются контакты DPO (Art. 37(7))
Критерий	Число уникальных субъектов	Риск обработки, а не масштаб

Открытые вопросы

Открытый вопрос: переходный период. Закон № 326-VIII не устанавливает переходного срока. Как быть крупным операторам, которые обрабатывали данные до 25.08.2026: уведомление подаётся «до начала обработки», а обработка уже идёт?

Открытый вопрос: способ подачи. Через какой канал подаётся уведомление: портал «электронного правительства», письмо в уполномоченный орган, специальный сервис? Публичен ли реестр?

Открытый вопрос: подсчёт субъектов. Кого считать: только клиентов или также работников, контактных лиц контрагентов, посетителей сайта? Как считать субъектов в данных, которые хранятся у обработчика?

Открытый вопрос: изменения. Нужно ли подавать новое уведомление, если меняются сведения, например появляется трансграничная передача?

Что ещё изучить

• Разъяснения уполномоченного органа о порядке подачи уведомлений.
• Появился ли публичный реестр и что в нём отображается.
• Обновится ли проверочный лист с учётом уведомления и категорий.