Чем отличаются уничтожение, удаление, обезличивание и анонимизация и когда они обязательны.
Нажмите на вопрос, чтобы увидеть краткий ответ. Подробный разбор с нормами — в заметке ниже.
Уничтожение означает, что данные невозможно восстановить (подходит и для бумаги), а удаление означает то же для электронных данных в цифровой системе. Обезличивание и анонимизация делают так, что данные больше нельзя связать с человеком; анонимизация достигается необратимым преобразованием идентификаторов: ФИО, ИИН, изображения лица. Закон определяет их почти одинаково, а критериев необратимости пока нет.
Подробнее — в заметке «Удаление, уничтожение, обезличивание и анонимизация»
Когда цель обработки достигнута или истёк срок хранения, прекратились отношения с человеком, есть решение суда или данные собраны без согласия и законного основания. Если человек сообщил о нарушении и оно подтвердилось, удалить данные нужно в течение одного рабочего дня.
Подробнее — в заметке «Удаление, уничтожение, обезличивание и анонимизация»
Обезличивать нужно до передачи данных для исследований, любым способом, который исключает восстановление исходных данных; расходы по общему правилу несёт тот, кто запросил обезличенные данные. Точных методик закон не даёт, поэтому полезно ориентироваться на европейские руководства по анонимизации и проверять, нельзя ли установить человека, сопоставив данные с другими источниками.
Подробнее — в заметке «Удаление, уничтожение, обезличивание и анонимизация»
Заметка
Четыре похожих понятия казахстанского закона и чем они различаются; когда данные обязательно нужно уничтожить или удалить и в какие сроки; когда требуется обезличивание; как всё это соотносится с правом на удаление в Цифровом кодексе и с подходом GDPR.
Заметка
Какие права есть у субъекта по Закону о персональных данных и Цифровому кодексу, в какие сроки оператор обязан ответить на обращение (от одного до пятнадцати рабочих дней), как подаётся обращение и куда жаловаться. Сводная таблица сроков и сравнение с GDPR, где нет переносимости данных и общего права на возражение.
Заметка
Как в Казахстане ограничиваются цели обработки и объём данных, как определяется срок хранения и что происходит, когда цель достигнута. Отдельно разобраны сроки хранения кадровых документов по новому Перечню 2025 года и противоречие между годичным сроком хранения согласий и обязанностью их доказывать.
Новый кодекс о цифровой среде. Для персональных данных важен прежде всего понятийный аппарат: «цифровой объект» и его виды (ст. 20), на которые теперь ссылается Закон о персональных данных. Отдельно закреплено право на удаление, анонимизацию и ограничение обработки (ст. 41). Вводится через шесть месяцев после опубликования 10.01.2026.
Открыть:Adilet (откроется в новой вкладке)официальныйzakon.uchet.kz (откроется в новой вкладке)альтернативный источник, неофициальный
● Проверено 26 октября 2026 г.действуетПрава субъектаУдаление, уничтожение и обезличиваниеСфера действия и основные понятия
Базовый закон. Определяет понятия (ст. 1) и сферу действия (ст. 3). Устанавливает требование хранить данные на территории Казахстана (ст. 12) и условия трансграничной передачи (ст. 16). С 25.08.2026 действуют уведомление о начале обработки (ст. 10-1) и деление операторов на малых, средних и крупных (ст. 25-1).
Открыть:Adilet (откроется в новой вкладке)официальныйzakon.uchet.kz (откроется в новой вкладке)альтернативный источник, неофициальный
● Проверено 26 октября 2026 г.действуетАвтоматизированная обработка и ИИНарушения безопасности и уведомленияСогласиеТрансграничная передачаВиды персональных данныхПрава субъектаУдаление, уничтожение и обезличиваниеПередача третьим лицам и распространениеОтветственностьЛокализацияУведомление и реестр операторовПринципы обработкиОбработка без согласияЦели, объём и сроки храненияУполномоченный орган и государственный контрольОтветственное лицо и внутренние документыСфера действия и основные понятияСвязьМеры защиты
Пакет поправок 2026 года. Изменения в Закон о персональных данных собраны в п. 37 ст. 1: «цифровой объект» в норме о локализации, новые ст. 10-1, 23-2, 25-1, удаление и анонимизация данных. Опубликован 25.06.2026, вступает в силу через 60 календарных дней (по расчёту, 25.08.2026); исключения перечислены в ст. 2.
Открыть:Adilet (откроется в новой вкладке)официальныйzakon.uchet.kz (откроется в новой вкладке)альтернативный источник, неофициальный
● Проверено 26 октября 2026 г.действуетНарушения безопасности и уведомленияУдаление, уничтожение и обезличиваниеЛокализацияУведомление и реестр операторов
Порядок сбора и обработки, детализирующий закон. Повторяет требование согласия на распространение в общедоступных источниках, передачу третьим лицам и трансграничную передачу (п. 4-5). Устанавливает срок ответа субъекту в три рабочих дня (п. 16), правила обезличивания, по которым оно проводится до распространения и без возможности обратного восстановления (пп. 20–21), блокирование и удаление по требованию субъекта (п. 25).
Открыть:Adilet (откроется в новой вкладке)официальныйzakon.uchet.kz (откроется в новой вкладке)альтернативный источник, неофициальный
● Проверено 26 октября 2026 г.действуетСогласиеТрансграничная передачаПрава субъектаУдаление, уничтожение и обезличиваниеПередача третьим лицам и распространениеЦели, объём и сроки хранения
Разбор псевдонимизации по GDPR: псевдонимизированные данные остаются персональными. Пригодится, чтобы сопоставить с казахстанскими понятиями «маскирование», «обезличивание» и «анонимизация». Документ выносился на публичное обсуждение.
Открыть:edpb.europa.eu (откроется в новой вкладке)
Не проверено по первоисточникуУдаление, уничтожение и обезличиваниеКазахстан и GDPR
Классический европейский документ о методах анонимизации (рандомизация, обобщение) и их рисках: выделение, связывание, вывод. Даёт критерии, по которым можно судить, «невозможно ли восстановить» принадлежность данных.
Открыть:ec.europa.eu (откроется в новой вкладке)
Не проверено по первоисточникуУдаление, уничтожение и обезличиваниеКазахстан и GDPR