Уведомление уполномоченного органа о начале обработки, реестр лиц, обрабатывающих персональные данные, категории операторов.
Нажмите на вопрос, чтобы увидеть краткий ответ. Подробный разбор с нормами — в заметке ниже.
С 25 августа 2026 года уведомление подают только крупные операторы (от 500 тыс. человек, а при данных ограниченного доступа уже от 10 тыс.). Уведомляют до начала обработки; в уведомлении указывают наименование и БИН, меры защиты, дату начала, передаются ли данные третьим лицам и за рубеж, публикуются ли они, перечень данных и где находится база.
Подробнее — в заметке «Уведомление уполномоченного органа и реестр операторов»
По общему числу уникальных людей, чьи данные обрабатываются во всех системах: до 10 тыс. малый, от 10 до 500 тыс. средний, от 500 тыс. крупный. Если обрабатываются данные ограниченного доступа (например, медицинские или биометрические), категория повышается на ступень.
Подробнее — в заметке «Уведомление уполномоченного органа и реестр операторов»
Перед прекращением обработки нужно уведомить регулятора, и он в течение 30 рабочих дней исключает сведения из реестра операторов. Тот же срок установлен для внесения сведений в реестр после уведомления о начале обработки.
Подробнее — в заметке «Уведомление уполномоченного органа и реестр операторов»
Заметка
Кто контролирует соблюдение законодательства о персональных данных: уполномоченный орган (Министерство искусственного интеллекта и цифрового развития), местные исполнительные органы и прокуратура. Как проверяют бизнес (только внеплановые проверки по проверочному листу из 33 пунктов) и как проверяют государственные органы.
Заметка
С 25 августа 2026 года крупные собственники и операторы обязаны уведомлять уполномоченный орган о начале и прекращении обработки персональных данных. Кто считается крупным, что указывается в уведомлении, как работает реестр и чего закон пока не говорит о переходном периоде, способе подачи и ответственности.
Заметка
Какие меры защиты требует закон и как с сентября 2026 года они зависят от категории оператора: малые, средние и крупные по числу субъектов, плюс отдельные требования к данным ограниченного доступа. Сравнение с риск-ориентированным подходом GDPR.
Заметка
Разбор требования хранить персональные данные в Казахстане: что говорит ст. 12 Закона после поправок 2026 года, что добавляют подзаконные правила, чем это отличается от GDPR и какие вопросы остаются открытыми.
Базовый закон. Определяет понятия (ст. 1) и сферу действия (ст. 3). Устанавливает требование хранить данные на территории Казахстана (ст. 12) и условия трансграничной передачи (ст. 16). С 25.08.2026 действуют уведомление о начале обработки (ст. 10-1) и деление операторов на малых, средних и крупных (ст. 25-1).
Открыть:Adilet (откроется в новой вкладке)официальныйzakon.uchet.kz (откроется в новой вкладке)альтернативный источник, неофициальный
● Проверено 26 октября 2026 г.действуетАвтоматизированная обработка и ИИНарушения безопасности и уведомленияСогласиеТрансграничная передачаВиды персональных данныхПрава субъектаУдаление, уничтожение и обезличиваниеПередача третьим лицам и распространениеОтветственностьЛокализацияУведомление и реестр операторовПринципы обработкиОбработка без согласияЦели, объём и сроки храненияУполномоченный орган и государственный контрольОтветственное лицо и внутренние документыСфера действия и основные понятияСвязьМеры защиты
Пакет поправок 2026 года. Изменения в Закон о персональных данных собраны в п. 37 ст. 1: «цифровой объект» в норме о локализации, новые ст. 10-1, 23-2, 25-1, удаление и анонимизация данных. Опубликован 25.06.2026, вступает в силу через 60 календарных дней (по расчёту, 25.08.2026); исключения перечислены в ст. 2.
Открыть:Adilet (откроется в новой вкладке)официальныйzakon.uchet.kz (откроется в новой вкладке)альтернативный источник, неофициальный
● Проверено 26 октября 2026 г.действуетНарушения безопасности и уведомленияУдаление, уничтожение и обезличиваниеЛокализацияУведомление и реестр операторов
Главный подзаконный акт о мерах защиты. В редакции сентября 2026 года: уведомление о начале обработки (пп. 3–7), категории операторов и меры защиты для малых, средних и крупных (пп. 8–14), требования к данным ограниченного доступа, включая криптографию по СТ РК 1073-2007 (п. 15), сбор и обработка таких данных через цифровые объекты в Казахстане (п. 16), хранение в серверном помещении или ЦОД в Казахстане (п. 18), ответственное лицо (пп. 19–20), уведомление регулятора о нарушении в течение одного рабочего дня (п. 23).
Открыть:Adilet (откроется в новой вкладке)официальныйzakon.uchet.kz (откроется в новой вкладке)альтернативный источник, неофициальный
● Проверено 26 октября 2026 г.действуетНарушения безопасности и уведомленияВиды персональных данныхЛокализацияУведомление и реестр операторовОтветственное лицо и внутренние документыМеры защиты