С 2 октября 2026 года в Казахстане вступают в силу новые правила сбора и обработки персональных данных, внесенные приказом Министра искусственного интеллекта и цифрового развития РК от 17 сентября 2026 года № 556/НҚ.
Изменения, в частности, уточняют правила работы с персональными данными, размещенными в открытом доступе, а также закрепляют новые механизмы их удаления, анонимизации и маскирования.
Для бизнеса это означает необходимость проверить действующие процессы сбора и обработки персональных данных, включая передачу данных третьим лицам и за пределы Казахстана.
Ключевые изменения
1. Новые понятия в сфере персональных данных
В правилах закреплены следующие понятия:
- удаление — исключение данных из цифрового объекта таким образом, чтобы их восстановление было невозможно;
- анонимизация — преобразование данных, исключающее возможность определить их принадлежность конкретному лицу;
- маскирование — замена части реальных данных недействительными или обезличенными данными.
2. Персональные данные в открытом доступе
Если физическое лицо или его законный представитель самостоятельно разместили персональные данные в общедоступном источнике без специального согласия, лицо, которое впоследствии собирает, распространяет или обрабатывает такие данные, должно будет доказать законность своих действий.
При этом дальнейшие сбор и распространение таких данных третьими лицами допускаются при условии указания ссылки на источник.
Для информации, которую законодательство прямо требует размещать в открытом доступе, отдельное согласие на ее распространение не потребуется.
При этом данные, публикация которых запрещена законом, должны быть защищены, в том числе путем маскирования.
3. Когда потребуется согласие субъекта
Согласие субъекта персональных данных потребуется, в частности, при:
- трансграничной передаче персональных данных, за исключением предусмотренных законом случаев;
- передаче персональных данных третьим лицам;
- обработке персональных данных в случаях, установленных новыми правилами.
4. Право требовать блокировки и удаления данных
Если персональные данные были собраны или обработаны с нарушением законодательства, субъект сможет потребовать от собственника, оператора или третьего лица заблокировать и (или) анонимизировать такие данные.
В предусмотренных законом случаях по требованию субъекта данные также должны быть уничтожены и (или) удалены.
Что это значит для бизнеса
Новые правила имеют практическое значение для компаний, которые собирают и обрабатывают персональные данные клиентов, работников и иных физических лиц.
Бизнесу рекомендуется:
- пересмотреть процессы сбора и обработки персональных данных;
- проверить основания для передачи данных третьим лицам и за пределы Казахстана;
- оценить использование персональных данных, размещенных в открытом доступе;
- обеспечить механизмы удаления, анонимизации и маскирования данных;
- проверить внутренние документы и процедуры, связанные с получением согласий субъектов персональных данных.
Чем мы можем помочь
REVERA Kazakhstan может помочь компаниям адаптировать процессы работы с персональными данными к новым требованиям, в том числе:
- провести аудит обработки персональных данных;
- проверить законность сбора, хранения, передачи и использования персональных данных;
- разработать и обновить согласия на обработку персональных данных, политики и внутренние документы;
- проанализировать трансграничную передачу данных и передачу данных третьим лицам;
- подготовить процедуры по удалению, анонимизации и маскированию персональных данных;
- оценить риски использования персональных данных, размещенных в открытых источниках;
- подготовить рекомендации по приведению бизнес-процессов в соответствие с новыми требованиями.
Если ваша компания работает с персональными данными в Казахстане, команда REVERA Kazakhstan может помочь оценить текущие процессы и определить, какие изменения потребуются в связи с вступлением новых правил в силу.
