Выпуск 1
Дайджест за 12–18 октября 2026 года
Министерство ИИ и цифрового развития получило функции утвердить правила маскирования и хеширования и вести реестры операторов и нарушений. Утверждён стандарт применения ИИ в школах: без автоматических оценок и с обезличиванием данных. После сбоя «Яндекса» депутаты запросили проверку трансграничной передачи данных; 21 октября меняется Закон о кредитных бюро.
- Важно сейчас принятые нормы и сроки ближайших 90 дней
- Стоит учесть проекты, разъяснения, практика
- На горизонте планы и инициативы
Коротко
- Период12–18.10.2026
- найдено3 принятых акта, 1 проект, 2 события практики
- ближайший срок21.10.2026, поправки в Закон о кредитных бюро (№ 352-VIII)
Главное: у регулятора появились функции, под которые готовятся новые правила (маскирование и хеширование персональных данных, выгрузка данных из критически важных систем, реестр операторов и реестр нарушений). Через три дня после периода, 21 октября, вступают в силу поправки в Закон о кредитных бюро, в основном терминологические.
- Утверждён стандарт применения ИИ в школах: решения об оценках и дисциплине нельзя принимать автоматически, а материалы перед загрузкой во внешние ИИ-сервисы обезличиваются.
- После сбоя сервисов «Яндекса» 11 октября в депутатском запросе предложено проверить, не передавались ли данные казахстанцев за рубеж, и как школы публикуют данные сотрудников и детей.
- Министерство проверяет сообщения о возможной утечке данных клиентов Kinopark, Lucem Medical Clinic и inDrive.
- Минтруд закончил обсуждение проекта о согласии на сбор данных, включая банковскую тайну, для назначения соцпомощи по нуждаемости с 2027 года.
Принято и вступило в силу
Регулятор утвердит правила маскирования и хеширования и будет вести реестры операторов и нарушений
Постановление Правительства дополнило положение о Министерстве искусственного интеллекта и цифрового развития функциями, которые нужны для применения поправок 2026 года в Закон о персональных данных. Министерство теперь утверждает правила применения методов маскирования и хеширования, а также правила копирования (выгрузки) персональных данных из критически важных цифровых объектов на носители по согласованию с КНБ. Оно ведёт реестр лиц, осуществляющих сбор и обработку персональных данных, и реестр нарушений безопасности персональных данных. Сведения о нарушениях, создающих риск для прав людей, министерство направляет оператору «цифрового правительства», который уведомляет пострадавших. Министерство вправе требовать от собственника, оператора или третьего лица уточнить, заблокировать, уничтожить или удалить недостоверные или незаконно полученные данные. Самих правил маскирования и выгрузки пока нет: постановление только закрепляет, кто их утвердит.
- Кого касается
- операторы, публикующие данные в открытых источниках (маскирование), владельцы критически важных цифровых объектов (выгрузка), крупные операторы (реестр).
- Что сделать
- пока следить за проектами правил на «Открытых НПА».
ИИ в школах: без автоматических оценок и только с обезличенными данными
Приказ и. о. Министра просвещения утвердил стандарт применения искусственного интеллекта для всех организаций среднего образования. Решения об оценивании, мерах педагогического и дисциплинарного воздействия и другие решения, прямо затрагивающие права ученика, запрещено принимать автоматически: их принимает работник школы (п. 4). Педагог может использовать ИИ для анализа работ и обратной связи, но окончательную оценку ставит сам (п. 11). Учебные материалы перед передачей во внешние ИИ-инструменты обезличиваются, если обработка персональных данных этим инструментом не предусмотрена законом (п. 5). Учётные записи учеников создаются с учётом возрастных ограничений сервиса; согласие законного представителя требуется в случаях, предусмотренных законом (п. 6). Требовать у ученика полную историю запросов к ИИ нельзя, если она не относится к цели задания (п. 8), а вывод ИИ-детектора сам по себе не доказывает нарушение (п. 14). Сроков хранения и правил удаления данных стандарт не устанавливает: действует общий порядок Закона о персональных данных.
- Кого касается
- школы и колледжи, разработчики образовательных ИИ-сервисов.
- Что сделать
- школам проверить, какие данные учеников уходят во внешние сервисы, и убрать автоматическое выставление оценок; разработчикам предусмотреть работу с обезличенными материалами и участие педагога в решениях.
Протокол СНГ: обмен сведениями о преступлениях на транспорте с учётом законов о защите данных
Правительство одобрило подписание протокола о внесении изменений в Соглашение государств — участников СНГ о сотрудничестве в борьбе с преступностью на транспорте (2004 года). По новой редакции стороны обмениваются сведениями о преступлениях на транспорте и причастных лицах с учётом национального законодательства о защите персональных данных.
- Кого касается
- правоохранительные органы; для бизнеса прямых обязанностей нет.
- Что сделать
- ничего.
Скоро вступает в силу
21 октября: поправки в Закон о кредитных бюро, в основном терминологические
Закон № 352-VIII о совершенствовании и цифровизации финансового рынка вносит в Закон о кредитных бюро и формировании кредитных историй в основном терминологические поправки. Слова «информационные системы» заменены на «цифровые системы»: в определениях базы данных кредитных историй и заявителя, в принципах, требованиях к бюро и полномочиях регулятора (ст. 1, 3, 8, 10, 17, 19). Требования к информационной безопасности уточнены как требования к информационной безопасности в финансовой сфере, в том числе к кибербезопасности (ст. 5, 17, 19, 27). Нормы о согласии субъекта на передачу сведений в бюро (ст. 25) и о его правах (получить отчёт о себе, оспорить и исправить сведения, ст. 22) не меняются. В Цифровом кодексе тем же законом заново изложен п. 2 ст. 95 (методика индекса цифрового развития) и исключён п. 3; к персональным данным это не относится.
- Кого касается
- кредитные бюро, банки и МФО как поставщики информации и получатели кредитных отчётов.
- Что сделать
- обновить терминологию во внутренних документах; по существу обязанности не меняются.
Готовится
Согласие на сбор данных, включая банковскую тайну, для назначения соцпомощи по нуждаемости
Министерство труда и социальной защиты подготовило проект приказа о сроках и порядке согласия на сбор, обработку, проверку, актуализацию и передачу персональных данных. Согласие будут давать люди (семьи), члены семьи и домохозяйства, которые претендуют на меры социальной защиты, получают их или обращаются повторно. Согласие охватывает сведения, составляющие банковскую и иную охраняемую законом тайну, а также данные кредитного бюро с государственным участием о долге, ежемесячном платеже, просроченной и остаточной задолженности по кредитам. Цель состоит в том, чтобы назначать меры социальной защиты по принципу нуждаемости с 1 января 2027 года; проект разработан во исполнение ст. 10 Социального кодекса. На портале размещено только краткое содержание, без текста приказа.
- Кого касается
- заявители и получатели социальной помощи, банки и кредитное бюро как источники сведений.
- Что сделать
- следить за принятием приказа и его итоговым текстом.
Других проектов о персональных данных, размещённых или обсуждавшихся в период, на «Открытых НПА» не найдено.
Новости и практика
После сбоя «Яндекса» депутаты запросили проверку трансграничной передачи данных
14 октября депутатский запрос от фракции «Әділет» направлен генеральному прокурору и министру искусственного интеллекта и цифрового развития. Поводом стал сбой сервисов «Яндекса» 11 октября, который компания объяснила неполадками зарубежной инфраструктуры. В запросе предлагается проверить законность трансграничной передачи персональных данных казахстанцев, сбор данных социальными учреждениями и их подрядчиками, а также исполнение требований о маскировании. По данным из запроса, министерство сообщило, что серверы с персональными данными казахстанских пользователей находятся в стране, но отдельные компоненты сервисов такси и доставки размещены за рубежом. Отдельно названы случаи публикации данных: семь школ Шиелийского района разместили данные 529 сотрудников на портале госзакупок, а в Семее опубликованы данные 344 несовершеннолетних. Сам по себе сбой утечку не доказывает; ответов прокуратуры и министерства на дату выпуска нет.
- Кого касается
- операторы сервисов с зарубежной инфраструктурой, школы и другие организации, публикующие документы с персональными данными.
- Что сделать
- проверить, какие данные и куда передаются при работе сервиса, и не попадают ли персональные данные в публикуемые документы.
- 15 октября. По сообщению zakon.kz, в Telegram-канал поступили материалы о возможной утечке данных клиентов сети кинотеатров Kinopark, клиники Lucem Medical Clinic и сервиса inDrive. Министерство искусственного интеллекта и цифрового развития приняло информацию к рассмотрению и проверяет эти организации; выводов на дату выпуска нет. Утечка официально не подтверждена.
На горизонте
- 19 октября, уже после периода, на «Открытых НПА» размещён проект приказа о пилотном проекте биометрической аутентификации пассажиров с использованием ИИ в аэропорту Астаны; обсуждение до 04.11.2026. Подробности будут в следующем выпуске.
Что это значит
- Серверы в стране ещё не означают полной локализации. Закон требует хранить персональные данные в базе на территории Казахстана, а передачу за рубеж допускает только при соблюдении условий ст. 16. Если часть сервиса работает на зарубежной инфраструктуре, стоит понимать, проходят ли через неё персональные данные: это уже вопрос трансграничной передачи. Интерпретация. См. заметки «Локализация персональных данных в Казахстане» и «Трансграничная передача персональных данных».
- Маскирование станет проверяемым требованием. Правила маскирования и хеширования ещё не утверждены, но депутаты уже просят проверить, как оно выполняется. Организациям, которые публикуют документы (закупки, отчёты, сайты школ), стоит заранее убрать из них лишние персональные данные. Интерпретация. См. заметку «Удаление, уничтожение, обезличивание и анонимизация».
- Стандарт для школ строже общего правила. Закон запрещает автоматизированную обработку, меняющую права человека, без согласия или прямой нормы закона (ст. 19-1), а стандарт требует участия работника школы в решениях об оценках всегда, без исключения по согласию. Интерпретация. См. заметку «Автоматизированная обработка и искусственный интеллект».
- Проверки после сообщений об утечках дают повод проверить готовность уведомить регулятора в течение одного рабочего дня с момента обнаружения нарушения. См. заметку «Нарушения безопасности персональных данных и уведомления».
Календарь
| Дата | Событие | Статус |
|---|---|---|
| 21.10.2026 | Поправки в Закон о кредитных бюро (Закон № 352-VIII) | через 3 дня |
| 04.11.2026 | Окончание обсуждения проекта пилота биометрической аутентификации пассажиров в аэропорту Астаны | через 17 дней |
| 01.01.2027 | Назначение мер соцзащиты по нуждаемости с согласием на сбор данных, включая банковскую тайну (проект приказа Минтруда) | проект |
| уточняется | Часть поправок Закона № 311-VIII (противодействие коррупции) в Закон о персональных данных; по prg.kz, с 01.01.2027, по Adilet не проверено | дата уточняется |
| уточняется | Правила применения методов маскирования и хеширования (утверждает министерство) | планируется |
| уточняется | Правила выгрузки персональных данных из критически важных цифровых объектов (по согласованию с КНБ) | планируется |
Источники
- Постановление Правительства РК от 28.09.2026 № 853 (Adilet)
- Постановление Правительства РК от 15.10.2026 № 904 (Adilet)
- Приказ и. о. Министра просвещения от 28.09.2026 № 283-НҚ «Об утверждении Стандарта применения искусственного интеллекта в системе среднего образования» (Adilet)
- Закон РК от 23.07.2026 № 352-VIII (Adilet)
- Закон о кредитных бюро и формировании кредитных историй (Adilet)
- Проект приказа Минтруда о согласии на сбор данных для мер социальной защиты («Открытые НПА»)
- Курсив, 14.10.2026: депутатский запрос после сбоя «Яндекса»
- Liter.kz, 14.10.2026
- Tengrinews: депутатский запрос генпрокурору
- zakon.kz, 15.10.2026: проверка трёх организаций
Какие ресурсы проверены
| Ресурс | Статус | Что найдено |
|---|---|---|
| adilet.zan.kz (сырьё скриптом, 24.10) | ✅ открыт | 25 актов с заметной темой; отобраны № 853, № 904, стандарт ИИ в школах; остальное составляют стандарты госуслуг с типовой оговоркой о согласии |
| adilet.zan.kz (25–26.10) | ⚠️ 25.10 недоступен, 26.10 открыт | 26.10 сверены стандарт ИИ в школах (№ 283-НҚ) и Закон № 352-VIII |
| zakon.uchet.kz (зеркало Adilet) | ❌ недоступен | ошибка сервера |
| legalacts.egov.kz | ✅ открыт | 194 проекта по 4 запросам; по периоду найден проект Минтруда; 19.10 размещён проект пилота биометрии в аэропорту |
| gov.kz, Министерство ИИ и цифрового развития | ⚠️ через поиск | лента новостей не открылась; сведения взяты из СМИ |
| finreg.kz (АРРФР) | ❌ недоступен | сайт не открылся; по поиску актов о персональных данных за период нет |
| nationalbank.kz (Нацбанк) | ⚠️ через поиск | страница проектов не открылась; по поиску ничего за период |
| minjust.gov.kz | ❌ недоступен | сайт не открылся |
| СМИ: zakon.kz, kursiv, liter.kz, tengrinews | ✅ открыты | депутатский запрос, проверка трёх организаций, стандарт ИИ в школах |