Удаление, уничтожение, обезличивание и анонимизация

Коротко

После поправок 2026 года закон различает несколько действий, которые на первый взгляд похожи (ст. 1). Данные нужно уничтожить или удалить по достижении цели, по истечении срока хранения, при прекращении отношений с субъектом, по решению суда или если они собраны без согласия (ст. 18). По требованию субъекта, если нарушение подтвердилось, это делается в течение одного рабочего дня (ст. 25 п. 2 пп. 8). Для статистических, социологических, научных и маркетинговых исследований данные перед передачей обезличивают (ст. 17 п. 1).

Понятия

Термин	Определение в законе	Что важно
Уничтожение	Действия, после которых невозможно восстановить данные (ст. 1 пп. 6)	Общее понятие, подходит и для бумаги
Удаление	Исключение данных из цифрового объекта без возможности восстановления (ст. 1 пп. 2-4)	Введено в 2026 году для электронных данных
Обезличивание	Действия, после которых невозможно определить принадлежность данных субъекту (ст. 1 пп. 7)	Касается связи данных с человеком, а не самих данных
Анонимизация	Необратимое преобразование идентификаторов, после которого принадлежность определить невозможно (ст. 1 пп. 2-5)	Работает через идентификаторы: ФИО, ИИН, изображение лица, биометрический вектор (ст. 6)
Блокирование	Временное прекращение любых действий с данными (ст. 1 пп. 3)	Применяется, пока проверяется жалоба субъекта
Маскирование	Замена части данных на недействительные или обезличенные (ст. 1 пп. 3-1)	Метод защиты, данные остаются персональными

Интерпретация. Обезличивание и анонимизация определены почти одинаково: в обоих случаях принадлежность данных субъекту определить «невозможно». Разница, по-видимому, в способе: анонимизация описана через необратимое преобразование идентификаторов. Обезличивание в Правилах сбора тоже должно исключать обратное восстановление (п. 21). Получается, что оба понятия ближе к анонимизации в смысле GDPR, а псевдонимизации в европейском смысле ближе маскирование.

Когда данные нужно уничтожить или удалить

Основания перечислены в ст. 18:

1. истёк срок хранения; он определяется датой достижения целей сбора и обработки, если закон не устанавливает иное (ст. 12 п. 2);
2. прекратились правоотношения с субъектом;
3. вступило в силу решение суда;
4. данные собраны и обработаны без согласия, кроме случаев ст. 7 п. 5 и ст. 9;
5. иные случаи, установленные законодательством.

Собственник и оператор обязаны принимать меры по уничтожению или удалению по достижении цели обработки (ст. 25 п. 2 пп. 4). Сроки при обращении субъекта жёсткие: один рабочий день (ст. 25 п. 2 пп. 8):

• изменить или дополнить данные по документам либо уничтожить или удалить их, если изменить невозможно;
• заблокировать данные, если есть информация о нарушении условий сбора и обработки;
• уничтожить или удалить их, если нарушение подтвердилось;
• снять блокирование, если нарушение не подтвердилось.

Право субъекта требовать блокирования, анонимизации, уничтожения или удаления закреплено в ст. 24 п. 1 пп. 3–4 и Правилах сбора, п. 25. Обязанности по защите данных действуют, пока данные не уничтожены, не удалены, не анонимизированы или не обезличены (ст. 22 п. 2).

Право на удаление в Цифровом кодексе

Цифровой кодекс (ст. 41) даёт субъекту право требовать удаления, анонимизации или ограничения обработки данных, размещённых или обрабатываемых в цифровой среде, «независимо от основания их получения». Если законом установлены обязательные сроки хранения, вместо удаления доступ к данным ограничивается и обработка приостанавливается (п. 3). Требование не исполняется, если сохранение данных нужно для защиты жизни и прав других лиц, дел о правонарушениях, правосудия, публичного интереса, статистики или науки при анонимизации, государственных функций и услуг (п. 4). Закон о персональных данных прямо отсылает к этим исключениям (ст. 18).

Интерпретация. Формулировка «независимо от основания их получения» шире, чем основания ст. 18 Закона: по Кодексу субъект может требовать удаления и законно полученных данных, если нет исключений п. 4. Это сближает казахстанское право с европейским правом на удаление (Art. 17 GDPR).

Обезличивание для исследований и аналитики

• Исследования. Для статистических, социологических, научных и маркетинговых исследований данные обезличиваются перед передачей (ст. 17 п. 1). Обезличивание проводится до распространения, любым законным способом, исключающим обратное восстановление (Правила сбора, пп. 20–21). Расходы несёт тот, кто запросил обезличенные данные, если стороны не договорились иначе.
• Аналитика для государственных органов. Данные обезличивает оператор «цифрового правительства», если собственник не сделал этого сам (ст. 17 п. 2).
• Национальная платформа искусственного интеллекта. Обезличивание проводится по требованиям, утверждённым Правительством (ст. 17 п. 3).

Для защиты данных закон также предусматривает маскирование и хеширование в цифровых объектах (ст. 23 п. 2). Порядок их применения должен определить уполномоченный орган. С сентября 2026 года утверждение правил применения методов маскирования и хеширования прямо закреплено в Положении о Министерстве искусственного интеллекта и цифрового развития (постановление Правительства № 853).

Сравнение с GDPR

Вопрос	Казахстан	GDPR
Право на удаление	Ст. 24 Закона, ст. 41 Цифрового кодекса	Art. 17 с исключениями в п. 3
Срок исполнения	1 рабочий день (ст. 25 п. 2 пп. 8)	Без неоправданной задержки, как правило до 1 месяца (Art. 12(3))
Анонимные данные	Понятия есть, критериев необратимости нет	Вне сферы действия (Recital 26); критерии: WP29 Opinion 05/2014
Псевдонимизация	Близко к маскированию	Данные остаются персональными (Art. 4(5); EDPB 01/2025)

Открытые вопросы

Открытый вопрос: как доказать необратимость. Закон требует, чтобы восстановить принадлежность данных было «невозможно», но не даёт критериев и методик. Европейские критерии (выделение, связывание, вывод) могут служить ориентиром, но обязательными в Казахстане не являются.

Открытый вопрос: резервные копии. Удаление определено как исключение данных из цифрового объекта. Распространяется ли однодневный срок на резервные копии и архивы, закон не говорит.

Открытый вопрос: порядок маскирования и хеширования. Закон поручает уполномоченному органу определить этот порядок (ст. 23 п. 2). Функция утвердить правила закреплена за министерством постановлением Правительства № 853 (сентябрь 2026 года), но сами правила найти пока не удалось.

Что ещё изучить

• Порядок применения маскирования и хеширования, если он утверждён.
• Требования по управлению данными для национальной платформы ИИ (ст. 17 п. 3).
• Сроки хранения, установленные отраслевыми законами (трудовое, налоговое, архивное законодательство).