Казахстан и GDPR: сводное сравнение

Коротко

Казахстанский Закон о персональных данных по набору понятий похож на GDPR: принципы, согласие, права субъекта, меры защиты, уведомление о нарушениях. Но логика другая:

• согласие служит главным основанием обработки, а договора и законного интереса нет (ст. 7 п. 1, ст. 9);
• данные нужно хранить в Казахстане (ст. 12 п. 2);
• меры защиты предписаны перечнем по категориям, а не выбираются по оценке риска;
• сроки реакции на запросы и нарушения измеряются днями, а не неделями;
• штрафы фиксированные и намного ниже, но есть уголовная ответственность.

Поэтому соответствие GDPR не означает соответствия казахстанскому праву.

Сводная таблица

№	Вопрос	Казахстан	GDPR	Подробнее
1	Территориальное действие	Прямо не урегулировано	Распространяется на иностранные компании, работающие на рынок ЕС (Art. 3(2))	Сфера действия
2	Персональные данные	Сведения о субъекте, дополненные идентификаторами	Любая информация об идентифицируемом лице (Art. 4(1))	Сфера действия
3	Роли	Собственник, оператор, третье лицо	Контролёр и обработчик	Сфера действия
4	Основания обработки	Согласие; без согласия: закрытый перечень ст. 9	Шесть равноправных оснований, включая договор и законный интерес (Art. 6)	Согласие, Без согласия
5	Содержание согласия	Закрытый перечень из 8 пунктов; отзыв за 15 рабочих дней	Конкретное, информированное, однозначное; отзыв так же легко, как дача	Согласие
6	Чувствительные данные	Данные ограниченного доступа, закрытого перечня нет	Закрытый перечень особых категорий (Art. 9)	Виды данных
7	Дети	Через законного представителя, возраст не установлен	Онлайн-сервисы с 16 лет, государства могут снизить до 13 (Art. 8)	Согласие
8	Учёт обработки	Утверждённый перечень персональных данных	Реестр операций обработки (Art. 30)	Принципы
9	Права субъекта	Сроки от 1 до 15 рабочих дней; нет переносимости и общего права на возражение	Месяц с продлением; переносимость, возражение (Art. 12–21)	Права субъекта
10	Автоматизированные решения	Запрещены без согласия или закона; возражение рассматривается 3 рабочих дня	Запрещены с исключениями; вмешательство человека (Art. 22)	Автоматизированная обработка
11	Ответственное лицо / DPO	Обязательно для всех юридических лиц; требований к независимости нет	Только в отдельных случаях; независимость и квалификация (Art. 37–39)	Ответственное лицо
12	Меры защиты	Закрытые перечни по категориям оператора (малый, средний, крупный)	По оценке риска (Art. 32)	Меры защиты
13	Оценка воздействия	Не предусмотрена	Обязательна для рискованной обработки (Art. 35)	Меры защиты
14	Нарушения безопасности	Уведомить регулятора за 1 рабочий день, без порога риска	72 часа, только при риске (Art. 33)	Нарушения
15	Локализация	Хранение в базе или цифровом объекте в Казахстане обязательно	Нет	Локализация
16	Трансграничная передача	В «страны, обеспечивающие защиту» (их перечня нет); в остальные по согласию	Решения о достаточности, договорные механизмы (Art. 44–49)	Трансграничная передача
17	Уведомление регулятора о начале обработки	Для крупных операторов, с 25.08.2026	Нет	Уведомление
18	Регулятор	Министерство; проверки бизнеса только внеплановые	Независимый надзорный орган (Art. 52)	Регулятор
19	Штрафы	Фиксированные, до 2000 МРП (8,65 млн тенге в 2026 году)	До 20 млн евро или 4% мирового оборота (Art. 83)	Ответственность
20	Уголовная ответственность	Да, ст. 147 УК	На усмотрение государств (Art. 84)	Ответственность

Что совпадает

• Принципы: законность, ограничение цели, минимизация, ограничение срока хранения, конфиденциальность (ст. 5, 7); см. «Принципы обработки персональных данных».
• Базовые права: знать о своих данных, требовать исправления, удаления, блокирования, отозвать согласие (ст. 24).
• Обязанность принимать меры защиты и уведомлять регулятора о нарушениях (ст. 22, 25).
• Анонимизация определена как необратимое преобразование, после которого принадлежность данных лицу установить невозможно (ст. 1 пп. 2-5). Выводит ли она данные из-под действия закона, как в GDPR (Recital 26), прямо не сказано; см. «Удаление, уничтожение, обезличивание и анонимизация».

Что сделать компании, уже соответствующей GDPR

1. Пересмотреть основания. Там, где по GDPR вы опираетесь на договор или законный интерес, в Казахстане нужно согласие или конкретная норма закона. Согласие должно содержать обязательные сведения (ст. 8 п. 4).
2. Обеспечить хранение в Казахстане: базу или цифровой объект на территории страны, даже если данные также обрабатываются за рубежом.
3. Получать согласие на трансграничную передачу. Стандартные договорные условия ЕС в Казахстане как основание не предусмотрены.
4. Оформить обязательные документы: утверждённый перечень персональных данных, политику, приказ о назначении ответственного лица (ст. 25 п. 2).
5. Определить категорию оператора по числу уникальных субъектов, выполнить меры защиты из Правил для этой категории, а крупным операторам подать уведомление.
6. Ускорить реагирование: уведомление о нарушении за 1 рабочий день; исправление, блокирование, удаление по запросу за 1 рабочий день; ответ на запрос о данных за 3 рабочих дня; прекращение обработки после отзыва согласия за 15 рабочих дней.
7. Отказаться от бумажных копий удостоверений личности (ст. 7 п. 10).
8. Получать согласие на автоматизированные решения, затрагивающие права, и принимать возражения (ст. 19-1).
9. Сверить сроки хранения с казахстанскими: Перечнем типовых документов и отраслевыми законами.
10. Учесть отраслевые режимы: банковскую и медицинскую тайну, служебную информацию в связи, трудовое законодательство; см. заметки о финансовом секторе, здравоохранении, связи, трудовых отношениях.

Интерпретация. Из этого списка наиболее затратны пункты 1–3: они меняют архитектуру данных и юридическую основу обработки. Пункты 4–9 в основном решаются документами и процессами, которые у GDPR-компании уже есть и требуют адаптации.

Международный контекст

Казахстан не участвует в Конвенции Совета Европы № 108 (по таблице ратификаций на 18.10.2026), а решения Еврокомиссии о достаточности защиты в отношении Казахстана нет. Для передачи данных из ЕС в Казахстан европейская компания должна использовать механизмы Art. 46–49 GDPR.

Открытые вопросы

Открытый вопрос: сближение с GDPR. Поправки 2025–2026 годов (анонимизация, удаление, автоматизированные решения, категории операторов, уведомление) движутся в сторону европейской модели. Появятся ли договорные механизмы для трансграничной передачи и основания вроде законного интереса?

Открытый вопрос: двойное соответствие. Как построить один процесс, который одновременно выполняет требования GDPR и Казахстана, если они расходятся: например, по сроку уведомления о нарушении и по роли согласия?

Что ещё изучить

• Сравнение с законодательством соседних стран (России, Узбекистана, Кыргызстана), где также есть локализация.
• Регламент ЕС об ИИ и казахстанский Закон об ИИ: подробнее, по мере появления подзаконных актов.