Уполномоченный орган и государственный контроль

Коротко

Государственную политику в сфере персональных данных разрабатывает Правительство (ст. 26). Уполномоченным органом называется центральный исполнительный орган, осуществляющий руководство в этой сфере (ст. 1 пп. 11-1); сейчас это Министерство искусственного интеллекта и цифрового развития. Контроль за частным бизнесом проводится только в форме внеплановых проверок по Предпринимательскому кодексу (ст. 27-2). Высший надзор за законностью осуществляет прокуратура (ст. 28).

Кто есть кто

Орган	Роль	Норма
Правительство	Основные направления государственной политики	ст. 26
Уполномоченный орган (Министерство ИИ и цифрового развития)	Политика, правила, контроль, реестры, жалобы, привлечение к ответственности	ст. 27-1
Местные исполнительные органы областей, городов республиканского значения и столицы	Жалобы субъектов, контроль за частным бизнесом на своей территории, привлечение к ответственности	ст. 27 п. 2
Другие государственные органы	Акты, обращения и привлечение к ответственности в пределах компетенции	ст. 27 п. 1
Прокуратура	Высший надзор за соблюдением законности	ст. 28

Внутри Министерства функции по персональным данным выполняет Комитет по информационной безопасности; в его составе есть управление по развитию защиты персональных данных (по данным страницы Комитета на gov.kz).

Полномочия уполномоченного органа

Основные полномочия (ст. 27-1 п. 1):

• нормотворчество: правила сбора и обработки, порядок мер защиты, правила определения перечня данных, правила государственного сервиса и интеграции с ним;
• контроль: государственный контроль за соблюдением законодательства;
• реестры: реестр лиц, осуществляющих сбор и обработку (см. заметку «Уведомление уполномоченного органа и реестр операторов»), и реестр нарушений безопасности (ст. 23-2);
• права субъектов: рассмотрение жалоб о соответствии данных и способов обработки целям; требования об уточнении, блокировании, уничтожении или удалении недостоверных или незаконно полученных данных;
• ответственность: меры по привлечению нарушителей к ответственности. Дела по ст. 79 КоАП рассматривает уполномоченный орган в сфере обеспечения кибербезопасности (КоАП, ст. 692-2);
• прочее: согласование интеграции негосударственных цифровых объектов с государственными, консультативный совет.

Под поправки 2026 года Положение о министерстве дополнено новыми функциями (постановление Правительства от 28.09.2026 № 853). Министерство утверждает правила применения методов маскирования и хеширования, а также правила копирования (выгрузки) персональных данных из критически важных цифровых объектов на цифровые носители по согласованию с КНБ. Оно ведёт реестр лиц, осуществляющих сбор и обработку персональных данных, и реестр нарушений безопасности персональных данных. Сведения о нарушениях безопасности, создающих риск для прав и законных интересов субъектов, министерство направляет оператору «цифрового правительства».

Проверки бизнеса

Контроль за субъектами частного предпринимательства проводится в форме внеплановой проверки по Предпринимательскому кодексу (ст. 27-2). Плановых проверок по графику в этой сфере нет. Основания внеплановой проверки (Предпринимательский кодекс, ст. 144 п. 5) включают, в частности:

• обращения физических и юридических лиц о нарушениях при наличии убедительных оснований и подтверждающих доказательств;
• требование прокурора;
• обращения государственных органов о конкретных фактах причинения вреда;
• поручение органа уголовного преследования;
• контроль устранения ранее выявленных нарушений.

Анонимные обращения основанием не являются (ст. 144 п. 6). Проверяется только то, что послужило основанием проверки (ст. 144 п. 7).

Требования, которые проверяются, перечислены в проверочном листе из 33 пунктов (совместный приказ 2024 года, принят по ст. 143 Предпринимательского кодекса). Среди них:

• согласие и цели обработки;
• запрет бумажных копий удостоверений личности;
• локализация;
• трансграничная передача;
• перечень данных и политика;
• ответственное лицо;
• меры защиты данных ограниченного доступа.

Интерпретация. Проверочный лист принят в марте 2024 года и с тех пор не менялся. Он не учитывает поправки 2026 года: категории операторов, уведомление, новые Правила защиты 534/НҚ. Неясно, как проверяющие будут оценивать соблюдение обязанностей, которых в листе нет.

Проверки государственных органов

Для государственных органов порядок установлен самим Законом (ст. 27-3):

• периодические проверки: не чаще раза в год по плану, который утверждается до 1 декабря и публикуется до 20 декабря предыдущего года;
• внеплановые проверки: по подтверждённым обращениям, требованию прокурора, обращениям государственных органов, поручению органа уголовного преследования, для контроля исполнения акта проверки;
• права проверяющих: доступ в помещения, получение документов и доступ к базам данных, аудио-, фото- и видеосъёмка, привлечение специалистов и экспертов.

Разъяснения регулятора

Закон не обязывает уполномоченный орган публиковать разъяснения. Жалобы граждан рассматриваются по Административному процедурно-процессуальному кодексу; подробнее см. в заметке «Права субъекта персональных данных».

Сравнение с GDPR

Вопрос	Казахстан	GDPR
Статус регулятора	Министерство (центральный исполнительный орган)	Независимый надзорный орган (Art. 52)
Проверки бизнеса	Только внеплановые, по основаниям Предпринимательского кодекса и проверочному листу	Расследования, аудиты, доступ к помещениям и данным (Art. 58(1))
Санкции	Штрафы по КоАП через протокол	Административные штрафы самого регулятора (Art. 83)
Разъяснения	Не предусмотрены как обязанность	Руководства EDPB, консультации (Art. 57, Art. 70)

Открытые вопросы

Открытый вопрос: министерство и акиматы. Как разграничивается контроль за частным бизнесом между уполномоченным органом и местными исполнительными органами?

Открытый вопрос: два «уполномоченных органа». Закон о персональных данных говорит об уполномоченном органе в сфере защиты персональных данных, а КоАП передаёт дела по ст. 79 уполномоченному органу в сфере обеспечения кибербезопасности. Это одно и то же ведомство на практике?

Открытый вопрос: мораторий. Распространяются ли на проверки в этой сфере решения Правительства о приостановлении проверок малого бизнеса (ст. 144 п. 12 Предпринимательского кодекса)?

Что ещё изучить

• Положение о Комитете по информационной безопасности и его функции в сфере персональных данных.
• Правила маскирования и хеширования и правила выгрузки данных из критически важных цифровых объектов, когда министерство их утвердит.
• Опубликованные разъяснения и ответы регулятора (в том числе письмо КИБ от 06.05.2024 по локализации).
• Отчёты о проверках и их результатах.