Сфера действия и основные понятия

Коротко

С 1 июля 2026 года действует новая Конституция. Её ст. 21 прямо гарантирует защиту персональных данных от незаконного сбора, обработки, хранения и использования, в том числе с применением цифровых технологий. Основным законом служит Закон № 94-V. Он регулирует сбор, обработку и защиту персональных данных физических лиц. В 2026 году определение персональных данных стало уже: теперь это сведения о субъекте, «дополненные» хотя бы одним идентификатором из закрытого перечня (ст. 1 пп. 2, ст. 6). Отдельной нормы о действии закона в отношении иностранных компаний нет.

Конституционная основа

Законодательство о персональных данных «основывается на Конституции» (ст. 4 п. 1). Конституция 1995 года утратила силу. Новая принята на республиканском референдуме 15.03.2026 и вступила в силу с 1 июля 2026 года (ст. 94).

«Право на неприкосновенность частной жизни, личную и семейную тайну, защиту персональных данных от их незаконного сбора, обработки, хранения и использования, в том числе с применением цифровых технологий, гарантируется законом». — Конституция РК, ст. 21 п. 1

Интерпретация. В прежней Конституции говорилось о неприкосновенности частной жизни и тайне сообщений, но персональные данные прямо не упоминались. Теперь защита персональных данных стала самостоятельным конституционным правом. Это может усилить аргументы субъектов в спорах и при проверке законов Конституционным Судом.

Если ратифицированный международный договор устанавливает иные правила, применяются правила договора (ст. 4 п. 2).

Что такое персональные данные

«персональные данные – сведения или совокупность сведений о субъекте персональных данных, дополненные одним или несколькими идентификаторами персональных данных» — Закон № 94-V, ст. 1 пп. 2

Идентификаторы перечислены в ст. 6:

1. фамилия, имя, отчество в совокупности (если указано в документе, удостоверяющем личность);
2. индивидуальный идентификационный номер (ИИН);
3. изображение лица субъекта;
4. биометрический вектор лица или его производные, которые можно восстановить до исходного значения.

Субъектом называется физическое лицо, к которому относятся данные (ст. 1 пп. 16). Цифровой кодекс добавляет, что ИИН служит уникальным идентификатором физического лица, и различает публичные и частные идентификаторы (ст. 45).

Интерпретация. Новое определение построено иначе, чем в GDPR. Там персональными данными считается любая информация об идентифицированном или идентифицируемом лице. В Казахстане сведения становятся персональными данными, когда они «дополнены» идентификатором из закрытого перечня. Буквально это означает, что адрес электронной почты, номер телефона или cookie-идентификатор сами по себе, без ФИО, ИИН или изображения лица, могут не подпадать под определение. Но такое прочтение рискованно: подзаконные акты ещё используют прежнюю, широкую формулировку «данные… относящиеся к определённому или определяемому… субъекту» (Правила сбора и обработки, п. 2).

Кто участвует в обработке

Роль	Определение	Где
Собственник	Владеет, пользуется и распоряжается базой на бумажном носителе или цифровым объектом с персональными данными	ст. 1 пп. 9
Оператор	Осуществляет сбор, обработку и защиту персональных данных	ст. 1 пп. 10
Третье лицо	Не субъект, не собственник и не оператор, но связано с ними обстоятельствами или правоотношениями по обработке	ст. 1 пп. 17
Уполномоченный орган	Центральный исполнительный орган в сфере защиты персональных данных	ст. 1 пп. 11-1

Данные хранятся либо в базе, то есть упорядоченной совокупности на бумажном носителе (ст. 1 пп. 8), либо в цифровом объекте (ст. 1 пп. 10-1). Понятие цифрового объекта дано в Цифровом кодексе, ст. 20.

Обработка включает накопление, хранение, изменение, дополнение, использование, распространение, обезличивание, анонимизацию, блокирование, уничтожение и удаление (ст. 1 пп. 12). Сбор в это определение не входит и упоминается отдельно (ст. 1 пп. 5).

Что закон не регулирует

Закон не распространяется на сбор, обработку и защиту персональных данных (ст. 3 п. 3):

1. исключительно для личных и семейных нужд, если не нарушаются права других лиц и требования законов;
2. при работе с документами Национального архивного фонда и другими архивными документами, кроме содержащих сведения о частной жизни, личной и семейной тайне;
3. отнесённых к государственным секретам;
4. в разведывательной, контрразведывательной, оперативно-розыскной деятельности и при охране охраняемых лиц и объектов.

Особенности обработки могут устанавливаться другими законами и актами Президента (ст. 3 п. 2).

Территория: закон молчит, кодекс подсказывает

В Законе о персональных данных нет нормы о его территориальном действии. Цифровой кодекс устроен иначе:

• цифровая среда понимается «вне зависимости от территории» размещения данных и объектов (ст. 1 п. 1);
• иностранцы и иностранные юридические лица, действующие с цифровыми данными на территории Казахстана, несут те же обязанности, что граждане и юридические лица Казахстана (ст. 1 п. 3);
• персональные данные обрабатываются или передаются только с согласия субъекта либо в случаях, прямо предусмотренных законами (ст. 37 п. 3).

Интерпретация. Кодекс скорее расширяет охват: регулирование цифровой среды не привязано к месту нахождения серверов. Но обязанности иностранцев в ст. 1 п. 3 связаны с деятельностью «на территории Республики Казахстан». Поэтому вопрос, обязан ли зарубежный онлайн-сервис без присутствия в стране соблюдать казахстанские требования, кодекс не закрывает.

Сравнение с GDPR

Вопрос	Казахстан	GDPR
Персональные данные	Сведения, дополненные идентификатором из закрытого перечня (ст. 1, 6)	Любая информация об идентифицированном или идентифицируемом лице (Art. 4(1))
Роли	Собственник, оператор, третье лицо	Контролёр, обработчик, третье лицо (Art. 4(7)–(10))
Личные нужды	Исключены (ст. 3 п. 3)	Исключены (Art. 2(2)(c))
Действие за пределами территории	Прямо не урегулировано	Применяется к иностранным компаниям, которые предлагают товары и услуги в ЕС или отслеживают поведение лиц в ЕС (Art. 3(2))

Открытые вопросы

Открытый вопрос: данные без «идентификаторов». Являются ли персональными данными email, номер телефона, IP-адрес или cookie, если рядом нет ФИО, ИИН или изображения лица? Буква закона допускает ответ «нет», подзаконные акты отвечают «да».

Открытый вопрос: иностранные сервисы. Распространяется ли закон на зарубежную компанию, которая собирает данные жителей Казахстана онлайн, не имея здесь присутствия?

Открытый вопрос: собственник или оператор? Закон определяет собственника через право владения базой, а оператора через действия с данными. Как распределять обязанности, если это разные лица, например при аутсорсинге, прямо не сказано.

Что ещё изучить

• Нормативные постановления Конституционного Суда о праве на частную жизнь и их применимость после принятия новой Конституции.
• Будут ли приведены определения в подзаконных актах в соответствие с новым определением персональных данных.
• Разъяснения регулятора о данных без идентификаторов: телефоны, email, онлайн-идентификаторы.