Обязанности при нарушении безопасности персональных данных, сроки уведомления регулятора и субъектов.
Нажмите на вопрос, чтобы увидеть краткий ответ. Подробный разбор с нормами — в заметке ниже.
В течение одного рабочего дня с момента обнаружения, письменно, электронным документом или иным защищённым способом. Сообщают о случившемся, принятых мерах, контактах ответственного лица и данных пострадавших людей для их уведомления. Порога «если есть риск» нет: уведомлять нужно о любом нарушении.
Подробнее — в заметке «Нарушения безопасности персональных данных и уведомления»
Самих людей компания обычно не уведомляет, это делает государство. Регулятор передаёт сведения оператору «электронного правительства», и люди получают сообщение в личном кабинете eGov, мобильном приложении или по SMS.
Подробнее — в заметке «Нарушения безопасности персональных данных и уведомления»
Это перечень персональных данных, безопасность которых нарушена. Его ведёт уполномоченный орган на основе общедоступной информации и сведений центров кибербезопасности.
Подробнее — в заметке «Нарушения безопасности персональных данных и уведомления»
Заметка
Что считается нарушением безопасности персональных данных, кто, кого и в какие сроки уведомляет: оператор сообщает регулятору за один рабочий день, центры кибербезопасности за три часа, а субъектов уведомляет не оператор, а «цифровое правительство». Сравнение с 72 часами по GDPR.
Базовый закон. Определяет понятия (ст. 1) и сферу действия (ст. 3). Устанавливает требование хранить данные на территории Казахстана (ст. 12) и условия трансграничной передачи (ст. 16). С 25.08.2026 действуют уведомление о начале обработки (ст. 10-1) и деление операторов на малых, средних и крупных (ст. 25-1).
Открыть:Adilet (откроется в новой вкладке)официальныйzakon.uchet.kz (откроется в новой вкладке)альтернативный источник, неофициальный
● Проверено 26 октября 2026 г.действуетАвтоматизированная обработка и ИИНарушения безопасности и уведомленияСогласиеТрансграничная передачаВиды персональных данныхПрава субъектаУдаление, уничтожение и обезличиваниеПередача третьим лицам и распространениеОтветственностьЛокализацияУведомление и реестр операторовПринципы обработкиОбработка без согласияЦели, объём и сроки храненияУполномоченный орган и государственный контрольОтветственное лицо и внутренние документыСфера действия и основные понятияСвязьМеры защиты
Пакет поправок 2026 года. Изменения в Закон о персональных данных собраны в п. 37 ст. 1: «цифровой объект» в норме о локализации, новые ст. 10-1, 23-2, 25-1, удаление и анонимизация данных. Опубликован 25.06.2026, вступает в силу через 60 календарных дней (по расчёту, 25.08.2026); исключения перечислены в ст. 2.
Открыть:Adilet (откроется в новой вкладке)официальныйzakon.uchet.kz (откроется в новой вкладке)альтернативный источник, неофициальный
● Проверено 26 октября 2026 г.действуетНарушения безопасности и уведомленияУдаление, уничтожение и обезличиваниеЛокализацияУведомление и реестр операторов
Бывший Закон «Об информатизации». Для персональных данных важны: обязанность центров кибербезопасности оповещать уполномоченный орган о нарушении безопасности персональных данных в течение трёх часов (ст. 7-4, 7-5 и др.), информирование субъектов через личный кабинет eGov (ст. 7-1), обследование защищённости государственной технической службой (ст. 14) и общая обязанность защищать цифровые ресурсы с персональными данными (ст. 56).
Открыть:Adilet (откроется в новой вкладке)официальныйzakon.uchet.kz (откроется в новой вкладке)альтернативный источник, неофициальный
● Проверено 26 октября 2026 г.действуетНарушения безопасности и уведомленияМеры защиты
Главный подзаконный акт о мерах защиты. В редакции сентября 2026 года: уведомление о начале обработки (пп. 3–7), категории операторов и меры защиты для малых, средних и крупных (пп. 8–14), требования к данным ограниченного доступа, включая криптографию по СТ РК 1073-2007 (п. 15), сбор и обработка таких данных через цифровые объекты в Казахстане (п. 16), хранение в серверном помещении или ЦОД в Казахстане (п. 18), ответственное лицо (пп. 19–20), уведомление регулятора о нарушении в течение одного рабочего дня (п. 23).
Открыть:Adilet (откроется в новой вкладке)официальныйzakon.uchet.kz (откроется в новой вкладке)альтернативный источник, неофициальный
● Проверено 26 октября 2026 г.действуетНарушения безопасности и уведомленияВиды персональных данныхЛокализацияУведомление и реестр операторовОтветственное лицо и внутренние документыМеры защиты
Как проходит уведомление о нарушении безопасности. Собственник или оператор в течение одного рабочего дня сообщает уполномоченному органу контакты ответственного лица, принятые меры и данные субъектов для уведомления (п. 4); центры кибербезопасности делают это в течение трёх часов (п. 5). Регулятор за один рабочий день передаёт сведения оператору «цифрового правительства» (п. 6), который уведомляет субъектов через личный кабинет eGov, мобильное приложение или SMS (п. 7).
Открыть:Adilet (откроется в новой вкладке)официальныйzakon.uchet.kz (откроется в новой вкладке)альтернативный источник, неофициальный
● Проверено 26 октября 2026 г.действуетНарушения безопасности и уведомления
Руководство по уведомлению о нарушениях по Art. 33–34 GDPR: когда нарушение нужно сообщать надзорному органу (72 часа, если есть риск) и когда субъектам (высокий риск). Полезно для сравнения с казахстанским сроком в один рабочий день без порога риска.
Открыть:edpb.europa.eu (откроется в новой вкладке)
Не проверено по первоисточникуНарушения безопасности и уведомленияКазахстан и GDPR