Права субъекта

Доступ, изменение, удаление, анонимизация, ограничение обработки, обжалование.

Вопросы темы

Нажмите на вопрос, чтобы увидеть краткий ответ. Подробный разбор с нормами — в заметке ниже.

Какие права есть у субъекта и в какие сроки оператор обязан ответить?
Знать, какие данные о нём есть и зачем; требовать исправления, блокирования и удаления; отозвать согласие; возражать против автоматизированных решений; требовать возмещения вреда. Сроки очень короткие: сведения о данных за 3 рабочих дня, исправление, блокирование и удаление за 1 рабочий день, прекращение обработки после отзыва согласия за 15 рабочих дней.
Подробнее — в заметке «Права субъекта персональных данных»
Как работает право на удаление и анонимизацию по Цифровому кодексу?
Цифровой кодекс позволяет требовать удаления, анонимизации или ограничения обработки своих данных в цифровой среде, даже если они получены законно. Исключения действуют, когда данные нужны для защиты прав других людей, дел о правонарушениях, суда, публичного интереса по закону или государственных функций. Если закон требует хранить данные определённый срок, вместо удаления ограничивают доступ и приостанавливают обработку.
Подробнее — в заметке «Права субъекта персональных данных»
Куда и как субъект может обжаловать действия оператора?
В уполномоченный орган (Министерство искусственного интеллекта и цифрового развития): жалобу рассматривают 15 рабочих дней с возможным продлением. Можно сразу обратиться в суд, в том числе с требованием возместить моральный и материальный вред.
Подробнее — в заметке «Права субъекта персональных данных»

Ключевые нормы

Заметки

Заметка
Автоматизированная обработка и искусственный интеллект
Три слоя правил об автоматизированных решениях: ст. 19-1 Закона о персональных данных (запрет без согласия или закона, право на возражение с ответом за три рабочих дня), ст. 43 Цифрового кодекса (объяснение и пересмотр решения человеком) и Закон об искусственном интеллекте 2025 года (запрещённые функции, прозрачность, данные для обучения моделей). Отдельно — стандарт применения ИИ в школах 2026 года: решения об оценках принимает педагог.
Право по состоянию на 26 октября 2026 г.
Заметка
Уполномоченный орган и государственный контроль
Кто контролирует соблюдение законодательства о персональных данных: уполномоченный орган (Министерство искусственного интеллекта и цифрового развития), местные исполнительные органы и прокуратура. Как проверяют бизнес (только внеплановые проверки по проверочному листу из 33 пунктов) и как проверяют государственные органы.
Право по состоянию на 26 октября 2026 г.
Заметка
Удаление, уничтожение, обезличивание и анонимизация
Четыре похожих понятия казахстанского закона и чем они различаются; когда данные обязательно нужно уничтожить или удалить и в какие сроки; когда требуется обезличивание; как всё это соотносится с правом на удаление в Цифровом кодексе и с подходом GDPR.
Право по состоянию на 26 октября 2026 г.
Заметка
Согласие на сбор и обработку персональных данных
В Казахстане согласие служит главным основанием обработки, а не одним из многих. Заметка разбирает, в какой форме его получать, что оно должно содержать, когда нужно отдельное согласие, как работают государственный и негосударственный сервисы, как отзывается согласие и почему доказывать его получение сложнее, чем кажется.
Право по состоянию на 26 октября 2026 г.
Заметка
Права субъекта персональных данных
Какие права есть у субъекта по Закону о персональных данных и Цифровому кодексу, в какие сроки оператор обязан ответить на обращение (от одного до пятнадцати рабочих дней), как подаётся обращение и куда жаловаться. Сводная таблица сроков и сравнение с GDPR, где нет переносимости данных и общего права на возражение.
Право по состоянию на 26 октября 2026 г.
Заметка
Ответственность за нарушения законодательства о персональных данных
Административная ответственность по ст. 79 КоАП: штрафы от 30 до 2000 МРП (в 2026 году от 129 750 до 8,65 млн тенге), особенности возбуждения дел и годичный срок давности для юридических лиц. Уголовная ответственность по ст. 147 УК и гражданско-правовая в виде возмещения вреда. Сравнение с оборотными штрафами GDPR.
Право по состоянию на 26 октября 2026 г.
Заметка
Ответственное лицо и внутренние документы
Кто обязан назначать лицо, ответственное за организацию обработки персональных данных, что оно делает и чем отличается от DPO по GDPR. Какие внутренние документы нужны оператору в зависимости от категории (малой, средней или крупной) по Правилам защиты в редакции 2026 года.
Право по состоянию на 26 октября 2026 г.

Материалы

Кодекс

Кодекс255-VIIIКазахстан

Цифровой кодекс Республики Казахстан (откроется в новой вкладке)

Парламент Республики Казахстан · 9 января 2026 г.

Новый кодекс о цифровой среде. Для персональных данных важен прежде всего понятийный аппарат: «цифровой объект» и его виды (ст. 20), на которые теперь ссылается Закон о персональных данных. Отдельно закреплено право на удаление, анонимизацию и ограничение обработки (ст. 41). Вводится через шесть месяцев после опубликования 10.01.2026.

Открыть:Adilet (откроется в новой вкладке)официальныйzakon.uchet.kz (откроется в новой вкладке)альтернативный источник, неофициальный

Ключевые положения: ст. 20 (откроется в новой вкладке), ст. 41 (откроется в новой вкладке), ст. 106 (откроется в новой вкладке)
Примечание: Точная дата вступления в силу (09.07 или 10.07.2026) не уточнена.

● Проверено 26 октября 2026 г.действуетПрава субъекта Удаление, уничтожение и обезличивание Сфера действия и основные понятия

Кодекс350-VIКазахстан

Административный процедурно-процессуальный кодекс Республики Казахстан (откроется в новой вкладке)

Парламент Республики Казахстан · 29 июня 2020 г.

Общий порядок рассмотрения обращений государственными органами. По нему уполномоченный орган рассматривает жалобы субъектов на собственников и операторов: 15 рабочих дней, с продлением не более чем на два месяца (ст. 76 пп. 1, 3).

Ключевые положения: ст. 76 (откроется в новой вкладке)

● Проверено 26 октября 2026 г.действуетПрава субъекта

Закон

Закон94-VКазахстан

Закон Республики Казахстан «О персональных данных и их защите» (откроется в новой вкладке)

Парламент Республики Казахстан · 21 мая 2013 г.

Базовый закон. Определяет понятия (ст. 1) и сферу действия (ст. 3). Устанавливает требование хранить данные на территории Казахстана (ст. 12) и условия трансграничной передачи (ст. 16). С 25.08.2026 действуют уведомление о начале обработки (ст. 10-1) и деление операторов на малых, средних и крупных (ст. 25-1).

Ключевые положения: ст. 1 (откроется в новой вкладке), ст. 3 (откроется в новой вкладке), ст. 10-1 (откроется в новой вкладке), ст. 12 (откроется в новой вкладке), ст. 16 (откроется в новой вкладке), ст. 25-1 (откроется в новой вкладке), ст. 29 (откроется в новой вкладке)
Редакция: редакция на 17.10.2026 (с изменениями, включая Закон № 326-VIII от 24.06.2026)

● Проверено 26 октября 2026 г.действуетАвтоматизированная обработка и ИИ Нарушения безопасности и уведомления Согласие Трансграничная передача Виды персональных данных Права субъекта Удаление, уничтожение и обезличивание Передача третьим лицам и распространение Ответственность Локализация Уведомление и реестр операторов Принципы обработки Обработка без согласия Цели, объём и сроки хранения Уполномоченный орган и государственный контроль Ответственное лицо и внутренние документы Сфера действия и основные понятия Связь Меры защиты

Подзаконный акт

Подзаконный акт395/НҚКазахстан

Правила сбора, обработки персональных данных (приказ Министра цифрового развития, инноваций и аэрокосмической промышленности РК от 21.10.2020 № 395/НҚ) (откроется в новой вкладке)

Министерство искусственного интеллекта и цифрового развития РК · 21 октября 2020 г.

Порядок сбора и обработки, детализирующий закон. Повторяет требование согласия на распространение в общедоступных источниках, передачу третьим лицам и трансграничную передачу (п. 4-5). Устанавливает срок ответа субъекту в три рабочих дня (п. 16), правила обезличивания, по которым оно проводится до распространения и без возможности обратного восстановления (пп. 20–21), блокирование и удаление по требованию субъекта (п. 25).

Ключевые положения: пп. 4 (откроется в новой вкладке)–4-5 (откроется в новой вкладке), п. 6-3 (откроется в новой вкладке), п. 11 (откроется в новой вкладке), п. 16 (откроется в новой вкладке), пп. 17 (откроется в новой вкладке)–18 (откроется в новой вкладке), пп. 20 (откроется в новой вкладке)–21 (откроется в новой вкладке), п. 25 (откроется в новой вкладке)
Редакция: с изменениями на 17.09.2026

● Проверено 26 октября 2026 г.действуетСогласие Трансграничная передача Права субъекта Удаление, уничтожение и обезличивание Передача третьим лицам и распространение Цели, объём и сроки хранения

Подзаконный акт144/НҚКазахстан

Правила функционирования государственного сервиса контроля доступа к персональным данным (приказ МЦРИАП РК от 29.04.2022 № 144/НҚ) (откроется в новой вкладке)

Министерство искусственного интеллекта и цифрового развития РК · 29 апреля 2022 г.

Как работает государственный сервис, через который дают согласие на доступ к данным из государственных цифровых объектов. Субъект получает запрос и отвечает через SMS-шлюз «1414» или «цифровое правительство», может отозвать согласие, видит, у кого есть его согласие, и получает уведомления о действиях со своими данными (п. 3).

Ключевые положения: пп. 2 (откроется в новой вкладке)–4 (откроется в новой вкладке)

● Проверено 26 октября 2026 г.действуетСогласие Права субъекта