Темы / Сравнение
23
Казахстан и GDPR
Сводное сравнение казахстанского регулирования с GDPR по ключевым вопросам.
Вопросы темы
Нажмите на вопрос, чтобы увидеть краткий ответ. Подробный разбор с нормами — в заметке ниже.
В чём казахстанское регулирование совпадает с GDPR, а в чём принципиально расходится?
Совпадают базовые понятия: принципы, права людей, меры защиты, уведомление о нарушениях. Расходятся основы: в Казахстане согласие главное основание (договора и законного интереса нет), данные обязательно хранить в стране, меры защиты заданы перечнями, сроки реакции измеряются днями, а штрафы фиксированные и ниже, зато есть уголовная ответственность.
Подробнее — в заметке «Казахстан и GDPR: сводное сравнение»
Что нужно дополнительно сделать компании, уже соответствующей GDPR?
Пересмотреть основания обработки и получать согласие там, где по GDPR хватало договора или законного интереса; хранить данные в Казахстане; получать согласие на передачу за рубеж; утвердить перечень данных, политику и назначить ответственное лицо; определить свою категорию и меры защиты; перестроить процессы под сроки в 1–3 рабочих дня и отказаться от бумажных копий удостоверений.
Подробнее — в заметке «Казахстан и GDPR: сводное сравнение»
Заметки
Заметка
Три слоя правил об автоматизированных решениях: ст. 19-1 Закона о персональных данных (запрет без согласия или закона, право на возражение с ответом за три рабочих дня), ст. 43 Цифрового кодекса (объяснение и пересмотр решения человеком) и Закон об искусственном интеллекте 2025 года (запрещённые функции, прозрачность, данные для обучения моделей). Отдельно — стандарт применения ИИ в школах 2026 года: решения об оценках принимает педагог.
Право по состоянию на 26 октября 2026 г.
Заметка
Кто контролирует соблюдение законодательства о персональных данных: уполномоченный орган (Министерство искусственного интеллекта и цифрового развития), местные исполнительные органы и прокуратура. Как проверяют бизнес (только внеплановые проверки по проверочному листу из 33 пунктов) и как проверяют государственные органы.
Право по состоянию на 26 октября 2026 г.
Заметка
Четыре похожих понятия казахстанского закона и чем они различаются; когда данные обязательно нужно уничтожить или удалить и в какие сроки; когда требуется обезличивание; как всё это соотносится с правом на удаление в Цифровом кодексе и с подходом GDPR.
Право по состоянию на 26 октября 2026 г.
Заметка
Что считается нарушением безопасности персональных данных, кто, кого и в какие сроки уведомляет: оператор сообщает регулятору за один рабочий день, центры кибербезопасности за три часа, а субъектов уведомляет не оператор, а «цифровое правительство». Сравнение с 72 часами по GDPR.
Право по состоянию на 26 октября 2026 г.
Заметка
В Казахстане согласие служит главным основанием обработки, а не одним из многих. Заметка разбирает, в какой форме его получать, что оно должно содержать, когда нужно отдельное согласие, как работают государственный и негосударственный сервисы, как отзывается согласие и почему доказывать его получение сложнее, чем кажется.
Право по состоянию на 26 октября 2026 г.
Заметка
Когда персональные данные можно передавать за рубеж: что говорит ст. 16 Закона, как она соотносится с требованием согласия в ст. 7, какие специальные запреты есть в отраслевых законах и почему без перечня «безопасных» стран остаётся много неясного.
Право по состоянию на 26 октября 2026 г.
Заметка
Казахстанский закон делит данные не на «обычные» и «особые», как GDPR, а на общедоступные и ограниченного доступа. Перечня данных ограниченного доступа нет, его приходится собирать по другим законам: о медицинской тайне, о дактилоскопической и геномной регистрации, о доступе к информации. От ответа зависят меры защиты, место обработки и категория оператора.
Право по состоянию на 26 октября 2026 г.
Заметка
Какие права есть у субъекта по Закону о персональных данных и Цифровому кодексу, в какие сроки оператор обязан ответить на обращение (от одного до пятнадцати рабочих дней), как подаётся обращение и куда жаловаться. Сводная таблица сроков и сравнение с GDPR, где нет переносимости данных и общего права на возражение.
Право по состоянию на 26 октября 2026 г.
Заметка
Как закон разграничивает передачу данных определённым лицам и их распространение в общедоступных источниках, когда для этого нужно согласие, что меняют поправки о самостоятельно опубликованных данных и запрет «нецелевого извлечения», и почему в казахстанском праве нет привычной фигуры обработчика.
Право по состоянию на 26 октября 2026 г.
Заметка
Административная ответственность по ст. 79 КоАП: штрафы от 30 до 2000 МРП (в 2026 году от 129 750 до 8,65 млн тенге), особенности возбуждения дел и годичный срок давности для юридических лиц. Уголовная ответственность по ст. 147 УК и гражданско-правовая в виде возмещения вреда. Сравнение с оборотными штрафами GDPR.
Право по состоянию на 26 октября 2026 г.
Заметка
Сводная таблица по 20 вопросам: где казахстанское регулирование персональных данных похоже на GDPR, а где принципиально расходится (основания обработки, локализация, трансграничная передача, сроки, ответственное лицо, штрафы). И список того, что компании, уже соответствующей GDPR, нужно сделать дополнительно для Казахстана.
Право по состоянию на 26 октября 2026 г.
Заметка
С 25 августа 2026 года крупные собственники и операторы обязаны уведомлять уполномоченный орган о начале и прекращении обработки персональных данных. Кто считается крупным, что указывается в уведомлении, как работает реестр и чего закон пока не говорит о переходном периоде, способе подачи и ответственности.
Право по состоянию на 26 октября 2026 г.
Заметка
В ст. 5 Закона всего пять принципов, и они звучат как общие ценности. Привычные по GDPR принципы (ограничение цели, минимизация, ограничение хранения, точность, подотчётность) в казахстанском праве тоже есть, но разбросаны по другим статьям и подзаконным актам. Заметка собирает их в одну карту.
Право по состоянию на 26 октября 2026 г.
Заметка
Когда данные можно обрабатывать без согласия: закрытый перечень ст. 9 и специальные правила для опубликованных данных. Чего в этом перечне нет по сравнению с GDPR (договора, законного интереса, жизненно важных интересов) и что это означает для работодателей и обычного бизнеса.
Право по состоянию на 26 октября 2026 г.
Заметка
Как в Казахстане ограничиваются цели обработки и объём данных, как определяется срок хранения и что происходит, когда цель достигнута. Отдельно разобраны сроки хранения кадровых документов по новому Перечню 2025 года и противоречие между годичным сроком хранения согласий и обязанностью их доказывать.
Право по состоянию на 26 октября 2026 г.
Заметка
Кто обязан назначать лицо, ответственное за организацию обработки персональных данных, что оно делает и чем отличается от DPO по GDPR. Какие внутренние документы нужны оператору в зависимости от категории (малой, средней или крупной) по Правилам защиты в редакции 2026 года.
Право по состоянию на 26 октября 2026 г.
Заметка
На чём стоит казахстанское регулирование персональных данных после 2026 года: новая Конституция, узкое определение персональных данных через закрытый перечень идентификаторов, роли собственника, оператора и третьего лица, изъятия из сферы действия закона и нерешённый вопрос о том, распространяется ли закон на иностранные сервисы.
Право по состоянию на 26 октября 2026 г.
Заметка
Какие меры защиты требует закон и как с сентября 2026 года они зависят от категории оператора: малые, средние и крупные по числу субъектов, плюс отдельные требования к данным ограниченного доступа. Сравнение с риск-ориентированным подходом GDPR.
Право по состоянию на 26 октября 2026 г.
Материалы
Разъяснение регулятора
Разъяснение регулятораЕС
Разъяснение регулятораЕС
Разъяснение регулятораЕС
Разъяснение регулятораЕС