Лицо, ответственное за организацию обработки, политика обработки и другие внутренние документы.
Нажмите на вопрос, чтобы увидеть краткий ответ. Подробный разбор с нормами — в заметке ниже.
Ответственное лицо обязаны назначить все юридические лица, которые выступают собственниками и операторами данных, кроме судов. Оно контролирует внутри организации соблюдение закона, рассказывает работникам о требованиях и следит за тем, как обрабатываются обращения людей. Его контакты указывают в уведомлении о нарушении безопасности.
Подробнее — в заметке «Ответственное лицо и внутренние документы»
У всех должны быть утверждённый перечень персональных данных и документы о политике обработки и защиты. Дальше по категории: малым нужны список лиц с доступом и внутренние документы о порядке обработки, средним ещё учёт систем, порядок реагирования на инциденты, обучение работников и внутренний контроль, крупным ещё оценка защищённости и независимый аудит.
Подробнее — в заметке «Ответственное лицо и внутренние документы»
Европейский DPO обязателен только в отдельных случаях, должен быть независимым и обладать экспертными знаниями. В Казахстане ответственное лицо обязательно для всех юридических лиц, но требований к квалификации и независимости закон не устанавливает, и эту роль можно совмещать с другой работой.
Подробнее — в заметке «Ответственное лицо и внутренние документы»
Заметка
Кто обязан назначать лицо, ответственное за организацию обработки персональных данных, что оно делает и чем отличается от DPO по GDPR. Какие внутренние документы нужны оператору в зависимости от категории (малой, средней или крупной) по Правилам защиты в редакции 2026 года.
Заметка
Какие меры защиты требует закон и как с сентября 2026 года они зависят от категории оператора: малые, средние и крупные по числу субъектов, плюс отдельные требования к данным ограниченного доступа. Сравнение с риск-ориентированным подходом GDPR.
Базовый закон. Определяет понятия (ст. 1) и сферу действия (ст. 3). Устанавливает требование хранить данные на территории Казахстана (ст. 12) и условия трансграничной передачи (ст. 16). С 25.08.2026 действуют уведомление о начале обработки (ст. 10-1) и деление операторов на малых, средних и крупных (ст. 25-1).
Открыть:Adilet (откроется в новой вкладке)официальныйzakon.uchet.kz (откроется в новой вкладке)альтернативный источник, неофициальный
● Проверено 26 октября 2026 г.действуетАвтоматизированная обработка и ИИНарушения безопасности и уведомленияСогласиеТрансграничная передачаВиды персональных данныхПрава субъектаУдаление, уничтожение и обезличиваниеПередача третьим лицам и распространениеОтветственностьЛокализацияУведомление и реестр операторовПринципы обработкиОбработка без согласияЦели, объём и сроки храненияУполномоченный орган и государственный контрольОтветственное лицо и внутренние документыСфера действия и основные понятияСвязьМеры защиты
Главный подзаконный акт о мерах защиты. В редакции сентября 2026 года: уведомление о начале обработки (пп. 3–7), категории операторов и меры защиты для малых, средних и крупных (пп. 8–14), требования к данным ограниченного доступа, включая криптографию по СТ РК 1073-2007 (п. 15), сбор и обработка таких данных через цифровые объекты в Казахстане (п. 16), хранение в серверном помещении или ЦОД в Казахстане (п. 18), ответственное лицо (пп. 19–20), уведомление регулятора о нарушении в течение одного рабочего дня (п. 23).
Открыть:Adilet (откроется в новой вкладке)официальныйzakon.uchet.kz (откроется в новой вкладке)альтернативный источник, неофициальный
● Проверено 26 октября 2026 г.действуетНарушения безопасности и уведомленияВиды персональных данныхЛокализацияУведомление и реестр операторовОтветственное лицо и внутренние документыМеры защиты