Персональные данные: что изменилось со 2 октября для граждан и бизнеса
Со 2 октября 2026 года действуют обновлённые Правила сбора и обработки персональных данных. Гражданин может потребовать заблокировать, обезличить или удалить свои данные, если их собрали или используют с нарушением, а компаниям пора проверить, на каком основании они публикуют фото клиентов, передают базы партнёрам и где эти базы хранят.
Изменения внесены приказом Министерства искусственного интеллекта и цифрового развития от 17 сентября 2026 года № 556/НҚ[1]. Это продолжение цифровой реформы: с 12 июля действует Цифровой кодекс[2], и обновлённые правила прямо на него ссылаются.
Главное в статье
Содержание статьи
Что изменилось
- Право на удаление. Если данные собрали или обрабатывают с нарушением условий, человек вправе потребовать их заблокировать или обезличить. Если нарушен закон — уничтожить и удалить так, чтобы их нельзя было восстановить[1]. Исключения установлены Цифровым кодексом[3].
- Согласие — отдельно в трёх случаях. Общее правило прежнее: данные собирают и обрабатывают с согласия человека, кроме случаев, указанных в законе. Теперь правила отдельно требуют согласия, чтобы передать данные за рубеж, разместить их в открытом доступе или передать третьим лицам[3].
- Открытые данные — не «ничьи». Если человек сам выложил свои данные в интернет, распространять их дальше можно только со ссылкой на источник, а доказывать законность придётся тому, кто их собирает и использует[1].
- Хранение в Казахстане. Персональные данные нужно хранить в базах и цифровых объектах на территории страны[3].
- Новые понятия. В правилах появились удаление, анонимизация и маскирование — замена части данных обезличенными значениями[1].
Что проверить бизнесу
Правила касаются любой компании, у которой есть база клиентов или сотрудников, — от салона красоты до застройщика. Чаще всего ошибки находятся в пяти местах:
Чек-лист для компании
- Фото клиентов и работы «до и после» в соцсетях. Нужно согласие, которое можно подтвердить; использовать изображение человека без согласия запрещает и статья 145 ГК[6].
- Фото и данные сотрудников на сайте и в рекламе.
- Передача баз курьерам, маркетологам и партнёрам — это передача третьим лицам.
- Зарубежные CRM, облака и сервисы рассылок: где физически хранятся данные.
- Формы заявок и текст согласия на сайте.
| Нарушение | Граждане | Малый бизнес, НКО | Средний бизнес | Крупный бизнес |
|---|---|---|---|---|
| Незаконный сбор и обработка данных | 30 | 60 | 100 | 200 |
| Несоблюдение мер защиты данных | 150 | 300 | 450 | 600 |
| То же, если данные утеряны или незаконно обработаны | 200 | 750 | 1 000 | 2 000 |
1 МРП в 2026 году — 4 325 ₸: 200 МРП — 865 000 ₸, 2 000 МРП — 8,65 млн ₸. В графе «Малый бизнес, НКО» — тот же размер, что для должностных лиц. Перевести МРП в тенге
Если ваши данные опубликовали без согласия
Сохраните доказательства публикации и направьте компании или автору письменное требование заблокировать или удалить данные — так сохранится дата обращения. Если отказали или не ответили, можно обратиться в уполномоченный орган в сфере персональных данных или в суд. Когда опубликованные сведения ещё и порочат вас, подключается защита чести и деловой репутации по статье 143 Гражданского кодекса.
Коротко: ответы на частые вопросы
Нужно ли согласие, чтобы выложить фото клиента в соцсети?
Да. Публикация в открытом доступе требует согласия, а статья 145 ГК запрещает использовать изображение человека без его согласия, кроме отдельных исключений[6]. Устное «не против» трудно доказать, поэтому согласие лучше получить письменно или электронно и указать цель.
Можно ли хранить базу клиентов в зарубежной CRM?
Правила требуют хранить персональные данные на территории Казахстана, а передавать их за рубеж — только с согласия человека, если закон не разрешает иное[3]. Перед подключением сервиса проверьте, где он хранит данные.
Клиент отозвал согласие — что делать?
Прекратить обработку в течение 15 рабочих дней, если хранить данные не требует закон. Если требует — дать мотивированный отказ[4].
Список использованных источников
- 1.Mybuh.kz. Персональные данные: с 2 октября изменятся правила их сбора и обработки. 22.09.2026 (приказ Министерства искусственного интеллекта и цифрового развития РК от 17.09.2026 № 556/НҚ). mybuh.kz/news/personalnye-dannye-s-2-oktyabrya-izmenyatsya-pravila-ikh-sbora-i-obrabotki/
- 2.Inform.kz. Цифровой кодекс вступил в силу: что изменится для казахстанцев. 14.07.2026 (Цифровой кодекс РК от 9 января 2026 года № 255-VIII). www.inform.kz/ru/tsifrovoy-kodeks-vstupil-v-silu-chto-izmenitsya-dlya-kazahstantsev-95cfec43
- 3.Newtimes.kz. Казахстанцам разрешат требовать удаления своих данных: что изменится с 2 октября. 28.09.2026. newtimes.kz/obshchestvo/224164-kazakhstantsam-razreshat-trebovat-udaleniia-svoikh-dannykh-chto-izmenitsia-s-2-oktiabria
- 4.Inbusiness.kz. В РК уточнили порядок работы с персональными данными. 17.03.2026 (приказ от 11.03.2026 № 133/НҚ, действует с 27.03.2026). inbusiness.kz/ru/last/v-rk-utochnili-poryadok-raboty-s-personalnymi-dannymi
- 5.Кодекс Республики Казахстан об административных правонарушениях от 5 июля 2014 года № 235-V, ст. 79. adilet.zan.kz/rus/docs/K1400000235
- 6.Гражданский кодекс Республики Казахстан (Общая часть) от 27 декабря 1994 года № 268-XIII, ст. 143, 145. adilet.zan.kz/rus/docs/K940001000_
Наведём порядок с персональными данными
Проверим, как компания собирает, хранит и передаёт данные клиентов и сотрудников, подготовим согласия и политику конфиденциальности. Если ваши данные или фото опубликовали без согласия — добьёмся удаления. Первая консультация — бесплатно: 1 час онлайн или по телефону.
+7 707 611 15 37 · demeugroupzan@gmail.com · Пн–Пт, 9:00–18:00 · Алматы и онлайн по всему Казахстану
