С 25 августа 2026 года защита персональных данных в Казахстане стала заметно строже. Закон № 326-VIII от 24 июня 2026 года переписал часть базового закона «О персональных данных и их защите» 2013 года: появились обязательные маскирование и хеширование, классификация операторов по числу субъектов, государственный реестр утечек и уточнённое требование хранить данные в базе или цифровом объекте на территории республики. А с 22 сентября о любом нарушении безопасности оператор обязан сообщить уполномоченному органу в течение одного рабочего дня.
Мы в West Star Ltd строим интеграции с 1С, веб-сервисы и AI-агентов для казахстанских компаний, и почти в каждом проекте последние месяцы всплывает один и тот же вопрос: «А нам это вообще можно?» Можно ли хранить клиентскую базу в зарубежном облаке, отправлять переписку в нейросеть, выгружать сотрудников в HR-сервис. В этом материале разбираем, что реально изменилось, кого это касается и какой минимум нужно сделать, чтобы не оказаться в реестре нарушителей.
Защита персональных данных: что изменилось в законе
Базовая конструкция осталась прежней: есть субъект (человек, чьи данные обрабатываются), есть собственник и оператор базы, есть согласие и есть уполномоченный орган — сейчас это Министерство искусственного интеллекта и цифрового развития. Но поправки 2026 года сделали закон гораздо более «техническим».
Во-первых, в законе появились понятия удаления, анонимизации, маскирования и хеширования. Раньше компания могла формально «уничтожить» запись, оставив её копии в бэкапах и выгрузках. Теперь удаление — отдельная операция с понятным результатом, а маскирование и хеширование в цифровых объектах закреплены как обязательные методы защиты. Проще говоря, ИИН клиента не должен лежать открытым текстом в каждой таблице и каждом логе.
Во-вторых, закон ввёл закрытый перечень идентификаторов: ФИО в совокупности, ИИН, изображение лица и биометрический вектор лица. Это важно для тех, кто ставит камеры с распознаванием или собирает фото в анкетах — изображение лица теперь прямо названо идентификатором.
В-третьих, если подтвердится незаконный сбор или обработка, оператор обязан уничтожить или удалить данные в течение одного рабочего дня. Неделя на «разбирательство с подрядчиком» больше не предусмотрена.
В-четвёртых, появился реестр нарушений безопасности персональных данных. Его ведёт уполномоченный орган на основе общедоступных источников и сведений центров кибербезопасности. Иначе говоря, о вашей утечке государство может узнать не от вас, а из Telegram-канала, — и это попадёт в реестр.
Всё это не отменяет того, что принято раньше. Цифровой кодекс, подписанный 9 января 2026 года, закрепил права граждан на ограничение обработки и анонимизацию — подробно мы разбирали его в материале о Цифровом кодексе РК. А закон об искусственном интеллекте от 17 ноября 2025 года добавил к этому требования к ИИ-системам.
Малый, средний или крупный оператор
Новая статья 25-1 делит операторов на три класса по числу уникальных субъектов в базе:
- малые — до 10 000 человек;
- средние — от 10 000 до 500 000;
- крупные — от 500 000 и выше.
Если вы обрабатываете данные ограниченного доступа — о здоровье, биометрию, — категория повышается на один уровень. Клиника с базой в 50 000 пациентов юридически оказывается в одном классе с крупным ритейлером.
Крупные операторы обязаны уведомлять уполномоченный орган о начале и прекращении обработки, а орган вносит сведения в реестр в течение 30 рабочих дней. Малым и средним уведомлять не нужно — но это единственное послабление. Хранить данные в Казахстане, получать согласие, маскировать идентификаторы и сообщать об утечках обязаны все.
Есть неочевидная деталь: понятие «уникальный субъект» в законе не раскрыто. Считать ли отдельно сотрудников, клиентов, подписчиков рассылки и посетителей сайта с формой обратной связи? Консультанты уже направили запрос в госорган. В нашей практике мы советуем считать по максимуму — объединённо по всем системам компании. Интернет-магазин с 8 000 покупателей, 3 000 подписчиков и 200 сотрудниками легко переходит порог в 10 000.
Локализация и нейросети: где хранить и куда передавать
Пункт 2 статьи 12 в новой редакции требует хранить персональные данные в базе и (или) цифровом объекте, которые находятся на территории Казахстана. Цифровой объект — это и платформа, и приложение, и облачная среда. Переходного периода для действующих операторов не предусмотрели.
Параллельное хранение за рубежом прямо не запрещено, но казахстанская копия должна быть основной и актуальной, а не архивом, который обновляется раз в квартал. Отдельный приказ о требованиях к защите в редакции, действующей с 12 июля 2026 года, уточняет: базы с персональными данными размещаются в серверном помещении или дата-центре в Казахстане, а данные ограниченного доступа собираются и обрабатываются через цифровые объекты, размещённые в стране.
Что это значит на практике. CRM на зарубежном SaaS, где живут все клиенты, — риск. Google-таблица со списком сотрудников и их ИИН — тоже риск. 1С на сервере в казахстанском дата-центре с репликой во внешний сервис аналитики — допустимо, если основная база здесь и реплика не содержит лишнего.
Самый болезненный вопрос 2026 года — работа с ИИ. Локализация по статье 12 не закрывает требований статьи 16 о трансграничной передаче. Даже если ваш сервер стоит в Алматы, отправка текста с персональными данными в модель зарубежного провайдера — это передача за границу. Неважно, хранит ли провайдер запрос или удаляет сразу. Доступ зарубежного персонала подрядчика к рабочей базе — тоже трансграничная передача.
Передача допускается в страны, обеспечивающие защиту персональных данных, а в остальные — только в случаях, прямо указанных в законе, и для коммерческого сервиса на практике это согласие субъекта. Причём согласие должно быть подтверждаемым и прямо упоминать трансграничную передачу. Формулировку «продолжая пользоваться сервисом, вы соглашаетесь» юристы считают недостаточной.
Поэтому, когда мы проектируем AI-решения для бизнеса, архитектура почти всегда строится одинаково. Перед отправкой в модель данные проходят слой обезличивания: ФИО заменяется меткой, ИИН и телефон маскируются, фото не уходят вовсе. Модель видит «Клиент А заказал 3 позиции и просит перенести доставку», а сопоставление метки с реальным человеком происходит внутри периметра компании. Для задач с медицинскими или биометрическими данными мы рекомендуем модели, развёрнутые в Казахстане, или не отправлять такие данные во внешний ИИ совсем.
Это не перестраховка. Чат-бот поддержки, который пересылает в нейросеть полную переписку с номерами телефонов и адресами, — типичный пример неосознанной трансграничной передачи. Компания узнаёт об этом, когда к ней приходят с проверкой.
Утечка: что делать в первые 24 часа
С 22 сентября 2026 года действуют обновлённые правила уведомления о нарушении безопасности. Собственник или оператор сообщает уполномоченному органу о нарушении в течение одного рабочего дня с момента его обнаружения. В уведомлении указываются контакты ответственного за организацию обработки, принятые меры и данные затронутых субъектов — ФИО и ИИН либо номер телефона, чтобы им можно было направить уведомления.
Для системы защиты персональных данных один рабочий день — очень жёсткий норматив, если в компании никто не знает, кто отвечает за инцидент. Поэтому план реагирования нужен заранее, а не в момент, когда база всплыла в открытом доступе. Он должен отвечать на четыре вопроса: кто фиксирует инцидент, кто оценивает масштаб, кто готовит уведомление и кто его подписывает.
Санкции тоже растут. Статья 79 КоАП предусматривает штрафы, дифференцированные по размеру бизнеса, и с марта 2025 года они уже были повышены. Весной 2026 года министерство предложило поднять потолок до 5000 МРП — около 21,6 млн тенге при МРП 4325 тенге — и ввести уголовную ответственность за массовые утечки. Это пока проект, но направление понятно.
Подводные камни и ограничения
Честно о том, где закон и практика пока расходятся и где компании чаще всего ошибаются:
- Неясные определения. «Уникальный субъект» не определён, порядок ведения реестра нарушений не раскрыт. Часть требований придётся трактовать до появления разъяснений, и трактовка может измениться.
- Бэкапы и логи. Удалить запись из CRM легко, а из резервных копий, логов веб-сервера и выгрузок в Excel — нет. Именно там чаще всего остаются «удалённые» данные.
- Подрядчики. Бухгалтерия на аутсорсе, рассылочный сервис, разработчик с доступом к боевой базе — каждый из них обрабатывает ваши данные. Ответственность перед субъектом всё равно на вас.
- Обезличивание не абсолютно. Маскированная выборка из редких профессий небольшого города может однозначно указывать на человека. Анонимизация требует проверки, а не одной галочки.
- Стоимость локализации. Переезд с зарубежного SaaS в казахстанский дата-центр или на локальный сервер — это деньги и время на миграцию, особенно если система интегрирована с 1С и сайтом.
- Бумажная безопасность. Политика конфиденциальности на сайте ничего не стоит, если пароль от базы лежит в общем чате. Проверяют факт, а не документы.
Что из этого следует на практике, зависит от роли. Специалисту — бухгалтеру, HR, ИТ-администратору — стоит начать с инвентаризации: где лежат персональные данные, в каких системах, таблицах и чатах, кто к ним имеет доступ. Обычно это неприятное открытие: данные сотрудников находятся не только в 1С:ЗУП, но и в пяти Excel-файлах, на личных ноутбуках и в мессенджере.
Руководителю — назначить ответственного за организацию обработки и утвердить регламент реагирования на утечку с конкретными людьми и сроками. Второй шаг — пересмотреть формы согласия на сайте и в анкетах: согласие должно быть явным, подтверждаемым и упоминать передачу за рубеж, если она есть.
Собственнику — оценить класс оператора и решение по локализации. Если основная база живёт за границей, нужен план переезда и бюджет. Здесь же стоит решить, как компания использует ИИ: запретить сотрудникам копировать клиентские данные в публичные чат-боты, а для полезных сценариев выстроить контролируемый процесс через обезличивание. Часть работы — маскирование, разграничение доступа, журналирование, удаление по запросу — хорошо автоматизируется на уровне бизнес-процессов, а не держится на дисциплине людей.
Защита персональных данных в 2026 году перестала быть разделом в политике конфиденциальности, который никто не читает. Это свойство архитектуры: где стоит сервер, что уходит в нейросеть, кто видит ИИН и как быстро компания замечает утечку. Те, кто встроит эти ответы в свои системы сейчас, получат не только спокойствие при проверке, но и доверие клиентов, которое в эпоху регулярных утечек становится конкурентным преимуществом.
Частые вопросы
Нужно ли малому бизнесу уведомлять госорган об обработке персональных данных?
Нет, если в базе меньше 500 000 уникальных субъектов и нет данных ограниченного доступа, повышающих категорию. Уведомление о начале и прекращении обработки обязательно только для крупных операторов. Но требования о согласии, хранении в Казахстане, защите и сообщении об утечке в течение одного рабочего дня действуют для всех, включая ИП с небольшой клиентской базой.
Можно ли хранить базу клиентов в зарубежном облаке?
Основная и актуальная база с персональными данными должна находиться на территории Казахстана — в базе или цифровом объекте, размещённом в стране. Параллельная копия за рубежом прямо не запрещена, но это трансграничная передача: нужно согласие субъектов или передача в страну, обеспечивающую защиту данных. Самый безопасный вариант — основной контур в казахстанском дата-центре.
Можно ли использовать ChatGPT, Claude и другие нейросети с данными клиентов?
Отправка персональных данных в модель зарубежного провайдера считается трансграничной передачей, даже если провайдер их не хранит. Практичный путь — обезличивать данные перед отправкой: заменять ФИО метками, маскировать ИИН и телефоны, не передавать фото и медицинские сведения. Тогда модель решает задачу, а персональные данные остаются внутри компании.
Что грозит компании за утечку персональных данных?
Административные штрафы по статье 79 КоАП, размер которых зависит от категории бизнеса, плюс попадание в государственный реестр нарушений и репутационный ущерб. Министерство предлагало поднять максимальный штраф до 5000 МРП и ввести уголовную ответственность за массовые утечки — это пока проект.