Справочник терминов и определений

Опубликовано: 29.10.2026. Обновлено: 02.11.2026. Определения сверены с Законом РК «О персональных данных и их защите» в редакции по состоянию на 14.09.2026, Законом РК «О кибербезопасности» по состоянию на 25.08.2026, Правилами № 179 по состоянию на 21.09.2026, Правилами № 199 по состоянию на 19.09.2026, Правилами № 395 по состоянию на 02.10.2026, Правилами № 481 по состоянию на 22.09.2026, Правилами № 535 в первоначальной редакции (действуют с 20.09.2026), проверочным листом в первоначальной редакции и Регламентом (ЕС) 2016/679 (GDPR) в редакции по состоянию на 29.10.2026. Глоссарий обновлён 2 ноября 2026 года. Если после даты сверки закон изменился, перепроверьте изменения самостоятельно.

Здесь собраны термины, которые встречаются в статьях блога. Где закон даёт определение, приводим его дословно; где не даёт, так и пишем и указываем, где термин встречается. Вернуться к списку статей можно через карту блога.

Термины от А до Я

GDPR · Автоматизированная обработка · Анонимизация · База · Биометрические данные · Блокирование · ВНД · Государственная техническая служба · Государственный сервис · ГТС · Закон · Закон о кибербезопасности · Закон о ПДн · Защита ПДн · Идентификатор ПДн · Изменение и дополнение · Использование · Категории операторов · КДП · Конфиденциальность ПДн · Лицо, ответственное за организацию обработки · Локализация ПДн · Маскирование · МРП · Накопление · Нарушение безопасности ПДн · Негосударственный сервис · НПА · Обезличивание · Обработка · Общедоступные ПДн · Оператор · Передача · Перечень ПДн · Персональные данные · ПДн ограниченного доступа · Политика конфиденциальности · Политика оператора · Правила · Правила № 199 · Правила № 395 · Правила № 481 · Правила № 535 · Проверочный лист · Распространение · Распространение в общедоступных источниках · Регулятор · Реестр лиц, обрабатывающих ПДн · Реестр нарушений безопасности · Сбор · СКЗИ · Собственник · Согласие субъекта · Субъект · Трансграничная передача · Третье лицо · Уведомление о начале обработки · Удаление · Уникальные субъекты · Уничтожение · Уполномоченный орган · Хеширование · Хранение · Цифровой объект

Как читать: текст в кавычках — дословная цитата из Закона о ПДн со ссылкой на подпункт статьи 1 или на другую статью. Текст с пометкой «Пояснение автора» — практический комментарий, а не норма. Если термин в законе не определён, так и написано, и указано, где он встречается.

Основные понятия

Персональные данные (ПДн) — «сведения или совокупность сведений о субъекте персональных данных, дополненные одним или несколькими идентификаторами персональных данных» (подп. 2 ст. 1, в редакции с 12.07.2026).

Идентификатор персональных данных — «информация, позволяющая идентифицировать субъект персональных данных или связать отдельные наборы данных о нем в совокупность сведений, позволяющих идентифицировать данного субъекта» (подп. 14-1 ст. 1, с 25.08.2026). Закон относит к идентификаторам: «фамилия, имя, отчество (если оно указано в документе, удостоверяющем личность) в совокупности», «индивидуальный идентификационный номер», «изображение лица субъекта», «биометрический вектор лица субъекта или его производные, которые могут быть восстановлены до первоначального значения» (ст. 6).

То же определение повторено в подп. 7 п. 2 Правил № 535. Идентификаторы ПДн, которые используются в цифровых системах, хешируют (подп. 5 п. 10 Правил № 535), см. хеширование цифровых данных.

Общедоступные ПДн — «персональные данные или сведения, на которые в соответствии с законами Республики Казахстан не распространяются требования соблюдения конфиденциальности, доступ к которым является свободным с согласия субъекта» (ст. 6).

ПДн ограниченного доступа — «персональные данные, доступ к которым ограничен законодательством Республики Казахстан» (ст. 6). Если такие данные обрабатывает собственник и (или) оператор, его категория повышается на один уровень (п. 3 ст. 25-1, п. 17 Правил). Единого перечня таких данных в законе нет. Пояснение автора (не норма): если персональные данные не являются общедоступными, это ещё не означает, что они автоматически относятся к данным ограниченного доступа. Для этого нужно учитывать, устанавливает ли законодательство ограничения на доступ к таким сведениям.

Связь с тайнами. Закон о ПДн прямо не говорит, что ПДн ограниченного доступа — это сведения, составляющие тайну. Но сам закон называет охраняемые законом тайны: интеграция с государственным сервисом осуществляется «с соблюдением норм законодательства Республики Казахстан по представлению сведений, отнесенных к государственным секретам, личной, семейной, банковской, коммерческой тайне, тайне медицинского работника и иным охраняемым законом тайнам, а также другой конфиденциальной информации» (п. 1 ст. 8-1), а защита ПДн осуществляется в том числе в целях «реализации прав на неприкосновенность частной жизни, личную и семейную тайну» (подп. 1 ст. 21). Пояснение автора (не норма): доступ к ПДн чаще всего ограничивают законы о конкретных видах тайн, поэтому их перечень — хороший ориентир, какие данные у вас относятся к ограниченному доступу.

Виды тайн, которые названы в самом Законе о ПДн (п. 1 ст. 8-1):

• государственные секреты;
• личная тайна;
• семейная тайна;
• банковская тайна;
• коммерческая тайна;
• тайна медицинского работника;
• «иные охраняемым законом тайны».

Виды тайн в законодательстве РК (список не окончательный) и где они установлены:

Субъект персональных данных (субъект) — «физическое лицо, к которому относятся персональные данные» (подп. 16 ст. 1). Пояснение автора (не норма): работник, кандидат, клиент, посетитель сайта.

Биометрические данные — сведения о физических или биологических особенностях человека, которые могут использоваться для установления его личности. Например, изображение лица, отпечатки пальцев, особенности голоса или рисунок радужки глаза.

Участники процесса

Собственник базы и (или) цифрового объекта, содержащего ПДн — «государственный орган, физическое и (или) юридическое лицо, реализующие в соответствии с законами Республики Казахстан право владения, пользования и распоряжения базой на бумажном носителе и (или) цифровым объектом, содержащим персональные данные» (подп. 9 ст. 1).

Оператор базы и (или) цифрового объекта, содержащего ПДн — «государственный орган, физическое и (или) юридическое лицо, осуществляющие сбор, обработку и защиту персональных данных» (подп. 10 ст. 1). Пояснение автора (не норма): на практике компания обычно одновременно и собственник, и оператор.

Третье лицо — «лицо, не являющееся субъектом, собственником и (или) оператором, но связанное с ними (ним) обстоятельствами или правоотношениями по сбору, обработке и защите персональных данных» (подп. 17 ст. 1).

При предоставлении третьим лицам доступа к ПДн применяют маскирование (подп. 3 п. 5 Правил № 535). Если доступ даётся с согласия субъекта, собственник и (или) оператор предоставляют ПДн «с применением метода маскирования только в минимально необходимом объеме, достаточном для достижения цели их обработки» (п. 7 Правил № 535).

Уполномоченный орган — Комитет по информационной безопасности (КИБ) Министерства искусственного интеллекта и цифрового развития Республики Казахстан (МИИЦРК). Официальный интернет ресурс - https://www.gov.kz/org/infsecurity

Государственная техническая служба (ГТС) — «юридическое лицо, созданное по решению Правительства Республики Казахстан» (подп. 27 ст. 1 Закона РК «О кибербезопасности», ред. на 25.08.2026). В Законе о ПДн своего определения нет, но ГТС в нём упоминается: собственник, оператор и третье лицо обязаны обеспечить «предоставление доступа государственной технической службе к цифровым объектам, использующим, хранящим, обрабатывающим и распространяющим персональные данные ограниченного доступа, содержащиеся в цифровых ресурсах, для осуществления обследования обеспечения защищенности процессов хранения, обработки и распространения персональных данных ограниченного доступа, содержащихся в цифровых ресурсах в порядке, определяемом уполномоченным органом» (подп. 4 п. 1 ст. 22; то же в подп. 4 п. 21 Правил). Кроме того, сведения ГТС — один из источников информации для периодических проверок государственных органов (подп. 4 п. 1 ст. 27-3).

Полномочия ГТС перечислены в п. 1 ст. 14 Закона о кибербезопасности как виды деятельности, «отнесенные к государственной монополии». Главное для темы ПДн и ИБ:

• «осуществляет обследование обеспечения защищенности процессов хранения, обработки и распространения персональных данных, содержащихся в цифровых объектах» (подп. 7);
• «проводит испытания на соответствие требованиям кибербезопасности цифровых объектов «цифрового правительства»» (подп. 2) и экспертизу инвестиционных предложений, финансово-экономических обоснований и технических заданий на создание или развитие таких объектов (подп. 3);
• «принимает участие в осуществлении государственного контроля в сфере цифровизации в части обеспечения кибербезопасности» (подп. 10);
• «реализует задачи и функции Национального координационного центра кибербезопасности» (подп. 5) и ведёт мониторинг интернет-ресурсов и системы доменных имён казахстанского сегмента Интернета (подп. 4);
• обеспечивает работу единого шлюза доступа к Интернету и единого шлюза электронной почты «цифрового правительства» (подп. 1) и единой национальной резервной платформы хранения цифровых ресурсов (подп. 9);
• с 25.08.2026 проводит техническое освидетельствование СКЗИ, используемых в цифровых объектах «цифрового правительства» и критически важных цифровых объектах (подп. 12).

Остальные подпункты п. 1 ст. 14: Национальная система видеомониторинга (подп. 6), цифровые объекты Национального координационного центра (подп. 8), Национальный репозиторий исходных кодов (подп. 11), единая платформа журналирования цифровых событий (подп. 13). Цены на услуги ГТС устанавливает Комитет национальной безопасности по согласованию с антимонопольным органом (п. 2 ст. 14).

Лицо, ответственное за организацию обработки персональных данных — сотрудник, на которого возложены обязанности по организации обработки персональных данных и обеспечению соблюдения установленных требований к их защите. Юридическое лицо обязано «назначить лицо, ответственное за организацию обработки персональных данных» (подп. 10 п. 2 ст. 25), обязанности этого лица перечислены в п. 3 ст. 25. Сведения о нём (при наличии) указываются в журнале учёта операций маскирования и хеширования (подп. 7 пп. 8, 14 Правил № 535). Пояснение автора (не норма): на практике функции по организации обработки и защите персональных данных нередко возлагаются на подразделение информационной безопасности. Организации, располагающие соответствующими ресурсами, могут выделять отдельную функцию или должность Data Protection Officer (DPO).

Малые, средние и крупные операторы — классификация по ст. 25-1 Закона.
К малым относятся собственники и (или) операторы, а также третьи лица, осуществляющие сбор и обработку персональных данных не более десяти тысяч уникальных субъектов.
К средним - от десяти тысяч до пятисот тысяч уникальных субъектов.
К крупным - пятьсот тысяч и более уникальных субъектов персональных данных.
В случаях сбора и обработки персональных данных ограниченного доступа категория собственника и (или) оператора повышается на один уровень» (п. 3 ст. 25-1; то же в п. 17 Правил). Пояснение автора (не норма): повышение прямо установлено только для собственника и (или) оператора; третьи лица классифицируются самостоятельно, по количеству уникальных субъектов. Как посчитать категорию — в статье «Уведомление о начале обработки ПДн и категории операторов».

Уникальные субъекты — в Законе не определено. Для определения категории оператора «учитывается общее количество уникальных субъектов персональных данных, персональные данные которых обрабатываются собственником и (или) оператором, а также третьим лицом в рамках одной или нескольких цифровых объектов» (п. 2 ст. 25-1). Пояснение автора: считаются люди, а не записи: клиент, который есть и в CRM, и в 1С, — один субъект. Как посчитать субъектов и определить категорию, разобрано в статье «Уведомление о начале обработки ПДн»

Действия с ПДн

Сбор — «действия, направленные на получение персональных данных» (подп. 5 ст. 1).

Обработка — «действия, направленные на накопление, хранение, изменение, дополнение, использование, распространение, обезличивание, анонимизацию, блокирование, уничтожение и удаление персональных данных» (подп. 12 ст. 1, в редакции с 25.08.2026). Пояснение автора (не норма): сбор в этот перечень не входит, поэтому закон почти везде пишет «сбор, обработка».

Автоматизированная обработка — «обработка персональных данных объектом информатизации, исключающая участие собственника и (или) оператора, а также третьего лица в процессе обработки» (подп. 2-3 ст. 1, с 18.01.2026). Если в результате у субъекта «возникают, изменяются или прекращаются права, законные интересы», такая обработка запрещена без согласия субъекта, кроме случаев, предусмотренных законами; субъект вправе заявить возражение, его рассматривают за три рабочих дня (ст. 19-1).

Накопление — «действия по систематизации персональных данных путем их внесения в базу, содержащую персональные данные, и (или) цифровой объект, содержащий персональные данные» (подп. 4 ст. 1).

Хранение — «действия по обеспечению целостности, конфиденциальности и доступности персональных данных» (подп. 14 ст. 1). Хранить ПДн нужно в базе и (или) цифровом объекте «которые находятся на территории Республики Казахстан»; срок хранения «определяется датой достижения целей их сбора и обработки, если иное не предусмотрено законодательством Республики Казахстан» (п. 2 ст. 12).

Изменение и дополнение — в Законе не определено, хотя оба действия входят в понятие обработки (подп. 12 ст. 1). Порядок установлен ст. 13: «Изменение и дополнение персональных данных осуществляются собственником и (или) оператором на основании обращения (запроса) субъекта или его законного представителя либо в иных случаях, предусмотренных законами Республики Казахстан». Пояснение автора (не норма): исправление и пополнение сведений в базе или системе.

Использование — «действия с персональными данными, направленные на реализацию целей деятельности собственника, оператора и третьего лица» (подп. 13 ст. 1). Использовать ПДн можно «только для ранее заявленных целей их сбора» (ст. 14).

Распространение — «действия, в результате совершения которых происходит передача персональных данных, в том числе посредством масс-медиа, или предоставление доступа к персональным данным определенному лицу или определенному кругу лиц заранее определенным способом» (подп. 15 ст. 1).

Распространение в общедоступных источниках — «действия, в результате совершения которых доступ к персональным данным предоставляется неограниченному кругу лиц» (подп. 3-2 ст. 1, с 25.08.2026). Пояснение автора (не норма): отличие от обычного распространения в том, что круг получателей не ограничен, например публикация в открытом доступе.

Передача — в Законе не определено. Слово используется в определениях распространения (подп. 15 ст. 1), государственного и негосударственного сервиса («передачу третьим лицам», подп. 2-1, 2-2 ст. 1) и трансграничной передачи (ст. 16). Пояснение автора (не норма): например, компания передаёт данные клиента банку для проведения платежа или подрядчику для выполнения определённой услуги. При этом передача данных должна иметь соответствующее правовое основание и осуществляться с соблюдением требований законодательства.

Трансграничная передача — «передача персональных данных на территорию иностранных государств» (п. 1 ст. 16).

Блокирование — «действия по временному прекращению сбора, накопления, изменения, дополнения, использования, распространения, обезличивания, уничтожения и удаления персональных данных» (подп. 3 ст. 1).

Маскирование — «процесс защиты информации путем замены части реальных персональных данных на недействительные и (или) обезличенные» (подп. 3-1 ст. 1, с 25.08.2026). Пояснение автора (не норма): например, номер банковской карты или телефона, у которого видны только последние цифры 1234 xxxx xxxx xx67.

Закон требует маскировать ПДн, не подлежащие распространению, «при размещении информации в общедоступных источниках» (п. 4 ст. 7). Порядок маскирования установлен Правилами № 535: маскирование «осуществляется путем скрытия или замены части персональных данных специальными символами» (п. 4) и применяется «в целях предотвращения несанкционированного доступа к персональным данным», в том числе при доступе пользователей цифровых систем и третьих лиц, в тестовой, демонстрационной и аналитической средах, при отображении в пользовательских интерфейсах, в отчётах, при печати и выгрузке, если полный объём ПДн не нужен, и при обмене через интеграцию, если для цели обработки полный объём не требуется (п. 5). Маскируют до совершения этих действий (п. 6), каждую операцию записывают в журнал учёта операций (п. 8 Правил № 535).

Пояснение автора (не норма): на практике это значит, что в тестовой базе, в выгрузке для подрядчика и на экране оператора колл-центра должны быть замаскированные данные, а не полные, если полные для задачи не нужны.

Обезличивание — «действия, в результате совершения которых определение принадлежности персональных данных субъекту персональных данных невозможно» (подп. 7 ст. 1).

Анонимизация — «действия, направленные на необратимое преобразование идентификаторов персональных данных, в результате совершения которых определение принадлежности персональных данных субъекту персональных данных невозможно» (подп. 2-5 ст. 1, с 25.08.2026). Пояснение автора (не норма): в отличие от обезличивания, закон прямо говорит о необратимости.

Уничтожение — «действия, в результате совершения которых невозможно восстановить персональные данные» (подп. 6 ст. 1).

Удаление — «действия, направленные на исключение персональных данных из цифрового объекта, в результате совершения которых невозможно восстановить персональные данные» (подп. 2-4 ст. 1, с 25.08.2026). Пояснение автора (не норма): удаляют из цифровых систем, уничтожают в остальных случаях, например бумажные документы.

Где хранятся ПДн

База — «совокупность упорядоченных персональных данных на бумажном носителе» (подп. 8 ст. 1, полное название: «база, содержащая персональные данные»). Пояснение автора (не норма): в законе «база» только бумажная. Почему так — одному автору закона известно.

Цифровой объект — «цифровой объект, содержащий совокупность упорядоченных персональных данных» (подп. 10-1 ст. 1, полное название: «цифровой объект, содержащий персональные данные», с 25.08.2026). Пояснение автора (не норма): это CRM, 1С, таблицы, облачные сервисы.

Локализация ПДн — в Законе не определено. Пояснение автора (не норма): так на практике называют требование хранить ПДн «в базе и (или) цифровом объекте, которые находятся на территории Республики Казахстан» (п. 2 ст. 12); для цифровых ресурсов — в серверном помещении или центре обработки данных в РК (п. 18 Правил № 179). Подробнее в статье «Локализация ПДн, трансграничная передача и шифрование» (скоро).

Защита и нарушения

Защита ПДн — «комплекс мер, в том числе правовых, организационных и технических, осуществляемых в целях, установленных настоящим Законом» (подп. 11 ст. 1).

Конфиденциальность ПДн — в Законе не определено. Ст. 11 описывает обязанность: собственники, операторы и третьи лица, получающие доступ к ПДн ограниченного доступа, «обеспечивают их конфиденциальность путем соблюдения требований не допускать их распространения без согласия субъекта или его законного представителя либо наличия иного законного основания» (п. 1 ст. 11); эта обязанность распространяется и на лиц, которым такие данные стали известны «в связи с профессиональной, служебной необходимостью, а также трудовыми отношениями» (п. 2 ст. 11).

СКЗИ (средства криптографической защиты информации) — в Законе о ПДн не определено. Правила № 179 требуют хранить и передавать ПДн ограниченного доступа «с использованием средств криптографической защиты информации, имеющих параметры не ниже третьего уровня безопасности согласно стандарту Республики Казахстан СТ РК 1073-2007» (подп. 9 п. 15 Правил № 179).

Хеширование цифровых данных — «процесс преобразования цифровых данных любого размера в строку фиксированной длины с целью их защиты» (подп. 18 ст. 1, с 25.08.2026).

Порядок хеширования установлен Правилами № 535. Хешированное значение — «результат преобразования цифровых данных с применением алгоритма хеширования», цифровые данные — «информация, предоставленная в цифровой форме и пригодная для автоматизированного и (или) аналитического сбора, хранения, обработки, использования, передачи, распространения или удаления независимо от способа ее получения и формы цифрового предоставления» (подп. 9, 10 п. 2 Правил № 535). Хешируют «с применением алгоритма хеширования в соответствии с СТ РК ГОСТ Р 34.11-2015» (п. 9) и «без возможности восстановления исходного значения из результата преобразования» (п. 12), в том числе при хранении данных, когда исходное значение не нужно, при проверке и сопоставлении данных, для аутентификации и при использовании идентификаторов ПДн в цифровых системах (п. 10). После хеширования в обработке используют хешированное значение (п. 13), операцию записывают в журнал учёта операций (п. 14 Правил № 535).

Пояснение автора (не норма): Правила называют конкретный стандарт. СТ РК ГОСТ Р 34.11-2015 идентичен российскому ГОСТ Р 34.11-2012 (в заголовке стандарта пометка «IDT»): это функция хеширования «Стрибог» с длиной хеш-кода 256 или 512 бит (разд. 1, 4 стандарта). Распространённые SHA-256, bcrypt или Argon2 этим стандартом не являются, поэтому при доработке систем стоит проверить, каким алгоритмом хешируются пароли и идентификаторы.

Нарушение безопасности ПДн — «нарушение защиты персональных данных, повлекшее незаконное распространение, изменение, уничтожение и удаление, несанкционированное распространение передаваемых, хранимых или иным образом обрабатываемых персональных данных или несанкционированный доступ к ним» (подп. 15-2 ст. 1, с 25.08.2026). Пояснение автора (не норма): утечка или несанкционированный доступ. Порядок уведомления о нарушении установлен Правилами № 481.

Реестр нарушений безопасности ПДн — «перечень персональных данных, безопасность которых нарушена» (подп. 15-1 ст. 1). Ведёт уполномоченный орган, в том числе на основе информации из общедоступных источников (п. 1 ст. 23-2).

МРП (месячный расчётный показатель) — в МРП измеряются размеры штрафов в КоАП и УК, в том числе за нарушения в сфере ПДн. На 2026 год 1 МРП = 4 325 тенге. Пояснение автора (не норма): сумма штрафа в тенге = число МРП × размер МРП на дату.

Реестры, сервисы и уведомление

Реестр лиц, осуществляющих сбор и (или) обработку ПДн — «перечень собственников и (или) операторов, а также третьих лиц, осуществляющих сбор и (или) обработку персональных данных» (подпункт 5-1 статьи 1 Закона).

Государственный сервис контроля доступа к ПДн (КДП) — «услуга, обеспечивающая информационное взаимодействие собственников и (или) операторов, третьих лиц с субъектом персональных данных и уполномоченным органом при доступе к персональным данным, содержащимся в цифровых объектах государственных органов и (или) государственных юридических лиц, включая получение от субъекта персональных данных согласия на сбор, обработку персональных данных или их передачу третьим лицам» (подп. 2-1 ст. 1).
Пояснение автора (не норма): регламентирующий НПА Приказ Министра цифрового развития, инноваций и аэрокосмической промышленности Республики Казахстан от 29 апреля 2022 года № 144/НҚ "Об утверждении Правил функционирования государственного сервиса контроля доступа к персональным данным"

Как работает КДП (ст. 8-1 Закона):

• Кто обязан подключиться. Собственники, операторы и третьи лица, которые работают с ПДн из цифровых объектов государственных органов и (или) государственных юридических лиц, «обеспечивают интеграцию собственных цифровых объектов, задействованных в процессах сбора и обработки персональных данных, с государственным сервисом», за исключением случаев из подп. 1), 2), 2-1), 9) и 9-2) ст. 9 (п. 1 ст. 8-1). В остальных случаях интеграция добровольная.
• Согласие. Через КДП субъект даёт или отзывает согласие на сбор и обработку своих ПДн из государственных баз (подп. 1, 2 п. 2 ст. 8-1). Если данные берутся из государственных цифровых объектов, «согласие предоставляется посредством государственного сервиса» (п. 1 ст. 8).
• Уведомления. Субъект получает уведомление о действиях с его ПДн в государственных базах: «доступ, просмотр, изменение, дополнение, передача, блокирование, уничтожение, удаление» (подп. 3 п. 2 ст. 8-1). В случаях из подп. 4), 6), 8) и 9-3) ст. 9 он также узнаёт, кто запрашивал доступ к его данным (п. 3 ст. 8-1).
• Прозрачность. Субъект может узнать, у каких собственников и операторов есть его согласие на обработку таких данных (подп. 4 п. 2 ст. 8-1).
• Порядок. Правила функционирования КДП и правила интеграции с ним утверждает уполномоченный орган (подп. 7-2 и 7-4 п. 1 ст. 27-1).

Пояснение автора (не норма): сокращение «КДП» в Законе не используется, это название из практики. Если вы получаете данные клиентов из государственных баз, по общему правилу нужны интеграция с КДП и согласие, полученное через него; исключения перечислены в ст. 9.

Негосударственный сервис контроля доступа к ПДн — «услуга, обеспечивающая информационное взаимодействие собственников и (или) операторов, третьих лиц с субъектом персональных данных при доступе к персональным данным, содержащимся в негосударственных цифровых объектах, включая получение от субъекта персональных данных согласия на сбор, обработку персональных данных или их передачу третьим лицам» (подп. 2-2 ст. 1).

Уведомление о начале и прекращении обработки — как термин в Законе не определено. Собственник, оператор и третье лицо «до начала обработки и прекращения обработки персональных данных обязаны уведомить уполномоченный орган» (п. 1 ст. 10-1); малые и средние вправе обрабатывать ПДн без уведомления (п. 2 ст. 10-1). Что указать в уведомлении — в статье «Уведомление о начале обработки ПДн и категории операторов».
Пояснение автора (не норма): несмотря на отсутствие четких указаний для тех, кто уже обрабатывал ПДн на момент вступления правок в силу, уведомить регулятора и попасть в реестр должны все крупные операторы, а малые и средние вправе этого не делать (п. 2 ст. 10-1).

Документы и согласие

Перечень ПДн — как отдельный термин в Законе не определено. Собственник и (или) оператор обязаны «утверждать перечень персональных данных, необходимый и достаточный для выполнения осуществляемых ими задач, если иное не предусмотрено законами Республики Казахстан» (подп. 1 п. 2 ст. 25). Субъект вправе получить от собственника, оператора или третьего лица сведения, в том числе «перечень персональных данных» (подп. 1 п. 1 ст. 24).

Порядок составления перечня установлен Правилами определения собственником и (или) оператором перечня персональных данных, необходимого и достаточного для выполнения осуществляемых ими задач (приказ № 199/НҚ от 21.06.2023), см. Правила № 199:

• до начала сбора и обработки собственник и (или) оператор «проводят анализ осуществляемых ими задач на предмет использования персональных данных» (п. 3 Правил № 199), а в ходе работы по мере необходимости проводят повторный анализ и вносят изменения в перечень;
• перечень составляют по форме из приложения к Правилам «с указанием целей их сбора и обработки в рамках задач» (п. 4); в форме три графы: задача (в том числе функции, полномочия, обязанности), цели сбора и обработки, наименование ПДн для определённой цели;
• «Цели являются однозначными, законными и соответствуют осуществляемым собственником и (или) оператором задачам» (п. 4);
• «Персональные данные, содержание и объем которых являются избыточными по отношению к осуществляемым собственником и (или) оператором задач, не включаются в перечень персональных данных, необходимый и достаточный для выполнения осуществляемых ими задач» (п. 4);
• к перечню нужно обеспечить доступ «способами, не запрещенными законодательством Республики Казахстан» (п. 5).

Пояснение автора (не норма): перечень — это таблица «задача → цель → какие ПДн собираем». Всё, что собирается сверх этой таблицы, инспектор вправе считать избыточным.

Согласие субъекта — в Законе не определено. Субъект или его законный представитель «дает (отзывает) согласие на сбор, обработку персональных данных письменно, посредством государственного сервиса, негосударственного сервиса либо иным способом, позволяющим подтвердить получение согласия» (п. 1 ст. 8). Отозвать согласие нельзя, если «это противоречит законам Республики Казахстан, либо при наличии неисполненного обязательства» (п. 2 ст. 8).

ВНД (внутренний нормативный документ) — термин в Законе о ПДн не используется. Правила № 179 требуют утвердить «внутренние документы, определяющие порядок сбора, обработки и защиты персональных данных» (подп. 5 п. 12).
Пояснение автора (не норма): рекомендуется утверждать Политику как публичный документ регламентирующий принципы обработки ПДн, а так же Правила как внутренний ВНД регламентирующий внутренние процессы обработки и обеспечения безопасности.

Политика оператора — в Законе не определено. Оператор обязан утверждать «документы, определяющие политику оператора в отношении сбора, обработки и защиты персональных данных» (подп. 1-1 п. 2 ст. 25). Пояснение автора (не норма): публичную версию часто называют политикой конфиденциальности.

Политика конфиденциальности — в Законе не определено, термин в Законе о ПДн не используется. Пояснение автора (не норма): так называют публичную версию политики оператора, которую размещают на сайте или в приложении: какие ПДн собираются, зачем, кому передаются, где хранятся и как субъекту реализовать свои права. Подробнее в статье «Политика конфиденциальности: что это, откуда взялась и что нужно сделать» (скоро).

Нормативные акты

НПА (нормативный правовой акт) — «письменный официальный документ установленной формы, принятый на всенародном референдуме либо уполномоченным органом, устанавливающий нормы права, изменяющий, дополняющий, прекращающий или приостанавливающий их действие» (подп. 25 ст. 1 Закона РК от 06.04.2016 № 480-V «О правовых актах»). Норма права в том же законе — «общеобязательное правило поведения постоянного или временного характера, рассчитанное на многократное применение, распространяющееся на индивидуально неопределенный круг лиц в рамках регулируемых общественных отношений» (подп. 18 ст. 1). Отсюда главные признаки НПА: он официальный, общеобязательный, адресован неопределённому кругу лиц и рассчитан на многократное применение. Этим НПА отличается от индивидуального акта, например приказа о назначении конкретного работника.

НПА «подразделяются на основные и производные» (п. 1 ст. 7). «Высшей юридической силой обладает Конституция Республики Казахстан» (п. 1 ст. 10). Ниже по убыванию силы идут (п. 2 ст. 10): законы о поправках в Конституцию; конституционные законы; кодексы; законы; нормативные правовые указы Президента; нормативные постановления Курултая; нормативные правовые постановления Правительства; нормативные правовые приказы министров и иных руководителей центральных государственных органов и нормативные постановления центральных государственных органов (в том числе Национального Банка); приказы руководителей ведомств; местные акты маслихатов, акиматов и акимов. К производным видам относятся положение, технический регламент, правила и инструкция (п. 3 ст. 7).

Пояснение автора (не норма): в теории права НПА делят на законы и подзаконные акты, которые принимаются на основе и во исполнение законов: указы, постановления, приказы. Конституция при этом стоит над законами, а не входит в их число. В самом Законе о правовых актах такого деления нет: там основные и производные виды и иерархия по юридической силе. Для темы ПДн это значит, что Правила, Правила № 199, Правила № 395 и Правила № 481 — производные НПА вида «правила», утверждённые основным НПА, приказом министра, и они не могут противоречить Закону.

Закон (Закон о ПДн) — Закон Республики Казахстан от 21.05.2013 № 94-V «О персональных данных и их защите», редакция по состоянию на 14.09.2026. Цель закона: «обеспечение защиты прав и свобод человека и гражданина при сборе и обработке его персональных данных» (ст. 2). Им «регулируются отношения, связанные со сбором, обработкой и защитой персональных данных» (п. 1 ст. 3). Законодательство о ПДн «основывается на Конституции Республики Казахстан и состоит из настоящего Закона и иных нормативных правовых актов Республики Казахстан» (п. 1 ст. 4), в том числе приказов уполномоченного органа, которые описаны ниже.

Что в Законе (редакция на 14.09.2026):

• основные понятия (ст. 1): из них взято большинство определений этого глоссария;
• сбор и обработка: согласие субъекта (ст. 8), государственный сервис и негосударственный сервис (ст. 8-1, 8-2), обработка без согласия (ст. 9), уведомление о начале и прекращении обработки (ст. 10-1), хранение и локализация (ст. 12), трансграничная передача (ст. 16), уничтожение и удаление (ст. 18);
• защита: обязанности по мерам защиты (ст. 22), защита цифровых объектов, маскирование и хеширование (ст. 23, порядок установлен Правилами № 535), реестр нарушений безопасности (ст. 23-2);
• права и обязанности субъекта (ст. 24), собственника и оператора (ст. 25), категории операторов (ст. 25-1);
• государственное регулирование: компетенция уполномоченного органа (ст. 27-1), контроль за собственниками, операторами и третьими лицами только в форме внеплановой проверки (ст. 27-2), проверки государственных органов, в том числе периодические (ст. 27-3), ответственность «в соответствии с законами Республики Казахстан» (ст. 29), то есть по КоАП и УК.

Важные изменения: Закон РК от 30.12.2021 № 96-VII (с 02.03.2022: государственный и негосударственный сервисы, подп. 1-1 п. 2 ст. 25 о политике оператора); Закон РК от 24.06.2026 № 326-VIII (с 25.08.2026: ст. 10-1 и 25-1, новые понятия в ст. 1). Уже принят, но ещё не вступил: Закон РК от 12.06.2026 № 311-VIII (с 01.01.2027).

Пояснение автора (не норма): в статьях блога «Закон» или «Закон о ПДн» — это именно этот закон. Другие законы называем полностью, например Закон о кибербезопасности.

В статьях: «Проверка по персональным данным: 33 пункта» и все статьи о персональных данных.

Закон о кибербезопасности — Закон Республики Казахстан от 24.11.2015 № 418-V «О кибербезопасности», редакция по состоянию на 25.08.2026. До 12.07.2026 назывался «Об информатизации» (новое название дано Законом РК от 09.01.2026 № 256-VIII). Сфера действия: «общественные отношения в сфере кибербезопасности, возникающие на территории Республики Казахстан между государственными органами, физическими и юридическими лицами на всех этапах жизненного цикла цифровых объектов» (ст. 3). Для темы ПДн важен тем, что определяет ГТС (подп. 27 ст. 1, ст. 14) и требования к защите цифровых объектов: защита цифровых объектов с ПДн ведётся «в соответствии с настоящим Законом и цифровым законодательством Республики Казахстан» (п. 1 ст. 23 Закона о ПДн).

Пояснение автора (не норма): в документах и ответах госорганов до июля 2026 года этот закон встречается под старым названием «Об информатизации».

В статьях: «Кто такой DPO и где проходит граница с информационной безопасностью» (скоро).

Проверочный лист — проверочный лист за соблюдением законодательства Республики Казахстан о персональных данных и их защите в отношении собственников и (или) операторов, а также третьих лиц, утверждён совместным приказом Министра цифрового развития, инноваций и аэрокосмической промышленности РК № 149/НҚ и Заместителя Премьер-Министра — Министра национальной экономики РК № 12 от 19.03.2024. Утверждён в соответствии с п. 1 ст. 143 Предпринимательского кодекса РК. Первоначальная редакция, изменений не найдено. В листе 33 требования, по каждому инспектор при внеплановой проверке отмечает «соответствует требованиям» или «не соответствует требованиям».

Пояснение автора (не норма): проверочный лист удобно использовать как чек-лист самопроверки, его пункты опираются на основные регуляторные требования.

В статьях: «Проверка по персональным данным: 33 пункта», «Уведомление о начале обработки ПДн и категории операторов», «Политика конфиденциальности в Казахстане» (скоро), «Локализация персональных данных, трансграничная передача и шифрование» (скоро).

Правила (Правила № 179) — Правила осуществления собственником и (или) оператором, а также третьим лицом мер по защите персональных данных, утверждены приказом Министра цифрового развития, инноваций и аэрокосмической промышленности РК от 12.06.2023 № 179/НҚ. Действуют в редакции приказов Заместителя Премьер-Министра — Министра искусственного интеллекта и цифрового развития РК от 22.06.2026 № 338/НҚ (введён в действие с 12.07.2026) и от 03.09.2026 № 534/НҚ (с 21.09.2026). Правила разработаны в соответствии с подп. 2-3 п. 1 ст. 27-1 Закона о ПДн и «определяют порядок осуществления собственником и (или) оператором, а также третьим лицом мер по защите персональных данных» (п. 1 Правил). Это тот самый «порядок, определяемый уполномоченным органом», по которому нужно принимать меры защиты (п. 1 ст. 22 Закона).

Что в Правилах (редакция на 21.09.2026):

• уведомление о начале и прекращении обработки и его содержание (пп. 3–7);
• малые, средние и крупные операторы: пороги по числу уникальных субъектов и повышение категории собственника и (или) оператора на один уровень при обработке ПДн ограниченного доступа (пп. 8–10, 17);
• меры защиты по категориям: для малых — п. 12, для средних — п. 12 и п. 13, для крупных — пп. 12–14 (п. 11 требует применять меры «с учетом их категории»);
• дополнительные меры для ПДн ограниченного доступа: журналы, контроль целостности, защищённые каналы, СКЗИ (п. 15), сбор и обработка только через цифровые объекты в РК (п. 16);
• хранение ПДн из цифровых ресурсов в серверном помещении или ЦОД на территории РК (п. 18), см. локализация ПДн;
• лицо, ответственное за организацию обработки ПДн, и его обязанности (пп. 19–20);
• общие меры защиты, в том числе доступ ГТС для обследования (п. 21), интеграция с КДП (п. 22), уведомление уполномоченного органа о нарушении безопасности ПДн в течение одного рабочего дня (п. 23).

Пояснение автора (не норма): в статьях блога «Правила» или «Правила № 179» — это именно этот приказ. Не путайте с внутренним документом компании «Правила обработки ПДн» (ВНД): его требуют сами Правила № 179 (подп. 5 п. 12), но это разные документы. Другие правила называем полностью, например Правила № 199 о перечне ПДн, Правила № 395 о сборе и обработке, Правила № 481 об уведомлении о нарушении безопасности, Правила № 535 о маскировании и хешировании.

Правила № 199 — Правила определения собственником и (или) оператором перечня персональных данных, необходимого и достаточного для выполнения осуществляемых ими задач, утверждены приказом Министра цифрового развития, инноваций и аэрокосмической промышленности РК от 21.06.2023 № 199/НҚ. Редакция по состоянию на 19.09.2026 (последнее изменение приказом Заместителя Премьер-Министра — Министра искусственного интеллекта и цифрового развития РК от 31.08.2026 № 524/НҚ, с 19.09.2026). Разработаны в соответствии с подп. 2-2 п. 1 ст. 27-1 Закона о ПДн и «определяют порядок определения собственником и (или) оператором перечня персональных данных, необходимого и достаточного для выполнения осуществляемых ими задач» (п. 1 Правил № 199).

Что в Правилах № 199: анализ задач до начала сбора и повторно по мере необходимости (п. 3); перечень ПДн по форме из приложения, без избыточных данных (п. 4); доступ к перечню (п. 5).

В статьях: «Проверка по персональным данным: 33 пункта», «Перечень персональных данных: как составить и шаблон» (скоро).

Правила № 395 — Правила сбора, обработки персональных данных, утверждены приказом Министра цифрового развития, инноваций и аэрокосмической промышленности РК от 21.10.2020 № 395/НҚ. Редакция по состоянию на 02.10.2026 (последнее изменение приказом Заместителя Премьер-Министра — Министра искусственного интеллекта и цифрового развития РК от 17.09.2026 № 556/НҚ, с 02.10.2026). Разработаны в соответствии с подп. 7 п. 1 ст. 27-1 Закона о ПДн и «определяют порядок сбора, обработки персональных данных» (п. 1 Правил № 395).

Что в Правилах № 395 (редакция на 02.10.2026):

• распространение в общедоступных источниках (пп. 4-1–4-4);
• сбор и обработка только в объёме перечня ПДн (п. 5) и с мерами защиты по Правилам (п. 7);
• согласие субъекта: способы дачи и отзыва, срок действия (пп. 6–6-3);
• хранение в базе или цифровом объекте на территории РК (п. 11);
• ответ субъекту на запрос о его ПДн в течение трёх рабочих дней (п. 16);
• использование, распространение и обезличивание (пп. 17–21).

Пояснение автора (не норма): в п. 2 Правил № 395 осталось старое определение персональных данных («данные, в том числе биометрические, относящиеся к определенному или определяемому на их основании субъекту»), а в Законе и в Правилах № 199 и № 481 уже новое. При расхождении опираемся на Закон.

В статьях: «Проверка по персональным данным: 33 пункта», «Локализация персональных данных, трансграничная передача и шифрование» (скоро).

Правила № 481 — Правила осуществления уведомления субъектов персональных данных о нарушении безопасности персональных данных, утверждены приказом исполняющего обязанности Министра цифрового развития, инноваций и аэрокосмической промышленности РК от 09.08.2024 № 481/НҚ. Изложены в новой редакции приказом Заместителя Премьер-Министра — Министра искусственного интеллекта и цифрового развития РК от 30.04.2026 № 232/НҚ (с 12.07.2026), последнее изменение приказом от 07.09.2026 № 539/НҚ (с 22.09.2026). Редакция по состоянию на 22.09.2026. Правила «определяют порядок осуществления уведомления субъектов персональных данных о нарушении безопасности персональных данных» (п. 1 Правил № 481).

Что в Правилах № 481: понятия, в том числе нарушение безопасности ПДн (п. 2); уведомление уполномоченного органа «в течение 1 (одного) рабочего дня c момента обнаружения нарушения» с контактами ответственного, принятыми мерами и данными субъектов для оповещения (пп. 3–4); затем уполномоченный орган за один рабочий день передаёт сведения оператору «цифрового правительства», и тот оповещает субъектов через личный кабинет на портале, мобильное приложение «цифрового правительства» или по номеру сотовой связи (пп. 6–7).

Пояснение автора (не норма): собственник или оператор сам субъектов не оповещает: он уведомляет уполномоченный орган, а людей оповещает «цифровое правительство». Тот же срок в один рабочий день есть в п. 23 Правил.

В статьях: «Проверка по персональным данным: 33 пункта», «Утечка персональных данных: что делать» (скоро).

Правила № 535 — Правила применения методов маскирования и хеширования персональных данных, утверждены приказом Заместителя Премьер-Министра — Министра искусственного интеллекта и цифрового развития РК от 03.09.2026 № 535/НҚ «Об утверждении Правил применения методов маскирования и хеширования». Приказ «вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования» (п. 4 приказа); по данным ИС «Параграф», действует с 20.09.2026. Первоначальная редакция, изменений не найдено. Правила разработаны в соответствии с п. 2 ст. 23 Закона о ПДн, по которому «порядок применения методов маскирования и хеширования определяется уполномоченным органом», и «определяют порядок применения методов маскирования и хеширования» (п. 1 Правил № 535).

Что в Правилах № 535 (первоначальная редакция):

• понятия (п. 2): маскирование, хеширование цифровых данных, хешированное значение, цифровые данные и цифровая система; определения субъекта, собственника, оператора, третьего лица, защиты ПДн, обработки и идентификатора ПДн повторяют Закон;
• оба метода применяются «в целях защиты персональных данных» и «в цифровых объектах» (п. 3), то есть к цифровым объектам, а не к бумажной базе;
• маскирование: способ (п. 4), шесть случаев применения (п. 5), маскировать до совершения этих действий (п. 6), доступ третьих лиц с согласия субъекта только в минимально необходимом объёме (п. 7), запись в журнал (п. 8);
• хеширование: алгоритм по СТ РК ГОСТ Р 34.11-2015 (п. 9), пять случаев применения (п. 10), хешировать до совершения этих действий (п. 11), без возможности восстановить исходное значение (п. 12), дальше в обработке используется хешированное значение (п. 13), запись в журнал (п. 14).

Сведения о каждом применении маскирования и хеширования «фиксируются в журнале учета операций»: дата и время, вид операции, перечень замаскированных ПДн или хешированных данных, примененный метод, результат проверки корректности его применения, сведения о лице, выполнившем операцию, и о лице, ответственном за организацию обработки ПДн (при наличии) (пп. 8, 14 Правил № 535).

Зарубежное регулирование

GDPR (General Data Protection Regulation, Общий регламент по защите данных) — Регламент (ЕС) 2016/679 Европейского парламента и Совета от 27.04.2016 о защите физических лиц при обработке персональных данных и о свободном обращении таких данных, отменивший Директиву 95/46/ЕС. Опубликован в Официальном журнале ЕС (OJ L 119 от 04.05.2016), вступил в силу 24.05.2016, применяется с 25.05.2018 (п. 2 ст. 99). Редакция: от 27.04.2016 с исправлением (OJ L 127 от 23.05.2018), по состоянию на 29.10.2026. Официальный текст: Регламент (ЕС) 2016/679 на EUR-Lex, на языках ЕС; официального текста на русском нет, ссылки на неофициальный перевод приведены в термине согласие субъекта.

GDPR применяется и к организациям вне ЕС, если они обрабатывают персональные данные субъектов, находящихся в ЕС, и при этом предлагают им товары или услуги либо отслеживают их поведение в ЕС (п. 2 ст. 3). Согласие субъекта данных GDPR определяет как «любое добровольное, конкретное, осознанное и однозначное выражение воли субъекта данных, которым он или она путем заявления или явного согласия (утвердительного действия) выражает согласие на обработку относящихся к нему или к ней персональных данных» (п. 11 ст. 4); условия согласия установлены в ст. 7.

Пояснение автора (не норма): в Казахстане GDPR не действует как закон и сам по себе обязанностей казахстанскому оператору не создаёт, кроме случаев из п. 2 ст. 3. Его удобно использовать как ориентир лучших практик там, где Закон о ПДн требования не детализирует, например при оформлении согласия субъекта.

Нормативная база и редакции

Об авторской позиции. Материал написан на основе личного опыта автора и отражает его мнение, которое не является окончательной инстанцией. Если вы заметили неточность или хотите предложить дополнение, напишите автору.