Проверка по персональным данным: 33 пункта, которые проверит инспектор (чек-лист 2026)

Опубликовано: 29.10.2026. Обновлено: 01.11.2026. Сверено с редакциями нормативных актов на 9 октября 2026 года, даты редакций указаны в конце статьи. Если после этой даты акты изменились, перепроверьте изменения самостоятельно.

Эта статья открывает серию о персональных данных. Все статьи и шаблоны по порядку внедрения собраны на карте блога. Термины из статьи объяснены в глоссарии.

Наличие хотя бы одного сотрудника или клиента налагает на компанию обязанности оператора персональных данных и влечет за собой риски надзорных проверок. Регулятор оценивает соответствие бизнеса требованиям законодательства не в формате общей беседы, а по строго регламентированному проверочному листу, состоящему из 33 пунктов. В настоящей статье разберем каждый маркер контроля, а также предоставим чек-лист в формате Excel для проведения самооценки.

Почему это важно именно сейчас

В 2025–2026 годах требования к обработке и защите персональных данных в Казахстане заметно ужесточились:

• Существенно выросли штрафы. По статье 79 КоАП за несоблюдение мер защиты, которое привело к утечке, крупный бизнес платит до 2 000 МРП. При МРП 2026 года (4 325 тг) это около 8,65 млн тенге. Малый бизнес — до 750 МРП (около 3,2 млн тг).
• С 12 июля 2026 года действуют новые Правила защиты ПДн. Все операторы поделены на малых, средних и крупных, и для каждой категории свой обязательный набор мер.
• Сохраняется риск персональной уголовной ответственности. Статья 147 УК предусматривает ответственность за нарушение законодательства о персональных данных и их защите при наличии предусмотренных законом последствий. Поэтому вопрос надлежащего исполнения обязанностей важен не только для организации, но и для лиц, на которых возложены соответствующие функции.

Основание проверки: когда может прийти инспектор

В отношении собственников и (или) операторов, а также третьих лиц государственный контроль за соблюдением законодательства о персональных данных осуществляется в форме внеплановых проверок в соответствии со статьёй 27-2 Закона о ПДн и Предпринимательским кодексом. Плановых визитов «по графику» для бизнеса нет.

Периодические проверки, предусмотренные статьёй 27-3 Закона о ПДн, относятся к государственным органам: план таких проверок уполномоченный орган утверждает и публикует только для них. Поэтому для бизнеса практический риск связан именно с внеплановыми проверками.

Основания проверки. Внеплановую проверку могут назначить только по причинам, которые прямо перечислены в пункте 5 статьи 144 Предпринимательского кодекса. Придумать другой повод инспектор не вправе. Для персональных данных на практике чаще всего встречаются четыре группы оснований:

1. Обращение субъекта персональных данных. Это жалоба человека или организации на нарушение закона, если у неё есть убедительные основания и подтверждающие доказательства (подп. 3 п. 5 ст. 144 ПК). Анонимная жалоба основанием не является (п. 6 ст. 144 ПК).
2. Требование государственных органов. Сюда относятся требование прокурора по конкретным фактам причинения или угрозы причинения вреда (подп. 4), обращение государственного органа по конкретным фактам (подп. 5) и поручение органа уголовного преследования (подп. 7).
3. Контроль исполнения ранее выданного предписания. Инспектор приходит повторно, если нарушения не устранены или об их устранении компания не сообщила (подп. 2).
4. Сообщения об утечке в СМИ и открытых источниках. Прямо как основание для проверки по ПДн такие сообщения в ст. 144 ПК не заявлены, только если подпункт 5-2) пункта 5 для медицинской деятельности. Но уполномоченный орган ведёт реестр нарушений безопасности ПДн, в том числе по информации из общедоступных источников (ст. 23-2 Закона о ПДн), и на практике громкая утечка заканчивается внеплановой проверкой.

Проверяют только те факты, которые стали поводом для проверки (п. 7 ст. 144 ПК).

До проверки может прийти запрос. Уполномоченный орган рассматривает обращения граждан о том, как обрабатываются их данные (ст. 27-1 Закона о ПДн). В рамках такого обращения вы обязаны по запросу органа рассказать, какими способами и процедурами обеспечиваете соблюдение закона (подп. 3-1 п. 2 ст. 25).

По ответу может быть сразу видно, есть ли у вас документы и порядок. Поэтому подготовиться «к дате» не получится, порядок нужно навести заранее.

Сначала определите свою категорию

От категории зависит, какие меры для вас обязательны. Считается по числу уникальных людей во всех ваших базах: работники, клиенты, контрагенты-физлица, посетители сайта.

Важная деталь: если вы как собственник и (или) оператор обрабатываете персональные данные ограниченного доступа, категория повышается на один уровень (п. 3 ст. 25-1 Закона, п. 17 Правил № 179). На практике это почти все данные работников и клиентов (ИИН, адреса, телефоны, сведения о здоровье). Поэтому компания с 8 000 клиентов почти наверняка окажется не малой, а средней.

Третьи лица, например подрядчики, которым поручена обработка, тоже делятся на малых, средних и крупных, но самостоятельно, по количеству уникальных субъектов: прямого правила о повышении категории для них нет. Это особенно важно для компаний, оказывающих услуги аутсорсинга обработки ПДн.

Как категория связана с 33 пунктами. Большинство пунктов проверочного листа обязательны для всех операторов, независимо от категории. Часть пунктов (в основном технические меры и инциденты) касается тех, кто обрабатывает ПДн ограниченного доступа, а это почти все компании. Напрямую от категории зависит только пункт 10, он отмечен ниже. Остальные меры из таблицы выше инспектор проверяет через пункт 13 «принятие необходимых мер», подробнее в разделе «Чего нет в проверочном листе, но требуется».

33 пункта проверочного листа простым языком

Официальный проверочный лист утверждён совместным приказом № 149/НҚ и № 12 в 2024 году. Мы сгруппировали 33 пункта в шесть блоков.

Блок 1. Законность сбора и обработки персональных данных (пункты 1–4, 7)

1. Определено законное основание для сбора и обработки данных. Получено согласие субъекта персональных данных либо имеется иное предусмотренное законодательством основание для их обработки.

2. Цели обработки определены заранее. Для каждой категории персональных данных установлено, с какой целью они собираются и используются.
3. Бумажные копии документов, удостоверяющих личность, не собираются и не хранятся, если их сбор и хранение не предусмотрены применимыми требованиями законодательства.

4. Обеспечена интеграция с государственным сервисом контроля доступа к ПДн, если ваши системы получают персональные данные из информационных систем государственных органов.
7. Персональные данные используются исключительно в заявленных целях. Например, номер телефона, предоставленный для организации доставки, не должен использоваться для рекламных рассылок без соответствующего правового основания.

Блок 2. Конфиденциальность, хранение и передача персональных данных (пункты 5, 6, 8, 9, 32)

5. Соблюдается конфиденциальность персональных данных. Передача и распространение персональных данных осуществляются только при наличии соответствующего правового основания.
6. Базы, содержащие персональные данные, хранятся на территории Республики Казахстан. Отдельно стоит проверить CRM-системы, облачные хранилища, корпоративную почту и другие внешние сервисы, в которых могут храниться персональные данные.
8. Трансграничная передача осуществляется с соблюдением установленных требований. При передаче данных за пределы Республики Казахстан необходимо учитывать требования законодательства к трансграничной передаче персональных данных.
9. Персональные данные обезличиваются в случаях, предусмотренных законодательством. В частности, необходимо проверить соблюдение требований к обезличиванию при их использовании в соответствующих процессах.
32. Системы, предназначенные для сбора и обработки персональных данных ограниченного доступа, размещены на территории Республики Казахстан. Необходимо учитывать не только основные информационные системы, но и используемую инфраструктуру и внешние сервисы, если через них осуществляется обработка персональных данных.

Блок 3. Документы и организационные меры (пункты 11–13, 17–21, 23)

Это наиболее формализованный блок чек-листа: значительная часть требований может быть подтверждена локальными документами, приказами, перечнями и установленными процедурами.

11. Утверждён перечень персональных данных, необходимых и достаточных для выполнения осуществляемых задач.
12. Утверждена политика обработки персональных данных. Проверьте также, соответствует ли её содержание фактически осуществляемым процессам обработки персональных данных.
13. Реализованы необходимые меры по защите персональных данных. Правовые, организационные и технические меры должны соответствовать применимым требованиям и фактически использоваться в деятельности организации.
17. Назначен ответственный за организацию обработки персональных данных. Его функции, полномочия и ответственность целесообразно закрепить во внутренних документах организации.
18. Определены бизнес-процессы, в рамках которых осуществляется обработка персональных данных. Это позволяет понимать, какие данные, для каких целей и в каких подразделениях используются.
19. Персональные данные классифицированы по доступности. Определено, какие данные относятся к общедоступным, а какие являются персональными данными ограниченного доступа.
20. Определены цели обработки персональных данных ограниченного доступа. Цели должны быть установлены заранее и соответствовать фактически выполняемым операциям с данными.
21. Установлен порядок обработки, распространения и предоставления доступа к персональным данным. Соответствующие процедуры должны быть закреплены во внутренних документах.
23. Определён и утверждён перечень лиц, имеющих доступ к персональным данным. Предоставление доступа должно быть обусловлено служебной необходимостью и установленными полномочиями.

Блок 4. Права субъектов персональных данных и работа с обращениями (пункты 14–16, 22)

14. Организация может подтвердить принятые меры по защите персональных данных. Необходимо быть готовым документально продемонстрировать, какие организационные и технические меры применяются для защиты персональных данных.
15. Установлен порядок предоставления информации субъекту персональных данных. Если субъекту отказывают в предоставлении информации о его персональных данных, ему направляется мотивированный ответ с указанием оснований отказа в сроки, установленные законодательством.
16. Обеспечена возможность безвозмездного ознакомления субъекта со своими персональными данными. Процедура должна позволять субъекту реализовать предусмотренное законодательством право на получение информации о своих данных.
22. Определён порядок реагирования на требования субъекта персональных данных. Должны быть предусмотрены процедуры блокирования, исправления и удаления персональных данных, а также контроль соблюдения установленных законодательством сроков.

Блок 5. Технические меры защиты персональных данных (пункты 10, 25–31, 33)

Этот блок целесообразно проверять совместно с IT-специалистами или подрядчиками, которые отвечают за эксплуатацию и защиту информационных систем.

10. Используется многофакторная аутентификация. Доступ к информационным системам, в которых обрабатываются персональные данные, защищён дополнительным фактором аутентификации. Зависит от категории: обязательно для средних и крупных операторов, у которых есть доступ к ПДн ограниченного доступа (Правила № 179, п. 13). Малым операторам достаточно входа по индивидуальным учётным записям.
25. Обеспечена антивирусная защита и своевременное обновление программного обеспечения. Средства защиты и обновления применяются на рабочих станциях, серверах и других компонентах инфраструктуры, задействованных в обработке персональных данных.
26. Ведётся журнал событий информационных систем и баз данных. События, связанные с обработкой и защитой персональных данных, регистрируются и доступны для последующего анализа.

27. Ведётся журнал действий пользователей. Должна обеспечиваться возможность установить, кто, когда и какие действия выполнял с персональными данными.

28. Обеспечивается контроль целостности персональных данных. Реализованы меры, позволяющие выявлять неправомерное или неконтролируемое изменение данных.

29. Передача персональных данных осуществляется с применением необходимых мер защиты. При передаче данных используются защищённые каналы связи и/или средства шифрования, а сама передача осуществляется при наличии соответствующего правового основания.
30. Применяются средства криптографической защиты при хранении персональных данных. Персональные данные ограниченного доступа защищаются с использованием соответствующих средств криптографической защиты информации.
31. Используются индивидуальные учётные записи пользователей. Действия с персональными данными должны быть связаны с конкретным пользователем, а использование общих учётных записей необходимо исключить либо ограничить в соответствии с установленными требованиями.
33. Применяемые средства криптографической защиты соответствуют установленным требованиям. Осуществление хранения и передачи персональных данных ограниченного доступа с использованием средств криптографической защиты информации, имеющих параметры не ниже третьего уровня безопасности согласно стандарту Республики Казахстан СТ РК 1073-2007 «Средства криптографической защиты информации. Общие технические требования».

Блок 6. Инциденты с персональными данными (пункт 24)

24. Предусмотрено уведомление уполномоченного органа об инциденте. Срок — один рабочий день с момента обнаружения нарушения (Правила № 481). Чтобы соблюсти этот срок, внутренний порядок реагирования, ответственные лица и форма уведомления должны быть определены заранее. Пошаговый порядок и шаблон уведомления — в статье «Утечка персональных данных: что делать» (скоро).

Чего нет в проверочном листе, но требуется

Проверочный лист утверждён в 2024 году и не успел за изменениями 2026 года. Новые требования Правил № 179 по категориям (таблица в разделе «Сначала определите свою категорию»): для средних — обучение работников, внутренний контроль, анализ уязвимостей, порядок реагирования на инциденты; для крупных — независимый аудит, тестирование на проникновение, уведомление о начале обработки.

Несмотря на то что эти требования отдельно не перечислены в проверочном листе, они установлены Правилами № 179 и обязательны для соответствующих категорий операторов. При проверке их соблюдение может оцениваться в том числе в рамках пункта 13 проверочного листа, предусматривающего принятие необходимых мер по защите персональных данных.

С чего начать: пошаговый план

1. Скачайте карту самопроверки (ниже) и определите свою категорию на листе «Ваша категория».
2. Пройдите 33 пункта и отметьте статус: Да / Частично / Нет / Не применимо. «Не применимо» ставьте, только если пункт не относится к вам по категории или у вас нет ПДн ограниченного доступа (колонка «Кого касается» в карте).
3. Закройте блок «Документы и организационные меры». Это 9 пунктов, которые решаются приказами и положениями без затрат на технику.
4. Назначьте ответственного за ПДн и распределите остальные пункты с ответственными и сроками.
5. Передайте блок «Технические меры защиты персональных данных» IT-специалисту вместе с картой: в ней для каждого пункта написано, что сделать.
6. Подготовьте порядок действий при утечке заранее: на уведомление у вас будет один рабочий день.
7. Повторяйте самопроверку раз в полгода и при каждом изменении законодательства.

Чек-лист для быстрой самооценки готовности к проверке

• Знаю свою категорию оператора (малый / средний / крупный)
• Утверждены политика обработки ПДн и перечень ПДн
• Назначен ответственный за ПДн, он ознакомлен с обязанностями
• Есть согласия работников и клиентов
• В личных делах нет бумажных копий удостоверений
• Все базы и сервисы с данными находятся в Казахстане
• Утверждён список работников с доступом к данным
• Включены журналы действий; для средних и крупных — двухфакторный вход
• Есть порядок ответа на обращения и блокирования данных за 1 рабочий день
• Есть порядок уведомления об утечке за 1 рабочий день

Скачайте карту самопроверки

Карта самопроверки «33 пункта» — Excel-файл, в котором:

• все 33 пункта проверочного листа с официальной формулировкой и объяснением простыми словами;
• для каждого пункта: кого касается, что сделать, каким документом подтвердить и на какой норме основано;
• колонки для статуса, ответственного и срока;
• автоматический итог готовности в процентах;
• калькулятор категории оператора и обязательные меры для каждой категории.

Скачать карту самопроверки (Excel) ↓

Частые вопросы

Нужно ли всё это ИП или маленькой компании на 5 человек?
Да. Малый бизнес также обязан соблюдать требования к обработке персональных данных. Объём отдельных технических мер может отличаться, однако необходимые документы и организационные меры обязательны. Согласие субъекта требуется не во всех случаях: если законодательство предусматривает иное основание для обработки, она может осуществляться без согласия.

Нужно ли уведомлять государство о том, что мы обрабатываем персональные данные?
По новой ст. 10-1 Закона уведомлять о начале и прекращении обработки обязаны только крупные операторы. Малые и средние освобождены. Помните, что категория собственника и (или) оператора повышается на уровень при обработке данных ограниченного доступа.

Что будет, если найдут нарушения?
По итогам проверки составляется акт, и нарушения нужно устранить в установленный срок. Кроме того, возможен штраф по ст. 79 или ст. 641 КоАП. В зависимости от характера нарушения и наличия предусмотренных уголовным законом признаков могут применяться статьи 147 и 211 УК РК.

Можно ли хранить данные в Google Drive или зарубежной CRM?
Закон требует хранить персональные данные в базах и цифровых объектах на территории Казахстана. Использование зарубежных сервисов для хранения баз с ПДн — серьёзный риск по пунктам 6 и 32 проверочного листа.

Кто должен быть ответственным за ПДн?
Любой работник, назначенный приказом: юрист, кадровик, специалист по ИБ или сам первый руководитель.

Нормативная база и редакции

Статья сверена 9 октября 2026 года со следующими редакциями:

Уже принятые, но ещё не вступившие изменения: Закон РК от 12.06.2026 № 311-VIII вносит поправки в Закон о персональных данных с 1 января 2027 года.

Важно. Статья сверена с редакциями, указанными выше. Если после даты сверки какой-либо из этих актов изменился, перепроверьте изменения самостоятельно по актуальной редакции на adilet.zan.kz. Материал носит информационный характер и не является юридической консультацией.

Об авторской позиции. Материал написан на основе личного опыта автора и отражает его мнение, которое не является окончательной инстанцией. Если вы заметили неточность или хотите предложить дополнение, напишите автору.