Опубликовано: . Обновлено: . Сверено с редакциями нормативных актов на 16 октября 2026 года, даты редакций указаны в конце статьи. Если после этой даты акты изменились, перепроверьте изменения самостоятельно.
Это вторая статья серии о персональных данных, шаг 1 «Что проверяют и чем рискуете». Все статьи по порядку внедрения собраны на карте блога, термины объяснены в глоссарии.
В 2026 году в законодательстве о ПДн появились две связанные вещи. Первая: всех, кто работает с персональными данными, поделили на малых, средних и крупных. Вторая: крупные теперь обязаны уведомлять государство о том, что начинают и прекращают обработку. В этой статье разберём, как посчитать свою категорию, почему компания с 10 001 клиентом может оказаться крупной и что написать в уведомлении.
Что изменилось и с какой даты
| Что | С какой даты | Где закреплено |
|---|---|---|
| Обновлена терминология, изменена структура требований к защите персональных данных, уточнены меры защиты ПДн ограниченного доступа | 12.07.2026 | Правила № 179/НҚ |
| Те же категории и уведомление на уровне закона, реестр лиц, обрабатывающих ПДн | 25.08.2026 | Закон РК от 24.06.2026 № 326-VIII: новые ст. 10-1 и 25-1 Закона о ПДн |
| Закреплена классификация собственников и операторов на малых, средних и крупных, установлены меры защиты для каждой категории и порядок уведомления уполномоченного органа о начале и прекращении обработки ПДн | 21.09.2026 | Правила № 179/НҚ |
Деление касается не только компаний, которые сами собирают данные. В законе это «собственники и (или) операторы, а также третьи лица», то есть и подрядчики, которым поручили обработку (оператор, собственник, третье лицо).
Как посчитать свою категорию
Закон считает не записи в базах и не файлы, а людей, то есть уникальных субъектов: «учитывается общее количество уникальных субъектов персональных данных, персональные данные которых обрабатываются собственником и (или) оператором, а также третьим лицом в рамках одной или нескольких цифровых объектов» (п. 2 ст. 25-1 Закона о ПДн).
| Категория | Сколько уникальных людей | Норма |
|---|---|---|
| Малый | не более 10 000 | п. 3 ст. 25-1 Закона, п. 10 Правил № 179 |
| Средний | от 10 000 до 500 000 | там же |
| Крупный | 500 000 и более | там же |
Критерии применяются «независимо от их организационно-правовой формы, формы собственности и вида деятельности» (п. 3 ст. 25-1). ИП, ТОО, банк и интернет-магазин считаются одинаково.
Главная ловушка — повышение на уровень. «В случаях сбора и обработки персональных данных ограниченного доступа категория собственника и (или) оператора повышается на один уровень» (п. 3 ст. 25-1 Закона, то же в п. 17 Правил № 179). Малый становится средним, средний — крупным. Норма говорит именно о собственнике и (или) операторе: третье лицо определяет свою категорию самостоятельно, по количеству уникальных субъектов, а прямого правила о повышении для третьих лиц нет. Это особенно важно для компаний, оказывающих услуги аутсорсинга обработки ПДн. Что относится к ПДн ограниченного доступа, смотрите в глоссарии: на практике это почти любые данные работников и клиентов, кроме общедоступных.
Как считать на практике:
- Проведите инвентаризацию систем и информационных ресурсов, задействованных в обработке персональных данных, включая 1С и кадровые системы, CRM, сайты и веб-формы, системы видеонаблюдения и прочие подобные системы.
- Посчитайте уникальных людей, а не строки. Один и тот же клиент в CRM и в 1С — это один субъект. Работник, который ещё и покупатель, — тоже один.
- Не забудьте «тихие» группы: кандидаты и их резюме, бывшие работники, представители контрагентов, посетители сайта, оставившие заявку, родственники работников в личных делах.
- Проверьте, есть ли ПДн ограниченного доступа. Если есть и вы собственник и (или) оператор — поднимите категорию на один уровень. Третье лицо определяет категорию только по числу уникальных субъектов.
- Зафиксируйте расчёт в служебной записке или в карте самопроверки и пересчитывайте при росте базы.
Кто обязан уведомлять
Общее правило: собственник, оператор и третье лицо «до начала обработки и прекращения обработки персональных данных обязаны уведомить уполномоченный орган о своем намерении осуществить обработку персональных данных и прекратить обработку данных» (п. 1 ст. 10-1 Закона о ПДн).
Исключение: они «вправе осуществлять обработку без уведомления в случае отнесения их к малым и средним» (п. 2 ст. 10-1).
Итого: уведомляют только крупные, включая тех, кто стал крупным из-за ПДн ограниченного доступа. Малые и средние уведомлять не обязаны, но все меры защиты своей категории выполняют.
Когда уведомлять:
- до начала обработки — если вы только начинаете работать с ПДн или выросли до крупной категории;
- до прекращения обработки — если закрываете бизнес, направление или систему.
Что необходимо указать в уведомлении
Уведомление «направляется в виде документа на бумажном, цифровом и (или) ином материальном носителе, который подписывается уполномоченным лицом» (п. 3 ст. 10-1 Закона, п. 5 Правил № 179). Утверждённой формы в Законе и Правилах № 179 нет, но состав сведений закрытый, их девять:
| № | Что указать (п. 3 ст. 10-1) | Подсказка, откуда взять |
|---|---|---|
| 1 | Наименование (для ИП — ФИО), БИН или ИИН | регистрационные документы |
| 2 | Применяемые меры по защите ПДн | перечень мер вашей категории (пп. 12–14 Правил № 179), ниже таблица |
| 3 | Дата начала обработки | для нового направления — плановая дата |
| 4 | Есть ли возможность передавать ПДн третьим лицам | осуществляется ли передача ПДн подрядчикам, партнёрам и другим третьим лицам |
| 5 | Есть ли трансграничная передача | передаются ли ПДн за пределы РК, например в облачные сервисы за рубежом |
| 6 | Распространяются ли ПДн в общедоступных источниках | публикации на сайте, в каталогах, отзывы с именами |
| 7 | Перечень собираемых ПДн | утверждённый перечень ПДн |
| 8 | Где находится база или цифровой объект | адрес серверного помещения или ЦОД в РК |
| 9 | Иные сведения по вашему решению | например, контакты ответственного за ПДн |
Что будет дальше. Уполномоченный орган «в течение тридцати рабочих дней» с даты поступления уведомления вносит сведения из него и дату направления в реестр лиц, осуществляющих сбор и (или) обработку ПДн (п. 4 ст. 10-1). После уведомления о прекращении сведения из реестра исключаются в тот же срок (п. 5 ст. 10-1). Реестр ведёт уполномоченный орган (подп. 2-4 п. 1 ст. 27-1).
Скачайте шаблон уведомления
Шаблон уведомления о начале обработки ПДн — файл в формате Word, в котором:
- проект сопроводительного письма председателю Комитета по информационной безопасности Министерства искусственного интеллекта и цифрового развития РК;
- Приложение 1: все девять сведений из п. 3 ст. 10-1 Закона с формулировкой закона и примером заполнения в колонке «Комментарий», который нужно заменить своими сведениями;
- ссылка на Приложение 2 — перечень ПДн, который вы прикладываете отдельно.
Скачать шаблон уведомления (Word) ↓
Какие меры обязательны для каждой категории
Категория важна не только для уведомления. От неё зависит набор мер защиты (п. 11 Правил № 179), и инспектор проверит их через пункт 13 проверочного листа «принятие необходимых мер».
| Категория | Что обязательно (Правила № 179) |
|---|---|
| Малый (п. 12) | перечень ПДн и цели; перечень лиц с доступом; ответственный за ПДн; внутренние документы о порядке сбора, обработки и защиты; разграничение доступа по обязанностям; идентификация и аутентификация пользователей; регистрация действий с ПДн; резервное копирование; антивирус и обновления; передача по защищённым каналам |
| Средний (п. 13) | всё для малых, плюс учёт цифровых систем и процессов; ролевой доступ; многофакторная аутентификация для доступа к ПДн ограниченного доступа; регистрация и хранение событий кибербезопасности; порядок реагирования на инциденты; периодическое обучение работников; анализ уязвимостей; внутренний контроль соблюдения Закона |
| Крупный (п. 14) | всё для малых и средних, плюс оценка защищённости систем; независимый аудит мер защиты; мониторинг событий кибербезопасности; контроль привилегированных пользователей; контроль операций с ПДн; анализ уязвимостей и тестирование на проникновение; восстановление ПДн после нарушений; кроме того, уведомление о начале и прекращении обработки (ст. 10-1 Закона) |
Отдельно для всех, кто обрабатывает ПДн ограниченного доступа, действует п. 15 Правил № 179 (журналы, контроль целостности, шифрование), а для юридических лиц — обязанность назначить ответственного (п. 19). Меры для средних подробно разберём в статье «Персональные данные для средних операторов: что добавить к базовому комплекту» (скоро).
Что будет, если не уведомить
Закон о персональных данных не предусматривает отдельного состава ответственности за неуведомление уполномоченного органа. При этом в зависимости от обстоятельств соответствующее нарушение может квалифицироваться в рамках части 3 статьи 79 КоАП РК. Подробнее вопросы административной и уголовной ответственности, включая применимые составы и размеры штрафов, разберём в статье «Штрафы и уголовная ответственность за персональные данные в РК» (скоро).
Пошаговый план
- Составьте список систем с ПДн и посчитайте уникальных людей.
- Проверьте, есть ли ПДн ограниченного доступа, и при необходимости поднимите категорию.
- Зафиксируйте категорию приказом или служебной запиской с датой расчёта.
- Сверьте меры защиты со списком своей категории и закройте пробелы.
- Если вы крупный, подготовьте уведомление по девяти пунктам (шаблон выше) и подпишите уполномоченным лицом.
- Пересчитывайте категорию раз в полгода и при каждом заметном росте базы. Переход в крупные — повод подать уведомление до начала обработки в новом объёме.
Частые вопросы
Мы средний оператор. Уведомлять не нужно совсем?
Да, по п. 2 ст. 10-1 Закона малые и средние вправе обрабатывать ПДн без уведомления. Но проверьте повышение на уровень: средний собственник или оператор с ПДн ограниченного доступа становится крупным.
Считаются ли работники?
Да. Работники, кандидаты и бывшие работники — такие же субъекты ПДн, как клиенты, и входят в общее число уникальных субъектов.
Подрядчик обрабатывает наши данные. Кто из нас уведомляет?
Обязанность в ст. 10-1 лежит и на собственнике или операторе, и на третьем лице. Каждый считает свою категорию по своему числу субъектов.
Что делать, если категория выросла?
Пересчитать меры защиты под новую категорию. Если стали крупным — уведомить уполномоченный орган до начала обработки в новом объёме.
Что читать дальше
Все статьи и шаблоны по порядку внедрения — на карте блога.
- Проверка по персональным данным: 33 пункта, которые проверит инспектор — с калькулятором категории
- Штрафы и уголовная ответственность за персональные данные в РК (скоро)
- Политика конфиденциальности: что это, откуда взялась и что нужно сделать (скоро)
- Локализация ПДн, трансграничная передача и шифрование (скоро) — для пунктов 5 и 8 уведомления
- Персональные данные для средних операторов: что добавить к базовому комплекту (скоро)
Нормативная база и редакции
Статья сверена 16 октября 2026 года со следующими редакциями:
| Документ | Редакция |
|---|---|
| Закон РК от 21.05.2013 № 94-V «О персональных данных и их защите» (ст. 1, 8, 10-1, 25-1, 27-1) | по состоянию на 14.09.2026; ст. 10-1 и 25-1 введены Законом РК от 24.06.2026 № 326-VIII с 25.08.2026 |
| Правила осуществления мер по защите ПДн (приказ № 179/НҚ от 12.06.2023), пп. 3–15, 17, 19 | по состоянию на 21.09.2026 (ред. приказов № 338/НҚ от 22.06.2026 и № 534/НҚ от 03.09.2026) |
| Проверочный лист (совместный приказ № 149/НҚ и № 12 от 19.03.2024), п. 13 | первоначальная редакция, изменений не найдено |
| КоАП РК, ст. 79 | последнее изменение — Закон РК от 10.01.2025 № 155-VIII; сверено по неофициальной копии 06.10.2026 |
Уже принятые, но ещё не вступившие изменения: Закон РК от 12.06.2026 № 311-VIII вносит поправки в Закон о персональных данных с 1 января 2027 года.
Важно. Статья сверена с редакциями, указанными выше. Если после даты сверки какой-либо из этих актов изменился, перепроверьте изменения самостоятельно по актуальной редакции на adilet.zan.kz. Материал носит информационный характер и не является юридической консультацией.