За утечку персональных данных теперь будут привлекать к уголовной ответственности

На заседании Правительства РК заместитель Премьер-Министра — министр цифрового развития, инноваций и аэрокосмической промышленности Жаслан Мадиев объявил о введении уголовной ответственности за массовые утечки персональных данных. Новые нормы вступают в силу в 2026 году в рамках поправок к Закону «О персональных данных и их защите».

Ключевые изменения

• Обязанность уведомления Операторы (компании, банки, госорганы, интернет-магазины и т.д.) теперь обязаны в течение 24 часов сообщать:
  • пострадавшим гражданам
  • уполномоченному органу по защите персональных данных (МЦРИАП) о любом инциденте утечки или несанкционированного доступа к личным данным.
• Уголовная ответственность За массовое разглашение или утечку персональных данных, повлёкшую тяжкие последствия (в т.ч. финансовые потери, угрозу безопасности, шантаж и т.п.), вводится уголовная ответственность (статья УК РК будет дополнена/изменена в ближайшее время). Ранее за такие случаи предусматривалась только административная ответственность.
• Административные штрафы Максимальный размер штрафа за нарушение законодательства о персональных данных увеличивается до 5 000 МРП (в 2026 году это ≈ 21 625 000 тенге или ~$43 000 по текущему курсу).
• Уведомление о запуске обработки данных Операторы обязаны заранее информировать уполномоченный орган о начале обработки персональных данных в новых проектах или системах (регистрация баз данных).

Контекст и причины ужесточения

Жаслан Мадиев отметил:

• За последние годы в Казахстане зафиксировано несколько крупных утечек (данные банков, госуслуг, телеком-операторов).
• Граждане не получали timely уведомлений, что приводило к мошенничеству и финансовым потерям.
• Уголовная ответственность нужна для реального сдерживания безответственного отношения к защите данных.

Новые нормы — часть реализации Концепции кибербезопасности до 2029 года и приведения законодательства в соответствие с GDPR-подобными стандартами.