Что изменил Цифровой кодекс.
Кодекс РК от 9 января 2026 года № 255-VIII введён в действие 11 июля 2026 года. Сопутствующий Закон № 256-VIII от той же даты внёс изменения в действующие акты. Ниже — разбор норм, которые чаще всего касаются организаций.
Материал носит справочный характер. При расхождении с текстом нормативного акта руководствуйтесь первоисточником на adilet.zan.kz.
Что и на что заменилось
Замены обязательны для документов организации: политик, регламентов, договоров и внутренних инструкций.
Не меняются: электронная цифровая подпись и весь контекст вокруг неё, электронная почта, электронный носитель, электронный документ, подписанный ЭЦП (ст. 64), цифровой документ (ст. 65). Официальные наименования стандартов и действующих законов также сохраняются дословно.
Девять статей, которые стоит прочитать
Раскройте пункт, чтобы увидеть суть нормы и кого она касается.
Статья 41 — право на удаление и ограничение обработки данных
Человек вправе потребовать удалить, обезличить или ограничить обработку своих персональных данных — так называемое право на цифровое забвение. Право не действует, когда обработка необходима по судебному решению, для исполнения договора, для архивного хранения, в публичном интересе или при оказании государственных услуг.
Кого касается: всех операторов персональных данных.
Статья 43 — запрет «молчаливого» алгоритмического отказа
Если решение принято автоматически, человек вправе узнать логику этого решения, получить объяснение и потребовать пересмотра с участием человека. Отказ без объяснения больше недопустим.
Кого касается: финтех, кредитование, страхование, HR-tech и любые сервисы со скорингом.
Статьи 96–99 — рамка кибербезопасности и уведомление об утечках
Задают общие требования к обеспечению кибербезопасности. Сроки уведомления об утечке измеряются часами, а не днями; детали закрепляются подзаконными актами.
Что делать: регламент реагирования нужно написать заранее — в момент инцидента времени на его сочинение не будет.
Статьи 47 и 49 — ЭЦП и «цифровое подтверждение» — не одно и то же
Квалифицированная электронная цифровая подпись и «цифровое подтверждение» (SMS, push-уведомление, одноразовый код) разведены. Второе подписью не является и не порождает тех же правовых последствий.
Статья 49 допускает автоподписание ЭЦП цифрового объекта, но запрещает его для документов, устанавливающих или изменяющих гражданские права и обязанности.
Кого касается: онбординг, электронный документооборот.
Статья 61 — подпись уполномоченного работника
Электронная цифровая подпись уполномоченного работника приравнивается к бумажному документу с печатью организации.
Кого касается: договорную работу.
Статья 74 — кто уведомляет человека об утечке
Помимо оператора, субъекта данных уведомляет также оператор «цифрового правительства» — через личный кабинет, мобильное приложение или SMS.
Статьи 76–77 — журнал обращений к данным
Гражданин видит журнал обращений к своим данным в «цифровом пространстве»: кто и когда запрашивал сведения.
Кого касается: организации с интеграциями в государственные цифровые системы.
Статья 80 — платёжный шлюз «цифрового правительства»
Банки и платёжные организации обязаны интегрироваться с платёжным шлюзом «цифрового правительства».
Кого касается: финансовый сектор.
Статьи 30–31 и 21 — обмен данными и идентификационные записи
Статьи 30–31 вводят платформу обмена продуктами цифровых данных: обезличенную аналитику продавать можно, сырые данные и персональные — нет. Хранение за пределами Республики Казахстан ограничено.
Статья 21 прямо устанавливает, что идентификационные записи не участвуют в гражданском обороте.
Комплексный план по обеспечению кибербезопасности
Утверждён 6 мая 2026 года. Определяет приоритеты защиты цифровых систем и объектов цифровой инфраструктуры страны на три года.
Защита критически важных цифровых объектов
Развитие национальных стандартов кибербезопасности
Подготовка профильных кадров
Переход на постквантовую криптографию
Пятое направление — совершенствование системы реагирования на инциденты. Полный текст документа готовится к публикации.