Персональные данные в Кыргызстане: 15 вопросов и ответов
Защита персональных данных — обязательный элемент комплаенса для любой IT-компании, работающей в Кыргызстане. Закон «Об информации персонального характера» устанавливает конкретные требования к держателям данных: регистрация в реестре ГАЗПД, получение согласий, обеспечение безопасности и уведомление регулятора при утечках. Ниже — 15 реальных вопросов, с которыми сталкивается бизнес при выстраивании data-комплаенса.
1. Что считается персональными данными по законодательству Кыргызстана?
Персональные данные — любая информация, относящаяся к определённому или определяемому физическому лицу. Закон «Об информации персонального характера» охватывает имя, дату рождения, адрес, телефон, email, сведения о доходах, состоянии здоровья, биометрические данные и иные сведения, позволяющие идентифицировать человека. Компания, которая собирает хотя бы один из перечисленных параметров о своих клиентах, сотрудниках или контрагентах, становится держателем персональных данных и обязана соблюдать установленный режим их обработки. Обезличенные данные, по которым невозможно установить личность, под действие закона не подпадают — но только при условии необратимого обезличивания.
2. Кто такой держатель персональных данных и какие у него обязанности?
Держатель — физическое или юридическое лицо, которое самостоятельно или совместно с другими определяет цели и способы обработки персональных данных. Основные обязанности: зарегистрироваться в реестре ГАЗПД, получить согласие субъекта на обработку данных, обеспечить конфиденциальность и безопасность хранимых сведений, уведомлять ГАЗПД об утечках, предоставлять субъекту доступ к его данным по запросу, а также уничтожать данные после достижения цели обработки или по требованию субъекта. Обработчик — тот, кто действует по поручению держателя — несёт ответственность перед держателем, а держатель остаётся ответственным перед субъектом и регулятором.
3. Что такое ГАЗПД и какова его роль?
ГАЗПД — Агентство по защите персональных данных при Кабинете министров Кыргызской Республики. Это специализированный регулятор в области персональных данных. ГАЗПД ведёт реестр держателей персональных данных, проводит проверки соблюдения законодательства, рассматривает жалобы субъектов и выносит предписания об устранении нарушений. Именно в ГАЗПД компании подают уведомления о начале обработки данных и регистрируются в реестре держателей. Взаимодействие с ГАЗПД — не разовая процедура: регулятор вправе запрашивать информацию и проводить плановые и внеплановые проверки.
4. Нужно ли регистрироваться в реестре держателей персональных данных?
Да, регистрация в реестре ГАЗПД обязательна для большинства компаний, которые обрабатывают персональные данные в коммерческих целях. Исключение составляют обработка данных исключительно в личных или семейных целях, а также ряд государственных реестров. Для IT-компаний, которые работают с данными пользователей, сотрудников или клиентов, регистрация практически неизбежна. Уклонение от регистрации расценивается как нарушение законодательства и влечёт административную ответственность. Регистрация проходит через подачу уведомления в ГАЗПД с указанием целей, категорий данных и мер защиты.
5. Как получить согласие на обработку персональных данных?
Согласие должно быть добровольным, конкретным и информированным. Закон допускает письменную и электронную формы. Для электронной формы достаточно чекбокса с текстом политики конфиденциальности — при условии, что пользователь совершил активное действие (поставил галочку), а не просто продолжил использование сервиса. Согласие не может быть предварительно проставлено. В согласии необходимо указать цель обработки, перечень данных, срок хранения и право отозвать согласие. Молчание или бездействие субъекта согласием не считается. При изменении целей обработки необходимо получить новое согласие.
6. Какие данные считаются чувствительными и требуют особой защиты?
Закон выделяет специальные категории данных, обработка которых допускается только при наличии явного письменного согласия субъекта либо в строго определённых законом случаях. К ним относятся: данные о расовом или этническом происхождении, политических взглядах, религиозных убеждениях, состоянии здоровья, сексуальной жизни, судимостях, а также биометрические данные. Для IT-компаний особую актуальность имеют биометрия (распознавание лиц, отпечатки) и медицинские данные пользователей — их обработка требует отдельного согласия и усиленных мер технической и организационной защиты. Нарушение режима обработки чувствительных данных влечёт повышенную ответственность.
7. Можно ли передавать персональные данные третьим лицам?
Передача данных третьим лицам — операторам или обработчикам — допустима при наличии согласия субъекта или на основании договора. Если компания привлекает подрядчика для обработки данных (например, облачный провайдер, аналитическая платформа, платёжный процессор), необходимо заключить соглашение об обработке данных с чёткими инструкциями: цель, перечень данных, меры защиты, сроки уничтожения. Ответственность перед субъектом при этом сохраняется за первоначальным держателем данных. Передача без правового основания — нарушение закона вне зависимости от того, является ли получатель резидентом КР.
8. Каковы правила трансграничной передачи данных из Кыргызстана?
Трансграничная передача персональных данных допускается в государства, обеспечивающие надлежащий уровень защиты персональных данных. При передаче в страны с недостаточным уровнем защиты компания обязана принять дополнительные меры: договорные гарантии или явное согласие субъекта. Для SaaS- и облачных компаний, использующих зарубежную инфраструктуру, это одна из ключевых точек комплаенс-риска: хранение данных кыргызских пользователей на серверах в ЕС или США требует правового обоснования. Отсутствие такого обоснования при проверке ГАЗПД — основание для предписания и штрафа. Подробнее о санкционном скрининге как части комплаенс-программы — в материале «Санкционный скрининг: как защитить интересы компании».
9. Что грозит компании за нарушение законодательства о персональных данных?
Ответственность за нарушения предусмотрена Кодексом о правонарушениях КР и Законом «Об информации персонального характера». Санкции включают предписания ГАЗПД об устранении нарушений, административные штрафы, приостановление обработки данных и ограничение доступа к сервису. Размер штрафов варьируется в зависимости от вида нарушения — конкретные суммы уточняет юрист по действующему тарифу. Помимо административной ответственности, субъект данных вправе обратиться в суд с иском о возмещении ущерба, включая моральный вред. Систематические нарушения могут привлечь внимание ГКНБ в части защиты государственных интересов.
10. Обязан ли иностранный IT-бизнес, работающий в Кыргызстане, соблюдать местное законодательство о данных?
Да. Закон «Об информации персонального характера» применяется ко всем лицам — в том числе иностранным — которые обрабатывают данные граждан Кыргызстана или данные, собранные на территории республики. Иностранная компания, которая предоставляет сервис кыргызским пользователям без регистрации юридического лица в КР, формально обязана соблюдать требования закона. Регистрация ОсОО в Министерстве юстиции КР или назначение местного представителя упрощает взаимодействие с ГАЗПД и снижает регуляторный риск. Практика правоприменения в отношении иностранных компаний в КР пока формируется — тем не менее риск предписаний и блокировок реален.
11. Как оформить политику конфиденциальности для кыргызского рынка?
Политика конфиденциальности должна содержать: наименование и контакты держателя данных, перечень собираемых данных и цели обработки, правовые основания обработки (согласие, договор, закон), срок хранения, порядок передачи третьим лицам и за рубеж, права субъекта и способ их реализации, контакты ответственного за защиту данных. Документ публикуется на сайте и должен быть доступен до момента сбора данных. Политика, скопированная с GDPR без адаптации под нормы КР, не отвечает требованиям местного регулятора: структура схожа, но конкретные требования и ссылки на законодательство должны соответствовать кыргызскому праву.
12. Как действовать при утечке персональных данных?
При обнаружении утечки компания обязана: немедленно локализовать инцидент, уведомить ГАЗПД в установленные сроки, по возможности уведомить затронутых субъектов и провести внутреннее расследование. Промедление с уведомлением регулятора квалифицируется как самостоятельное нарушение — поверх нарушения по факту утечки. Рекомендуется заранее разработать план реагирования на инциденты (Incident Response Plan): он снижает время реакции, фиксирует ответственных сотрудников и демонстрирует регулятору добросовестность компании при оценке санкций. Отсутствие такого плана при проверке ГАЗПД расценивается как организационная уязвимость.
13. Нужен ли в компании ответственный за защиту данных (DPO)?
Законодательство КР не закрепляет обязательный институт DPO в том виде, в каком он существует в GDPR. Однако крупным держателям данных и компаниям, обрабатывающим чувствительные категории, целесообразно назначить ответственного сотрудника или внешнего советника. Это позволяет централизовать взаимодействие с ГАЗПД, оперативно реагировать на запросы субъектов и контролировать соблюдение внутренних процедур. Для ПВТ-резидентов назначение ответственного за данные фактически является частью корпоративного комплаенса. Функцию DPO можно передать на аутсорсинг юридической фирме — это снижает расходы на старте.
14. Как защита персональных данных соотносится с санкционным комплаенсом?
Санкционный скрининг контрагентов предполагает обработку их персональных данных — имён, реквизитов, данных бенефициаров. Это означает, что процедуры KYC и санкционной проверки должны соответствовать требованиям закона о персональных данных: наличие правового основания обработки, ограничение цели, соразмерный срок хранения результатов проверок. Компании, которые выстраивают антисанкционный комплаенс, параллельно обязаны выстраивать и data-комплаенс — это два взаимосвязанных трека одной программы. Подробнее о практике госорганов — в материале «Вторичные санкции в КР: практика госорганов и судов».
15. С чего начать выстраивание data-комплаенса в IT-компании?
Первый шаг — провести аудит данных: составить карту потоков персональных данных (data flow map), определить все точки сбора, хранения и передачи. Второй — проверить и при необходимости актуализировать правовые основания обработки и формы согласий. Третий — зарегистрироваться в реестре ГАЗПД, если регистрация не пройдена. Четвёртый — разработать или обновить политику конфиденциальности и внутренние процедуры. Пятый — обучить сотрудников, работающих с данными. Шестой — назначить ответственного за защиту данных и настроить процесс реагирования на инциденты. Сравнение подходов в странах ЕАЭС — в материале «Вторичные санкции в Кыргызстане и странах ЕАЭС: сравнение».
Для IT-компании выбор правильной модели data-комплаенса зависит от структуры сервиса, географии пользователей и статуса резидента ПВТ или ПКИ. Разберём вашу архитектуру обработки данных и подготовим документацию, соответствующую требованиям ГАЗПД.
Оценить санкционные рискиПраво-300 · Best Lawyers · 1 000+ дел с 2009 года
Каждый IT-проект — уникальная комбинация юрисдикции, лицензии и контрактной структуры. Разберём вашу на встрече и подготовим комплаенс-документацию под требования ГАЗПД и действующего законодательства КР.
Оценить санкционные рискиМатериал носит информационный характер и не является юридической консультацией. Для решения конкретного вопроса обратитесь в юридическую фирму БЕКЕМ.
Актуально на: 26 сентября 2026 г.
Услуги БЕКЕМ по теме