За повторное нарушение с данными детей компаниям грозит 140 тыс. сомов — новый закон ещё не действует

В Кыргызстане подписан закон №150, который меняет ответственность за нарушения при обработке персональных данных. Самый высокий штраф — 140 тыс. сомов — предусмотрен не за любую утечку и не для каждого нарушителя. Он грозит юридическому лицу за повторное в течение года нарушение, связанное с персональными данными детей или специальными категориями данных.

Закон подписан президентом Садыром Жапаровым 9 октября 2026 года. Согласно опубликованному тексту поправок, он вступит в силу через десять дней после официального опубликования. Однако на момент проверки KG24.NEWS точную дату официальной публикации закона №150 в открытой базе Минюста подтвердить не удалось. Поэтому писать, что новые штрафы уже начали действовать, пока преждевременно.

Есть и другое важное уточнение: административная ответственность за нарушения с персональными данными в Кыргызстане существовала и раньше. Новый закон не создаёт её с нуля, а меняет действующие нормы Кодекса о правонарушениях и приводит их в соответствие с новым регулированием по Цифровому кодексу Кыргызстана.

Какие штрафы предусмотрены

Нарушение	Физлицо	Должностное лицо	Юрлицо
Нарушение общих требований к обработке и защите данных	2 500 сомов	10 000 сомов	65 000 сомов
Повторно в течение года	7 500 сомов	30 000 сомов	120 000 сомов
Нарушение с данными детей или специальными категориями	7 500 сомов	20 000 сомов	80 000 сомов
Повторное нарушение с такими данными	15 000 сомов	40 000 сомов	140 000 сомов
Нарушение правил трансграничной передачи	7 500 сомов	17 500 сомов	65 000 сомов
Повторная незаконная трансграничная передача	15 000 сомов	35 000 сомов	120 000 сомов

Таким образом, широко распространяемая цифра 140 тыс. сомов относится к конкретной ситуации: юридическое лицо уже было привлечено к ответственности и в течение года повторно нарушило требования при работе с данными детей или специальными категориями персональных данных.

К специальным категориям Цифровой кодекс относит, в частности, сведения о здоровье, биометрические и генетические данные, информацию о расовом или этническом происхождении, политических и религиозных взглядах, половой жизни и сексуальной ориентации.

Что это означает для магазина, клиники или сайта

Закон касается не только крупных IT-компаний. Под обработкой понимается практически любое действие с персональной информацией: сбор, запись, хранение, просмотр, изменение, использование, передачу третьим лицам, объединение баз, удаление и уничтожение.

Например, интернет-магазин, который получает имя, номер телефона и адрес покупателя для доставки заказа, уже обрабатывает персональные данные. Клиника работает ещё и со специальной категорией — данными о здоровье. Школа, образовательный сервис или детский кружок могут обрабатывать данные несовершеннолетних.

При этом наличие персональных данных у компании само по себе не является нарушением. По Цифровому кодексу для обработки должно существовать законное основание: например, исполнение договора с клиентом, обязанность по закону, законный интерес при соблюдении прав человека либо согласие самого гражданина, когда другого основания нет.

Организация должна заранее объяснять человеку, для чего собирает информацию, не запрашивать избыточные сведения, обеспечивать их защиту и не хранить персональные данные дольше, чем требуется для заявленной цели. Если данные передаются иностранному сервису, облачной платформе или другому получателю за границей, необходимо учитывать отдельные правила трансграничной передачи.

Официальный Инвест-компас Кыргызстана также напоминает бизнесу о необходимости вести учёт операций с персональными данными, обеспечивать законные основания их обработки и назначать ответственного за обработку в организациях с числом работников более десяти человек.

Не все штрафы стали выше

Есть неожиданная деталь. До нового закона действующая статья 413-2 Кодекса уже предусматривала за общее нарушение штраф 7 500 сомов для физического лица, 10 тыс. для должностного и 65 тыс. для юридического. Новый закон снижает первый штраф для обычного физлица до 2 500 сомов, тогда как размеры для должностных и юридических лиц остаются прежними.

Зато появляется отдельная повышенная ответственность за работу с данными детей и специальными категориями: до 80 тыс. сомов для компании при первом нарушении и до 140 тыс. при повторном. При повторной незаконной трансграничной передаче максимальный штраф для юрлица увеличивается со 100 тыс. до 120 тыс. сомов.

Новые административные штрафы применяются только в случаях, когда действия не содержат признаков уголовно наказуемого деяния. Если нарушение подпадает под уголовное законодательство, ответственность может быть уже другой.

Поэтому бизнесу сейчас важнее не ориентироваться только на максимальные 140 тыс. сомов, а проверить, какие данные он собирает, зачем они нужны, кому передаются, как защищены и есть ли законное основание для каждой операции. Точная дата начала применения новых размеров станет известна после подтверждения официального опубликования закона №150.