НАУЧНО-ПРАКТИЧЕСКИЙ КОММЕНТАРИЙ
К ЦИФРОВОМУ КОДЕКСУ РЕСПУБЛИКИ КАЗАХСТАН
(Кодекс Республики Казахстан от 9 января 2026 года № 255-VIII ЗРК)
Статья 41. Право на удаление, анонимизацию и ограничение обработки персональных данных
Серия «Цифровые права субъекта цифровой среды». Выпуск 2 из 5
Постатейный комментарий к статье 41 главы 8 «Основные права субъекта цифровой среды» Цифрового кодекса Республики Казахстан
Подготовлен экспертной группой ТОО «Центр цифровых прав Казахстан»
Авторы: Утеген Д., Дайырбеков Р., Кабышев Е.
Алматы, 2026
СОДЕРЖАНИЕ
Вводный комментарий к статье 41
О настоящем материале
Правовой контекст
Место статьи в системе Кодекса
Структура и методология комментария
Оговорки
Статья 41. Право на удаление, анонимизацию и ограничение обработки персональных данных
Наименование статьи и ее место в Кодексе
Цель статьи
Предмет регулирования статьи
Круг субъектов
Постатейный анализ по пунктам
Ключевые понятия статьи
Механизм реализации нормы
Соотношение статьи с другими нормами Кодекса
Соотношение с иным законодательством
Правоприменительные риски и типичные ошибки толкования
Возможные сценарии применения
Модуль рисков и пределов применения
Концептуально-доктринальный модуль
Сравнительно-правовой модуль
Вывод по статье
Заключительные положения
Практические ориентиры
Место материала в серии
Настоящий материал представляет собой постатейный научно-практический комментарий к статье 41 Цифрового кодекса Республики Казахстан (Кодекс Республики Казахстан от 9 января 2026 года № 255-VIII ЗРК), закрепляющей право субъекта персональных данных требовать удаления, анонимизации или ограничения обработки своих персональных данных.
Цель материала - раскрыть содержание трех самостоятельных правомочий субъекта, разграничить случаи, когда обработка ограничивается (пункт 3), и случаи, когда требование не подлежит исполнению вовсе (пункт 4), а также показать пределы усмотрения обязанного лица при отказе в исполнении требования.
Статья 41 придает праву на прекращение обработки данных кодифицированную форму и распространяет его на цифровую среду в целом. Три правомочия - удаление (необратимое уничтожение данных), анонимизация (преобразование данных в форму, исключающую установление их принадлежности субъекту) и ограничение обработки (приостановление операций при сохранении данных) - влекут разные правовые последствия и не являются взаимозаменяемыми.
Практическое значение имеет разграничение анонимизации и псевдонимизации: первая необратима и выводит данные из режима персональных данных, вторая обратима, и данные сохраняют этот режим. Представление обратимо обезличенных данных как анонимизированных не исполняет требование субъекта.
Статья 41 входит в главу 8 «Основные права субъекта цифровой среды» раздела 3 и конкретизирует общее право субъекта цифровых данных на контроль, удаление и ограничение обработки, закрепленное пунктом 4 статьи 37. Она соотносится с пунктом 4 статьи 16 (специальный режим управления данными, содержащими персональные данные), с пунктом 7 статьи 17 (немедленное удаление данных, ставших доступными вследствие утечки), со статьей 9 (баланс частных и публичных интересов, лежащий в основе исключений пунктов 3 и 4) и со статьей 105 (ответственность за неисполнение требования).
Порядок исполнения требования Кодекс передает Закону Республики Казахстан «О персональных данных и их защите». Норма пункта 3 предполагает наличие обязательных сроков хранения, установленных, в частности, налоговым, бухгалтерским и архивным законодательством; изъятие об архивном хранении применяется во взаимосвязи с Законом «О Национальном архивном фонде и архивах».
Комментарий подготовлен в соответствии с методическими рекомендациями по подготовке научно-практического комментария к Цифровому кодексу. Он не подменяет текст закона и не создает новых норм, а раскрывает смысл, цели, пределы и механизм применения нормы (пункт 1 общих положений методических рекомендаций).
Статья раскрывается через четыре вопроса: что прямо установлено Кодексом, кто обязан исполнять норму, как она связана с другими нормами и какие ошибки возможны при ее применении. Этой логике подчинена структура материала: за текстом статьи следуют разделы о ее месте в Кодексе, цели и предмете регулирования, круге управомоченных и обязанных лиц, постатейный анализ по пунктам, ключевые понятия, механизм реализации, соотношение с иными нормами Кодекса и с отраслевым законодательством, правоприменительные риски и типичные ошибки толкования, возможные сценарии применения, доктринальный и сравнительно-правовой модули, вывод по статье.
Разделы «Правоприменительные риски и типичные ошибки толкования» и «Возможные сценарии применения» имеют прикладное назначение: они показывают, какие именно доводы подлежат проверке при оценке конкретного цифрового решения и какие обстоятельства образуют предмет доказывания в случае спора.
Первое. Материал носит научно-практический характер и отражает позицию его авторов. Он не является официальным толкованием Цифрового кодекса, не имеет обязательной силы для государственных органов и судов и не заменяет юридическую консультацию по конкретному делу.
Второе. Международный и сравнительно-правовой материал используется исключительно как вспомогательный контекст и не подменяет анализ национального права; приоритет во всех случаях имеет национальная система права и логика самого Кодекса.
Третье. Комментарий отражает редакцию Кодекса и состояние отраслевого законодательства на момент подготовки материала. Поскольку по большинству цифровых прав Кодекс закрепляет само право и его пределы, а порядок реализации передает отраслевому законодательству и подзаконным актам, при использовании материала необходимо сверять актуальную редакцию норм, к которым отсылает комментируемая статья.
1. Субъект персональных данных вправе требовать удаления, анонимизации или ограничения обработки своих персональных данных, размещенных или обрабатываемых в цифровой среде, независимо от основания их получения, за исключением случаев, предусмотренных законами Республики Казахстан.
Под анонимизацией персональных данных понимаются действия, в результате совершения которых определение принадлежности персональных данных субъекту персональных данных становится невозможным.
2. Владелец цифровых объектов или иное лицо, осуществляющее обработку персональных данных, обязаны исполнить требование субъекта персональных данных об удалении, анонимизации или ограничении обработки персональных данных в порядке, установленном законодательством Республики Казахстан о персональных данных и их защите.
3. Если законодательством установлены обязательные сроки хранения цифровых данных, владелец или иное лицо обязаны ограничить доступ к таким данным и приостановить их обработку по требованию субъекта, за исключением обработки:
1) на основании вступившего в законную силу судебного акта;
2) для исполнения обязательств, предусмотренных законами или договором;
3) в целях обеспечения архивного хранения в соответствии с законами.
4. Требование об удалении, анонимизации или ограничении обработки не подлежит исполнению, если сохранение данных необходимо для:
1) защиты жизни, охраны здоровья, защиты прав, свобод и законных интересов третьих лиц;
2) рассмотрения дел по правонарушениям;
3) осуществления правосудия или исполнения судебных актов;
4) обеспечения публичного интереса, прямо установленного законами;
5) целей государственной статистики или научно-исследовательской деятельности при условии анонимизации;
6) реализации государственных функций и оказания государственных услуг.
Статья 41 входит в главу 8 «Основные права субъекта цифровой среды» и закрепляет право требовать удаления, анонимизации или ограничения обработки персональных данных. Статья продолжает каталог прав, открытый статьей 40, и переводит общее право на контроль над своими данными (пункт 4 статьи 37) в конкретные правомочия требования: субъект получает инструмент, которым может непосредственно управлять своими данными в цифровой среде.
Цель статьи - наделить субъекта персональных данных эффективным механизмом прекращения или ограничения обработки данных, когда их дальнейшая обработка более не оправдана или нежелательна для субъекта. Данные, однажды попавшие в цифровую среду, склонны к бессрочному и неконтролируемому сохранению; статья формирует режим контролируемого жизненного цикла персональных данных, при котором субъект вправе инициировать их удаление, обезличивание или приостановление обработки.
Предмет регулирования - отношения по поводу прекращения, обезличивания или ограничения обработки персональных данных по требованию субъекта. Статья охватывает три различных по последствиям правомочия:
1) удаление - необратимое уничтожение данных;
2) анонимизация - преобразование данных в форму, исключающую установление их принадлежности субъекту (определена во втором абзаце пункта 1);
3) ограничение обработки - приостановление операций с данными при их сохранении.
За пределами статьи остается детальный порядок исполнения требований - он передан законодательству о персональных данных (пункт 2). Статья также не регулирует первичные основания и условия правомерности обработки - это предмет Закона «О персональных данных и их защите» и статьи 37 Кодекса.
Управомоченное лицо - субъект персональных данных, то есть физическое лицо, к которому относятся персональные данные (пункт 2 статьи 37). Право требования принадлежит ему независимо от основания получения данных (пункт 1).
Обязанные лица - владелец цифровых объектов и иное лицо, осуществляющее обработку персональных данных (пункт 2). Терминология Кодекса («владелец цифровых объектов») должна толковаться в системной связи с понятиями «собственник/владелец» (статья 38) и с понятиями оператора и собственника по Закону «О персональных данных и их защите». Обязанность исполнить требование возникает у любого лица, фактически обрабатывающего данные субъекта.
Норма закрепляет за субъектом право требовать удаления, анонимизации или ограничения обработки своих данных, размещенных или обрабатываемых в цифровой среде, независимо от основания их получения. Формула «независимо от основания получения» означает, что право не ограничено случаями неправомерной обработки: субъект может заявить требование и в отношении данных, собранных правомерно, в том числе с его согласия. По своему назначению эта норма близка к механизмам отзыва согласия и удаления данных, но применяется в пределах национального законодательства Республики Казахстан.
Второй абзац пункта 1 дает легальную дефиницию: анонимизация - действия, в результате которых определение принадлежности данных субъекту становится невозможным. Критерий - именно невозможность (а не затрудненность) идентификации. Это важно для разграничения анонимизации и псевдонимизации (обратимого обезличивания): псевдонимизированные данные сохраняют возможность повторной идентификации и потому остаются персональными данными, тогда как анонимизированные данные выходят из режима персональных данных.
Право ограничено оговоркой «за исключением случаев, предусмотренных законами». Эти исключения конкретизированы в пунктах 3 и 4 и в законодательстве о персональных данных: право не является абсолютным и подлежит балансировке с иными законными интересами (статья 9).
Норма возлагает на обязанных лиц обязанность исполнить требование субъекта в порядке, установленном законодательством о персональных данных, при отсутствии исключений пунктов 3, 4. Кодекс закрепляет само право и обязанность его исполнить, а процедуру - например, сроки, форму требования, способ подтверждения личности - определяет специальный закон. Из этого следует, что отсутствие или неполнота подзаконной процедуры не освобождают обязанное лицо от исполнения требования: процедура определяет «как», но не «исполнять ли».
Норма разрешает практически важную коллизию: что делать, если закон устанавливает обязательный срок хранения данных, но субъект требует прекратить обработку. В этом случае удаление невозможно (срок хранения обязателен), но обязанное лицо должно ограничить доступ к данным и приостановить их обработку - то есть применяется правомочие ограничения, а не удаления. Это сбалансированное решение: оно сохраняет данные ради публично значимой цели хранения, но «приостанавливает» их активную обработку.
Из этой обязанности сделаны три изъятия (обработка продолжается несмотря на требование):
■ на основании вступившего в законную силу судебного акта;
■ для исполнения обязательств по закону или договору;
■ в целях архивного хранения.
Эти изъятия очерчивают сферы, где интерес в продолжении обработки преобладает над интересом субъекта в ее приостановлении.
Норма устанавливает исчерпывающий перечень из шести оснований, при которых требование об удалении, анонимизации или ограничении не подлежит исполнению. Эти основания отражают приоритет защиты жизни и здоровья, прав третьих лиц, правосудия, публичного интереса, статистики и науки (при анонимизации), а также реализации государственных функций и услуг.
Перечень пункта 4 следует толковать ограничительно как исключение из права субъекта. Каждое основание требует обоснования необходимости сохранения данных именно для названной цели; формальная ссылка на основание без доказывания необходимости недостаточна. Особого внимания требует подпункт 4 «Публичный интерес, прямо установленный законами»: оговорка «прямо установленный законами» исключает произвольное расширение понятия публичного интереса на подзаконном уровне.
Пункт 3 регулирует ситуацию обязательных сроков хранения - т.е. данные сохраняются, но обработка ограничивается, тогда как пункт 4 называет случаи, когда требование вовсе не подлежит исполнению - т.е. обработка может продолжаться. Эти нормы не дублируют, а дополняют друг друга, образуя двухуровневую систему ограничений права.
Удаление, анонимизация, ограничение обработки - три самостоятельных правомочия с различными правовыми последствиями. Удаление прекращает существование данных; анонимизация прекращает их режим как персональных данных; ограничение приостанавливает обработку при сохранении данных. Смешение этих понятий ведет к ошибкам в правоприменении.
Анонимизация и псевдонимизация - первая необратима и выводит данные из режима персональных данных; вторая обратима и режим сохраняет. Кодекс оперирует понятием анонимизации (необратимость), что следует учитывать при оценке исполнения требования.
Термины «субъект персональных данных», «владелец», «обработчик» раскрываются через статьи 37, 38 Кодекса и Закон «О персональных данных и их защите».
Право реализуется в заявительном порядке: субъект направляет обязанному лицу требование; обязанное лицо проверяет наличие оснований для неисполнения (пункты 3, 4) и при их отсутствии исполняет требование в порядке, установленном законодательством о персональных данных (пункт 2). При наличии обязательных сроков хранения применяется ограничение обработки (пункт 3). Реализация права субъекта данных осуществляется при подтверждении его личности или полномочий представителя и принадлежности данных (пункт 5 статьи 37). Неисполнение влечет ответственность по статье 105 Кодекса и возможность защиты права в административном или судебном порядке.
- Статья 37 (пункт 4) - закрепляет общее право субъекта на контроль, удаление и ограничение обработки; статья 41 конкретизирует его применительно к цифровой среде и добавляет анонимизацию.
- Статья 16 (пункт 4) - устанавливает, что управление данными, содержащими персональные данные и иную охраняемую информацию, осуществляется с учетом особенностей, установленных законами; это согласуется с исключениями статьи 41.
- Статья 17 (пункт 7) - предусматривает немедленное удаление данных, ставших доступными вследствие утечки; это частный случай защиты, смежный с правом на удаление.
- Статья 9 - принцип баланса частных и публичных интересов лежит в основе исключений пунктов 3 и 4.
- Статья 105 - устанавливает ответственность за неисполнение требования.
Статья 41 неразрывно связана с Законом Республики Казахстан «О персональных данных и их защите», который определяет порядок реализации права (пункт 2), понятия субъекта, собственника, оператора и обработчика, основания обработки, права субъекта и обязанности по защите. Кодекс закрепляет право и его пределы, а названный Закон - механизм его реализации; при толковании оба акта должны применяться согласованно, причем отраслевая процедура не может сужать объем права ниже уровня, гарантированного Кодексом и Конституцией.
Норма пункта 3 предполагает наличие в законодательстве обязательных сроков хранения, например, в налоговом, бухгалтерском, архивном законодательстве. При коллизии требования субъекта и обязательного срока хранения приоритет имеет норма об ограничении обработки: данные сохраняются, но активная обработка приостанавливается, кроме изъятий пункта 3.
Статья также связана с Законом «О Национальном архивном фонде и архивах». Подпункт 3 пункта 3 и подпункт 5 пункта 4 (архивное хранение, государственная статистика, наука) согласуются с архивным и статистическим законодательством: здесь интерес публичной памяти и научного знания преобладает над требованием субъекта, причем для статистики и науки обязательным условием является анонимизация.
● отказ в исполнении требования со ссылкой на отсутствие подзаконной процедуры; такой отказ неправомерен, поскольку право и обязанность его исполнить закреплены самим Кодексом (пункты 1, 2);
● подмена удаления псевдонимизацией: представление обратимо обезличенных данных как анонимизированных не исполняет требование, поскольку Кодекс понимает под анонимизацией необратимое исключение принадлежности (абзац 2 пункта 1);
● расширительное толкование исключений пункта 4, особенно подпункта 4 (публичный интерес), в обход требования «прямо установленный законами»;
● применение пункта 4 (полное неисполнение) там, где должен применяться пункт 3 (ограничение обработки при обязательном сроке хранения), и наоборот;
● игнорирование требования о подтверждении личности субъекта (пункт 5 статьи 37), что создает риск исполнения требования неуполномоченного лица и нарушения прав действительного субъекта.
Сценарий 1 «Отзыв согласия». Субъект, ранее давший согласие на обработку, требует удаления данных. Поскольку право действует независимо от основания получения (пункт 1), требование подлежит исполнению, если не применяется ни одно из исключений пунктов 3, 4.
Сценарий 2 «Обязательный срок хранения». Данные подлежат обязательному хранению по закону, но субъект требует прекратить обработку. Обязанное лицо не удаляет данные, но ограничивает доступ и приостанавливает обработку (пункт 3), кроме изъятий: судебный акт, исполнение обязательств, архивное хранение.
Сценарий 3 «Спор о публичном интересе». Орган отказывает в удалении со ссылкой на публичный интерес. Предметом спора станет наличие прямого законодательного закрепления такого интереса (подпункт 4 пункта 4) и доказанность необходимости сохранения данных именно для этой цели.
Статья 41 относится к нормам, по которым особенно важны пределы усмотрения обязанного лица и гарантии прав субъекта. Допустимое применение исключений (пункты 3, 4) заканчивается там, где начинается формальное, немотивированное удержание данных. Чрезмерное расширение исключений превращает право субъекта в фикцию.
Пределы усмотрения обязанного лица очерчены исчерпывающим характером перечня пункта 4, требованием прямого законодательного закрепления публичного интереса и принципами законности, соразмерности и минимизации вмешательства (статьи 5, 6, 9).
С учетом статьи 21 Конституции и принципа соразмерности обязанное лицо должно мотивировать отказ в исполнении требования и подтвердить наличие законного основания для сохранения или продолжения обработки данных.
Статья 41 воплощает доктринальную идею информационного самоопределения - признаваемой в цифрово-правовой доктрине способности лица контролировать оборот сведений о себе. Включение анонимизации как самостоятельного правомочия - концептуально значимый шаг: оно позволяет согласовать интерес субъекта (исключение идентификации) с интересом обработчика (сохранение обезличенных данных для аналитики или статистики). Доктринально это решение балансирует между «правом на забвение» и потребностями обработки данных в публичных целях.
Сравнительно-правовой материал используется как вспомогательный контекст. В ряде зарубежных правопорядков признаются близкие по содержанию права на удаление данных и на ограничение их обработки. Казахстанская модель отличается прямым включением анонимизации в каталог правомочий субъекта на уровне Кодекса и собственным, исчерпывающим перечнем исключений, ориентированным на национальную систему публичных интересов; порядок реализации права определяет национальное законодательство о персональных данных.
Статья 41 применяется как право субъекта требовать удаления, анонимизации или ограничения обработки своих данных независимо от основания, по которому данные были получены. Обязанное лицо не вправе отказать со ссылкой на отсутствие подзаконной процедуры: право и обязанность его исполнить закреплены самим Кодексом. Отказ допустим только по одному из шести оснований пункта 4 либо в виде ограничения обработки при обязательном сроке хранения данных (пункт 3), и в обоих случаях обязанное лицо должно доказать наличие и необходимость соответствующего основания.
Ниже сведены выводы комментария в форме проверочных вопросов - в том виде, в каком они возникают у трех групп адресатов нормы.
● Для субъекта персональных данных: требование заявляется в адрес владельца цифрового объекта или иного лица, осуществляющего обработку; при отказе проверяется, названо ли конкретное основание из исчерпывающего перечня пункта 4 и мотивирован ли отказ.
● Для обязанного лица: проверяется наличие правового основания продолжения обработки; при наличии обязательного срока хранения применяется пункт 3 (ограничение обработки), а не пункт 4 (полное неисполнение); личность заявителя подтверждается в порядке пункта 5 статьи 37; отказ оформляется мотивированно.
● Для правоприменителя: перечень пункта 4 толкуется ограничительно как исключение из права субъекта; ссылка на публичный интерес требует прямого законодательного основания и оценки соразмерности; отсутствие подзаконной процедуры не является правомерным основанием отказа.
Право действует независимо от того, было ли ранее дано согласие на обработку: отзыв согласия и заявление требования - самостоятельные юридические факты, влекущие обязанность обязанного лица рассмотреть требование по существу.
Настоящий выпуск является частью серии постатейных комментариев «Цифровые права субъекта цифровой среды», подготовленной экспертной группой ТОО «Центр цифровых прав Казахстан». Серия охватывает пять статей Цифрового кодекса:
● выпуск 1 - статья 40 «Право на цифровую идентичность и ее защиту»;
● выпуск 2 - статья 41 «Право на удаление, анонимизацию и ограничение обработки персональных данных» - настоящий выпуск;
● выпуск 3 - статья 42 «Цифровая доступность и права лиц с инвалидностью в цифровой среде»;
● выпуск 4 - статья 43 «Права субъектов цифровой среды при использовании алгоритмических систем и полностью автоматизированных решений»;
● выпуск 5 - статья 48 «Биометрическая аутентификация»;
Каждый выпуск самостоятелен по содержанию, однако комментируемые статьи связаны между собой: они образуют единый каталог цифровых прав и применяются во взаимосвязи. Для полноты картины рекомендуется обращаться к выпускам, посвященным смежным статьям.