Приведение IT-компании в соответствие Цифровому кодексу РК: разбор ситуации
Казахстанские IT-компании, обрабатывающие персональные данные пользователей, оказались в зоне повышенного регуляторного внимания после принятия Цифрового кодекса РК. В этом материале — анонимизированный разбор реальной ситуации: как средняя IT-компания выявила пробелы в комплаенсе, устранила их и выстроила устойчивую систему работы с данными в соответствии с казахстанским законодательством.
Ваша IT-компания обрабатывает персональные данные пользователей — и вы не уверены, соответствует ли это требованиям казахстанского законодательства? Проверить обработку персональных данных · info@vetrovkz.com
Ситуация: что происходило до обращения
Средняя казахстанская IT-компания — разработчик SaaS-платформы для управления персоналом — обрабатывала данные нескольких тысяч конечных пользователей своих корпоративных клиентов. Компания работала на рынке несколько лет, имела типовую политику конфиденциальности, скопированную с зарубежного шаблона, и считала вопрос закрытым.
Ситуация изменилась, когда один из крупных корпоративных клиентов — компания с государственным участием — запросил подтверждение соответствия требованиям казахстанского законодательства о персональных данных. Клиент ссылался на внутренние требования комплаенса и условия тендера. Без такого подтверждения контракт на следующий год оказывался под угрозой.
Параллельно компания получила запрос от уполномоченного органа с просьбой предоставить сведения о зарегистрированных базах данных. Выяснилось, что регистрация баз данных не проводилась вовсе, а политика конфиденциальности не соответствовала требованиям Закона о персональных данных и их защите.
Аудит персональных данных позволяет выявить пробелы до того, как их обнаружит регулятор или клиент.
Проверить обработку персональных данныхЗадача: что нужно было решить
Перед юридической командой стояло несколько взаимосвязанных задач, каждая из которых имела собственные сроки и последствия при неисполнении.
Во-первых, требовалось провести аудит всей цепочки обработки данных: от момента сбора до удаления. Компания выступала одновременно оператором (в отношении данных своих сотрудников) и обработчиком (в отношении данных пользователей клиентов). Эти роли предполагают разный объём обязательств, и их смешение создавало правовую неопределённость.
Во-вторых, нужно было привести в порядок договорную базу: соглашения с клиентами не содержали обязательных условий об обработке данных, а договоры с облачными провайдерами и субподрядчиками не разграничивали ответственность за инциденты. В-третьих, требовалось выстроить внутренние процедуры — от получения согласий до реагирования на запросы субъектов данных и уведомления об утечках.
Что показал аудит: ключевые пробелы
Аудит выявил шесть системных нарушений, характерных для большинства казахстанских IT-компаний, выросших из стартапа без выстроенного юридического сопровождения.
- Отсутствие регистрации баз данных. Компания не зарегистрировала ни одну из трёх баз данных, содержащих персональные данные граждан РК, в уполномоченном органе.
- Несоответствие политики конфиденциальности. Документ был составлен по иностранному шаблону, не содержал обязательных реквизитов по казахстанскому праву и не был переведён на казахский язык.
- Отсутствие разграничения ролей. В договорах с клиентами не было прописано, кто является оператором, а кто — обработчиком данных конечных пользователей.
- Пробелы в согласиях сотрудников. Трудовые договоры не содержали положений об обработке персональных данных, а для биометрических данных (фото в системе контроля доступа) отдельные согласия не оформлялись.
- Отсутствие процедуры реагирования на инциденты. Компания не имела утверждённого регламента уведомления уполномоченного органа и субъектов данных в случае утечки.
- Трансграничная передача данных без надлежащего оформления. Данные хранились на серверах облачного провайдера за пределами Казахстана без соблюдения требований о локализации и трансграничной передаче.
Как выстраивалось решение: этапы работы
Работа велась в четыре последовательных этапа с чёткими дедлайнами — часть из них диктовалась сроком ответа на запрос уполномоченного органа, часть — переговорами с клиентом.
На первом этапе была проведена инвентаризация всех потоков данных: составлена карта обработки с указанием категорий данных, целей, оснований, сроков хранения и получателей. Это позволило разграничить роли оператора и обработчика и определить, какие базы данных подлежат регистрации.
На втором этапе разрабатывался пакет документов: новая политика конфиденциальности на русском и казахском языках, внутреннее положение об обработке персональных данных, формы согласий для пользователей и сотрудников, регламент реагирования на инциденты. Параллельно готовились заявления о регистрации баз данных.
На третьем этапе пересматривались договоры. В соглашения с клиентами вносились условия о разграничении ответственности оператора и обработчика, порядке уведомления об инцидентах и праве аудита. Договоры с облачными провайдерами дополнялись условиями о локализации данных граждан РК или надлежащем оформлении трансграничной передачи.
На четвёртом этапе проводилось обучение сотрудников: ответственный за защиту данных прошёл инструктаж, в компании назначен внутренний координатор по персональным данным.
Результат: что изменилось и какие уроки можно извлечь
По итогам работы компания зарегистрировала базы данных, получила подтверждение соответствия для клиента с государственным участием и продлила контракт. Запрос уполномоченного органа был закрыт предоставлением документов о регистрации и обновлённой политики конфиденциальности — без применения санкций.
Ключевой урок этой ситуации: большинство нарушений не были умышленными. Компания просто не отслеживала изменения казахстанского законодательства о персональных данных и не адаптировала внутренние процессы под местные требования. Шаблонные документы из иностранных источников создают иллюзию защищённости, но не обеспечивают соответствия казахстанскому праву.
Второй урок: роль обработчика (когда IT-компания обрабатывает данные от имени клиента) не снимает с неё ответственности — она лишь перераспределяет её. Договорное разграничение ролей критично как для защиты самой компании, так и для выполнения требований клиентов в сфере комплаенса.
Частые вопросы
1. Нужно ли согласие на обработку данных сотрудников?
Согласие сотрудника на обработку его персональных данных требуется в большинстве случаев, однако казахстанское законодательство предусматривает ряд исключений. Обработка данных, необходимая для исполнения трудового договора, как правило, не требует отдельного согласия — достаточно положений самого договора и внутренних актов работодателя. Вместе с тем для обработки чувствительных данных (состояние здоровья, биометрия) согласие обязательно в любом случае. Рекомендуется закрепить порядок обработки в трудовом договоре и отдельной политике конфиденциальности для персонала.
2. Что такое чувствительные персональные данные?
Чувствительные персональные данные — это категория сведений, обработка которых несёт повышенные риски для субъекта и требует усиленной защиты. К ним относятся данные о расовом и этническом происхождении, политических взглядах, религиозных убеждениях, состоянии здоровья, биометрические данные, а также сведения о судимостях. Закон о персональных данных и их защите устанавливает для таких данных особый режим: обязательное явное согласие субъекта, ограниченный круг лиц с доступом, усиленные технические меры защиты и отдельный учёт в реестре баз данных.
3. Можно ли использовать видеонаблюдение в офисе?
Видеонаблюдение в офисе допустимо при соблюдении ряда условий. Работодатель обязан уведомить сотрудников о ведении съёмки — как правило, через внутренний локальный акт и видимые таблички в зонах наблюдения. Цель съёмки должна быть законной и соразмерной: охрана имущества, безопасность, но не тотальный контроль за каждым действием работника. Записи являются персональными данными и подпадают под требования Закона о персональных данных и их защите: сроки хранения, ограниченный доступ, защита от утечки. Использование записей в дисциплинарных целях допустимо, но должно быть прямо предусмотрено локальными актами.
4. Какие документы нужны для комплаенса по персональным данным?
Базовый пакет документов для комплаенса включает политику обработки персональных данных (публичный документ на сайте), внутреннее положение об обработке персональных данных, реестр баз персональных данных с регистрацией в уполномоченном органе, формы согласий для различных категорий субъектов, соглашения о конфиденциальности с сотрудниками и подрядчиками, а также договоры с операторами связи и облачными провайдерами, содержащие условия об обработке данных. Для IT-компаний дополнительно потребуются технические регламенты защиты данных и процедура реагирования на инциденты.
5. Что грозит за нарушение требований о персональных данных в Казахстане?
Нарушение требований законодательства о персональных данных в Казахстане влечёт административную ответственность: предупреждение или штраф, размер которого зависит от характера нарушения и субъекта ответственности. При повторных нарушениях или утечке данных в крупном масштабе возможно уголовное преследование по соответствующим статьям Уголовного кодекса РК. Помимо санкций, компания несёт репутационные риски и гражданско-правовую ответственность перед субъектами данных, чьи права были нарушены. Уполномоченный орган вправе выдать предписание об устранении нарушений и приостановить обработку данных.
6. Нужно ли регистрировать базы данных в уполномоченном органе?
Да, операторы персональных данных в Казахстане обязаны регистрировать базы данных, содержащие персональные данные граждан РК, в уполномоченном органе. Регистрация осуществляется через портал egov.kz. Исключения предусмотрены для баз данных, используемых исключительно в личных целях, а также для ряда государственных информационных систем. IT-компании, обрабатывающие данные пользователей своих сервисов, как правило, обязаны пройти регистрацию — и это один из первых пунктов, который проверяет уполномоченный орган при запросе сведений.
Выводы
Приведение IT-компании в соответствие требованиям казахстанского законодательства о персональных данных — это не разовая задача, а выстраивание системы. Аудит выявляет пробелы, документы фиксируют правила, договоры разграничивают ответственность, а обучение персонала обеспечивает соблюдение правил на практике. Компании, прошедшие этот путь заблаговременно, избегают санкций и получают конкурентное преимущество при работе с требовательными клиентами — особенно с государственным участием. Ссылки на смежные материалы: обзор требований Цифрового кодекса РК, уведомление об утечке персональных данных, чек-лист IP-аудита компании в Казахстане. Актуально на: 2 января 2026 года.
Актуально на: 2 января 2026 года.
Если ситуация требует внимания — мы поможем разобраться.
Смежные направления
Направление практики
Персональные данные и IT-право — соответствие Закону о персональных данных, трансграничная передача, аудит обработки и IT-договоры.