Приведение IT-компании в соответствие Цифровому кодексу РК: урок из практики
Казахстанская IT-компания с продуктом для B2B-рынка столкнулась с типичной ситуацией: продукт работает, пользователи есть, а документация по персональным данным — в лучшем случае шаблонная политика конфиденциальности, скопированная из интернета. Когда один из корпоративных клиентов потребовал подтвердить соответствие требованиям казахстанского законодательства, компания обнаружила, что не может этого сделать. Этот кейс — о том, как выглядит комплаенс по персональным данным изнутри, какие ошибки встречаются чаще всего и что реально меняется после приведения в порядок.
Корпоративный клиент или регулятор запросил подтверждение соответствия требованиям по персональным данным? Проверить обработку персональных данных · info@vetrovkz.com
Ситуация: IT-продукт без правовой основы обработки данных
Компания разрабатывала и поддерживала SaaS-платформу для автоматизации HR-процессов. Среди её клиентов — казахстанские предприятия среднего размера, которые через платформу вели учёт сотрудников, хранили копии документов и обрабатывали данные о зарплате. Фактически платформа ежедневно обрабатывала персональные данные десятков тысяч физических лиц.
Документация компании включала: пользовательское соглашение (последнее обновление — три года назад), политику конфиденциальности на сайте (общая, без привязки к конкретным процессам платформы) и типовые договоры с клиентами без каких-либо условий об обработке персональных данных. Внутренних регламентов — кто имеет доступ к данным, как долго они хранятся, что происходит при расторжении договора — не существовало.
Триггером стал запрос от крупного клиента из финансового сектора: тот проводил собственный аудит цепочки поставщиков и потребовал от платформы подтверждения соответствия Закону о персональных данных и их защите. Компания не смогла предоставить ни реестра обработки данных, ни подтверждения правового основания передачи данных клиентов на серверы платформы.
Договоры с клиентами и подрядчиками — первое, что проверяет регулятор при аудите обработки персональных данных.
Проверить обработку персональных данныхЗадача: что именно нужно было привести в порядок?
Первичная диагностика показала шесть ключевых проблемных зон, характерных для большинства казахстанских IT-компаний, которые выросли быстрее, чем успели выстроить правовую инфраструктуру.
Первая зона — отсутствие реестра обработки данных. Компания не могла ответить на базовый вопрос: какие категории персональных данных она обрабатывает, на каком основании и с какой целью. Данные о сотрудниках клиентов, данные самих клиентов (контактные лица, пользователи платформы) и данные собственных сотрудников смешивались в одной инфраструктуре без разграничения.
Вторая зона — договоры с клиентами. Ни один из действующих договоров не содержал условий о том, в каком качестве выступает платформа — оператора или третьего лица, получающего данные от оператора-клиента. Это создавало правовую неопределённость: кто несёт ответственность перед субъектами данных — клиент или платформа?
- Отсутствие реестра обработки персональных данных
- Договоры с клиентами без условий об обработке данных
- Устаревшая политика конфиденциальности, не отражающая реальные процессы
- Отсутствие внутренних регламентов доступа и хранения
- Нет порядка реагирования на запросы субъектов данных
- Нет процедуры уведомления при инцидентах безопасности
Что было сделано: этапы приведения в соответствие
Работа велась в четыре последовательных этапа. Каждый этап завершался конкретным документом или набором документов, которые компания могла предъявить клиенту или регулятору.
На первом этапе провели картирование данных: прошли по всем процессам платформы и зафиксировали, какие данные собираются на каждом шаге — при регистрации, при использовании функций, при интеграции с внешними сервисами. По итогам сформировали реестр обработки: категории данных, цели, правовые основания, сроки хранения, получатели. Этот документ стал основой для всей последующей работы.
На втором этапе переработали договорную базу. В стандартный договор с клиентами добавили раздел об обработке персональных данных: платформа выступает в роли лица, обрабатывающего данные по поручению клиента-оператора, и обязуется соблюдать инструкции клиента, обеспечивать конфиденциальность и уничтожать данные после расторжения договора. Для подрядчиков платформы — облачного провайдера, сервиса рассылок, аналитического инструмента — подготовили аналогичные дополнительные соглашения.
Как выглядела переработка политики конфиденциальности?
Политика конфиденциальности — это не просто юридический текст на сайте. Для IT-платформы это документ, который должен точно описывать реальные процессы: что собирается, зачем, как долго хранится и кому передаётся. Расхождение между политикой и реальностью само по себе является нарушением.
Старая политика компании описывала «сбор имени и email для регистрации» — и ничего больше. Реальность была иной: платформа обрабатывала ИИН сотрудников клиентов, данные о зарплате, копии удостоверений личности, историю трудовых отношений. Всё это — персональные данные, часть из которых относится к категории, требующей повышенной защиты.
Новая политика была написана под конкретную архитектуру платформы. Она разграничивала данные пользователей платформы (сотрудники клиентов-компаний, которые работают в системе) и данные субъектов, которых эти пользователи вносят в систему (работники клиентов). Для каждой категории — своё правовое основание, свои сроки хранения, свой порядок удаления. Отдельный раздел посвятили cookies и аналитике: на сайте платформы появился корректный баннер с возможностью отказа от нефункциональных cookies.
Внутренние регламенты: кто, что и как долго
Внутренние регламенты — наименее заметная, но критически важная часть комплаенса. Без них политика конфиденциальности остаётся декларацией: сотрудники не знают, как действовать при запросе субъекта данных, при инциденте безопасности или при увольнении коллеги с доступом к базе.
Компания разработала три ключевых внутренних документа. Первый — регламент доступа к персональным данным: матрица ролей, определяющая, кто из сотрудников имеет доступ к каким категориям данных. Доступ разработчиков к производственным данным был ограничен — для тестирования стали использовать анонимизированные наборы. Второй — регламент реагирования на запросы субъектов: пошаговая инструкция от получения запроса до отправки ответа, с указанием сроков и ответственных. Третий — процедура уведомления при инцидентах: что считается инцидентом, кто принимает решение об уведомлении регулятора и клиентов, в какие сроки.
Результат: что изменилось и какие уроки стоит вынести
Через три месяца после начала работы компания смогла предоставить клиенту из финансового сектора полный пакет документации: реестр обработки данных, актуальную политику конфиденциальности, подписанное дополнительное соглашение об обработке данных и описание технических мер защиты. Договор был сохранён.
Параллельно выяснилось, что приведение в порядок документации дало и операционный эффект. Разработчики перестали работать с реальными пользовательскими данными в тестовой среде — это снизило риск случайной утечки. Регламент запросов субъектов позволил службе поддержки отвечать на обращения пользователей быстрее и без эскалации к юристу по каждому случаю.
Главный урок, который стоит вынести топ-менеджеру: комплаенс по персональным данным — это не разовый проект, а операционный процесс. Законодательство меняется, продукт развивается, появляются новые подрядчики и интеграции. Реестр обработки данных и договорная база требуют актуализации при каждом существенном изменении продукта или инфраструктуры. Компании, которые выстраивают этот процесс заблаговременно, тратят на него значительно меньше ресурсов, чем те, кто делает это в режиме аврала под давлением клиента или регулятора.
Частые вопросы
1. Можно ли использовать видеонаблюдение в офисе?
Видеонаблюдение в офисе в Казахстане допустимо, однако требует соблюдения ряда условий. Работодатель обязан уведомить сотрудников о ведении съёмки — как правило, через трудовой договор, локальный акт или отдельное письменное уведомление. Закон о персональных данных и их защите относит биометрические и визуальные данные к персональным, поэтому их сбор и хранение требуют правового основания: согласия субъекта или законного интереса оператора. На практике регулятор обращает внимание на то, уведомлены ли работники, где размещены камеры (зоны отдыха и санузлы — под запретом), каков срок хранения записей и кто имеет к ним доступ. Рекомендуется закрепить порядок видеонаблюдения во внутреннем регламенте и ознакомить с ним всех сотрудников под подпись.
2. Как правильно собирать cookies на сайте в Казахстане?
Сбор cookies на сайте в Казахстане регулируется Законом о персональных данных и их защите: если cookie-файлы позволяют идентифицировать пользователя, они считаются персональными данными. Оператор обязан получить согласие пользователя до начала сбора таких данных — баннер «Мы используем cookies» без возможности отказа не является надлежащим согласием. Корректная схема: баннер с чёткими опциями «Принять» и «Отклонить», раздельное согласие на функциональные и аналитические или маркетинговые cookies, ссылка на политику конфиденциальности. Технические cookies, необходимые для работы сайта, согласия не требуют. Политика конфиденциальности должна описывать цели сбора, сроки хранения и порядок отзыва согласия. Подробнее о требованиях к cookies — в материале «Как правильно собирать cookies на сайте в Казахстане».
3. Что делать при запросе субъекта персональных данных?
При получении запроса от субъекта персональных данных в Казахстане оператор обязан ответить в установленный законодательством срок — как правило, в течение 15 рабочих дней. Субъект вправе запросить подтверждение факта обработки, перечень обрабатываемых данных, цели и основания обработки, а также потребовать исправления, блокирования или уничтожения данных. Рекомендуется установить внутренний регламент обработки таких запросов: назначить ответственное лицо, зафиксировать форму запроса и порядок верификации личности заявителя, определить сроки внутреннего согласования ответа. Отказ в предоставлении информации без законного основания может повлечь административную ответственность оператора. Все запросы и ответы на них следует хранить как доказательство надлежащего исполнения обязанностей.
4. Что такое аудит персональных данных и зачем он нужен IT-компании?
Аудит персональных данных — это систематическая проверка того, какие данные компания собирает, на каком основании, как хранит и кому передаёт. Для IT-компании в Казахстане аудит особенно важен: продукты и сервисы, как правило, обрабатывают большие массивы пользовательских данных, а значит, риск нарушений выше, чем в традиционном бизнесе. По итогам аудита формируется реестр обработки данных, выявляются «слепые зоны» — процессы без правового основания, устаревшие согласия, договоры с подрядчиками без условий конфиденциальности. Аудит также позволяет оценить готовность компании к проверке регулятора и заблаговременно устранить нарушения, не дожидаясь предписания или штрафа. Подробнее о процессе приведения в соответствие — в материале «Приведение IT-компании в соответствие: с чего начать».
5. Нужно ли регистрировать базу данных персональных данных в Казахстане?
Действующее казахстанское законодательство о персональных данных предусматривает обязанности операторов по уведомлению уполномоченного органа в случаях, установленных законом. На практике требования к уведомлению и регистрации баз данных менялись, поэтому актуальный порядок следует уточнять по состоянию на дату обращения. IT-компаниям рекомендуется вести внутренний реестр баз данных независимо от требований регулятора: это упрощает управление данными, помогает при проверках и снижает риск непреднамеренных нарушений при изменении законодательства.
6. Как оформить договор с подрядчиком, который обрабатывает персональные данные?
Если IT-компания передаёт персональные данные пользователей внешнему подрядчику — облачному провайдеру, аналитическому сервису или колл-центру, — договор с ним должен содержать условия об обработке данных исключительно в целях, определённых оператором, о конфиденциальности, о мерах технической и организационной защиты, а также о порядке уничтожения данных по истечении срока договора. Отсутствие таких условий означает, что оператор не может подтвердить законность передачи данных третьей стороне. Это одно из наиболее частых нарушений, выявляемых при аудите: компания формально имеет политику конфиденциальности, но договоры с подрядчиками её не отражают. Вопросы оформления договоров с подрядчиками также актуальны при использовании договоров ГПХ — подробнее в материале «Можно ли работать по договору ГПХ в Казахстане в 2026 году».
Выводы
Приведение IT-компании в соответствие казахстанскому законодательству о персональных данных — это не разовая задача, а операционный процесс. Ключевые элементы: реестр обработки данных, актуальная договорная база с клиентами и подрядчиками, внутренние регламенты доступа и реагирования на инциденты. Компании, которые выстраивают этот процесс до того, как получают запрос от клиента или предписание регулятора, тратят на него значительно меньше ресурсов и сохраняют деловые отношения без потерь.
Актуально на: 5 января 2026 года.
Если ситуация требует внимания — мы поможем разобраться.
Смежные направления
Направление практики
Персональные данные и IT-право — соответствие Закону о персональных данных, трансграничная передача, аудит обработки и IT-договоры.