Приведение IT-компании в соответствие Цифровому кодексу РК: реальный пример
Казахстанская IT-компания с продуктом для B2C-рынка обратилась за юридическим сопровождением после того, как получила предупреждение от регулятора: политика обработки персональных данных не соответствует действующему законодательству. За шесть месяцев компания прошла путь от хаотичного сбора данных до полноценного комплаенса по Закону о персональных данных и их защите и требованиям Цифрового кодекса РК. Ниже — анонимизированное описание этого пути: что было не так, что сделали и к чему пришли.
Ваша IT-компания работает с персональными данными пользователей — и вы не уверены, всё ли оформлено правильно? Проверить обработку персональных данных · info@vetrovkz.com
Ситуация: что происходило до обращения
Компания — разработчик мобильного приложения для казахстанского рынка — работала около трёх лет. За это время продукт вырос до нескольких сотен тысяч активных пользователей. Данные собирались с момента запуска: имена, email-адреса, номера телефонов, геолокация, история действий в приложении. Часть данных передавалась аналитическим сервисам и рекламным платформам.
Политика конфиденциальности была скопирована с зарубежного шаблона и не адаптирована под казахстанское законодательство. Согласие пользователей на обработку данных фиксировалось галочкой «Я принимаю условия» без отдельного согласия на каждую цель обработки. Сотрудники имели широкий доступ к пользовательским данным без разграничения ролей.
Предупреждение от регулятора стало неожиданностью для собственника: он полагал, что наличие политики конфиденциальности на сайте закрывает все вопросы. На деле документ не соответствовал ни по форме, ни по содержанию требованиям казахстанского законодательства.
Получили предписание регулятора или хотите провести аудит до проверки — разберём ситуацию и составим план действий.
Проверить обработку персональных данныхЗадача: что требовалось привести в порядок
После первичной диагностики стало ясно, что проблема не в одном документе — она системная. Компания не имела внутреннего реестра обрабатываемых данных, не разграничивала правовые основания для разных категорий обработки и не выстроила процедуру реагирования на запросы субъектов данных.
Задача разбилась на четыре направления. Первое — документальное: разработать комплект внутренних и публичных документов, соответствующих Закону о персональных данных и их защите. Второе — договорное: привести в соответствие соглашения с подрядчиками и аналитическими платформами, которым передавались данные. Третье — техническое: сформулировать требования к IT-архитектуре с точки зрения локализации и защиты данных. Четвёртое — процессное: обучить команду и выстроить внутренние процедуры.
Срок, установленный регулятором для устранения нарушений, составлял 90 дней. Компания приняла решение выйти за рамки минимума и провести полноценный комплаенс-проект.
Что сделали: аудит как отправная точка
Работа началась с картирования данных: юристы совместно с техническими специалистами компании составили реестр всех точек сбора данных — форм регистрации, push-уведомлений, аналитических SDK, рекламных пикселей. По каждой точке фиксировались: категория данных, правовое основание, цель, срок хранения, получатели.
Аудит выявил несколько критических несоответствий. Геолокация собиралась в фоновом режиме без явного согласия пользователя на такой режим — это отдельная категория, требующая отдельного основания. Данные передавались трём зарубежным аналитическим сервисам без договоров о трансграничной передаче и без проверки уровня защиты в стране-получателе. Сроки хранения не были установлены ни для одной категории данных.
Отдельным блоком шли данные сотрудников: кадровые документы, данные для расчёта зарплаты, переписка в корпоративных мессенджерах. Компания не разграничивала, какие данные обрабатываются на основании трудового договора, а какие требуют отдельного согласия.
Как выстраивалась документальная база
На основе реестра данных был разработан полный комплект документов. Публичная политика обработки персональных данных переписана с нуля: на казахстанском и русском языках, с указанием конкретных целей, оснований, сроков и получателей по каждой категории данных. Документ размещён на сайте и в приложении с датой последнего обновления.
Для пользователей разработаны отдельные формы согласий: на обработку данных при регистрации, на получение маркетинговых коммуникаций, на сбор геолокации в фоновом режиме. Каждое согласие — отдельный чекбокс с описанием цели, не предзаполненный. Отказ от маркетингового согласия не блокирует доступ к сервису.
Внутреннее положение об обработке персональных данных закрепило роли: ответственный за обработку данных, перечень сотрудников с доступом к каждой категории, порядок реагирования на запросы субъектов и инциденты. Регламент реагирования на инциденты установил сроки уведомления регулятора и субъектов данных при утечке.
Договорная работа: подрядчики и трансграничная передача
Передача данных зарубежным аналитическим сервисам потребовала отдельного юридического решения. По казахстанскому законодательству трансграничная передача персональных данных допустима при соблюдении условий: достаточный уровень защиты в стране-получателе или заключение договора с иностранным оператором, предусматривающего надлежащие гарантии.
По двум из трёх сервисов удалось заключить соглашения об обработке данных (Data Processing Agreements) с необходимыми гарантиями. Третий сервис не предоставлял такой возможности — от его использования компания отказалась и перешла на альтернативное решение с серверами в Казахстане.
Договоры с подрядчиками, имеющими доступ к пользовательским данным, дополнены разделами о конфиденциальности и обязательствах по защите данных. Для каждого подрядчика зафиксированы: цель передачи, категории данных, запрет на использование в собственных целях, обязанность уведомить об инциденте.
Технические требования: локализация и разграничение доступа
Требование о локализации баз персональных данных граждан Казахстана означает, что основная база должна физически находиться на серверах в Казахстане. Компания использовала облачную инфраструктуру зарубежного провайдера — потребовалась миграция основной базы на казахстанский дата-центр.
Параллельно выстроена система разграничения доступа: принцип минимальных привилегий — каждый сотрудник видит только те данные, которые необходимы для его функции. Введено логирование доступа к персональным данным. Настроено автоматическое удаление данных по истечении установленных сроков хранения.
Юристы сформулировали технические требования в виде задания для разработчиков — без вхождения в архитектурные решения, но с чёткими правовыми критериями: что должно быть реализовано, чтобы соответствовать законодательству. Это позволило команде разработки самостоятельно выбрать технические инструменты.
Результат: что изменилось и какие уроки вынесены
Через пять месяцев после начала проекта компания направила регулятору отчёт об устранении нарушений с приложением обновлённых документов и технических подтверждений. Предписание было снято. Повторная проверка через три месяца нарушений не выявила.
Собственник отметил несколько неожиданных эффектов. Пользователи стали чаще завершать регистрацию — прозрачные формы согласий снизили тревожность. Подрядчики восприняли обновлённые договоры как признак зрелости компании. Внутри команды появилось понимание, что данные пользователей — это ответственность, а не просто ресурс.
Ключевой урок: комплаенс по персональным данным — это не разовая задача, а процесс. Законодательство меняется, продукт развивается, появляются новые точки сбора данных. Компания ввела ежегодный внутренний аудит и назначила ответственного за защиту данных внутри команды. Это позволяет отслеживать изменения и реагировать до, а не после предписания регулятора. Подробнее о требованиях к чувствительным данным — в материале «Что такое чувствительные персональные данные в Казахстане». Об изменениях регулирования — в обзоре «Цифровой кодекс РК: ключевые изменения». Смежные вопросы цифровых активов рассмотрены в материале «Майнинг в Казахстане: правовое регулирование и налоги».
Частые вопросы
1. Можно ли хранить персональные данные казахстанцев за границей?
По казахстанскому законодательству базы персональных данных граждан Республики Казахстан должны храниться на серверах, физически расположенных на территории Казахстана. Трансграничная передача данных допустима при соблюдении ряда условий: наличие согласия субъекта, достаточный уровень защиты в стране-получателе или заключение специального договора с иностранным оператором. Нарушение требования о локализации влечёт административную ответственность. На практике многие IT-компании используют гибридную архитектуру: основная база — в Казахстане, резервные копии — за рубежом при соблюдении условий передачи.
2. Как долго можно хранить персональные данные?
Срок хранения персональных данных определяется целью их сбора: данные должны уничтожаться или обезличиваться, как только цель достигнута. Конкретные сроки устанавливаются оператором в политике обработки персональных данных и должны быть обоснованы. Для данных сотрудников ориентиром служат сроки хранения кадровых документов по законодательству РК. Для пользователей сервисов — срок действия договора плюс разумный период для урегулирования претензий. Хранение данных дольше обоснованного срока без правового основания является нарушением.
3. Нужно ли согласие на обработку данных сотрудников?
Обработка персональных данных сотрудников в рамках трудовых отношений допускается без отдельного согласия — правовым основанием служит трудовой договор. Однако это правило распространяется только на данные, необходимые непосредственно для исполнения трудового договора. Если работодатель планирует использовать данные сотрудника в иных целях — например, для маркетинга, публикации фотографий или передачи третьим лицам — требуется отдельное письменное согласие. Биометрические данные и данные о здоровье относятся к чувствительным категориям и требуют согласия в любом случае.
4. Что такое аудит персональных данных и зачем он нужен?
Аудит персональных данных — это систематическая проверка того, какие данные компания собирает, на каком основании, где хранит, кому передаёт и как защищает. Для IT-компании в Казахстане аудит позволяет выявить несоответствия требованиям Закона о персональных данных и их защите и Цифрового кодекса РК до того, как это сделает регулятор. По итогам аудита формируется реестр обработки данных, актуализируются политика и согласия, устраняются технические уязвимости. Аудит — первый шаг к комплаенсу и снижению регуляторных рисков.
5. Какие документы должны быть у IT-компании по персональным данным?
Минимальный пакет документов IT-компании включает: политику обработки персональных данных (публичный документ на сайте), внутреннее положение об обработке персональных данных, формы согласий для каждой категории субъектов (пользователи, сотрудники, контрагенты), реестр операторов и обработчиков данных, договоры с третьими лицами, которым передаются данные, а также регламент реагирования на инциденты и запросы субъектов. Отсутствие любого из этих документов — типичное нарушение, выявляемое при проверке.
6. Что грозит IT-компании за нарушение требований по персональным данным в Казахстане?
За нарушение требований законодательства о персональных данных в Казахстане предусмотрена административная ответственность. Размер штрафов исчисляется в МРП и зависит от характера нарушения и субъекта ответственности. Помимо штрафов, регулятор вправе выдать предписание об устранении нарушений, приостановить обработку данных или обратиться в суд. При систематических нарушениях или утечке данных возможны более серьёзные последствия, включая репутационный ущерб и гражданские иски субъектов данных.
Выводы
Приведение IT-компании в соответствие требованиям казахстанского законодательства о персональных данных — это проект, который затрагивает документы, договоры, технологии и внутренние процессы одновременно. Предписание регулятора — сигнал к действию, но не повод для паники: при системном подходе задача решаема в разумные сроки. Ключевое условие — начать с аудита, а не с переписывания политики конфиденциальности: без понимания того, что и как обрабатывается, любой документ останется формальностью. Комплаенс, выстроенный до проверки, обходится значительно дешевле, чем устранение нарушений под давлением регулятора.
Актуально на: 27 октября 2026 года.
Если ситуация требует внимания — мы поможем разобраться.
Смежные направления
Направление практики
Персональные данные и IT-право — соответствие Закону о персональных данных, трансграничная передача, аудит обработки и IT-договоры.