Приведение IT-компании в соответствие Цифровому кодексу РК
Казахстанская IT-компания с несколькими тысячами активных пользователей обнаружила, что её политики, договоры и технические процессы не отвечают требованиям действующего законодательства о персональных данных. Задача — провести полный комплаенс-аудит, устранить нарушения и выстроить устойчивую систему обработки данных до начала плановой проверки уполномоченного органа. Этот материал описывает, как выглядел процесс изнутри: от первичной диагностики до финальной документации.
Если ваша IT-компания ещё не проходила аудит обработки персональных данных — риски накапливаются незаметно. Проверить обработку персональных данных · info@vetrovkz.com
Ситуация: IT-компания перед лицом новых требований
Казахстанская IT-компания, разрабатывающая SaaS-продукт для корпоративных клиентов, столкнулась с типичной для рынка проблемой: продукт рос быстро, а юридическая инфраструктура за ним не успевала. К моменту обращения компания обрабатывала персональные данные нескольких категорий субъектов — сотрудников, пользователей платформы и контрагентов — однако единой политики обработки данных не существовало.
Триггером для обращения стало уведомление о предстоящей плановой проверке со стороны уполномоченного органа в сфере защиты персональных данных. Руководство компании понимало: проверка выявит нарушения, но не понимало, насколько серьёзные и что именно нужно исправить в первую очередь.
Дополнительную сложность создавало то, что часть инфраструктуры компании располагалась на зарубежных облачных платформах. Данные казахстанских пользователей фактически хранились и обрабатывались за пределами Республики Казахстан — без надлежащего правового обоснования.
Аудит персональных данных — это не разовая процедура, а диагностика системы. Чем раньше выявлены пробелы, тем дешевле их устранение.
Обсудить ситуациюЗадача: что именно нужно было привести в порядок?
Первичная диагностика показала четыре самостоятельных блока нарушений, каждый из которых требовал отдельного решения. Понимание структуры проблемы — ключевое условие для расстановки приоритетов, особенно когда времени до проверки немного.
Первый блок — документация. Политика конфиденциальности на сайте была написана несколько лет назад и не отражала фактических процессов обработки. Согласия пользователей собирались через общий чекбокс «Принимаю условия», без разграничения по целям и категориям данных. Внутренние регламенты отсутствовали.
Второй блок — договорная база. Договоры с подрядчиками и партнёрами, которые получали доступ к данным пользователей, не содержали обязательных положений о конфиденциальности и порядке обработки данных. Часть подрядчиков работала по устным договорённостям.
Третий блок — техническая архитектура. Локализация данных не соблюдалась: основная база данных пользователей размещалась на серверах европейского облачного провайдера. Журналы доступа к данным не велись, права доступа сотрудников не разграничивались по принципу минимальной необходимости.
Четвёртый блок — уведомление уполномоченного органа. Компания не подавала уведомление о начале обработки персональных данных — это самостоятельное нарушение, которое фиксируется при любой проверке.
Что было сделано: пошаговое решение
Работа велась в три параллельных потока — документационный, договорный и технический. Такой подход позволил уложиться в сжатые сроки без потери качества.
В рамках документационного потока была разработана новая политика обработки персональных данных, отражающая реальные процессы компании. Отдельно подготовлены формы согласий с разграничением по целям: маркетинговые рассылки, аналитика, передача третьим лицам. Для сотрудников разработан внутренний регламент обработки данных и проведён инструктаж ответственных лиц.
В договорном потоке все действующие соглашения с подрядчиками, получающими доступ к персональным данным, были дополнены приложениями о порядке обработки данных. Для новых контрагентов подготовлен типовой шаблон такого приложения. Устные договорённости заменены письменными соглашениями.
Технический поток потребовал наибольших ресурсов. Совместно с техническим директором компании была разработана дорожная карта миграции данных на казахстанскую инфраструктуру. Параллельно внедрена система разграничения прав доступа и ведения журналов. Уведомление уполномоченного органа подано через портал электронного правительства.
Как выглядел аудит персональных данных изнутри?
Аудит начался с картирования потоков данных: юристы совместно с техническими специалистами компании составили реестр всех категорий обрабатываемых данных, целей обработки, сроков хранения и получателей. Этот документ стал основой для всей последующей работы.
На этапе картирования выяснилось, что компания обрабатывала несколько категорий данных, о которых руководство не подозревало: метаданные сессий, геолокационные данные мобильных пользователей, поведенческая аналитика. Часть этих данных передавалась сторонним аналитическим сервисам без надлежащего правового основания.
По итогам картирования был составлен реестр нарушений с приоритизацией по степени риска. Нарушения первого приоритета — те, которые с высокой вероятностью будут выявлены при проверке и влекут административную ответственность. Нарушения второго приоритета — системные пробелы, которые создают риски в перспективе. Такая структура позволила сосредоточить ресурсы там, где они нужны в первую очередь.
Результат: что изменилось после комплаенс-проекта?
К моменту плановой проверки компания устранила все нарушения первого приоритета и большинство нарушений второго. Проверка прошла без выдачи предписаний и без административных санкций — что для IT-компании с такой исходной картиной нарушений является хорошим результатом.
Помимо прохождения проверки, компания получила несколько практических результатов. Реестр обрабатываемых данных стал рабочим инструментом для технической команды: при запуске новых функций продукта разработчики теперь сверяются с реестром и заранее оценивают правовые последствия. Типовые договорные шаблоны сократили время согласования соглашений с подрядчиками.
Отдельный результат — снижение репутационных рисков. Несколько крупных корпоративных клиентов компании проводят собственный due diligence поставщиков, включая проверку соответствия требованиям о персональных данных. Наличие актуальной документации и подтверждённого соответствия стало конкурентным преимуществом при переговорах.
Уроки: что стоит учесть другим IT-компаниям в Казахстане?
Этот кейс воспроизводит типичную картину для казахстанского IT-рынка: быстрый рост продукта при отставании юридической инфраструктуры. Несколько наблюдений, которые могут быть полезны руководителям других компаний.
Первое: локализация данных — это не формальность. Требование хранить данные казахстанских пользователей на территории Казахстана закреплено в Законе о персональных данных и их защите. Использование зарубежных облачных сервисов без надлежащего правового обоснования создаёт риски, которые сложно устранить быстро — миграция данных требует времени и ресурсов.
Второе: согласие пользователя — это не чекбокс. Казахстанское законодательство требует, чтобы согласие было конкретным, информированным и добровольным. Общее согласие «на обработку данных» без указания целей и категорий данных не отвечает этим требованиям.
Третье: подрядчики — это ваша ответственность. Если третье лицо обрабатывает данные ваших пользователей по вашему поручению, ответственность перед уполномоченным органом несёте вы. Договорная база с подрядчиками должна это отражать.
Частые вопросы
1. Нужно ли уведомлять уполномоченный орган об обработке данных?
По казахстанскому законодательству операторы персональных данных обязаны уведомлять уполномоченный орган о начале обработки данных. Требование распространяется на большинство организаций, которые собирают, хранят или иным образом обрабатывают персональные данные граждан Казахстана. Уведомление подаётся в электронном виде через портал электронного правительства. Несоблюдение этого требования является самостоятельным основанием для привлечения к административной ответственности — независимо от того, допущены ли иные нарушения в сфере обработки данных.
2. Какой штраф за нарушение закона о персональных данных?
Административная ответственность за нарушение требований законодательства о персональных данных в Казахстане предусматривает штрафы, исчисляемые в месячных расчётных показателях (МРП). Конкретный размер зависит от вида нарушения, субъекта (физическое лицо, должностное лицо или юридическое лицо) и наличия повторности. Для юридических лиц суммы могут быть существенными. Помимо штрафа, уполномоченный орган вправе выдать предписание об устранении нарушений и приостановить обработку данных до их устранения. Рекомендуем уточнять актуальные размеры санкций у юриста, поскольку они периодически пересматриваются.
3. Можно ли хранить персональные данные казахстанцев за границей?
Казахстанское законодательство о персональных данных устанавливает требование локализации: базы данных, содержащие персональные данные граждан Республики Казахстан, должны размещаться на серверах, физически находящихся на территории Казахстана. Трансграничная передача данных допускается при соблюдении ряда условий — в частности, если страна-получатель обеспечивает надлежащий уровень защиты данных или получено явное согласие субъекта. На практике это означает, что использование зарубежных облачных сервисов для хранения данных казахстанских пользователей требует тщательной юридической проработки договорной базы и технической архитектуры.
4. Что такое реестр операторов персональных данных в Казахстане?
Реестр операторов персональных данных — это государственный учётный список организаций и физических лиц, осуществляющих обработку персональных данных на территории Казахстана. Включение в реестр происходит после подачи уведомления в уполномоченный орган. Реестр является публичным: любой пользователь может проверить, зарегистрирована ли та или иная компания как оператор. Отсутствие в реестре при фактической обработке данных — одно из наиболее часто выявляемых нарушений при проверках IT-компаний.
5. Как правильно оформить согласие пользователя на обработку данных?
Согласие на обработку персональных данных по казахстанскому законодательству должно быть конкретным, информированным и добровольным. Это означает, что пользователь должен понимать, какие именно данные собираются, с какой целью, кому они могут быть переданы и как долго будут храниться. Общий чекбокс «Принимаю условия» без детализации не отвечает этим требованиям. На практике рекомендуется использовать отдельные согласия для разных целей обработки — например, маркетинговые коммуникации и аналитика должны быть разделены. Согласие должно быть отзываемым: пользователь вправе в любой момент отозвать его без негативных последствий для себя.
6. Что проверяет уполномоченный орган при плановой проверке IT-компании?
При плановой проверке уполномоченный орган, как правило, проверяет несколько ключевых аспектов: наличие уведомления о начале обработки данных и его актуальность; наличие и содержание политики конфиденциальности; порядок получения и хранения согласий пользователей; договорную базу с подрядчиками, получающими доступ к данным; соблюдение требований локализации; наличие технических мер защиты данных. Отдельно проверяется порядок реагирования на запросы субъектов данных — право на доступ, исправление и удаление данных. По итогам проверки может быть выдано предписание об устранении нарушений или возбуждено административное производство.
Выводы
Приведение IT-компании в соответствие требованиям казахстанского законодательства о персональных данных — это управляемый процесс, если подходить к нему системно. Ключевые элементы: картирование потоков данных, актуализация документации, выстраивание договорной базы с подрядчиками и решение вопроса локализации. Проверка уполномоченного органа — не повод для паники, а стимул навести порядок, который в любом случае нужен для устойчивого роста продукта.
Актуально на: 13 октября 2026 года.
Если ситуация требует внимания — мы поможем разобраться.
Смежные направления
Направление практики
Персональные данные и IT-право — соответствие Закону о персональных данных, трансграничная передача, аудит обработки и IT-договоры.