Защита компании при проверке по персональным данным в Казахстане: реальный пример
Проверка по персональным данным в Казахстане — не абстрактный риск: уполномоченный орган проводит как плановые, так и внеплановые проверки операторов, и большинство компаний не готовы к запросу документов. В этом материале — анонимизированный кейс: как торгово-сервисная компания получила предписание, в сжатые сроки устранила нарушения и избежала существенных санкций. Разбираем ситуацию, задачу, решение и уроки.
Ваша компания обрабатывает персональные данные клиентов или сотрудников — и вы не уверены, соответствует ли документация требованиям казахстанского законодательства? Проверить обработку персональных данных · info@vetrovkz.com
Ситуация: компания получает запрос от уполномоченного органа
Средняя торгово-сервисная компания с офисами в двух городах Казахстана обрабатывала персональные данные нескольких тысяч клиентов и около ста сотрудников. Данные собирались через сайт, мобильное приложение и при заключении договоров на обслуживание.
В один из рабочих дней компания получила официальное уведомление от уполномоченного органа в сфере персональных данных — Министерства цифрового развития, инноваций и аэрокосмической промышленности РК (МЦРИАП). Уведомление содержало перечень запрашиваемых документов и срок их предоставления. Это была плановая проверка, однако руководство компании узнало о ней фактически в момент получения запроса.
Перечень запрошенных документов оказался обширным: политика конфиденциальности, формы согласий субъектов, договоры с третьими лицами, которым передаются данные, сведения о технических мерах защиты, журналы доступа к базам данных и внутренние регламенты. У компании часть документов отсутствовала, часть была устаревшей, а часть не соответствовала требованиям Закона о персональных данных и их защите.
Получили запрос документов от МЦРИАП или другого регулятора — и не знаете, с чего начать? Время на ответ ограничено.
Проверить обработку персональных данныхЗадача: что нужно было решить в сжатые сроки
Перед юридической командой стояло несколько взаимосвязанных задач, каждая из которых требовала параллельного решения.
Первое — провести экспресс-аудит: понять, какие документы есть, какие отсутствуют, а какие формально есть, но не соответствуют действующим требованиям. Второе — подготовить ответ на запрос уполномоченного органа в установленный срок, не допустив нарушения процессуальных требований. Третье — разработать и внедрить недостающие документы так, чтобы они отражали реальные процессы компании, а не были формальной «бумагой для проверки».
- Отсутствие актуальной политики конфиденциальности на сайте
- Формы согласий не соответствовали требованиям к содержанию и форме
- Договоры с облачным провайдером не содержали условий об обработке персональных данных
- Данные клиентов частично хранились на зарубежных серверах без надлежащего правового основания
- Отсутствовал регламент реагирования на запросы субъектов персональных данных
Каждый из этих пунктов мог стать самостоятельным основанием для предписания и административного производства. Совокупность нарушений создавала риск существенных санкций.
Что было сделано: пошаговое решение
Работа началась с экспресс-аудита в течение первых двух рабочих дней. Юристы совместно с IT-специалистами компании составили карту потоков данных: откуда поступают данные, где хранятся, кому передаются и на каком основании. Это позволило точно определить объём нарушений и расставить приоритеты.
Параллельно была подготовлена сопроводительная позиция для ответа на запрос уполномоченного органа. Компания не стала скрывать выявленные несоответствия — напротив, в ответе был представлен план устранения нарушений с конкретными сроками. По казахстанской практике, демонстрация добросовестности и готовности к исправлению нарушений, как правило, влияет на характер итогового предписания.
Ключевые документы, разработанные в ходе работы: обновлённая политика конфиденциальности с разбивкой по категориям субъектов; новые формы согласий для клиентов и сотрудников с указанием целей, объёма и срока обработки; дополнительные соглашения к договорам с облачным провайдером и аутсорсинговыми партнёрами; внутренний регламент обработки и защиты персональных данных; процедура реагирования на запросы субъектов.
Вопрос локализации данных потребовал отдельного решения: компания договорилась с провайдером о переносе основной базы данных на казахстанские серверы, а трансграничная передача для резервного копирования была оформлена с соблюдением требований закона.
Как строилось взаимодействие с уполномоченным органом?
Взаимодействие с МЦРИАП в ходе проверки — отдельный процессуальный блок, требующий чёткого соблюдения сроков и формы ответов. Любое нарушение процессуальных требований может быть использовано против компании.
Ответ на первоначальный запрос был направлен в установленный срок. В пакет документов вошли как уже имевшиеся материалы, так и разработанные в ходе работы. К ответу прилагалось сопроводительное письмо с описанием выявленных несоответствий, принятых мер и плана дальнейших действий. Такой подход позволяет проверяющим видеть, что компания понимает суть нарушений и устраняет их системно, а не формально.
По итогам проверки уполномоченный орган выдал предписание с указанием конкретных нарушений и сроков их устранения. Административное производство инициировано не было — регулятор принял во внимание факт добровольного устранения большей части нарушений до завершения проверки.
Результат: что изменилось для компании
Компания исполнила предписание в установленный срок и подтвердила это уполномоченному органу пакетом документов. Административное производство закрыто без назначения штрафа.
Помимо формального результата, компания получила работающую систему обращения с персональными данными: документы отражают реальные процессы, сотрудники прошли краткий инструктаж, а IT-инфраструктура приведена в соответствие с требованием локализации. Это снижает риск претензий не только со стороны регулятора, но и со стороны субъектов данных.
По нашему опыту, компании, которые проходят проверку без предварительной подготовки, в среднем тратят значительно больше времени и ресурсов на устранение нарушений в режиме «пожара» — и при этом не всегда успевают до истечения процессуальных сроков. Превентивный аудит обходится дешевле реактивной защиты.
Уроки: что стоит сделать до проверки
Этот кейс типичен для казахстанского рынка: большинство компаний, обрабатывающих персональные данные, имеют схожий набор нарушений — устаревшие или формальные документы, отсутствие реальных процессов, проблемы с локализацией и согласиями.
Несколько практических выводов, которые следуют из разобранной ситуации. Первое: карта потоков данных — базовый инструмент. Без понимания того, где и как обрабатываются данные, невозможно ни подготовить документы, ни ответить на запрос регулятора. Второе: согласия субъектов должны соответствовать реальному объёму обработки — формальная «галочка» на сайте не защищает. Третье: договоры с облачными провайдерами и аутсорсерами требуют специальных условий об обработке данных. Четвёртое: локализация — не рекомендация, а требование закона, нарушение которого легко выявляется при проверке.
- Проведите аудит документов и процессов до того, как придёт запрос
- Проверьте договоры с IT-провайдерами на наличие условий об обработке данных
- Убедитесь, что основная база данных размещена на серверах в Казахстане
- Разработайте процедуру реагирования на запросы субъектов
- Обновите формы согласий в соответствии с действующими требованиями
Частые вопросы
1. Какой штраф за нарушение закона о персональных данных в Казахстане?
Казахстанское законодательство предусматривает административную ответственность за нарушения в сфере персональных данных. Размер санкций зависит от характера нарушения и субъекта ответственности: для юридических лиц суммы существенно выше, чем для физических. Повторные нарушения влекут увеличенные санкции. Помимо штрафа, регулятор вправе выдать предписание об устранении нарушений с установленным сроком исполнения. Неисполнение предписания — самостоятельное основание для привлечения к ответственности. Точные размеры санкций закреплены в Кодексе об административных правонарушениях РК и периодически пересматриваются.
2. Можно ли хранить персональные данные казахстанцев за границей?
Закон о персональных данных и их защите устанавливает требование локализации: базы данных, содержащие персональные данные граждан Казахстана, должны размещаться на серверах, физически расположенных на территории Республики Казахстан. Трансграничная передача данных допустима при соблюдении ряда условий: наличие согласия субъекта, обеспечение уровня защиты не ниже казахстанского стандарта, а в ряде случаев — уведомление уполномоченного органа. Хранение данных исключительно за рубежом без соблюдения этих условий является нарушением и может стать основанием для проверки.
3. Как долго можно хранить персональные данные?
Казахстанское законодательство о персональных данных закрепляет принцип ограничения хранения: данные должны храниться не дольше, чем это необходимо для достижения целей их обработки. После достижения цели или истечения установленного срока оператор обязан уничтожить данные или обезличить их. Конкретные сроки зависят от категории данных и отраслевого регулирования: для кадровых документов действуют нормы архивного законодательства, для финансовых — требования налогового и бухгалтерского учёта. Отсутствие политики хранения и уничтожения данных — типичное нарушение, выявляемое при проверках.
4. Что происходит при плановой проверке по персональным данным?
Плановая проверка уполномоченного органа в сфере персональных данных в Казахстане, как правило, начинается с официального уведомления и запроса документов. Проверяющие запрашивают политику конфиденциальности, согласия субъектов, договоры с операторами, технические меры защиты и журналы доступа. По итогам составляется акт: при выявлении нарушений выдаётся предписание с указанием срока устранения. Компания вправе представить возражения на акт. Грамотная подготовка документов до начала проверки существенно снижает риск санкций.
5. Нужно ли согласие сотрудников на обработку их персональных данных?
По казахстанскому законодательству работодатель обязан получить письменное согласие сотрудника на обработку его персональных данных, за исключением случаев, прямо предусмотренных законом. Трудовой договор сам по себе не является достаточным основанием для обработки всего объёма данных о работнике. Согласие должно быть конкретным, информированным и добровольным. Отдельное согласие требуется для передачи данных третьим лицам, в том числе аутсорсинговым компаниям и облачным провайдерам. Отсутствие надлежащих согласий — одно из наиболее частых нарушений, выявляемых при проверках.
6. Что такое уполномоченный орган по персональным данным в Казахстане?
В Казахстане функции уполномоченного органа в сфере персональных данных выполняет Министерство цифрового развития, инноваций и аэрокосмической промышленности РК (МЦРИАП). Именно этот орган проводит проверки операторов персональных данных, рассматривает жалобы субъектов, выдаёт предписания об устранении нарушений и инициирует административное производство. Взаимодействие с МЦРИАП в ходе проверки требует чёткого соблюдения процессуальных сроков и формы ответов.
Выводы
Проверка по персональным данным в Казахстане — управляемый риск при условии своевременной подготовки. Разобранный кейс показывает: даже при наличии системных нарушений компания, которая действует добросовестно и устраняет нарушения до завершения проверки, имеет реальные шансы избежать административных санкций. Ключевые факторы успеха — скорость реакции, полнота ответа на запрос регулятора и демонстрация системного подхода к устранению нарушений. Превентивный аудит документов и процессов обработки данных — наиболее эффективный способ снизить регуляторный риск до того, как придёт уведомление о проверке.
Актуально на: 20 октября 2026 года.
Если ситуация требует внимания — мы поможем разобраться.
Смежные направления
Направление практики
Персональные данные и IT-право — соответствие Закону о персональных данных, трансграничная передача, аудит обработки и IT-договоры.