Защита компании при проверке по персональным данным в Казахстане: разбор ситуации
Проверка по персональным данным в Казахстане — это не формальность: уполномоченный орган вправе запросить весь массив документов, выдать предписание и привлечь компанию к административной ответственности. В этом материале разбираем анонимизированную ситуацию из практики: как торговая компания получила запрос в ходе проверки, какие документы потребовались, что было сделано для устранения нарушений и какой результат это принесло.
Ваша компания получила запрос или уведомление о проверке по персональным данным? Проверить обработку персональных данных · info@vetrovkz.com
Ситуация: что произошло
Средняя торговая компания в Казахстане с численностью персонала около 200 человек и развитой онлайн-платформой для клиентов получила уведомление о проведении внеплановой проверки соблюдения законодательства о персональных данных. Поводом послужила жалоба одного из клиентов: он утверждал, что его контактные данные были переданы третьему лицу без его согласия.
Компания активно собирала данные клиентов через сайт, мобильное приложение и программу лояльности. Параллельно обрабатывались кадровые данные сотрудников. Ни политика обработки персональных данных, ни внутренние регламенты не обновлялись с момента запуска платформы — более трёх лет назад.
Топ-менеджмент компании узнал о проверке за пять рабочих дней до её начала. Именно в этот момент стало очевидно: документальная база не соответствует текущим требованиям Закона о персональных данных и их защите, а ответственного за обработку данных в компании формально не было назначено.
Проверка уполномоченного органа — это сжатые сроки и конкретные требования к документам. Лучше провести аудит заранее, чем готовиться в авральном режиме.
Проверить обработку персональных данныхЗадача: что требовалось решить
Перед юридической командой стояло несколько задач одновременно. Первая — оценить реальный масштаб несоответствий и определить, какие из них критичны с точки зрения ответственности. Вторая — подготовить компанию к взаимодействию с проверяющим органом: сформировать пакет документов, определить порядок ответов на запросы, назначить ответственных лиц.
Третья задача — разработать план устранения нарушений, который можно было бы предъявить проверяющему органу как свидетельство добросовестности компании. По казахстанской практике, демонстрация готовности к исправлению ситуации существенно влияет на итоговое решение органа.
Наконец, требовалось выстроить внутренние процессы так, чтобы подобная ситуация не повторилась: назначить ответственного, актуализировать документы, внедрить процедуру реагирования на запросы субъектов данных.
Что было сделано: решение по шагам
На первом этапе провели экспресс-аудит: инвентаризацию всех точек сбора данных (сайт, приложение, программа лояльности, кадровые анкеты), проверку наличия и актуальности форм согласий, анализ договоров с подрядчиками, которым передавались данные клиентов. Аудит занял два рабочих дня и выявил три ключевых несоответствия.
- Формы согласий на сайте не содержали перечня третьих лиц, которым передаются данные.
- Договоры с маркетинговым агентством и службой доставки не включали обязательных условий об обработке персональных данных.
- Политика обработки персональных данных была опубликована на сайте, однако не отражала фактический состав обрабатываемых данных и цели их использования.
На втором этапе подготовили пакет документов для проверки: актуализированную политику обработки, обновлённые формы согласий, приказ о назначении ответственного за обработку персональных данных, реестр операций по обработке. Параллельно направили дополнительные соглашения к договорам с подрядчиками.
Как проходило взаимодействие с проверяющим органом
Проверяющий орган запросил документы в первый день проверки: политику обработки, образцы согласий, договоры с обработчиками данных, сведения о технических мерах защиты. Компания предоставила полный пакет в установленный срок — это само по себе формирует позитивное впечатление о добросовестности оператора.
В ходе проверки представитель органа указал на два оставшихся несоответствия: отсутствие в политике раздела о правах субъектов данных и недостаточную детализацию сроков хранения данных по каждой категории. Оба замечания были зафиксированы письменно.
Компания не оспаривала замечания, а представила конкретный план устранения с указанием сроков и ответственных лиц. По нашему опыту, такой подход — признание факта нарушения в сочетании с демонстрацией системной работы по его устранению — снижает вероятность максимальных санкций.
Результат: что получила компания
По итогам проверки уполномоченный орган выдал предписание об устранении нарушений с конкретным перечнем требований и сроком исполнения. Административное взыскание в максимальном размере применено не было — орган учёл добросовестность компании и наличие плана устранения.
В течение установленного срока компания исполнила предписание в полном объёме: обновила политику обработки, актуализировала формы согласий на всех платформах, заключила дополнительные соглашения с подрядчиками, внедрила процедуру реагирования на запросы субъектов данных. Отчёт об исполнении был направлен в орган с приложением подтверждающих документов.
Повторная проверка, проведённая через несколько месяцев, нарушений не выявила. Компания также внедрила ежегодный внутренний аудит обработки персональных данных — как превентивную меру на будущее.
Уроки: что можно было сделать заранее
Этот кейс показывает типичную картину для казахстанских компаний среднего размера: документы по персональным данным создаются при запуске бизнеса и затем не обновляются. Между тем законодательство меняется, бизнес-процессы усложняются, появляются новые подрядчики и каналы сбора данных.
Три меры, которые позволили бы избежать авральной подготовки. Первая — ежегодный аудит обработки персональных данных с проверкой актуальности документов и соответствия реальным процессам. Вторая — стандартное условие об обработке персональных данных во всех договорах с подрядчиками, которые получают доступ к данным клиентов или сотрудников. Третья — назначенный ответственный за обработку персональных данных с чёткими полномочиями и регламентом реагирования на запросы субъектов и органов.
Проверка по персональным данным в Казахстане — это управляемый риск. Компании, которые выстраивают систему заранее, проходят её без существенных последствий. Компании, которые реагируют только после получения уведомления, тратят значительно больше ресурсов и несут репутационные издержки.
Частые вопросы
1. Как долго можно хранить персональные данные?
Казахстанское законодательство не устанавливает единый универсальный срок хранения персональных данных — он определяется целью обработки. Данные должны храниться не дольше, чем это необходимо для достижения заявленной цели. Для кадровых документов ориентиром служат сроки, установленные законодательством об архивном деле. Для маркетинговых баз — срок действия согласия субъекта. Как только цель достигнута или согласие отозвано, данные подлежат уничтожению или обезличиванию. На практике компании фиксируют сроки хранения во внутренней политике обработки персональных данных — это снижает риски при проверке.
2. Нужно ли согласие на обработку данных сотрудников?
По казахстанскому законодательству согласие сотрудника на обработку персональных данных требуется в большинстве случаев, однако из этого правила есть исключения. Обработка данных, прямо необходимая для исполнения трудового договора, может осуществляться без отдельного согласия — например, передача данных в пенсионный фонд или налоговые органы. Вместе с тем сбор биометрических данных, передача данных третьим лицам или использование данных в маркетинговых целях требуют явного письменного согласия. На практике работодатели включают согласие в пакет документов при трудоустройстве, однако важно, чтобы оно было конкретным, а не общим.
3. Что такое чувствительные персональные данные?
Чувствительные (специальные) персональные данные — это категория сведений, обработка которых требует повышенной защиты в силу их особой природы. К ним относятся данные о расовом или этническом происхождении, политических взглядах, религиозных убеждениях, состоянии здоровья, сексуальной жизни, судимостях, а также биометрические данные. Закон о персональных данных и их защите устанавливает для этой категории более строгие требования: обработка, как правило, допускается только с явного письменного согласия субъекта либо в случаях, прямо предусмотренных законом. Компании, работающие с такими данными, обязаны обеспечить их усиленную защиту и ограниченный доступ.
4. Что проверяет уполномоченный орган при проверке по персональным данным?
Уполномоченный орган в сфере защиты персональных данных в Казахстане проверяет соответствие деятельности компании требованиям Закона о персональных данных и их защите. Типичные предметы проверки: наличие и содержание политики обработки персональных данных, законность оснований для обработки (согласия, договоры), соблюдение требований к трансграничной передаче данных, наличие технических и организационных мер защиты, порядок реагирования на запросы субъектов данных. Проверка может быть плановой или внеплановой — последняя, как правило, инициируется жалобой субъекта данных или иным сигналом.
5. Какие документы нужно подготовить к проверке по персональным данным?
К проверке по персональным данным в Казахстане компании, как правило, готовят следующий пакет документов: политику обработки персональных данных (публичную и внутреннюю), реестр операций по обработке, образцы форм согласий субъектов, договоры с операторами и обработчиками данных, технические регламенты защиты информационных систем, приказы о назначении ответственных лиц. Наличие актуального и полного пакета существенно снижает риск привлечения к ответственности даже при выявлении отдельных нарушений — проверяющий орган учитывает добросовестность компании.
6. Что делать, если компания получила предписание об устранении нарушений?
Предписание об устранении нарушений требований законодательства о персональных данных — это официальный документ с конкретным сроком исполнения. Первый шаг — внимательно изучить предписание и зафиксировать все выявленные нарушения. Второй — разработать план устранения с конкретными сроками и ответственными лицами. Третий — исполнить предписание в установленный срок и направить отчёт об исполнении в уполномоченный орган. Игнорирование предписания влечёт административную ответственность и может стать основанием для повторной проверки. По нашему опыту, компании, которые реагируют оперативно и системно, избегают повторных нарушений.
Выводы
Проверка по персональным данным в Казахстане — управляемый риск при условии, что компания выстроила документальную базу заранее. Ключевые факторы успешного прохождения проверки: актуальная политика обработки, корректные формы согласий, договорные условия с подрядчиками и назначенный ответственный. Добросовестность и готовность к устранению нарушений, как правило, учитываются уполномоченным органом при определении меры ответственности. Системный подход — ежегодный аудит и поддержание документов в актуальном состоянии — обходится значительно дешевле, чем реагирование в авральном режиме после получения уведомления о проверке.
Актуально на: 1 января 2026 года.
Если ситуация требует внимания — мы поможем разобраться.
Смежные направления
Направление практики
Персональные данные и IT-право — соответствие Закону о персональных данных, трансграничная передача, аудит обработки и IT-договоры.