Защита компании при проверке по персональным данным в Казахстане: урок из практики
Проверка по персональным данным в Казахстане — не абстрактный риск: уполномоченный орган запрашивает документы, фиксирует нарушения и выносит предписания с конкретными сроками. Этот материал разбирает анонимизированный кейс из практики: как торговая компания получила запрос регулятора, что пошло не так с первого взгляда и как системная работа с документами позволила минимизировать последствия. Все данные анонимизированы; имена, отрасль и детали изменены.
Получили запрос от регулятора или хотите проверить документы до проверки? Проверить обработку персональных данных · info@vetrovkz.com
Ситуация: запрос пришёл без предупреждения
Компания — средний розничный оператор с несколькими торговыми точками и интернет-магазином — получила официальный запрос от уполномоченного органа в сфере персональных данных. В запросе перечислялись конкретные документы: политика обработки персональных данных, формы согласий, договоры с подрядчиками, которые имеют доступ к клиентской базе, а также технические регламенты хранения данных.
Срок на предоставление документов — 10 рабочих дней. Руководство компании обратилось за юридической помощью на третий день после получения запроса. К этому моменту выяснилось: часть запрошенных документов существует только в устаревших версиях, часть — не существует вовсе, а формы согласий на сайте не соответствуют требованиям действующего казахстанского законодательства.
Ситуация типичная: компания работала несколько лет, собирала данные клиентов и сотрудников, передавала их подрядчикам — и всё это без системного юридического оформления. Не потому что намеренно нарушала закон, а потому что тема персональных данных воспринималась как формальность.
Аудит документов по персональным данным занимает 2–3 рабочих дня и позволяет выявить нарушения до того, как их зафиксирует регулятор.
Проверить обработку персональных данныхЗадача: что нужно было сделать за 7 оставшихся дней
Задача разделилась на два уровня: тактический (ответить на запрос в срок) и стратегический (понять реальный масштаб нарушений и выстроить защитную позицию).
На тактическом уровне требовалось собрать и систематизировать все имеющиеся документы, оценить, какие из них можно предоставить «как есть», какие требуют доработки, а каких нет вообще. Параллельно — подготовить сопроводительное письмо, которое не создаёт дополнительных рисков и не признаёт нарушений там, где их можно было оспорить.
На стратегическом уровне стояла задача сложнее: понять, какие нарушения являются формальными (отсутствие документа, который можно быстро создать), а какие — содержательными (реальная передача данных без оснований, хранение сверх сроков). Это разграничение определяло, какую позицию занять при дальнейшем взаимодействии с регулятором.
Что обнаружил аудит: типичные нарушения казахстанских компаний
Экспресс-аудит за два дня выявил несколько групп нарушений — все они характерны для компаний, которые никогда системно не занимались вопросами персональных данных в Казахстане.
- Политика обработки персональных данных существовала, но была написана три года назад по шаблону и не отражала реальные процессы компании: не упоминала CRM-систему, не описывала передачу данных курьерской службе и колл-центру.
- Формы согласий на сайте содержали общую фразу «я согласен на обработку персональных данных» без указания целей, перечня данных и сроков хранения — такое согласие не соответствует требованиям Закона о персональных данных и их защите.
- Договоры с подрядчиками (колл-центр, курьерская служба, IT-подрядчик) не содержали разделов об обработке персональных данных: не было ни обязательств по конфиденциальности, ни ограничений на использование данных, ни требований по безопасности.
- Данные сотрудников хранились в общедоступных папках на корпоративном сервере без разграничения прав доступа.
- Сроки хранения нигде не были зафиксированы: данные клиентов из закрытых заказов хранились бессрочно.
Как выстраивалась защитная позиция: решение по каждому блоку
Работа велась параллельно по нескольким направлениям, с чётким разграничением: что исправляем немедленно, что объясняем регулятору, что оспариваем.
Политика обработки персональных данных была переработана в течение двух дней: в неё внесли актуальный перечень категорий данных, цели обработки по каждой категории, описание всех подрядчиков с доступом к данным, сроки хранения и порядок уничтожения. Документ был утверждён приказом руководителя и размещён на сайте.
Формы согласий на сайте заменили на структурированные: отдельно — для клиентов интернет-магазина, отдельно — для подписчиков рассылки. Каждая форма содержала цель, перечень данных, срок хранения и ссылку на политику. Технически это заняло один день.
С подрядчиками ситуация оказалась сложнее: переподписать договоры за неделю было нереально. Решение — подготовить дополнительные соглашения с ключевыми подрядчиками и приложить их к ответу как доказательство того, что компания устраняет нарушение. Это демонстрировало добросовестность без признания вины.
Как составлялся ответ на запрос регулятора
Сопроводительное письмо — ключевой документ при взаимодействии с уполномоченным органом. Его тон и содержание влияют на то, как регулятор квалифицирует ситуацию: как добросовестное устранение нарушений или как попытку скрыть проблему.
В письме были чётко разграничены три блока. Первый — документы, которые предоставляются в полном объёме и соответствуют требованиям. Второй — документы, которые были актуализированы в ходе подготовки ответа (с указанием даты утверждения новой редакции). Третий — меры, которые компания принимает для устранения выявленных недостатков, с конкретными сроками.
Такой подход исключал формулировки, которые могли быть восприняты как признание умышленного нарушения. Одновременно он демонстрировал готовность к сотрудничеству — что, по сложившейся практике взаимодействия с казахстанскими регуляторами, существенно влияет на характер предписания.
Результат: что получила компания и какие уроки это даёт
Регулятор вынес предписание об устранении нарушений с установленным сроком — без немедленного административного штрафа. Это стало возможным благодаря тому, что компания предоставила документы в срок, продемонстрировала системную работу по устранению нарушений и не допустила в ответе формулировок, которые могли бы квалифицировать ситуацию как злостное нарушение.
В течение следующих двух месяцев компания полностью выполнила предписание: переподписала договоры с подрядчиками, внедрила регламент хранения и уничтожения данных, провела инструктаж сотрудников и назначила ответственного за обработку персональных данных.
Ключевой урок — не технический, а управленческий. Компания потратила значительно больше ресурсов на реактивное устранение нарушений под давлением проверки, чем потребовалось бы на превентивный аудит. Проверка обнажила не отдельные недочёты, а системное отсутствие процессов: никто в компании не отвечал за персональные данные как за отдельное направление.
Что должен сделать собственник, чтобы не оказаться в такой ситуации
Казахстанское законодательство о персональных данных распространяется на любую компанию, которая собирает, хранит или передаёт сведения о физических лицах — клиентах, сотрудниках, контрагентах. Это не только крупный бизнес: интернет-магазин с формой заказа, кофейня с программой лояльности, агентство с базой кандидатов — все они являются операторами персональных данных.
Минимальный набор документов, который должен быть у каждого оператора: политика обработки персональных данных (актуальная, опубликованная), формы согласий с указанием целей и сроков, договоры с подрядчиками, имеющими доступ к данным, регламент хранения и уничтожения, а также назначенное ответственное лицо. Отсутствие любого из этих элементов — потенциальное нарушение, которое фиксируется при первой же проверке.
Подробнее о требованиях к операторам персональных данных в Казахстане — в материале «Персональные данные в Казахстане: требования к операторам». О практике взаимодействия с регулятором при проверках — в смежном кейсе по трансграничной передаче данных. Общий обзор регуляторной среды для иностранных работодателей — в материале «Квоты на иностранную рабочую силу в Казахстане».
Направление персональных данных и IT-права в БЕРІК охватывает аудит документации, подготовку к проверкам, сопровождение при взаимодействии с регулятором и разработку внутренних регламентов. Актуальную аналитику по смежным темам публикуем в разделе «Аналитика».
Частые вопросы
1. Что такое чувствительные персональные данные?
Чувствительные персональные данные — это категория сведений, обработка которых требует особой осторожности и, как правило, явного согласия субъекта. Казахстанское законодательство относит к ним данные о расовом и национальном происхождении, политических взглядах, религиозных убеждениях, состоянии здоровья, судимостях и биометрические сведения. Для их обработки требуется отдельное, специально оформленное согласие — общая форма согласия на обработку персональных данных не распространяется на эту категорию автоматически. Компании, работающие с такими данными (медицинские организации, HR-платформы, страховщики), несут повышенную ответственность за их защиту и хранение.
2. Можно ли использовать видеонаблюдение в офисе?
Видеонаблюдение в офисе в Казахстане допустимо, однако требует соблюдения ряда условий. Работодатель обязан уведомить сотрудников о ведении съёмки — как правило, это делается через трудовой договор, локальный акт или размещение информационных табличек в зоне видимости камер. Записи с камер являются персональными данными, поскольку позволяют идентифицировать конкретного человека. Это означает, что на их обработку распространяются требования Закона о персональных данных и их защите: определённые сроки хранения, ограниченный доступ, запрет на передачу третьим лицам без оснований. Использование скрытых камер без уведомления работников создаёт серьёзные правовые риски.
3. Как правильно собирать cookies на сайте в Казахстане?
Сбор cookies на сайте в Казахстане регулируется Законом о персональных данных и их защите. Если cookies позволяют идентифицировать пользователя (например, аналитические или маркетинговые), они считаются персональными данными и требуют согласия субъекта. Правильная практика: разместить cookie-баннер при первом визите, предоставить пользователю выбор категорий cookies (необходимые, аналитические, маркетинговые), зафиксировать факт согласия и обеспечить возможность его отзыва. Политика конфиденциальности сайта должна описывать, какие данные собираются, с какой целью и как долго хранятся. Отсутствие cookie-баннера при наличии трекинговых скриптов — типичное нарушение, выявляемое при проверках.
4. Какой орган проводит проверки по персональным данным в Казахстане?
Контроль за соблюдением законодательства о персональных данных в Казахстане осуществляет Министерство цифрового развития, инноваций и аэрокосмической промышленности РК (МЦРИАП). Именно этот орган уполномочен проводить проверки операторов персональных данных, запрашивать документы, выносить предписания об устранении нарушений и инициировать административное производство. Проверки могут быть плановыми (включены в реестр проверок) и внеплановыми — например, по жалобе субъекта персональных данных или в рамках мониторинга. Операторы обязаны обеспечить доступ проверяющих к документации и системам в установленные сроки.
5. Что должна содержать политика обработки персональных данных?
Политика обработки персональных данных — обязательный документ для любого оператора в Казахстане. Она должна содержать: перечень категорий обрабатываемых данных и их субъектов; цели обработки по каждой категории; правовые основания (согласие, договор, закон); сроки хранения; порядок передачи данных третьим лицам и трансграничной передачи; права субъектов и порядок их реализации; контактные данные ответственного лица. Политика должна быть опубликована в открытом доступе — как правило, на сайте компании. Документ, написанный формально или скопированный с шаблона без адаптации к реальным процессам компании, не защищает от претензий при проверке.
6. Каковы последствия нарушения законодательства о персональных данных в Казахстане?
Нарушение требований казахстанского законодательства о персональных данных влечёт административную ответственность. Размер санкций исчисляется в месячных расчётных показателях (МРП) и зависит от характера нарушения и субъекта ответственности — физическое лицо, должностное лицо или юридическое лицо. Помимо штрафа, уполномоченный орган вправе вынести предписание об устранении нарушений с установленным сроком исполнения. Неисполнение предписания влечёт повторное привлечение к ответственности. В случае утечки данных возможны также гражданско-правовые иски от пострадавших субъектов. Репутационные последствия — особенно для B2C-компаний — нередко превышают размер формального штрафа.
Выводы
Проверка по персональным данным в Казахстане — управляемый риск при условии, что документация выстроена заранее. Кейс показывает: компания, которая никогда системно не занималась этой темой, тратит на реактивное устранение нарушений в несколько раз больше ресурсов, чем потребовал бы превентивный аудит. Добросовестная позиция при взаимодействии с регулятором — предоставление документов в срок, демонстрация мер по устранению — существенно влияет на итоговое решение. Назначение ответственного лица, актуальная политика и корректные формы согласий — это не формальность, а минимальный стандарт, который проверяется в первую очередь.
Актуально на: 3 января 2026 года.
Если ситуация требует внимания — мы поможем разобраться.
Смежные направления
Направление практики
Персональные данные и IT-право — соответствие Закону о персональных данных, трансграничная передача, аудит обработки и IT-договоры.