Защита компании при проверке по персональным данным в Казахстане: как мы решили задачу

Ситуация: запрос пришёл неожиданно

Компания — средний по размеру онлайн-ретейлер, работающий на рынке Казахстана, — получила официальный запрос от уполномоченного органа в сфере защиты персональных данных. Запрос содержал перечень из восемнадцати позиций: политика конфиденциальности, формы согласия, договоры с подрядчиками, технические меры защиты, журналы доступа к базам данных, уведомления об обработке.

Срок на предоставление документов — тридцать календарных дней. Руководство компании обратилось за юридической помощью на третий день после получения запроса: времени оставалось достаточно, но масштаб задачи был неочевиден.

Первичный разговор показал: компания работала несколько лет, собирала данные клиентов и сотрудников, использовала сторонние CRM и облачные сервисы — и при этом никогда системно не занималась документированием обработки персональных данных. Политика конфиденциальности была скопирована с другого сайта и не отражала реальных процессов. Согласия на обработку данных не соответствовали требованиям казахстанского законодательства.

Задача: что именно нужно было сделать?

Задача распалась на три уровня. Первый — процедурный: подготовить ответ на запрос уполномоченного органа в установленный срок, не допустив формальных нарушений при взаимодействии с проверяющим. Второй — содержательный: выявить реальные нарушения до того, как их зафиксирует орган, и устранить их или подготовить обоснование. Третий — стратегический: выстроить систему документооборота, которая выдержит повторную проверку.

Ключевой риск состоял в следующем: если орган зафиксирует нарушения самостоятельно и выдаст предписание, компания попадёт в реестр нарушителей и получит административную санкцию. Если же нарушения будут устранены до завершения проверки или в ходе неё — есть основания для прекращения производства без штрафа.

• Провести экспресс-аудит всех процессов обработки персональных данных
• Привести документацию в соответствие с Законом о персональных данных и их защите
• Подготовить полный и корректный ответ на запрос органа
• Устранить выявленные нарушения до истечения срока проверки

Что именно проверялось: карта нарушений

Экспресс-аудит занял четыре рабочих дня. По его итогам была составлена карта нарушений — восемь позиций, разбитых по степени критичности.

Критические нарушения (требовали немедленного устранения): политика конфиденциальности не описывала реальные цели и способы обработки; формы согласия на сайте не содержали обязательных реквизитов; данные клиентов передавались двум зарубежным сервисам без надлежащего правового основания и без уведомления субъектов.

Существенные нарушения (требовали устранения в течение проверки): отсутствовал внутренний регламент по защите персональных данных; договоры с подрядчиками, имеющими доступ к данным клиентов, не содержали условий об обработке персональных данных; не был назначен ответственный за организацию обработки.

Технические недостатки (требовали фиксации плана устранения): журналы доступа к базам данных велись нерегулярно; отсутствовала процедура реагирования на инциденты безопасности данных.

Как строилась работа по устранению нарушений?

Работа велась параллельно по трём направлениям, чтобы уложиться в срок ответа на запрос органа.

Документация. В течение первой недели были разработаны: новая политика конфиденциальности, отражающая реальные процессы компании; формы согласия на обработку персональных данных для сайта, мобильного приложения и точек офлайн-продаж; внутренний регламент по защите персональных данных с разграничением ответственности; шаблоны дополнительных соглашений с подрядчиками.

Трансграничная передача данных. Этот вопрос потребовал отдельного анализа. Два зарубежных сервиса — CRM и аналитическая платформа — получали данные казахстанских пользователей. По казахстанскому законодательству трансграничная передача допускается при соблюдении ряда условий: страна-получатель должна обеспечивать надлежащий уровень защиты, либо субъект должен дать отдельное согласие на такую передачу. По итогам анализа для одного сервиса было получено согласие пользователей через обновлённую форму, для второго — заключено соглашение с провайдером с включением стандартных договорных условий.

Организационные меры. Приказом руководителя был назначен ответственный за организацию обработки персональных данных. Сотрудники, имеющие доступ к данным, прошли краткий инструктаж. Была внедрена процедура реагирования на запросы субъектов — с фиксированным сроком ответа и шаблонами документов.

Как был подготовлен ответ на запрос уполномоченного органа?

Ответ на запрос органа — самостоятельная процессуальная задача, которую нельзя решать по принципу «отправить всё, что есть». Каждый документ сопровождался пояснительной запиской, объясняющей его назначение и связь с конкретным пунктом запроса.

По нарушениям, которые были устранены к моменту ответа, прилагались доказательства устранения: скриншоты обновлённых форм согласия с датами внесения изменений, подписанные дополнительные соглашения с подрядчиками, приказ о назначении ответственного. Это позволило продемонстрировать добросовестность компании и готовность к соблюдению требований законодательства.

По техническим недостаткам, которые требовали более длительного устранения, был представлен план с конкретными сроками и ответственными лицами. Такой подход — признание нарушения плюс план устранения — как правило, воспринимается уполномоченным органом как основание для смягчения позиции.

Результат: что получила компания?

По итогам проверки уполномоченный орган не вынес постановления об административном правонарушении. Компания получила предписание об устранении двух оставшихся технических недостатков — с разумным сроком исполнения. Предписание было исполнено в установленный срок, о чём орган был уведомлён письменно.

Фактически компания прошла проверку без штрафа. Это стало возможным по трём причинам: своевременное обращение за юридической помощью (на третий день после получения запроса, а не на двадцать восьмой); системный подход к устранению нарушений, а не точечные «заплатки»; корректное взаимодействие с уполномоченным органом — без игнорирования и без избыточного раскрытия информации.

Помимо прохождения проверки, компания получила рабочую систему документооборота по персональным данным: политику, регламенты, формы согласия, шаблоны договоров с подрядчиками и процедуру реагирования на запросы субъектов. Эта система снижает риски при любых последующих проверках.

Уроки: что стоит учесть каждой компании в Казахстане?

Этот кейс показывает несколько устойчивых закономерностей, характерных для казахстанской практики проверок по персональным данным.

Первое: большинство компаний не готовы к проверке не потому, что намеренно нарушают закон, а потому что никогда системно не занимались этим вопросом. Политика конфиденциальности, скопированная с другого сайта, — норма, а не исключение. Это означает, что риск есть у большинства участников рынка.

Второе: срок на ответ — тридцать дней — кажется достаточным, но при отсутствии документации он уходит очень быстро. Компании, которые обращаются за помощью в последние дни, как правило, успевают подготовить только формальный ответ — без устранения нарушений. Это принципиально хуже, чем ответ с доказательствами устранения.

Третье: трансграничная передача данных — зона повышенного внимания уполномоченного органа. Использование зарубежных CRM, облачных хранилищ, аналитических платформ и рекламных сетей почти всегда означает передачу персональных данных за рубеж. Правовое основание для такой передачи должно быть задокументировано заранее.