Защита компании при проверке по персональным данным в Казахстане

Ситуация: запрос пришёл без предупреждения

Компания — средний розничный ретейлер с несколькими торговыми точками в двух городах Казахстана — получила официальный запрос от уполномоченного органа в сфере защиты персональных данных. В запросе перечислялся список документов, которые требовалось предоставить в течение установленного срока.

Запрос охватывал несколько направлений: политику конфиденциальности, формы согласий клиентов и сотрудников, договоры с подрядчиками, которые имели доступ к клиентской базе, а также сведения о технических мерах защиты данных. Собственник компании обратился за юридической помощью на следующий день после получения запроса — времени на подготовку оставалось немного.

Первичный анализ показал типичную картину: документация велась хаотично, часть согласий была получена в устной форме, политика конфиденциальности на сайте не обновлялась несколько лет и не отражала фактическую практику обработки данных.

Задача: что именно нужно было защитить?

Задача юридической команды состояла не в том, чтобы скрыть нарушения, а в том, чтобы чётко разграничить: что является реальным нарушением, требующим устранения, а что — формальным несоответствием, которое можно обосновать или оспорить.

Были выделены три приоритета. Первый — оценить, какие из запрошенных документов компания обязана предоставить по закону, а какие выходят за рамки полномочий органа при данном виде проверки. Второй — подготовить ответ на запрос таким образом, чтобы не создать дополнительных оснований для расширения проверки. Третий — параллельно устранить наиболее очевидные нарушения до момента возможного выезда инспектора.

Отдельным вопросом стала ситуация с подрядчиком — IT-компанией, которая обслуживала CRM-систему и фактически имела доступ к базе данных клиентов. Договор с подрядчиком не содержал положений об обработке персональных данных, что само по себе являлось нарушением требований Закона о персональных данных и их защите.

Что было сделано: пошаговое решение

Работа велась по нескольким направлениям одновременно, поскольку сроки ответа на запрос не позволяли действовать последовательно.

• Анализ запроса. Юристы изучили основания проверки и перечень запрошенных документов. Часть требований была сформулирована избыточно широко — это позволило подготовить мотивированный ответ с уточнением объёма предоставляемых сведений.
• Документационный аудит. В течение двух рабочих дней была проведена инвентаризация всех форм согласий, внутренних политик и договоров с третьими лицами, имеющими доступ к данным.
• Обновление документации. Политика конфиденциальности была переработана с учётом фактической практики обработки данных. Формы согласий приведены в соответствие с требованиями казахстанского законодательства — с указанием цели, объёма и срока обработки.
• Договор с IT-подрядчиком. В действующий договор было включено дополнительное соглашение об обработке персональных данных, определяющее обязанности подрядчика как обработчика и меры технической защиты.
• Подготовка ответа на запрос. Ответ был структурирован так, чтобы предоставить запрошенные сведения в полном объёме, но без избыточного раскрытия информации, которая могла бы стать основанием для дополнительных вопросов.

Какие нарушения были выявлены и устранены?

По итогам аудита были зафиксированы четыре категории нарушений — от критических до технических.

Наиболее серьёзным оказалось отсутствие письменных согласий на обработку данных у части клиентов, зарегистрированных в программе лояльности. Данные собирались через бумажные анкеты, которые не содержали обязательных реквизитов согласия. Это нарушение было устранено путём введения новой формы регистрации — как в бумажном, так и в электронном виде.

Второй проблемой стало отсутствие локализации: часть данных хранилась на серверах за пределами Казахстана через облачный сервис. Казахстанское законодательство требует хранить базы данных граждан РК на территории страны. Компания перешла на отечественного облачного провайдера в течение трёх недель после завершения аудита.

Технические нарушения — устаревшая политика конфиденциальности и отсутствие раздела об обработке данных в договоре с подрядчиком — были устранены в ходе самой подготовки к ответу на запрос.

Результат: как завершилась проверка?

Уполномоченный орган получил полный пакет документов в установленный срок. По итогам рассмотрения ответа выездная проверка не была назначена — контролирующий орган ограничился предписанием об устранении двух оставшихся замечаний с установленным сроком исполнения.

Оба замечания касались технических аспектов: порядка уведомления субъектов данных об изменении политики конфиденциальности и формата хранения архивных согласий. Компания устранила их в срок и направила подтверждающие документы. Производство по делу было прекращено без применения административных санкций.

Ключевым фактором успешного исхода стала скорость реакции: большинство нарушений были устранены до того, как орган успел сформировать окончательную позицию по делу. Это существенно снизило риск назначения штрафа и расширения проверки.

Уроки: что стоит сделать до проверки?

Этот кейс показывает, что большинство нарушений в сфере персональных данных носят системный, а не разовый характер. Они накапливаются годами — пока не приходит запрос.

Превентивные меры, которые снижают риски при проверке:

• Актуальная политика конфиденциальности, отражающая реальную практику обработки данных.
• Письменные согласия субъектов с обязательными реквизитами: цель, объём, срок, право на отзыв.
• Договоры с подрядчиками, имеющими доступ к данным, с разделом об обязанностях обработчика.
• Локализация баз данных граждан Казахстана на серверах внутри страны.
• Внутренний регламент обработки персональных данных с назначением ответственного лица.

Компании, прошедшей проверку, потребовалось около трёх недель на полное приведение документации в порядок. Если бы аудит был проведён заблаговременно, этот срок сократился бы до нескольких дней.