Чек-лист комплаенса по персональным данным в Казахстане: 10 пунктов проверки

Зачем нужен комплаенс по персональным данным в Казахстане?

Закон о персональных данных и их защите распространяется на все организации, которые собирают, хранят или иным образом обрабатывают данные физических лиц на территории Республики Казахстан. Это означает, что под его действие подпадают не только крупные корпорации, но и малый бизнес, стартапы, интернет-магазины и работодатели любого масштаба.

Уполномоченный орган — Министерство цифрового развития, инноваций и аэрокосмической промышленности РК — вправе проводить проверки, выдавать предписания и инициировать административное производство. Субъекты данных вправе обращаться в суд с требованиями о возмещении вреда. Практика применения закона становится более активной: число проверок и предписаний растёт.

Регулярный внутренний аудит по чек-листу позволяет выявить пробелы до проверки и устранить их в рабочем порядке — без административного давления и репутационных потерь.

Пункт 1. Определён ли оператор персональных данных?

Оператором персональных данных признаётся лицо, которое определяет цели и содержание обработки данных. В большинстве организаций это юридическое лицо — сама компания. Важно зафиксировать это в документах и назначить ответственного сотрудника или подразделение.

• Проверьте, указан ли оператор в политике конфиденциальности с полными реквизитами.
• Убедитесь, что назначен ответственный за обработку персональных данных (DPO или аналог).
• Зафиксируйте полномочия ответственного во внутреннем приказе или должностной инструкции.
• Если обработку осуществляет третья сторона по поручению — проверьте наличие договора с ней.

Отсутствие назначенного ответственного — типичный пробел, который регулятор фиксирует при проверках. Это не требует отдельной штатной единицы: функцию можно возложить на юриста, IT-директора или руководителя службы безопасности.

Пункт 2. Есть ли актуальная политика конфиденциальности?

Политика конфиденциальности — обязательный публичный документ для любой организации, собирающей персональные данные через сайт или иные каналы. Она должна быть доступна пользователю до момента предоставления данных.

• Политика опубликована на сайте и доступна с каждой страницы сбора данных.
• Документ содержит: наименование оператора, цели обработки, перечень данных, сроки хранения, порядок отзыва согласия.
• Указаны сведения о трансграничной передаче данных (если применимо).
• Дата последнего обновления проставлена в документе.

Политику рекомендуется пересматривать не реже одного раза в год, а также при каждом существенном изменении процессов обработки данных — например, при подключении нового CRM, маркетингового инструмента или облачного сервиса.

Пункт 3. Получены ли согласия субъектов данных?

Согласие на обработку персональных данных в Казахстане должно быть добровольным, конкретным, информированным и однозначным. Предварительно проставленные галочки в онлайн-формах не считаются надлежащим согласием.

• Все формы сбора данных содержат явный чекбокс согласия (не предзаполненный).
• Текст согласия содержит: наименование оператора, цель, перечень данных, срок действия, порядок отзыва.
• Хранятся доказательства получения согласия (лог, скриншот, запись в базе).
• Для специальных категорий данных (здоровье, биометрия) получено письменное согласие.

Особое внимание — к согласиям, полученным до вступления в силу текущей редакции закона. Если формулировка устарела или не соответствует требованиям, согласие необходимо обновить. Это касается в первую очередь клиентских баз, сформированных несколько лет назад.

Пункт 4. Ведётся ли реестр обрабатываемых данных?

Реестр (или реестр баз персональных данных) — внутренний документ, фиксирующий все категории данных, которые обрабатывает организация, цели обработки, сроки хранения и ответственных лиц. Его наличие существенно упрощает взаимодействие с регулятором и ускоряет ответы на запросы субъектов.

• Реестр содержит все информационные системы, в которых хранятся персональные данные.
• Для каждой системы указаны: категории данных, цели, правовое основание, срок хранения.
• Реестр актуализируется при изменении процессов обработки.
• Доступ к реестру ограничен — он не является публичным документом.

Реестр также помогает выявить «лишние» данные — те, которые собираются, но не используются. Хранение избыточных данных само по себе является нарушением принципа минимизации, закреплённого в казахстанском законодательстве о персональных данных.

Пункт 5. Соответствуют ли договоры с контрагентами требованиям о персональных данных?

Если организация передаёт персональные данные третьим лицам — подрядчикам, облачным провайдерам, маркетинговым агентствам — это требует надлежащего договорного оформления. Оператор остаётся ответственным за данные даже после их передачи.

• В договорах с обработчиками данных есть раздел о персональных данных или отдельное соглашение об обработке.
• Договор обязывает обработчика соблюдать требования казахстанского законодательства.
• Предусмотрен порядок уничтожения данных по окончании договора.
• Для трансграничной передачи — проверен статус страны-получателя и наличие надлежащей защиты.

Особого внимания требуют договоры с иностранными SaaS-провайдерами: CRM, HR-системы, облачные хранилища. Стандартные условия таких сервисов нередко не учитывают специфику казахстанского законодательства, и их необходимо дополнять отдельным соглашением об обработке данных.

Пункт 6. Настроен ли сбор cookies на сайте?

Cookies, позволяющие идентифицировать пользователя, относятся к персональным данным по казахстанскому законодательству. Это означает, что аналитические и маркетинговые cookies требуют информирования пользователя и получения его согласия.

• На сайте размещён cookie-баннер, появляющийся при первом визите.
• Баннер позволяет принять или отклонить нетехнические cookies.
• Опубликована политика использования cookies (или соответствующий раздел в политике конфиденциальности).
• Технически необходимые cookies активируются без согласия; маркетинговые — только после его получения.

Практика применения в этой части пока формируется, однако регулятор уже фиксирует нарушения при проверках сайтов. Наличие корректно настроенного cookie-баннера — минимальный стандарт, который не требует значительных ресурсов для внедрения.

Пункт 7. Есть ли процедура обработки запросов субъектов данных?

Субъект персональных данных вправе в любой момент запросить информацию об обработке своих данных, потребовать их уточнения, блокировки или уничтожения. Оператор обязан ответить в установленный срок — отсутствие ответа является самостоятельным нарушением.

• Определён ответственный за приём и обработку запросов субъектов.
• Есть шаблон ответа на типовые запросы (доступ, уточнение, удаление).
• Ведётся журнал учёта поступивших запросов и сроков ответа.
• Процедура отзыва согласия описана в политике конфиденциальности и реально работает.

Отзыв согласия не означает автоматического удаления всех данных: часть из них может обрабатываться на иных правовых основаниях — например, в целях исполнения договора или соблюдения требований законодательства. Это важно разъяснять субъекту в ответе на запрос.

Пункт 8. Соблюдаются ли требования к уведомлению уполномоченного органа?

Казахстанское законодательство предусматривает уведомительный порядок для операторов, осуществляющих обработку персональных данных в информационных системах. Уведомление направляется в уполномоченный орган до начала обработки.

• Проверьте, подпадает ли ваша информационная система под обязательное уведомление.
• Если уведомление требуется — убедитесь, что оно направлено и получено подтверждение.
• При существенном изменении системы обработки — уведомление обновляется.
• Хранится копия направленного уведомления и подтверждение его получения.

Ряд случаев обработки освобождён от обязательного уведомления — в частности, обработка данных исключительно в целях исполнения договора с субъектом. Рекомендуется проверить применимость исключений к конкретным системам вашей организации.

Пункт 9. Обеспечена ли техническая и организационная защита данных?

Оператор обязан принимать технические и организационные меры для защиты персональных данных от несанкционированного доступа, утраты, изменения или распространения. Конкретный набор мер зависит от категорий обрабатываемых данных и уровня риска.

• Доступ к персональным данным ограничен по принципу минимальных привилегий.
• Данные передаются по защищённым каналам (HTTPS, шифрование).
• Проводится регулярное резервное копирование и тестирование восстановления.
• Сотрудники, работающие с данными, прошли инструктаж по требованиям закона.

Утечка персональных данных — не только административный риск, но и репутационный. Казахстанское законодательство не предусматривает обязательного уведомления об утечках в том объёме, который существует в европейском праве, однако практика в этой части развивается. Наличие задокументированного плана реагирования на инциденты — признак зрелого комплаенса.

Пункт 10. Проводится ли регулярный внутренний аудит?

Разовое приведение документации в порядок не обеспечивает устойчивого комплаенса: законодательство меняется, бизнес-процессы развиваются, появляются новые инструменты сбора данных. Регулярный аудит — основа системного подхода.

• Аудит проводится не реже одного раза в год или при существенных изменениях в бизнесе.
• По итогам аудита составляется отчёт с перечнем выявленных нарушений и планом их устранения.
• Результаты аудита доводятся до руководства компании.
• Внешний аудит привлекается при высоком объёме обработки данных или при подготовке к проверке регулятора.

Документирование результатов аудита важно само по себе: при проверке регулятора наличие внутреннего контроля и плана устранения нарушений — весомый аргумент в пользу добросовестности оператора. Это не гарантирует отсутствия санкций, но существенно влияет на их характер и размер.

Связанные материалы по теме персональных данных в Казахстане

Для углублённого изучения темы рекомендуем следующие материалы из нашей аналитики:

• Комплаенс по персональным данным в Казахстане: ключевые требования
• Трансграничная передача персональных данных из Казахстана
• Легальна ли криптовалюта в Казахстане в 2026 году

Актуальные материалы по всем направлениям практики собраны в разделе Аналитика. Вопросы защиты данных в контексте IT-права и цифровых продуктов рассматриваются в рамках практики Персональные данные и IT-право.