Чек-лист комплаенса по персональным данным в Казахстане: чек-лист для юриста

Как пользоваться этим чек-листом?

Чек-лист структурирован по восьми блокам — каждый соответствует отдельному направлению комплаенса. Пройдите по каждому пункту и отметьте статус: выполнено, требует доработки или не применимо к вашей деятельности.

Если по итогу проверки более трёх пунктов в любом блоке остаются невыполненными — это сигнал для проведения полноценного юридического аудита. Казахстанское законодательство о персональных данных распространяется на любую организацию, которая собирает, хранит или передаёт сведения о физических лицах — клиентах, сотрудниках, партнёрах.

Чек-лист актуален для компаний любого размера: от ИП с сайтом-визиткой до крупного ритейлера с CRM и колл-центром. Масштаб обработки данных влияет на объём требований, но не на их наличие.

Блок 1. Правовые основания и политика обработки данных

Основа комплаенса — наличие актуальной политики обработки персональных данных и чёткое понимание правовых оснований для каждого вида обработки.

• Политика обработки персональных данных — утверждена, размещена на сайте в открытом доступе, содержит цели, объём, сроки хранения и порядок уничтожения данных.
• Правовые основания — для каждой категории обрабатываемых данных определено основание: согласие субъекта, исполнение договора, требование закона или законный интерес оператора.
• Реестр операторов — компания уведомила уполномоченный орган о создании баз данных персональных данных до начала их обработки.
• Актуализация политики — политика пересматривается не реже одного раза в год или при изменении процессов обработки данных.
• Ответственное лицо — назначен сотрудник, ответственный за организацию обработки персональных данных (DPO или иное уполномоченное лицо).

Отсутствие публичной политики — одно из наиболее распространённых нарушений, которое фиксируется при проверках. Документ должен быть доступен без регистрации и скачивания.

Блок 2. Согласия субъектов персональных данных

Согласие на обработку персональных данных в Казахстане должно быть конкретным, информированным и добровольным — общие формулировки в договорах не заменяют надлежащего согласия.

• Форма согласия — разработана отдельная форма согласия для каждой категории субъектов: клиенты, сотрудники, посетители сайта.
• Содержание согласия — в тексте указаны оператор, перечень данных, цели обработки, срок действия и порядок отзыва.
• Фиксация согласия — согласие хранится в форме, позволяющей подтвердить его получение: электронная подпись, чекбокс с логированием, бумажная подпись.
• Отзыв согласия — предусмотрен механизм отзыва согласия субъектом; после отзыва данные уничтожаются в установленный срок.
• Чувствительные данные — для биометрических, медицинских и иных чувствительных данных получено отдельное явное согласие.

Согласие, встроенное в договор оферты мелким шрифтом, по казахстанской судебной практике, как правило, признаётся ненадлежащим. Рекомендуется выделять его в отдельный документ или отдельный блок с явным акцептом.

Блок 3. Договоры с подрядчиками и третьими лицами

Передача персональных данных подрядчикам без надлежащего договорного оформления — зона повышенного риска: оператор остаётся ответственным за действия третьих лиц с переданными данными.

• Реестр подрядчиков — составлен перечень всех третьих лиц, которые получают доступ к персональным данным: IT-подрядчики, колл-центры, маркетинговые агентства, бухгалтерские сервисы.
• Условия в договорах — каждый договор с подрядчиком содержит раздел о персональных данных: цель передачи, объём, меры защиты, запрет субпередачи, порядок уничтожения.
• Облачные сервисы — использование зарубежных CRM, HR-систем, аналитических платформ оформлено с учётом требований о трансграничной передаче данных.
• NDA и конфиденциальность — сотрудники подрядчика, имеющие доступ к данным, связаны обязательствами о конфиденциальности.

Использование популярных зарубежных сервисов — Google Workspace, Salesforce, 1С в облаке — без надлежащего оформления является распространённым нарушением, которое собственники, как правило, не замечают до проверки.

Блок 4. Трансграничная передача данных

Трансграничная передача персональных данных из Казахстана допускается только в государства с надлежащим уровнем защиты или при наличии специального согласия субъекта.

• Перечень стран-получателей — определены все государства, в которые передаются данные, и проверен их статус с точки зрения казахстанского законодательства.
• Согласие на трансграничную передачу — если страна не включена в перечень с надлежащим уровнем защиты, получено отдельное согласие субъекта с указанием конкретной страны.
• Договорные гарантии — с иностранными получателями данных заключены соглашения, устанавливающие стандарты защиты не ниже казахстанских требований.
• Локализация данных — персональные данные граждан Казахстана хранятся на серверах, расположенных на территории Республики Казахстан, либо соблюдены условия для хранения за рубежом.

Требование о локализации данных граждан Казахстана — одно из ключевых в действующем законодательстве. Его нарушение фиксируется при технических проверках и влечёт административную ответственность.

Блок 5. Технические и организационные меры защиты

Казахстанское законодательство обязывает операторов принимать меры, обеспечивающие защиту персональных данных от несанкционированного доступа, уничтожения, изменения и распространения.

• Разграничение доступа — доступ к персональным данным предоставлен только тем сотрудникам, которым он необходим для выполнения должностных обязанностей.
• Шифрование — данные при хранении и передаче защищены шифрованием; используются защищённые протоколы (HTTPS, TLS).
• Журналы доступа — ведётся логирование обращений к базам данных персональных данных; журналы хранятся не менее установленного срока.
• Резервное копирование — настроено регулярное резервное копирование баз данных с персональными данными.
• Уничтожение данных — предусмотрена и исполняется процедура уничтожения данных по истечении срока хранения или после отзыва согласия.

Технические меры должны быть соразмерны характеру обрабатываемых данных. Для чувствительных данных — биометрии, медицинских сведений — требования к защите существенно выше.

Блок 6. Права субъектов персональных данных

Субъект персональных данных в Казахстане вправе получить доступ к своим данным, потребовать их исправления или уничтожения — оператор обязан обеспечить реализацию этих прав.

• Процедура обращений — определён и задокументирован порядок рассмотрения запросов субъектов: кто принимает, в какой срок отвечает, как фиксирует.
• Право на доступ — субъект может получить информацию о том, какие его данные обрабатываются, с какой целью и кому передаются.
• Право на исправление — предусмотрен механизм внесения изменений в данные по запросу субъекта.
• Право на уничтожение — данные уничтожаются по запросу субъекта, если основания для их обработки отпали, в установленный законом срок.
• Контактная информация — на сайте и в политике указаны контакты для направления запросов субъектов.

Игнорирование запросов субъектов — прямое нарушение, которое может стать основанием как для административного взыскания, так и для жалобы в уполномоченный орган.

Блок 7. Сайт, cookies и цифровые каналы

Сайт компании — одна из основных точек сбора персональных данных, и именно здесь чаще всего выявляются нарушения при проверках казахстанских операторов.

• Политика конфиденциальности на сайте — размещена в открытом доступе, содержит актуальную информацию об обработке данных посетителей.
• Cookie-баннер — при первом посещении сайта отображается уведомление о cookies с возможностью выбора: принять все, отклонить необязательные или настроить.
• Формы сбора данных — каждая форма (заявка, подписка, регистрация) содержит ссылку на политику конфиденциальности и чекбокс согласия.
• Сторонние трекеры — составлен перечень аналитических и рекламных сервисов, которым передаются данные посетителей; это отражено в политике.
• Мессенджеры и чат-боты — если компания собирает данные через WhatsApp, Telegram-бот или иные каналы, это оформлено с соблюдением требований о согласии.

Установка Google Analytics или Meta Pixel без надлежащего cookie-баннера и отражения в политике конфиденциальности — типичное нарушение, которое легко выявляется при техническом аудите сайта.

Блок 8. Реагирование на инциденты и внутренние процедуры

Наличие плана реагирования на инциденты с персональными данными — признак зрелого комплаенса и обязательное условие для минимизации последствий утечек.

• План реагирования на инциденты — утверждён документ, описывающий действия при утечке или несанкционированном доступе к персональным данным.
• Уведомление уполномоченного органа — определён порядок и сроки уведомления Министерства цифрового развития РК об инцидентах.
• Обучение сотрудников — персонал, работающий с персональными данными, прошёл инструктаж; проводится не реже одного раза в год.
• Внутренний аудит — не реже одного раза в год проводится проверка соответствия процессов обработки данных требованиям законодательства.
• Документация инцидентов — все выявленные инциденты фиксируются в журнале с описанием характера нарушения и принятых мер.

По нашему опыту, компании, у которых есть задокументированный план реагирования, в среднем в два раза быстрее локализуют инцидент и несут значительно меньшие репутационные и правовые последствия.