Чек-лист комплаенса по персональным данным в Казахстане: что проверить

Как пользоваться этим чек-листом

Чек-лист охватывает семь ключевых блоков комплаенса по персональным данным в Казахстане. Каждый блок — самостоятельная область проверки с конкретными пунктами и пояснениями.

Пройдитесь по каждому пункту и отметьте статус: выполнено, требует доработки, не применимо. Пункты, отмеченные как «требует доработки», — приоритет для немедленных действий. Материал опирается на требования Закона о персональных данных и их защите и смежного законодательства Республики Казахстан.

Чек-лист не заменяет полноценный правовой аудит, но даёт топ-менеджеру структурированную отправную точку для оценки рисков. Для глубокой проверки рекомендуется привлечь юриста по IT-праву и специалиста по информационной безопасности.

Блок 1. Правовые основания и документация

Любая обработка персональных данных в Казахстане должна иметь законное основание — согласие субъекта, исполнение договора, требование закона или иное основание, прямо предусмотренное Законом о персональных данных и их защите.

• Политика обработки персональных данных — утверждена, актуальна, размещена в открытом доступе (на сайте или в офисе). Содержит цели, основания, сроки, перечень категорий данных, порядок реализации прав субъектов.
• Реестр операций по обработке — ведётся внутренний реестр: какие данные, с какой целью, на каком основании, кем обрабатываются. Реестр актуализируется при изменении процессов.
• Правовые основания зафиксированы — для каждой категории данных и каждой цели обработки определено конкретное основание. Нет «обработки на всякий случай» без цели.
• Согласия оформлены корректно — там, где основание — согласие субъекта, оно получено в надлежащей форме: добровольно, конкретно, информированно. Хранятся доказательства получения согласия.
• Уведомление уполномоченного органа — проверено, требуется ли уведомление о начале обработки. Если требуется — уведомление подано до начала обработки.

Блок 2. Работа с сотрудниками: нужно ли согласие?

Обработка кадровых данных в Казахстане допускается без отдельного согласия, если она необходима для исполнения трудового договора — но это правило имеет чёткие границы.

• Кадровые данные — обработка в рамках трудового договора (расчёт зарплаты, ведение личных дел, оформление отпусков) не требует отдельного согласия. Это зафиксировано в трудовых договорах или локальных актах.
• Данные за пределами трудового договора — публикация фото, передача данных третьим лицам, использование биометрии, мониторинг переписки — требуют отдельного письменного согласия. Согласия получены и хранятся в личных делах.
• Чувствительные данные сотрудников — сведения о здоровье (больничные листы, медосмотры), судимости, религиозных убеждениях обрабатываются только при наличии законного основания и с усиленными мерами защиты.
• Уведомление при увольнении — при прекращении трудовых отношений данные бывшего сотрудника хранятся не дольше, чем требует законодательство об архивном деле. Доступ к ним ограничен.

Блок 3. Согласия клиентов и пользователей: что проверить

Согласие на обработку персональных данных клиентов — наиболее распространённое основание для коммерческих компаний, и именно здесь чаще всего выявляются нарушения при проверках в Казахстане.

• Форма согласия на сайте — согласие не предполагается по умолчанию. Галочка «Согласен» не должна быть предварительно проставлена. Пользователь совершает активное действие.
• Содержание согласия — в тексте согласия указаны: оператор, цель, перечень данных, срок, порядок отзыва. Нет размытых формулировок «в маркетинговых целях» без расшифровки.
• Отзыв согласия — субъект может отозвать согласие в любой момент. Механизм отзыва реально работает: данные прекращают обрабатываться после отзыва.
• Cookie и трекинг — если сайт использует аналитические или маркетинговые cookie, пользователь уведомлён и дал согласие до их установки. Баннер соответствует требованиям законодательства РК.
• Данные несовершеннолетних — если среди пользователей могут быть лица до 18 лет, предусмотрен механизм получения согласия родителей или законных представителей.

Блок 4. Договоры с подрядчиками и третьими лицами

Передача персональных данных подрядчикам — облачным провайдерам, колл-центрам, маркетинговым агентствам — создаёт самостоятельный блок ответственности оператора в Казахстане.

• Договоры на обработку данных — с каждым подрядчиком, получающим доступ к персональным данным, заключён договор или соглашение о конфиденциальности. В нём зафиксированы цель, объём, меры защиты, запрет на использование в иных целях.
• Реестр подрядчиков — ведётся список третьих лиц, которым передаются данные. Список актуален. Каждая передача обоснована.
• Трансграничная передача — если данные передаются за пределы Казахстана (например, в облачные сервисы с серверами в других странах), проверено соответствие требованиям о трансграничной передаче по Закону о персональных данных и их защите.
• Локализация данных — данные граждан Казахстана хранятся на серверах, расположенных на территории РК, если иное не предусмотрено законом. Проверено фактическое местонахождение серверов облачных провайдеров.

Блок 5. Технические и организационные меры защиты

Казахстанское законодательство обязывает операторов принимать меры, обеспечивающие конфиденциальность, целостность и доступность персональных данных — и это не только IT-вопрос, но и управленческий.

• Разграничение доступа — к персональным данным имеют доступ только те сотрудники, которым это необходимо для выполнения служебных обязанностей. Права доступа задокументированы и регулярно пересматриваются.
• Шифрование и защита каналов — данные при передаче и хранении защищены техническими средствами. Используются защищённые протоколы передачи данных.
• Реагирование на инциденты — существует процедура реагирования на утечки данных. Сотрудники знают, что делать при инциденте. Предусмотрено уведомление уполномоченного органа и субъектов данных при необходимости.
• Обучение персонала — сотрудники, работающие с персональными данными, прошли инструктаж. Ответственный за обработку персональных данных назначен приказом.
• Уничтожение данных — по истечении срока хранения данные уничтожаются или обезличиваются. Факт уничтожения документируется.

Блок 6. Права субъектов данных: как их реализовать?

Субъект персональных данных в Казахстане вправе получить доступ к своим данным, потребовать их исправления или уничтожения — и компания обязана отреагировать в установленные сроки.

• Процедура обработки запросов — существует внутренний регламент обработки обращений субъектов. Назначен ответственный. Сроки ответа соблюдаются.
• Право на доступ — субъект может запросить, какие данные о нём обрабатываются, с какой целью и кому переданы. Компания готова предоставить эту информацию в разумный срок.
• Право на исправление и уничтожение — при обнаружении неточных данных или по требованию субъекта данные исправляются или уничтожаются. Факт исполнения фиксируется.
• Право на отзыв согласия — механизм отзыва прост и доступен. После отзыва обработка прекращается, данные уничтожаются (если нет иного законного основания для хранения).

Блок 7. Специальные категории и повышенные риски

Чувствительные персональные данные — здоровье, биометрия, судимость, религиозные убеждения — требуют усиленного режима защиты и отдельного правового основания для обработки в Казахстане.

• Идентификация чувствительных данных — проведена инвентаризация: какие специальные категории данных обрабатывает компания. Для каждой категории определено законное основание.
• Биометрия — если используется биометрическая идентификация (СКУД, системы распознавания лиц), получено явное согласие субъектов. Данные хранятся с усиленной защитой.
• Медицинские данные — сведения о здоровье сотрудников (больничные, медосмотры) хранятся отдельно от общих кадровых документов. Доступ строго ограничен.
• Аккредитация — если деятельность компании предполагает обработку специальных категорий данных в объёме, требующем аккредитации, — статус аккредитации проверен и актуален.
• Оценка рисков — для высокорисковых операций (масштабная обработка, новые технологии, профилирование) проведена оценка воздействия на защиту данных.