Чек-лист комплаенса по персональным данным в Казахстане: контрольный список
Казахстанский Закон о персональных данных и их защите обязывает любую организацию, собирающую данные граждан РК, соблюдать требования к согласиям, реестрам, политикам и уведомлениям. Этот чек-лист охватывает восемь ключевых блоков комплаенса — от правовых оснований обработки до трансграничной передачи данных. Используйте его как рабочий инструмент для самопроверки или подготовки к аудиту.
Хотите проверить, соответствует ли ваша компания требованиям казахстанского законодательства о персональных данных? Проверить обработку персональных данных · info@vetrovkz.com
Как пользоваться этим чек-листом
Чек-лист структурирован по восьми блокам: каждый соответствует отдельному направлению комплаенса в сфере персональных данных в Казахстане. Пройдите каждый пункт и отметьте статус: выполнено, требует доработки или не применимо.
Чек-лист охватывает требования Закона о персональных данных и их защите, а также смежных норм — Трудового кодекса РК, Гражданского кодекса РК и отраслевых требований. Он подходит для компаний любого размера: от малого бизнеса с сайтом и базой клиентов до крупных организаций с разветвлённой структурой обработки данных.
Если по итогам проверки вы обнаружили незакрытые пункты — это сигнал для проведения полноценного аудита. Материал о цифровом кодексе Казахстана и изменениях для бизнеса поможет понять контекст актуальных требований.
Если ваши формы согласия не соответствуют требованиям или вы не уверены в их юридической силе — это риск, который стоит устранить до проверки.
Проверить обработку персональных данныхБлок 1. Правовые основания обработки персональных данных
Каждая операция с персональными данными должна иметь правовое основание — согласие субъекта, договор, закон или жизненно важный интерес. Без основания обработка незаконна вне зависимости от её цели.
- Определены цели обработки — для каждой категории данных зафиксирована конкретная цель (не «улучшение сервиса», а «исполнение договора купли-продажи»).
- Выбрано правовое основание — согласие, договор, законная обязанность или иное основание по Закону о персональных данных и их защите.
- Основание задокументировано — в реестре операций или внутреннем регламенте указано, на каком основании обрабатывается каждая категория данных.
- Обработка не выходит за рамки заявленных целей — данные, собранные для одной цели, не используются для другой без нового основания.
- Специальные категории данных выделены отдельно — для них получено явное согласие или применяется специальное основание.
Отсутствие задокументированного основания — наиболее частое нарушение при проверках. Даже если данные обрабатываются добросовестно, без документации это невозможно доказать.
Блок 2. Согласия субъектов данных: правильно ли они оформлены?
Согласие на обработку персональных данных в Казахстане должно быть добровольным, конкретным, информированным и однозначным — «галочка по умолчанию» не соответствует этим требованиям.
- Согласие получено до начала обработки — не после регистрации или первой покупки, а в момент сбора данных.
- Форма согласия содержит обязательные реквизиты: наименование оператора, перечень данных, цели, действия с данными, срок и порядок отзыва.
- Согласие не является условием получения услуги — если отказ от согласия не влечёт отказа в обслуживании, это должно быть явно указано.
- Предусмотрен механизм отзыва согласия — субъект может отозвать согласие в любой момент, и этот процесс не сложнее, чем его дача.
- Согласия хранятся и доступны для предъявления — в случае проверки или запроса субъекта организация может подтвердить факт и содержание согласия.
Блок 3. Политика обработки персональных данных
Политика обработки персональных данных — обязательный публичный документ для любой организации, работающей с данными граждан Казахстана. Её отсутствие или неполнота являются самостоятельным нарушением.
- Политика разработана и утверждена — документ подписан руководителем или уполномоченным лицом, имеет дату утверждения.
- Политика размещена в открытом доступе — на сайте организации в разделе, доступном без регистрации, или в месте, доступном для субъектов данных.
- Политика содержит все обязательные разделы: цели обработки, категории данных и субъектов, правовые основания, сроки хранения, права субъектов, меры защиты, порядок обращений.
- Политика актуальна — последнее обновление отражает текущую практику обработки, а не состояние на момент первоначального составления.
- Сотрудники ознакомлены с политикой — факт ознакомления зафиксирован (подпись в трудовом договоре или отдельном листе ознакомления).
Блок 4. Реестр операций по обработке персональных данных
Реестр операций — внутренний документ, фиксирующий все процессы обработки персональных данных в организации. Он служит основой для любого аудита и позволяет оперативно ответить на запросы субъектов или регулятора.
- Реестр составлен и ведётся — охватывает все подразделения и системы, где обрабатываются персональные данные.
- Для каждой операции указаны: цель, правовое основание, категории данных, категории субъектов, получатели данных, срок хранения, меры защиты.
- Реестр обновляется при изменениях — запуск нового продукта, внедрение CRM-системы или изменение процессов отражается в реестре.
- Назначен ответственный за ведение реестра — конкретное должностное лицо или подразделение.
Реестр — не формальность. Без него невозможно оперативно ответить на запрос субъекта о составе обрабатываемых данных, что само по себе является нарушением прав субъекта.
Блок 5. Уведомление уполномоченного органа
Казахстанское законодательство обязывает операторов персональных данных уведомить уполномоченный орган о начале обработки — до её фактического начала, а не после.
- Уведомление подано — в Министерство цифрового развития, инноваций и аэрокосмической промышленности РК до начала обработки.
- Уведомление содержит актуальные сведения — если цели, категории данных или меры защиты изменились, уведомление обновлено.
- Хранится подтверждение подачи уведомления — квитанция, скриншот или иной документ, подтверждающий факт уведомления.
- Проверено, применяется ли исключение — некоторые категории операторов освобождены от уведомления; если вы относитесь к ним, основание для освобождения задокументировано.
Блок 6. Договоры с третьими лицами и поручение обработки
Передача персональных данных третьим лицам — подрядчикам, облачным сервисам, партнёрам — требует надлежащего договорного оформления. Оператор несёт ответственность за действия лиц, которым поручил обработку.
- Составлен перечень третьих лиц, которым передаются персональные данные: подрядчики, IT-провайдеры, маркетинговые агентства, бухгалтерские сервисы.
- С каждым заключён договор поручения обработки — или соответствующее соглашение о конфиденциальности с разделом о персональных данных.
- Договор содержит обязательные условия: цели обработки, перечень допустимых действий, требования к защите, запрет на передачу субподрядчикам без согласования, порядок уничтожения данных.
- Субъекты данных уведомлены о передаче третьим лицам — в политике или согласии указаны категории получателей.
- Договоры актуальны — проверены на соответствие текущим требованиям законодательства.
Блок 7. Трансграничная передача данных
Хранение персональных данных казахстанцев за рубежом и их передача иностранным организациям допускаются только при соблюдении условий, установленных Законом о персональных данных и их защите. Подробнее об этом — в нашем материале о хранении персональных данных казахстанцев за границей.
- Определены все случаи трансграничной передачи — включая использование иностранных облачных сервисов, CRM, ERP-систем с серверами за рубежом.
- Выполнено требование локализации — основная база данных граждан РК размещена на серверах в Казахстане.
- Для трансграничной передачи получено согласие субъекта или применяется иное законное основание.
- Страна-получатель обеспечивает надлежащий уровень защиты — или приняты дополнительные меры (договорные гарантии, стандартные договорные условия).
- Факты трансграничной передачи отражены в реестре операций и политике.
Блок 8. Права субъектов данных и реагирование на запросы
Субъект персональных данных в Казахстане вправе получить информацию об обработке своих данных, потребовать их исправления или уничтожения, а также отозвать согласие. Организация обязана ответить на такой запрос в установленный срок.
- Определён порядок приёма и обработки запросов субъектов — назначен ответственный, установлен срок ответа.
- Субъекты информированы о своих правах — в политике обработки данных и/или форме согласия.
- Предусмотрена процедура уничтожения данных по запросу субъекта или истечении срока хранения.
- Ведётся журнал запросов субъектов — дата, содержание, принятые меры, дата ответа.
- Предусмотрена процедура реагирования на инциденты — утечка или несанкционированный доступ к данным влечёт уведомление уполномоченного органа и субъектов в установленные сроки.
Неответ на запрос субъекта или ответ с нарушением срока — самостоятельное нарушение, которое может стать основанием для жалобы в уполномоченный орган.
Блок 9. Технические и организационные меры защиты
Казахстанское законодательство обязывает операторов принимать технические и организационные меры, обеспечивающие защиту персональных данных от несанкционированного доступа, уничтожения, изменения и распространения.
- Разграничен доступ к персональным данным — сотрудники имеют доступ только к тем данным, которые необходимы для выполнения их функций.
- Применяется шифрование при хранении и передаче персональных данных — особенно для специальных категорий.
- Ведётся журнал доступа к базам данных — фиксируются факты обращения, изменения и выгрузки данных.
- Проводится регулярное обучение сотрудников — правилам работы с персональными данными и действиям при инцидентах.
- Проводится периодический аудит — внутренний или внешний — соответствия принятых мер требованиям законодательства.
Частые вопросы
1. Какой штраф за нарушение закона о персональных данных в Казахстане?
Закон о персональных данных и их защите предусматривает административную ответственность за нарушения в сфере обработки персональных данных. Размер санкций зависит от характера нарушения и субъекта ответственности — физического лица, должностного лица или юридического лица. Юридические лица несут повышенную ответственность по сравнению с физическими. Помимо административных штрафов, возможна гражданско-правовая ответственность перед субъектами данных — возмещение убытков и компенсация морального вреда. При систематических нарушениях или нарушениях, повлёкших существенный ущерб, возможно уголовное преследование ответственных лиц. Точные размеры санкций следует уточнять по актуальной редакции Кодекса об административных правонарушениях РК.
2. Можно ли хранить персональные данные казахстанцев за границей?
Закон о персональных данных и их защите устанавливает требование локализации: базы данных, содержащие персональные данные граждан Казахстана, должны размещаться на серверах, физически расположенных на территории Республики Казахстан. Трансграничная передача данных допускается при соблюдении ряда условий: наличие согласия субъекта, обеспечение уровня защиты не ниже казахстанского стандарта, а также соответствие страны-получателя установленным требованиям. На практике это означает, что компании, использующие зарубежные облачные сервисы для хранения данных казахстанских пользователей, должны либо обеспечить локальное хранение основной базы, либо выполнить все условия для правомерной трансграничной передачи. Подробнее об этом — в нашем материале о хранении данных за рубежом.
3. Как долго можно хранить персональные данные?
Казахстанское законодательство о персональных данных устанавливает принцип ограничения хранения: данные должны храниться не дольше, чем это необходимо для достижения целей обработки. После достижения цели или истечения установленного срока данные подлежат уничтожению или обезличиванию. Конкретные сроки хранения определяются целью обработки, требованиями отраслевого законодательства (трудового, налогового, бухгалтерского) и условиями договора с субъектом данных. Например, данные сотрудников после увольнения могут храниться в течение срока, установленного Трудовым кодексом РК и архивным законодательством. Организация обязана закрепить сроки хранения в своей политике обработки персональных данных и реестре операций.
4. Нужно ли уведомлять уполномоченный орган об обработке персональных данных?
По казахстанскому законодательству операторы персональных данных обязаны уведомить уполномоченный орган — Министерство цифрового развития, инноваций и аэрокосмической промышленности РК — о начале обработки персональных данных. Уведомление подаётся до начала обработки и содержит сведения об операторе, целях обработки, категориях данных и субъектов, мерах защиты и сроках хранения. Отдельные категории операторов и видов обработки могут быть освобождены от уведомления в соответствии с действующим законодательством. Несоблюдение требования об уведомлении является самостоятельным основанием для привлечения к административной ответственности.
5. Что такое согласие на обработку персональных данных и как его правильно оформить?
Согласие субъекта персональных данных — это добровольное, конкретное, информированное и однозначное волеизъявление, которым субъект разрешает обработку своих данных. По казахстанскому законодательству согласие должно быть получено до начала обработки, оформлено в письменной форме (в том числе в электронном виде) и содержать: наименование оператора, перечень обрабатываемых данных, цели обработки, перечень действий с данными, срок действия согласия и порядок его отзыва. Согласие, полученное под принуждением или введением в заблуждение, считается недействительным. Субъект вправе отозвать согласие в любой момент — оператор обязан прекратить обработку и уничтожить данные, если иное не предусмотрено законом.
6. Какие данные относятся к специальным категориям персональных данных?
Казахстанское законодательство выделяет особые категории персональных данных, требующие повышенного уровня защиты. К ним относятся: данные о расовой и национальной принадлежности, политических взглядах, религиозных убеждениях, состоянии здоровья и интимной жизни, судимостях, а также биометрические данные. Обработка таких данных допускается только при наличии явного согласия субъекта, либо в случаях, прямо предусмотренных законом — например, для медицинских организаций или правоохранительных органов. Организации, обрабатывающие специальные категории данных, обязаны применять усиленные меры технической и организационной защиты и вести отдельный учёт таких операций.
7. Обязан ли работодатель получать согласие сотрудников на обработку их персональных данных?
Работодатель в Казахстане обязан соблюдать требования Закона о персональных данных и их защите при обработке данных сотрудников. Часть данных обрабатывается на основании трудового договора и требований Трудового кодекса РК — без отдельного согласия. Однако для обработки данных, выходящей за рамки трудовых отношений (например, публикация фото на сайте компании, передача данных третьим лицам), требуется отдельное согласие работника. Работодатель обязан ознакомить сотрудника с политикой обработки персональных данных при приёме на работу. Передача данных сотрудников за рубеж — в том числе в иностранную головную компанию — требует соблюдения требований о трансграничной передаче.
8. Что должна содержать политика обработки персональных данных?
Политика обработки персональных данных — обязательный документ для любой организации, собирающей данные в Казахстане. Она должна содержать: наименование и контакты оператора, цели и правовые основания обработки, перечень обрабатываемых категорий данных и субъектов, порядок сбора, хранения, использования и уничтожения данных, сведения о передаче данных третьим лицам и за рубеж, описание мер защиты, права субъектов и порядок их реализации, сроки хранения данных. Политика должна быть размещена в открытом доступе — на сайте организации или в месте, доступном для субъектов данных. Документ обновляется при изменении целей или способов обработки.
Выводы
Комплаенс по персональным данным в Казахстане — это не разовая задача, а системная работа: правовые основания, согласия, политики, реестры, уведомления, договоры с подрядчиками и технические меры защиты должны поддерживаться в актуальном состоянии. Этот чек-лист охватывает девять ключевых блоков, каждый из которых может стать предметом проверки уполномоченного органа или основанием для претензии субъекта данных. Если по итогам самопроверки вы обнаружили незакрытые пункты — рекомендуем провести полноценный аудит и устранить нарушения до того, как это сделает регулятор. Также рекомендуем ознакомиться с материалом о кадровых вопросах в Казахстане — трудовые данные сотрудников входят в периметр комплаенса по персональным данным. Актуальные требования и аналитику по смежным темам — в разделе Аналитика.
Актуально на: 3 января 2026 года.
Если ситуация требует внимания — мы поможем разобраться.
Смежные направления
Направление практики
Персональные данные и IT-право — соответствие Закону о персональных данных, трансграничная передача, аудит обработки и IT-договоры.