Чек-лист комплаенса по персональным данным в Казахстане

Как пользоваться чек-листом

Чек-лист охватывает восемь блоков требований — от базовых организационных мер до договорной работы с подрядчиками. Каждый пункт сопровождён кратким пояснением: что именно требуется и почему это важно.

Пройдитесь по каждому блоку и отметьте статус: выполнено, в процессе, не выполнено. Пункты, отмеченные как «не выполнено», — это приоритеты для немедленной работы. Пункты «в процессе» требуют фиксации сроков.

Чек-лист актуален для компаний любого размера: ТОО, АО, индивидуальных предпринимателей, работающих с данными физических лиц на территории Казахстана. Он не заменяет полноценный правовой аудит, но позволяет быстро оценить уровень готовности.

Блок 1. Определите статус оператора и состав обрабатываемых данных

Первый шаг — зафиксировать, какие именно персональные данные обрабатывает компания и на каком основании. Без этой инвентаризации невозможно выстроить корректный комплаенс.

• Составьте реестр категорий данных. Перечислите все типы персональных данных, которые компания собирает: ФИО, контакты, финансовые данные, биометрия, данные о здоровье. Для каждой категории укажите цель обработки и правовое основание.
• Определите источники данных. Откуда поступают данные: от самих субъектов (формы, договоры), от третьих лиц (партнёры, государственные базы), из открытых источников. Каждый источник требует отдельного правового основания.
• Зафиксируйте сроки хранения. Для каждой категории данных установите срок хранения, обоснованный целью обработки или требованиями законодательства. Данные, срок хранения которых истёк, подлежат уничтожению.
• Проверьте наличие специальных категорий. Данные о здоровье, биометрия, судимости, политические и религиозные взгляды — специальные категории, требующие усиленной защиты и, как правило, явного согласия субъекта.

Блок 2. Правовые основания обработки: согласия и договоры

Обработка персональных данных в Казахстане допустима только при наличии правового основания. Наиболее распространённые — согласие субъекта и исполнение договора с ним.

• Проверьте форму согласий. Согласие на обработку персональных данных должно быть добровольным, конкретным, информированным и однозначным. Предварительно проставленные галочки, согласие «по умолчанию» и согласие, встроенное в общие условия без выделения, — не соответствуют требованиям закона.
• Разграничьте основания по целям. Если компания обрабатывает данные для нескольких целей (исполнение договора + маркетинг + аналитика), для каждой цели должно быть самостоятельное основание. Нельзя прикрывать маркетинговую рассылку ссылкой на исполнение договора.
• Обеспечьте возможность отзыва согласия. Субъект данных вправе в любой момент отозвать согласие. Процедура отзыва должна быть простой — не сложнее, чем процедура дачи согласия. Факт отзыва необходимо фиксировать.
• Проверьте согласия для несовершеннолетних. Если компания обрабатывает данные лиц до 18 лет, требуется согласие законного представителя. Это актуально для образовательных платформ, детских сервисов, игровых приложений.

Блок 3. Внутренние документы: политика и регламенты

Документальная база — обязательный элемент комплаенса. Уполномоченный орган при проверке запрашивает внутренние документы в первую очередь.

• Политика конфиденциальности (Privacy Policy). Документ для внешней аудитории — клиентов, пользователей сайта, контрагентов. Должен быть размещён на сайте в доступном месте и содержать: цели обработки, состав данных, сроки хранения, права субъектов, контакты оператора.
• Положение об обработке персональных данных. Внутренний документ, регулирующий порядок работы с данными внутри компании. Охватывает процедуры сбора, хранения, передачи, уничтожения данных, а также ответственность сотрудников.
• Инструкция для сотрудников. Практический документ: что можно и что нельзя делать с персональными данными. Сотрудники должны быть ознакомлены с инструкцией под подпись. Факт ознакомления фиксируется в журнале.
• Реестр обработки персональных данных. Внутренний реестр, в котором зафиксированы все процессы обработки: категории данных, цели, основания, сроки хранения, получатели. Ведение реестра — лучшая практика и доказательство системного подхода при проверке.

Блок 4. Уведомление уполномоченного органа

Операторы, обрабатывающие персональные данные в информационных системах, обязаны уведомить уполномоченный орган до начала обработки — это требование Закона о персональных данных и их защите.

• Проверьте, подпадает ли ваша деятельность под обязательное уведомление. Уведомление требуется при обработке данных в автоматизированных информационных системах. Если компания ведёт базы данных клиентов, сотрудников или пользователей в CRM, ERP или иных системах — обязанность, как правило, возникает.
• Подайте уведомление через портал электронного правительства. Уведомление направляется в электронной форме. Для подачи потребуется ЭЦП уполномоченного представителя компании.
• Актуализируйте уведомление при изменениях. Если состав обрабатываемых данных, цели или информационные системы изменились — уведомление необходимо обновить. Устаревшее уведомление не защищает от ответственности.

Блок 5. Договоры с подрядчиками и третьими лицами

Передача данных подрядчикам — одна из наиболее распространённых точек риска. Ответственность перед субъектом данных при этом сохраняется за оператором.

• Заключите соглашения об обработке данных (DPA). С каждым подрядчиком, получающим доступ к персональным данным, необходимо заключить договор или дополнительное соглашение. В нём фиксируются: цели и объём обработки, обязательства по конфиденциальности, меры защиты, порядок уничтожения данных по окончании договора.
• Проверьте действующие договоры с IT-подрядчиками. Облачные провайдеры, разработчики ПО, колл-центры, маркетинговые агентства — все они, как правило, обрабатывают персональные данные. Проверьте, содержат ли действующие договоры необходимые положения о защите данных.
• Контролируйте субподрядчиков. Если подрядчик привлекает субподрядчиков для обработки данных, это должно быть согласовано с оператором. Цепочка ответственности должна быть прослежена до конечного обработчика.

Блок 6. Трансграничная передача данных

Если компания использует иностранные облачные сервисы, CRM-системы или передаёт данные зарубежным партнёрам, возникает вопрос о трансграничной передаче персональных данных.

• Определите, передаёте ли вы данные за рубеж. Использование Google Workspace, Salesforce, зарубежных платёжных систем, иностранных серверов — всё это может квалифицироваться как трансграничная передача данных казахстанских субъектов.
• Проверьте, включена ли страна-получатель в перечень надлежащей защиты. Уполномоченный орган ведёт перечень государств, обеспечивающих надлежащий уровень защиты. Если страна в перечень не включена, передача требует дополнительных оснований — согласия субъекта или договорных гарантий.
• Зафиксируйте основания для каждой трансграничной передачи. Для каждого направления передачи данных за рубеж должно быть документально подтверждённое правовое основание. Это особенно важно при работе с данными сотрудников и клиентов.

Подробнее о требованиях к трансграничной передаче — в материале «Трансграничная передача персональных данных из Казахстана».

Блок 7. Технические и организационные меры защиты

Закон о персональных данных и их защите обязывает оператора принимать технические и организационные меры для защиты данных от несанкционированного доступа, утраты и уничтожения.

• Разграничьте права доступа. Сотрудники должны иметь доступ только к тем данным, которые необходимы для выполнения их должностных обязанностей. Принцип минимальной необходимости — базовое требование информационной безопасности.
• Обеспечьте защиту при хранении и передаче. Персональные данные, хранящиеся в электронном виде, должны быть защищены от несанкционированного доступа: пароли, шифрование, антивирусная защита. При передаче по сети — использование защищённых каналов.
• Установите процедуру реагирования на инциденты. Утечка данных — не только репутационный, но и правовой риск. Компания должна иметь план действий при инциденте: кто уведомляет уполномоченный орган, в какие сроки, как информируются субъекты данных.
• Проводите регулярное обучение сотрудников. Большинство инцидентов с персональными данными происходит по вине сотрудников — фишинг, неправильная пересылка данных, использование личных устройств. Регулярный инструктаж снижает этот риск.

Блок 8. Права субъектов данных: процедуры реализации

Субъект персональных данных вправе в любой момент обратиться к оператору с запросом — и компания обязана ответить в установленные законом сроки. Отсутствие процедуры обработки таких запросов — нарушение.

• Назначьте ответственного за обработку обращений субъектов. В компании должен быть определён сотрудник или подразделение, которое принимает и рассматривает запросы субъектов данных. Контактные данные ответственного лица публикуются в политике конфиденциальности.
• Установите внутренний регламент рассмотрения запросов. Регламент должен охватывать: порядок идентификации субъекта, сроки рассмотрения, форму ответа, порядок исправления или уничтожения данных по требованию субъекта.
• Фиксируйте все обращения субъектов. Каждый запрос субъекта данных и ответ на него должны быть задокументированы. Это доказательство добросовестного исполнения обязанностей оператора при возможном споре или проверке.

Смежные вопросы трудовых отношений и обработки данных сотрудников рассмотрены в материале «Договор ГПХ в Казахстане в 2026 году».