Что делать при запросе субъекта персональных данных в Казахстане: частые вопросы
При получении запроса субъекта персональных данных оператор обязан ответить в течение 15 рабочих дней: предоставить сведения о составе данных, целях обработки и третьих лицах, которым данные передавались. Игнорирование запроса или немотивированный отказ влечёт административную ответственность по казахстанскому законодательству. Ниже — ответы на наиболее частые вопросы, которые возникают у руководителей компаний при работе с обращениями субъектов персональных данных в Казахстане.
Получили запрос от сотрудника или клиента о его персональных данных? Проверить обработку персональных данных · info@vetrovkz.com
Что такое запрос субъекта персональных данных и кто вправе его подать?
Запрос субъекта персональных данных — это письменное или электронное обращение физического лица к оператору с требованием предоставить информацию об обрабатываемых данных, исправить их, ограничить обработку или удалить. Право на такое обращение закреплено в Законе о персональных данных и их защите и принадлежит любому физическому лицу, чьи данные обрабатывает оператор.
Субъектом может быть сотрудник компании, клиент, пользователь сайта или любое иное лицо, чьи персональные данные находятся в базах оператора. Запрос может касаться любых данных: ФИО, контактов, финансовой информации, биометрии, данных о здоровье. Форма запроса законом жёстко не регламентирована — он может поступить по электронной почте, через форму на сайте или в письменном виде.
Для топ-менеджера важно понимать: отсутствие формализованной процедуры приёма и обработки таких запросов — самостоятельный регуляторный риск. Уполномоченный орган при проверке запрашивает журнал обращений субъектов и документы, подтверждающие своевременность ответов.
Нет внутренней процедуры работы с запросами субъектов — значит, каждый такой запрос создаёт неконтролируемый риск для компании.
Проверить обработку персональных данныхКакой срок ответа на запрос субъекта персональных данных в Казахстане?
Срок ответа на запрос субъекта по казахстанскому законодательству составляет, как правило, 15 рабочих дней с момента получения обращения. Этот срок применяется к запросам о предоставлении информации о составе и целях обработки данных.
Для запросов об исправлении недостоверных данных или их удалении срок исполнения может отличаться в зависимости от характера требования и технических возможностей оператора. Важно фиксировать дату получения каждого запроса: именно с неё начинается отсчёт срока. Рекомендуется использовать систему регистрации входящих обращений — это защищает оператора при возможных спорах с субъектом или проверке уполномоченного органа.
Нарушение срока ответа является самостоятельным основанием для привлечения к административной ответственности. По нашему опыту, большинство претензий субъектов связаны именно с отсутствием ответа, а не с его содержанием.
Что должен содержать ответ оператора на запрос субъекта?
Ответ оператора на запрос субъекта должен содержать исчерпывающую информацию об обработке его данных: состав обрабатываемых данных, цели и правовые основания обработки, источники получения данных, перечень третьих лиц, которым данные передавались, и сроки хранения.
Если запрос касается исправления данных — оператор обязан либо внести исправления, либо письменно обосновать отказ со ссылкой на конкретное правовое основание. Если запрос касается удаления — оператор оценивает наличие оснований для сохранения данных и либо удаляет их, либо мотивированно отказывает.
Ответ рекомендуется направлять в той же форме, в которой поступил запрос: на электронный запрос — электронный ответ с сохранением переписки. Это упрощает доказывание факта и своевременности ответа при проверке.
Можно ли отказать субъекту в предоставлении его данных или их удалении?
Отказ допускается только в случаях, прямо предусмотренных Законом о персональных данных и их защите. Основания для отказа ограничены: предоставление информации нарушает права третьих лиц, противоречит требованиям законодательства о государственной тайне, либо обработка данных необходима для исполнения договора или выполнения требований закона.
Немотивированный отказ или молчание оператора не соответствуют требованиям закона. Отказ должен быть оформлен письменно с указанием конкретного правового основания — устная ссылка на «внутреннюю политику» не является надлежащим обоснованием.
Субъект, получивший немотивированный отказ, вправе обратиться с жалобой в уполномоченный орган или в суд. Жалоба субъекта — наиболее распространённый повод для внеплановой проверки оператора. Подробнее о санкциях — в материале о штрафах за нарушение закона о персональных данных в Казахстане.
Как организовать внутренний процесс работы с запросами субъектов?
Эффективная процедура работы с запросами субъектов включает несколько обязательных элементов: единую точку приёма обращений, журнал регистрации с фиксацией даты получения, назначенного ответственного и срока исполнения, а также шаблоны ответов для типовых запросов.
Ответственный за персональные данные — или иное уполномоченное лицо — должен иметь доступ к реестру обработки данных компании, чтобы оперативно подготовить ответ по существу. Без актуального реестра ответить на запрос субъекта в установленный срок практически невозможно.
Рекомендуется также закрепить процедуру во внутреннем регламенте или политике обработки персональных данных. Это не только снижает операционные риски, но и демонстрирует уполномоченному органу системный подход к соблюдению законодательства. Подробный алгоритм действий при инцидентах — в чек-листе действий при утечке данных в Казахстане.
Какие ещё обязанности оператора связаны с правами субъектов?
Помимо ответа на запросы, оператор обязан заблаговременно информировать субъектов об обработке их данных: при сборе данных субъект должен получить сведения о целях обработки, составе данных, сроках хранения и правах, которыми он располагает. Это требование реализуется через политику конфиденциальности, формы согласия и уведомления при сборе данных.
Оператор также обязан обеспечить субъекту возможность отозвать согласие на обработку данных в любой момент. Отзыв согласия не влечёт автоматического удаления данных — оператор оценивает наличие иных правовых оснований для продолжения обработки. Если таких оснований нет — данные подлежат уничтожению.
Направление уведомления в уполномоченный орган до начала обработки данных, ведение реестра обработки и регулярный аудит — базовые элементы комплаенса, которые снижают риски при проверке. Подробнее о правовой базе — на странице практики Персональные данные и IT-право.
Частые вопросы
1. Что делать при запросе субъекта персональных данных?
При получении запроса субъекта персональных данных оператор обязан ответить в установленный законом срок: как правило, в течение 15 рабочих дней с момента получения обращения. Ответ должен содержать сведения о составе обрабатываемых данных, целях обработки, источниках получения и третьих лицах, которым данные передавались. Если запрос касается исправления или удаления данных — оператор обязан либо выполнить требование, либо письменно обосновать отказ. Игнорирование запроса или немотивированный отказ влечёт административную ответственность по казахстанскому законодательству.
2. Кто считается оператором персональных данных в Казахстане?
Оператором персональных данных в Казахстане признаётся любое физическое или юридическое лицо, которое самостоятельно или совместно с другими лицами организует и осуществляет обработку персональных данных. Это понятие охватывает широкий круг субъектов: работодателей, банки, интернет-магазины, медицинские организации, государственные органы. Ключевой критерий — наличие цели обработки и фактическое осуществление хотя бы одного действия с данными: сбора, хранения, изменения, использования, распространения или уничтожения. Закон о персональных данных и их защите распространяется на всех операторов, работающих с данными граждан Казахстана, независимо от места нахождения самого оператора.
3. Нужно ли уведомлять уполномоченный орган об обработке данных?
По действующему казахстанскому законодательству операторы персональных данных обязаны направить уведомление в уполномоченный орган — Министерство цифрового развития, инноваций и аэрокосмической промышленности РК — до начала обработки персональных данных. Уведомление подаётся в электронной форме через портал egov.kz. Исключения предусмотрены для ряда случаев, прямо указанных в Законе о персональных данных и их защите: в частности, для обработки данных исключительно в личных и семейных целях. Нарушение порядка уведомления является самостоятельным основанием для привлечения к административной ответственности.
4. Какой штраф за нарушение закона о персональных данных?
Административная ответственность за нарушение законодательства о персональных данных в Казахстане предусмотрена Кодексом об административных правонарушениях. Размер штрафа зависит от вида нарушения и субъекта: для должностных лиц и субъектов малого бизнеса — одни пороги, для крупных организаций — более высокие. Санкции исчисляются в МРП (по состоянию на 2026 год — 4 325 тенге за 1 МРП). Повторное нарушение, а также нарушения, повлёкшие распространение данных, влекут повышенную ответственность. Подробнее о конкретных размерах штрафов — в материале о санкциях за нарушение закона о персональных данных.
5. Можно ли хранить персональные данные казахстанцев за границей?
Закон о персональных данных и их защите устанавливает требование локализации: персональные данные граждан Казахстана должны собираться, обрабатываться и храниться на серверах, расположенных на территории Республики Казахстан. Трансграничная передача данных допускается при соблюдении ряда условий: наличие согласия субъекта, обеспечение уровня защиты не ниже казахстанского, а также в случаях, прямо предусмотренных законом. Нарушение требований локализации является одним из наиболее распространённых оснований для проверок со стороны уполномоченного органа и влечёт административную ответственность.
6. В какой срок нужно ответить на запрос субъекта?
Казахстанское законодательство о персональных данных устанавливает срок ответа на запрос субъекта — как правило, 15 рабочих дней с момента получения обращения. Этот срок применяется к запросам о предоставлении информации об обрабатываемых данных, их составе и целях. Для запросов об исправлении или удалении данных срок исполнения может отличаться в зависимости от характера требования. Рекомендуется фиксировать дату получения каждого запроса и вести журнал обращений субъектов — это снижает риски при проверке уполномоченным органом.
7. Можно ли отказать субъекту в предоставлении его данных?
Отказ в предоставлении субъекту информации о его персональных данных допускается только в случаях, прямо предусмотренных Законом о персональных данных и их защите. Основания для отказа ограничены: например, если предоставление информации может нарушить права третьих лиц или противоречит требованиям законодательства о государственной тайне. Немотивированный отказ или игнорирование запроса является нарушением закона. Отказ должен быть оформлен письменно с указанием конкретного правового основания — устный отказ или молчание оператора не соответствуют требованиям закона.
8. Обязан ли оператор удалить данные по требованию субъекта?
Оператор обязан удалить персональные данные по требованию субъекта, если основание для их обработки отпало: субъект отозвал согласие, цель обработки достигнута, либо данные обрабатывались незаконно. Вместе с тем закон предусматривает исключения: оператор вправе отказать в удалении, если обработка данных необходима для исполнения договора, выполнения требований законодательства или защиты законных интересов оператора. В таком случае отказ должен быть мотивированным и письменным. Рекомендуется закрепить процедуру рассмотрения запросов на удаление во внутренней политике обработки персональных данных.
9. Что такое согласие на обработку персональных данных и когда оно нужно?
Согласие субъекта персональных данных — это добровольное, конкретное и информированное волеизъявление, которым субъект разрешает обработку своих данных. По казахстанскому законодательству согласие требуется в большинстве случаев обработки данных, если иное прямо не предусмотрено законом. Согласие может быть получено в письменной или электронной форме; оно должно содержать указание на цели обработки, перечень данных и срок действия. Обработка данных без надлежащего согласия — одно из наиболее частых нарушений, выявляемых при проверках уполномоченного органа.
10. Нужна ли политика конфиденциальности на сайте казахстанской компании?
Да, наличие политики конфиденциальности на сайте является обязательным требованием для операторов, осуществляющих сбор персональных данных через интернет. Политика должна содержать сведения об операторе, целях и правовых основаниях обработки, составе собираемых данных, сроках хранения, порядке реализации прав субъектов и условиях трансграничной передачи. Отсутствие политики или её несоответствие требованиям закона является самостоятельным основанием для привлечения к административной ответственности. Политику рекомендуется актуализировать при каждом изменении процессов обработки данных.
11. Что делать при утечке персональных данных?
При выявлении утечки персональных данных оператор обязан принять незамедлительные меры по локализации инцидента и уведомить уполномоченный орган. Казахстанское законодательство устанавливает обязанность уведомления в установленные сроки; промедление усугубляет ответственность. Параллельно необходимо зафиксировать факт инцидента, установить его причины и объём затронутых данных. Подробный алгоритм действий при утечке — в чек-листе действий при утечке данных в Казахстане. Своевременное реагирование и документирование существенно снижают риски при последующей проверке.
12. Какой орган контролирует соблюдение законодательства о персональных данных в Казахстане?
Уполномоченным органом в сфере персональных данных в Казахстане является Министерство цифрового развития, инноваций и аэрокосмической промышленности РК. Оно осуществляет государственный контроль за соблюдением Закона о персональных данных и их защите, проводит проверки операторов, рассматривает жалобы субъектов и ведёт реестр операторов. Помимо этого, отдельные полномочия в части обработки данных в финансовой сфере и при расследовании правонарушений имеют АФМ, КНБ и прокуратура РК. Жалоба субъекта в уполномоченный орган является наиболее распространённым поводом для внеплановой проверки оператора.
13. Распространяется ли казахстанский закон о персональных данных на иностранные компании?
Закон о персональных данных и их защите распространяется на операторов, обрабатывающих данные граждан Казахстана, независимо от места нахождения самого оператора. Иностранная компания, которая собирает, хранит или иным образом обрабатывает данные казахстанских пользователей — например, через сайт или мобильное приложение, — обязана соблюдать требования казахстанского законодательства, включая требование локализации данных. Игнорирование этих требований создаёт риски при выходе на казахстанский рынок и при взаимодействии с местными партнёрами и регуляторами.
14. Как провести аудит обработки персональных данных в компании?
Аудит обработки персональных данных включает несколько этапов: инвентаризацию всех процессов, в которых задействованы персональные данные; проверку правовых оснований обработки по каждому процессу; оценку соответствия политики конфиденциальности и форм согласия требованиям закона; анализ договоров с третьими лицами, которым передаются данные; проверку технических и организационных мер защиты. По итогам аудита формируется реестр обработки и план устранения выявленных несоответствий. Регулярный аудит — не менее одного раза в год — является лучшей практикой для снижения регуляторных рисков.
15. Нужно ли назначать ответственного за персональные данные в компании?
Казахстанское законодательство о персональных данных предусматривает возможность назначения ответственного лица, которое координирует соблюдение требований закона внутри организации. Для ряда категорий операторов — в частности, обрабатывающих данные в значительных объёмах или особые категории данных — наличие такого лица является рекомендуемой практикой. Ответственный за персональные данные взаимодействует с уполномоченным органом, рассматривает запросы субъектов и контролирует исполнение внутренних политик. Назначение ответственного лица фиксируется приказом и отражается в уведомлении уполномоченного органа.
Выводы
Запрос субъекта персональных данных — это не формальность, а юридически значимое обращение, требующее ответа в установленный срок. Отсутствие внутренней процедуры работы с такими запросами, немотивированный отказ или игнорирование обращения создают прямые регуляторные риски: административную ответственность и основание для внеплановой проверки. Для топ-менеджера ключевая задача — обеспечить, чтобы в компании был назначен ответственный, велись журнал обращений и реестр обработки данных, а политика конфиденциальности соответствовала требованиям Закона о персональных данных и их защите.
Актуально на: 20 октября 2026 года.
Если ситуация требует внимания — мы поможем разобраться.
Смежные направления
Направление практики
Персональные данные и IT-право — соответствие Закону о персональных данных, трансграничная передача, аудит обработки и IT-договоры.