Что делать при запросе субъекта персональных данных в Казахстане: разъяснение
При получении запроса от субъекта персональных данных оператор обязан идентифицировать заявителя, проверить основания и предоставить ответ в установленный казахстанским законодательством срок. Закон о персональных данных и их защите закрепляет конкретные права субъектов и корреспондирующие обязанности операторов — их нарушение влечёт административную ответственность.
Получили запрос от субъекта данных и не знаете, как ответить правильно? Проверить обработку персональных данных · info@vetrovkz.com
Что делать при запросе субъекта персональных данных?
При получении запроса оператор обязан выполнить четыре последовательных действия: идентифицировать заявителя, проверить полноту запроса, установить наличие или отсутствие оснований для отказа и предоставить ответ в установленный срок. Это базовый алгоритм, закреплённый в Законе о персональных данных и их защите.
Идентификация — первый и обязательный шаг. Оператор должен убедиться, что запрос исходит именно от субъекта данных или его законного представителя. Для этого допустимо запросить копию документа, удостоверяющего личность, либо использовать верификацию через личный кабинет или ЭЦП. Чрезмерные требования, которые фактически блокируют реализацию права, неправомерны.
Ответ предоставляется в письменной форме — на бумаге или в электронном виде. Если запрос неполный или неясный, оператор вправе запросить уточнение, однако это не освобождает от обязанности ответить в разумный срок. Отказ допустим только в случаях, прямо предусмотренных законом, и должен быть мотивированным.
Если ваша компания регулярно получает запросы субъектов — имеет смысл выстроить системную процедуру обработки обращений.
Проверить обработку персональных данныхКакой срок установлен для ответа на запрос субъекта?
По казахстанскому законодательству оператор обязан ответить на запрос субъекта персональных данных в течение 15 рабочих дней с момента его получения. Этот срок является общим правилом — его нарушение само по себе образует состав административного правонарушения.
Если запрос требует дополнительной проверки или уточнения сведений, срок может быть продлён. Однако о продлении необходимо уведомить заявителя до истечения первоначального срока с указанием причин и новой даты ответа. Молчание оператора расценивается как нарушение.
На практике рекомендуется фиксировать дату получения каждого запроса и вести журнал обращений субъектов. Это позволяет контролировать сроки и при необходимости подтвердить своевременность ответа перед уполномоченным органом.
Какой объём информации обязан предоставить оператор?
Субъект персональных данных вправе получить исчерпывающий перечень сведений об обработке своих данных: подтверждение факта обработки, состав и перечень данных, цели и правовые основания обработки, сведения о третьих лицах, которым данные были переданы, и источники их получения.
Оператор не вправе произвольно ограничивать объём предоставляемых сведений. Исключение — случаи, когда раскрытие части информации нарушает права третьих лиц или противоречит требованиям закона. В таком случае оператор предоставляет доступную часть данных и письменно обосновывает ограничение.
Помимо информации, субъект вправе потребовать исправления неточных данных, их блокирования на период проверки или уничтожения — если основания для обработки отпали. Каждое из этих требований рассматривается отдельно и также подлежит ответу в установленный срок.
В каких случаях оператор вправе отказать в предоставлении данных?
Отказ в ответе на запрос субъекта допустим только в случаях, прямо предусмотренных Законом о персональных данных и их защите — перечень оснований является закрытым. Произвольный или немотивированный отказ неправомерен.
Законные основания для отказа включают: угрозу правам и законным интересам третьих лиц, обработку данных в целях обеспечения национальной безопасности или оперативно-розыскной деятельности, а также ситуации, когда предоставление сведений прямо запрещено иными нормами законодательства Казахстана.
- Отказ оформляется письменно с указанием конкретного правового основания
- Частичный отказ допустим — оператор предоставляет доступную часть данных
- Субъект вправе обжаловать отказ в уполномоченный орган или суд
Как организовать внутренние процедуры для работы с запросами субъектов?
Системная работа с запросами субъектов требует нескольких организационных мер: назначения ответственного лица, разработки регламента приёма и рассмотрения обращений, а также ведения журнала запросов с фиксацией дат и результатов.
Ответственное лицо за обработку персональных данных — обязательный элемент комплаенс-системы. Оно принимает запросы, координирует внутреннюю проверку, готовит ответы и взаимодействует с уполномоченным органом при проверках. Отсутствие назначенного лица повышает регуляторный риск.
Внутренняя политика обработки персональных данных должна содержать раздел о правах субъектов и порядке их реализации. Документ размещается в открытом доступе — как правило, на сайте оператора. Аудит соответствия внутренних процедур требованиям закона рекомендуется проводить не реже одного раза в год.
Частые вопросы
1. Что делать при запросе субъекта персональных данных?
При получении запроса от субъекта персональных данных оператор обязан идентифицировать заявителя, проверить наличие оснований для ответа и предоставить запрошенные сведения в установленный законодательством Казахстана срок. Отказ допустим только в строго определённых случаях — например, если предоставление данных нарушает права третьих лиц или противоречит требованиям закона. Любой отказ должен быть мотивированным и оформленным письменно.
2. Кто считается оператором персональных данных в Казахстане?
Оператором персональных данных в Казахстане признаётся любое физическое или юридическое лицо, которое самостоятельно или совместно с другими лицами организует и осуществляет обработку персональных данных. Это широкое определение охватывает работодателей, интернет-магазины, медицинские учреждения, банки, государственные органы и практически любую организацию, которая собирает, хранит или использует сведения о людях. Статус оператора возникает автоматически — с момента начала обработки данных, независимо от регистрации.
3. Нужно ли уведомлять уполномоченный орган об обработке данных?
По действующему Закону о персональных данных и их защите операторы обязаны направить уведомление в уполномоченный орган — Министерство цифрового развития, инноваций и аэрокосмической промышленности РК — до начала обработки персональных данных. Уведомление подаётся в электронном виде через портал egov.kz. Исключения предусмотрены для ряда категорий обработки, прямо указанных в законе. Отсутствие уведомления при обязательной его подаче является административным правонарушением.
4. Какой штраф за нарушение закона о персональных данных?
Административная ответственность за нарушение законодательства о персональных данных в Казахстане предусмотрена Кодексом об административных правонарушениях. Размер санкций зависит от конкретного состава нарушения и субъекта ответственности — физическое лицо, должностное лицо или юридическое лицо. Суммы штрафов исчисляются в месячных расчётных показателях (МРП). Повторные нарушения, как правило, влекут более высокие санкции. Помимо штрафа, оператору может быть предписано устранить нарушение в установленный срок.
5. Можно ли хранить персональные данные казахстанцев за границей?
Закон о персональных данных и их защите устанавливает требование локализации: персональные данные граждан Казахстана должны собираться, обрабатываться и храниться на серверах, расположенных на территории Республики Казахстан. Трансграничная передача данных допустима при соблюдении ряда условий — в частности, если государство-получатель обеспечивает надлежащий уровень защиты данных или субъект дал явное согласие на такую передачу. Нарушение требования локализации является самостоятельным составом правонарушения.
6. В какой срок оператор обязан ответить на запрос субъекта?
Казахстанское законодательство о персональных данных устанавливает конкретный срок для ответа на запрос субъекта. По общему правилу оператор обязан предоставить ответ в течение 15 рабочих дней с момента получения обращения. Если запрос требует дополнительной проверки или уточнения, срок может быть продлён, однако об этом необходимо уведомить заявителя. Нарушение установленного срока само по себе является основанием для жалобы в уполномоченный орган.
7. Какую информацию вправе запросить субъект персональных данных?
Субъект персональных данных вправе запросить у оператора подтверждение факта обработки своих данных, их перечень и состав, цели и правовые основания обработки, сведения о третьих лицах, которым данные были переданы, а также информацию об источниках получения данных. Кроме того, субъект вправе потребовать исправления неточных данных, их блокирования или уничтожения — если основания для обработки отпали. Оператор не вправе ограничивать объём предоставляемых сведений произвольно.
8. Как правильно идентифицировать заявителя при получении запроса?
Перед ответом на запрос оператор обязан убедиться, что обращение исходит именно от субъекта данных или его уполномоченного представителя. Для идентификации допустимо запросить копию документа, удостоверяющего личность, либо использовать иные методы верификации — например, подтверждение через личный кабинет или ЭЦП. Чрезмерные требования к идентификации, которые фактически блокируют реализацию права, могут быть расценены как нарушение. Баланс между безопасностью и доступностью процедуры — ключевой критерий.
9. В каких случаях оператор вправе отказать в предоставлении данных?
Отказ в предоставлении персональных данных по запросу субъекта допустим только в случаях, прямо предусмотренных Законом о персональных данных и их защите. К ним относятся: угроза правам и законным интересам третьих лиц, обработка данных в целях национальной безопасности или оперативно-розыскной деятельности, а также ситуации, когда предоставление сведений противоречит иным требованиям законодательства. Отказ оформляется письменно с указанием конкретного основания. Немотивированный отказ неправомерен.
10. Что такое согласие на обработку персональных данных и когда оно требуется?
Согласие субъекта персональных данных — это добровольное, конкретное, информированное и однозначное волеизъявление, которым лицо разрешает обработку своих данных. По казахстанскому законодательству согласие является основным правовым основанием для обработки данных, если иное основание прямо не предусмотрено законом. Согласие должно быть получено до начала обработки, может быть отозвано в любой момент, а его отзыв не влечёт ответственности субъекта. Форма согласия — письменная или электронная с ЭЦП.
11. Как субъект может потребовать удаления своих данных?
Субъект персональных данных вправе потребовать уничтожения своих данных, если основания для их обработки отпали: истёк срок хранения, отозвано согласие, достигнута цель обработки или данные обрабатываются незаконно. Требование направляется оператору в письменной форме. Оператор обязан уничтожить данные в установленный законом срок и уведомить субъекта об исполнении. Если данные были переданы третьим лицам — оператор обязан уведомить их о необходимости уничтожения.
12. Распространяется ли закон о персональных данных на иностранные компании, работающие в Казахстане?
Закон о персональных данных и их защите распространяется на иностранные юридические лица, если они обрабатывают персональные данные граждан Казахстана или осуществляют деятельность на территории республики. Регистрация в Казахстане для возникновения обязанностей оператора не обязательна — достаточно факта обработки данных казахстанских субъектов. Это означает, что зарубежные платформы, интернет-сервисы и работодатели, нанимающие сотрудников в Казахстане, также подпадают под действие закона.
13. Что такое база данных персональных данных и нужно ли её регистрировать?
База персональных данных — это совокупность данных, организованная таким образом, чтобы обеспечить поиск и обработку по конкретным субъектам. По казахстанскому законодательству операторы обязаны уведомить уполномоченный орган о создании базы данных до начала её использования. Регистрация баз данных осуществляется через портал egov.kz. Ведение незарегистрированной базы при наличии обязанности регистрации является административным правонарушением. Перечень баз, не подлежащих регистрации, установлен законом.
14. Как организовать внутренние процедуры для соблюдения прав субъектов?
Для системного соблюдения прав субъектов персональных данных оператору рекомендуется разработать внутреннюю политику обработки данных, назначить ответственное лицо за обработку персональных данных, установить регламент приёма и рассмотрения запросов субъектов, а также определить сроки хранения и порядок уничтожения данных. Наличие задокументированных процедур существенно снижает регуляторные риски и упрощает взаимодействие с уполномоченным органом при проверках. Аудит соответствия рекомендуется проводить не реже одного раза в год.
15. Куда субъект может пожаловаться, если оператор нарушил его права?
Субъект персональных данных, права которого нарушены, вправе обратиться с жалобой в уполномоченный орган — Министерство цифрового развития, инноваций и аэрокосмической промышленности РК. Жалоба подаётся в письменной форме или через портал egov.kz. Помимо административного пути, субъект вправе обратиться в суд с требованием о защите нарушенных прав, возмещении убытков или компенсации морального вреда. Предварительное обращение к оператору с претензией не является обязательным условием для подачи жалобы.
Выводы
При получении запроса субъекта персональных данных оператор обязан действовать по чёткому алгоритму: идентифицировать заявителя, предоставить ответ в течение 15 рабочих дней, а при отказе — письменно обосновать его со ссылкой на конкретное законное основание. Системная работа с запросами требует назначения ответственного лица, внутреннего регламента и журнала обращений. Нарушение любого из этих требований влечёт административную ответственность по казахстанскому законодательству.
Актуально на: 29 сентября 2026 года.
Если ситуация требует внимания — мы поможем разобраться.
Смежные направления
Направление практики
Персональные данные и IT-право — соответствие Закону о персональных данных, трансграничная передача, аудит обработки и IT-договоры.