Что делать при запросе субъекта персональных данных в Казахстане: что важно знать
При получении запроса субъекта персональных данных оператор обязан ответить в установленный срок — как правило, не более 15 рабочих дней. Казахстанское законодательство закрепляет за каждым человеком право знать, какие данные о нём хранятся, кем и с какой целью обрабатываются. Собственник бизнеса, который не выстроил процедуру обработки таких запросов, рискует административной ответственностью и репутационными потерями.
Получили запрос от клиента или сотрудника на предоставление его персональных данных? Проверить обработку персональных данных · info@vetrovkz.com
Что делать при запросе субъекта персональных данных?
При получении запроса субъекта персональных данных оператор обязан зафиксировать обращение, верифицировать личность заявителя и подготовить ответ в установленный срок. Это не рекомендация — это требование Закона о персональных данных и их защите, действующего в Казахстане.
Алгоритм действий выглядит следующим образом:
- Зафиксировать дату получения запроса — с этого момента начинается отсчёт срока ответа.
- Проверить личность заявителя: запрос должен исходить от самого субъекта или его законного представителя.
- Определить объём данных, которые хранятся в базах компании и относятся к заявителю.
- Подготовить ответ в письменной форме — предоставить данные либо мотивированно отказать.
- Направить ответ в срок, не превышающий 15 рабочих дней с момента получения обращения.
Если запрос поступил в электронной форме — ответ допустимо направить тем же каналом. Важно сохранить подтверждение отправки: в случае спора оно станет доказательством соблюдения срока.
Если в вашей компании нет утверждённого регламента ответа на запросы субъектов — это пробел, который проверяющий орган выявит в первую очередь.
Проверить обработку персональных данныхКто считается оператором персональных данных в Казахстане?
Оператором персональных данных в Казахстане признаётся любое лицо — физическое, юридическое или государственный орган — которое самостоятельно или совместно с другими определяет цели и способы обработки персональных данных.
Для собственника бизнеса это означает следующее: если компания собирает данные клиентов при регистрации на сайте, ведёт базу сотрудников, хранит историю покупок или использует CRM-систему — она является оператором. Статус оператора возникает автоматически, без регистрации или специального разрешения.
Вместе с тем закон разграничивает оператора и третье лицо, которому оператор передаёт данные для обработки по поручению. Такое лицо именуется «обработчиком» и действует строго в рамках договора с оператором. Ответственность перед субъектом данных при этом сохраняется за оператором.
Подробнее о том, как выстроить договорную базу при передаче данных третьим лицам, читайте в материале «Можно ли хранить персональные данные казахстанцев за границей».
Какой объём данных обязан предоставить оператор по запросу?
По запросу субъекта оператор обязан предоставить исчерпывающую информацию об обработке его персональных данных — в том объёме, который установлен Законом о персональных данных и их защите.
В стандартный объём ответа входят:
- Подтверждение факта обработки данных субъекта.
- Перечень категорий обрабатываемых данных.
- Цели обработки и правовое основание (согласие, договор, закон).
- Сведения о третьих лицах, которым данные были переданы.
- Информация о сроках хранения данных.
Оператор не обязан раскрывать коммерческую тайну, сведения о других субъектах данных или информацию, предоставление которой прямо ограничено законодательством. Отказ в предоставлении части сведений должен быть мотивирован письменно.
В каких случаях оператор вправе отказать в запросе?
Оператор вправе отказать субъекту в предоставлении данных или их удалении в строго ограниченных случаях, предусмотренных казахстанским законодательством. Произвольный отказ недопустим и влечёт административную ответственность.
Законные основания для отказа:
- Запрос подан лицом, которое не является субъектом данных и не имеет надлежащей доверенности.
- Предоставление данных нарушает права и законные интересы третьих лиц.
- Обработка данных осуществляется на основании прямого требования закона, а не согласия субъекта.
- Данные необходимы для исполнения договора, стороной которого является субъект.
Отказ оформляется в письменной форме с указанием конкретного основания. Субъект вправе обжаловать отказ в уполномоченный орган или в суд. Практика показывает: немотивированный отказ — одна из наиболее частых причин жалоб и проверок.
Что происходит при запросе на удаление персональных данных?
Запрос на удаление персональных данных — одно из ключевых прав субъекта по казахстанскому законодательству. Оператор обязан рассмотреть его в тот же срок, что и запрос на предоставление сведений.
Удаление обязательно, если:
- Субъект отозвал согласие на обработку, и иного правового основания нет.
- Цель обработки достигнута, и дальнейшее хранение данных не обосновано.
- Данные обрабатывались незаконно.
Вместе с тем удаление не производится, если данные необходимы для исполнения договора, выполнения требований законодательства или защиты законных интересов оператора в суде. В таких случаях оператор вправе ограничить обработку вместо полного удаления — и обязан уведомить об этом субъекта.
Смежные вопросы хранения и локализации данных рассмотрены в материале «Что делать при запросе субъекта персональных данных» на нашем сайте.
Нужно ли уведомлять уполномоченный орган об обработке данных?
По действующему казахстанскому законодательству операторы обязаны уведомлять уполномоченный орган о начале обработки персональных данных до фактического начала такой обработки. Уведомление подаётся в Министерство цифрового развития, инноваций и аэрокосмической промышленности РК.
Отдельные категории операторов освобождены от обязанности уведомления — перечень исключений закреплён в Законе о персональных данных и их защите. Однако большинство коммерческих компаний, работающих с данными клиентов и сотрудников, под исключения не подпадают.
Помимо первичного уведомления, оператор обязан информировать уполномоченный орган об изменениях в целях или способах обработки, а также о прекращении деятельности по обработке данных. Несоблюдение этого требования — самостоятельное основание для административной ответственности, не зависящее от иных нарушений.
Частые вопросы
1. Что делать при запросе субъекта персональных данных?
При получении запроса субъекта персональных данных оператор обязан в установленный законодательством Казахстана срок предоставить запрошенные сведения либо мотивированно отказать. Стандартный срок ответа — не более 15 рабочих дней с момента получения обращения. Запрос нужно зафиксировать, проверить личность заявителя, определить объём данных и подготовить ответ в письменной форме. Если компания не выстроила внутреннюю процедуру обработки таких запросов, риск нарушения срока и, как следствие, административной ответственности существенно возрастает.
2. Кто считается оператором персональных данных в Казахстане?
Оператором персональных данных в Казахстане признаётся любое лицо — физическое или юридическое, государственный орган — которое самостоятельно или совместно с другими определяет цели и способы обработки персональных данных. Если ваша компания собирает данные клиентов, сотрудников или партнёров — вы оператор и несёте полную ответственность за соблюдение требований Закона о персональных данных и их защите. Статус оператора возникает автоматически: специальной регистрации или разрешения для этого не требуется.
3. Нужно ли уведомлять уполномоченный орган об обработке данных?
По действующему казахстанскому законодательству операторы обязаны уведомлять уполномоченный орган — Министерство цифрового развития, инноваций и аэрокосмической промышленности РК — о начале обработки персональных данных в случаях, предусмотренных Законом о персональных данных и их защите. Уведомление подаётся до начала обработки. Отдельные категории операторов освобождены от этой обязанности, однако перечень исключений ограничен. Большинство коммерческих компаний, работающих с данными клиентов и сотрудников, обязаны уведомить орган до начала обработки.
4. Какой штраф за нарушение закона о персональных данных?
Административная ответственность за нарушение законодательства о персональных данных в Казахстане предусмотрена Кодексом об административных правонарушениях. Размер штрафа зависит от характера нарушения и категории нарушителя — физическое лицо, должностное лицо или юридическое лицо. Повторные нарушения влекут более высокие санкции. Помимо штрафа, возможна приостановка деятельности по обработке данных. Наиболее распространённые основания для привлечения к ответственности — нарушение срока ответа на запрос субъекта, отсутствие политики обработки данных и несоблюдение требований локализации.
5. Можно ли хранить персональные данные казахстанцев за границей?
Закон о персональных данных и их защите устанавливает требование локализации: персональные данные граждан Казахстана должны храниться и обрабатываться на серверах, физически расположенных на территории Республики Казахстан. Трансграничная передача данных допускается при соблюдении ряда условий — в частности, при наличии согласия субъекта или если страна-получатель обеспечивает надлежащий уровень защиты данных. Использование зарубежных облачных сервисов без соблюдения требований локализации — одно из наиболее распространённых нарушений среди казахстанских компаний.
6. Каков срок хранения персональных данных в Казахстане?
Казахстанское законодательство не устанавливает единого универсального срока хранения персональных данных. Оператор обязан хранить данные не дольше, чем это необходимо для достижения цели обработки. По достижении цели данные подлежат уничтожению или обезличиванию. Для отдельных категорий данных — например, кадровых документов или бухгалтерских записей — специальные законы устанавливают минимальные сроки хранения. Оператор обязан закрепить сроки хранения в своей политике обработки персональных данных.
7. Что такое согласие на обработку персональных данных и когда оно нужно?
Согласие субъекта — одно из правовых оснований обработки персональных данных по казахстанскому законодательству. Оно должно быть добровольным, конкретным, информированным и однозначным. Согласие оформляется в письменной или электронной форме, позволяющей подтвердить факт его получения. Обработка без согласия допустима только в случаях, прямо предусмотренных законом: исполнение договора, выполнение требований законодательства, защита жизненно важных интересов субъекта. Галочка «по умолчанию» или продолжение использования сайта не считаются надлежащим согласием.
8. Обязана ли компания назначить ответственного за персональные данные?
Казахстанское законодательство обязывает операторов назначить лицо, ответственное за организацию обработки персональных данных. Это может быть штатный сотрудник или внешний специалист. Ответственное лицо обеспечивает соблюдение требований закона, взаимодействует с уполномоченным органом и субъектами данных, а также организует внутренний контроль. Отсутствие назначенного ответственного — самостоятельное нарушение, которое фиксируется при проверках. Для небольших компаний функции ответственного нередко совмещает руководитель или юрист.
9. Что такое политика обработки персональных данных и обязательна ли она?
Политика обработки персональных данных — обязательный документ для любого оператора в Казахстане. Она должна быть размещена в открытом доступе — как правило, на сайте компании — и содержать сведения о целях, способах, сроках обработки данных, правах субъектов и порядке их реализации. Отсутствие политики или её несоответствие требованиям закона фиксируется при проверках уполномоченного органа и является основанием для привлечения к административной ответственности. Шаблонные политики, скопированные без адаптации, также могут быть признаны ненадлежащими.
10. Как проводится проверка оператора персональных данных в Казахстане?
Проверки операторов персональных данных в Казахстане проводит уполномоченный орган — Министерство цифрового развития, инноваций и аэрокосмической промышленности РК. Проверки бывают плановыми и внеплановыми. Внеплановая проверка, как правило, инициируется по жалобе субъекта данных. В ходе проверки орган запрашивает политику обработки данных, договоры с обработчиками, документы о назначении ответственного лица, а также доказательства соблюдения требований локализации. По результатам проверки выносится предписание об устранении нарушений или составляется протокол об административном правонарушении.
Выводы
Запрос субъекта персональных данных — не формальность, а юридически значимое обращение, на которое оператор обязан ответить в срок и по существу. Собственник бизнеса, не выстроивший внутреннюю процедуру обработки таких запросов, рискует административной ответственностью и жалобами в уполномоченный орган. Ключевые точки контроля: срок ответа, объём предоставляемых сведений, основания для отказа и порядок удаления данных. Все они должны быть закреплены во внутренних документах компании — политике обработки данных и регламенте работы с обращениями субъектов.
Актуально на: 8 сентября 2026 года.
Если ситуация требует внимания — мы поможем разобраться.
Смежные направления
Направление практики
Персональные данные и IT-право — соответствие Закону о персональных данных, трансграничная передача, аудит обработки и IT-договоры.