Что делать при запросе субъекта персональных данных в Казахстане
При получении запроса субъекта персональных данных оператор обязан ответить в установленный срок — иначе возникает административная ответственность. Закон о персональных данных и их защите устанавливает чёткий порядок: идентификация заявителя, проверка оснований, предоставление сведений или мотивированный отказ. Собственник бизнеса в Казахстане несёт ответственность за соблюдение этого порядка независимо от размера компании.
Получили запрос от сотрудника или клиента о его персональных данных? Проверить обработку персональных данных · info@vetrovkz.com
Что такое запрос субъекта персональных данных и когда он возникает?
Запрос субъекта персональных данных — это обращение физического лица к оператору с требованием предоставить сведения об обработке его данных, исправить неточности, ограничить обработку или удалить данные. Такое право закреплено в казахстанском законодательстве о персональных данных и их защите.
На практике запросы поступают от сотрудников, клиентов, контрагентов — любого физического лица, чьи данные компания обрабатывает. Сотрудник может потребовать показать, какие сведения о нём хранятся в кадровой системе. Клиент интернет-магазина — узнать, кому переданы его контактные данные. Бывший работник — потребовать удалить его данные после увольнения.
Для собственника бизнеса важно понимать: запрос субъекта — не просьба, а юридически значимое обращение. Игнорирование или ненадлежащий ответ влечёт административную ответственность. Казахстанское законодательство не делает исключений для малого бизнеса.
Если в вашей компании нет регламента обработки запросов субъектов — это пробел в системе защиты персональных данных, который проверяющие обнаруживают в первую очередь.
Проверить обработку персональных данныхКаков порядок действий при получении запроса?
Получив запрос субъекта персональных данных, оператор должен действовать по чёткому алгоритму: идентифицировать заявителя, проверить полноту запроса, определить объём предоставляемых сведений и ответить в срок.
Первый шаг — идентификация. Оператор вправе запросить документ, подтверждающий личность заявителя, если запрос поступил дистанционно и личность не очевидна. Это не повод затягивать ответ: запрос уточнения не приостанавливает течение срока ответа автоматически.
Второй шаг — проверка содержания запроса. Субъект вправе запросить: перечень обрабатываемых данных, цели и сроки обработки, сведения о третьих лицах, которым данные переданы, а также потребовать исправления, блокирования или удаления данных. Каждое из этих требований влечёт разный объём действий оператора.
Третий шаг — ответ. Срок — 15 рабочих дней с момента получения запроса. Ответ предоставляется в той же форме, в которой поступил запрос, если иное не согласовано с субъектом.
В каких случаях оператор вправе отказать в предоставлении сведений?
Отказ в ответе на запрос субъекта персональных данных допустим только в случаях, прямо предусмотренных казахстанским законодательством — перечень оснований закрытый, расширительное толкование не применяется.
Основания для отказа включают: предоставление сведений нарушит права и законные интересы третьих лиц; обработка данных осуществляется в целях обеспечения государственной безопасности или правопорядка; запрос направлен повторно в течение короткого срока без новых оснований.
Важно: отказ должен быть мотивированным и оформленным письменно. Устный отказ или молчание не соответствуют требованиям закона. Субъект, получивший немотивированный отказ, вправе обратиться с жалобой в уполномоченный орган или в суд.
На практике собственники бизнеса нередко путают право на отказ с правом на уточнение. Запросить дополнительные сведения у заявителя — допустимо. Отказать без основания — нет.
Что делать, если субъект требует удалить его персональные данные?
Требование об удалении персональных данных — одно из наиболее распространённых и одновременно сложных для исполнения. Оператор обязан удалить данные, если основание для их обработки отпало: согласие отозвано, цель обработки достигнута, срок хранения истёк.
Однако удаление не всегда возможно немедленно. Если данные обрабатываются на основании закона (например, налоговое законодательство обязывает хранить документы определённый срок), оператор вправе отказать в удалении до истечения установленного срока хранения. В этом случае данные могут быть заблокированы — то есть исключены из активной обработки, но сохранены для целей исполнения правовых обязательств.
Собственнику важно заранее выстроить реестр категорий данных с указанием сроков хранения и оснований обработки. Без такого реестра ответить на требование об удалении в срок крайне затруднительно.
Как правильно организовать приём и обработку запросов субъектов?
Системный подход к обработке запросов субъектов персональных данных — элемент комплаенса, а не разовая реакция на конкретное обращение. Казахстанское законодательство не предписывает единственную форму организации, однако проверяющие органы оценивают наличие внутренних регламентов.
Минимальный набор документов и процедур включает: политику конфиденциальности с указанием прав субъектов; внутренний регламент обработки запросов с назначением ответственного лица; реестр обрабатываемых категорий данных; шаблоны ответов на типовые запросы.
Ответственное лицо — сотрудник или внешний специалист — должно понимать, какие данные компания обрабатывает, на каких основаниях и где они хранятся. Без этого знания ответить на запрос субъекта в 15-дневный срок практически невозможно.
Ссылки на смежные материалы: кто считается оператором персональных данных в Казахстане и дополнительные аспекты обработки запросов субъектов.
Какова ответственность за нарушение прав субъекта персональных данных?
Нарушение прав субъекта персональных данных в Казахстане влечёт административную, а в отдельных случаях — уголовную ответственность. Административные санкции исчисляются в МРП: в 2026 году МРП составляет 4 325 тенге (по состоянию на 2026 год).
Помимо штрафов, субъект вправе обратиться в суд с иском о возмещении вреда — как имущественного, так и морального. Судебная практика по таким делам в Казахстане формируется, однако количество обращений растёт по мере роста правовой грамотности населения.
Уголовная ответственность по Уголовному кодексу РК наступает при незаконном сборе, распространении или использовании персональных данных, повлёкшем существенный вред. Для собственника бизнеса это означает личную ответственность — не только компании.
Частые вопросы
1. Что делать при запросе субъекта персональных данных?
При получении запроса субъекта персональных данных оператор обязан идентифицировать заявителя, проверить наличие оснований для ответа и предоставить запрошенные сведения в установленный срок. Закон о персональных данных и их защите устанавливает обязанность оператора ответить на обращение субъекта в течение 15 рабочих дней с момента получения запроса. Если запрос неполный или личность заявителя не подтверждена — оператор вправе запросить уточнение, но не вправе игнорировать обращение. Отказ возможен только в случаях, прямо предусмотренных законодательством: например, если предоставление сведений нарушит права третьих лиц или противоречит интересам государственной безопасности. Любой отказ должен быть мотивированным и оформленным письменно.
2. Кто считается оператором персональных данных в Казахстане?
Оператором персональных данных в Казахстане признаётся любое физическое или юридическое лицо, которое самостоятельно или совместно с другими лицами организует и осуществляет обработку персональных данных. Это широкое определение охватывает практически любой бизнес: работодателей, которые ведут кадровый учёт, интернет-магазины, собирающие данные покупателей, медицинские организации, банки, страховщиков. Статус оператора возникает автоматически — с момента, когда компания начинает собирать, хранить или иным образом обрабатывать данные физических лиц. Регистрация в реестре операторов не является обязательной для всех категорий, однако ряд операторов обязан уведомить уполномоченный орган. Незнание о наличии статуса оператора не освобождает от ответственности.
3. Нужно ли уведомлять уполномоченный орган об обработке данных?
Обязанность уведомления уполномоченного органа — Министерства цифрового развития, инноваций и аэрокосмической промышленности РК — зависит от категории обрабатываемых данных и масштаба обработки. Операторы, обрабатывающие специальные категории персональных данных (сведения о здоровье, биометрия, судимости), как правило, подпадают под расширенные требования. Для большинства стандартных операторов — работодателей, интернет-сервисов — уведомительный порядок носит менее жёсткий характер, однако политика конфиденциальности и внутренние регламенты обработки данных обязательны в любом случае. Рекомендуется провести аудит обрабатываемых категорий данных, прежде чем определять объём обязательств по уведомлению.
4. Какой штраф за нарушение закона о персональных данных?
Административная ответственность за нарушение законодательства о персональных данных в Казахстане предусмотрена Кодексом об административных правонарушениях. Санкции дифференцированы в зависимости от характера нарушения: незаконный сбор, несоблюдение требований к хранению, непредоставление сведений субъекту, трансграничная передача без соблюдения условий. Размеры штрафов исчисляются в МРП (в 2026 году МРП составляет 4 325 тенге, по состоянию на 2026 год). Помимо административной ответственности, субъект персональных данных вправе обратиться в суд с требованием о возмещении вреда. Систематические нарушения или обработка данных без согласия субъекта могут повлечь более серьёзные последствия, включая уголовную ответственность по Уголовному кодексу РК.
5. Можно ли хранить персональные данные казахстанцев за границей?
Закон о персональных данных и их защите устанавливает требование о локализации: персональные данные граждан Казахстана должны собираться, обрабатываться и храниться на серверах, расположенных на территории Республики Казахстан. Трансграничная передача данных допустима при соблюдении ряда условий: наличие согласия субъекта, достаточный уровень защиты в стране-получателе или заключение договора, обеспечивающего надлежащую защиту. Использование зарубежных облачных сервисов без соблюдения требований локализации является нарушением. На практике многие компании используют гибридные решения: основная база данных — в Казахстане, резервные копии — за рубежом при соблюдении условий передачи. Перед выбором инфраструктуры рекомендуется юридическая экспертиза.
6. Каков срок ответа на запрос субъекта персональных данных?
Срок ответа на запрос субъекта персональных данных в Казахстане составляет 15 рабочих дней с момента получения обращения. Этот срок установлен Законом о персональных данных и их защите и является обязательным для всех операторов независимо от размера бизнеса. Рабочие дни исчисляются по производственному календарю Республики Казахстан — праздничные и выходные дни в расчёт не включаются. Если оператор запросил у субъекта уточняющие сведения, срок ответа, как правило, исчисляется с момента получения полного запроса. Нарушение срока — самостоятельное основание для административной ответственности, даже если по существу оператор готов предоставить все запрошенные сведения.
7. Обязан ли оператор предоставить субъекту копии его данных?
Да, субъект персональных данных вправе получить сведения о том, какие данные о нём обрабатываются, в каких целях, на каком основании и кому они переданы. Казахстанское законодательство о персональных данных закрепляет это право как одно из базовых прав субъекта. Оператор обязан предоставить информацию в понятной форме — не обязательно в виде копий всех документов, но в объёме, достаточном для того, чтобы субъект мог оценить законность обработки. Если данные содержат сведения о третьих лицах, оператор вправе обезличить соответствующие части перед предоставлением. Отказ предоставить сведения без законного основания — нарушение, которое субъект вправе обжаловать в уполномоченный орган или суд.
8. Что такое согласие на обработку персональных данных и когда оно требуется?
Согласие субъекта персональных данных — одно из оснований для законной обработки данных по казахстанскому законодательству. Оно требуется в тех случаях, когда обработка не основана на законе, договоре или иных предусмотренных правовых основаниях. Согласие должно быть конкретным, информированным и добровольным: субъект должен понимать, какие данные, для каких целей и кем обрабатываются. Форма согласия — письменная или электронная с возможностью идентификации субъекта. Согласие может быть отозвано в любой момент, после чего оператор обязан прекратить обработку данных, если нет иного законного основания. Для работодателей важно: трудовые отношения сами по себе дают основание для обработки ряда данных без отдельного согласия, однако не для всех категорий.
9. Как субъект может потребовать исправления своих данных?
Субъект персональных данных вправе потребовать исправления неточных, неполных или устаревших данных. Для этого достаточно направить оператору письменное или электронное обращение с указанием, какие данные подлежат исправлению и какими должны быть актуальные сведения. Оператор обязан рассмотреть такое требование в установленный срок и либо внести исправления, либо мотивированно отказать. Если данные переданы третьим лицам, оператор обязан уведомить их об исправлении — это важный аспект, который нередко упускается на практике. Собственнику бизнеса следует предусмотреть в регламенте обработки данных процедуру актуализации сведений по запросу субъекта.
10. Распространяются ли требования закона о персональных данных на малый бизнес?
Да, Закон о персональных данных и их защите распространяется на всех операторов персональных данных в Казахстане — независимо от размера бизнеса, организационно-правовой формы и сферы деятельности. Малый бизнес не имеет специальных изъятий или упрощённого режима. Любая компания, которая ведёт кадровый учёт, собирает данные клиентов или использует CRM-систему, является оператором персональных данных со всеми вытекающими обязательствами. На практике уровень правоприменения в отношении малого бизнеса ниже, чем в отношении крупных операторов, однако это не означает отсутствия рисков. Жалоба одного субъекта достаточна для инициирования проверки.
11. Что такое обработка персональных данных по казахстанскому праву?
Обработка персональных данных — широкое понятие, которое охватывает любые действия с данными: сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, передачу, обезличивание, блокирование, удаление и уничтожение. Казахстанское законодательство о персональных данных использует именно такое расширенное определение. Это означает, что даже простое хранение списка контактов клиентов в электронной таблице является обработкой персональных данных. Для собственника бизнеса практический вывод таков: если компания работает с любыми сведениями о физических лицах — она обрабатывает персональные данные и обязана соблюдать соответствующие требования.
12. Нужна ли политика конфиденциальности для казахстанского сайта?
Политика конфиденциальности обязательна для любого сайта, который собирает персональные данные пользователей — будь то форма обратной связи, регистрация, подписка на рассылку или использование аналитических сервисов, передающих данные третьим лицам. Закон о персональных данных и их защите требует, чтобы субъект был проинформирован об обработке его данных до момента их предоставления. Политика конфиденциальности — стандартный инструмент такого информирования. Документ должен содержать: перечень обрабатываемых данных, цели обработки, основания, сроки хранения, сведения о третьих лицах — получателях данных, а также порядок реализации прав субъекта. Отсутствие политики или её формальный характер — типичное нарушение, выявляемое при проверках.
13. Как проводится проверка оператора персональных данных в Казахстане?
Проверки операторов персональных данных в Казахстане проводит уполномоченный орган — Министерство цифрового развития, инноваций и аэрокосмической промышленности РК. Проверки могут быть плановыми и внеплановыми. Внеплановая проверка инициируется, как правило, на основании жалобы субъекта персональных данных. В ходе проверки оцениваются: наличие правовых оснований для обработки данных, соответствие политики конфиденциальности требованиям закона, наличие согласий субъектов, соблюдение требований к хранению и защите данных, порядок обработки запросов субъектов. По итогам проверки оператору может быть выдано предписание об устранении нарушений или составлен протокол об административном правонарушении.
14. Что такое трансграничная передача персональных данных?
Трансграничная передача персональных данных — это передача данных на территорию иностранного государства иностранному физическому или юридическому лицу. По казахстанскому законодательству такая передача допустима при соблюдении условий: страна-получатель обеспечивает надлежащий уровень защиты данных, либо субъект дал согласие на передачу, либо передача необходима для исполнения договора с субъектом. Использование зарубежных облачных сервисов, CRM-систем, платёжных платформ нередко квалифицируется как трансграничная передача. Для собственника бизнеса это означает необходимость проверить каждый используемый сервис на предмет соответствия требованиям казахстанского законодательства о локализации и трансграничной передаче данных.
15. Как защититься от претензий субъектов персональных данных?
Системная защита от претензий субъектов персональных данных строится на трёх элементах: документальном оформлении, процедурной готовности и технических мерах. Документальное оформление включает политику конфиденциальности, регламент обработки данных, реестр категорий данных и оснований обработки, шаблоны согласий. Процедурная готовность — назначение ответственного за обработку запросов субъектов, установление внутреннего срока реагирования (рекомендуется 10 рабочих дней, чтобы иметь резерв до законодательного срока в 15 рабочих дней). Технические меры — защита баз данных, разграничение доступа, журналирование операций с данными. Компании, прошедшие аудит персональных данных, как правило, успешно отвечают на запросы субъектов и проходят проверки без существенных нарушений.
Выводы
Запрос субъекта персональных данных — юридически значимое обращение, на которое оператор обязан ответить в течение 15 рабочих дней. Игнорирование или немотивированный отказ влечёт административную ответственность. Собственник бизнеса в Казахстане несёт ответственность за соблюдение требований Закона о персональных данных и их защите независимо от размера компании. Системный подход — регламенты, реестр данных, назначенное ответственное лицо — позволяет отвечать на запросы субъектов своевременно и избегать претензий проверяющих органов.
Актуально на: 2 января 2026 года.
Если ситуация требует внимания — мы поможем разобраться.
Смежные направления
Направление практики
Персональные данные и IT-право — соответствие Закону о персональных данных, трансграничная передача, аудит обработки и IT-договоры.