Персональные данные и IT-право

Что такое чувствительные персональные данные в Казахстане: 5 ключевых вопросов

Чувствительные персональные данные в Казахстане — это категория сведений, обработка которых требует усиленной защиты и, как правило, явного письменного согласия субъекта. Для топ-менеджера это практический вопрос: если компания собирает биометрию, медицинские сведения или данные о религиозных убеждениях сотрудников и клиентов — она несёт повышенную ответственность по казахстанскому законодательству.

НБ

Нурсултан Бекетов 27 октября 2026 года

12 мин

Если ваша компания собирает биометрию, медицинские данные или ведёт видеонаблюдение — проверьте, соответствует ли это требованиям казахстанского законодательства. Проверить обработку персональных данных · info@vetrovkz.com

Что такое чувствительные персональные данные?

Чувствительные персональные данные — это сведения, раскрытие которых способно причинить субъекту существенный вред: дискриминацию, угрозу безопасности или нарушение частной жизни. Закон о персональных данных и их защите выделяет их в отдельную категорию с повышенным режимом охраны.

К чувствительным относятся данные о расовой и национальной принадлежности, политических взглядах, религиозных и философских убеждениях, состоянии здоровья и интимной жизни. Отдельно выделяются биометрические данные — отпечатки пальцев, данные распознавания лица, голосовые профили, рисунок радужной оболочки глаза. Все они требуют особого правового основания для обработки.

Для топ-менеджера принципиально важно следующее: стандартного согласия на обработку персональных данных недостаточно. Для чувствительных категорий требуется отдельное явное согласие, описывающее конкретную цель, объём и срок обработки именно этих сведений. Смешивать его с общей формой согласия — типичная ошибка, которая делает обработку незаконной.

Данные о здоровье сотрудников (медкнижки, больничные листы, результаты медосмотров)
Биометрия для систем контроля доступа (сканер отпечатка пальца, распознавание лица)
Сведения о религиозных убеждениях (например, при организации питания по религиозным нормам)
Данные о судимости или административных взысканиях

Если в вашей компании уже установлены системы видеонаблюдения или биометрического контроля доступа — проверьте, оформлены ли они в соответствии с требованиями казахстанского законодательства.

Проверить обработку персональных данных

Можно ли использовать видеонаблюдение в офисе?

Видеонаблюдение в офисе в Казахстане допустимо, но только при соблюдении обязательных условий, установленных Законом о персональных данных и их защите и Трудовым кодексом РК.

Работодатель обязан письменно уведомить сотрудников о ведении съёмки до её начала. Это закрепляется в трудовом договоре, правилах внутреннего трудового распорядка или отдельном локальном акте, с которым каждый работник знакомится под подпись. Видеозапись лиц сотрудников относится к биометрическим данным — а значит, к чувствительной категории. Компания автоматически становится оператором персональных данных со всеми вытекающими обязанностями.

Практические требования к системе видеонаблюдения включают несколько элементов. Цель съёмки должна быть чётко определена — как правило, это охрана имущества и обеспечение безопасности. Срок хранения записей фиксируется в регламенте: как правило, не более 30 дней без специального основания. Доступ к архиву ограничивается кругом уполномоченных лиц. Съёмка в зонах, где разумно ожидается приватность — туалеты, раздевалки — запрещена без исключений.

Уведомить сотрудников письменно до начала съёмки
Определить цель, срок хранения и круг лиц с доступом к записям
Разместить видимые предупреждающие знаки в зонах наблюдения
Исключить съёмку в приватных зонах

Как правильно собирать cookies на сайте в Казахстане?

Правильная схема включает три обязательных элемента. Первый — информирование пользователя до начала сбора: баннер или всплывающее окно, появляющееся при первом визите. Второй — получение явного согласия на аналитические и маркетинговые cookies; технические cookies, необходимые для работы сайта, согласия не требуют. Третий — возможность отозвать согласие в любой момент через настройки сайта.

Политика конфиденциальности должна быть доступна с каждой страницы сайта и содержать описание: какие данные собираются, с какой целью, как долго хранятся и кому передаются. Для B2B-сайтов, работающих с корпоративными клиентами, это требование не менее актуально: данные контактных лиц — имя, email, телефон — являются персональными данными физических лиц вне зависимости от того, что они предоставлены в рабочем контексте. Подробнее о требованиях к обработке данных читайте в материале об изменениях в законодательстве о персональных данных.

Что делать при запросе субъекта персональных данных?

При получении запроса от субъекта персональных данных оператор обязан ответить в установленный законом срок — как правило, в течение 15 рабочих дней с момента обращения.

Субъект вправе запросить подтверждение факта обработки его данных, получить их перечень и сведения об источнике получения, потребовать исправления неточных сведений, а также уничтожения данных, если основание для их обработки отпало или истёк срок хранения. Компания обязана рассмотреть каждый из этих запросов по существу и дать письменный ответ.

Для топ-менеджера принципиально важно: отсутствие внутреннего регламента обработки запросов само по себе является нарушением, даже если фактических обращений ещё не поступало. Регламент должен включать назначенное ответственное лицо, шаблоны ответов, журнал учёта обращений и сроки исполнения. Отказ или игнорирование запроса — основание для жалобы в уполномоченный орган и административного взыскания. Подробнее о правах сотрудников в контексте персональных данных — в материале о персональных данных в HR.

Кто считается оператором персональных данных в Казахстане?

На практике это означает: практически любая компания, имеющая базу клиентов, сотрудников или подрядчиков, является оператором. Статус оператора влечёт конкретные обязанности: разработать и опубликовать политику конфиденциальности, получать согласие субъектов в установленной форме, обеспечить защиту данных от несанкционированного доступа, а в случае утечки — уведомить уполномоченный орган в установленный срок.

Если компания передаёт данные третьим лицам — облачному провайдеру, кадровому агентству, аутсорсинговой бухгалтерии — она остаётся ответственной за их защиту. Передача данных должна быть оформлена договором с условиями конфиденциальности, а третье лицо — выступать в статусе «третьего лица, которому поручена обработка» с ограниченными полномочиями. Ознакомьтесь также с материалом о трудовых правоотношениях в Казахстане — они напрямую связаны с обработкой персональных данных сотрудников.

Разработать политику конфиденциальности и регламент обработки данных
Назначить ответственного за защиту персональных данных
Заключить договоры с третьими лицами, которым передаются данные
Выстроить процедуру реагирования на запросы субъектов и инциденты

Частые вопросы

1. Что такое чувствительные персональные данные?

Чувствительные персональные данные — это категория сведений, обработка которых требует усиленной защиты по казахстанскому законодательству. К ним относятся данные о расовой и национальной принадлежности, политических взглядах, религиозных и философских убеждениях, состоянии здоровья, интимной жизни, а также биометрические данные — отпечатки пальцев, данные распознавания лица, голосовые профили. Закон о персональных данных и их защите устанавливает, что сбор и обработка таких сведений допускаются только с явного письменного согласия субъекта либо в строго определённых законом случаях. Для топ-менеджера это означает: если компания собирает хотя бы одну из перечисленных категорий — требуется отдельный регламент обработки, повышенный режим хранения и специальная форма согласия.

2. Можно ли использовать видеонаблюдение в офисе?

Видеонаблюдение в офисе в Казахстане допустимо, но только при соблюдении ряда обязательных условий. Работодатель обязан письменно уведомить сотрудников о ведении съёмки — как правило, это закрепляется в трудовом договоре или отдельном локальном акте. Видеозапись лиц сотрудников относится к биометрическим данным и, следовательно, к чувствительной категории. Это означает, что компания выступает оператором персональных данных и несёт все связанные обязанности: определить цели обработки, установить сроки хранения записей, ограничить доступ к архиву. Съёмка в зонах, где разумно ожидается приватность — раздевалки, туалеты — запрещена. Нарушение влечёт административную ответственность, а при систематическом характере — риск уголовного преследования руководителя.

3. Как правильно собирать cookies на сайте в Казахстане?

Сбор cookies на казахстанском сайте подпадает под действие Закона о персональных данных и их защите, если через файлы cookie собираются сведения, позволяющие идентифицировать пользователя. Правильная схема включает три элемента: информирование пользователя до начала сбора (баннер или всплывающее окно), получение явного согласия на аналитические и маркетинговые cookies (технические — без согласия), а также возможность отозвать согласие в любой момент. Политика конфиденциальности должна быть доступна с каждой страницы сайта и описывать, какие данные собираются, с какой целью и как долго хранятся. Для B2B-сайтов, работающих с корпоративными клиентами, это требование не менее актуально: данные контактных лиц — тоже персональные данные.

4. Что делать при запросе субъекта персональных данных?

При получении запроса от субъекта персональных данных — сотрудника, клиента или контрагента — оператор обязан ответить в установленный законом срок. Субъект вправе запросить подтверждение факта обработки его данных, получить их перечень, потребовать исправления неточных сведений или уничтожения данных, если основание для их обработки отпало. Компания должна иметь внутренний регламент обработки таких запросов: назначенное ответственное лицо, шаблон ответа, журнал учёта обращений. Отказ или игнорирование запроса — основание для жалобы в уполномоченный орган и административного взыскания. Для топ-менеджера важно: отсутствие регламента само по себе является нарушением, даже если фактических запросов ещё не поступало.

5. Кто считается оператором персональных данных в Казахстане?

Оператором персональных данных в Казахстане признаётся любое лицо — физическое или юридическое, государственное или частное, — которое самостоятельно или совместно с другими определяет цели и способы обработки персональных данных. На практике это означает: практически любая компания, имеющая базу клиентов, сотрудников или подрядчиков, является оператором. Статус оператора влечёт обязанности: разработать политику конфиденциальности, получать согласие субъектов, обеспечить защиту данных от несанкционированного доступа, уведомить уполномоченный орган в случае утечки. Если компания передаёт данные третьим лицам — например, облачному провайдеру или кадровому агентству — она остаётся ответственной за их защиту и обязана заключить договор с условиями конфиденциальности.

6. Нужно ли согласие на обработку данных сотрудников при приёме на работу?

Да, согласие на обработку персональных данных сотрудника необходимо, однако его форма и объём зависят от категории данных. Для стандартных сведений — ФИО, ИИН, адрес, банковские реквизиты для выплаты зарплаты — достаточно согласия, включённого в трудовой договор. Для чувствительных категорий — медицинских данных, биометрии, сведений о судимости — требуется отдельное явное согласие с указанием конкретной цели. Важно: согласие должно быть добровольным. Если сотрудник фактически лишён выбора — например, отказ от согласия означает отказ в трудоустройстве — суды и уполномоченный орган могут признать такое согласие недействительным. Работодателю следует разграничивать данные, необходимые для исполнения трудового договора, и данные, собираемые по иным основаниям.

7. Что такое перечень баз персональных данных и нужно ли его регистрировать?

Перечень баз персональных данных — это реестр информационных систем и иных структурированных массивов данных, которые оператор использует для хранения и обработки персональных данных. По казахстанскому законодательству операторы обязаны вести учёт своих баз данных и в установленных случаях уведомлять уполномоченный орган об их создании или изменении. На практике многие компании не осознают, что их CRM-система, база клиентов в Excel или кадровая программа — это базы персональных данных, требующие учёта. Отсутствие такого учёта выявляется при проверках и является самостоятельным основанием для административного взыскания. Рекомендуется провести инвентаризацию всех систем, содержащих персональные данные, и зафиксировать их в реестре оператора.

8. Как обрабатывать персональные данные клиентов при маркетинговых рассылках?

Маркетинговые рассылки — email, SMS, push-уведомления — требуют отдельного согласия получателя именно на получение рекламных материалов. Согласие на обработку персональных данных в целях исполнения договора не охватывает маркетинг автоматически. Форма согласия должна быть конкретной: получатель должен понимать, какие именно рассылки он разрешает, от кого и с какой периодичностью. Обязательно предусмотреть механизм отписки — ссылку в каждом письме или иной простой способ отозвать согласие. Передача клиентской базы партнёрам для совместных рассылок без отдельного согласия клиентов на такую передачу — нарушение, влекущее административную ответственность оператора.

9. Что такое трансграничная передача персональных данных и когда она допустима?

Трансграничная передача персональных данных — это передача данных на серверы или в системы, расположенные за пределами Казахстана, либо предоставление доступа к данным иностранным лицам. Она допустима при соблюдении ряда условий: страна-получатель должна обеспечивать адекватный уровень защиты персональных данных, либо оператор должен получить отдельное согласие субъекта на такую передачу с указанием страны назначения. На практике это актуально для компаний, использующих зарубежные облачные сервисы — Google Workspace, Microsoft 365, Salesforce и аналоги. Хранение данных казахстанских граждан на иностранных серверах без надлежащего правового основания — распространённое нарушение, которое выявляется при проверках всё чаще.

10. Какова ответственность за нарушение законодательства о персональных данных в Казахстане?

Ответственность за нарушение законодательства о персональных данных в Казахстане носит административный и уголовный характер. Административные взыскания применяются за нарушение порядка сбора, хранения, использования или распространения персональных данных — они могут быть наложены как на юридическое лицо, так и на должностное лицо — руководителя или ответственного сотрудника. При систематических нарушениях или утечке данных в крупном масштабе возможно уголовное преследование. Помимо прямых санкций, нарушение влечёт репутационные риски: уполномоченный орган вправе публиковать сведения о выявленных нарушениях. Для топ-менеджера важно понимать: личная ответственность руководителя наступает независимо от того, знал ли он о конкретном нарушении — достаточно факта отсутствия надлежащей системы защиты данных.

11. Нужна ли политика конфиденциальности для мобильного приложения?

Да, политика конфиденциальности обязательна для любого мобильного приложения, собирающего персональные данные пользователей — а это практически любое приложение с регистрацией, геолокацией, push-уведомлениями или аналитикой. Политика должна быть доступна до установки приложения — в магазинах App Store и Google Play — и внутри самого приложения. Она должна описывать: какие данные собираются, с какой целью, как долго хранятся, кому передаются и как пользователь может отозвать согласие или удалить свои данные. Отдельно следует описать порядок обработки данных несовершеннолетних, если приложение доступно для лиц до 18 лет. Отсутствие политики или её формальный характер — один из первых признаков нарушения, который фиксируется при проверке.

12. Как правильно уничтожать персональные данные?

Уничтожение персональных данных — обязательная процедура, которая должна быть задокументирована. Данные подлежат уничтожению по истечении срока хранения, при отзыве согласия субъектом или при достижении цели обработки. Уничтожение означает полное удаление данных из всех систем — включая резервные копии, архивы и бумажные носители. Простое удаление файла из папки не является уничтожением: данные остаются на носителе и могут быть восстановлены. Факт уничтожения фиксируется актом с указанием даты, перечня уничтоженных данных и ответственного лица. Хранение данных дольше установленного срока без правового основания — самостоятельное нарушение, даже если данные никогда не использовались.

13. Что такое усиленная защита персональных данных и как её обеспечить?

Усиленная защита персональных данных — это комплекс технических и организационных мер, применяемых к чувствительным категориям данных. Технические меры включают шифрование данных при хранении и передаче, разграничение прав доступа по принципу минимальной необходимости, ведение журналов доступа и изменений, а также регулярное тестирование систем защиты. Организационные меры — назначение ответственного за защиту данных, проведение обучения сотрудников, разработка регламентов и инструкций, а также процедуры реагирования на инциденты. На практике усиленная защита означает, что к базе с медицинскими данными или биометрией не должен иметь доступ рядовой менеджер по продажам — только уполномоченные лица в рамках своих функций.

14. Как проводится аудит персональных данных в компании?

Аудит персональных данных — это систематическая проверка того, как компания собирает, хранит, использует и уничтожает персональные данные, и соответствует ли это требованиям казахстанского законодательства. Аудит включает несколько этапов: инвентаризацию всех баз данных и информационных систем, содержащих персональные данные; проверку правовых оснований для каждой категории обработки; анализ форм согласия и договоров с третьими лицами; оценку технических мер защиты; проверку наличия и актуальности внутренних регламентов. По результатам аудита формируется перечень нарушений и план их устранения. Проведение аудита до проверки уполномоченного органа позволяет выявить и исправить нарушения без административных последствий. Подробнее о практике — на странице Персональные данные и IT-право.

15. Распространяется ли казахстанское законодательство о персональных данных на иностранные компании?

Казахстанское законодательство о персональных данных распространяется на иностранные компании, если они обрабатывают персональные данные граждан Казахстана или осуществляют деятельность на территории Республики Казахстан. Это означает: иностранная компания, имеющая казахстанских клиентов или сотрудников, обязана соблюдать требования Закона о персональных данных и их защите вне зависимости от места своей регистрации. На практике это актуально для международных групп компаний, использующих единые глобальные системы обработки данных: казахстанский сегмент должен соответствовать местным требованиям. Иностранные компании, работающие через МФЦА, также подпадают под казахстанское законодательство о персональных данных — AIFC Acts не создают исключений в этой сфере. Ознакомьтесь с материалами аналитического раздела для получения актуальной информации.

Выводы

Чувствительные персональные данные в Казахстане — это не абстрактная категория, а конкретный перечень сведений, обработка которых влечёт повышенные требования и ответственность. Биометрия, медицинские данные, религиозные убеждения — если компания работает хотя бы с одной из этих категорий, стандартных форм согласия и общей политики конфиденциальности недостаточно. Статус оператора персональных данных возникает автоматически — вне зависимости от того, осознаёт ли это руководство компании. Отсутствие регламентов, ненадлежащие формы согласия и неурегулированная передача данных третьим лицам — наиболее частые нарушения, выявляемые при проверках. Своевременный аудит позволяет устранить их до того, как они станут основанием для взыскания.

Актуально на: 27 октября 2026 года.

Если ситуация требует внимания — мы поможем разобраться.

Смежные направления

Цифровые активы

Если обработка персональных данных связана с цифровыми платформами или токенизированными продуктами — возникают дополнительные вопросы регулирования в МФЦА.

Корпоративное право и M&A

При сделках слияния и поглощения передача клиентских баз данных требует отдельного правового анализа и согласования с субъектами персональных данных.

Направление практики

Персональные данные и IT-право — соответствие Закону о персональных данных, трансграничная передача, аудит обработки и IT-договоры.