Что такое чувствительные персональные данные в Казахстане: что важно знать
Чувствительные персональные данные в Казахстане — это особая категория сведений, обработка которых требует повышенного уровня защиты и, как правило, явного письменного согласия субъекта. Закон о персональных данных и их защите выделяет их в отдельный режим: нарушение правил работы с такими данными влечёт административную ответственность для собственника бизнеса вне зависимости от размера компании.
Ваша компания собирает данные о сотрудниках, клиентах или пользователях сайта — и может не знать, что часть из них относится к чувствительным. Проверить обработку персональных данных · info@vetrovkz.com
Что такое чувствительные персональные данные и почему они выделены в отдельную категорию?
Чувствительные персональные данные — это сведения, раскрытие которых способно причинить субъекту существенный вред: дискриминацию, угрозу безопасности или нарушение частной жизни. Именно поэтому казахстанское законодательство устанавливает для них более строгий режим обработки по сравнению с обычными персональными данными.
К чувствительным данным по казахстанскому законодательству относятся: сведения о расовой и национальной принадлежности, политических взглядах, религиозных убеждениях, состоянии здоровья, судимостях, а также биометрические данные. Этот перечень не является исчерпывающим — на практике к чувствительным могут быть отнесены и иные категории, обработка которых несёт повышенный риск для субъекта.
Для собственника бизнеса ключевое практическое следствие такое: если ваша компания обрабатывает хотя бы одну из перечисленных категорий, требования к документированию, хранению и передаче данных существенно возрастают. Стандартного согласия в форме регистрации или трудового договора недостаточно — нужно отдельное, явное и конкретное согласие субъекта.
Если ваша компания использует биометрию, собирает медицинские данные сотрудников или обрабатывает данные о судимостях — проверьте, оформлены ли согласия правильно.
Проверить обработку персональных данныхКакие данные относятся к биометрическим и как их обрабатывать законно?
Биометрические данные — это физиологические и биологические характеристики, позволяющие однозначно идентифицировать человека: отпечатки пальцев, изображение лица в системах распознавания, сетчатка глаза, голос при использовании для идентификации.
Биометрия входит в категорию чувствительных данных и требует усиленной защиты. Это означает, что системы контроля доступа по отпечатку пальца, видеоаналитика с распознаванием лиц в торговом зале или биометрическая идентификация при входе в офис — всё это требует отдельного правового обоснования и явного согласия каждого субъекта.
На практике многие компании внедряют биометрические системы без надлежащего оформления. Это типичное нарушение, которое выявляется при проверках уполномоченного органа. Рекомендуется до внедрения любой биометрической системы провести правовой анализ и подготовить комплект документов: согласие, политику обработки, регламент хранения и уничтожения данных.
Как правильно оформить согласие на обработку чувствительных данных?
Согласие на обработку чувствительных персональных данных должно быть письменным, конкретным и информированным — это три обязательных условия по казахстанскому законодательству. Общее согласие «на обработку персональных данных» для чувствительных категорий недостаточно.
Конкретность означает, что субъект должен понимать: какие именно данные собираются, с какой целью, кому могут быть переданы и как долго будут храниться. Если компания обрабатывает несколько категорий чувствительных данных — например, данные о здоровье и биометрию — согласие должно охватывать каждую категорию отдельно.
Добровольность — ещё одно ключевое требование. Согласие не может быть условием получения услуги или трудоустройства, если обработка чувствительных данных не является объективно необходимой. Принуждение к согласию делает его недействительным. Субъект также вправе отозвать согласие в любой момент — и компания обязана прекратить обработку данных.
Какие технические меры защиты требуются для чувствительных данных?
Казахстанское законодательство обязывает операторов применять технические и организационные меры, соразмерные категории обрабатываемых данных. Для чувствительных данных уровень защиты должен быть выше, чем для обычных персональных данных.
На практике это означает: шифрование при хранении и передаче, ограничение доступа по принципу минимальных привилегий (только те сотрудники, которым данные необходимы для работы), журналирование операций с данными, регулярное резервное копирование и процедуры восстановления. Хранение чувствительных данных в незащищённых таблицах Excel или в общедоступных папках — нарушение.
Отдельного внимания требует уничтожение данных по истечении срока хранения. Закон требует не просто удалить файл, а обеспечить невозможность восстановления данных. Для бумажных носителей — уничтожение с составлением акта, для электронных — гарантированное затирание или физическое уничтожение носителя.
Что делать при утечке чувствительных персональных данных?
При обнаружении утечки персональных данных оператор обязан действовать быстро: казахстанское законодательство устанавливает обязанность уведомить уполномоченный орган и, в ряде случаев, самих субъектов данных. Промедление усугубляет ответственность.
Первые шаги при утечке: локализовать инцидент (остановить несанкционированный доступ), зафиксировать факт и обстоятельства утечки, оценить масштаб — какие данные затронуты, сколько субъектов пострадало. Если утечка затронула чувствительные данные, уведомление уполномоченного органа становится приоритетом.
Компании, у которых нет заранее разработанного плана реагирования на инциденты, как правило, теряют критическое время. Рекомендуется разработать такой план заблаговременно: назначить ответственного, прописать алгоритм действий, определить контакты уполномоченного органа и юридического советника.
Частые вопросы
1. Что такое чувствительные персональные данные?
Чувствительные персональные данные — это категория сведений, обработка которых требует повышенного уровня защиты по казахстанскому законодательству. К ним относятся данные о расовой и национальной принадлежности, политических взглядах, религиозных убеждениях, состоянии здоровья, судимостях, а также биометрические данные. Закон о персональных данных и их защите выделяет эту категорию в отдельный режим: для их обработки, как правило, требуется явное письменное согласие субъекта, а хранение должно осуществляться с применением усиленных технических мер защиты. Собственник бизнеса несёт ответственность за соблюдение этих требований вне зависимости от того, обрабатывает ли он данные самостоятельно или передаёт третьим лицам.
2. Можно ли использовать видеонаблюдение в офисе?
Видеонаблюдение в офисе допустимо, однако требует соблюдения ряда условий по казахстанскому законодательству. Работодатель обязан уведомить сотрудников о ведении съёмки — как правило, это закрепляется в трудовом договоре или локальном акте. Видеозапись, на которой идентифицируется конкретный человек, признаётся персональными данными, а значит, на неё распространяются требования Закона о персональных данных и их защите. Хранить записи следует в защищённой системе с ограниченным доступом, а срок хранения — зафиксировать в политике обработки данных. Передача записей третьим лицам допустима только по основаниям, предусмотренным законодательством.
3. Как правильно собирать cookies на сайте в Казахстане?
Сбор cookies, позволяющих идентифицировать пользователя, квалифицируется как обработка персональных данных по казахстанскому законодательству. Сайт обязан до начала сбора данных получить согласие пользователя — через баннер или форму с явным подтверждением. Согласие должно быть информированным: пользователь должен понимать, какие данные собираются, с какой целью и как долго хранятся. Технические cookies, необходимые для работы сайта, могут не требовать отдельного согласия, однако аналитические и маркетинговые — требуют. Политика конфиденциальности на сайте должна описывать все категории собираемых данных и порядок их обработки.
4. Что делать при запросе субъекта персональных данных?
При получении запроса от субъекта персональных данных оператор обязан ответить в установленный законодательством срок — как правило, в течение 15 рабочих дней. Субъект вправе запросить подтверждение факта обработки его данных, получить их копию, потребовать исправления неточных сведений или удаления данных при отсутствии законных оснований для их хранения. Оператор должен иметь внутреннюю процедуру обработки таких запросов: назначенное ответственное лицо, шаблоны ответов и журнал регистрации обращений. Игнорирование запроса или немотивированный отказ влечёт административную ответственность.
5. Кто считается оператором персональных данных в Казахстане?
Оператором персональных данных в Казахстане признаётся любое лицо — физическое или юридическое, — которое самостоятельно или совместно с другими определяет цели и способы обработки персональных данных. На практике это означает, что практически любой бизнес, ведущий базу клиентов, сотрудников или пользователей сайта, является оператором. Оператор несёт полную ответственность за соблюдение требований Закона о персональных данных и их защите: от получения согласия до обеспечения безопасности данных и реагирования на инциденты. Передача обработки третьему лицу не снимает с оператора ответственности — она лишь распределяется между сторонами на основании договора.
6. Какие данные относятся к биометрическим в Казахстане?
Биометрические данные в Казахстане — это физиологические и биологические характеристики, позволяющие однозначно идентифицировать человека. К ним относятся отпечатки пальцев, изображение лица (в том числе из систем распознавания), сетчатка глаза, голос при использовании для идентификации, а также ДНК. Биометрия входит в категорию чувствительных персональных данных и требует усиленной защиты. Использование биометрических систем контроля доступа на предприятии, систем распознавания лиц в торговых залах или при регистрации на мероприятиях — всё это требует отдельного правового обоснования и явного согласия субъекта.
7. Нужно ли согласие сотрудника на обработку его персональных данных?
Согласие сотрудника на обработку персональных данных требуется не всегда — часть данных обрабатывается на основании Трудового кодекса РК без отдельного согласия. Однако для обработки чувствительных данных (например, сведений о состоянии здоровья, судимостях, религиозных убеждениях) письменное согласие обязательно. Работодатель должен чётко разграничивать, какие данные обрабатываются по закону, а какие — только с согласия. Согласие должно быть конкретным, информированным и добровольным: подписание трудового договора само по себе не является согласием на обработку всех категорий данных.
8. Что такое политика конфиденциальности и обязательна ли она?
Политика конфиденциальности — это документ, в котором оператор раскрывает, какие персональные данные он собирает, с какой целью, как долго хранит и кому передаёт. В Казахстане наличие такого документа фактически обязательно для любого бизнеса, обрабатывающего данные клиентов или сотрудников. Для сайтов политика конфиденциальности должна быть доступна пользователю до момента предоставления данных — как правило, в виде ссылки в форме регистрации или подписки. Отсутствие политики или её несоответствие фактической практике обработки данных — типичное нарушение, которое выявляется при проверках уполномоченного органа.
9. Какова ответственность за нарушение законодательства о персональных данных в Казахстане?
За нарушение требований в сфере персональных данных в Казахстане предусмотрена административная ответственность. Санкции применяются как к должностным лицам, так и к юридическим лицам. Типичные нарушения, которые фиксируют проверяющие органы: отсутствие согласия на обработку данных, несоблюдение требований к хранению, непредоставление информации субъекту по его запросу, передача данных третьим лицам без оснований. При утечке данных оператор обязан уведомить уполномоченный орган и субъектов в установленные сроки. Систематические нарушения или утечки чувствительных данных влекут более серьёзные последствия, включая приостановление деятельности.
10. Нужно ли уведомлять регулятора об обработке персональных данных?
Казахстанское законодательство предусматривает обязанность операторов уведомлять уполномоченный орган об обработке персональных данных в определённых случаях. Требования к уведомлению зависят от категории обрабатываемых данных и масштаба обработки. Обработка чувствительных данных, как правило, требует более строгого документирования и может влечь обязанность уведомления. Рекомендуется вести внутренний реестр операций по обработке данных — это упрощает взаимодействие с регулятором и снижает риски при проверке. Конкретный порядок уведомления следует уточнять с учётом актуальных требований законодательства на момент обращения.
11. Как передавать персональные данные за рубеж из Казахстана?
Трансграничная передача персональных данных из Казахстана допустима при соблюдении ряда условий. Страна-получатель должна обеспечивать надлежащий уровень защиты данных, либо передача должна осуществляться на основании согласия субъекта или договорных гарантий. На практике это означает, что использование зарубежных облачных сервисов, CRM-систем или платёжных платформ требует правового анализа: где физически хранятся данные, какое законодательство применяется, есть ли договор об обработке данных. Казахстанское законодательство также содержит требования о локализации отдельных категорий данных — их хранение на серверах внутри страны обязательно в установленных случаях.
12. Что такое локализация персональных данных в Казахстане?
Локализация персональных данных — это требование хранить определённые категории данных о гражданах Казахстана на серверах, физически расположенных на территории страны. Это требование распространяется на операторов, работающих с казахстанскими пользователями, вне зависимости от того, где зарегистрирована компания. На практике иностранные компании, запускающие сервисы для казахстанской аудитории, обязаны либо арендовать серверные мощности в Казахстане, либо использовать местных провайдеров. Нарушение требований локализации — одно из оснований для блокировки сервиса или привлечения к ответственности.
13. Как провести аудит обработки персональных данных в компании?
Аудит обработки персональных данных включает несколько этапов. Первый — инвентаризация: определить, какие данные, где и как обрабатываются в компании. Второй — правовой анализ: проверить наличие оснований для каждой операции обработки (согласие, договор, закон). Третий — документация: убедиться, что политика конфиденциальности, согласия и внутренние регламенты актуальны и соответствуют фактической практике. Четвёртый — технические меры: оценить уровень защиты данных, доступ к ним и процедуры реагирования на инциденты. По итогам аудита формируется план устранения нарушений с приоритизацией по уровню риска.
14. Распространяется ли закон о персональных данных на B2B-данные?
Закон о персональных данных и их защите в Казахстане распространяется на данные физических лиц — субъектов персональных данных. Данные юридических лиц сами по себе под действие закона не подпадают. Однако в B2B-контексте часто обрабатываются данные конкретных физических лиц: контактные лица, подписанты, бенефициары. Эти данные защищаются законом в полном объёме. Кроме того, данные индивидуальных предпринимателей также признаются персональными, поскольку ИП — физическое лицо. Таким образом, даже в сугубо корпоративном бизнесе обработка персональных данных неизбежна.
15. Что изменилось в регулировании персональных данных в Казахстане в последние годы?
Казахстанское законодательство о персональных данных последовательно ужесточается. Ключевые тенденции: расширение перечня чувствительных данных, усиление требований к трансграничной передаче, введение обязанности уведомлять об утечках, повышение штрафных санкций. Уполномоченный орган активизировал проверочную деятельность, в том числе в отношении иностранных компаний, работающих с казахстанской аудиторией. Для собственника бизнеса это означает, что подход «разберёмся, если придут» становится всё более рискованным: превентивный аудит и приведение процессов в соответствие обходятся значительно дешевле, чем устранение последствий нарушений.
Выводы
Чувствительные персональные данные — это не абстрактная правовая категория, а конкретный перечень сведений, с которыми работает практически любой бизнес: данные о здоровье сотрудников, биометрия в системах контроля доступа, сведения о судимостях при проверке кандидатов. Казахстанское законодательство устанавливает для них повышенный режим защиты: явное письменное согласие, усиленные технические меры, обязанность уведомлять об утечках. Собственник бизнеса несёт ответственность за соблюдение этих требований вне зависимости от размера компании и того, обрабатывает ли он данные самостоятельно или через подрядчиков. Превентивный аудит и приведение документации в порядок — значительно менее затратный путь, чем реагирование на проверку или инцидент.
Актуально на: 3 января 2026 года.
Если ситуация требует внимания — мы поможем разобраться.
Смежные направления
Направление практики
Персональные данные и IT-право — соответствие Закону о персональных данных, трансграничная передача, аудит обработки и IT-договоры.