Что такое чувствительные персональные данные в Казахстане: частые вопросы

Что такое чувствительные персональные данные и почему это важно для руководителя?

Чувствительные персональные данные — это категория сведений, обработка которых по Закону о персональных данных и их защите требует усиленных мер защиты и, как правило, отдельного явного согласия субъекта. К ним относятся: данные о расовом и этническом происхождении, политических взглядах, религиозных и философских убеждениях, состоянии здоровья, сексуальной жизни, судимостях, а также биометрические данные.

Для топ-менеджера практическое значение этой категории состоит в следующем: если хотя бы одна система компании — HR-платформа, система контроля доступа, медицинская страховка сотрудников — обрабатывает такие данные, к ней применяется повышенный стандарт комплаенса. Это отдельное согласие, усиленная техническая защита и, в ряде случаев, уведомление уполномоченного органа.

Ошибочно считать, что требования касаются только IT-компаний или медицинских организаций. Производственное предприятие с системой биометрического учёта рабочего времени, розничная сеть с программой лояльности, собирающей данные о покупательских предпочтениях, — все они обрабатывают чувствительные данные и несут соответствующую ответственность.

Какие данные относятся к чувствительным по казахстанскому праву?

Казахстанское законодательство выделяет несколько категорий, требующих усиленной защиты. Перечень не является исчерпывающим — уполномоченный орган вправе расширять его толкование с учётом конкретных обстоятельств обработки.

• Биометрия — отпечатки пальцев, геометрия лица, рисунок радужной оболочки, голос; любые данные, однозначно идентифицирующие человека по физиологическим характеристикам
• Здоровье — медицинские диагнозы, результаты анализов, сведения об инвалидности, данные медицинского страхования
• Убеждения — религиозные, политические, философские взгляды
• Происхождение — расовая и этническая принадлежность
• Судимости — сведения об уголовном преследовании и его результатах

На практике граница между обычными и чувствительными данными может быть неочевидной. Данные о посещаемости мечети в корпоративной системе — это уже религиозные убеждения. Фотография в системе пропуска, используемая для распознавания лиц, — биометрия. Сведения о причине больничного — данные о здоровье. Квалификация конкретной ситуации требует юридической оценки.

Как правильно получить согласие на обработку чувствительных данных?

Согласие на обработку чувствительных персональных данных должно быть явным, письменным и отдельным от общего согласия на обработку персональных данных. Включение его в общий текст трудового договора или пользовательского соглашения — распространённая ошибка, которая делает согласие юридически уязвимым.

Требования к согласию: конкретный перечень обрабатываемых данных, чётко сформулированная цель, срок действия, порядок отзыва. Согласие не должно быть условием получения услуги или заключения договора — иначе его добровольность ставится под сомнение. Субъект вправе отозвать согласие в любой момент, и компания обязана прекратить обработку, если нет иного законного основания.

Для сотрудников, чьи биометрические данные используются в системе контроля доступа, рекомендуется предусмотреть альтернативный способ идентификации — на случай отзыва согласия. Это снижает операционный риск и демонстрирует добросовестность оператора при возможной проверке.

Где должны храниться персональные данные казахстанских граждан?

Казахстанское законодательство устанавливает требование локализации: базы данных, содержащие персональные данные граждан Республики Казахстан, должны физически располагаться на серверах на территории страны. Это требование распространяется на все компании, работающие с казахстанскими пользователями или сотрудниками, — независимо от страны регистрации.

Использование зарубежных облачных сервисов без казахстанского сегмента хранения является нарушением. Трансграничная передача данных допустима только при соблюдении установленных условий — как правило, при наличии отдельного согласия субъекта и обеспечении уровня защиты, сопоставимого с казахстанским стандартом.

Для компаний, использующих международные HR-платформы или CRM-системы, это означает необходимость проверить: где физически хранятся данные, есть ли у провайдера казахстанский дата-центр или локальный сегмент, и как оформлена передача данных по договору с провайдером. Подробнее о требованиях к трансграничному хранению — в материале «Можно ли хранить персональные данные казахстанцев за рубежом».

Что грозит компании за нарушение режима чувствительных данных?

За нарушение требований о защите персональных данных в Казахстане предусмотрена административная ответственность, а при серьёзных нарушениях — уголовная. Уполномоченный орган вправе проводить проверки, выносить предписания и требовать прекращения обработки.

Для топ-менеджера принципиально важно: ответственность несёт не только юридическое лицо, но и конкретные должностные лица. Подпись под политикой конфиденциальности не снимает личной ответственности руководителя, если реальные процессы обработки данных не соответствуют задокументированным. При утечке чувствительных данных — особенно биометрии или медицинских сведений — регуляторные последствия существенно серьёзнее, чем при утечке обычных контактных данных.

Дополнительный риск — репутационный: утечка данных о здоровье или религиозных убеждениях сотрудников или клиентов создаёт публичный резонанс, несопоставимый с масштабом самого инцидента. Превентивный комплаенс обходится значительно дешевле, чем управление последствиями.

Как выстроить систему комплаенса по персональным данным в компании?

Система комплаенса по персональным данным строится на четырёх элементах: инвентаризация, документирование, технические меры и операционные процедуры. Начинать следует с инвентаризации — составить реестр всех точек сбора данных и категорий обрабатываемых сведений.

Документирование включает политику конфиденциальности, формы согласий, договоры с подрядчиками-обработчиками и внутренние регламенты. Технические меры — шифрование, разграничение доступа, журналирование операций с чувствительными данными. Операционные процедуры — порядок реагирования на запросы субъектов, план действий при утечке, регулярный аудит.

Назначение ответственного за обработку персональных данных — не формальность, а практическая необходимость. Этот человек координирует все процессы и является точкой контакта при взаимодействии с уполномоченным органом. Подробнее о построении системы — в материале «Персональные данные в Казахстане: расширенный обзор».