Что такое чувствительные персональные данные в Казахстане: разъяснение
Чувствительные персональные данные в Казахстане — это особая категория сведений о человеке, обработка которых требует усиленной защиты и, как правило, явного письменного согласия субъекта. Казахстанское законодательство выделяет их в отдельную категорию и устанавливает более строгие требования к операторам, чем для обычных персональных данных.
Если ваша компания собирает данные о здоровье, биометрию или иные чувствительные сведения — проверьте соответствие требованиям до проверки уполномоченного органа. Проверить обработку персональных данных · info@vetrovkz.com
Что такое чувствительные персональные данные?
Чувствительные персональные данные — это сведения, раскрытие которых способно причинить субъекту существенный вред: дискриминацию, угрозу безопасности или нарушение неприкосновенности частной жизни. Закон о персональных данных и их защите выделяет их в особую категорию и устанавливает для операторов повышенные требования.
К чувствительным данным казахстанское законодательство относит сведения о расовой и национальной принадлежности, политических взглядах, религиозных и философских убеждениях, состоянии здоровья и интимной жизни, судимостях, а также биометрические данные — отпечатки пальцев, геометрию лица, рисунок сетчатки, голос.
Ключевое отличие от обычных персональных данных — в основаниях обработки. Для чувствительных данных недостаточно общего согласия или законного интереса оператора: требуется явное письменное согласие субъекта либо одно из строго ограниченных оснований, прямо предусмотренных законом.
Если ваша компания обрабатывает медицинские данные, биометрию или сведения о судимостях — проведите аудит до того, как это сделает уполномоченный орган.
Проверить обработку персональных данныхКакой перечень данных относится к чувствительным?
Перечень чувствительных персональных данных в Казахстане закреплён в Законе о персональных данных и их защите и является исчерпывающим — расширительное толкование не допускается.
- Расовая и национальная принадлежность
- Политические взгляды, религиозные и философские убеждения
- Состояние здоровья, медицинский диагноз, история болезни
- Сведения об интимной жизни
- Сведения о судимостях
- Биометрические данные, позволяющие идентифицировать личность
На практике операторы нередко недооценивают объём чувствительных данных в своих системах. Медицинская карта, анкета при трудоустройстве с вопросом о вероисповедании, система контроля доступа по отпечатку пальца — всё это обработка чувствительных данных со всеми вытекающими обязательствами.
Чем усиленная защита чувствительных данных отличается от стандартной?
Усиленная защита чувствительных персональных данных означает более строгий режим на каждом этапе обработки — от сбора до уничтожения.
Для обычных персональных данных оператор может опираться на несколько оснований: согласие, договор, законный интерес, требование закона. Для чувствительных данных основания существенно сужены: как правило, требуется явное письменное согласие субъекта, оформленное отдельно от общего согласия на обработку персональных данных.
Технические и организационные меры защиты также должны быть усилены: шифрование при хранении и передаче, ограниченный доступ по принципу минимальной необходимости, ведение журналов доступа, регулярный аудит. Утечка чувствительных данных влечёт более серьёзные санкции, чем утечка обычных.
Как правильно получить согласие на обработку чувствительных данных?
Согласие на обработку чувствительных персональных данных должно быть письменным, явным и отдельным от иных согласий субъекта — его нельзя «спрятать» в общих условиях пользовательского соглашения.
Документ должен содержать: перечень конкретных чувствительных данных, цели их обработки, наименование оператора и третьих лиц, которым данные могут быть переданы, срок действия согласия и порядок его отзыва. Субъект должен понимать, на что именно он соглашается.
Отзыв согласия должен быть таким же простым, как его предоставление. Если субъект отозвал согласие, оператор обязан прекратить обработку и уничтожить данные — если только нет иного законного основания для их хранения.
Какова ответственность за нарушение режима чувствительных данных?
Нарушение требований к обработке чувствительных персональных данных в Казахстане влечёт административную ответственность, а в отдельных случаях — уголовную.
Административные санкции предусмотрены Кодексом об административных правонарушениях РК и исчисляются в МРП (по состоянию на 2026 год — 4 325 тенге за единицу). Размер штрафа зависит от субъекта нарушения и его характера: для юридических лиц санкции существенно выше, чем для физических. Повторные нарушения и утечки чувствительных данных влекут увеличенные санкции.
Уголовная ответственность наступает при умышленном незаконном сборе, хранении или распространении чувствительных персональных данных — в частности, сведений о здоровье или интимной жизни — без согласия субъекта. Уполномоченный орган — Министерство цифрового развития РК — вправе проводить проверки и выдавать предписания об устранении нарушений.
Частые вопросы
1. Что такое чувствительные персональные данные?
Чувствительные персональные данные — это особая категория сведений о человеке, обработка которых несёт повышенный риск нарушения его прав и достоинства. Казахстанское законодательство относит к ним данные о расовой и национальной принадлежности, политических взглядах, религиозных убеждениях, состоянии здоровья, судимостях, а также биометрические данные. Для их обработки требуется явное письменное согласие субъекта или иное специальное основание, предусмотренное Законом о персональных данных и их защите.
2. Можно ли использовать видеонаблюдение в офисе?
Видеонаблюдение в офисе допустимо, но требует соблюдения ряда условий. Работодатель обязан уведомить сотрудников о ведении съёмки — как правило, через трудовой договор, локальный акт или заметное объявление в зоне наблюдения. Если система распознаёт лица или идентифицирует людей по биометрическим признакам, она обрабатывает чувствительные данные: потребуется отдельное письменное согласие каждого работника. Запись без уведомления или с нарушением целей обработки влечёт административную ответственность оператора.
3. Как правильно собирать cookies на сайте в Казахстане?
Сайты, ориентированные на казахстанских пользователей, обязаны получать согласие на использование нефункциональных cookies — аналитических, маркетинговых, персонализирующих. Технически необходимые cookies (сессия, корзина) согласия не требуют. Баннер должен предлагать реальный выбор: принять или отклонить. Предустановленные галочки «согласен» не соответствуют требованиям Закона о персональных данных и их защите. Политика конфиденциальности должна описывать каждый тип cookies, цель и срок хранения.
4. Что делать при запросе субъекта персональных данных?
При получении запроса от субъекта персональных данных оператор обязан ответить в установленный законом срок — как правило, в течение 15 рабочих дней. Субъект вправе запросить подтверждение факта обработки, получить копию своих данных, потребовать исправления неточностей или удаления. Отказ должен быть мотивированным и письменным. Игнорирование запроса или немотивированный отказ квалифицируются как нарушение и могут повлечь жалобу в уполномоченный орган — Министерство цифрового развития РК.
5. Кто считается оператором персональных данных в Казахстане?
Оператором персональных данных в Казахстане признаётся любое лицо — физическое, юридическое или государственный орган, — которое самостоятельно или совместно с другими определяет цели и способы обработки персональных данных. Это не зависит от того, обрабатываются ли данные автоматизированно или вручную. Интернет-магазин, работодатель, клиника, мобильное приложение — все они являются операторами и несут полную ответственность за соблюдение требований Закона о персональных данных и их защите.
6. Нужно ли регистрировать базы данных с персональными данными в Казахстане?
По действующему казахстанскому законодательству операторы обязаны уведомлять уполномоченный орган о начале обработки персональных данных в определённых случаях — в частности, при обработке чувствительных категорий данных или при трансграничной передаче. Общей обязательной регистрации всех баз данных закон не предусматривает, однако оператор обязан вести внутренний учёт обрабатываемых данных и предоставлять сведения по запросу уполномоченного органа.
7. Что такое биометрические данные и как их защищать?
Биометрические данные — это физиологические или поведенческие характеристики, позволяющие однозначно идентифицировать человека: отпечатки пальцев, геометрия лица, рисунок сетчатки, голос, походка. Казахстанское законодательство относит их к чувствительным персональным данным. Для обработки биометрии требуется явное письменное согласие субъекта. Хранить биометрические данные следует в зашифрованном виде, с ограниченным доступом и чётко определёнными сроками хранения.
8. Можно ли передавать персональные данные третьим лицам?
Передача персональных данных третьим лицам допустима при наличии согласия субъекта или иного законного основания — например, исполнения договора или требования закона. Если третье лицо обрабатывает данные по поручению оператора, необходимо заключить договор поручения на обработку с чётким описанием целей, объёма и мер защиты. Оператор остаётся ответственным за действия поручителя перед субъектом данных.
9. Что такое трансграничная передача персональных данных?
Трансграничная передача — это любая передача персональных данных на территорию иностранного государства: иностранному оператору, в облачный сервис с серверами за рубежом, зарубежному партнёру. Казахстанское законодательство допускает такую передачу при условии, что страна-получатель обеспечивает надлежащий уровень защиты данных, либо при наличии согласия субъекта. Перед передачей оператор обязан убедиться в наличии правового основания и зафиксировать его документально.
10. Какова ответственность за нарушение законодательства о персональных данных в Казахстане?
За нарушение требований Закона о персональных данных и их защите предусмотрена административная ответственность. Размер санкций зависит от характера нарушения и субъекта: физическое лицо, должностное лицо или юридическое лицо несут разные по размеру штрафы, исчисляемые в МРП. При повторных нарушениях или утечке чувствительных данных санкции существенно возрастают. В отдельных случаях возможна уголовная ответственность — при умышленном незаконном сборе или распространении персональных данных.
11. Нужна ли политика конфиденциальности для казахстанского сайта?
Да, политика конфиденциальности обязательна для любого сайта или приложения, собирающего персональные данные пользователей. Документ должен быть доступен до момента сбора данных, написан понятным языком и содержать: перечень собираемых данных, цели обработки, основания, сроки хранения, порядок реализации прав субъекта, контакты оператора. Ссылка на политику должна быть заметной — как правило, в подвале сайта и рядом с формами сбора данных.
12. Как долго можно хранить персональные данные?
Персональные данные должны храниться не дольше, чем это необходимо для достижения целей обработки. После достижения цели или отзыва согласия оператор обязан уничтожить или обезличить данные. Для отдельных категорий данных — кадровые документы, бухгалтерия, медицинские записи — действующее законодательство устанавливает минимальные сроки хранения. Оператору следует закрепить сроки хранения в политике конфиденциальности и внутренних регламентах.
13. Что такое согласие на обработку персональных данных и как его правильно оформить?
Согласие на обработку персональных данных — это добровольное, конкретное, информированное и однозначное выражение воли субъекта. Оно должно быть получено до начала обработки. Для обычных данных допустимо электронное согласие — например, проставление галочки. Для чувствительных данных казахстанское законодательство требует письменного согласия. Согласие должно содержать: перечень данных, цели обработки, наименование оператора, срок действия и порядок отзыва.
14. Распространяется ли казахстанский закон о персональных данных на иностранные компании?
Казахстанское законодательство о персональных данных распространяется на операторов, обрабатывающих данные граждан и резидентов Республики Казахстан, вне зависимости от места регистрации оператора. Иностранная компания, предлагающая товары или услуги казахстанским пользователям или отслеживающая их поведение, обязана соблюдать требования Закона о персональных данных и их защите. На практике это означает необходимость локализации данных и назначения представителя в РК.
15. Что такое локализация персональных данных в Казахстане?
Локализация персональных данных означает обязанность хранить и обрабатывать данные граждан Казахстана на серверах, физически расположенных на территории Республики Казахстан. Это требование распространяется на операторов, собирающих данные казахстанских пользователей. Облачные сервисы с зарубежными серверами не соответствуют требованию локализации, если только не используют казахстанские дата-центры. Нарушение требования локализации является самостоятельным основанием для привлечения к административной ответственности.
Выводы
Чувствительные персональные данные в Казахстане — это закрытый перечень категорий сведений (здоровье, биометрия, убеждения, судимости), для обработки которых требуется явное письменное согласие субъекта и усиленные меры защиты. Операторы, работающие с такими данными — клиники, HR-службы, системы контроля доступа, мобильные приложения, — несут повышенную ответственность: от административных штрафов до уголовного преследования при умышленных нарушениях. Соответствие требованиям Закона о персональных данных и их защите — не разовая задача, а постоянный процесс: аудит, актуализация политик, обучение сотрудников.
Актуально на: 8 сентября 2026 года.
Если ситуация требует внимания — мы поможем разобраться.
Смежные направления
Направление практики
Персональные данные и IT-право — соответствие Закону о персональных данных, трансграничная передача, аудит обработки и IT-договоры.