Что такое чувствительные персональные данные в Казахстане
Чувствительные персональные данные — это особая категория сведений о человеке, обработка которых по казахстанскому законодательству требует усиленной защиты и явного письменного согласия субъекта. К ним относятся данные о здоровье, биометрия, сведения о судимостях, религиозных убеждениях и ряд других категорий. Для собственника бизнеса это означает повышенные требования к любым процессам, где такие данные собираются или хранятся.
Ваша компания собирает данные сотрудников или клиентов — и вы не уверены, всё ли оформлено правильно? Проверить обработку персональных данных · info@vetrovkz.com
Что такое чувствительные персональные данные?
Чувствительные персональные данные — это сведения, несанкционированное раскрытие которых способно причинить субъекту существенный вред: дискриминацию, угрозу безопасности, нарушение неприкосновенности частной жизни. Казахстанский Закон о персональных данных и их защите выделяет их в отдельную категорию с повышенными требованиями к обработке.
К чувствительным данным относятся сведения о расовой и национальной принадлежности, политических взглядах, религиозных и философских убеждениях, состоянии здоровья и половой жизни, судимостях, а также биометрические данные. Этот перечень закрытый — расширять его по собственному усмотрению оператор не вправе, но и сужать не может.
Ключевое практическое следствие для собственника: если ваша компания в ходе обычной деятельности касается хотя бы одной из этих категорий — медицинские справки сотрудников, биометрический СКУД, анкеты с вопросами о вероисповедании — вы автоматически становитесь оператором чувствительных данных со всеми вытекающими обязательствами.
Планируете внедрить биометрический СКУД или систему распознавания лиц? Оформление согласий и технические требования лучше проработать до запуска.
Проверить обработку персональных данныхЧем чувствительные данные отличаются от обычных персональных данных?
Обычные персональные данные — ФИО, ИИН, адрес, номер телефона, email — требуют согласия субъекта и базовых мер защиты. Чувствительные данные требуют большего: явного письменного согласия с указанием конкретной цели, усиленных технических мер защиты и, как правило, ограниченного круга лиц, имеющих доступ.
Разница проявляется и в последствиях нарушений. Утечка обычных данных — административный штраф и репутационный ущерб. Утечка чувствительных данных — те же санкции плюс реальный риск гражданских исков от пострадавших субъектов, поскольку ущерб от раскрытия диагноза или судимости поддаётся денежной оценке.
- Обычные данные: согласие + базовая защита
- Чувствительные данные: явное письменное согласие + усиленная защита + ограниченный доступ
- Обработка без согласия: допустима только в исключительных случаях, прямо предусмотренных законом
Биометрия: когда данные становятся чувствительными?
Биометрические данные признаются чувствительными тогда, когда они используются для идентификации конкретного человека. Отпечаток пальца в СКУД, геометрия лица в системе распознавания, запись голоса для верификации — всё это чувствительные данные, требующие отдельного письменного согласия каждого сотрудника или посетителя.
Видеозапись сама по себе не является биометрией, если она не обрабатывается системой распознавания лиц. Обычная камера видеонаблюдения в офисе — это обработка персональных данных (изображение человека), но не чувствительных. Как только к записи подключается алгоритм идентификации — статус меняется.
Для собственника это означает: перед внедрением любой биометрической системы необходимо разработать форму согласия, определить цель обработки, срок хранения и порядок уничтожения данных. Использование биометрии без согласия — нарушение, которое сложно скрыть при проверке.
Данные о здоровье сотрудников: что можно собирать работодателю?
Данные о состоянии здоровья — одна из наиболее распространённых категорий чувствительных данных, с которой сталкивается практически любой работодатель в Казахстане. Медицинские справки, результаты обязательных медосмотров, больничные листы — всё это чувствительные персональные данные.
Работодатель вправе собирать медицинские данные только в объёме, прямо необходимом для исполнения трудовых обязанностей или требований законодательства. Справка о профпригодности для водителя или медкнижка для работника общепита — законное основание. Хранить диагнозы, историю болезни или данные о хронических заболеваниях сверх этого минимума без явного согласия сотрудника нельзя.
Отдельный вопрос — доступ к медицинским данным внутри компании. Даже если согласие получено, круг лиц, имеющих доступ к таким сведениям, должен быть минимальным и обоснованным. HR-менеджер, обрабатывающий больничные, не должен автоматически иметь доступ к диагнозам.
Кто является оператором персональных данных и какова его ответственность?
Оператором персональных данных в Казахстане признаётся любое лицо — государственный орган, компания или индивидуальный предприниматель — которое организует и осуществляет обработку персональных данных. Фактически это любой бизнес, ведущий базу клиентов, сотрудников или контрагентов.
Обязательства оператора включают: получение согласий субъектов, разработку политики конфиденциальности, уведомление уполномоченного органа об обработке данных в информационных системах, обеспечение технической защиты баз данных и реагирование на запросы субъектов. Для оператора чувствительных данных каждое из этих требований ужесточается.
Ответственность за нарушения — административная: санкции исчисляются в МРП и зависят от характера нарушения. При утечке чувствительных данных возникает дополнительный риск гражданских исков от пострадавших субъектов. Уполномоченный орган вправе выдать предписание об устранении нарушений и провести проверку.
Как правильно оформить согласие на обработку чувствительных данных?
Согласие на обработку чувствительных персональных данных должно быть письменным, явным и конкретным. Это означает: отдельный документ или отдельный раздел с явной пометкой о чувствительных данных, указание конкретной категории данных, цели обработки, срока хранения и перечня лиц, которым данные могут быть переданы.
Общее согласие на обработку персональных данных, включающее одной строкой «в том числе чувствительных», юридически уязвимо. При проверке или судебном споре такое согласие может быть признано недействительным — суды и уполномоченный орган, как правило, трактуют неопределённость не в пользу оператора.
- Отдельный документ или явно выделенный раздел
- Конкретная категория данных (не «иные данные»)
- Цель обработки — конкретная, не «для нужд компании»
- Срок хранения и порядок уничтожения
- Право на отзыв согласия и последствия отзыва
Частые вопросы
1. Что такое чувствительные персональные данные?
Чувствительные персональные данные — это особая категория сведений о человеке, обработка которых требует усиленной защиты и, как правило, явного письменного согласия субъекта. Казахстанский Закон о персональных данных и их защите относит к ним сведения о расовой и национальной принадлежности, политических взглядах, религиозных и философских убеждениях, состоянии здоровья, половой жизни, судимостях, а также биометрические данные. Ключевое отличие от обычных персональных данных — повышенный риск дискриминации или иного ущерба для субъекта при несанкционированном раскрытии.
2. Можно ли использовать видеонаблюдение в офисе?
Видеонаблюдение в офисе в Казахстане допустимо, но требует соблюдения ряда условий. Работодатель обязан уведомить сотрудников о ведении съёмки — как правило, это делается в трудовом договоре или отдельном локальном акте. Если камеры фиксируют биометрические параметры (лицо для идентификации, отпечатки пальцев для СКУД), такие данные признаются чувствительными и требуют письменного согласия каждого сотрудника. Простая запись без идентификации личности под это требование не подпадает, однако уведомление всё равно обязательно.
3. Как правильно собирать cookies на сайте в Казахстане?
Сбор cookies, которые позволяют идентифицировать пользователя, является обработкой персональных данных по казахстанскому законодательству. Сайт обязан до начала сбора получить согласие пользователя — через cookie-баннер с возможностью отказа от необязательных категорий. Политика конфиденциальности должна быть доступна на сайте и описывать цели сбора, сроки хранения и порядок отзыва согласия. Технические (строго необходимые) cookies согласия не требуют, аналитические и маркетинговые — требуют.
4. Что делать при запросе субъекта персональных данных?
При получении запроса от субъекта персональных данных оператор обязан ответить в срок, установленный Законом о персональных данных и их защите. Субъект вправе запросить подтверждение факта обработки, получить копию своих данных, потребовать исправления неточных сведений или уничтожения данных при отзыве согласия. Рекомендуется зафиксировать дату получения запроса, назначить ответственное лицо и хранить переписку. Игнорирование запроса влечёт административную ответственность оператора.
5. Кто считается оператором персональных данных в Казахстане?
Оператором персональных данных в Казахстане признаётся государственный орган, физическое или юридическое лицо, которое самостоятельно или совместно с другими лицами организует и осуществляет обработку персональных данных. Фактически любая компания, которая собирает данные клиентов, сотрудников или контрагентов — ФИО, телефоны, email, ИИН — является оператором и несёт все обязательства по Закону о персональных данных и их защите. Это означает необходимость разработать политику конфиденциальности, получать согласия и обеспечивать защиту баз данных.
6. Нужно ли согласие на обработку данных сотрудников?
Да, согласие на обработку персональных данных сотрудников в Казахстане требуется. Оно оформляется в письменной форме — как правило, как отдельный документ или раздел трудового договора. Для обычных данных (ФИО, ИИН, адрес, банковские реквизиты) достаточно стандартного согласия. Для чувствительных данных — медицинских справок, биометрии для СКУД — требуется отдельное явное согласие с указанием конкретной цели. Согласие должно быть добровольным: принуждение к подписанию под угрозой отказа в трудоустройстве юридически уязвимо.
7. Что такое биометрические данные и как их защищать?
Биометрические данные — это физиологические или поведенческие характеристики человека, позволяющие его однозначно идентифицировать: отпечатки пальцев, геометрия лица, рисунок сетчатки, голос. В Казахстане они отнесены к чувствительным персональным данным и требуют усиленной защиты. Компания, использующая биометрию (например, СКУД по отпечатку пальца), обязана получить письменное согласие каждого субъекта, обеспечить шифрование хранилища и ограничить доступ к данным. Передача биометрии третьим лицам без согласия субъекта запрещена.
8. Какие данные о здоровье сотрудников можно собирать работодателю?
Работодатель в Казахстане вправе собирать данные о здоровье сотрудников только в объёме, необходимом для исполнения трудовых обязанностей или требований законодательства. Например, медицинская книжка для работников общепита или справка о профпригодности для водителей — законное основание. Хранить диагнозы, историю болезни или иные медицинские сведения сверх этого минимума без явного согласия сотрудника запрещено. Такие данные относятся к чувствительным и требуют отдельного согласия с указанием цели обработки.
9. Что грозит за нарушение законодательства о персональных данных в Казахстане?
За нарушение требований Закона о персональных данных и их защите в Казахстане предусмотрена административная ответственность. Размер санкций определяется в МРП и зависит от характера нарушения: незаконная обработка, непредоставление сведений субъекту, нарушение требований к защите данных. Помимо штрафов, возможно предписание об устранении нарушений. При утечке чувствительных данных риски существенно выше — вплоть до гражданских исков от пострадавших субъектов. Систематические нарушения могут привлечь внимание уполномоченного органа.
10. Нужно ли регистрировать базы данных персональных данных в Казахстане?
Казахстанское законодательство предусматривает уведомительный порядок для операторов, обрабатывающих персональные данные в информационных системах. Оператор обязан уведомить уполномоченный орган об обработке персональных данных до начала такой обработки. Это требование распространяется на большинство компаний, ведущих электронные базы клиентов или сотрудников. Отсутствие уведомления — самостоятельное основание для привлечения к административной ответственности, даже если сама обработка данных ведётся корректно.
11. Можно ли передавать персональные данные за рубеж?
Трансграничная передача персональных данных из Казахстана допустима при соблюдении условий, установленных Законом о персональных данных и их защите. Передача возможна в страны, обеспечивающие адекватный уровень защиты данных, либо при наличии согласия субъекта на такую передачу. Для чувствительных данных требования строже: необходимо явное согласие субъекта с указанием страны-получателя и цели передачи. Компании, использующие зарубежные облачные сервисы для хранения данных казахстанских пользователей, должны проверить соответствие этим требованиям.
12. Что такое политика конфиденциальности и обязательна ли она?
Политика конфиденциальности — это документ, в котором оператор раскрывает, какие персональные данные он собирает, с какой целью, как хранит и кому передаёт. В Казахстане наличие такого документа фактически обязательно для любой компании, собирающей данные через сайт или иные каналы. Политика должна быть доступна пользователю до момента предоставления данных — как правило, ссылка размещается в форме сбора данных. Отсутствие политики или её формальное содержание без реального описания процессов — типичное нарушение при проверках.
13. Как провести аудит персональных данных в компании?
Аудит персональных данных включает несколько этапов: инвентаризацию всех потоков данных (что собирается, где хранится, кто имеет доступ), проверку наличия и актуальности согласий субъектов, оценку технических мер защиты, анализ договоров с третьими лицами на предмет условий обработки данных. По итогам аудита формируется реестр обработки и план устранения нарушений. Для компаний, работающих с чувствительными данными, аудит рекомендуется проводить не реже одного раза в год.
14. Распространяется ли казахстанский закон о персональных данных на иностранные компании?
Казахстанский Закон о персональных данных и их защите распространяется на операторов, осуществляющих обработку данных граждан и резидентов Республики Казахстан, вне зависимости от места регистрации оператора. Иностранная компания, собирающая данные казахстанских пользователей через сайт или приложение, формально подпадает под действие закона. На практике это означает необходимость соблюдать требования к согласию, политике конфиденциальности и трансграничной передаче данных при работе с казахстанской аудиторией.
15. Чем отличаются персональные данные от общедоступных?
Общедоступные персональные данные — это сведения, которые субъект самостоятельно раскрыл неограниченному кругу лиц: например, имя и должность в открытом профиле или публикация в СМИ. Такие данные можно обрабатывать без отдельного согласия, но только в тех целях, для которых они были раскрыты. Если компания использует общедоступные данные в иных целях — например, для таргетированной рекламы — это уже требует согласия субъекта. Чувствительные данные не могут стать общедоступными даже при добровольном раскрытии субъектом.
Выводы
Чувствительные персональные данные — это закрытый перечень категорий сведений (здоровье, биометрия, судимости, убеждения), обработка которых по казахстанскому законодательству требует явного письменного согласия и усиленной защиты. Для собственника бизнеса практический вывод прост: если ваша компания касается хотя бы одной из этих категорий — медосмотры сотрудников, биометрический СКУД, анкеты при найме — необходимо проверить наличие корректных согласий, политики конфиденциальности и технических мер защиты. Нарушения в этой области влекут административную ответственность и риск гражданских исков от субъектов данных.
Актуально на: 20 октября 2026 года.
Если ситуация требует внимания — мы поможем разобраться.
Смежные направления
Направление практики
Персональные данные и IT-право — соответствие Закону о персональных данных, трансграничная передача, аудит обработки и IT-договоры.