Как долго можно хранить персональные данные в Казахстане: 5 ключевых вопросов
Казахстанское законодательство не устанавливает единый срок хранения персональных данных: данные хранятся ровно столько, сколько нужно для достижения цели их сбора, — после чего подлежат уничтожению или обезличиванию. Конкретные сроки определяются согласием субъекта, договором или требованиями отраслевых нормативных актов. Ниже — пять вопросов, которые чаще всего возникают у операторов персональных данных в Казахстане.
Не уверены, соответствует ли ваша политика хранения данных требованиям казахстанского законодательства? Проверить обработку персональных данных · info@vetrovkz.com
Как долго можно хранить персональные данные в Казахстане?
Единого универсального срока нет: Закон о персональных данных и их защите закрепляет принцип целевого хранения — данные хранятся до момента, когда цель их обработки достигнута или утратила актуальность. После этого оператор обязан уничтожить данные или обезличить их так, чтобы идентификация субъекта стала невозможной.
На практике сроки формируются из трёх источников. Первый — согласие субъекта: если в согласии указан конкретный срок, оператор обязан его соблюдать. Второй — договор с субъектом: данные, необходимые для исполнения договора, хранятся в течение срока его действия плюс срок исковой давности. Третий — отраслевое законодательство: Трудовой кодекс РК требует хранить кадровые документы не менее 75 лет, бухгалтерские первичные документы — не менее 5 лет.
Если специального срока ни один из источников не устанавливает, разумным ориентиром служит общий срок исковой давности по казахстанскому гражданскому законодательству — три года с момента, когда основание для хранения данных отпало. Это не жёсткое правило, но оно защищает оператора от претензий в случае спора.
Важно фиксировать сроки хранения в политике конфиденциальности и внутренних регламентах. Отсутствие документально закреплённых сроков — типичное нарушение, которое выявляется при проверках уполномоченного органа.
Если ваша компания собирает биометрию или публикует данные сотрудников — стоит проверить, есть ли корректные согласия и соответствуют ли они требованиям закона.
Проверить обработку персональных данныхНужно ли согласие на обработку данных сотрудников?
Согласие сотрудника требуется не для всех категорий данных: обработка сведений, необходимых для исполнения трудового договора, осуществляется без отдельного согласия — правовым основанием служит сам договор.
Без согласия работодатель вправе обрабатывать ФИО, ИИН, банковские реквизиты для выплаты зарплаты, сведения об образовании и квалификации, данные о трудовом стаже. Всё это — информация, необходимая для выполнения обязательств по трудовому договору и соблюдения требований Трудового кодекса РК.
Согласие потребуется в следующих случаях: сбор биометрических данных (сканирование отпечатков пальцев для СКУД), обработка сведений о состоянии здоровья сверх обязательного медосмотра, публикация фотографий сотрудника в корпоративных материалах или на сайте, передача данных третьим лицам — кроме случаев, прямо предусмотренных законом.
Принципиальный момент: согласие должно быть добровольным. Если работодатель ставит подписание согласия условием трудоустройства, это противоречит духу Закона о персональных данных и их защите. Суды и уполномоченный орган оценивают реальную добровольность, а не формальное наличие подписи.
Что такое чувствительные персональные данные и как их хранить?
Казахстанский Закон о персональных данных и их защите выделяет специальную категорию — чувствительные данные, обработка которых допускается только при наличии явного согласия субъекта или в случаях, прямо предусмотренных законом.
К чувствительным относятся: расовое и этническое происхождение, политические взгляды, религиозные и философские убеждения, сведения о состоянии здоровья, биометрические данные (отпечатки пальцев, данные систем распознавания лица), сведения о судимости и уголовном преследовании.
Требования к хранению чувствительных данных строже, чем для обычных. Оператор обязан: хранить их отдельно от прочих персональных данных, ограничить круг лиц, имеющих доступ, применять шифрование при хранении и передаче, установить сокращённые сроки хранения — только на период, необходимый для достижения цели.
Нарушение режима обработки чувствительных данных влечёт повышенную административную ответственность. Если ваша компания обрабатывает биометрию — например, использует СКУД с распознаванием лица — рекомендуется провести отдельный аудит этого направления.
Можно ли использовать видеонаблюдение в офисе в Казахстане?
Видеонаблюдение в офисе законно при соблюдении трёх условий: уведомление сотрудников, наличие задокументированной цели и установленный срок хранения записей.
Видеозапись, позволяющая идентифицировать конкретного человека, признаётся персональными данными. Это означает, что на неё распространяются все требования Закона о персональных данных и их защите: цель обработки должна быть законной и соразмерной, данные нельзя использовать для иных целей без дополнительного согласия.
Работодатель обязан уведомить сотрудников о ведении видеозаписи до её начала. Это делается в трудовом договоре, правилах внутреннего трудового распорядка или отдельном локальном акте. Размещение предупреждающих табличек в зонах съёмки — дополнительная, но не заменяющая мера.
Срок хранения видеозаписей следует закрепить в локальном акте. Как правило, 30 дней достаточно для большинства целей (контроль безопасности, расследование инцидентов). Съёмка в зонах, где сотрудники обоснованно ожидают приватности — туалеты, раздевалки — запрещена вне зависимости от наличия согласия.
Как правильно собирать cookies на сайте в Казахстане?
Если cookies позволяют идентифицировать конкретного пользователя, они признаются персональными данными по казахстанскому законодательству — и на их сбор распространяются требования Закона о персональных данных и их защите.
Технические cookies, без которых сайт не может функционировать (сессионные идентификаторы, корзина в интернет-магазине), как правило, не требуют отдельного согласия. Аналитические cookies (счётчики посещаемости, тепловые карты) и маркетинговые cookies (ретаргетинг, профилирование) — требуют явного согласия пользователя до начала их установки.
Корректная реализация включает несколько элементов: баннер с чёткой формулировкой о целях сбора cookies и возможностью отказа от необязательных категорий; политику конфиденциальности с указанием оператора, целей, сроков хранения и порядка уничтожения данных; техническую возможность для пользователя отозвать согласие так же легко, как оно было дано.
Политика конфиденциальности должна быть постоянно доступна на сайте — как правило, ссылка размещается в подвале. Отсутствие политики или её формальное содержание без реальных сведений об обработке — распространённое нарушение, на которое обращает внимание уполномоченный орган при проверках.
Что происходит, если срок хранения истёк: обязанность уничтожить данные
По истечении срока хранения оператор обязан уничтожить персональные данные или обезличить их — это прямое требование Закона о персональных данных и их защите, а не рекомендация.
Уничтожение означает приведение данных в состояние, при котором восстановление информации о субъекте невозможно. Для электронных данных — безвозвратное удаление с перезаписью или физическое уничтожение носителя. Для бумажных документов — шредирование с составлением акта. Простое перемещение файлов в корзину или архив без ограничения доступа уничтожением не считается.
Обезличивание — альтернатива уничтожению: данные преобразуются так, что идентификация субъекта без дополнительной информации становится невозможной. Обезличенные данные можно хранить и использовать для статистических и аналитических целей без ограничений по сроку.
Рекомендуется вести реестр операций по уничтожению данных с указанием категории данных, даты уничтожения и ответственного лица. Это защищает оператора при проверках и позволяет доказать соблюдение требований закона.
Частые вопросы
1. Как долго можно хранить персональные данные в Казахстане?
Казахстанское законодательство не устанавливает единый универсальный срок хранения персональных данных. Ключевой принцип — данные хранятся ровно столько, сколько необходимо для достижения цели, ради которой они собирались. Как только цель достигнута, данные подлежат уничтожению или обезличиванию. На практике конкретные сроки определяются тремя источниками: согласием субъекта, договором с субъектом и требованиями отраслевого законодательства. Например, кадровые документы по трудовому законодательству хранятся не менее 75 лет, бухгалтерские первичные документы — не менее 5 лет. Если специального срока нет — ориентируйтесь на срок исковой давности плюс разумный буфер.
2. Нужно ли согласие на обработку данных сотрудников?
Согласие сотрудника на обработку его персональных данных требуется не всегда. Трудовой кодекс РК и Закон о персональных данных и их защите разграничивают ситуации: обработка данных, необходимых для исполнения трудового договора (ФИО, ИИН, банковские реквизиты, сведения об образовании), осуществляется без отдельного согласия — правовым основанием служит сам договор. Согласие потребуется для обработки данных, выходящих за рамки трудовых отношений: биометрия, данные о здоровье, публикация фотографий сотрудника в корпоративных материалах. Важно: согласие должно быть добровольным. Принуждение к подписанию согласия как условие трудоустройства противоречит принципам закона.
3. Что такое чувствительные персональные данные в Казахстане?
Казахстанский Закон о персональных данных и их защите выделяет особую категорию — специальные (чувствительные) персональные данные. К ним относятся: расовое и этническое происхождение, политические взгляды, религиозные и философские убеждения, сведения о состоянии здоровья, биометрические данные (отпечатки пальцев, данные распознавания лица), сведения о судимости. Обработка таких данных допускается только при наличии явного согласия субъекта или в случаях, прямо предусмотренных законом. Хранить их нужно с повышенным уровнем защиты — отдельно от обычных персональных данных, с ограниченным доступом и обязательным шифрованием.
4. Можно ли использовать видеонаблюдение в офисе в Казахстане?
Видеонаблюдение в офисе в Казахстане допустимо, но требует соблюдения ряда условий. Работодатель обязан уведомить сотрудников о ведении видеозаписи — как правило, это делается в трудовом договоре или отдельном локальном акте. Видеозапись является персональными данными, поэтому на неё распространяются все требования Закона о персональных данных и их защите: наличие цели обработки, ограниченный срок хранения, защита от несанкционированного доступа. Съёмка в зонах, где сотрудники обоснованно ожидают приватности (туалеты, раздевалки), запрещена. Срок хранения видеозаписей рекомендуется устанавливать в локальном акте — как правило, не более 30 дней, если иное не требуется по закону или договору.
5. Как правильно собирать cookies на сайте в Казахстане?
Если cookies позволяют идентифицировать конкретного пользователя (например, через связку с аккаунтом или уникальным идентификатором), они признаются персональными данными по казахстанскому законодательству. В таком случае сайт обязан: до начала сбора уведомить пользователя о целях обработки, получить согласие на обработку (баннер с чёткой формулировкой и возможностью отказа), указать срок хранения данных в политике конфиденциальности. Технические cookies, необходимые для работы сайта, как правило, не требуют отдельного согласия. Аналитические и маркетинговые cookies — требуют. Политика конфиденциальности должна быть доступна на сайте и содержать сведения об операторе, целях, сроках и порядке уничтожения данных.
6. Что будет, если оператор хранит данные дольше установленного срока?
Хранение персональных данных сверх установленного срока является нарушением Закона о персональных данных и их защите. Уполномоченный орган вправе вынести предписание об устранении нарушения и привлечь оператора к административной ответственности. Субъект персональных данных при этом вправе потребовать уничтожения своих данных — и оператор обязан выполнить это требование в установленный законом срок. Систематическое нарушение сроков хранения может повлечь более серьёзные последствия при повторных проверках. Рекомендуется внедрить автоматизированный контроль сроков хранения — например, через систему управления документами с функцией напоминания об истечении срока.
7. Нужно ли регистрировать базу данных персональных данных в Казахстане?
Казахстанское законодательство предусматривает обязанность оператора уведомить уполномоченный орган о начале обработки персональных данных в ряде случаев. Требования к уведомлению и регистрации зависят от категории обрабатываемых данных и масштаба обработки. Обработка чувствительных данных, как правило, требует более строгого соблюдения процедур. Конкретный порядок уведомления установлен Законом о персональных данных и их защите и подзаконными актами. Рекомендуется проверить актуальные требования применительно к вашей деятельности — они могут различаться в зависимости от отрасли и типа обрабатываемых данных.
8. Как правильно оформить политику конфиденциальности в Казахстане?
Политика конфиденциальности — обязательный документ для любого оператора, обрабатывающего персональные данные через сайт или иные цифровые каналы. Она должна содержать: сведения об операторе (наименование, контактные данные), перечень обрабатываемых данных и цели их обработки, правовые основания обработки, сроки хранения по каждой категории данных, порядок уничтожения данных, права субъекта и порядок их реализации, сведения о передаче данных третьим лицам. Документ должен быть написан понятным языком — без юридических формул, недоступных рядовому пользователю. Формальная политика, скопированная из шаблона без адаптации к реальным процессам компании, не защищает оператора при проверке.
9. Можно ли передавать персональные данные за рубеж из Казахстана?
Трансграничная передача персональных данных из Казахстана допустима, но требует соблюдения условий, установленных Законом о персональных данных и их защите. Передача в страны, обеспечивающие адекватный уровень защиты данных, как правило, не требует дополнительных мер. Передача в страны без адекватного уровня защиты возможна при наличии согласия субъекта или при выполнении ряда условий, предусмотренных законом. Оператор несёт ответственность за соблюдение требований казахстанского законодательства даже после передачи данных за рубеж. При использовании зарубежных облачных сервисов (хранение данных на серверах за пределами РК) рекомендуется проверить соответствие этой практики требованиям закона.
10. Что такое обезличивание персональных данных и когда его применять?
Обезличивание — это преобразование персональных данных, при котором идентификация конкретного субъекта без использования дополнительной информации становится невозможной. После обезличивания данные перестают быть персональными и могут храниться и использоваться без ограничений, установленных Законом о персональных данных и их защите. Обезличивание применяют, когда данные нужны для статистики, аналитики или тестирования, но идентификация конкретных лиц не требуется. Важно: обезличивание должно быть необратимым. Псевдонимизация (замена имени на код при сохранении ключа соответствия) обезличиванием не является — данные остаются персональными. Правильно проведённое обезличивание — эффективный инструмент снижения регуляторных рисков.
11. Как субъект может потребовать удалить свои данные в Казахстане?
Субъект персональных данных вправе в любой момент потребовать от оператора уничтожения своих данных, если основание для их обработки отпало или субъект отзывает согласие. Требование подаётся в письменной форме или через электронный канал, предусмотренный оператором. Оператор обязан рассмотреть обращение и уничтожить данные в срок, установленный Законом о персональных данных и их защите, либо мотивированно отказать — если обработка данных основана не на согласии, а на законе (например, налоговое законодательство требует хранить данные). Рекомендуется предусмотреть в политике конфиденциальности и на сайте чёткий порядок подачи таких запросов — это снижает риск жалоб в уполномоченный орган. Подробнее о порядке работы с запросами субъектов — в материале «Что делать при запросе субъекта персональных данных в Казахстане».
12. Нужен ли ответственный за персональные данные в компании?
Казахстанское законодательство возлагает на оператора персональных данных обязанность обеспечить организационные и технические меры защиты данных. На практике это означает необходимость назначить ответственное лицо или подразделение, которое контролирует соблюдение требований закона внутри компании. Для крупных операторов, обрабатывающих значительные объёмы персональных данных или чувствительные категории, наличие выделенного специалиста по защите данных (аналог DPO в европейской практике) является признанной лучшей практикой. Ответственный за данные участвует в разработке политик, проводит внутренние аудиты, взаимодействует с уполномоченным органом и субъектами данных. Отсутствие назначенного ответственного лица — один из типичных недостатков, выявляемых при проверках.
13. Как проводится аудит соответствия требованиям о персональных данных?
Аудит персональных данных — это систематическая проверка того, как компания собирает, хранит, использует и уничтожает персональные данные, на соответствие требованиям Закона о персональных данных и их защите. Стандартный аудит включает несколько этапов: инвентаризацию всех потоков персональных данных в компании (что собирается, откуда, куда передаётся, как хранится), проверку правовых оснований для каждой операции обработки, анализ документации (политики, согласия, договоры с обработчиками), оценку технических мер защиты, проверку процедур реагирования на запросы субъектов и инциденты. По результатам аудита формируется план устранения выявленных несоответствий. Рекомендуется проводить аудит не реже одного раза в год, а также при существенных изменениях в бизнес-процессах.
14. Какие данные клиентов интернет-магазина считаются персональными в Казахстане?
Персональными данными в контексте интернет-магазина признаётся любая информация, позволяющая идентифицировать конкретного покупателя: ФИО, адрес доставки, номер телефона, адрес электронной почты, история заказов, данные платёжной карты (в части, хранимой магазином), IP-адрес в связке с аккаунтом. Интернет-магазин как оператор персональных данных обязан: получить согласие на обработку при регистрации, установить сроки хранения данных о клиентах, обеспечить техническую защиту данных, предусмотреть возможность для клиента удалить аккаунт и данные. Хранение данных о клиентах, которые не совершали покупок более 3 лет, без активного согласия на продолжение обработки — распространённое нарушение в электронной коммерции.
15. Что изменилось в регулировании персональных данных в Казахстане в последнее время?
Регулирование персональных данных в Казахстане последовательно ужесточается. Закон о персональных данных и их защите неоднократно дополнялся — в части требований к трансграничной передаче данных, обязанностей операторов при утечках, требований к локализации данных. Уполномоченный орган активизировал проверочную деятельность: число проверок операторов персональных данных растёт. Параллельно развивается правоприменение в сфере цифровых сервисов — требования к cookies, мобильным приложениям и облачным сервисам становятся предметом всё большего внимания регулятора. Актуальную информацию об изменениях в законодательстве о персональных данных можно найти в разделе Аналитика на нашем сайте.
Выводы
Срок хранения персональных данных в Казахстане определяется не единым нормативом, а целью обработки, условиями согласия и требованиями отраслевого законодательства. Ключевые риски для операторов — отсутствие задокументированных сроков хранения, некорректно оформленные согласия и хранение данных после того, как основание для обработки отпало. Видеонаблюдение, cookies, биометрия и данные сотрудников — каждая из этих категорий требует отдельного подхода с учётом требований Закона о персональных данных и их защите. Подробнее о сроках хранения по отдельным категориям данных — в материале «Как долго можно хранить персональные данные в Казахстане: частные случаи».
Актуально на: 13 октября 2026 года.
Если ситуация требует внимания — мы поможем разобраться.
Смежные направления
Направление практики
Персональные данные и IT-право — соответствие Закону о персональных данных, трансграничная передача, аудит обработки и IT-договоры.