Как долго можно хранить персональные данные в Казахстане: что важно знать
Казахстанское законодательство не устанавливает единый срок хранения персональных данных: данные хранятся ровно столько, сколько необходимо для достижения цели их сбора, после чего подлежат уничтожению или обезличиванию. Для топ-менеджера это означает прямую ответственность: хранение данных сверх обоснованного срока — нарушение Закона о персональных данных и их защите, которое выявляется при плановых и внеплановых проверках уполномоченного органа.
Если вы не уверены, соответствует ли ваша компания требованиям по срокам хранения данных — лучше проверить до проверки уполномоченного органа. Проверить обработку персональных данных · info@vetrovkz.com
Что определяет срок хранения персональных данных в Казахстане?
Срок хранения персональных данных определяется целью их обработки — это ключевой принцип казахстанского законодательства в данной сфере. Данные не могут храниться дольше, чем это необходимо для достижения той цели, ради которой они собирались.
На практике это означает следующее: если вы собрали контактные данные клиента для исполнения разового договора, а договор исполнен и все сроки исковой давности истекли — правового основания для дальнейшего хранения нет. Продолжение хранения без основания квалифицируется как нарушение.
Вместе с тем ряд нормативных актов устанавливает минимальные сроки хранения для отдельных категорий документов. Кадровые документы, содержащие персональные данные сотрудников, хранятся десятилетиями. Бухгалтерские документы с данными контрагентов — как правило, не менее пяти лет. Эти требования имеют приоритет над общим принципом «цели обработки».
Таким образом, для каждой категории данных в компании должен быть определён конкретный срок хранения — и это должно быть зафиксировано документально.
Если в вашей компании нет регламента уничтожения данных — это типичное основание для предписания при проверке уполномоченного органа.
Проверить обработку персональных данныхКакие категории данных требуют особого внимания при определении сроков?
Не все персональные данные одинаковы с точки зрения требований к срокам хранения. Закон о персональных данных и их защите выделяет специальные (чувствительные) категории, для которых установлены более строгие правила.
К таким категориям относятся: сведения о состоянии здоровья, биометрические данные, данные о судимостях, политических и религиозных взглядах. Их обработка допускается только при наличии явного письменного согласия субъекта или в прямо предусмотренных законом случаях. Срок хранения таких данных должен быть минимально необходимым и чётко обоснованным.
Для работодателей особую зону риска представляют медицинские данные сотрудников (справки, больничные листы) и биометрия (системы контроля доступа по отпечатку пальца или лицу). Эти данные нередко хранятся годами без пересмотра сроков — и именно здесь при проверках чаще всего выявляются нарушения.
Как правильно уничтожить персональные данные после истечения срока хранения?
Уничтожение персональных данных — это не просто удаление файла в корзину. Закон требует, чтобы данные были уничтожены без возможности восстановления, а факт уничтожения был зафиксирован документально.
На практике это означает: физические носители (бумажные документы) уничтожаются с составлением акта; электронные данные удаляются из всех систем, включая резервные копии и архивы. Именно резервные копии — наиболее частая «слепая зона»: компании удаляют данные из основной базы, но забывают о бэкапах на серверах или в облаке.
Альтернатива уничтожению — обезличивание: приведение данных в форму, при которой невозможно установить их принадлежность конкретному лицу. Обезличенные данные могут использоваться для аналитики без ограничений по срокам.
Что должно быть в политике обработки персональных данных компании?
Политика обработки персональных данных — обязательный публичный документ для любой компании, собирающей данные клиентов, сотрудников или партнёров. Её отсутствие или формальное содержание — одно из наиболее распространённых нарушений.
Документ должен содержать: перечень категорий обрабатываемых данных, цели обработки для каждой категории, сроки хранения, перечень третьих лиц, которым данные передаются, а также порядок реализации прав субъектов данных (запрос, исправление, уничтожение).
Для сайтов обязательно наличие отдельного раздела о cookies: какие типы используются, с какой целью, как долго хранятся и как пользователь может от них отказаться. Политика должна быть доступна по прямой ссылке с любой страницы сайта.
Какова ответственность топ-менеджера за нарушения в сфере персональных данных?
Директор подписывает внутренние политики и несёт персональную административную ответственность за нарушения в сфере персональных данных — это прямое следствие его должностного положения.
Административная ответственность предусмотрена как для юридического лица (оператора), так и для должностных лиц. Размер санкций исчисляется в МРП — в 2026 году МРП составляет 4 325 тенге (по состоянию на 2026 год). Повторные нарушения влекут более строгие взыскания.
Помимо административной ответственности, субъект данных вправе обратиться в суд с требованием о возмещении ущерба. Репутационные последствия публичного раскрытия нарушений — особенно утечки данных клиентов — зачастую превышают размер формальных штрафов.
Назначение ответственного за защиту персональных данных и выстраивание внутренних процедур — это не формальность, а реальный инструмент снижения личных рисков руководителя.
Частые вопросы
1. Как долго можно хранить персональные данные?
Казахстанское законодательство не устанавливает единый универсальный срок хранения персональных данных. Общее правило: данные хранятся не дольше, чем этого требует цель их сбора. Как только цель достигнута — данные подлежат уничтожению или обезличиванию. Для отдельных категорий данных действуют специальные сроки: кадровые документы хранятся, как правило, не менее 75 лет, бухгалтерские — не менее 5 лет. Если вы обрабатываете данные на основании согласия субъекта, срок хранения должен быть прямо указан в тексте согласия. Хранение данных сверх установленного срока без правового основания является нарушением Закона о персональных данных и их защите.
2. Нужно ли согласие на обработку данных сотрудников?
Согласие сотрудника на обработку его персональных данных требуется не всегда. Трудовой кодекс РК допускает обработку данных, необходимых для исполнения трудового договора, без отдельного согласия. Это касается, например, передачи данных в налоговые органы, пенсионный фонд, банк для выплаты зарплаты. Однако для обработки данных, выходящей за рамки трудовых отношений — публикация фото сотрудника на сайте компании, передача данных третьим лицам в маркетинговых целях — согласие обязательно. Согласие должно быть добровольным, конкретным и информированным. Принуждение к подписанию согласия как условие трудоустройства противоречит закону.
3. Что такое чувствительные персональные данные?
Чувствительные (специальные) персональные данные — это категория сведений, обработка которых требует повышенной защиты. К ним относятся данные о расовой и национальной принадлежности, политических взглядах, религиозных убеждениях, состоянии здоровья, судимостях, биометрические данные. Закон о персональных данных и их защите устанавливает для этой категории более строгие требования: обработка допускается только с явного письменного согласия субъекта либо в прямо предусмотренных законом случаях. Работодатели, обрабатывающие медицинские данные сотрудников или биометрию для контроля доступа, обязаны обеспечить их особую защиту и хранить отдельно от обычных персональных данных.
4. Можно ли использовать видеонаблюдение в офисе?
Видеонаблюдение в офисе допустимо при соблюдении ряда условий. Во-первых, сотрудники должны быть заблаговременно уведомлены о ведении съёмки — как правило, это оформляется приказом и подписью в листе ознакомления. Во-вторых, цель видеонаблюдения должна быть законной и соразмерной: охрана имущества, безопасность — допустимые цели; тотальный контроль за производительностью без уведомления — нет. В-третьих, видеозаписи являются персональными данными и подпадают под действие Закона о персональных данных и их защите. Срок хранения записей должен быть обоснован и зафиксирован во внутренних документах компании. Установка скрытых камер в санузлах и раздевалках запрещена.
5. Как правильно собирать cookies на сайте в Казахстане?
Если cookies позволяют идентифицировать пользователя — они являются персональными данными и требуют соблюдения Закона о персональных данных и их защите. Для аналитических и маркетинговых cookies необходимо получить согласие пользователя до их установки. Технические cookies, необходимые для работы сайта, согласия не требуют. На практике это означает: при первом визите пользователь должен видеть баннер с информацией о cookies и возможностью отказаться от необязательных категорий. Политика конфиденциальности сайта должна описывать, какие cookies используются, с какой целью и как долго хранятся. Отсутствие cookie-баннера при использовании аналитических инструментов — типичное нарушение, выявляемое при аудите.
6. Что происходит с данными после достижения цели обработки?
После достижения цели обработки персональные данные подлежат уничтожению или обезличиванию. Уничтожение означает полное удаление данных без возможности восстановления — включая резервные копии и архивы. Обезличивание — приведение данных в форму, при которой невозможно установить принадлежность конкретному лицу. Закон о персональных данных и их защите обязывает оператора зафиксировать факт уничтожения документально. На практике компании нередко забывают об архивных базах данных, резервных копиях на серверах или старых CRM-системах — именно там чаще всего обнаруживаются нарушения при проверках уполномоченного органа.
7. Кто в компании несёт ответственность за соблюдение требований по персональным данным?
Ответственность за соблюдение требований законодательства о персональных данных несёт оператор — то есть юридическое лицо, которое определяет цели и способы обработки данных. На практике это означает, что ответственность лежит на компании как таковой, а не только на конкретном сотруднике. Вместе с тем топ-менеджер, подписавший внутренние политики или давший указание на незаконную обработку данных, может нести персональную административную ответственность. Назначение ответственного за защиту персональных данных (DPO или аналогичная роль) — рекомендуемая практика для компаний, обрабатывающих данные в значительных объёмах.
8. Какие документы должны быть у компании по персональным данным?
Минимальный пакет документов включает: политику обработки персональных данных (публичный документ на сайте и во внутреннем обороте), согласия субъектов на обработку данных, перечень обрабатываемых категорий данных и целей обработки, договоры с третьими лицами, которым передаются данные (операторами-обработчиками), а также регламент уничтожения данных с актами об уничтожении. Для работодателей обязательны также уведомления сотрудников об обработке их данных. Отсутствие хотя бы одного из этих документов — типичное основание для предписания уполномоченного органа по итогам проверки.
9. Нужно ли уведомлять уполномоченный орган о начале обработки данных?
Казахстанское законодательство не предусматривает обязательной предварительной регистрации или уведомления уполномоченного органа о начале обработки персональных данных в общем случае. Однако оператор обязан по запросу уполномоченного органа предоставить сведения об обрабатываемых данных, целях и сроках обработки. Фактически это означает, что компания должна в любой момент быть готова документально подтвердить законность своей деятельности по обработке данных. Отдельные виды обработки — например, трансграничная передача данных — могут требовать дополнительных правовых оснований и документального оформления.
10. Что такое трансграничная передача персональных данных и когда она допустима?
Трансграничная передача персональных данных — это передача данных на серверы или третьим лицам, находящимся за пределами Казахстана. Закон о персональных данных и их защите допускает такую передачу при условии, что страна-получатель обеспечивает адекватный уровень защиты данных, либо субъект данных дал на это явное согласие. На практике использование зарубежных облачных сервисов, CRM-систем или HR-платформ с серверами за рубежом означает трансграничную передачу. Компании нередко не осознают этого факта, что создаёт правовые риски. Перед выбором зарубежного поставщика IT-услуг рекомендуется провести правовую оценку условий обработки данных.
11. Какова ответственность за нарушение законодательства о персональных данных в Казахстане?
За нарушение требований Закона о персональных данных и их защите предусмотрена административная ответственность. Уполномоченный орган вправе выносить предписания об устранении нарушений, налагать административные взыскания на должностных лиц и юридические лица. Размер санкций определяется в МРП — в 2026 году МРП составляет 4 325 тенге (по состоянию на 2026 год). Повторные нарушения влекут более строгие санкции. Помимо административной ответственности, субъект данных вправе обратиться в суд с требованием о возмещении ущерба, причинённого незаконной обработкой его данных. Репутационные риски при публичном раскрытии нарушений зачастую превышают размер формальных штрафов.
12. Как долго хранить данные клиентов интернет-магазина?
Данные клиентов интернет-магазина хранятся в течение срока, необходимого для исполнения договора и соблюдения требований законодательства. Данные о транзакциях и покупках, как правило, должны храниться не менее 5 лет в соответствии с требованиями бухгалтерского и налогового законодательства. Контактные данные для маркетинговых рассылок хранятся до отзыва согласия субъектом. После истечения установленного срока данные подлежат уничтожению. Рекомендуется закрепить сроки хранения каждой категории данных в политике конфиденциальности и внутреннем регламенте — это упрощает управление данными и снижает риски при проверках.
13. Обязана ли компания отвечать на запросы субъектов данных?
Да, оператор обязан ответить на запрос субъекта персональных данных. Субъект вправе запросить информацию о том, какие его данные обрабатываются, с какой целью и кому они передаются. Он также вправе потребовать исправления неточных данных или их уничтожения. Закон о персональных данных и их защите устанавливает срок для ответа на такой запрос. Игнорирование запросов субъектов — одно из наиболее распространённых нарушений, выявляемых при проверках. Рекомендуется назначить ответственное лицо для обработки таких запросов и зафиксировать процедуру во внутреннем регламенте.
14. Нужно ли локализовать данные казахстанских пользователей в Казахстане?
Казахстанское законодательство содержит требования о локализации персональных данных граждан РК на серверах, расположенных на территории Казахстана. Это требование распространяется на операторов, осуществляющих сбор и обработку данных казахстанских пользователей. На практике компании, использующие зарубежные облачные платформы без казахстанских дата-центров, могут нарушать это требование. Уполномоченный орган вправе проверить соблюдение требований локализации. При выборе IT-инфраструктуры рекомендуется заблаговременно уточнить, где физически расположены серверы поставщика и предусмотрена ли возможность хранения данных в Казахстане.
15. Как провести аудит персональных данных в компании?
Аудит персональных данных включает несколько этапов. Первый — инвентаризация: определить, какие категории данных обрабатываются, где хранятся, кто имеет к ним доступ. Второй — правовой анализ: проверить наличие правовых оснований для каждой категории обработки (согласие, договор, закон). Третий — документарная проверка: оценить полноту и актуальность политики конфиденциальности, согласий, договоров с обработчиками. Четвёртый — технический анализ: проверить защиту данных на уровне IT-систем. Пятый — план устранения нарушений с приоритизацией по уровню риска. Аудит рекомендуется проводить не реже одного раза в год, а также при существенных изменениях в бизнес-процессах или IT-инфраструктуре.
Выводы
Срок хранения персональных данных в Казахстане определяется целью их обработки: данные хранятся ровно столько, сколько необходимо, после чего подлежат уничтожению или обезличиванию. Для отдельных категорий — кадровые, бухгалтерские документы — действуют специальные минимальные сроки, установленные отраслевым законодательством. Топ-менеджер несёт персональную административную ответственность за нарушения в этой сфере, а наиболее частые нарушения связаны не с умыслом, а с отсутствием системы: нет регламента уничтожения, нет учёта резервных копий, нет актуальной политики конфиденциальности.
Актуально на: 1 января 2026 года.
Если ситуация требует внимания — мы поможем разобраться.
Смежные направления
Направление практики
Персональные данные и IT-право — соответствие Закону о персональных данных, трансграничная передача, аудит обработки и IT-договоры.