Как долго можно хранить персональные данные в Казахстане: разъяснение
Казахстанское законодательство не устанавливает единый срок хранения персональных данных: данные хранятся ровно столько, сколько необходимо для достижения цели их сбора. Как только цель достигнута — данные подлежат уничтожению или обезличиванию. Конкретные сроки определяются договором, отраслевым законодательством или согласием субъекта.
Не уверены, соответствует ли ваша компания требованиям по срокам хранения данных? Проверить обработку персональных данных · info@vetrovkz.com
Что говорит казахстанский закон о сроках хранения данных?
Закон о персональных данных и их защите закрепляет принцип целевого ограничения: персональные данные не могут обрабатываться дольше, чем это необходимо для достижения цели, ради которой они собирались. Это базовое правило, от которого отталкиваются все остальные требования к срокам хранения.
Принцип работает следующим образом: оператор при сборе данных обязан определить конкретную цель обработки. Срок хранения вытекает из этой цели — он заканчивается, когда цель достигнута, отпала или стала недостижимой. Хранить данные «на всякий случай» или «вдруг пригодится» — не основание.
На практике срок хранения определяется одним из трёх способов: прямо указывается в согласии субъекта, вытекает из условий договора с субъектом, либо устанавливается специальным законодательством — трудовым, налоговым, архивным. Если применимы несколько оснований одновременно, данные хранятся до истечения наиболее длительного из них.
Важно понимать: отсутствие явно установленного срока не означает, что данные можно хранить бессрочно. В таком случае оператор обязан самостоятельно определить разумный срок, исходя из цели обработки, и закрепить его во внутренней политике.
Хотите понять, какие данные ваша компания хранит дольше допустимого — и что с этим делать?
Провести аудит персональных данныхКак определить срок хранения данных сотрудников?
Данные сотрудников — одна из наиболее объёмных и регулируемых категорий персональных данных для любого работодателя в Казахстане. Срок их хранения определяется пересечением нескольких массивов требований.
Трудовой кодекс РК и архивное законодательство устанавливают обязательные сроки хранения кадровых документов. Личные дела, трудовые договоры, приказы о приёме и увольнении, документы о заработной плате хранятся в течение длительных сроков — как правило, от пяти до семидесяти пяти лет в зависимости от категории документа. Эти сроки не зависят от желания работодателя и не могут быть сокращены.
После увольнения сотрудника основание для обработки его данных в рамках трудовых отношений прекращается. Однако архивное основание сохраняется: документы продолжают храниться в соответствии с установленными сроками. По истечении архивного срока документы подлежат уничтожению в установленном порядке с составлением акта.
- Трудовые договоры и дополнительные соглашения — хранятся длительный срок согласно архивным перечням
- Документы о заработной плате — хранятся в течение срока, необходимого для пенсионного учёта
- Резюме и документы отбора — уничтожаются после завершения найма (или хранятся с согласия кандидата)
- Медицинские справки — хранятся в течение срока, установленного санитарным законодательством
Как долго хранить данные клиентов после окончания договора?
После расторжения или исполнения договора с клиентом основание для обработки его персональных данных в рамках этого договора прекращается. Однако ряд данных должен храниться на иных правовых основаниях.
Налоговое законодательство обязывает хранить первичные учётные документы, содержащие персональные данные клиентов, в течение установленного срока — как правило, не менее пяти лет. Это самостоятельное основание для хранения, не зависящее от воли сторон договора.
Данные, необходимые для защиты в случае судебного спора, могут храниться в течение срока исковой давности по казахстанскому гражданскому законодательству плюс разумный период для урегулирования претензий. Это также признаётся законным основанием.
Если клиент дал отдельное согласие на маркетинговые коммуникации — данные для этой цели хранятся до отзыва согласия, независимо от статуса договора. Рекомендуется разработать матрицу данных: таблицу, где для каждой категории данных клиента указаны цель, основание и конкретный срок хранения.
Что значит «уничтожить» персональные данные?
Уничтожение персональных данных — это не просто удаление файла в корзину. Закон о персональных данных и их защите требует полного и безвозвратного прекращения существования данных, исключающего возможность их восстановления.
Для электронных данных это означает применение методов безопасного удаления: перезапись, криптографическое уничтожение ключей шифрования или физическое уничтожение носителя. Простое удаление файла или форматирование диска не является надлежащим уничтожением — данные могут быть восстановлены.
Для бумажных документов уничтожение производится путём шредирования или сжигания. Выбрасывать документы с персональными данными в обычный мусор — нарушение, которое создаёт риски как для субъектов данных, так и для оператора.
Факт уничтожения рекомендуется документировать: составлять акт с указанием даты, перечня уничтоженных данных, способа уничтожения и ответственного лица. Этот документ защищает оператора при проверках и при претензиях субъектов данных.
Чем обезличивание отличается от уничтожения данных?
Обезличивание — альтернатива уничтожению: данные не удаляются, но из них устраняются все признаки, позволяющие идентифицировать конкретного человека. После надлежащего обезличивания данные перестают быть персональными и могут использоваться без ограничений, установленных Законом о персональных данных.
Обезличивание применяется, когда данные сохраняют ценность для статистики, аналитики или улучшения продукта, но идентификация конкретного субъекта для этих целей не нужна. Например, история покупок клиента после расторжения договора может быть обезличена и использована для анализа потребительского поведения.
Ключевое требование: обезличивание должно быть необратимым. Псевдонимизация — замена имени на код при сохранении возможности обратного сопоставления — не является обезличиванием. Псевдонимизированные данные по-прежнему считаются персональными.
Как выстроить внутреннюю политику хранения данных в компании?
Внутренняя политика хранения персональных данных — документ, который систематизирует все требования к срокам и процедурам хранения применительно к конкретной компании. Его наличие снижает риски при проверках и упрощает работу сотрудников.
Политика должна охватывать все категории данных, которые обрабатывает компания: данные сотрудников, клиентов, контрагентов, посетителей сайта. Для каждой категории указываются: правовое основание обработки, конкретный срок хранения, ответственное подразделение, способ уничтожения по истечении срока.
Практический инструмент — реестр обработки персональных данных (data map): таблица, где каждая строка соответствует одной категории данных. Реестр позволяет быстро ответить на вопросы регулятора и субъектов данных, а также выявить категории данных, для которых срок хранения не определён.
- Определить все категории обрабатываемых данных и их источники
- Для каждой категории установить правовое основание и срок хранения
- Назначить ответственное лицо за контроль сроков
- Настроить автоматические напоминания или процедуры плановой очистки данных
- Документировать каждый факт уничтожения данных
Частые вопросы
1. Как долго можно хранить персональные данные в Казахстане?
Казахстанское законодательство не устанавливает единый универсальный срок хранения персональных данных. Закон о персональных данных и их защите закрепляет принцип: данные хранятся ровно столько, сколько необходимо для достижения цели, ради которой они собирались. Как только цель достигнута или отпала — данные подлежат уничтожению или обезличиванию. На практике это означает, что срок определяется либо договором, либо требованиями отраслевого законодательства (трудового, налогового, архивного), либо согласием субъекта. Например, данные сотрудника после увольнения хранятся в течение срока, установленного Трудовым кодексом РК и архивным законодательством — как правило, несколько лет. Данные клиента, собранные для исполнения договора, — в течение срока исковой давности плюс разумный период для урегулирования споров. Хранить данные дольше необходимого без правового основания — нарушение, за которое предусмотрена административная ответственность.
2. Нужно ли согласие на обработку данных сотрудников?
Согласие сотрудника на обработку его персональных данных требуется не всегда — это распространённое заблуждение среди работодателей. Закон о персональных данных и их защите допускает обработку без согласия, если она необходима для исполнения договора, стороной которого является субъект данных. Трудовой договор как раз является таким основанием: работодатель вправе обрабатывать данные сотрудника в объёме, необходимом для кадрового учёта, расчёта зарплаты, социального страхования и выполнения иных обязательных функций. Согласие потребуется для обработки сверх этого объёма: например, для публикации фотографии сотрудника на сайте компании, для передачи данных третьим лицам в маркетинговых целях или для обработки биометрических данных. Согласие должно быть добровольным, конкретным и информированным — общие формулировки в трудовом договоре типа «согласен на любую обработку» юридически уязвимы.
3. Что такое чувствительные персональные данные?
Чувствительные (специальные) персональные данные — это категория сведений, обработка которых требует повышенной защиты и, как правило, явного согласия субъекта. Казахстанское законодательство относит к ним данные о расовой и национальной принадлежности, политических взглядах, религиозных убеждениях, состоянии здоровья, интимной жизни, а также биометрические данные. Обработка таких данных без согласия субъекта допускается лишь в строго ограниченных случаях: в целях охраны здоровья, в рамках уголовного судопроизводства, для защиты жизненно важных интересов субъекта. Для бизнеса это означает: если вы собираете медицинские справки сотрудников, проводите биометрическую идентификацию или обрабатываете данные о судимостях — необходима отдельная правовая база и усиленные меры защиты. Нарушение режима чувствительных данных влечёт более серьёзные последствия, чем нарушения в отношении обычных персональных данных.
4. Можно ли использовать видеонаблюдение в офисе?
Видеонаблюдение в офисе законно при соблюдении ряда условий. Во-первых, сотрудники должны быть уведомлены о ведении съёмки — как правило, это делается через внутренний локальный акт (приказ, положение о видеонаблюдении) и таблички в зонах наблюдения. Во-вторых, цель видеонаблюдения должна быть конкретной и обоснованной: охрана имущества, безопасность, контроль доступа. Использовать записи для иных целей — например, для оценки производительности труда без отдельного основания — рискованно. В-третьих, записи являются персональными данными и на них распространяются все требования Закона о персональных данных и их защите: ограниченный срок хранения, защита от несанкционированного доступа, запрет на передачу третьим лицам без основания. Скрытое видеонаблюдение без уведомления сотрудников создаёт значительные правовые риски для работодателя.
5. Как правильно собирать cookies на сайте в Казахстане?
Если cookies позволяют идентифицировать пользователя — они являются персональными данными и подпадают под действие Закона о персональных данных и их защите. Для казахстанского сайта это означает следующее: пользователь должен быть проинформирован о сборе cookies до начала их использования, а для аналитических и маркетинговых cookies — дать явное согласие. Технические cookies, необходимые для работы сайта, согласия не требуют. На практике это реализуется через cookie-баннер при первом посещении сайта с возможностью выбора категорий cookies. Политика конфиденциальности должна описывать, какие данные собираются, с какой целью, как долго хранятся и кому передаются. Отсутствие cookie-баннера или политики конфиденциальности — типичное нарушение, которое фиксируется при проверках уполномоченного органа.
6. Что происходит с данными после достижения цели обработки?
После достижения цели, ради которой собирались персональные данные, оператор обязан их уничтожить или обезличить. Уничтожение означает полное и безвозвратное удаление данных — так, чтобы восстановление было невозможным. Обезличивание — удаление идентифицирующих признаков, после которого данные перестают быть персональными и могут использоваться для статистики или аналитики. Закон о персональных данных и их защите не устанавливает конкретный технический способ уничтожения, однако на практике рекомендуется документировать факт уничтожения: составлять акт с указанием даты, объёма и способа. Это особенно важно при проверках: уполномоченный орган вправе запросить подтверждение того, что данные были уничтожены в установленный срок. Хранение данных после истечения срока без правового основания — самостоятельное нарушение, даже если первоначальный сбор был законным.
7. Какие данные клиентов можно хранить после расторжения договора?
После расторжения договора с клиентом основание для обработки его персональных данных в рамках договора прекращается. Однако ряд данных может и должен храниться на иных основаниях. Налоговое законодательство обязывает хранить первичные документы, в которых содержатся персональные данные, в течение установленного срока — как правило, не менее пяти лет. Данные, необходимые для защиты в случае судебного спора, могут храниться в течение срока исковой давности. Если клиент дал отдельное согласие на получение маркетинговых рассылок — данные для этой цели хранятся до отзыва согласия. Ключевое правило: для каждой цели хранения должно быть самостоятельное правовое основание. Хранить «на всякий случай» — не основание. Рекомендуется разработать матрицу данных, где для каждой категории указаны цель, основание и срок хранения.
8. Обязан ли оператор уведомлять субъекта об уничтожении его данных?
Казахстанское законодательство не устанавливает общей обязанности уведомлять субъекта об уничтожении его данных в плановом порядке. Однако если субъект подал заявление об отзыве согласия или потребовал уничтожения данных — оператор обязан уничтожить данные в установленный срок и вправе (а в ряде случаев обязан) подтвердить это субъекту. На практике включение в политику конфиденциальности описания процедуры уничтожения данных снижает риски претензий: субъект заранее информирован о том, что происходит с его данными по истечении срока. Если данные уничтожены по требованию субъекта, рекомендуется направить ему письменное подтверждение — это защищает оператора от повторных требований и претензий регулятора.
9. Что грозит за хранение данных дольше установленного срока?
Хранение персональных данных сверх установленного срока или без правового основания является нарушением Закона о персональных данных и их защите. Уполномоченный орган — Министерство цифрового развития, инноваций и аэрокосмической промышленности РК — вправе проводить проверки операторов и выносить предписания об устранении нарушений. За нарушения в сфере персональных данных предусмотрена административная ответственность: штрафы для юридических лиц могут исчисляться в МРП (по состоянию на 2026 год МРП составляет 4 325 тенге). Повторные нарушения влекут более высокие санкции. Помимо административных рисков, субъект данных вправе обратиться в суд с требованием о возмещении вреда, причинённого незаконной обработкой его данных. Подробнее о размерах штрафов — в нашем материале о санкциях за нарушение закона о персональных данных.
10. Нужно ли хранить данные резюме отказанных кандидатов?
Резюме кандидата, которому отказано в трудоустройстве, содержит персональные данные и подпадает под действие Закона о персональных данных и их защите. Основание для обработки — рассмотрение заявки на трудоустройство — прекращается с момента отказа. Хранить резюме после этого без дополнительного основания нельзя. Если компания хочет сохранить резюме в кадровом резерве — необходимо получить явное согласие кандидата с указанием срока и цели хранения. Типичная практика: в форме отклика кандидат отмечает галочкой «Согласен на хранение резюме в кадровом резерве в течение одного года». Без такого согласия резюме следует уничтожить в разумный срок после завершения отбора. Хранение резюме «на всякий случай» без согласия — распространённое нарушение, которое легко устраняется правильно выстроенным процессом найма.
11. Как архивное законодательство влияет на сроки хранения персональных данных?
Архивное законодательство Казахстана устанавливает обязательные сроки хранения документов, которые нередко содержат персональные данные. Кадровые документы — приказы о приёме и увольнении, личные дела, трудовые договоры — хранятся десятилетиями согласно типовым перечням документов. Это создаёт коллизию: Закон о персональных данных требует уничтожить данные после достижения цели, а архивное законодательство обязывает хранить документы. Разрешается коллизия следующим образом: архивное законодательство является специальным и устанавливает самостоятельное правовое основание для хранения. Пока документ находится в архиве на основании обязательного срока хранения — его хранение законно. По истечении архивного срока документ подлежит уничтожению в установленном порядке. Рекомендуется разработать внутренний регламент, учитывающий оба массива требований.
12. Можно ли передавать персональные данные на хранение в облако за рубежом?
Трансграничная передача персональных данных — то есть их передача на серверы, расположенные за пределами Казахстана, — допускается при соблюдении условий Закона о персональных данных и их защите. Ключевое требование: страна-получатель должна обеспечивать надлежащий уровень защиты персональных данных, либо оператор должен получить согласие субъекта на трансграничную передачу. Помимо этого, казахстанское законодательство содержит требование о локализации: персональные данные граждан Казахстана должны собираться, обрабатываться и храниться на серверах, расположенных на территории Республики Казахстан. Использование зарубежного облака без соблюдения требований локализации — нарушение, которое может повлечь предписание регулятора и штраф. Перед выбором облачного провайдера рекомендуется проверить наличие у него дата-центра в Казахстане или юридически корректной схемы трансграничной передачи.
13. Что такое политика конфиденциальности и обязательна ли она?
Политика конфиденциальности — документ, в котором оператор персональных данных раскрывает субъектам информацию об обработке их данных: какие данные собираются, с какой целью, на каком основании, как долго хранятся, кому передаются и как субъект может реализовать свои права. Для казахстанских компаний, собирающих данные через сайт или мобильное приложение, наличие политики конфиденциальности фактически обязательно — это вытекает из требований Закона о персональных данных и их защите об информировании субъектов. Отсутствие политики или её формальное наличие без реального содержания — типичное нарушение, выявляемое при проверках. Политика должна быть доступна пользователю до начала сбора данных, написана понятным языком и актуализироваться при изменении процессов обработки.
14. Как провести аудит персональных данных в компании?
Аудит персональных данных — это систематическая проверка того, какие данные компания собирает, на каком основании, как долго хранит и как защищает. Стандартный аудит включает несколько этапов. Первый — инвентаризация: составление реестра всех категорий данных, которые обрабатывает компания, с указанием источников и мест хранения. Второй — правовой анализ: для каждой категории данных проверяется наличие правового основания (согласие, договор, закон). Третий — анализ сроков: сопоставление фактических сроков хранения с требованиями законодательства и внутренних политик. Четвёртый — оценка защитных мер: технические и организационные меры по защите данных от несанкционированного доступа. По результатам аудита формируется план устранения нарушений и обновляются внутренние документы. Рекомендуется проводить аудит не реже одного раза в год и при существенных изменениях бизнес-процессов.
15. Какие права есть у субъекта персональных данных в Казахстане?
Субъект персональных данных в Казахстане обладает комплексом прав, закреплённых в Законе о персональных данных и их защите. Он вправе получить информацию о том, какие его данные обрабатываются и на каком основании. Он вправе потребовать исправления неточных данных. Он вправе отозвать согласие на обработку — после чего оператор обязан прекратить обработку и уничтожить данные, если нет иного правового основания для их хранения. Он вправе потребовать уничтожения данных, обрабатываемых незаконно. Наконец, он вправе обратиться с жалобой в уполномоченный орган или в суд. Для бизнеса это означает необходимость выстроить процедуру обработки обращений субъектов: определить ответственное лицо, установить сроки ответа и порядок исполнения требований. Игнорирование обращений субъектов — самостоятельное нарушение.
Выводы
Срок хранения персональных данных в Казахстане определяется не произвольно, а через цель обработки: данные хранятся ровно столько, сколько нужно для её достижения. Конкретные сроки устанавливаются договором, согласием субъекта или специальным законодательством — трудовым, налоговым, архивным. По истечении срока данные подлежат уничтожению или обезличиванию с обязательным документированием этого факта. Собственнику бизнеса важно понимать: отсутствие внутренней политики хранения данных и реестра обработки — это не просто формальный пробел, а реальный риск административной ответственности и претензий субъектов данных.
Актуально на: 5 января 2026 года.
Если ситуация требует внимания — мы поможем разобраться.
Смежные направления
Направление практики
Персональные данные и IT-право — соответствие Закону о персональных данных, трансграничная передача, аудит обработки и IT-договоры.