Как долго можно хранить персональные данные в Казахстане
Казахстанское законодательство не устанавливает единый срок хранения персональных данных: данные хранятся ровно столько, сколько необходимо для достижения цели их сбора. Как только цель достигнута или субъект отозвал согласие — данные подлежат уничтожению или обезличиванию. Конкретные сроки зависят от категории данных и отраслевых требований: трудовых, налоговых, архивных.
Ваша компания хранит данные сотрудников и клиентов — и вы не уверены, всё ли соответствует требованиям казахстанского законодательства? Проверить обработку персональных данных · info@vetrovkz.com
Какой принцип определяет срок хранения персональных данных в Казахстане?
Ключевой принцип — целевое ограничение: данные хранятся не дольше, чем это необходимо для достижения конкретной цели обработки. Закон о персональных данных и их защите прямо закрепляет это требование для всех операторов персональных данных на территории Республики Казахстан.
На практике это означает следующее: если компания собрала данные клиента для исполнения договора, а договор исполнен и претензионный срок истёк — правового основания хранить данные больше нет. Продолжение хранения без цели является нарушением, даже если данные «просто лежат» в базе и никак не используются.
Топ-менеджеру важно понимать: ответственность за соблюдение сроков хранения несёт оператор — то есть организация. Отсутствие внутреннего регламента по уничтожению данных не освобождает от ответственности, а, напротив, усугубляет положение при проверке.
Если в вашей компании нет регламента уничтожения данных — это типичный пробел, который выявляется при первой же проверке.
Проверить обработку персональных данныхКакие конкретные сроки хранения установлены для разных категорий данных?
Единого перечня сроков не существует — они рассредоточены по отраслевому законодательству и архивным перечням. Ниже — основные ориентиры для корпоративного оператора.
- Кадровые документы (трудовые договоры, приказы, личные карточки): как правило, не менее 75 лет — в связи с пенсионными правами работников.
- Документы по заработной плате: не менее 5 лет при наличии лицевых счетов; при их отсутствии — до 75 лет.
- Данные клиентов по договорам: в течение срока действия договора плюс срок исковой давности (как правило, 3 года по Гражданскому кодексу РК).
- Налоговые документы с персональными данными: не менее 5 лет согласно требованиям Налогового кодекса РК.
- Записи видеонаблюдения: на практике — 30 дней, если иное не установлено внутренним регламентом или требованиями безопасности.
Эти ориентиры — минимальные или типичные значения. Внутренний регламент компании может устанавливать более длительные сроки при наличии правового основания, но не может сокращать обязательные архивные сроки.
Что обязан сделать оператор после истечения срока хранения?
После истечения срока хранения или достижения цели обработки оператор обязан уничтожить персональные данные либо обезличить их так, чтобы идентификация субъекта стала невозможной.
Уничтожение должно быть задокументировано. Составляется акт об уничтожении с указанием даты, перечня уничтоженных данных, носителей и ответственного лица. Этот документ хранится как подтверждение выполнения требований закона — особенно важно при проверке уполномоченного органа.
Обезличивание — альтернатива уничтожению: данные приводятся в состояние, при котором их нельзя соотнести с конкретным физическим лицом без дополнительной информации. Обезличенные данные выходят из-под действия Закона о персональных данных и их защите и могут использоваться, например, для статистики или аналитики.
Как цель обработки влияет на допустимый срок хранения?
Цель обработки — это юридическое основание для хранения данных. Пока цель актуальна и правомерна, хранение законно. Как только цель исчерпана — правовое основание исчезает.
Практический пример: компания собрала данные кандидата на вакансию. Кандидат не прошёл отбор. Цель — подбор персонала на конкретную позицию — достигнута. Хранить резюме и анкету далее без согласия кандидата нельзя. Если компания хочет сохранить данные для будущих вакансий — нужно отдельное согласие с указанием нового срока и цели.
Для топ-менеджера это означает необходимость аудита всех точек сбора данных: сайт, HR-процессы, CRM, колл-центр, видеонаблюдение. По каждой точке должна быть зафиксирована цель и срок хранения.
Какие требования предъявляются к локализации и архивированию данных?
Персональные данные граждан Казахстана должны первично обрабатываться и храниться на серверах, физически расположенных на территории Республики Казахстан. Это требование локализации распространяется на все компании, работающие с данными казахстанских граждан, — вне зависимости от места регистрации оператора.
Архивирование данных не отменяет требований по срокам: архивная копия подчиняется тем же правилам, что и оперативная база. Нельзя «спрятать» данные в архив и считать, что требования по уничтожению к ним не применяются.
Трансграничная передача данных — отдельный вопрос. Она допустима, если страна-получатель обеспечивает надлежащий уровень защиты, либо субъект дал явное согласие. Передача данных в страны без адекватного уровня защиты требует дополнительных договорных гарантий со стороны получателя.
Частые вопросы
1. Как долго можно хранить персональные данные в Казахстане?
Казахстанское законодательство не устанавливает единый универсальный срок хранения персональных данных. Ключевой принцип: данные хранятся не дольше, чем это необходимо для достижения цели, ради которой они собирались. После достижения цели или отзыва согласия субъекта данные подлежат уничтожению или обезличиванию. Конкретные сроки зависят от категории данных и применимых отраслевых требований — трудовых, налоговых, архивных.
2. Нужно ли согласие на обработку данных сотрудников?
Согласие сотрудника на обработку персональных данных требуется не всегда. Трудовой кодекс РК допускает обработку данных, необходимых для исполнения трудового договора, без отдельного согласия. Однако для обработки данных, выходящих за рамки трудовых отношений — например, передачи третьим лицам, использования в маркетинге или обработки чувствительных категорий — согласие обязательно. Рекомендуется фиксировать согласие письменно или в электронной форме с возможностью подтверждения.
3. Что такое чувствительные персональные данные?
Чувствительные (специальные) персональные данные — это категории сведений, требующие повышенного уровня защиты. Закон о персональных данных и их защите относит к ним: расовое и этническое происхождение, политические взгляды, религиозные и философские убеждения, состояние здоровья, сексуальную жизнь, судимости, биометрические и генетические данные. Для их обработки требуется явное письменное согласие субъекта, а хранение должно сопровождаться усиленными техническими и организационными мерами защиты.
4. Можно ли использовать видеонаблюдение в офисе?
Видеонаблюдение в офисе допустимо при соблюдении ряда условий. Сотрудники должны быть уведомлены о ведении съёмки — как правило, через локальный нормативный акт и информационные таблички. Цель наблюдения должна быть законной и соразмерной: охрана имущества, обеспечение безопасности. Записи являются персональными данными и хранятся не дольше, чем необходимо для достижения цели, — на практике это обычно 30 дней, если иное не установлено внутренними регламентами или требованиями безопасности.
5. Как правильно собирать cookies на сайте в Казахстане?
Сбор cookies, позволяющих идентифицировать пользователя, является обработкой персональных данных по казахстанскому законодательству. Сайт обязан уведомить пользователя о сборе cookies до начала их использования и получить согласие на обработку нефункциональных файлов (аналитических, маркетинговых). Согласие должно быть свободным, конкретным и информированным. Политика конфиденциальности сайта должна описывать цели, состав и сроки хранения cookie-данных.
6. Что происходит, если срок хранения данных истёк?
После истечения срока хранения или достижения цели обработки оператор обязан уничтожить персональные данные или обезличить их. Уничтожение должно быть задокументировано: составляется акт об уничтожении с указанием даты, состава уничтоженных данных и ответственного лица. Хранение данных сверх установленного срока без правового основания является нарушением Закона о персональных данных и их защите и может повлечь административную ответственность.
7. Какие данные сотрудников и как долго обязан хранить работодатель?
Работодатель обязан хранить кадровые документы в соответствии с требованиями архивного законодательства РК. Трудовые договоры, приказы о приёме и увольнении, личные карточки сотрудников хранятся, как правило, не менее 75 лет — это связано с пенсионными правами работников. Документы по заработной плате хранятся не менее 5 лет при наличии лицевых счетов, и не менее 75 лет — при их отсутствии. Конкретные сроки устанавливаются перечнями типовых управленческих документов.
8. Нужно ли регистрировать базы данных с персональными данными в Казахстане?
Казахстанское законодательство не предусматривает обязательной регистрации баз персональных данных в государственном реестре — в отличие от ряда других юрисдикций. Однако оператор обязан принять внутренние документы, регулирующие обработку данных: политику конфиденциальности, регламент обработки, инструкции для сотрудников. Уполномоченный орган — Министерство цифрового развития, инноваций и аэрокосмической промышленности РК — вправе проводить проверки соответствия.
9. Можно ли передавать персональные данные за рубеж?
Трансграничная передача персональных данных из Казахстана допустима при соблюдении условий: страна-получатель обеспечивает надлежащий уровень защиты данных, либо субъект данных дал явное согласие на передачу. Передача данных в страны без адекватного уровня защиты требует дополнительных гарантий — договорных обязательств оператора-получателя. Локализация данных: персональные данные граждан РК должны первично обрабатываться и храниться на серверах, расположенных в Казахстане.
10. Какова ответственность за нарушение сроков хранения персональных данных?
Нарушение требований к обработке и хранению персональных данных в Казахстане влечёт административную ответственность. Санкции предусмотрены Кодексом об административных правонарушениях РК и исчисляются в МРП. Для должностных лиц и организаций размер штрафов существенно выше, чем для физических лиц. Повторные нарушения или нарушения, повлёкшие ущерб субъектам данных, могут квалифицироваться строже. Помимо штрафов, возможно предписание об устранении нарушений.
11. Что такое обезличивание данных и когда его применяют?
Обезличивание — это приведение персональных данных в состояние, при котором невозможно установить их принадлежность конкретному физическому лицу без использования дополнительной информации. Обезличенные данные выходят из-под действия Закона о персональных данных и их защите. Обезличивание применяют как альтернативу уничтожению: например, когда компания хочет сохранить статистику по клиентам для аналитики, но не имеет правового основания хранить персонифицированные записи. Важно, чтобы обезличивание было необратимым — иначе данные по-прежнему считаются персональными.
12. Как оформить согласие на обработку персональных данных?
Согласие на обработку персональных данных должно быть конкретным, информированным и добровольным. Оно оформляется в письменной или электронной форме. В тексте согласия указываются: цель обработки, перечень обрабатываемых данных, срок хранения, перечень третьих лиц, которым данные могут передаваться, а также порядок отзыва согласия. Предварительно проставленные галочки или согласие «по умолчанию» не соответствуют требованиям казахстанского законодательства.
13. Каковы права субъекта персональных данных в Казахстане?
Субъект персональных данных в Казахстане вправе: получить информацию об обработке своих данных; потребовать исправления неточных данных; отозвать согласие на обработку; потребовать уничтожения данных при отсутствии правового основания для их хранения. Оператор обязан ответить на обращение субъекта в установленный срок. Игнорирование обращений субъектов — самостоятельное нарушение, которое фиксируется при проверках уполномоченного органа.
14. Нужна ли политика конфиденциальности для казахстанского сайта?
Политика конфиденциальности обязательна для любого сайта, который собирает персональные данные пользователей — будь то форма обратной связи, регистрация, подписка или аналитические cookies. Документ должен быть доступен пользователю до начала сбора данных, написан понятным языком и содержать: цели обработки, перечень данных, сроки хранения, порядок передачи третьим лицам, контакты оператора и порядок реализации прав субъекта. Отсутствие политики конфиденциальности — типичное нарушение, выявляемое при проверках.
15. Как провести аудит персональных данных в компании?
Аудит персональных данных включает несколько этапов. Первый — инвентаризация: выявить все точки сбора данных (сайт, HR, CRM, видеонаблюдение, колл-центр). Второй — картирование: по каждой точке зафиксировать цель, состав данных, срок хранения, основание обработки и перечень получателей. Третий — анализ пробелов: сравнить фактическую практику с требованиями Закона о персональных данных и их защите. Четвёртый — устранение нарушений: разработать или обновить внутренние документы, регламенты уничтожения, формы согласий. По итогам аудита составляется отчёт с планом корректирующих мер.
Выводы
Срок хранения персональных данных в Казахстане определяется целью их сбора: данные хранятся ровно столько, сколько необходимо, — не дольше. Конкретные сроки зависят от категории данных и отраслевых требований: кадровые документы — до 75 лет, клиентские данные — в пределах срока договора и исковой давности, записи видеонаблюдения — как правило, 30 дней. После истечения срока — уничтожение с составлением акта или обезличивание. Отсутствие внутреннего регламента по хранению и уничтожению данных — наиболее частое нарушение, выявляемое при проверках.
Актуально на: 6 октября 2026 года.
Если ситуация требует внимания — мы поможем разобраться.
Смежные направления
Направление практики
Персональные данные и IT-право — соответствие Закону о персональных данных, трансграничная передача, аудит обработки и IT-договоры.