Кто считается оператором персональных данных в Казахстане: что важно знать

Кто такой оператор персональных данных по казахстанскому праву?

Оператор персональных данных — это лицо, которое самостоятельно или совместно с другими определяет цели и способы обработки персональных данных. Закон о персональных данных и их защите распространяется на всех операторов, действующих на территории Казахстана, вне зависимости от их организационно-правовой формы.

На практике оператором является практически любой бизнес. Интернет-магазин, собирающий адреса доставки. Работодатель, ведущий личные дела сотрудников. Медицинская клиника, хранящая историю болезней. Банк, обрабатывающий финансовые данные клиентов. Все они — операторы, и все обязаны соблюдать требования закона.

Статус оператора возникает автоматически — с момента начала обработки данных. Никакой регистрации, лицензирования или уведомления уполномоченного органа для этого не требуется. Это означает, что многие собственники бизнеса становятся операторами, даже не осознавая этого.

Чем отличается оператор от собственника базы данных?

Казахстанское законодательство разграничивает два понятия: собственник базы данных и оператор. Собственник — тот, кто создал базу данных или приобрёл права на неё. Оператор — тот, кто фактически осуществляет обработку содержащихся в ней данных.

В большинстве случаев эти статусы совпадают в одном лице: компания создаёт клиентскую базу и сама же её обрабатывает. Однако при аутсорсинге обработки данных картина меняется. Если компания передаёт базу клиентов подрядчику для проведения рассылок, собственником остаётся компания, а оператором становится подрядчик.

Оба субъекта несут самостоятельные обязательства по закону. Собственник отвечает за правомерность передачи данных, оператор — за соблюдение требований при их обработке. Это разграничение важно при структурировании договорных отношений с подрядчиками, которые получают доступ к персональным данным.

Какие обязанности возникают у оператора?

Оператор персональных данных в Казахстане несёт широкий круг обязанностей, закреплённых в Законе о персональных данных и их защите. Ключевые из них касаются законности обработки, защиты данных и соблюдения прав субъектов.

• Обеспечить правовое основание для каждой операции с данными: согласие субъекта, исполнение договора или прямое указание закона.
• Разработать и опубликовать политику конфиденциальности с описанием целей, сроков и условий обработки данных.
• Принять технические и организационные меры для защиты данных от несанкционированного доступа, утечки или уничтожения.
• Соблюдать требование локализации: базы данных казахстанских субъектов должны храниться на серверах в Казахстане.
• Отвечать на обращения субъектов данных в установленные законом сроки.

Невыполнение этих обязанностей влечёт административную ответственность. Для собственника бизнеса это означает прямые финансовые риски, а в ряде случаев — и репутационные потери.

Нужно ли регистрироваться или уведомлять уполномоченный орган?

По действующему казахстанскому законодательству операторы не обязаны регистрироваться или уведомлять уполномоченный орган о начале обработки персональных данных в общем случае. Это существенно отличает казахстанский подход от ряда других юрисдикций, где уведомительный порядок является обязательным.

Исключение составляет трансграничная передача данных. Если персональные данные казахстанских субъектов передаются за рубеж, оператор обязан убедиться, что принимающая сторона обеспечивает надлежащий уровень защиты. Уполномоченным органом в этой сфере является Министерство цифрового развития, инноваций и аэрокосмической промышленности РК.

Отсутствие обязательной регистрации не означает отсутствия контроля. Уполномоченный орган вправе проводить проверки операторов, и отсутствие внутренней документации по персональным данным — типичное нарушение, выявляемое в ходе таких проверок.

Как правильно оформить согласие на обработку персональных данных?

Согласие субъекта персональных данных — одно из ключевых правовых оснований для обработки данных. По казахстанскому законодательству согласие должно быть конкретным, информированным и добровольным.

Конкретность означает, что субъект должен понимать, какие именно данные обрабатываются, с какой целью и кому они могут быть переданы. Информированность — что субъект получил всю необходимую информацию до дачи согласия. Добровольность — что отказ от согласия не влечёт для субъекта негативных последствий, не связанных с целью обработки.

Согласие может быть дано в письменной или электронной форме. Галочка «Согласен с политикой конфиденциальности» на сайте — допустимый способ, если политика содержит всю необходимую информацию и субъект действительно имел возможность с ней ознакомиться. Заранее проставленная галочка согласием не считается.

Что грозит за нарушение требований к обработке персональных данных?

Ответственность за нарушения в сфере персональных данных в Казахстане предусмотрена Кодексом об административных правонарушениях. Размер санкций зависит от характера нарушения и статуса нарушителя.

Типичные нарушения, выявляемые при проверках: отсутствие политики конфиденциальности, обработка данных без правового основания, несоблюдение требования локализации, игнорирование обращений субъектов данных. Каждое из них является самостоятельным составом правонарушения.

Помимо административной ответственности, субъект данных вправе обратиться в суд с требованием о возмещении морального вреда и убытков. Для собственника бизнеса это означает двойной риск: штраф от уполномоченного органа плюс потенциальные иски от клиентов или сотрудников. Своевременный аудит и приведение процессов в соответствие с законом — наиболее эффективный способ минимизировать эти риски.