Нужно ли согласие на обработку данных сотрудников в Казахстане: частые вопросы
В большинстве случаев — нет: казахстанское законодательство позволяет работодателю обрабатывать персональные данные сотрудников без отдельного согласия, если обработка необходима для исполнения трудового договора. Согласие потребуется только для данных, выходящих за рамки трудовых отношений, — биометрии, публикации фотографий, передачи данных третьим лицам в коммерческих целях. Ниже — ответы на самые частые вопросы собственников бизнеса о персональных данных сотрудников в Казахстане.
Хотите проверить, соответствует ли кадровый документооборот вашей компании требованиям казахстанского законодательства о персональных данных? Проверить обработку персональных данных · info@vetrovkz.com
Когда согласие на обработку данных сотрудников не нужно?
Работодатель вправе обрабатывать персональные данные сотрудника без его отдельного согласия, если обработка прямо обусловлена трудовым договором или требованиями законодательства. Это базовое правило Закона о персональных данных и их защите.
К данным, которые работодатель собирает и использует без согласия, относятся: ФИО, ИИН, дата рождения, адрес регистрации, сведения об образовании и квалификации, банковские реквизиты для выплаты заработной платы, сведения о трудовом стаже. Все эти данные необходимы для оформления трудовых отношений, расчёта налогов и социальных отчислений, ведения кадрового учёта.
Передача данных государственным органам — КГД МФ РК, пенсионному фонду, органам статистики — также осуществляется без согласия сотрудника: такая передача прямо предусмотрена законодательством. Работодателю не нужно запрашивать согласие каждый раз, когда он подаёт налоговую отчётность или перечисляет обязательные взносы.
Граница проходит там, где обработка выходит за рамки трудового договора: публикация фото, использование биометрии, передача данных партнёрам в коммерческих целях — всё это требует отдельного согласия.
Если в вашей компании используется биометрия или видеонаблюдение — стоит проверить, соответствует ли их применение требованиям казахстанского законодательства.
Проверить обработку персональных данныхЧто такое чувствительные персональные данные и как их обрабатывать?
Чувствительные (специальные) персональные данные — это сведения, раскрытие которых создаёт повышенные риски для субъекта: состояние здоровья, биометрические данные, национальность, политические и религиозные взгляды, сведения о судимостях.
Для обработки таких данных, как правило, требуется явное письменное согласие сотрудника. Исключения предусмотрены законодательством: например, медицинские данные обрабатываются в рамках обязательного социального страхования без отдельного согласия. Сведения о судимости могут запрашиваться при проверке допуска к отдельным должностям — но только в объёме, необходимом для такой проверки.
Работодатель обязан хранить чувствительные данные отдельно от обычных кадровых документов, ограничить круг лиц, имеющих к ним доступ, и уничтожить их после достижения цели обработки. Хранение «на всякий случай» — нарушение принципа минимизации данных.
Можно ли использовать видеонаблюдение в офисе без согласия сотрудников?
Видеонаблюдение в офисе допустимо без отдельного согласия каждого сотрудника — при двух условиях: цель наблюдения связана с безопасностью или охраной имущества, и сотрудники заблаговременно уведомлены о его ведении.
Уведомление оформляется в трудовом договоре, правилах внутреннего трудового распорядка или отдельном локальном акте. Сотрудник знакомится с ним под подпись до начала работы. Скрытое наблюдение без уведомления нарушает Закон о персональных данных и их защите и может повлечь административную ответственность.
Записи с камер являются персональными данными. Работодатель обязан регламентировать: кто имеет доступ к записям, как долго они хранятся, в каких случаях могут быть переданы третьим лицам (например, правоохранительным органам). Хранение записей без ограничения срока — типичное нарушение.
Как правильно собирать cookies на корпоративном сайте в Казахстане?
Cookies, позволяющие идентифицировать пользователя, признаются персональными данными по казахстанскому законодательству — и их сбор требует соблюдения Закона о персональных данных и их защите.
Для правомерного сбора cookies необходимо: разместить на сайте политику конфиденциальности на русском языке, получить явное согласие пользователя до начала сбора нетехнических cookies, разграничить технические cookies (необходимые для работы сайта) и аналитические или маркетинговые. Технические cookies можно использовать без согласия. Для аналитических и маркетинговых — согласие обязательно.
Отдельного внимания требует передача данных через cookies иностранным сервисам — Google Analytics, рекламным пикселям. Такая передача квалифицируется как трансграничная передача персональных данных и требует соблюдения дополнительных условий. Подробнее об этом — в материале «Как правильно собирать cookies на сайте в Казахстане».
Что делать при запросе сотрудника на доступ к своим персональным данным?
Сотрудник вправе в любое время запросить у работодателя сведения о том, какие его данные обрабатываются, с какой целью и кому передаются. Это право прямо закреплено в Законе о персональных данных и их защите.
Работодатель обязан ответить в разумный срок — как правило, в течение 15 рабочих дней. Отказ без законного основания является нарушением. Если сотрудник требует исправить неточные данные или удалить данные, обработка которых более не обоснована, — работодатель обязан выполнить это требование либо письменно обосновать отказ.
Рекомендуется заблаговременно утвердить внутреннюю процедуру обработки таких запросов: кто принимает запрос, в какой форме, кто готовит ответ и в какой срок. Назначение ответственного за персональные данные — хорошая практика, которая снижает риски при проверках. Смежные вопросы о кадровом документообороте рассмотрены в материале «Чек-лист: договор ГПХ или трудовой договор в Казахстане».
Частые вопросы
1. Нужно ли согласие на обработку данных сотрудников в Казахстане?
В большинстве случаев — нет: казахстанское законодательство допускает обработку персональных данных сотрудников без отдельного согласия, если она необходима для исполнения трудового договора. Работодатель вправе собирать и использовать данные, которые прямо связаны с трудовыми отношениями: ФИО, ИИН, адрес, сведения об образовании, банковские реквизиты для выплаты зарплаты. Согласие потребуется только для данных, выходящих за рамки трудового договора, — например, для публикации фотографии сотрудника на сайте компании, использования биометрии или передачи данных третьим лицам в маркетинговых целях.
2. Что такое чувствительные персональные данные и как их обрабатывать?
Чувствительные (специальные) персональные данные — это сведения, раскрытие которых создаёт повышенные риски для субъекта: состояние здоровья, биометрические данные, национальность, политические и религиозные взгляды, судимости. Закон о персональных данных и их защите устанавливает для таких данных особый режим: их обработка, как правило, требует явного письменного согласия субъекта. Исключения — случаи, прямо предусмотренные законодательством: например, обработка медицинских данных в рамках обязательного социального страхования. Работодатель обязан хранить такие данные отдельно, ограничить круг лиц, имеющих к ним доступ, и обеспечить их уничтожение после достижения цели обработки.
3. Можно ли использовать видеонаблюдение в офисе без согласия сотрудников?
Видеонаблюдение в офисе допустимо без отдельного согласия каждого сотрудника при соблюдении двух условий: цель наблюдения — обеспечение безопасности или охрана имущества, и сотрудники заблаговременно уведомлены о его ведении. Уведомление оформляется в трудовом договоре, правилах внутреннего трудового распорядка или отдельном локальном акте, с которым работник знакомится под подпись. Скрытое наблюдение без уведомления нарушает Закон о персональных данных и их защите и может повлечь административную ответственность. Записи с камер являются персональными данными: их хранение, доступ к ним и сроки уничтожения должны быть регламентированы внутренней политикой компании.
4. Как правильно собирать cookies на сайте компании в Казахстане?
Cookies, позволяющие идентифицировать пользователя, признаются персональными данными по казахстанскому законодательству. Для их сбора необходимо: разместить на сайте политику конфиденциальности на русском языке, получить явное согласие пользователя до начала сбора нетехнических cookies, разграничить технические cookies (необходимые для работы сайта) и аналитические или маркетинговые. Технические cookies можно использовать без согласия. Для аналитических и маркетинговых — согласие обязательно. Передача данных через cookies иностранным сервисам квалифицируется как трансграничная передача персональных данных и требует соблюдения дополнительных условий.
5. Что делать при запросе субъекта персональных данных на доступ к своим данным?
Субъект персональных данных вправе в любое время запросить у работодателя сведения о том, какие его данные обрабатываются, с какой целью и кому передаются. Работодатель обязан ответить в разумный срок — как правило, в течение 15 рабочих дней. Отказ в предоставлении информации без законного основания является нарушением Закона о персональных данных и их защите. Если сотрудник требует исправить неточные данные или удалить данные, обработка которых более не обоснована, — работодатель обязан выполнить это требование либо письменно обосновать отказ. Рекомендуется утвердить внутреннюю процедуру обработки таких запросов и назначить ответственного за персональные данные.
6. Нужно ли согласие на передачу данных сотрудников в бухгалтерию или кадровое агентство?
Передача данных сотрудников внутри компании (между подразделениями) согласия не требует, если она обусловлена трудовыми отношениями. Передача данных третьим лицам — аутсорсинговой бухгалтерии, кадровому агентству, банку для зарплатного проекта — допустима без согласия только в случаях, прямо предусмотренных законодательством. В остальных случаях требуется либо согласие сотрудника, либо заключение договора с третьим лицом, предусматривающего обязательства по защите данных. Передача данных за рубеж требует дополнительной проверки: страна-получатель должна обеспечивать надлежащий уровень защиты персональных данных.
7. Обязательно ли разрабатывать политику конфиденциальности для работодателя в Казахстане?
Да, Закон о персональных данных и их защите обязывает операторов персональных данных — а работодатель является таковым — принять внутренние документы, регламентирующие обработку данных. На практике это означает: утверждённую политику конфиденциальности, перечень обрабатываемых данных и целей их обработки, порядок доступа сотрудников к данным коллег, процедуру уничтожения данных после прекращения трудовых отношений. Отсутствие таких документов — типичное нарушение, выявляемое при проверках уполномоченного органа. Штрафы за нарушение законодательства о персональных данных исчисляются в МРП и могут быть существенными для компании.
8. Можно ли публиковать фотографии сотрудников на сайте или в соцсетях без согласия?
Нет. Фотография сотрудника является его персональными данными, а её публикация в открытом доступе — обработкой, выходящей за рамки трудового договора. Для размещения фото на корпоративном сайте, в социальных сетях, пресс-релизах или рекламных материалах необходимо получить письменное согласие сотрудника. В согласии следует указать конкретные цели использования, площадки размещения и срок действия. Сотрудник вправе в любое время отозвать согласие — после этого фотографию необходимо удалить. Использование фото уволенного сотрудника без его актуального согласия также является нарушением.
9. Как обрабатывать биометрические данные сотрудников при использовании систем контроля доступа?
Биометрические данные — отпечатки пальцев, сканы лица, рисунок сетчатки — относятся к чувствительным персональным данным и требуют явного письменного согласия сотрудника на их обработку. Работодатель обязан объяснить цель сбора, способ хранения и срок уничтожения. Если сотрудник отказывается предоставить биометрию — работодатель не вправе принуждать его к этому или применять дисциплинарные меры: следует предусмотреть альтернативный способ идентификации. Хранение биометрических данных должно осуществляться на серверах, расположенных на территории Казахстана, если иное не предусмотрено законодательством.
10. Что грозит работодателю за нарушение законодательства о персональных данных в Казахстане?
Нарушение Закона о персональных данных и их защите влечёт административную ответственность: предупреждение или штраф, размер которого зависит от характера нарушения и субъекта (физическое лицо, должностное лицо или юридическое лицо). Повторные нарушения влекут более высокие санкции. Помимо административной ответственности, сотрудник вправе обратиться в суд с требованием о компенсации морального вреда. Уполномоченный орган вправе проводить проверки и выдавать предписания об устранении нарушений. Наиболее распространённые нарушения: отсутствие политики конфиденциальности, сбор избыточных данных, передача данных третьим лицам без основания.
11. Нужно ли уведомлять уполномоченный орган о начале обработки персональных данных?
По действующему казахстанскому законодательству операторы персональных данных обязаны регистрироваться в реестре операторов, который ведёт уполномоченный орган — Министерство цифрового развития, инноваций и аэрокосмической промышленности РК. Обязанность регистрации распространяется на операторов, осуществляющих обработку персональных данных в информационных системах. Работодатель, ведущий кадровый учёт в электронном виде, как правило, подпадает под это требование. Отсутствие регистрации при наличии обязанности — самостоятельное нарушение, которое может быть выявлено при проверке.
12. Как правильно оформить согласие на обработку персональных данных сотрудника?
Согласие должно быть конкретным, информированным и добровольным. Оно оформляется в письменной форме — отдельным документом или выделенным разделом трудового договора, который сотрудник может идентифицировать. В согласии указываются: перечень обрабатываемых данных, цели обработки, перечень третьих лиц, которым данные могут передаваться, срок действия и порядок отзыва. Включение согласия в текст трудового договора без возможности отказаться от него отдельно — спорная практика: суды могут признать такое согласие недобровольным. Рекомендуется оформлять согласие отдельным документом с подписью сотрудника.
13. Распространяется ли законодательство о персональных данных на данные кандидатов при найме?
Да. Данные, которые кандидат предоставляет при трудоустройстве — резюме, копии документов, результаты тестирований — являются персональными данными и подпадают под действие Закона о персональных данных и их защите. Работодатель обязан использовать эти данные только для целей найма, не передавать их третьим лицам без согласия кандидата и уничтожить данные отказавших кандидатов после завершения конкурса. На практике многие компании хранят резюме «на будущее» без согласия кандидата — это нарушение. Рекомендуется включать в форму отклика на вакансию согласие на хранение данных с указанием срока.
14. Нужно ли согласие при использовании корпоративной электронной почты сотрудника?
Корпоративная электронная почта является инструментом работодателя, и сотрудник использует её в рамках трудовых обязанностей. Мониторинг корпоративной переписки в целях контроля исполнения трудовых обязанностей допустим без отдельного согласия — при условии, что сотрудник заблаговременно уведомлён об этом в трудовом договоре или правилах внутреннего трудового распорядка. Мониторинг личной переписки сотрудника без его согласия — нарушение права на тайну переписки. Граница между корпоративной и личной перепиской должна быть чётко определена во внутренних документах компании.
15. Что делать, если произошла утечка персональных данных сотрудников?
При выявлении утечки персональных данных работодатель обязан незамедлительно принять меры по локализации инцидента, уведомить уполномоченный орган в установленный срок и уведомить пострадавших сотрудников, чьи данные были скомпрометированы. Промедление с уведомлением или его отсутствие является самостоятельным нарушением и отягчает ответственность. Рекомендуется заблаговременно разработать план реагирования на инциденты с персональными данными и назначить ответственного за его исполнение. Дополнительные материалы по теме — в разделе Аналитика и в материале «Согласие на обработку данных сотрудников: подробный разбор».
Выводы
Казахстанское законодательство позволяет работодателю обрабатывать большинство кадровых данных без отдельного согласия сотрудника — если обработка обусловлена трудовым договором или прямым требованием закона. Согласие требуется для чувствительных данных, биометрии, публикации фотографий и передачи данных третьим лицам в коммерческих целях. Отсутствие внутренней политики конфиденциальности и регистрации в реестре операторов — наиболее частые нарушения, выявляемые при проверках. Собственнику бизнеса стоит провести аудит кадрового документооборота до того, как это сделает уполномоченный орган.
Актуально на: 22 сентября 2026 года.
Если ситуация требует внимания — мы поможем разобраться.
Смежные направления
Направление практики
Персональные данные и IT-право — соответствие Закону о персональных данных, трансграничная передача, аудит обработки и IT-договоры.