Нужно ли согласие на обработку данных сотрудников в Казахстане: разъяснение
В большинстве случаев — нет: казахстанское законодательство позволяет работодателю обрабатывать персональные данные сотрудников без отдельного согласия, если обработка необходима для исполнения трудового договора. Согласие требуется только тогда, когда обработка выходит за рамки трудовых отношений — например, при публикации фотографий, сборе биометрии или передаче данных в маркетинговых целях. Ниже — развёрнутое разъяснение для руководителей и HR-служб.
Не уверены, соответствует ли кадровый документооборот вашей компании требованиям законодательства о персональных данных? Проверить обработку персональных данных · info@vetrovkz.com
Когда согласие не нужно: трудовой договор как правовое основание
Трудовой договор в Казахстане является самостоятельным правовым основанием для обработки персональных данных сотрудника — без отдельного документа о согласии. Это означает, что работодатель вправе собирать и использовать данные, прямо необходимые для исполнения трудовых обязательств.
К таким данным относятся: ФИО, ИИН, адрес регистрации, банковские реквизиты для выплаты заработной платы, сведения об образовании, квалификации, стаже работы, а также данные, необходимые для оформления социальных отчислений и налоговой отчётности.
Важно понимать границу: правовое основание «исполнение договора» покрывает только те данные, которые объективно необходимы для выполнения конкретных трудовых функций. Сбор избыточных сведений — даже в рамках трудовых отношений — нарушает принцип минимизации данных, закреплённый в Законе о персональных данных и их защите.
Директору или HR-директору рекомендуется провести инвентаризацию: какие данные фактически собираются при приёме на работу и в ходе трудовых отношений, и есть ли для каждой категории чёткое правовое основание.
Используете биометрию или видеонаблюдение в офисе? Убедитесь, что документальное оформление соответствует требованиям закона.
Проверить обработку персональных данныхКогда согласие обязательно: исключения из общего правила
Согласие сотрудника требуется всякий раз, когда обработка данных выходит за рамки трудового договора или касается специальных категорий персональных данных.
- Публикация фотографий в рекламных материалах, на сайте, в социальных сетях — требует письменного согласия с указанием целей и площадок использования.
- Биометрические данные (отпечатки пальцев, данные распознавания лица для СКУД) — специальная категория, согласие обязательно.
- Данные о состоянии здоровья сверх случаев, прямо предусмотренных законодательством (например, при оформлении больничного листа согласие не нужно, при добровольном медицинском страховании — нужно).
- Передача данных третьим лицам в маркетинговых, рекламных или аналитических целях — требует согласия.
- Обработка данных после увольнения в целях, не связанных с архивными или налоговыми обязательствами.
Согласие должно быть добровольным, конкретным, информированным и однозначным. Включение «согласия на всё» в текст трудового договора без возможности отказа не соответствует требованиям казахстанского законодательства.
Видеонаблюдение и мониторинг: что допустимо без согласия?
Видеонаблюдение в офисе допустимо без отдельного согласия каждого сотрудника при соблюдении двух обязательных условий: уведомление и соразмерность цели.
Уведомление реализуется через локальный акт — правила внутреннего трудового распорядка или отдельное положение о видеонаблюдении — и размещение информационных табличек в зонах наблюдения. Сотрудник должен знать о факте съёмки до начала работы.
Цель наблюдения должна быть законной: охрана имущества, обеспечение безопасности, контроль доступа. Использование записей для оценки производительности или дисциплинарных целей без соответствующего уведомления — зона повышенного риска.
Скрытое наблюдение без уведомления нарушает требования Закона о персональных данных и их защите и может повлечь административную ответственность. Аналогичный подход применяется к мониторингу корпоративной электронной почты и переписки: сотрудники должны быть заблаговременно уведомлены о том, что корпоративные средства коммуникации могут контролироваться.
Как правильно оформить согласие: требования к документу
Согласие на обработку персональных данных в Казахстане должно соответствовать нескольким обязательным требованиям, иначе оно не будет иметь юридической силы.
- Добровольность: сотрудник не должен испытывать давления при подписании. Отказ от согласия не может быть основанием для отказа в приёме на работу, если речь не идёт о данных, объективно необходимых для должности.
- Конкретность: согласие должно указывать, какие именно данные обрабатываются, в каких целях и кому могут передаваться.
- Информированность: субъект должен понимать, на что он соглашается — без скрытых условий и отсылок к многостраничным документам без их предоставления.
- Возможность отзыва: сотрудник вправе отозвать согласие в любой момент. После отзыва работодатель обязан прекратить обработку данных, на которые распространялось согласие.
Рекомендуется хранить подписанные согласия в личном деле сотрудника и фиксировать дату их получения и возможного отзыва. Это важно при проверках уполномоченного органа.
Что делать при запросе сотрудника о его персональных данных?
Сотрудник как субъект персональных данных вправе в любой момент запросить информацию о том, какие его данные обрабатываются, с какой целью и кому передаются. Работодатель обязан ответить в установленный законом срок.
Запрос может поступить в письменной или электронной форме. Отказ в предоставлении информации без законных оснований является нарушением Закона о персональных данных и их защите. Законные основания для отказа ограничены — например, если предоставление информации нарушит права третьих лиц.
Для снижения операционных рисков рекомендуется назначить внутри компании ответственного за обработку персональных данных и разработать регламент реагирования на запросы субъектов. Это позволяет обрабатывать запросы системно, не нарушая сроки, и документировать каждый случай взаимодействия.
Частые вопросы
1. Нужно ли согласие на обработку данных сотрудников в Казахстане?
В большинстве случаев — нет: казахстанское законодательство допускает обработку персональных данных сотрудников без отдельного согласия, если она необходима для исполнения трудового договора. Работодатель вправе собирать, хранить и использовать данные, которые прямо связаны с трудовыми отношениями: ФИО, ИИН, адрес, банковские реквизиты для выплаты зарплаты, сведения об образовании и квалификации. Согласие требуется только тогда, когда обработка выходит за рамки трудового договора — например, при публикации фотографий сотрудника в рекламных материалах, сборе биометрических данных или передаче данных третьим лицам в маркетинговых целях.
2. Что такое чувствительные персональные данные и как их обрабатывать?
Чувствительные (специальные категории) персональных данных — это сведения, раскрытие которых может причинить существенный вред субъекту: данные о состоянии здоровья, расовой или национальной принадлежности, политических взглядах, религиозных убеждениях, судимостях, биометрические данные. Закон о персональных данных и их защите устанавливает повышенные требования к их обработке: как правило, требуется явное письменное согласие субъекта. Исключение — случаи, прямо предусмотренные законодательством: например, медицинские данные при оформлении больничного листа или сведения о судимости при допуске к отдельным должностям.
3. Можно ли использовать видеонаблюдение в офисе без согласия сотрудников?
Видеонаблюдение в офисе допустимо без отдельного согласия каждого сотрудника при соблюдении двух условий. Первое: работодатель обязан уведомить сотрудников о факте видеонаблюдения — как правило, это делается через локальный акт (правила внутреннего трудового распорядка) и размещение информационных табличек в зоне наблюдения. Второе: цель наблюдения должна быть законной и соразмерной — охрана имущества, обеспечение безопасности, контроль доступа. Скрытое наблюдение без уведомления нарушает требования казахстанского законодательства о персональных данных и может повлечь административную ответственность работодателя.
4. Как правильно собирать cookies на корпоративном сайте в Казахстане?
Если cookies собирают персональные данные пользователей (идентификаторы, поведенческие данные, геолокацию), казахстанское законодательство требует информировать пользователей об этом и получать их согласие до начала сбора. На практике это реализуется через cookie-баннер с возможностью выбора категорий cookies. Технические cookies, необходимые для работы сайта, согласия не требуют. Политика конфиденциальности должна быть доступна на сайте и описывать цели, сроки хранения и порядок обработки данных. Отсутствие надлежащего уведомления — одно из наиболее частых нарушений, выявляемых при проверках.
5. Что делать при запросе субъекта персональных данных о предоставлении информации?
При получении запроса от субъекта персональных данных работодатель обязан в установленный законом срок предоставить информацию: какие данные обрабатываются, с какой целью, кому передаются и на каком основании. Запрос может поступить в письменной или электронной форме. Отказ в предоставлении информации без законных оснований является нарушением Закона о персональных данных и их защите. Рекомендуется назначить ответственного за обработку персональных данных внутри компании и разработать регламент реагирования на запросы субъектов — это снижает риск нарушений и упрощает взаимодействие с регулятором.
6. Нужно ли согласие на обработку данных при приёме на работу?
При приёме на работу работодатель вправе обрабатывать данные кандидата без отдельного согласия в той мере, в которой это необходимо для оценки его соответствия должности и заключения трудового договора. Это включает ФИО, контактные данные, сведения об образовании и опыте работы. Однако проверка кандидата через базы данных третьих лиц, запрос медицинских сведений сверх установленных законом случаев или сохранение данных отклонённых кандидатов на длительный срок — уже требуют правового основания. Хранить резюме отклонённых кандидатов без их согласия дольше разумного срока не рекомендуется.
7. Что такое оператор персональных данных и кто им является в компании?
Оператор персональных данных — это лицо, которое самостоятельно или совместно с другими определяет цели и способы обработки персональных данных. В корпоративном контексте оператором является юридическое лицо — работодатель. Именно на оператора возлагаются обязанности по соблюдению требований Закона о персональных данных и их защите: обеспечение конфиденциальности, принятие технических и организационных мер защиты, реагирование на запросы субъектов. Внутри компании назначается ответственное лицо или подразделение, но юридическая ответственность остаётся за организацией.
8. Можно ли передавать данные сотрудников третьим лицам — например, банку для зарплатного проекта?
Передача данных сотрудников банку в рамках зарплатного проекта допустима без отдельного согласия, если она предусмотрена трудовым договором или коллективным договором и необходима для исполнения обязательств работодателя по выплате заработной платы. Вместе с тем передача данных третьим лицам в иных целях — рекламных, аналитических, страховых — требует явного согласия сотрудника. Рекомендуется фиксировать все случаи передачи данных третьим лицам в реестре обработки персональных данных и заключать с получателями соглашения о конфиденциальности.
9. Какова ответственность за нарушение законодательства о персональных данных в Казахстане?
Нарушение требований Закона о персональных данных и их защите влечёт административную ответственность. Размер санкций зависит от характера нарушения и субъекта: для должностных лиц и юридических лиц предусмотрены штрафы, исчисляемые в МРП (по состоянию на 2026 год МРП составляет 4 325 тенге). Повторные нарушения влекут более строгие санкции. В случаях, когда нарушение повлекло существенный вред субъекту, возможна гражданско-правовая ответственность — возмещение убытков и компенсация морального вреда. Уголовная ответственность наступает при незаконном сборе и распространении сведений, составляющих личную или семейную тайну.
10. Нужна ли политика конфиденциальности для казахстанской компании?
Да, политика конфиденциальности обязательна для любой организации, которая обрабатывает персональные данные. Она должна быть доступна субъектам до начала обработки их данных — как правило, размещается на сайте компании и включается в пакет документов при трудоустройстве. Политика должна содержать: перечень обрабатываемых данных, цели обработки, правовые основания, сроки хранения, порядок передачи третьим лицам и механизм реализации прав субъектов. Отсутствие политики или её несоответствие фактической практике обработки — типичное нарушение, выявляемое при проверках уполномоченного органа.
11. Как обрабатывать биометрические данные сотрудников — например, при использовании СКУД?
Биометрические данные — отпечатки пальцев, данные распознавания лица — относятся к специальным категориям персональных данных и требуют повышенной защиты. Для их обработки, как правило, необходимо письменное согласие сотрудника. При внедрении системы контроля и управления доступом (СКУД) на основе биометрии работодатель обязан: получить согласие каждого сотрудника, обеспечить техническую защиту хранимых данных, установить сроки хранения и порядок уничтожения. Сотрудник вправе отказаться от биометрической идентификации — в этом случае работодатель должен предложить альтернативный способ контроля доступа.
12. Можно ли публиковать фотографии сотрудников на сайте компании?
Публикация фотографий сотрудников на корпоративном сайте, в социальных сетях или рекламных материалах требует их письменного согласия. Фотография является персональными данными, поскольку позволяет идентифицировать конкретного человека. Согласие должно быть конкретным: указывать, где и в каких целях будет использоваться изображение. Сотрудник вправе в любой момент отозвать согласие — после этого работодатель обязан прекратить использование фотографии. Включение условия об использовании фото в трудовой договор без возможности отказа не соответствует требованиям законодательства о добровольности согласия.
13. Что такое трансграничная передача персональных данных и когда она допустима?
Трансграничная передача персональных данных — это передача данных на серверы или получателям, находящимся за пределами Республики Казахстан. Казахстанское законодательство допускает такую передачу при условии, что страна-получатель обеспечивает надлежащий уровень защиты персональных данных, либо при наличии согласия субъекта. На практике это актуально для компаний, использующих облачные сервисы иностранных провайдеров, корпоративные системы международных групп или передающих данные головному офису за рубежом. Перед внедрением таких систем рекомендуется провести правовую оценку допустимости передачи.
14. Как долго можно хранить персональные данные уволенных сотрудников?
Сроки хранения персональных данных уволенных сотрудников определяются требованиями трудового и архивного законодательства Казахстана. Кадровые документы, как правило, хранятся в течение установленных сроков — от нескольких лет до постоянного хранения в зависимости от вида документа. По истечении срока хранения данные подлежат уничтожению с составлением акта. Хранить данные дольше установленного срока без правового основания не допускается. Рекомендуется закрепить сроки хранения в политике конфиденциальности и регламенте работы с персональными данными.
15. Нужно ли уведомлять уполномоченный орган о начале обработки персональных данных?
Казахстанское законодательство предусматривает обязанность операторов персональных данных в отдельных случаях уведомлять уполномоченный орган об обработке данных. Требования к уведомлению зависят от категорий обрабатываемых данных и масштаба обработки. Для большинства работодателей, обрабатывающих стандартные кадровые данные, специального уведомления не требуется. Однако при обработке специальных категорий данных или данных в крупном масштабе рекомендуется проконсультироваться с юристом для оценки применимых требований. Уполномоченным органом в сфере персональных данных в Казахстане является Министерство цифрового развития, инноваций и аэрокосмической промышленности РК.
Выводы
Казахстанское законодательство позволяет работодателю обрабатывать стандартные кадровые данные без отдельного согласия сотрудников — трудовой договор является достаточным правовым основанием. Согласие требуется для специальных категорий данных (биометрия, здоровье), публикации фотографий и передачи данных в целях, не связанных с трудовыми отношениями. Видеонаблюдение допустимо при надлежащем уведомлении сотрудников. Ключевой инструмент снижения рисков — аудит фактической практики обработки данных и приведение внутренних документов в соответствие с требованиями Закона о персональных данных и их защите.
Актуально на: 1 сентября 2026 года.
Если ситуация требует внимания — мы поможем разобраться.
Смежные направления
Направление практики
Персональные данные и IT-право — соответствие Закону о персональных данных, трансграничная передача, аудит обработки и IT-договоры.