Нужно ли согласие на обработку данных сотрудников в Казахстане: что важно знать
В большинстве случаев согласие сотрудника на обработку его персональных данных в Казахстане не требуется — если обработка необходима для исполнения трудового договора. Однако казахстанский Закон о персональных данных и их защите устанавливает чёткие исключения: биометрия, фото для публикации, данные о здоровье и ряд других категорий требуют отдельного письменного согласия. Разбираем, где проходит граница и что грозит за её нарушение.
Не уверены, соответствуют ли ваши кадровые процессы требованиям о персональных данных? Проверить обработку персональных данных · info@vetrovkz.com
Нужно ли согласие на обработку данных сотрудников в Казахстане?
Нет — в рамках трудового договора согласие не требуется. Казахстанское законодательство позволяет работодателю обрабатывать данные работника без его отдельного согласия, если это необходимо для оформления трудовых отношений, начисления заработной платы, ведения кадрового учёта и выполнения обязательных отчётов перед государственными органами.
Согласие становится обязательным в двух ситуациях. Первая — обработка выходит за рамки трудового договора: публикация фото сотрудника на сайте, использование его данных в маркетинговых целях, передача информации третьим лицам без законного основания. Вторая — обрабатываются чувствительные категории данных: биометрия, сведения о состоянии здоровья, политические взгляды, судимости.
На практике большинство нарушений связано не с незнанием этого базового правила, а с неверным пониманием его границ. Работодатели либо собирают согласия там, где они не нужны (и делают это неправильно), либо не собирают там, где они обязательны.
Планируете внедрить биометрию или систему видеонаблюдения — важно заранее выстроить правовую базу для сбора данных.
Проверить обработку персональных данныхЧто такое чувствительные персональные данные и почему они важны для работодателя?
Чувствительные персональные данные — это категория сведений, обработка которых требует повышенной защиты и, как правило, явного письменного согласия субъекта. Казахстанский Закон о персональных данных и их защите относит к ним расовое и этническое происхождение, политические взгляды, религиозные убеждения, сведения о состоянии здоровья, биометрические данные и информацию о судимостях.
Для работодателя это означает конкретные обязательства. Если компания внедряет систему биометрического контроля доступа — сканер отпечатков пальцев или распознавание лица — письменное согласие каждого сотрудника обязательно до начала сбора данных. Медицинские справки, собираемые сверх обязательного минимума, также подпадают под эту категорию.
Хранить чувствительные данные следует отдельно от стандартного кадрового досье, с ограниченным кругом лиц, имеющих доступ, и с усиленными мерами технической защиты. Утечка таких данных влечёт более серьёзные правовые последствия, чем утечка обычных персональных данных.
Можно ли использовать видеонаблюдение в офисе без согласия сотрудников?
Видеонаблюдение в офисе допустимо без отдельного согласия каждого сотрудника — при условии, что работники заблаговременно уведомлены о ведении съёмки, а система направлена на законные цели: охрана имущества, обеспечение безопасности, контроль рабочего процесса.
Уведомление оформляется через локальный нормативный акт — приказ или правила внутреннего трудового распорядка — и подтверждается подписью сотрудника при ознакомлении. Скрытое видеонаблюдение без уведомления нарушает право на неприкосновенность частной жизни и может повлечь административную ответственность.
Записи с камер относятся к персональным данным. Это означает: ограниченный доступ к записям, определённый срок хранения и обязательное уничтожение по его истечении. Передача записей третьим лицам — например, правоохранительным органам — допустима только по законным основаниям.
Как правильно оформить согласие: что должно быть в документе?
Согласие на обработку персональных данных должно быть конкретным, информированным и добровольным — это три обязательных критерия по казахстанскому законодательству. Документ, не отвечающий хотя бы одному из них, юридически ничтожен.
В тексте согласия должны быть указаны: наименование и адрес оператора, цель обработки данных, перечень обрабатываемых сведений, конкретные действия с данными (сбор, хранение, передача и т.д.), срок действия согласия и порядок его отзыва. Согласие не может быть получено под принуждением.
- Для сотрудников: отказ от подписания согласия на обработку данных, выходящую за рамки трудового договора, не может служить основанием для отказа в приёме на работу или увольнения.
- Хранить подписанные согласия рекомендуется в течение всего срока трудовых отношений и не менее трёх лет после их прекращения.
- Согласие на обработку чувствительных данных оформляется отдельным документом.
Шаблонные формулировки «согласен на обработку всех персональных данных в любых целях» не соответствуют требованию конкретности и могут быть оспорены.
Что делать при запросе субъекта персональных данных?
При получении запроса от сотрудника или иного субъекта данных оператор обязан ответить в течение 15 рабочих дней. Субъект вправе запросить подтверждение факта обработки его данных, перечень обрабатываемых сведений, цели и основания обработки, а также потребовать исправления неточных данных или их удаления.
Если запрос касается удаления данных, оператор обязан их уничтожить при отсутствии законных оснований для дальнейшего хранения. Отказ без законного основания или игнорирование запроса влечёт административную ответственность. Рекомендуется вести реестр запросов субъектов и фиксировать принятые меры — это снижает риски при проверке уполномоченного органа.
Как правильно собирать cookies на сайте компании в Казахстане?
Сбор cookies, позволяющих идентифицировать пользователя, является обработкой персональных данных по казахстанскому законодательству. Для технических cookies, необходимых для работы сайта, согласие не требуется. Для аналитических и маркетинговых cookies — согласие обязательно до начала обработки.
На практике это реализуется через cookie-баннер с раздельными категориями и кнопкой отказа, равнозначной по заметности кнопке принятия. Политика конфиденциальности должна описывать, какие cookies используются, с какой целью и как долго хранятся данные. Если сайт ориентирован на казахстанских пользователей, хранение данных должно осуществляться на серверах в Казахстане или с соблюдением требований о трансграничной передаче.
Частые вопросы
1. Нужно ли согласие на обработку данных сотрудников в Казахстане?
В большинстве случаев — нет: казахстанское законодательство допускает обработку персональных данных работников без отдельного согласия, если она необходима для исполнения трудового договора. Работодатель вправе собирать и использовать данные, которые требуются для оформления трудовых отношений, начисления заработной платы, ведения кадрового учёта и выполнения обязательств перед государственными органами. Согласие становится обязательным в двух ситуациях: когда обработка выходит за рамки трудового договора (например, публикация фото сотрудника в рекламных материалах) и когда речь идёт о чувствительных категориях данных — биометрии, состоянии здоровья, политических взглядах. В этих случаях согласие должно быть письменным, добровольным и конкретным по цели.
2. Что такое чувствительные персональные данные?
Чувствительные персональные данные — это особая категория сведений, обработка которых требует повышенной защиты и явного согласия субъекта. Казахстанский Закон о персональных данных и их защите относит к ним расовое и этническое происхождение, политические взгляды, религиозные и философские убеждения, сведения о состоянии здоровья, биометрические данные (отпечатки пальцев, сетчатка глаза, геометрия лица), а также данные о судимостях. Для работодателя это означает: если вы внедряете систему биометрического контроля доступа или собираете медицинские справки сверх обязательного минимума — письменное согласие каждого сотрудника обязательно. Хранить такие данные следует отдельно от стандартного кадрового досье, с ограниченным кругом лиц, имеющих доступ.
3. Можно ли использовать видеонаблюдение в офисе без согласия сотрудников?
Видеонаблюдение в офисе допустимо без отдельного согласия каждого сотрудника при соблюдении двух условий: работники должны быть заблаговременно уведомлены о ведении съёмки, а сама система должна быть направлена на законные цели — охрана имущества, обеспечение безопасности, контроль рабочего процесса. Уведомление оформляется через локальный нормативный акт и подпись сотрудника при ознакомлении. Скрытое видеонаблюдение без уведомления нарушает право на неприкосновенность частной жизни и может повлечь административную ответственность. Записи с камер относятся к персональным данным и должны храниться с соблюдением требований о защите данных: ограниченный доступ, определённый срок хранения, уничтожение по истечении срока.
4. Как правильно собирать cookies на сайте в Казахстане?
Сбор cookies, которые позволяют идентифицировать пользователя, является обработкой персональных данных по казахстанскому законодательству. Для технических cookies, необходимых для работы сайта, согласие не требуется. Для аналитических и маркетинговых cookies — согласие обязательно: пользователь должен иметь возможность принять или отклонить их до начала обработки. На практике это реализуется через cookie-баннер с раздельными категориями и кнопкой отказа, равнозначной по заметности кнопке принятия. Политика конфиденциальности сайта должна описывать, какие cookies используются, с какой целью и как долго хранятся данные. Если сайт ориентирован на казахстанских пользователей, хранение данных должно осуществляться на серверах в Казахстане или с соблюдением требований о трансграничной передаче.
5. Что делать при запросе субъекта персональных данных?
При получении запроса от субъекта персональных данных оператор обязан ответить в течение 15 рабочих дней с момента обращения. Субъект вправе запросить подтверждение факта обработки его данных, перечень обрабатываемых сведений, цели и основания обработки, а также потребовать исправления неточных данных или их удаления. Если запрос касается удаления данных, оператор обязан их уничтожить, если отсутствуют законные основания для дальнейшего хранения. Отказ в предоставлении информации без законного основания или игнорирование запроса влечёт административную ответственность. Рекомендуется вести реестр запросов субъектов и фиксировать принятые меры.
6. Нужно ли согласие на передачу данных сотрудников третьим лицам?
Передача персональных данных сотрудников третьим лицам по общему правилу требует согласия работника. Исключения предусмотрены для случаев, когда передача обусловлена исполнением трудового договора или прямо предписана законодательством: передача данных в пенсионный фонд, налоговые органы, органы статистики, медицинские организации в рамках обязательного страхования. Если работодатель передаёт данные аутсорсинговой компании — например, провайдеру расчёта заработной платы — необходимо заключить договор на обработку данных, в котором третья сторона принимает на себя обязательства по их защите. Передача данных за рубеж требует дополнительного обоснования: либо страна-получатель обеспечивает адекватный уровень защиты, либо получено явное согласие субъекта.
7. Что должно быть в согласии на обработку персональных данных?
Согласие на обработку персональных данных должно быть конкретным, информированным и добровольным. Казахстанское законодательство требует, чтобы в тексте согласия были указаны: наименование и адрес оператора, цель обработки данных, перечень обрабатываемых сведений, действия с данными (сбор, хранение, передача и т.д.), срок действия согласия и порядок его отзыва. Согласие не может быть получено под принуждением — для сотрудников это означает, что отказ от подписания согласия на обработку данных, выходящую за рамки трудового договора, не может служить основанием для отказа в приёме на работу или увольнения. Рекомендуется хранить подписанные согласия в течение всего срока трудовых отношений и не менее трёх лет после их прекращения.
8. Какие данные сотрудника работодатель вправе обрабатывать без согласия?
Без согласия сотрудника работодатель вправе обрабатывать данные, необходимые для исполнения трудового договора и выполнения обязательств, установленных законодательством. К таким данным относятся: фамилия, имя, отчество, дата рождения, ИИН, адрес регистрации, реквизиты документа, удостоверяющего личность, сведения об образовании и квалификации, данные о трудовом стаже, банковские реквизиты для выплаты заработной платы, сведения о налоговых вычетах и пенсионных отчислениях. Обработка этих данных правомерна в силу Трудового кодекса РК, Налогового кодекса РК и иных нормативных актов. Выход за пределы этого перечня — например, сбор данных о семейном положении для маркетинговых целей — требует отдельного согласия.
9. Обязан ли работодатель уведомлять уполномоченный орган об обработке данных?
По казахстанскому законодательству операторы персональных данных обязаны направить уведомление в уполномоченный орган до начала обработки данных. Уведомление подаётся в электронной форме через портал egov.kz. В нём указываются наименование оператора, цели обработки, категории субъектов и данных, меры по защите, сведения о трансграничной передаче. Исключения из обязанности уведомления предусмотрены для ряда случаев, в том числе когда обработка осуществляется исключительно в целях исполнения трудового договора и данные не передаются третьим лицам. Тем не менее большинство работодателей, ведущих кадровый учёт в электронных системах, на практике подпадают под обязанность уведомления.
10. Можно ли фотографировать сотрудников для корпоративного сайта без согласия?
Нет. Публикация фотографий сотрудников на корпоративном сайте, в социальных сетях или рекламных материалах выходит за рамки трудового договора и требует письменного согласия каждого работника. Фотография, позволяющая идентифицировать человека, является персональными данными. Согласие должно содержать конкретную цель использования изображения, перечень площадок размещения и срок действия. Сотрудник вправе в любой момент отозвать согласие — в этом случае работодатель обязан удалить фотографии с указанных площадок в разумный срок. Использование фото без согласия или после его отзыва влечёт административную ответственность и может стать основанием для гражданского иска.
11. Что грозит работодателю за нарушение законодательства о персональных данных?
За нарушение требований казахстанского Закона о персональных данных и их защите предусмотрена административная ответственность. Санкции применяются за незаконный сбор, хранение, распространение персональных данных, а также за отказ предоставить субъекту информацию о его данных. Размер штрафов исчисляется в месячных расчётных показателях и зависит от характера нарушения и субъекта ответственности. Помимо административных санкций, пострадавший субъект данных вправе обратиться в суд с иском о возмещении морального вреда. Систематические нарушения или утечка данных в крупном масштабе могут привлечь внимание уполномоченного органа и повлечь проверку.
12. Как хранить персональные данные сотрудников в соответствии с законом?
Хранение персональных данных сотрудников должно соответствовать нескольким требованиям казахстанского законодательства. Данные должны храниться на серверах, расположенных на территории Казахстана — требование о локализации распространяется на базы данных, содержащие сведения о казахстанских гражданах. Доступ к данным должен быть ограничен: только уполномоченные сотрудники HR и бухгалтерии. Срок хранения должен быть определён и соответствовать целям обработки: кадровые документы, как правило, хранятся 75 лет, расчётные ведомости — 5 лет. По истечении срока данные подлежат уничтожению с составлением акта. Электронные системы кадрового учёта должны иметь журнал доступа и средства защиты от несанкционированного доступа.
13. Распространяются ли требования о персональных данных на данные кандидатов при найме?
Да, требования казахстанского законодательства о персональных данных распространяются на данные кандидатов с момента их получения — то есть уже на этапе приёма резюме. Работодатель вправе обрабатывать данные кандидата в объёме, необходимом для оценки его соответствия вакансии. Если кандидат не принят на работу, его данные должны быть уничтожены по истечении срока, обоснованного целью обработки, — как правило, не позднее чем через 6–12 месяцев после завершения отбора. Хранить резюме «на будущее» без согласия кандидата не допускается. Если работодатель намерен сохранить данные для рассмотрения в будущих конкурсах, необходимо получить явное согласие с указанием срока хранения и цели.
14. Нужно ли согласие при использовании корпоративной электронной почты?
Мониторинг корпоративной электронной почты сотрудников допустим при условии, что работники заблаговременно уведомлены об этом. Уведомление должно быть закреплено в локальном нормативном акте — политике использования ИТ-ресурсов или правилах внутреннего трудового распорядка — и подписано работником. Мониторинг личной переписки, даже если она ведётся с корпоративного адреса, может нарушать право на тайну переписки. Рекомендуется чётко разграничить корпоративное и личное использование почты и зафиксировать это в политике компании. Отдельного согласия на мониторинг корпоративной почты не требуется при надлежащем уведомлении через локальный акт.
15. Что такое оператор персональных данных и кто им является в трудовых отношениях?
Оператор персональных данных — это лицо, которое самостоятельно или совместно с другими определяет цели и способы обработки персональных данных. В трудовых отношениях оператором является работодатель — юридическое лицо или индивидуальный предприниматель, который собирает и использует данные своих работников. Оператор несёт полную ответственность за соблюдение требований законодательства о защите данных: обеспечение безопасности, соблюдение сроков хранения, реагирование на запросы субъектов. Если работодатель привлекает третью сторону для обработки данных — например, облачный HR-сервис — эта сторона выступает обработчиком и действует по поручению оператора на основании договора. Ответственность перед субъектом данных при этом сохраняется за оператором.
Выводы
Согласие на обработку данных сотрудников в Казахстане не требуется для стандартных кадровых операций в рамках трудового договора. Оно становится обязательным при работе с чувствительными данными — биометрией, сведениями о здоровье — и при любом использовании данных за пределами трудовых отношений: публикация фото, маркетинг, передача третьим лицам. Ключевые риски для работодателя — неправильно оформленные согласия, отсутствие уведомления уполномоченного органа и несоблюдение требований о локализации данных. Аудит процессов обработки данных позволяет выявить эти риски до проверки, а не после.
Актуально на: 2 января 2026 года.
Если ситуация требует внимания — мы поможем разобраться.
Смежные направления
Направление практики
Персональные данные и IT-право — соответствие Закону о персональных данных, трансграничная передача, аудит обработки и IT-договоры.