Нужно ли согласие на обработку данных сотрудников в Казахстане: 5 ключевых вопросов
В Казахстане согласие сотрудника на обработку его персональных данных обязательно в большинстве случаев — это прямое требование Закона о персональных данных и их защите. Исключения существуют, но они узкие: передача данных в госорганы по закону или исполнение условий трудового договора. Собственнику бизнеса важно понимать, где граница между законной обработкой и нарушением, которое влечёт административную ответственность.
Не уверены, правильно ли оформлено согласие в вашей компании? Проверить обработку персональных данных · info@vetrovkz.com
Нужно ли согласие на обработку данных сотрудников в Казахстане?
Да — в большинстве случаев согласие сотрудника обязательно. Закон о персональных данных и их защите устанавливает согласие субъекта как основное правовое основание для обработки его данных. Работодатель является оператором персональных данных и несёт полную ответственность за соблюдение требований закона.
Исключения из правила о согласии носят закрытый характер. Обработка без согласия допустима, если она прямо предусмотрена законодательством — например, передача сведений о заработной плате в налоговые органы или пенсионный фонд. Исполнение трудового договора также является самостоятельным основанием: данные, необходимые для расчёта зарплаты, оформления отпуска или командировки, можно обрабатывать без отдельного согласия.
На практике работодатели оформляют согласие двумя способами: включают его в текст трудового договора отдельным пунктом или составляют самостоятельный документ при приёме на работу. Второй вариант предпочтительнее — он позволяет чётко зафиксировать цели, объём и срок обработки. Согласие должно быть добровольным: сотрудник не может быть принуждён к его подписанию под угрозой отказа в трудоустройстве.
Для собственника бизнеса ключевой риск — обработка данных сверх объёма, необходимого для трудовых отношений, без надлежащего согласия. Это касается, в частности, передачи данных сотрудников партнёрам, страховым компаниям или корпоративным клиентам.
Если ваша компания использует биометрию или собирает медицинские данные сотрудников — проверьте правовые основания до начала проверки уполномоченного органа.
Проверить обработку персональных данныхЧто такое чувствительные персональные данные и как их обрабатывать?
Чувствительные (специальные) персональные данные — это категория сведений, обработка которых требует повышенной осторожности и, как правило, явного письменного согласия субъекта. К ним относятся данные о состоянии здоровья, биометрические данные, сведения о расовом или этническом происхождении, политических взглядах, религиозных убеждениях.
Для работодателя наиболее актуальны две категории. Первая — медицинские данные: результаты обязательных медосмотров, справки о состоянии здоровья, сведения об инвалидности. Вторая — биометрия: отпечатки пальцев и данные распознавания лиц, используемые в системах контроля доступа. Обе категории требуют отдельного согласия, отличного от стандартного согласия на обработку данных при трудоустройстве.
Хранение чувствительных данных должно быть организовано с повышенным уровнем защиты: ограниченный доступ, шифрование, отдельные журналы обработки. Передача таких данных третьим лицам — страховым компаниям, медицинским организациям — допустима только при наличии отдельного согласия или прямого указания закона.
Можно ли использовать видеонаблюдение в офисе без согласия сотрудников?
Видеонаблюдение в офисе допустимо, но не без ограничений: работодатель обязан уведомить сотрудников о факте съёмки до её начала. Скрытое наблюдение без уведомления нарушает требования казахстанского законодательства о персональных данных.
Уведомление оформляется через внутренний локальный акт — приказ или положение о видеонаблюдении — и размещение информационных табличек в зонах съёмки. Само по себе уведомление не заменяет согласие: если видеозапись используется для оценки производительности, дисциплинарных целей или передаётся третьим лицам, потребуется письменное согласие сотрудников.
По нашему опыту, большинство нарушений в этой области связано не с самим фактом видеонаблюдения, а с отсутствием надлежащего документального оформления. Работодатели нередко устанавливают камеры без приказа, не уведомляют сотрудников и не прописывают порядок хранения и удаления записей. Каждый из этих пробелов — самостоятельное нарушение.
Как правильно собирать cookies на сайте компании в Казахстане?
Сбор cookies, позволяющих идентифицировать пользователя, является обработкой персональных данных по казахстанскому законодательству. Это означает, что сайт компании обязан получить согласие пользователя до начала сбора таких данных.
Технические cookies, необходимые исключительно для работы сайта, как правило, не требуют согласия. Аналитические и маркетинговые — требуют. Согласие должно быть получено через cookie-баннер с возможностью выбора категорий: пользователь вправе принять только технические cookies, отказавшись от остальных.
Политика конфиденциальности должна быть доступна на сайте и содержать описание целей обработки, сроков хранения данных и порядка отзыва согласия. Для компаний, чьи сайты посещают граждане Казахстана, казахстанский закон применяется вне зависимости от того, где зарегистрирован оператор. Отсутствие политики конфиденциальности и cookie-баннера — типичное нарушение, выявляемое при проверках.
Что делать при запросе субъекта персональных данных о его данных?
При получении запроса от сотрудника или иного субъекта персональных данных работодатель обязан ответить в установленный законом срок. Игнорирование запроса или немотивированный отказ является нарушением Закона о персональных данных и их защите.
Субъект вправе запросить подтверждение факта обработки, перечень обрабатываемых данных, цели и основания обработки, а также потребовать исправления недостоверных данных или их удаления. Если данные передавались третьим лицам — об этом необходимо сообщить в ответе.
На практике рекомендуется зафиксировать дату получения запроса, назначить ответственного сотрудника и подготовить ответ в письменной форме. Систематическое игнорирование запросов субъектов привлекает внимание уполномоченного органа и может стать основанием для внеплановой проверки. Для собственника бизнеса наличие регламента обработки запросов субъектов — один из базовых элементов комплаенса в области персональных данных.
Частые вопросы
1. Нужно ли согласие на обработку данных сотрудников в Казахстане?
В большинстве случаев — да, согласие сотрудника на обработку его персональных данных в Казахстане обязательно. Закон о персональных данных и их защите устанавливает согласие как основное условие обработки. Исключение составляют случаи, когда обработка прямо предусмотрена трудовым договором или необходима для исполнения обязательств работодателя по законодательству: например, передача данных в пенсионный фонд или налоговый орган. На практике работодатели включают согласие в текст трудового договора или оформляют отдельным документом при приёме на работу. Важно: согласие должно быть добровольным, конкретным и информированным — формальная подпись под многостраничным документом без разъяснения целей обработки может быть оспорена.
2. Что такое чувствительные персональные данные?
Чувствительные (специальные) персональные данные — это сведения о расовом или этническом происхождении, политических взглядах, религиозных убеждениях, состоянии здоровья, биометрические данные и ряд других категорий, прямо перечисленных в Законе о персональных данных и их защите. Их обработка допускается только при наличии явного письменного согласия субъекта или в строго определённых законом случаях — например, в медицинских целях. Для работодателя это означает: сбор медицинских справок при трудоустройстве, данных об инвалидности или результатов медосмотров требует отдельного согласия, отличного от стандартного. Хранить такие данные необходимо с повышенным уровнем защиты. Нарушение режима обработки чувствительных данных влечёт административную ответственность.
3. Можно ли использовать видеонаблюдение в офисе без согласия сотрудников?
Видеонаблюдение в офисе в Казахстане допустимо, однако требует соблюдения ряда условий. Работодатель обязан уведомить сотрудников о факте ведения съёмки — как правило, это делается через внутренний локальный акт (приказ, положение о видеонаблюдении) и размещение информационных табличек в зоне съёмки. Само по себе уведомление не заменяет согласие: если видеозапись используется для оценки производительности, дисциплинарных целей или передаётся третьим лицам, потребуется письменное согласие. Скрытое наблюдение за сотрудниками без их ведома нарушает требования законодательства о персональных данных и может повлечь как административную, так и уголовную ответственность. По нашему опыту, большинство нарушений связано именно с отсутствием надлежащего уведомления.
4. Как правильно собирать cookies на сайте в Казахстане?
Сбор cookies, которые позволяют идентифицировать пользователя, является обработкой персональных данных по казахстанскому законодательству. Это означает, что сайт компании обязан получить согласие пользователя до начала сбора таких данных — через cookie-баннер с возможностью выбора категорий. Технические cookies, необходимые для работы сайта, как правило, не требуют согласия. Аналитические и маркетинговые — требуют. Политика конфиденциальности должна быть доступна на сайте и описывать цели, сроки хранения и порядок отзыва согласия. Для компаний, работающих с иностранными пользователями, важно учитывать, что казахстанский закон применяется к обработке данных граждан РК вне зависимости от местонахождения оператора.
5. Что делать при запросе субъекта персональных данных о его данных?
При получении запроса от сотрудника или иного субъекта персональных данных работодатель обязан ответить в установленный законом срок. Субъект вправе запросить подтверждение факта обработки, перечень обрабатываемых данных, цели и основания обработки, а также потребовать исправления или удаления данных. Отказ или игнорирование запроса является нарушением. На практике рекомендуется зафиксировать дату получения запроса, назначить ответственного сотрудника и подготовить ответ в письменной форме. Если данные передавались третьим лицам — об этом также необходимо сообщить. Систематическое игнорирование запросов субъектов привлекает внимание уполномоченного органа и может стать основанием для проверки.
6. Нужно ли регистрировать базу данных сотрудников в уполномоченном органе?
Казахстанское законодательство о персональных данных предусматривает обязанность оператора уведомить уполномоченный орган о начале обработки персональных данных в ряде случаев. Для большинства работодателей, ведущих стандартную кадровую документацию, эта обязанность носит уведомительный, а не разрешительный характер. Тем не менее отсутствие надлежащего уведомления при проверке фиксируется как нарушение. По нашему опыту, многие компании малого и среднего бизнеса не выполняют эту процедуру, считая её излишней формальностью — до момента первой проверки. Рекомендуется проверить актуальные требования и при необходимости направить уведомление.
7. Можно ли передавать данные сотрудников за рубеж?
Трансграничная передача персональных данных из Казахстана допустима при соблюдении условий, установленных Законом о персональных данных и их защите. Передача в страны, обеспечивающие надлежащий уровень защиты данных, как правило, допустима при наличии согласия субъекта. Передача в страны без надлежащего уровня защиты требует дополнительных гарантий — договорных механизмов или явного согласия субъекта с уведомлением о рисках. Для международных компаний, передающих данные казахстанских сотрудников в головной офис за рубежом, это актуальный вопрос комплаенса. Нарушение правил трансграничной передачи влечёт административную ответственность оператора.
8. Что такое фото сотрудника — персональные данные или нет?
Фотография сотрудника является персональными данными, поскольку позволяет идентифицировать конкретного человека. Это означает, что размещение фото на корпоративном сайте, в рекламных материалах или во внутренних системах требует согласия сотрудника. Согласие должно содержать указание на конкретные цели использования фото: например, размещение на сайте компании или в корпоративном справочнике. Использование фото в целях, не предусмотренных согласием, является нарушением. Особую осторожность следует проявлять при публикации фото уволенных сотрудников — их согласие, как правило, не распространяется на период после прекращения трудовых отношений.
9. Как долго можно хранить персональные данные сотрудников?
Срок хранения персональных данных сотрудников определяется целью их обработки и требованиями законодательства об архивном деле и документообороте. Данные, необходимые для исполнения трудового договора, хранятся в течение срока действия договора и установленного законом периода после его прекращения. Данные, обработка которых основана на согласии, должны быть удалены после отзыва согласия или достижения цели обработки. Хранение данных сверх установленного срока без правового основания является нарушением. Работодателю рекомендуется установить внутренний регламент сроков хранения и процедуру уничтожения данных по истечении этих сроков.
10. Что грозит работодателю за нарушение законодательства о персональных данных в Казахстане?
Нарушение требований Закона о персональных данных и их защите влечёт административную ответственность оператора. Санкции предусмотрены Кодексом об административных правонарушениях РК и применяются как к юридическим лицам, так и к должностным лицам. Повторные нарушения влекут более строгие санкции. В случаях, связанных со скрытым наблюдением или незаконным распространением персональных данных, возможна уголовная ответственность. Помимо прямых санкций, нарушения в области персональных данных создают репутационные риски и могут стать основанием для гражданских исков со стороны пострадавших субъектов. По нашему опыту, своевременный аудит и приведение процессов в соответствие с законом обходится значительно дешевле, чем устранение последствий проверки.
Выводы
Согласие сотрудника на обработку персональных данных в Казахстане обязательно в большинстве случаев — исключения узкие и прямо предусмотрены законом. Чувствительные данные (биометрия, медицинские сведения) требуют отдельного согласия и повышенного уровня защиты. Видеонаблюдение, сбор cookies и обработка фотографий сотрудников — каждая из этих операций имеет собственные требования, несоблюдение которых влечёт административную ответственность.
Актуально на: 20 октября 2026 года.
Если ситуация требует внимания — мы поможем разобраться.
Смежные направления
Направление практики
Персональные данные и IT-право — соответствие Закону о персональных данных, трансграничная передача, аудит обработки и IT-договоры.