Нужно ли согласие на обработку данных сотрудников в Казахстане
В большинстве случаев — нет: казахстанское законодательство позволяет работодателю обрабатывать персональные данные сотрудников без отдельного согласия, если это необходимо для исполнения трудового договора. Согласие требуется только в прямо предусмотренных случаях — при обработке чувствительных данных, биометрии или передаче данных третьим лицам без законного основания.
Не уверены, соответствует ли ваша кадровая документация требованиям Закона о персональных данных и их защите? Проверить обработку персональных данных · info@vetrovkz.com
Когда согласие не нужно: трудовой договор как основание
Трудовой договор является самостоятельным законным основанием для обработки персональных данных работника — отдельное согласие в этом случае не требуется.
Работодатель вправе без согласия сотрудника собирать и хранить данные, необходимые для кадрового учёта: ФИО, ИИН, дату рождения, адрес регистрации, сведения об образовании и квалификации, банковские реквизиты для выплаты заработной платы. Те же данные передаются в налоговые органы, пенсионный и социальный фонды — это обязанность работодателя по закону, а не его усмотрение.
Принцип минимизации данных действует даже при наличии законного основания: работодатель вправе собирать только те сведения, которые действительно необходимы для конкретной цели. Запрашивать у сотрудника данные о семейном положении, политических взглядах или религии без обоснованной производственной необходимости — нарушение Закона о персональных данных и их защите.
Подробнее о разработке кадровой документации читайте в материале «Как составить политику обработки персональных данных в Казахстане».
Внедряете биометрический контроль доступа или систему видеонаблюдения — и не уверены в правовом оформлении?
Проверить обработку персональных данныхВ каких случаях согласие всё же обязательно?
Согласие сотрудника обязательно при обработке чувствительных персональных данных, а также в ситуациях, выходящих за рамки трудовых отношений.
К случаям, требующим явного согласия, относятся:
- Биометрические данные — отпечатки пальцев, сканирование сетчатки, системы распознавания лиц для контроля доступа или учёта рабочего времени
- Медицинские данные — сведения о состоянии здоровья, результаты медосмотров, справки о нетрудоспособности (за исключением случаев, прямо предусмотренных трудовым законодательством)
- Публикация фотографий сотрудника на корпоративном сайте, в рекламных материалах или социальных сетях
- Передача данных третьим лицам — аутсорсинговым компаниям, рекрутинговым агентствам, страховым организациям — при отсутствии иного законного основания
Согласие должно быть добровольным, конкретным и информированным. Включение общей фразы «согласен на обработку персональных данных» в трудовой договор без детализации целей и состава данных не отвечает требованиям казахстанского законодательства.
Фото сотрудника: отдельный случай с отдельными правилами
Фотография сотрудника — персональные данные, а в контексте идентификации личности — биометрические данные, требующие согласия.
Работодатель не вправе размещать фото сотрудника на сайте, в корпоративных буклетах или социальных сетях без его письменного согласия. Согласие должно быть конкретным: указывать площадки размещения, цели использования и срок действия. При увольнении сотрудника работодатель обязан удалить его изображения из публичных источников, если иное не предусмотрено отдельным соглашением.
Фотографии в пропускной системе или на внутреннем корпоративном портале, доступном только сотрудникам, находятся в «серой зоне»: формально это тоже обработка биометрических данных, и юридически безопаснее оформить согласие. На практике многие работодатели включают соответствующий пункт в трудовой договор или приложение к нему.
Видеонаблюдение в офисе: что требует закон?
Видеонаблюдение в рабочих помещениях допустимо, но только при условии уведомления сотрудников — скрытое наблюдение запрещено.
Работодатель обязан закрепить факт видеонаблюдения в трудовом договоре, правилах внутреннего трудового распорядка или отдельном локальном акте. Сотрудники должны быть ознакомлены с этим документом под подпись. Видеозаписи, позволяющие идентифицировать конкретного человека, являются персональными данными: их хранение, доступ к ним и сроки уничтожения должны быть регламентированы.
Использование записей в дисциплинарных целях допустимо при соблюдении принципа соразмерности. Работодатель должен быть готов обосновать, что цель наблюдения (охрана имущества, безопасность труда) соответствует степени вмешательства в частную жизнь сотрудника. Наблюдение в зонах отдыха, туалетах и раздевалках запрещено.
Что должна содержать политика обработки персональных данных работодателя?
Политика обработки персональных данных — обязательный документ для любого работодателя в Казахстане, вне зависимости от размера компании.
Документ должен содержать: наименование и реквизиты оператора, перечень категорий обрабатываемых данных, цели и правовые основания обработки, сроки хранения, порядок передачи данных третьим лицам, меры технической и организационной защиты, порядок реализации прав субъектов и контактные данные ответственного лица. Политика размещается в открытом доступе — на сайте компании или на информационном стенде в офисе.
Сотрудники знакомятся с политикой при приёме на работу под подпись. Отсутствие документа или его несоответствие требованиям Закона о персональных данных и их защите является основанием для административного взыскания. Подробный алгоритм составления политики — в материале «Как составить политику обработки персональных данных в Казахстане».
Ответственность за нарушения: что грозит работодателю?
За нарушение требований Закона о персональных данных и их защите казахстанское законодательство предусматривает административную ответственность для операторов персональных данных.
Типичные нарушения, выявляемые при проверках: отсутствие политики обработки данных, сбор данных без законного основания, передача данных третьим лицам без согласия субъекта, непринятие мер по технической защите данных, игнорирование запросов сотрудников. При систематических нарушениях или утечке данных в значительном масштабе возможно возбуждение уголовного дела по соответствующим статьям Уголовного кодекса РК.
Контроль в сфере персональных данных осуществляет уполномоченный орган. Проверки могут инициироваться как по жалобам субъектов данных, так и в плановом порядке. Превентивный аудит кадровой документации и IT-инфраструктуры позволяет выявить нарушения до того, как они станут предметом административного производства. Подробнее о трудовых спорах, связанных с нарушением прав работников, — в материале «Новая квота на иностранную рабочую силу в Казахстане».
Частые вопросы
1. Нужно ли согласие на обработку данных сотрудников в Казахстане?
В большинстве случаев — нет: казахстанское законодательство допускает обработку персональных данных работника без его отдельного согласия, если данные собираются в целях исполнения трудового договора. Работодатель вправе обрабатывать имя, ИИН, адрес, сведения об образовании и квалификации, банковские реквизиты и иные сведения, необходимые для кадрового учёта, расчёта зарплаты и исполнения обязательств перед государственными органами. Согласие требуется только в случаях, прямо предусмотренных Законом о персональных данных и их защите: обработка чувствительных данных (биометрия, состояние здоровья, судимости), передача данных третьим лицам без законного основания, использование данных в целях, выходящих за рамки трудовых отношений.
2. Что такое чувствительные персональные данные?
Чувствительные персональные данные — это категория сведений, обработка которых требует повышенной защиты и, как правило, явного согласия субъекта. По казахстанскому законодательству к ним относятся: сведения о состоянии здоровья и медицинские данные, биометрические данные (отпечатки пальцев, сетчатка глаза, фотография для идентификации личности), сведения о судимостях и уголовном преследовании, расовая или этническая принадлежность, политические взгляды, религиозные убеждения, а также данные о частной жизни. Работодатель, внедряющий систему биометрического контроля доступа или учёта рабочего времени по отпечатку пальца, обязан получить письменное согласие каждого сотрудника до начала сбора таких данных. Медицинские справки, запрашиваемые при приёме на работу на должности с особыми требованиями, также относятся к чувствительной категории и требуют отдельного документального оформления.
3. Можно ли использовать видеонаблюдение в офисе?
Видеонаблюдение в офисе допустимо при соблюдении ряда условий. Работодатель обязан уведомить сотрудников о наличии видеонаблюдения — как правило, это делается в трудовом договоре, правилах внутреннего трудового распорядка или отдельном локальном акте. Скрытое наблюдение за работниками без их уведомления нарушает Закон о персональных данных и их защите и может повлечь административную ответственность. Видеозаписи являются персональными данными, если позволяют идентифицировать конкретного человека. Хранить их следует в соответствии с установленными сроками, а доступ к записям должен быть ограничен уполномоченными лицами. Использование записей в дисциплинарных целях допустимо, однако работодатель должен быть готов обосновать соразмерность такой меры.
4. Как правильно собирать cookies на сайте в Казахстане?
Cookies, позволяющие идентифицировать пользователя, признаются персональными данными по казахстанскому законодательству. Оператор сайта обязан: разместить политику обработки персональных данных в открытом доступе, уведомить пользователя о сборе cookies при первом посещении (cookie-баннер), получить согласие на обработку нефункциональных cookies (аналитика, реклама) до их активации. Технические cookies, необходимые для работы сайта, согласия не требуют. Согласие должно быть свободным, конкретным и информированным — предварительно проставленные галочки не соответствуют этому требованию. Политика конфиденциальности должна содержать цели обработки, перечень данных, сроки хранения и порядок отзыва согласия.
5. Что делать при запросе субъекта персональных данных?
Субъект персональных данных вправе запросить у оператора сведения о составе обрабатываемых данных, целях и основаниях обработки, а также потребовать исправления, блокирования или уничтожения данных. Оператор обязан ответить на такой запрос в срок, установленный Законом о персональных данных и их защите. Работодатель как оператор должен иметь внутренний регламент обработки подобных запросов: назначить ответственное лицо, определить форму ответа и срок реагирования. Отказ от предоставления информации или игнорирование запроса влечёт административную ответственность. Если данные переданы третьим лицам, оператор обязан уведомить их о поступившем требовании субъекта.
6. Какие данные сотрудника работодатель вправе обрабатывать без согласия?
Без отдельного согласия работодатель вправе обрабатывать данные, необходимые для исполнения трудового договора и выполнения обязательств перед государственными органами. К таким данным относятся: фамилия, имя, отчество, ИИН, дата рождения, адрес регистрации, сведения об образовании и квалификации, трудовая книжка, банковские реквизиты для выплаты зарплаты, сведения о налоговых вычетах и социальных отчислениях. Основанием для обработки служит трудовой договор и требования налогового, пенсионного и социального законодательства. Важно: даже при наличии законного основания работодатель обязан соблюдать принципы минимизации данных — собирать только то, что действительно необходимо для конкретной цели.
7. Нужно ли согласие на публикацию фото сотрудника на сайте компании?
Да, публикация фотографии сотрудника на корпоративном сайте, в социальных сетях или рекламных материалах требует его письменного согласия. Фотография является биометрическим персональным данным, если позволяет идентифицировать личность. Согласие должно быть конкретным: указывать, где именно будет размещено фото, в каких целях и на какой срок. Включение общей фразы о согласии на «использование изображения» в трудовой договор без детализации может быть признано недостаточным. При увольнении сотрудника работодатель обязан удалить его фотографии из публичных источников, если иное не предусмотрено отдельным соглашением. Нарушение этого требования влечёт административную ответственность по казахстанскому законодательству.
8. Что должна содержать политика обработки персональных данных работодателя?
Политика обработки персональных данных — обязательный документ для любого работодателя, обрабатывающего данные сотрудников. Она должна содержать: наименование и реквизиты оператора, перечень обрабатываемых категорий данных, цели и правовые основания обработки, сроки хранения данных, порядок передачи данных третьим лицам, меры по защите данных, порядок реализации прав субъектов (доступ, исправление, уничтожение), контактные данные ответственного лица. Политика должна быть размещена в открытом доступе — на сайте компании или на информационном стенде. Сотрудники должны быть ознакомлены с ней под подпись при приёме на работу. Отсутствие политики или её несоответствие требованиям Закона о персональных данных и их защите является основанием для административного взыскания.
9. Какова ответственность за нарушение законодательства о персональных данных в Казахстане?
За нарушение требований Закона о персональных данных и их защите казахстанское законодательство предусматривает административную ответственность. Санкции применяются к операторам персональных данных — юридическим лицам и индивидуальным предпринимателям. Типичные нарушения: отсутствие политики обработки данных, сбор данных без законного основания, передача данных третьим лицам без согласия субъекта, непринятие мер по защите данных от несанкционированного доступа, игнорирование запросов субъектов. Контроль в сфере персональных данных осуществляет уполномоченный орган. При систематических нарушениях или утечке данных в крупном масштабе возможно возбуждение уголовного дела по соответствующим статьям Уголовного кодекса РК.
10. Как оформить согласие на обработку персональных данных сотрудника?
Согласие на обработку персональных данных должно быть добровольным, конкретным, информированным и однозначным. Оно оформляется в письменной форме — отдельным документом или соответствующим разделом трудового договора с чёткой формулировкой. Согласие должно содержать: наименование оператора, перечень конкретных данных, цели обработки, перечень действий с данными (сбор, хранение, передача и т.д.), срок действия согласия, порядок его отзыва. Для чувствительных данных (биометрия, здоровье) рекомендуется отдельный документ. Сотрудник вправе отозвать согласие в любой момент — работодатель обязан прекратить обработку данных, если нет иного законного основания для их хранения. Принуждение к подписанию согласия под угрозой отказа в трудоустройстве нарушает принцип добровольности.
11. Можно ли передавать данные сотрудников третьим лицам?
Передача персональных данных сотрудников третьим лицам допустима только при наличии законного основания. Без согласия работника данные могут быть переданы: государственным органам в рамках их полномочий (налоговые органы, пенсионный фонд, социальный фонд), банкам — для перечисления заработной платы на основании трудового договора, медицинским организациям — при наличии обязательного медицинского страхования. Передача данных аутсорсинговым компаниям (бухгалтерия, кадровый учёт), рекрутинговым агентствам или иным коммерческим структурам требует согласия сотрудника или заключения договора на обработку данных с соответствующими гарантиями защиты. Трансграничная передача данных регулируется отдельными нормами Закона о персональных данных и их защите.
12. Нужно ли согласие на обработку данных при приёме на работу?
При приёме на работу работодатель вправе запрашивать и обрабатывать данные кандидата без отдельного согласия в части, необходимой для оценки его соответствия должности: резюме, документы об образовании, трудовая книжка, рекомендации. Основанием служит преддоговорная стадия — действия по заключению трудового договора. Однако проверка кандидата через базы данных, запрос сведений о судимости, медицинское освидетельствование или сбор биометрии на этапе отбора требуют отдельного согласия. Данные кандидатов, которым отказано в трудоустройстве, должны быть уничтожены по истечении срока, установленного внутренними правилами компании, если кандидат не дал согласия на их дальнейшее хранение.
13. Как долго работодатель вправе хранить персональные данные уволенного сотрудника?
Сроки хранения персональных данных уволенных сотрудников определяются требованиями трудового, налогового и архивного законодательства Казахстана. Кадровые документы (приказы, трудовые договоры, личные дела) хранятся, как правило, не менее 75 лет — в соответствии с требованиями к архивному хранению. Документы по расчёту заработной платы хранятся в течение срока исковой давности по налоговым обязательствам. После истечения установленных сроков данные подлежат уничтожению с составлением акта. Хранение данных сверх установленных сроков без законного основания является нарушением принципа ограничения хранения и может повлечь административную ответственность. Работодатель обязан закрепить сроки хранения в политике обработки персональных данных.
14. Распространяется ли закон о персональных данных на иностранных сотрудников в Казахстане?
Да, Закон о персональных данных и их защите распространяется на всех субъектов персональных данных, находящихся на территории Казахстана, вне зависимости от их гражданства. Иностранный сотрудник, работающий в казахстанской компании, обладает теми же правами в отношении своих персональных данных, что и гражданин РК. Работодатель обязан соблюдать все требования казахстанского законодательства при обработке данных иностранных работников: получать согласие в предусмотренных случаях, обеспечивать защиту данных, реагировать на запросы субъектов. Трансграничная передача данных иностранного сотрудника на родину (например, в головной офис иностранной компании) требует соблюдения норм о трансграничной передаче данных.
15. Что такое оператор персональных данных и кто им является?
Оператор персональных данных — это лицо, которое самостоятельно или совместно с другими лицами организует и осуществляет обработку персональных данных. Любой работодатель, собирающий и хранящий данные своих сотрудников, является оператором персональных данных по казахстанскому законодательству. Это влечёт полный комплекс обязанностей: разработка политики обработки данных, назначение ответственного лица, обеспечение технической и организационной защиты данных, реагирование на запросы субъектов, уведомление уполномоченного органа в случаях, предусмотренных законом. Статус оператора не зависит от размера компании — требования одинаково применяются к крупным корпорациям и малому бизнесу. ИП, нанимающий хотя бы одного работника, также является оператором.
Выводы
Согласие на обработку персональных данных сотрудников в Казахстане не является универсальным требованием: трудовой договор служит самостоятельным законным основанием для обработки стандартных кадровых данных. Согласие обязательно при работе с чувствительными данными (биометрия, здоровье), публикации фотографий и передаче данных третьим лицам без иного законного основания. Любой работодатель — от крупной корпорации до ИП — является оператором персональных данных и обязан иметь политику обработки данных, соблюдать принцип минимизации и реагировать на запросы сотрудников.
Актуально на: 13 октября 2026 года.
Если ситуация требует внимания — мы поможем разобраться.
Смежные направления
Направление практики
Персональные данные и IT-право — соответствие Закону о персональных данных, трансграничная передача, аудит обработки и IT-договоры.