Как получить согласие на обработку персональных данных в Казахстане: руководство для бизнеса
Согласие субъекта персональных данных — одно из ключевых оснований для законной обработки данных по казахстанскому законодательству. Закон о персональных данных и их защите устанавливает конкретные требования к форме, содержанию и порядку получения такого согласия. Нарушение этих требований влечёт административную ответственность и предписания уполномоченного органа.
Если вы выстраиваете процессы сбора данных или готовитесь к проверке — проверьте соответствие ваших форм согласия действующим требованиям. Проверить обработку персональных данных · info@vetrovkz.com
Шаг 1. Определите, нужно ли согласие в вашей ситуации
Согласие — не единственное основание для обработки персональных данных в Казахстане. Закон о персональных данных и их защите допускает обработку без согласия в ряде случаев: исполнение договора с субъектом, выполнение обязанностей оператора по закону, защита жизненно важных интересов субъекта, а также обработка общедоступных данных.
Прежде чем разрабатывать форму согласия, определите правовое основание для каждой категории данных, которую вы обрабатываете. Если основание — договор или закон, согласие не требуется и его получение не усиливает правовую позицию оператора. Избыточный сбор согласий создаёт дополнительные обязательства: субъект вправе отозвать согласие в любой момент, и оператор обязан прекратить обработку.
Согласие обязательно, когда: вы обрабатываете данные сверх минимума, необходимого для договора; передаёте данные третьим лицам без законного основания; обрабатываете чувствительные данные (здоровье, биометрия, судимости); используете данные в маркетинговых целях.
Если ваши формы согласия составлены по устаревшим шаблонам — они могут не соответствовать актуальным требованиям казахстанского законодательства.
Проверить обработку персональных данныхШаг 2. Проверьте обязательное содержание согласия
Согласие на обработку персональных данных в Казахстане должно содержать конкретный перечень сведений — их отсутствие делает согласие ненадлежащим. Закон о персональных данных и их защите устанавливает минимальный состав документа.
В согласии должны быть указаны: наименование и адрес оператора; цель обработки данных (конкретная, а не общая — «маркетинг» без расшифровки недостаточно); перечень обрабатываемых данных; срок действия согласия или условие его прекращения; порядок отзыва согласия; перечень третьих лиц, которым данные могут передаваться (если применимо).
Формулировки типа «согласен на обработку персональных данных» без детализации не соответствуют требованиям. Каждая цель обработки должна быть описана отдельно — нельзя объединять в одном согласии несвязанные цели и требовать единого подтверждения.
Шаг 3. Выберите форму согласия — письменную или электронную
Казахстанское законодательство допускает как письменную, так и электронную форму согласия — при условии, что электронная форма позволяет однозначно идентифицировать субъекта и зафиксировать факт согласия.
Письменная форма обязательна для чувствительных персональных данных: сведений о здоровье, биометрии, судимостях, религиозных и политических убеждениях. В остальных случаях допустимо электронное согласие — через чекбокс на сайте, подтверждение по SMS или email, нажатие кнопки в мобильном приложении.
Важно: галочка, проставленная заранее (pre-checked checkbox), не считается согласием. Субъект должен совершить активное действие. Факт согласия необходимо логировать: дата, время, IP-адрес, версия текста согласия, которую видел пользователь. Эти данные потребуются при проверке или споре.
Как правильно оформить отзыв согласия?
Субъект персональных данных вправе отозвать согласие в любой момент — это право не может быть ограничено договором или внутренними правилами оператора. Порядок отзыва должен быть описан в самом согласии и не должен быть сложнее, чем порядок его дачи.
Если согласие давалось через форму на сайте — отозвать его должно быть возможно через аналогичный онлайн-механизм, а не только через письменное заявление в офис. После получения отзыва оператор обязан прекратить обработку данных в течение срока, установленного законом, и уничтожить данные, если иное основание для их хранения отсутствует.
Отзыв согласия не влечёт автоматического расторжения договора, если обработка данных необходима для его исполнения. В таком случае оператор вправе сообщить субъекту о невозможности продолжения договорных отношений без обработки соответствующих данных.
Шаг 4. Выстройте внутренние процессы хранения и учёта согласий
Получить согласие — недостаточно. Оператор обязан хранить доказательства согласия на протяжении всего срока обработки данных и не менее трёх лет после его прекращения — такой ориентир соответствует общей практике правоприменения в Казахстане.
Рекомендуется вести реестр согласий: кто дал согласие, когда, на какую цель, в какой версии документа. При изменении целей обработки или состава третьих лиц — получать новое согласие, а не считать действующим старое. Если оператор не может предъявить доказательство согласия при проверке уполномоченного органа, это приравнивается к его отсутствию.
Назначьте ответственного за защиту персональных данных внутри компании. Для крупных операторов, обрабатывающих данные в значительных объёмах, наличие такого лица — не просто рекомендация, а элемент системы управления рисками, который учитывается при оценке добросовестности оператора.
Шаг 5. Проверьте соответствие сайта и мобильного приложения
Сайт и мобильное приложение — основные точки сбора персональных данных для большинства казахстанских компаний. Каждая форма, собирающая данные пользователей, должна сопровождаться ссылкой на политику конфиденциальности и механизмом получения согласия.
Политика конфиденциальности должна быть доступна до начала сбора данных — не после регистрации, а на странице с формой. Она должна описывать: какие данные собираются, с какой целью, как долго хранятся, кому передаются, как субъект может реализовать свои права.
Отдельного внимания требуют cookies и трекеры. Если сайт использует аналитические или маркетинговые инструменты (счётчики, пиксели, рекламные сети), передающие данные третьим лицам, — это самостоятельное основание для получения согласия. Cookie-баннер должен предоставлять реальный выбор, а не только кнопку «Принять всё».
Шаг 6. Подготовьтесь к проверке уполномоченного органа
Уполномоченный орган в сфере персональных данных в Казахстане вправе проводить проверки операторов — как плановые, так и внеплановые (по жалобам субъектов). К проверке необходимо подготовить комплект документов.
Минимальный пакет включает: политику конфиденциальности; формы согласий с доказательствами их получения; реестр обрабатываемых данных с указанием целей и сроков; договоры с третьими лицами, которым передаются данные (с условиями о конфиденциальности); внутренние регламенты по защите данных; журнал запросов субъектов и ответов на них.
По сложившейся практике правоприменения в Казахстане, наличие системной документации — даже при выявленных нарушениях — существенно влияет на характер предписания и размер санкций. Оператор, демонстрирующий добросовестный подход, как правило, получает предписание об устранении нарушений, а не немедленный штраф.
Частые вопросы
1. Нужно ли согласие на обработку данных сотрудников?
Согласие сотрудников на обработку персональных данных требуется в Казахстане не всегда. Трудовой кодекс РК допускает обработку данных, необходимых для исполнения трудового договора, без отдельного согласия — например, ФИО, ИИН, банковские реквизиты для выплаты зарплаты. Однако для обработки сверх этого минимума — передачи данных третьим лицам, публикации фото сотрудника, использования биометрии — согласие обязательно. Важно: согласие, полученное под давлением трудовых отношений, может быть признано недобровольным. Поэтому рекомендуется чётко разграничивать обязательную обработку по закону и обработку по согласию, фиксируя каждую категорию отдельно.
2. Что такое чувствительные персональные данные?
Чувствительные (специальные) персональные данные — это категория сведений, обработка которых требует повышенной защиты по казахстанскому законодательству. К ним относятся данные о расовой и национальной принадлежности, политических взглядах, религиозных убеждениях, состоянии здоровья, судимостях, а также биометрические данные. Закон о персональных данных и их защите устанавливает для таких данных более строгие требования: согласие должно быть явным и письменным, обработка допускается только в случаях, прямо предусмотренных законом. Бизнесу следует отдельно идентифицировать такие данные в своих системах и применять к ним усиленные меры защиты.
3. Можно ли использовать видеонаблюдение в офисе?
Видеонаблюдение в офисе в Казахстане допустимо при соблюдении ряда условий. Работодатель обязан уведомить сотрудников о ведении съёмки — как правило, через локальный нормативный акт (приказ, правила внутреннего распорядка) и размещение информационных табличек в зонах наблюдения. Согласие сотрудников на видеонаблюдение в рабочих зонах может быть включено в трудовой договор или отдельный документ. Съёмка в санузлах, раздевалках и иных приватных зонах запрещена. Записи являются персональными данными и должны храниться с соблюдением требований Закона о персональных данных и их защите — с ограниченным доступом и установленными сроками хранения.
4. Как правильно собирать cookies на сайте в Казахстане?
Сбор cookies, позволяющих идентифицировать пользователя, является обработкой персональных данных по казахстанскому законодательству. Сайт обязан до начала сбора таких cookies получить согласие пользователя — через cookie-баннер с возможностью выбора категорий (аналитические, маркетинговые, функциональные). Технические cookies, необходимые для работы сайта, согласия не требуют. Политика конфиденциальности должна описывать, какие данные собираются, с какой целью и как долго хранятся. Молчание пользователя или продолжение просмотра сайта не считается согласием — требуется активное действие (клик по кнопке «Принять» или аналогичной).
5. Что делать при запросе субъекта персональных данных?
При получении запроса от субъекта персональных данных оператор обязан ответить в течение срока, установленного Законом о персональных данных и их защите. Субъект вправе запросить: подтверждение факта обработки, перечень обрабатываемых данных, цели и сроки обработки, сведения о третьих лицах, которым данные передавались. Оператор обязан предоставить информацию бесплатно. При запросе на исправление или удаление данных — выполнить его в установленный срок либо мотивированно отказать. Рекомендуется назначить ответственного за обработку запросов и вести журнал обращений субъектов — это снижает риски при проверке уполномоченного органа.
6. Можно ли передавать персональные данные за рубеж?
Трансграничная передача персональных данных из Казахстана допустима при соблюдении условий, установленных Законом о персональных данных и их защите. Передача в страны, обеспечивающие надлежащий уровень защиты данных, как правило, не требует дополнительных мер. Передача в иные страны возможна при наличии согласия субъекта на такую передачу или при выполнении договора с его участием. Оператор обязан убедиться, что получатель данных за рубежом обеспечивает уровень защиты не ниже казахстанского. Использование зарубежных облачных сервисов, CRM-систем и аналитических платформ — распространённый случай трансграничной передачи, который требует правового оформления.
7. Нужно ли регистрироваться как оператор персональных данных?
По действующему казахстанскому законодательству операторы персональных данных не обязаны проходить обязательную государственную регистрацию в уполномоченном органе — в отличие от ряда других юрисдикций. Однако оператор обязан соблюдать требования Закона о персональных данных и их защите с момента начала обработки данных. Уполномоченный орган вправе запросить сведения об операторе и его деятельности в рамках проверки. Рекомендуется самостоятельно вести внутренний реестр обрабатываемых данных — это упрощает взаимодействие с регулятором и снижает риски при внеплановых проверках по жалобам субъектов.
8. Каков срок хранения персональных данных?
Срок хранения персональных данных в Казахстане определяется целью их обработки: данные должны храниться не дольше, чем это необходимо для достижения цели, указанной в согласии или договоре. По истечении срока данные подлежат уничтожению или обезличиванию. Для отдельных категорий данных специальные законы устанавливают минимальные сроки хранения — например, кадровые документы, бухгалтерские записи. В таких случаях данные хранятся в течение установленного законом срока, после чего уничтожаются. Оператор обязан документировать факт уничтожения данных — это важно для подтверждения соответствия при проверке.
Выводы
Получение согласия на обработку персональных данных в Казахстане — это не разовое действие, а системный процесс. Согласие должно быть конкретным по цели, добровольным по форме и доказуемым по факту. Для чувствительных данных требуется письменная форма; для сайтов и приложений — активное действие пользователя, а не молчаливое согласие. Внутренние процессы хранения согласий, реестр обрабатываемых данных и назначенный ответственный — минимальный набор, который снижает риски при проверке уполномоченного органа.
Актуально на: 2 января 2026 года.
Если ситуация требует внимания — мы поможем разобраться.
Смежные направления
Направление практики
Персональные данные и IT-право — соответствие Закону о персональных данных, трансграничная передача, аудит обработки и IT-договоры.