Как получить согласие на обработку персональных данных в Казахстане: полное руководство

Что такое согласие на обработку персональных данных по казахстанскому праву?

Согласие субъекта персональных данных — это добровольное, конкретное, информированное и однозначное волеизъявление, которым субъект разрешает оператору обрабатывать свои данные. Закон о персональных данных и их защите определяет согласие как одно из ключевых оснований для законной обработки данных в Казахстане.

Согласие не является единственным основанием для обработки. Казахстанское законодательство допускает обработку без согласия в ряде случаев: исполнение договора, выполнение законных обязанностей оператора, защита жизненно важных интересов субъекта. Однако для большинства коммерческих операторов — интернет-магазинов, сервисных компаний, работодателей — согласие остаётся основным инструментом.

Ключевое требование: согласие должно быть получено до начала обработки данных. Ретроактивное согласие — когда данные уже собраны, а согласие оформляется позже — не соответствует требованиям закона.

Шаг 1. Определите, какие данные вы обрабатываете и на каком основании

Первый шаг — провести инвентаризацию данных: составить перечень категорий персональных данных, которые собирает и обрабатывает ваша организация. Это основа для определения объёма согласия.

Казахстанское законодательство выделяет особые категории данных, требующие повышенной защиты: сведения о расовом или этническом происхождении, политических взглядах, религиозных убеждениях, состоянии здоровья, судимостях. Для таких данных требования к согласию строже — оно должно быть явным и, как правило, письменным.

• Данные клиентов: ФИО, контакты, история покупок, платёжные реквизиты
• Данные сотрудников: трудовые, медицинские, биометрические
• Данные пользователей сайта: cookies, IP-адреса, поведенческая аналитика
• Данные контрагентов: реквизиты физических лиц — ИП, самозанятых

По итогам инвентаризации определите, для каких категорий данных согласие является обязательным основанием, а для каких — достаточно иного законного основания (договор, закон). Это позволит не перегружать формы согласия излишними пунктами.

Шаг 2. Разработайте содержание согласия — что должно быть указано?

Согласие на обработку персональных данных в Казахстане должно содержать конкретный перечень сведений, без которых оно считается ненадлежащим. Отсутствие любого из обязательных элементов — основание для признания согласия недействительным.

Обязательные элементы согласия:

• Наименование и реквизиты оператора (полное наименование, БИН, адрес)
• Цель обработки — конкретная, а не общая («для маркетинга» недостаточно; нужно: «для направления рекламных рассылок о продуктах компании»)
• Перечень персональных данных, на обработку которых даётся согласие
• Перечень действий с данными: сбор, хранение, использование, передача третьим лицам
• Срок действия согласия или условие его прекращения
• Порядок отзыва согласия субъектом

Если данные передаются третьим лицам — их перечень или критерии отбора также должны быть отражены в согласии. Передача данных без указания получателей нарушает принцип прозрачности.

Шаг 3. Выберите форму согласия — письменная, электронная или конклюдентная?

Казахстанское законодательство допускает несколько форм согласия, и выбор зависит от категории данных и канала взаимодействия с субъектом. Общее правило: форма согласия должна позволять однозначно установить факт его получения и содержание.

Письменная форма обязательна для особых категорий данных (здоровье, биометрия, судимости), а также в случаях, прямо предусмотренных законодательством. Письменное согласие подписывается субъектом собственноручно или с использованием ЭЦП.

Электронная форма применяется при дистанционном взаимодействии — через сайт, мобильное приложение, личный кабинет. Требования: субъект должен совершить активное действие (поставить галочку, нажать кнопку «Согласен»), а система должна фиксировать факт и время согласия. Предзаполненные чекбоксы не соответствуют требованиям.

Конклюдентные действия — согласие, выраженное через поведение субъекта (например, продолжение использования сервиса после уведомления об изменении политики). Этот способ применим в ограниченных случаях и требует осторожности: уполномоченный орган может квалифицировать его как недостаточно явное.

Шаг 4. Разместите согласие в правильной точке взаимодействия

Согласие должно быть получено в момент, предшествующий началу обработки данных. Размещение формы согласия в неочевидном месте или после фактического сбора данных — типичная ошибка, которая делает согласие ненадлежащим.

Для сайтов и приложений: форма согласия размещается до или в момент заполнения любой формы, где субъект вводит персональные данные. Ссылка на политику конфиденциальности должна быть активной и вести на актуальный документ — не на заглушку.

Для трудовых отношений: согласие сотрудника на обработку данных, выходящих за рамки трудового договора (например, биометрия, медицинские данные), оформляется отдельным документом. Включение согласия в текст трудового договора допустимо, но требует, чтобы оно было выделено и субъект мог его идентифицировать.

Для офлайн-взаимодействия: бумажные формы согласия должны храниться в структурированном виде с возможностью оперативного поиска по субъекту. Рекомендуется дублировать их в электронном архиве.

Шаг 5. Обеспечьте возможность отзыва согласия

Право субъекта отозвать согласие в любой момент — обязательное условие его действительности по казахстанскому законодательству. Оператор обязан предусмотреть механизм отзыва и сообщить о нём субъекту в тексте самого согласия.

Механизм отзыва должен быть не сложнее механизма получения согласия. Если согласие дано через форму на сайте — отзыв должен быть доступен через личный кабинет или по запросу на электронную почту. Требование явиться лично в офис для отзыва согласия, данного онлайн, — непропорциональное ограничение права субъекта.

• Укажите в форме согласия: «Вы можете отозвать согласие, направив запрос на [email]»
• Установите срок обработки запроса на отзыв — как правило, не более 10 рабочих дней
• После отзыва прекратите обработку данных в части, основанной на согласии
• Зафиксируйте факт отзыва и дату в системе учёта

Отзыв согласия не имеет обратной силы: обработка данных, осуществлённая до отзыва на законном основании, остаётся правомерной. Однако с момента отзыва продолжение обработки без иного законного основания недопустимо.

Шаг 6. Документируйте согласие и выстройте систему хранения

Оператор обязан доказать факт получения согласия — бремя доказывания лежит на операторе, а не на субъекте. Это означает, что отсутствие документации о согласии автоматически ставит оператора в уязвимое положение при проверке или споре.

Минимальный стандарт документирования включает: идентификатор субъекта (ФИО, ИИН или email), дату и время получения согласия, версию документа согласия, на которую субъект дал согласие, и канал получения (сайт, бумажная форма, личный кабинет). Для электронных форм — логи с IP-адресом и временной меткой.

Срок хранения документации о согласии — не менее срока обработки данных плюс период, в течение которого возможно предъявление претензий. На практике рекомендуется хранить документацию не менее трёх лет после прекращения обработки.

Трансграничная передача данных: нужно ли отдельное согласие?

Передача персональных данных за пределы Казахстана требует соблюдения дополнительных условий, установленных Законом о персональных данных и их защите. Если страна-получатель не обеспечивает адекватный уровень защиты данных, оператор обязан принять дополнительные меры.

На практике это означает: если ваша компания использует иностранные облачные сервисы, CRM-системы или аналитические платформы, которые обрабатывают данные казахстанских субъектов на серверах за рубежом — это трансграничная передача. Согласие субъекта на такую передачу должно быть явным, а в тексте согласия — указана страна-получатель или критерии её определения.

Смежные вопросы трансграничной передачи данных часто пересекаются с корпоративным структурированием и регулированием в МФЦА. Подробнее — в материале Цифровой кодекс Казахстана: что изменилось для бизнеса.

Типичные ошибки операторов при получении согласия в Казахстане

Большинство нарушений, выявляемых при проверках уполномоченного органа, связаны не с умыслом, а с недостаточным вниманием к деталям при разработке форм и процедур.

• Общие формулировки цели: «для улучшения сервиса» или «в маркетинговых целях» — не соответствуют требованию конкретности
• Предзаполненные чекбоксы: согласие считается данным по умолчанию — это прямое нарушение принципа добровольности
• Отсутствие механизма отзыва: форма есть, но порядок отзыва не описан или недоступен
• Устаревшие версии согласия: компания изменила перечень обрабатываемых данных, но не обновила форму согласия и не получила новое
• Отсутствие документации: согласие получено, но доказать это невозможно — нет логов, нет архива

Дополнительные практические аспекты — в руководстве Согласие на обработку данных: практические аспекты и в материале Авторское право в Казахстане: как защитить контент.