Как получить согласие на обработку персональных данных в Казахстане: как действовать
Согласие субъекта — одно из ключевых оснований для законной обработки персональных данных по казахстанскому законодательству. Закон о персональных данных и их защите устанавливает конкретные требования к форме, содержанию и порядку получения такого согласия. Нарушение этих требований влечёт административную ответственность и предписания уполномоченного органа.
Если вашей компании нужно привести документы по персональным данным в соответствие с казахстанским законодательством — Проверить обработку персональных данных · info@vetrovkz.com
Шаг 1. Определите, нужно ли вам согласие
Согласие субъекта — не единственное основание для обработки персональных данных в Казахстане, и начинать нужно именно с этого вопроса. Закон о персональных данных и их защите допускает обработку без согласия в ряде случаев: исполнение договора с субъектом, выполнение требований законодательства, защита жизни и здоровья, обработка общедоступных данных.
Если ваша деятельность подпадает под одно из этих оснований — отдельное согласие не требуется, однако вы всё равно обязаны соблюдать принципы законности, соразмерности и целевого использования данных. Если ни одно из оснований не применимо — согласие обязательно.
Практически это означает: перед разработкой формы согласия составьте реестр обрабатываемых данных и сопоставьте каждую категорию с правовым основанием. Это позволит избежать избыточного сбора согласий там, где они не нужны, и одновременно выявить пробелы там, где согласие обязательно.
Если вы запускаете сайт или мобильное приложение и не уверены, соответствует ли ваш механизм согласия требованиям казахстанского законодательства — проведём аудит документации.
Проверить обработку персональных данныхШаг 2. Установите обязательное содержание согласия
Согласие на обработку персональных данных в Казахстане должно содержать конкретный перечень сведений — их отсутствие делает согласие юридически ничтожным. Закон о персональных данных и их защите прямо устанавливает этот перечень.
В согласии необходимо указать:
- наименование и адрес владельца и (или) оператора базы данных;
- цель сбора и обработки персональных данных;
- перечень конкретных персональных данных, на обработку которых даётся согласие;
- перечень действий с данными (сбор, хранение, изменение, передача третьим лицам и т.д.);
- срок действия согласия или условия его прекращения.
Распространённая ошибка — формулировки вроде «обработка персональных данных в соответствии с законодательством» без конкретизации цели и перечня данных. Такое согласие не соответствует требованиям закона и не защитит компанию при проверке.
Шаг 3. Выберите форму согласия: письменная или электронная?
Казахстанское законодательство допускает как письменную, так и электронную форму согласия — при условии, что электронная форма позволяет однозначно идентифицировать субъекта и подтвердить факт его волеизъявления. Оба варианта имеют свои особенности применения.
Письменное согласие — традиционный вариант для кадрового делопроизводства, договоров с клиентами, медицинских организаций. Оно подписывается лично субъектом и хранится в бумажном или скан-виде. Электронное согласие применяется на сайтах, в мобильных приложениях, при дистанционном обслуживании. Оно может быть оформлено через ЭЦП, SMS-подтверждение или иной механизм, позволяющий установить личность субъекта.
Важно: простая галочка «Я согласен» без возможности ознакомиться с текстом согласия и без идентификации пользователя — недостаточна. Механизм получения согласия должен обеспечивать доказуемость: компания обязана хранить подтверждение факта и момента получения согласия.
Как правильно оформить согласие на сайте?
Для онлайн-сервисов в Казахстане сложилась практика двухуровневого оформления: краткое уведомление при первом посещении (cookie-баннер) и полноценная форма согласия при регистрации или оформлении заказа. Эти два элемента решают разные задачи и не заменяют друг друга.
Cookie-баннер информирует о сборе технических данных и, как правило, не требует отдельного согласия для аналитических cookie. Форма согласия при регистрации — это юридически значимый документ, который должен содержать все обязательные реквизиты из шага 2. Ссылка «Политика конфиденциальности» не заменяет согласие: субъект должен активно выразить волю, а не просто ознакомиться с документом.
Технически рекомендуется: хранить лог согласий (timestamp, IP, версия документа), обеспечить возможность отзыва согласия в личном кабинете, версионировать политику конфиденциальности и уведомлять пользователей об изменениях.
Шаг 4. Обеспечьте возможность отзыва согласия
Субъект персональных данных вправе в любой момент отозвать ранее данное согласие — это право прямо закреплено в Законе о персональных данных и их защите. Компания обязана обеспечить реальный, а не формальный механизм отзыва.
Отзыв согласия не означает автоматического уничтожения всех данных: если обработка продолжается на ином законном основании (например, исполнение договора или требование законодательства), данные могут сохраняться в необходимом объёме. Однако обработка, основанная исключительно на согласии, должна быть прекращена.
На практике механизм отзыва должен быть не сложнее механизма получения согласия. Если согласие получено через форму на сайте — отозвать его должно быть возможно через личный кабинет или по письменному заявлению. Срок реагирования на заявление об отзыве законодательством прямо не установлен, однако разумным ориентиром считается 10–15 рабочих дней.
Шаг 5. Зарегистрируйте базу данных и уведомите уполномоченный орган
Получение согласия — лишь один элемент комплаенса по персональным данным. Параллельно компания обязана зарегистрировать базу персональных данных в уполномоченном органе — Министерстве цифрового развития, инноваций и аэрокосмической промышленности РК. Без этой регистрации обработка данных, даже при наличии корректного согласия, является незаконной.
Регистрация осуществляется через портал egov.kz. Для регистрации потребуется описание базы данных: цель, категории субъектов, перечень данных, место хранения, меры защиты. Требование локализации — базы данных граждан Казахстана должны физически располагаться на серверах в РК — является самостоятельным и не зависит от наличия согласия субъектов.
После регистрации необходимо разработать и утвердить внутренние документы: политику обработки персональных данных, регламент доступа, инструкции для сотрудников. Эти документы проверяются при плановых и внеплановых проверках уполномоченного органа.
Что проверяет уполномоченный орган при проверке?
При проверке соблюдения законодательства о персональных данных в Казахстане инспекторы уполномоченного органа, как правило, запрашивают конкретный пакет документов. Понимание этого перечня позволяет заблаговременно привести документацию в порядок.
Проверяются: свидетельство о регистрации базы данных; формы согласий, применяемые компанией; политика обработки персональных данных; договоры с операторами (если обработка передана третьим лицам); технические меры защиты данных; журналы доступа к базе данных; документы, подтверждающие уничтожение данных по истечении срока хранения.
Отдельное внимание уделяется трансграничной передаче данных: если компания использует иностранные облачные сервисы или передаёт данные аффилированным структурам за рубежом, необходимо подтвердить законность такой передачи. Подробнее о прохождении проверки — в материале «Защита компании при проверке по персональным данным в Казахстане».
Частые вопросы
1. Нужно ли уведомлять уполномоченный орган об обработке данных?
По казахстанскому законодательству владелец и оператор базы персональных данных обязаны уведомить уполномоченный орган — Министерство цифрового развития, инноваций и аэрокосмической промышленности РК — о создании базы данных. Уведомление подаётся через портал egov.kz. Без регистрации базы данных деятельность по обработке персональных данных считается незаконной, что влечёт административную ответственность. Исключения предусмотрены для ряда случаев, прямо указанных в Законе о персональных данных и их защите.
2. Какой штраф за нарушение закона о персональных данных?
Административная ответственность за нарушение Закона о персональных данных и их защите в Казахстане предусмотрена Кодексом об административных правонарушениях. Размер штрафа зависит от вида нарушения и субъекта: для должностных лиц и субъектов малого бизнеса — одни пороги, для крупных организаций — более высокие. Конкретные суммы привязаны к МРП (по состоянию на 2026 год — 4 325 тенге) и регулярно пересматриваются. Помимо штрафа, возможно предписание об устранении нарушений и приостановление обработки данных.
3. Можно ли хранить персональные данные казахстанцев за границей?
Закон о персональных данных и их защите устанавливает требование локализации: базы персональных данных граждан Казахстана должны располагаться на серверах, физически находящихся на территории Республики Казахстан. Трансграничная передача данных допускается при соблюдении ряда условий: наличие согласия субъекта, обеспечение уровня защиты не ниже казахстанского, а также в случаях, прямо предусмотренных законодательством. Нарушение требования локализации является самостоятельным составом правонарушения.
4. Как долго можно хранить персональные данные?
Срок хранения персональных данных в Казахстане определяется целью их обработки: данные должны храниться не дольше, чем это необходимо для достижения заявленной цели. После достижения цели или истечения срока, указанного в согласии, данные подлежат уничтожению или обезличиванию. Для отдельных категорий данных (кадровые документы, бухгалтерия) специальные законы устанавливают минимальные сроки хранения, которые имеют приоритет. Рекомендуется закрепить сроки хранения во внутренней политике обработки персональных данных.
5. Нужно ли согласие на обработку данных сотрудников?
Обработка персональных данных сотрудников в Казахстане, как правило, осуществляется на основании трудового договора и требований Трудового кодекса РК — в этой части отдельное согласие не требуется. Однако если работодатель планирует использовать данные сотрудника за пределами трудовых отношений (например, передавать третьим лицам, использовать в маркетинге, публиковать фото), необходимо получить отдельное письменное согласие. Согласие должно быть добровольным: принуждение к его подписанию под угрозой увольнения недопустимо.
6. Что такое «специальные категории» персональных данных и нужно ли для них особое согласие?
Специальные категории персональных данных — это сведения, раскрытие которых может причинить наибольший вред субъекту: данные о расовой и национальной принадлежности, политических взглядах, религиозных убеждениях, состоянии здоровья, судимостях. Закон о персональных данных и их защите устанавливает для них повышенные требования: обработка допускается только с явного письменного согласия субъекта либо в строго ограниченных случаях, прямо предусмотренных законодательством. Согласие на обработку специальных категорий данных не может быть «встроено» в общую форму — оно должно быть выделено отдельно и содержать явное указание на категорию данных.
7. Можно ли получить согласие от имени несовершеннолетнего?
Согласие на обработку персональных данных несовершеннолетних в Казахстане даётся их законными представителями — родителями или опекунами. Это правило действует до достижения субъектом полной дееспособности. На практике это означает: если ваш сервис ориентирован на несовершеннолетних или допускает их регистрацию, форма согласия должна предусматривать подтверждение от законного представителя. Простое указание «мне исполнилось 18 лет» без дополнительной верификации не является достаточным механизмом защиты от нарушения этого требования.
8. Что происходит с данными при ликвидации компании?
При ликвидации компании — владельца или оператора базы персональных данных — данные субъектов подлежат уничтожению, если иное не предусмотрено законодательством или договором с субъектом. Передача базы данных правопреемнику или третьему лицу возможна только при наличии законного основания и, как правило, требует уведомления субъектов. Факт уничтожения данных должен быть задокументирован. Уполномоченный орган рекомендует уведомить его об уничтожении базы данных и снятии с учёта.
9. Нужно ли согласие для отправки рекламных рассылок?
Отправка рекламных рассылок по электронной почте или SMS в Казахстане требует отдельного согласия получателя — как в части персональных данных (Закон о персональных данных и их защите), так и в части рекламного сообщения (Закон о рекламе). Согласие на получение рекламы не подразумевается из факта покупки или регистрации на сайте. Рекомендуется использовать двойное подтверждение (double opt-in) и хранить лог согласий. Каждое рекламное сообщение должно содержать возможность отписки.
10. Как оформить передачу данных третьим лицам — партнёрам, подрядчикам?
Передача персональных данных третьим лицам в Казахстане допускается только при наличии согласия субъекта на такую передачу или иного законного основания. Если передача предполагается, это должно быть прямо отражено в форме согласия: указаны категории получателей или конкретные организации. С подрядчиком, которому передаются данные, необходимо заключить договор, предусматривающий обязательства по соблюдению конфиденциальности и требований закона. Ответственность перед субъектом за действия подрядчика несёт владелец базы данных.
Выводы
Получение согласия на обработку персональных данных в Казахстане — это не разовое действие, а система: правильная форма с обязательными реквизитами, работающий механизм отзыва, зарегистрированная база данных и актуальная внутренняя документация. Отсутствие любого из этих элементов создаёт риск административной ответственности при проверке уполномоченного органа. Дополнительные материалы по теме — в разделе Аналитика, а также в руководстве «Согласие на обработку персональных данных: следующий уровень» и статье «Как защитить права на товарный знак в Казахстане».
Актуально на: 22 сентября 2026 года.
Если ситуация требует внимания — мы поможем разобраться.
Смежные направления
Направление практики
Персональные данные и IT-право — соответствие Закону о персональных данных, трансграничная передача, аудит обработки и IT-договоры.