Как получить согласие на обработку персональных данных в Казахстане: алгоритм действий
Согласие субъекта персональных данных — одно из ключевых оснований для законной обработки данных по казахстанскому законодательству. Закон о персональных данных и их защите устанавливает конкретные требования к форме, содержанию и порядку получения такого согласия. Нарушение этих требований влечёт административную ответственность и претензии со стороны уполномоченного органа.
Если вы собираете персональные данные клиентов, сотрудников или пользователей сайта — проверьте, соответствует ли ваша форма согласия требованиям казахстанского законодательства. Проверить обработку персональных данных · info@vetrovkz.com
Шаг 1. Определите, нужно ли согласие в вашем случае
Согласие субъекта — не единственное законное основание для обработки персональных данных в Казахстане. Прежде чем разрабатывать форму согласия, необходимо установить, на каком основании вы вправе обрабатывать данные.
Закон о персональных данных и их защите допускает обработку без согласия субъекта в ряде случаев: исполнение договора, заключённого с субъектом; выполнение обязанностей, возложенных законодательством; защита жизни и здоровья субъекта; обработка общедоступных данных. Если ваша ситуация подпадает под одно из этих оснований — отдельное согласие не требуется, хотя уведомление субъекта остаётся обязательным.
Согласие необходимо в тех случаях, когда ни одно из законных оснований не применимо: маркетинговые рассылки, передача данных третьим лицам, обработка чувствительных категорий данных, использование данных в целях, выходящих за рамки основного договора.
- Маркетинговые коммуникации и рассылки — согласие обязательно
- Передача данных партнёрам и подрядчикам — согласие обязательно
- Биометрия, данные о здоровье — согласие обязательно
- Публикация фото и персональных сведений — согласие обязательно
- Исполнение трудового договора — согласие, как правило, не требуется
Если вы не уверены, соответствует ли ваша текущая форма согласия требованиям Закона о персональных данных и их защите — проведите аудит до проверки уполномоченного органа.
Проверить обработку персональных данныхШаг 2. Установите обязательные реквизиты согласия
Согласие на обработку персональных данных в Казахстане должно содержать конкретный перечень сведений — без них документ не будет иметь юридической силы. Закон о персональных данных и их защите прямо определяет, что должно быть отражено в согласии.
Обязательные элементы согласия включают: наименование и реквизиты оператора (собственника базы данных); перечень персональных данных, на обработку которых даётся согласие; цели обработки — конкретные, а не абстрактные; перечень действий с данными (сбор, хранение, передача, использование); срок действия согласия или условие его прекращения; порядок отзыва согласия.
Распространённая ошибка — указывать цель обработки в формулировке «в целях деятельности компании» или «для улучшения сервиса». Такие формулировки не отвечают требованию конкретности и могут быть признаны недействительными при проверке уполномоченного органа. Цель должна быть чёткой: «направление информационных рассылок о продуктах компании», «передача данных страховому партнёру для оформления полиса».
Шаг 3. Выберите форму согласия — бумажную или электронную
Казахстанское законодательство допускает как письменную, так и электронную форму согласия на обработку персональных данных. Выбор формы зависит от канала взаимодействия с субъектом и категории обрабатываемых данных.
Письменная форма (бумажный документ с подписью) применяется при офлайн-взаимодействии: при заключении договора в офисе, при трудоустройстве, при оказании медицинских или финансовых услуг. Для чувствительных категорий данных письменная форма, как правило, предпочтительна — она снижает риск споров о факте получения согласия.
Электронная форма допустима при соблюдении условий идентификации субъекта. Согласие через форму на сайте, через мобильное приложение или по электронной почте признаётся действительным, если оператор может подтвердить факт его получения и содержание. Простая галочка «Я согласен» без сохранения лога — слабая позиция при проверке. Рекомендуется фиксировать: дату и время подтверждения, IP-адрес, версию текста согласия, с которой ознакомился субъект.
Шаг 4. Разработайте текст согласия — требования к содержанию
Текст согласия должен быть написан ясным языком, понятным субъекту без специальной юридической подготовки. Перегруженные юридическим языком формы, в которых субъект фактически не понимает, на что соглашается, создают репутационные и правовые риски.
Структура типового согласия для казахстанской компании включает несколько блоков. Первый — идентификация сторон: кто является оператором (собственником базы данных) и кто даёт согласие. Второй — перечень данных: конкретные категории (ФИО, контактные данные, платёжные реквизиты и т.д.). Третий — цели и действия: что именно будет делаться с данными и для чего. Четвёртый — передача третьим лицам: если данные передаются партнёрам, это должно быть прямо указано с наименованием получателей или их категорий. Пятый — срок и отзыв: как долго действует согласие и как его отозвать.
Отдельного внимания заслуживает раздел о трансграничной передаче данных. Если ваша компания использует зарубежные облачные сервисы, CRM-системы или передаёт данные иностранным контрагентам — это трансграничная передача, которая требует отдельного упоминания в согласии и соблюдения дополнительных условий по казахстанскому законодательству.
Шаг 5. Обеспечьте возможность отзыва согласия
Право субъекта отозвать согласие на обработку персональных данных — одно из базовых прав по казахстанскому законодательству. Оператор обязан не только предусмотреть механизм отзыва, но и реально его обеспечить.
Порядок отзыва должен быть описан в тексте согласия: каким способом субъект может отозвать согласие (письменное заявление, электронное письмо, форма на сайте), в какой срок оператор обязан прекратить обработку после получения отзыва. По сложившейся практике разумным считается срок до 10 рабочих дней с момента получения заявления об отзыве.
После отзыва согласия оператор обязан прекратить обработку данных и уничтожить их, если отсутствует иное законное основание для хранения. Важно: отзыв согласия не имеет обратной силы — он не затрагивает законность обработки, осуществлённой до момента отзыва. Это следует прямо указать в тексте согласия, чтобы избежать претензий субъектов.
Шаг 6. Организуйте хранение и учёт полученных согласий
Получить согласие — недостаточно: оператор обязан хранить доказательства его получения на протяжении всего срока обработки данных и разумного периода после её прекращения. Отсутствие доказательств согласия при проверке равнозначно его отсутствию.
Для бумажных согласий необходимо организовать архивное хранение подписанных экземпляров с возможностью быстрого поиска по субъекту. Для электронных согласий — техническую фиксацию факта подтверждения с сохранением метаданных (дата, время, версия текста). Рекомендуется вести реестр согласий: кто дал согласие, когда, на какие цели, не отозвано ли оно.
Отдельно следует предусмотреть процедуру обновления согласий при изменении целей обработки или состава обрабатываемых данных. Если компания расширяет перечень обрабатываемых данных или начинает передавать их новым партнёрам — ранее полученные согласия, как правило, не покрывают новые цели, и требуется получение актуализированного согласия.
Что происходит при нарушении требований к согласию?
Нарушение требований к получению согласия на обработку персональных данных в Казахстане влечёт административную ответственность. Уполномоченный орган — Министерство цифрового развития, инноваций и аэрокосмической промышленности РК — вправе проводить проверки операторов и выносить предписания об устранении нарушений.
По сложившейся практике проверки инициируются как в плановом порядке, так и по жалобам субъектов персональных данных. Жалоба одного недовольного клиента или бывшего сотрудника может стать основанием для внеплановой проверки всей системы обработки данных компании. Подробнее о том, как проходят такие проверки и как к ним готовиться, — в материале «Защита компании при проверке по персональным данным в Казахстане».
Помимо административных санкций, нарушение может повлечь гражданско-правовую ответственность перед субъектом данных — возмещение ущерба, в том числе морального вреда. Репутационные последствия в ряде случаев оказываются более значимыми, чем штрафные санкции.
Особенности согласия для отдельных категорий субъектов и данных
Казахстанское законодательство устанавливает повышенные требования к согласию в ряде специфических ситуаций, которые часто встречаются в практике компаний.
Несовершеннолетние субъекты: согласие на обработку данных лиц, не достигших совершеннолетия, даётся их законными представителями — родителями или опекунами. Если ваш сервис ориентирован на аудиторию, среди которой могут быть несовершеннолетние, необходимо предусмотреть механизм верификации возраста и получения согласия от представителя.
Трансграничная передача данных: если данные передаются в страны, не обеспечивающие надлежащий уровень защиты персональных данных, оператор обязан получить отдельное согласие субъекта на такую передачу с указанием страны-получателя. Вопросы уведомления уполномоченного органа об обработке данных рассмотрены в отдельном материале: «Нужно ли уведомлять уполномоченный орган об обработке данных».
Сотрудники компании: согласие работников имеет свою специфику — оно не должно быть условием трудоустройства в части данных, необходимых для исполнения трудового договора. Принуждение к согласию под угрозой отказа в найме — нарушение как Закона о персональных данных, так и Трудового кодекса РК. Смежные вопросы трудовых отношений рассмотрены в материале «Можно ли изменить условия трудового договора в одностороннем порядке».
Частые вопросы
1. Как долго можно хранить персональные данные?
Срок хранения персональных данных в Казахстане определяется целью их сбора: данные должны уничтожаться или обезличиваться сразу после достижения цели обработки. Если цель — исполнение договора, данные хранятся в течение срока действия договора и разумного периода после его завершения. Для кадровых документов действуют отдельные сроки архивного хранения по законодательству РК. Хранить данные «на всякий случай» без определённой цели — нарушение Закона о персональных данных и их защите.
2. Нужно ли согласие на обработку данных сотрудников?
Согласие сотрудников на обработку персональных данных в Казахстане требуется не всегда. Обработка данных, необходимых для исполнения трудового договора, допускается без отдельного согласия — на основании Трудового кодекса РК. Однако для обработки данных сверх этого минимума (например, биометрия, публикация фото на сайте компании, передача данных третьим лицам) письменное согласие работника обязательно. Рекомендуется включать согласие в пакет документов при приёме на работу.
3. Что такое чувствительные персональные данные?
Чувствительные (специальные категории) персональных данных в Казахстане — это сведения, раскрытие которых может причинить существенный вред субъекту. К ним относятся: расовое и этническое происхождение, политические взгляды, религиозные убеждения, состояние здоровья, биометрические данные, судимости. Закон о персональных данных и их защите устанавливает повышенные требования к обработке таких данных: как правило, требуется явное письменное согласие, а в ряде случаев — специальное основание, предусмотренное законодательством.
4. Можно ли использовать видеонаблюдение в офисе?
Видеонаблюдение в офисе в Казахстане допустимо при соблюдении ряда условий. Работодатель обязан письменно уведомить сотрудников о ведении видеозаписи — как правило, через локальный акт или условие трудового договора. Съёмка в зонах, где сотрудники вправе рассчитывать на приватность (туалеты, раздевалки), запрещена. Видеозаписи являются персональными данными и должны храниться с соблюдением требований Закона о персональных данных и их защите. Отсутствие уведомления — основание для претензий со стороны уполномоченного органа.
5. Как правильно собирать cookies на сайте в Казахстане?
Сбор cookies на казахстанском сайте, если они позволяют идентифицировать пользователя, является обработкой персональных данных. Оператор обязан до начала сбора уведомить пользователя о целях обработки и получить его согласие — как правило, через cookie-баннер с явным подтверждением. Технические cookies, необходимые для работы сайта, могут не требовать отдельного согласия. Аналитические и маркетинговые cookies требуют явного opt-in. Политика конфиденциальности сайта должна описывать все виды cookies и цели их использования.
6. Можно ли получить согласие устно?
Устное согласие на обработку персональных данных в Казахстане формально не исключено законом, однако на практике создаёт серьёзные доказательственные проблемы. При проверке уполномоченного органа или судебном споре оператор обязан подтвердить факт получения согласия. Устное согласие практически невозможно доказать. По этой причине рекомендуется всегда использовать письменную или электронную форму с фиксацией факта подтверждения. Для чувствительных категорий данных устная форма недопустима.
7. Что делать, если субъект отозвал согласие, но данные нужны для исполнения договора?
Если субъект отозвал согласие, но обработка данных необходима для исполнения договора с ним, оператор вправе продолжить обработку на ином законном основании — исполнение договора. В этом случае согласие как основание обработки заменяется договорным основанием. Оператор обязан уведомить субъекта о том, на каком основании продолжается обработка. Данные, которые не нужны для исполнения договора, при этом должны быть уничтожены. Рекомендуется заранее разграничить данные по основаниям обработки в документации.
8. Нужно ли обновлять согласие при изменении политики конфиденциальности?
Если изменение политики конфиденциальности затрагивает цели обработки, состав обрабатываемых данных или круг получателей — ранее полученное согласие, как правило, не покрывает новые условия. В таких случаях необходимо получить актуализированное согласие субъектов. Если изменения носят технический или редакционный характер и не меняют существо обработки — обновление согласия не требуется, достаточно уведомить субъектов об изменениях. Рекомендуется проводить юридический анализ каждого изменения политики перед её публикацией.
9. Как оформить согласие для мобильного приложения?
Согласие на обработку персональных данных в мобильном приложении в Казахстане должно отвечать тем же требованиям, что и любое другое электронное согласие. Рекомендуется реализовать его в виде отдельного экрана при первом запуске приложения с явной кнопкой подтверждения — не предзаполненным чекбоксом. Текст согласия должен быть доступен пользователю в любой момент через настройки приложения. Факт подтверждения фиксируется на стороне сервера с сохранением даты, версии приложения и версии текста согласия.
10. Распространяется ли казахстанский закон о персональных данных на иностранные компании?
Закон о персональных данных и их защите распространяется на операторов, осуществляющих обработку персональных данных граждан и резидентов Казахстана, вне зависимости от места регистрации оператора. Иностранная компания, собирающая данные казахстанских пользователей через сайт или приложение, обязана соблюдать требования казахстанского законодательства. Это включает требования к согласию, локализации данных и уведомлению уполномоченного органа. Игнорирование этих требований создаёт риски при выходе на казахстанский рынок.
Выводы
Согласие на обработку персональных данных в Казахстане — юридически значимый документ с конкретными требованиями к форме и содержанию. Формальный подход («поставить галочку на сайте») не обеспечивает защиту при проверке. Алгоритм действий включает шесть последовательных шагов: определить необходимость согласия, установить обязательные реквизиты, выбрать форму, разработать текст, обеспечить механизм отзыва и организовать хранение доказательств. Особого внимания требуют чувствительные категории данных, трансграничная передача и работа с несовершеннолетними субъектами.
Актуально на: 13 октября 2026 года.
Если ситуация требует внимания — мы поможем разобраться.
Смежные направления
Направление практики
Персональные данные и IT-право — соответствие Закону о персональных данных, трансграничная передача, аудит обработки и IT-договоры.