Как получить согласие на обработку персональных данных в Казахстане
Согласие субъекта — основание для законной обработки персональных данных по казахстанскому законодательству. Закон о персональных данных и их защите устанавливает конкретные требования к форме, содержанию и порядку получения такого согласия. Нарушение этих требований влечёт административную ответственность и риск судебных претензий со стороны субъектов данных.
Если ваша компания собирает данные клиентов или сотрудников — проверьте, соответствуют ли ваши формы согласия требованиям казахстанского законодательства. Проверить обработку персональных данных · info@vetrovkz.com
Шаг 1. Определите, нужно ли согласие в вашем случае
Согласие субъекта — не единственное основание для обработки персональных данных по казахстанскому законодательству. Прежде чем разрабатывать форму согласия, необходимо установить, применимо ли оно к конкретной ситуации.
Обработка данных без согласия допустима, если она прямо предусмотрена законодательством Казахстана: для исполнения договора с субъектом, в целях защиты жизни и здоровья, для выполнения задач государственных органов. Трудовые отношения также создают самостоятельное основание — обработка данных работника в рамках Трудового кодекса РК не требует отдельного согласия.
Согласие обязательно в следующих случаях: сбор данных через сайт или мобильное приложение, маркетинговые рассылки, передача данных третьим лицам, обработка чувствительных данных (здоровье, биометрия, убеждения), а также любая обработка, выходящая за рамки прямых договорных или законодательных оснований.
Практическое правило: если вы сомневаетесь — получайте согласие. Избыточное согласие не нарушает закон, тогда как его отсутствие при необходимости — нарушает.
Если ваши формы согласия составлены несколько лет назад — они могут не соответствовать актуальным требованиям казахстанского законодательства о персональных данных.
Проверить обработку персональных данныхШаг 2. Определите цели и состав обрабатываемых данных
Согласие должно быть конкретным: субъект даёт его на определённые цели обработки, а не «на всё подряд». Размытые формулировки — «в целях улучшения сервиса» или «для любых законных целей» — не соответствуют требованиям Закона о персональных данных и их защите.
До составления формы согласия зафиксируйте: какие именно данные вы собираете (ФИО, телефон, email, геолокация, биометрия), для каких конкретных целей (доставка заказа, рассылка новостей, аналитика поведения), кому передаёте (партнёры, подрядчики, аффилированные компании), как долго храните.
Каждая цель обработки должна быть сформулирована отдельно. Если вы хотите использовать данные и для исполнения договора, и для маркетинга — это две разные цели, и субъект должен иметь возможность согласиться с каждой независимо.
Шаг 3. Составьте форму согласия — обязательные элементы
Казахстанское законодательство устанавливает минимальный перечень сведений, которые должно содержать согласие на обработку персональных данных. Отсутствие любого из них делает согласие юридически дефектным.
Обязательные элементы формы согласия:
- Наименование и реквизиты оператора (юридическое лицо или ИП, адрес, контакты)
- Перечень персональных данных, на обработку которых даётся согласие
- Конкретные цели обработки — без общих фраз
- Перечень действий с данными (сбор, хранение, передача, уничтожение)
- Срок действия согласия или условие его прекращения
- Порядок отзыва согласия субъектом
Дополнительно рекомендуется указывать: перечень третьих лиц, которым передаются данные; информацию о трансграничной передаче (если применимо); ссылку на политику конфиденциальности с полным описанием условий обработки.
Шаг 4. Выберите форму согласия — бумажная или электронная?
Казахстанское законодательство допускает как письменную, так и электронную форму согласия. Выбор зависит от характера обрабатываемых данных и канала взаимодействия с субъектом.
Письменная форма обязательна для чувствительных персональных данных: сведений о состоянии здоровья, биометрических данных, сведений о судимостях, религиозных и политических убеждениях. В остальных случаях письменная форма является наиболее надёжным доказательством получения согласия.
Электронная форма применима для сайтов, мобильных приложений и онлайн-сервисов. Требования к электронному согласию: активное действие пользователя (чекбокс не может быть предзаполнен), возможность идентификации субъекта, фиксация факта согласия с отметкой времени. Подтверждение через SMS-код, ЭЦП или авторизацию в личном кабинете усиливает доказательную базу.
Важно: «галочка по умолчанию», согласие, встроенное в общие условия без отдельного чекбокса, или продолжение использования сайта как подразумеваемое согласие — не соответствуют требованиям закона.
Шаг 5. Обеспечьте механизм отзыва согласия
Право субъекта отозвать согласие в любой момент — обязательное условие законной обработки данных в Казахстане. Оператор обязан не только предусмотреть такую возможность, но и сделать её реально доступной.
Механизм отзыва должен быть простым и не требовать от субъекта избыточных усилий. Допустимые варианты: письменное заявление на адрес оператора, форма на сайте, кнопка «Отписаться» в рассылке, обращение через личный кабинет. Нельзя устанавливать условия, которые фактически затрудняют отзыв: требовать нотариально заверенного заявления, личного визита или оплаты.
После получения отзыва оператор обязан прекратить обработку данных и уничтожить их в разумный срок, если иное не установлено законодательством (например, для данных, хранение которых обязательно по налоговому или трудовому законодательству). Факт отзыва и принятые меры необходимо зафиксировать документально — это доказательство на случай претензий.
Шаг 6. Разработайте политику конфиденциальности и внутренние регламенты
Форма согласия — только один элемент системы защиты персональных данных. Закон о персональных данных и их защите требует от оператора комплекса организационных и технических мер.
Политика конфиденциальности — публичный документ, размещаемый на сайте. Она должна описывать все аспекты обработки данных: цели, состав, сроки хранения, права субъектов, порядок их реализации, сведения об операторе. Ссылка на политику размещается непосредственно рядом с формой согласия.
Внутренние регламенты включают: приказ о назначении ответственного за обработку персональных данных, регламент реагирования на запросы субъектов (срок ответа — как правило, не более 15 рабочих дней), процедуру уведомления при утечке данных, журнал учёта обращений субъектов. Эти документы не публикуются, но должны быть готовы к предъявлению при проверке.
Что происходит при нарушении требований к согласию?
Нарушение порядка получения согласия на обработку персональных данных в Казахстане влечёт административную ответственность по действующему законодательству. Санкции применяются как к должностным лицам, так и к юридическим лицам.
Помимо штрафов, субъект данных вправе обратиться в суд с требованием о прекращении обработки, уничтожении данных и возмещении причинённого вреда. Регулятор — уполномоченный орган в сфере защиты персональных данных — вправе проводить проверки и выдавать предписания об устранении нарушений.
На практике наиболее распространённые нарушения: отсутствие согласия при сборе данных через сайт, использование данных в целях, не указанных в согласии, отсутствие механизма отзыва, хранение данных за пределами Казахстана без соблюдения требований о трансграничной передаче. Подробнее о трансграничной передаче данных — в материале «Трансграничная передача персональных данных из Казахстана».
Частые вопросы
1. Какой штраф за нарушение закона о персональных данных?
Нарушение требований Закона о персональных данных и их защите влечёт административную ответственность. Размер санкций зависит от характера нарушения и субъекта: для должностных лиц и юридических лиц предусмотрены штрафы, исчисляемые в МРП (по состоянию на 2026 год — 4 325 тенге за единицу). Повторные нарушения, а также нарушения, повлёкшие распространение чувствительных данных, влекут более высокие санкции. Помимо административной ответственности, субъект данных вправе обратиться в суд за возмещением ущерба.
2. Можно ли хранить персональные данные казахстанцев за границей?
Закон о персональных данных и их защите устанавливает требование локализации: базы данных, содержащие персональные данные граждан Республики Казахстан, должны находиться на серверах, расположенных на территории Казахстана. Трансграничная передача данных допустима при соблюдении ряда условий: наличие согласия субъекта, достаточный уровень защиты в стране-получателе или заключение соответствующего договора. Нарушение требований локализации является самостоятельным основанием для привлечения к ответственности.
3. Как долго можно хранить персональные данные?
Срок хранения персональных данных определяется целью их обработки. По общему правилу, данные хранятся не дольше, чем это необходимо для достижения заявленной цели. После её достижения или при отзыве согласия субъектом оператор обязан уничтожить данные или обезличить их. Для отдельных категорий данных (кадровые документы, бухгалтерия) сроки хранения устанавливаются специальным законодательством и могут составлять несколько лет. Рекомендуется фиксировать сроки хранения в политике обработки персональных данных.
4. Нужно ли согласие на обработку данных сотрудников?
Обработка персональных данных работников в рамках трудовых отношений допускается без отдельного согласия, если она необходима для исполнения трудового договора или требований Трудового кодекса РК. Однако для обработки данных в целях, выходящих за рамки трудовых отношений (например, публикация фото на сайте компании, передача данных третьим лицам), согласие работника обязательно. На практике рекомендуется включать согласие в трудовой договор или оформлять отдельным документом при приёме на работу.
5. Что такое чувствительные персональные данные?
Чувствительные (специальные) персональные данные — это категория сведений, требующая повышенного уровня защиты. К ним относятся данные о расовой и национальной принадлежности, политических взглядах, религиозных убеждениях, состоянии здоровья, судимостях, а также биометрические данные. Обработка таких данных допускается только при наличии явного письменного согласия субъекта или в случаях, прямо предусмотренных законодательством Казахстана. Для операторов, работающих с чувствительными данными, установлены дополнительные требования к защите информации.
6. Что делать, если субъект отозвал согласие?
При отзыве согласия оператор обязан прекратить обработку персональных данных и уничтожить их в установленный срок, если иное не предусмотрено законодательством. Отзыв согласия не имеет обратной силы: он не затрагивает законность обработки, осуществлённой до момента отзыва. Оператор должен предусмотреть простой и доступный механизм отзыва — как правило, письменное заявление или форма на сайте. Факт получения отзыва и принятые меры рекомендуется фиксировать документально.
7. Нужна ли политика конфиденциальности на сайте?
Да, наличие политики конфиденциальности на сайте, собирающем персональные данные пользователей, является требованием казахстанского законодательства о персональных данных. Политика должна содержать информацию о целях обработки, составе данных, сроках хранения, правах субъектов и порядке их реализации. Ссылка на политику размещается в форме сбора данных рядом с чекбоксом согласия. Отсутствие политики или её несоответствие требованиям закона является основанием для привлечения к ответственности.
8. Можно ли получить согласие в электронной форме?
Да, казахстанское законодательство допускает получение согласия на обработку персональных данных в электронной форме. Для этого используются: чекбокс на сайте с явным действием пользователя, ЭЦП, подтверждение через SMS-код или иной механизм, позволяющий идентифицировать субъекта. Важно, что согласие не может быть предзаполненным или подразумеваемым — пользователь должен совершить активное действие. Электронное согласие должно быть зафиксировано и храниться оператором как доказательство.
9. Что такое оператор персональных данных по законодательству Казахстана?
Оператор персональных данных — это физическое или юридическое лицо, которое самостоятельно или совместно с другими лицами организует и осуществляет обработку персональных данных. В Казахстане оператором является любая компания, собирающая, хранящая, использующая или передающая данные клиентов, сотрудников или пользователей. Оператор несёт ответственность за соблюдение требований Закона о персональных данных и их защите, включая получение согласия, обеспечение безопасности данных и реализацию прав субъектов.
10. Нужно ли регистрировать базу данных персональных данных?
Действующее законодательство Казахстана не предусматривает обязательной регистрации баз данных персональных данных в государственных органах в том виде, как это было ранее. Однако оператор обязан вести внутренний учёт обрабатываемых данных, обеспечивать их защиту и выполнять требования по локализации. При этом отдельные категории операторов (например, в сфере здравоохранения или финансов) могут быть обязаны соблюдать отраслевые требования к регистрации и уведомлению регулятора.
Выводы
Получение согласия на обработку персональных данных в Казахстане — не формальность, а юридически значимое действие с конкретными требованиями к форме и содержанию. Согласие должно быть добровольным, конкретным, информированным и подтверждённым активным действием субъекта. Для чувствительных данных обязательна письменная форма; для онлайн-сервисов — зафиксированное электронное согласие с отметкой времени. Механизм отзыва, политика конфиденциальности и внутренние регламенты — обязательные элементы системы соответствия. Регулярный аудит документации снижает риск претензий со стороны субъектов данных и регулятора. Дополнительные материалы по теме: расширенное руководство по согласию, трансграничная передача данных, трудовые договоры и персональные данные сотрудников. Полный каталог материалов — в разделе Аналитика.
Актуально на: 20 октября 2026 года.
Если ситуация требует внимания — мы поможем разобраться.
Смежные направления
Направление практики
Персональные данные и IT-право — соответствие Закону о персональных данных, трансграничная передача, аудит обработки и IT-договоры.