Как привести обработку персональных данных в соответствие закону РК: руководство для бизнеса

Что требует казахстанский закон от бизнеса?

Закон о персональных данных и их защите устанавливает обязательные требования для любого оператора — юридического или физического лица, которое собирает, хранит, использует или передаёт персональные данные. Под действие закона подпадает практически каждая компания: от интернет-магазина с формой регистрации до производственного предприятия с кадровым учётом.

Ключевые обязанности оператора: обрабатывать данные только в законных целях, получать согласие субъектов там, где иное основание не предусмотрено, обеспечивать конфиденциальность и защиту данных, реагировать на запросы субъектов, а также хранить данные не дольше, чем это необходимо. Нарушение любого из этих требований влечёт административную или уголовную ответственность.

Для собственника бизнеса важно понимать: ответственность несёт не только компания как юридическое лицо, но и её руководитель лично. Это делает приведение в соответствие не формальностью, а вопросом управления личными рисками.

Шаг 1. Проведите инвентаризацию данных

Приведение в соответствие начинается с понимания того, какие данные и где обрабатываются в вашей компании. Без этого шага все последующие меры будут неполными.

Что нужно выявить в ходе инвентаризации:

• Какие категории данных собираются (ФИО, контакты, платёжные данные, биометрия, медицинские сведения)
• Где данные хранятся (CRM, 1С, облачные сервисы, бумажные архивы, почтовые ящики)
• Кто имеет к ним доступ внутри компании и среди подрядчиков
• Передаются ли данные третьим лицам и на каком основании

По итогам инвентаризации формируется карта данных — внутренний документ, который станет основой для всех последующих шагов. Как правило, инвентаризация занимает 1–2 недели и выявляет «слепые зоны»: данные, которые собираются, но никак не регулируются внутренними процедурами.

Шаг 2. Назначьте ответственного за персональные данные

Казахстанское законодательство требует, чтобы в компании был определён ответственный за организацию обработки персональных данных. Это может быть штатный сотрудник или внешний специалист — главное, чтобы его полномочия были закреплены документально.

Ответственный выполняет несколько функций: контролирует соблюдение требований закона, ведёт реестр операций по обработке, принимает запросы от субъектов данных, координирует реагирование на инциденты. На практике эту роль часто совмещают юрист, IT-директор или HR-руководитель — в зависимости от профиля компании.

Назначение оформляется приказом с указанием конкретных обязанностей. Если компания небольшая и штатного специалиста нет — функцию ответственного можно передать внешнему консультанту по договору. Отсутствие назначенного ответственного — один из первых пунктов, который проверяет регулятор.

Шаг 3. Составьте реестр операций по обработке

Реестр операций — это внутренний документ, фиксирующий все процессы обработки персональных данных в компании. Он не публикуется, но является ключевым доказательством соответствия при проверке.

Для каждой операции по обработке реестр должен содержать:

• Цель обработки (например: «расчёт заработной платы», «доставка заказа», «рассылка новостей»)
• Категории субъектов (сотрудники, клиенты, контрагенты) и категории данных
• Правовое основание (согласие, договор, законная обязанность)
• Срок хранения и порядок уничтожения
• Получатели данных (внутренние подразделения, третьи лица, страны при трансграничной передаче)

Реестр — живой документ: его нужно обновлять при каждом изменении процессов обработки. Как правило, первичное составление реестра занимает 1–2 недели после завершения инвентаризации.

Шаг 4. Приведите согласия и правовые основания в порядок

Каждая операция по обработке персональных данных должна иметь законное основание. В казахстанском праве таких оснований несколько: согласие субъекта, исполнение договора, выполнение законной обязанности оператора, защита жизненно важных интересов субъекта.

Наиболее распространённые проблемы, которые выявляются на этом шаге:

• Согласие оформлено как «галочка по умолчанию» или совмещено с принятием пользовательского соглашения
• Согласие не содержит конкретного перечня целей обработки
• Данные обрабатываются для целей, не указанных в согласии
• Отсутствует механизм отзыва согласия

Для каждой точки сбора данных (форма на сайте, анкета при трудоустройстве, договор с клиентом) необходимо проверить: есть ли надлежащее основание и соответствует ли оно фактической практике обработки. Несоответствие между задекларированными целями и реальной обработкой — наиболее частое нарушение, выявляемое при проверках.

Шаг 5. Разработайте и опубликуйте политику конфиденциальности

Политика конфиденциальности — публичный документ, который информирует субъектов данных об условиях их обработки. Наличие актуальной политики является обязательным требованием для операторов, работающих с физическими лицами.

Документ должен быть написан доступным языком и содержать: наименование и контакты оператора, цели и основания обработки, перечень обрабатываемых данных, сроки хранения, права субъектов и порядок их реализации, контакты для обращений. Технические подробности о мерах защиты в публичной версии политики, как правило, не раскрываются — они фиксируются во внутренних документах.

Размещение политики: на сайте — в нижнем колонтитуле каждой страницы; в мобильном приложении — в разделе настроек или «О приложении»; в офисе — при сборе данных на бумажных носителях. Политику необходимо обновлять при каждом существенном изменении практики обработки данных.

Шаг 6. Настройте процедуры реагирования на запросы и инциденты

Субъект персональных данных вправе в любой момент запросить информацию об обработке своих данных, потребовать их исправления или уничтожения, а также отозвать согласие. Компания обязана ответить на такой запрос в установленный законом срок.

Для этого необходимо: определить канал приёма запросов (email, форма на сайте), назначить ответственного за обработку, установить внутренний регламент с конкретными сроками и порядком действий. Отсутствие процедуры означает, что при первом же запросе компания окажется в ситуации неопределённости.

Отдельно необходима процедура реагирования на инциденты — утечки или несанкционированный доступ к данным. Она должна включать: порядок выявления и фиксации инцидента, уведомление уполномоченного органа, уведомление пострадавших субъектов, меры по устранению последствий. По сложившейся практике, оперативное реагирование и прозрачность при инциденте существенно снижают регуляторные и репутационные последствия.

Как часто нужно проводить аудит персональных данных?

Приведение в соответствие — не разовое мероприятие, а непрерывный процесс. Рекомендуется проводить плановый аудит не реже одного раза в год, а также при каждом существенном изменении: запуске нового продукта или сервиса, внедрении новой IT-системы, изменении законодательства, слиянии или поглощении.

Внеплановый аудит необходим при получении жалобы от субъекта данных, запроса от регулятора или выявлении инцидента безопасности. По нашему опыту, компании, которые проводят регулярные аудиты, значительно быстрее проходят проверки и реже сталкиваются с предписаниями об устранении нарушений.

Для малого и среднего бизнеса оптимальный формат — ежегодный внутренний аудит с привлечением внешнего юриста для проверки документации. Это занимает, как правило, 2–3 рабочих дня и позволяет своевременно выявить изменения, требующие обновления политик и реестра.