Как привести обработку персональных данных в соответствие закону РК: полное руководство

Шаг 1. Проведите инвентаризацию данных

Первый шаг — понять, какие персональные данные ваша компания фактически собирает, хранит и использует. Без этой картины любые последующие меры будут неполными.

Составьте перечень всех точек сбора данных: форма на сайте, анкета при трудоустройстве, CRM-система, бухгалтерская программа, видеонаблюдение, мессенджеры для общения с клиентами. Для каждой точки зафиксируйте: какие именно данные собираются, кто имеет к ним доступ, где они хранятся и как долго.

Отдельно выделите чувствительные категории данных — сведения о здоровье, биометрию, данные о судимостях. Они требуют усиленного режима защиты и, как правило, письменного согласия субъекта.

Результат этого шага — внутренний реестр баз данных. Это рабочий документ, который будет использоваться на всех последующих этапах и при проверке уполномоченного органа.

Шаг 2. Определите правовые основания для каждого вида обработки

Каждая операция с персональными данными должна иметь законное основание — это центральный принцип казахстанского законодательства о персональных данных. Обработка без основания является нарушением вне зависимости от того, причинён ли субъекту реальный вред.

Основных оснований несколько: согласие субъекта, исполнение договора с субъектом, выполнение обязанности, предусмотренной законодательством, защита жизненно важных интересов субъекта. Для большинства коммерческих операций используются первые два.

Согласие должно быть конкретным, информированным и добровольным. Включение согласия в текст договора в виде неотделимого условия — распространённая ошибка, которая может быть признана недействительной. Согласие на маркетинговые рассылки должно быть отдельным от согласия на обработку данных для исполнения договора.

Шаг 3. Разработайте политику обработки персональных данных

Политика обработки персональных данных — обязательный публичный документ для любого оператора в Казахстане. Её отсутствие само по себе является нарушением Закона о персональных данных и их защите.

Политика должна содержать: наименование и контакты оператора, перечень категорий обрабатываемых данных, цели и правовые основания обработки, сроки хранения, порядок передачи данных третьим лицам, описание мер защиты, порядок реализации прав субъектов. Документ публикуется на сайте компании в открытом доступе.

Помимо публичной политики, рекомендуется разработать внутренние регламенты: порядок реагирования на запросы субъектов, регламент уничтожения данных, инструкцию по действиям при утечке. Эти документы не публикуются, но должны быть доступны сотрудникам.

Шаг 4. Назначьте ответственного за организацию обработки персональных данных

Казахстанское законодательство требует, чтобы оператор назначил лицо, ответственное за организацию обработки персональных данных. Это может быть штатный сотрудник или внешний специалист.

Ответственный координирует выполнение требований закона внутри компании: контролирует соблюдение политики, организует обучение сотрудников, принимает запросы субъектов, взаимодействует с уполномоченным органом при проверках. Его полномочия и обязанности должны быть закреплены в должностной инструкции или приказе.

Для небольших компаний функции ответственного нередко совмещает юрист или HR-менеджер. Важно, чтобы этот человек понимал требования закона и имел реальные полномочия для их выполнения — а не был назначен формально.

Шаг 5. Приведите в порядок согласия и уведомления субъектов

Форма согласия на обработку персональных данных — один из наиболее часто нарушаемых элементов compliance. Типичные проблемы: согласие включено в договор без возможности отказа, формулировки слишком общие, субъект не понимает, на что именно он соглашается.

Проверьте все точки сбора согласий: форма регистрации на сайте, анкета соискателя, договор с клиентом, форма подписки на рассылку. Для каждой убедитесь, что субъект понимает: кто собирает данные, какие именно, для каких целей, как долго они будут храниться и как их можно отозвать.

Отзыв согласия должен быть таким же простым, как его предоставление. Если субъект подписал бумажное согласие — он должен иметь возможность отозвать его письменным заявлением. Если согласие дано через форму на сайте — предусмотрите механизм отзыва в личном кабинете или по email.

Шаг 6. Проверьте договоры с третьими лицами, которым передаются данные

Передача персональных данных третьим лицам — подрядчикам, облачным сервисам, маркетинговым агентствам — требует правового оформления. Без надлежащего договора оператор несёт ответственность за действия получателя данных.

Составьте перечень всех третьих лиц, которым ваша компания передаёт данные. Для каждого проверьте: есть ли договор, содержит ли он обязательства по защите данных, ограничен ли объём передаваемых данных необходимым минимумом. Облачные сервисы, размещённые за пределами Казахстана, создают дополнительные вопросы трансграничной передачи данных.

Трансграничная передача персональных данных допустима при соблюдении условий, установленных казахстанским законодательством. Если данные передаются в страну, не обеспечивающую надлежащий уровень защиты, необходимо предусмотреть дополнительные гарантии в договоре с получателем.

Шаг 7. Выстройте процедуры реагирования на запросы субъектов и инциденты

Субъект персональных данных вправе в любой момент запросить информацию об обработке своих данных, потребовать их исправления или удаления. Оператор обязан ответить в установленный законом срок — промедление само по себе является нарушением.

Разработайте внутреннюю процедуру: кто принимает запросы, в какой форме, кто готовит ответ, каков внутренний срок обработки. Ведите журнал обращений субъектов — он станет доказательством добросовестности при проверке.

Отдельно пропишите порядок действий при утечке данных: кто принимает решение, как уведомляется уполномоченный орган, как информируются пострадавшие субъекты. Наличие такой процедуры — не только требование закона, но и практический инструмент управления репутационным риском.