Как привести обработку персональных данных в соответствие закону РК: как действовать

Почему приведение в соответствие — задача собственника, а не только IT-отдела

Ответственность за нарушение требований казахстанского законодательства о персональных данных лежит на операторе — то есть на юридическом лице, которое определяет цели и способы обработки. Это означает, что административные санкции предъявляются к компании, а не к конкретному программисту или HR-менеджеру.

На практике нарушения чаще всего выявляются не при плановых проверках, а по жалобам субъектов данных — клиентов или бывших сотрудников. Уполномоченный орган рассматривает жалобу и вправе запросить у компании документацию: политику, реестр, согласия. Если документов нет — нарушение фиксируется автоматически.

Собственник, который делегировал «вопросы данных» IT-отделу без юридического оформления, рискует получить предписание или штраф в ситуации, когда технически всё работало корректно, но документально — нет. Поэтому приведение в соответствие — это прежде всего управленческое решение, а не техническая задача.

Шаг 1. Проведите аудит: что и зачем вы обрабатываете

Аудит — отправная точка любого проекта по приведению в соответствие. Его цель: получить полную картину того, какие персональные данные компания собирает, где они хранятся, кто имеет к ним доступ и на каком основании.

В ходе аудита зафиксируйте по каждому потоку данных следующее:

• категория данных (ФИО, контакты, финансовые сведения, биометрия, специальные категории);
• цель обработки и правовое основание (согласие, договор, закон);
• место хранения (сервер, облако, бумажный архив) и его юрисдикция;
• срок хранения и порядок уничтожения;
• перечень третьих лиц, которым данные передаются.

Результат аудита — таблица или реестр, который станет основой для всех последующих шагов. По нашему опыту, аудит среднего бизнеса занимает от двух до четырёх недель при наличии внутреннего координатора.

Шаг 2. Назначьте ответственного за обработку персональных данных

Казахстанское законодательство требует, чтобы оператор определил лицо, ответственное за организацию обработки персональных данных. Это может быть штатный сотрудник или внешний специалист — главное, чтобы его полномочия были закреплены документально.

Назначение оформляется приказом руководителя. В приказе фиксируются: должность ответственного, его обязанности, права на доступ к документации и полномочия по взаимодействию с уполномоченным органом. Без такого документа компания не сможет подтвердить, что вопрос организационно решён.

Ответственный не обязан быть юристом, но должен понимать требования Закона о персональных данных и их защите, уметь отвечать на запросы субъектов и вести реестр. Для небольших компаний эту роль нередко совмещает HR-директор или руководитель юридической службы.

Шаг 3. Разработайте политику обработки персональных данных

Политика обработки персональных данных — публичный документ, который компания обязана разместить в открытом доступе. Он описывает, как именно организация работает с данными физических лиц.

Минимальное содержание политики включает:

• наименование и реквизиты оператора;
• цели и правовые основания обработки по каждой категории данных;
• категории субъектов и состав обрабатываемых данных;
• сроки хранения и порядок уничтожения;
• права субъектов и порядок их реализации (запрос, исправление, удаление);
• контакты ответственного за обработку.

Политика размещается на сайте компании — как правило, в футере — и должна быть доступна до момента сбора данных. Документ утверждается приказом руководителя и обновляется при изменении процессов обработки.

Шаг 4. Как правильно оформить согласие на обработку данных?

Согласие субъекта персональных данных — одно из ключевых оснований для обработки по казахстанскому законодательству. Оно должно быть добровольным, конкретным, информированным и однозначным.

Типичные ошибки при оформлении согласий:

• предзаполненные чекбоксы («галочка» уже стоит по умолчанию);
• согласие «на всё» без указания конкретных целей;
• согласие, встроенное в текст договора без возможности отдельного отказа;
• отсутствие механизма отзыва согласия.

Для сотрудников согласие оформляется отдельным документом при приёме на работу. Для клиентов — через форму на сайте или бумажный бланк. Важно сохранять доказательства получения согласия: скриншоты, логи, подписанные экземпляры.

Шаг 5. Сформируйте реестр обработки персональных данных

Реестр обработки — внутренний документ компании, который фиксирует все процессы работы с персональными данными в структурированном виде. Это основной инструмент доказательства соответствия при проверке.

Реестр ведётся в произвольной форме — таблица, база данных, специализированное ПО. Главное — актуальность и полнота. По каждому процессу обработки фиксируются: наименование процесса, категория данных, цель, основание, срок хранения, место хранения, третьи лица, которым данные передаются.

Реестр обновляется при каждом изменении: запуск нового продукта, смена подрядчика, изменение срока хранения. Ответственный за обработку данных несёт обязанность поддерживать реестр в актуальном состоянии. Наличие реестра существенно сокращает время ответа на запросы уполномоченного органа.

Шаг 6. Проверьте договоры с третьими лицами и трансграничную передачу

Если компания передаёт персональные данные подрядчикам, партнёрам, облачным сервисам или аффилированным структурам — каждая такая передача должна быть юридически оформлена. Казахстанское законодательство требует, чтобы получатель данных обеспечивал их защиту на уровне не ниже установленного законом.

В договорах с обработчиками данных (процессорами) должны быть закреплены:

• перечень передаваемых данных и цели обработки;
• обязанность соблюдать требования Закона о персональных данных и их защите;
• запрет на использование данных в собственных целях обработчика;
• порядок уничтожения данных по истечении срока договора.

Трансграничная передача данных — отдельный вопрос. Закон о персональных данных и их защите устанавливает требование локализации баз данных граждан Казахстана на серверах в РК. Использование зарубежных облачных сервисов без анализа этого требования создаёт правовой риск, который необходимо оценить до заключения договора.