Как привести обработку персональных данных в соответствие закону РК: алгоритм действий
Приведение обработки персональных данных в соответствие казахстанскому законодательству — это последовательность конкретных шагов: аудит, документы, назначение ответственного, согласия субъектов и выстраивание процедур реагирования. Собственник бизнеса, который откладывает этот процесс, принимает на себя риск административной ответственности и претензий со стороны клиентов и сотрудников. Ниже — практический алгоритм, который можно запустить внутри компании.
Не знаете, с чего начать аудит персональных данных в вашей компании? Проверить обработку персональных данных · info@vetrovkz.com
Шаг 1. Проведите аудит: что и зачем вы обрабатываете
Аудит — отправная точка любого проекта по приведению в соответствие требованиям Закона о персональных данных и их защите. Без полного понимания того, какие данные компания собирает, где хранит и кому передаёт, невозможно выстроить корректную систему защиты.
На этом шаге составьте реестр обработки персональных данных. Он должен охватывать все категории субъектов: клиентов, сотрудников, контрагентов, посетителей сайта. Для каждой категории зафиксируйте: состав данных, цель обработки, правовое основание, источник получения, срок хранения, кому передаются.
- Опросите руководителей подразделений: HR, маркетинг, IT, бухгалтерия, продажи.
- Проверьте все точки сбора данных: формы на сайте, CRM, 1С, мессенджеры, бумажные анкеты.
- Выявите данные, которые собираются «на всякий случай» без чёткой цели — их следует прекратить собирать.
- Отдельно выделите чувствительные категории данных: здоровье, биометрия, судимости.
Результат шага — заполненный реестр обработки. Это живой документ: его нужно обновлять при любом изменении бизнес-процессов. Реестр станет основой для всех последующих шагов.
Если политика конфиденциальности вашей компании не обновлялась после принятия нового регулирования — это уже нарушение, которое видно при первой проверке.
Проверить обработку персональных данныхШаг 2. Назначьте ответственного за обработку персональных данных
Казахстанское законодательство требует, чтобы у оператора персональных данных было определено лицо, ответственное за организацию обработки и соблюдение требований закона. Без такого назначения компания работает в правовом вакууме: при проверке или инциденте непонятно, кто несёт ответственность.
Ответственным может быть штатный сотрудник (юрист, IT-директор, HR-директор) или внешний советник. Ключевое требование — реальные полномочия и доступ к информации о процессах обработки данных.
- Оформите назначение приказом руководителя с описанием функций и полномочий.
- Укажите контакты ответственного в политике конфиденциальности и на сайте.
- Обеспечьте ответственному доступ к реестру обработки и всем договорам с обработчиками данных.
Если компания небольшая и отдельная ставка нецелесообразна, функции ответственного можно возложить на действующего сотрудника с соответствующим дополнением к должностной инструкции. Важно, чтобы это не было формальностью на бумаге.
Шаг 3. Разработайте политику конфиденциальности и внутренние регламенты
Политика конфиденциальности — публичный документ, который описывает, как компания обрабатывает персональные данные. По требованиям Закона о персональных данных и их защите она должна быть размещена в открытом доступе и содержать исчерпывающую информацию для субъектов данных.
Помимо публичной политики, компании нужны внутренние регламенты: порядок доступа к данным, правила работы с обработчиками, инструкции для сотрудников. Эти документы не публикуются, но должны существовать и исполняться.
- Политика конфиденциальности: цели, основания, категории данных, сроки хранения, права субъектов, контакты ответственного.
- Регламент доступа к данным: кто и на каком основании имеет доступ к персональным данным внутри компании.
- Инструкция для сотрудников: что можно и нельзя делать с данными клиентов и коллег.
Типовые шаблоны политик из интернета, как правило, не учитывают специфику казахстанского законодательства и конкретного бизнеса. Документ должен отражать реальные процессы компании — иначе при проверке он сработает против вас.
Шаг 4. Приведите в порядок согласия субъектов данных
Согласие субъекта — одно из ключевых оснований обработки персональных данных по казахстанскому праву. Оно должно быть конкретным, информированным, добровольным и зафиксированным в форме, позволяющей его доказать.
На практике большинство компаний либо не получают согласие вовсе, либо используют формулировки, которые не соответствуют требованиям закона: слишком общие, встроенные в договор мелким шрифтом или предполагающие согласие «по умолчанию».
- Проверьте все формы сбора данных: сайт, мобильное приложение, бумажные анкеты, договоры.
- Убедитесь, что согласие запрашивается отдельно от других условий и содержит: цель обработки, перечень данных, срок действия, право на отзыв.
- Выстройте систему хранения согласий: при необходимости вы должны доказать, что согласие было получено.
- Для чувствительных данных — согласие должно быть явным и письменным.
Отдельный вопрос — согласия сотрудников. Для обработки данных в рамках трудовых отношений отдельное согласие, как правило, не требуется. Но для любой обработки сверх этого — необходимо. Подробнее об этом — в разделе FAQ ниже.
Шаг 5. Обеспечьте защиту данных и проверьте трансграничную передачу
Технические и организационные меры защиты персональных данных — обязательное требование казахстанского законодательства. Их отсутствие само по себе является нарушением, независимо от того, произошла ли утечка.
Под техническими мерами понимается: разграничение доступа, шифрование, резервное копирование, антивирусная защита, журналирование действий с данными. Организационные меры — это регламенты, обучение сотрудников, контроль за подрядчиками.
- Проведите инвентаризацию IT-систем, в которых хранятся персональные данные.
- Ограничьте доступ к данным по принципу минимальной необходимости.
- Проверьте договоры с облачными провайдерами, CRM-системами, колл-центрами: в них должны быть условия об обработке данных.
Если данные передаются за рубеж — проверьте правомерность такой передачи. Требование локализации означает, что основная база данных казахстанских граждан должна находиться на серверах в Казахстане. Передача копий за рубеж допустима при соблюдении условий, установленных Законом о персональных данных и их защите.
Шаг 6. Выстройте процедуры реагирования на запросы и инциденты
Соответствие закону — это не разовый проект, а постоянный процесс. Компания должна уметь реагировать на два типа событий: запросы субъектов данных и инциденты безопасности.
Субъект данных вправе запросить информацию о своих данных, потребовать их исправления или уничтожения. Закон устанавливает сроки ответа на такие запросы. Отсутствие процедуры реагирования означает, что при поступлении запроса компания будет действовать хаотично и, скорее всего, нарушит установленные сроки.
- Определите ответственного за приём и обработку запросов субъектов.
- Установите внутренний регламент: кто проверяет запрос, кто принимает решение, кто готовит ответ.
- Разработайте план реагирования на инциденты: утечка, несанкционированный доступ, потеря данных.
- Зафиксируйте обязанность уведомить уполномоченный орган при инциденте.
Наличие задокументированных процедур — весомый аргумент при проверке. Регулятор оценивает не только факт нарушения, но и то, предпринимала ли компания разумные меры для его предотвращения.
Частые вопросы
1. Какой штраф за нарушение закона о персональных данных в Казахстане?
Казахстанское законодательство предусматривает административную ответственность за нарушения в сфере персональных данных. Размер санкций зависит от характера нарушения и субъекта: для должностных лиц и юридических лиц предусмотрены штрафы, исчисляемые в МРП (по состоянию на 2026 год МРП составляет 4 325 тенге). Повторные нарушения влекут более высокие санкции. Помимо административной, возможна гражданско-правовая ответственность перед субъектами данных за причинённый ущерб. Уголовная ответственность наступает при незаконном сборе и распространении сведений о частной жизни лица.
2. Можно ли хранить персональные данные казахстанцев за границей?
Закон о персональных данных и их защите допускает трансграничную передачу персональных данных при соблюдении ряда условий. Передача возможна, если страна-получатель обеспечивает надлежащий уровень защиты данных, либо если субъект дал явное согласие на такую передачу, либо если передача необходима для исполнения договора с субъектом. Первичная база данных казахстанских граждан должна находиться на серверах в Казахстане — это требование локализации. Хранение копий за рубежом при наличии основной базы в РК, как правило, допустимо при соблюдении условий передачи.
3. Как долго можно хранить персональные данные?
Казахстанское законодательство устанавливает принцип ограничения хранения: персональные данные не должны храниться дольше, чем это необходимо для достижения целей обработки. Конкретные сроки зависят от категории данных и цели: данные сотрудников — как правило, в течение срока трудовых отношений плюс период, установленный архивным законодательством; данные клиентов — в течение срока договора и исковой давности. После достижения цели данные подлежат уничтожению или обезличиванию. Сроки хранения должны быть зафиксированы в политике конфиденциальности и реестре обработки.
4. Нужно ли согласие на обработку данных сотрудников?
Обработка персональных данных сотрудников в рамках трудовых отношений, как правило, осуществляется на основании Трудового кодекса РК и трудового договора — отдельное согласие в этом случае не требуется. Однако для обработки данных, выходящей за пределы трудовых отношений (например, передача данных третьим лицам, использование в маркетинговых целях, обработка чувствительных данных), согласие необходимо. Работодатель обязан уведомить сотрудника о целях, объёме и порядке обработки его данных. Рекомендуется включать соответствующие положения в трудовой договор или отдельное соглашение.
5. Что такое чувствительные персональные данные?
Чувствительные (специальные категории) персональные данные — это сведения, обработка которых требует повышенного уровня защиты в силу их особой значимости для частной жизни субъекта. По казахстанскому законодательству к ним относятся данные о расовой и национальной принадлежности, политических взглядах, религиозных убеждениях, состоянии здоровья, судимостях, а также биометрические данные. Обработка таких данных допускается только при наличии явного согласия субъекта либо в случаях, прямо предусмотренных законом. Подробнее об этой категории — в нашем материале о чувствительных персональных данных в Казахстане.
6. Нужно ли регистрировать базы данных персональных данных в Казахстане?
Закон о персональных данных и их защите предусматривает уведомительный порядок для операторов, осуществляющих обработку персональных данных. Оператор обязан уведомить уполномоченный орган о начале обработки данных до её начала. Уведомление содержит сведения о целях, категориях данных, мерах защиты и сроках хранения. Отдельные категории операторов могут быть освобождены от уведомления — это следует уточнять применительно к конкретной ситуации компании.
7. Что должна содержать политика конфиденциальности по казахстанскому праву?
Политика конфиденциальности по требованиям Закона о персональных данных и их защите должна включать: наименование и контакты оператора; цели и правовые основания обработки; категории обрабатываемых данных и субъектов; сроки хранения; порядок передачи третьим лицам и за рубеж; права субъектов и порядок их реализации; меры по защите данных; контакты ответственного лица. Политика должна быть размещена в открытом доступе — на сайте компании или в точке сбора данных. Документ должен быть написан понятным языком, без избыточного юридического жаргона.
8. Какие права есть у субъектов персональных данных в Казахстане?
По казахстанскому законодательству субъект персональных данных вправе: получить информацию о том, какие его данные обрабатываются и на каком основании; потребовать исправления неточных данных; отозвать согласие на обработку; потребовать прекращения обработки или уничтожения данных при отсутствии законного основания; обжаловать действия оператора в уполномоченный орган или суд. Оператор обязан ответить на запрос субъекта в установленный законом срок. Игнорирование запросов субъектов — одно из наиболее распространённых нарушений, выявляемых при проверках.
9. Что делать при утечке персональных данных?
При выявлении утечки или несанкционированного доступа к персональным данным оператор обязан незамедлительно принять меры по локализации инцидента и минимизации ущерба. Казахстанское законодательство предусматривает обязанность уведомить уполномоченный орган об инциденте. В зависимости от масштаба утечки может потребоваться уведомление самих субъектов данных. Рекомендуется заранее разработать план реагирования на инциденты, зафиксировать все действия в журнале и привлечь юридического советника для оценки рисков ответственности.
10. Распространяется ли закон о персональных данных на иностранные компании, работающие в Казахстане?
Да. Закон о персональных данных и их защите распространяется на всех операторов, осуществляющих обработку персональных данных граждан и резидентов Казахстана, вне зависимости от места регистрации оператора. Иностранная компания, собирающая данные казахстанских пользователей через сайт, приложение или иным способом, обязана соблюдать требования казахстанского законодательства. Это включает требования локализации, получения согласий, назначения ответственного лица и обеспечения прав субъектов данных.
Выводы
Приведение обработки персональных данных в соответствие казахстанскому законодательству — это шесть последовательных шагов: аудит реестра данных, назначение ответственного, разработка политики и регламентов, упорядочивание согласий, обеспечение технической защиты и выстраивание процедур реагирования. Каждый шаг имеет конкретный измеримый результат. Откладывать этот процесс — значит накапливать правовые риски, которые при проверке или инциденте материализуются в санкции и претензии субъектов данных. Начать можно с аудита: он даёт полную картину и определяет приоритеты для остальных шагов.
Актуально на: 29 сентября 2026 года.
Если ситуация требует внимания — мы поможем разобраться.
Смежные направления
Направление практики
Персональные данные и IT-право — соответствие Закону о персональных данных, трансграничная передача, аудит обработки и IT-договоры.