Как привести обработку персональных данных в соответствие закону РК: пошаговая инструкция
Большинство казахстанских компаний обрабатывают персональные данные ежедневно — в трудовых договорах, на сайтах, в CRM-системах — но не имеют ни политики конфиденциальности, ни реестра операций, ни назначенного ответственного. Закон о персональных данных и их защите действует в Казахстане, и регуляторный интерес к его соблюдению растёт. Привести процессы в порядок можно за шесть последовательных шагов — без перестройки бизнеса, но с конкретными документами и процедурами.
Не знаете, с чего начать аудит обработки данных в вашей компании? Проверить обработку персональных данных · info@vetrovkz.com
Шаг 1. Проведите аудит: что и зачем вы обрабатываете
Первый шаг — инвентаризация: собственник должен понять, какие персональные данные компания собирает, где они хранятся и кто к ним имеет доступ. Без этой картины любые последующие документы окажутся формальностью.
Пройдитесь по всем точкам сбора данных: форма на сайте, анкеты при трудоустройстве, договоры с клиентами, CRM-система, мессенджеры, видеонаблюдение, системы контроля доступа. Для каждой точки зафиксируйте: какие данные собираются, с какой целью, на каком основании (согласие, договор, закон), кто имеет доступ, как долго хранятся.
- Сайт и мобильное приложение: формы регистрации, cookies, аналитика
- Кадровый блок: трудовые договоры, личные дела, расчётные ведомости
- Коммерческий блок: договоры с контрагентами, данные покупателей
- IT-инфраструктура: базы данных, облачные сервисы, доступы сотрудников
Результат шага — таблица или карта потоков данных. Она станет основой для реестра операций (шаг 3) и позволит выявить «узкие места»: данные без основания, избыточный сбор, неограниченный срок хранения.
Аудит выявил пробелы в документах или процессах — нужна помощь в их устранении до проверки регулятора.
Проверить обработку персональных данныхШаг 2. Назначьте ответственного за персональные данные
Закон о персональных данных и их защите обязывает собственника и оператора персональных данных определить лицо, ответственное за организацию их обработки. Без назначенного ответственного компания не сможет выстроить системную работу — запросы субъектов некому обрабатывать, инциденты некому расследовать.
Ответственным может быть штатный сотрудник (юрист, HR, IT-специалист) или внешний консультант. Ключевое требование — он должен знать требования законодательства и иметь реальные полномочия: доступ к реестрам, право давать указания подразделениям, участие в согласовании новых продуктов и процессов.
Назначение оформляется приказом руководителя. В приказе фиксируются: ФИО ответственного, его функции, порядок взаимодействия с подразделениями, контактные данные для субъектов персональных данных. Контакты ответственного должны быть опубликованы в политике конфиденциальности компании.
Шаг 3. Составьте реестр операций по обработке персональных данных
Реестр операций — внутренний документ, в котором систематизированы все процессы обработки персональных данных в компании. Он служит доказательством того, что оператор понимает, что делает с данными, и действует в рамках закона.
Для каждой операции реестр фиксирует: наименование операции, категории субъектов (сотрудники, клиенты, посетители сайта), категории данных, цель обработки, правовое основание, срок хранения, получателей данных (включая третьих лиц и трансграничную передачу), технические меры защиты.
- Обработка данных кандидатов при найме — основание: согласие, срок: до окончания отбора плюс 1 год
- Расчёт и выплата заработной платы — основание: трудовой договор и закон, срок: 75 лет (архивный)
- Ведение клиентской базы в CRM — основание: договор или согласие, срок: срок договора плюс 3 года
- Аналитика сайта через cookies — основание: согласие, срок: до отзыва согласия
Реестр не публикуется, но должен быть готов к предъявлению регулятору по запросу. Обновляйте его при каждом изменении процессов — запуске нового продукта, смене IT-системы, начале работы с новым подрядчиком.
Шаг 4. Разработайте политику конфиденциальности и внутренние регламенты
Политика конфиденциальности — публичный документ, который объясняет субъектам персональных данных, как компания обращается с их сведениями. Для сайта она обязательна; для компании, работающей с физическими лицами, — фактически необходима.
Политика должна содержать: наименование и контакты оператора, контакты ответственного за персональные данные, перечень обрабатываемых данных и целей, правовые основания обработки, сроки хранения, порядок передачи третьим лицам, права субъектов и порядок их реализации, меры защиты данных.
Помимо публичной политики, разработайте внутренние регламенты: положение об обработке персональных данных (для сотрудников), инструкцию по реагированию на запросы субъектов, регламент реагирования на инциденты (утечки), порядок работы с подрядчиками, которым передаются данные. Все сотрудники, имеющие доступ к персональным данным, должны быть ознакомлены с регламентами под подпись.
Шаг 5. Приведите в порядок согласия субъектов персональных данных
Согласие субъекта — одно из ключевых оснований обработки персональных данных по казахстанскому законодательству. Оно должно быть конкретным, информированным, добровольным и допускать отзыв в любой момент.
Проверьте все точки сбора согласий. Типичные нарушения: предустановленные галочки на сайте, согласие «на всё» без разбивки по целям, отсутствие возможности отозвать согласие, согласие, встроенное в договор без возможности отказаться от него отдельно. Каждое из них — потенциальное основание для претензий субъекта или регулятора.
- Форма на сайте: активная галочка, ссылка на политику конфиденциальности, отдельные согласия для разных целей (рассылка, аналитика, передача партнёрам)
- Трудоустройство: согласие на обработку данных сверх трудового договора — отдельным документом
- Договоры с клиентами: согласие на маркетинговые коммуникации — отдельным пунктом с возможностью отказа
Фиксируйте факт получения согласия: дату, версию политики, способ получения. При электронном согласии — сохраняйте лог. Это доказательная база на случай спора с субъектом или проверки регулятора.
Шаг 6. Выстройте процедуры реагирования на запросы и инциденты
Компания обязана реагировать на запросы субъектов персональных данных в установленные сроки — и иметь готовый алгоритм на случай утечки или несанкционированного доступа к данным. Отсутствие процедур превращает любой инцидент в неуправляемый кризис.
Для запросов субъектов определите: кто принимает запросы (ответственный за персональные данные), в какой форме (электронная почта, форма на сайте), в какой срок готовится ответ, кто согласует ответ перед отправкой. Субъект вправе запросить доступ к своим данным, потребовать исправления, блокирования или уничтожения — по каждому сценарию нужен шаблон ответа.
Для инцидентов (утечка, взлом, случайная рассылка) разработайте регламент: немедленное уведомление ответственного, оценка масштаба и рисков для субъектов, при необходимости — уведомление уполномоченного органа и самих субъектов, документирование инцидента и принятых мер. Казахстанское законодательство в области персональных данных развивается, и требования к уведомлению об инцидентах ужесточаются.
Частые вопросы
1. Нужно ли согласие на обработку данных сотрудников?
Согласие сотрудника, как правило, не требуется для обработки данных, необходимых для исполнения трудового договора: ФИО, ИИН, банковские реквизиты для выплаты зарплаты, сведения о квалификации. Трудовой кодекс РК и Закон о персональных данных допускают обработку без отдельного согласия, если она обусловлена трудовыми отношениями. Однако для иных целей — например, публикации фото сотрудника на сайте компании, использования биометрии для учёта рабочего времени — согласие обязательно. Оно должно быть добровольным, конкретным и оформленным в письменной форме или электронно с возможностью отзыва. Работодатель не вправе обусловливать трудоустройство предоставлением согласия на обработку данных, выходящую за рамки трудового договора.
2. Что такое чувствительные персональные данные?
Чувствительные (специальные) персональные данные — это категория сведений, обработка которых несёт повышенный риск для субъекта. Закон о персональных данных и их защите относит к ним: расовое и этническое происхождение, политические взгляды, религиозные и философские убеждения, членство в профсоюзах, состояние здоровья и медицинские диагнозы, сексуальную жизнь, биометрические данные (отпечатки пальцев, сетчатка глаза, голос), а также сведения о судимостях. Для обработки таких данных требуется явное письменное согласие субъекта либо наличие одного из строго ограниченных оснований, прямо предусмотренных законодательством. Хранить их следует с усиленными мерами защиты, а передавать третьим лицам — только в исключительных случаях.
3. Можно ли использовать видеонаблюдение в офисе?
Видеонаблюдение в офисе допустимо при соблюдении ряда условий. Во-первых, сотрудники и посетители должны быть заблаговременно уведомлены о ведении съёмки — через таблички, уведомления в трудовом договоре или отдельные соглашения. Во-вторых, цель наблюдения должна быть законной и соразмерной: охрана имущества, безопасность, контроль доступа. Съёмка в туалетах, раздевалках и иных местах, где сотрудники обоснованно ожидают приватности, запрещена. Записи относятся к персональным данным, поэтому на них распространяются все требования Закона о персональных данных: ограниченный срок хранения, защита от несанкционированного доступа, запрет на передачу без оснований. Рекомендуется закрепить порядок видеонаблюдения во внутреннем регламенте компании.
4. Как правильно собирать cookies на сайте в Казахстане?
Cookies, позволяющие идентифицировать пользователя (аналитические, маркетинговые), относятся к персональным данным и требуют согласия субъекта до их установки. Технически необходимые cookies (сессионные, корзина) согласия не требуют. На практике это означает: при первом визите пользователь должен видеть баннер с описанием типов cookies и возможностью выбора — принять все, отклонить необязательные или настроить вручную. Согласие должно быть активным (не предустановленная галочка), фиксироваться с датой и версией политики, а пользователь должен иметь возможность отозвать его в любой момент. Политика конфиденциальности сайта обязана содержать раздел о cookies с описанием целей, сроков хранения и третьих лиц, которым данные передаются.
5. Что делать при запросе субъекта персональных данных?
При получении запроса от субъекта персональных данных компания обязана ответить в срок, установленный Законом о персональных данных. Субъект вправе запросить: подтверждение факта обработки его данных, перечень обрабатываемых сведений, цели и основания обработки, сведения о третьих лицах, которым данные передавались. Также субъект вправе потребовать исправления неточных данных, блокирования или уничтожения данных при отсутствии законного основания для обработки. Рекомендуется установить внутреннюю процедуру: назначить ответственного за приём запросов, определить форму ответа, зафиксировать срок обработки. Отказ в предоставлении информации без законного основания влечёт административную ответственность.
6. Нужно ли регистрировать базы данных в государственном органе?
Казахстанское законодательство о персональных данных не предусматривает обязательной регистрации баз данных в уполномоченном органе в качестве общего правила — в отличие от ряда других юрисдикций. Однако оператор обязан обеспечить учёт баз данных внутри компании (реестр операций) и соблюдать требования по локализации: персональные данные граждан Казахстана должны храниться на серверах, расположенных на территории Республики Казахстан. Передача данных за рубеж допускается при соблюдении условий, установленных Законом о персональных данных, — в частности, при наличии согласия субъекта или если страна-получатель обеспечивает надлежащий уровень защиты. Нарушение требования локализации — одно из наиболее распространённых оснований для претензий регулятора.
7. Как оформить передачу данных подрядчику или партнёру?
Передача персональных данных третьему лицу — подрядчику, партнёру, облачному провайдеру — требует правового основания. Как правило, это согласие субъекта или договорное основание, при котором третье лицо выступает оператором или обработчиком данных. С подрядчиком, который обрабатывает данные от имени вашей компании (например, IT-аутсорсер, колл-центр, бухгалтерский сервис), необходимо заключить соглашение об обработке персональных данных. В нём фиксируются: перечень передаваемых данных, цели и инструкции по обработке, меры защиты, обязательство не передавать данные далее без согласования, порядок уничтожения данных по окончании договора. Отсутствие такого соглашения означает, что ответственность за действия подрядчика с данными несёт ваша компания.
8. Какова ответственность за нарушение закона о персональных данных в Казахстане?
За нарушение требований Закона о персональных данных и их защите предусмотрена административная ответственность. Размер санкций зависит от характера нарушения и субъекта ответственности — физическое лицо, должностное лицо или юридическое лицо. Наиболее распространённые основания для привлечения к ответственности: незаконная обработка персональных данных без согласия субъекта, нарушение требований локализации, отказ предоставить субъекту информацию о его данных, непринятие мер по защите данных от несанкционированного доступа. Помимо административных санкций, субъект персональных данных вправе обратиться в суд с требованием о возмещении вреда, причинённого нарушением его прав. Регуляторный интерес к соблюдению законодательства о персональных данных в Казахстане последовательно усиливается.
9. Распространяется ли закон на индивидуальных предпринимателей?
Да, Закон о персональных данных и их защите распространяется на всех операторов персональных данных — физических и юридических лиц, а также индивидуальных предпринимателей, которые организуют или осуществляют обработку персональных данных. Если ИП ведёт клиентскую базу, нанимает сотрудников, использует сайт с формами сбора данных — он является оператором и обязан соблюдать требования закона. Объём обязательств соразмерен масштабу обработки: небольшой ИП с минимальным числом клиентов и без сотрудников несёт меньшую нагрузку, чем крупная компания. Тем не менее базовые требования — наличие основания для обработки, соблюдение прав субъектов, принятие мер защиты — обязательны для всех.
10. Что такое локализация персональных данных и как её обеспечить?
Локализация персональных данных — требование хранить и обрабатывать данные граждан Казахстана на серверах, физически расположенных на территории Республики Казахстан. Это требование закреплено в Законе о персональных данных и их защите и распространяется на все компании, работающие с казахстанскими пользователями, — вне зависимости от страны регистрации оператора. Для обеспечения локализации необходимо: выбрать дата-центр или облачного провайдера с инфраструктурой в Казахстане, проверить договоры с зарубежными SaaS-сервисами на предмет места хранения данных, при необходимости — перенести базы данных или настроить раздельное хранение. Использование зарубежных облачных сервисов (Google Workspace, Microsoft 365, Salesforce) без локализации казахстанских данных — распространённое нарушение, которое выявляется при проверках.
Выводы
Приведение обработки персональных данных в соответствие казахстанскому законодательству — не разовая акция, а системная работа. Шесть шагов — аудит, назначение ответственного, реестр операций, политика конфиденциальности, упорядочивание согласий, процедуры реагирования — дают компании рабочую систему, а не папку с документами. Собственник, который прошёл этот путь, понимает, что именно и зачем обрабатывается, и может обоснованно ответить на любой запрос — субъекта, партнёра или регулятора.
Актуально на: 20 октября 2026 года.
Если ситуация требует внимания — мы поможем разобраться.
Смежные направления
Направление практики
Персональные данные и IT-право — соответствие Закону о персональных данных, трансграничная передача, аудит обработки и IT-договоры.