Как привести обработку персональных данных в соответствие закону РК
Приведение обработки персональных данных в соответствие казахстанскому законодательству — это не разовая акция, а управляемый процесс из шести последовательных шагов. Собственник, который прошёл этот путь, защищает бизнес от административных санкций, претензий клиентов и репутационных потерь. Руководство ниже даёт конкретный план действий: от аудита данных до ведения реестра обработки.
Не знаете, с чего начать аудит персональных данных в вашей компании? Проверить обработку персональных данных · info@vetrovkz.com
Почему собственнику важно действовать сейчас
Закон о персональных данных и их защите действует в Казахстане уже несколько лет, однако правоприменение заметно усилилось: уполномоченный орган активизировал проверки, а субъекты данных — клиенты и сотрудники — стали чаще обращаться с жалобами. Для собственника это означает реальный риск, а не абстрактное требование.
Ответственность наступает не только за утечку данных. Отсутствие политики конфиденциальности, ненадлежащее согласие или хранение данных за рубежом без соблюдения установленных условий — каждое из этих нарушений самостоятельно. Бизнес, который не прошёл комплаенс, несёт административную ответственность, а в ряде случаев — гражданско-правовую перед субъектами данных.
Хорошая новость: привести процессы в порядок реально за 4–8 недель при наличии чёткого плана. Ниже — именно такой план, адаптированный под казахстанское законодательство.
Аудит данных выявил передачу данных зарубежным сервисам без надлежащего оформления — это один из наиболее частых рисков при проверке.
Проверить обработку персональных данныхШаг 1. Определите статус оператора и объём обработки
Первый шаг — зафиксировать, что ваша компания является оператором персональных данных, и понять, какие категории данных вы обрабатываете. Оператором признаётся любое лицо, которое организует или осуществляет обработку данных — независимо от размера бизнеса и отрасли.
На этом этапе составьте предварительный перечень: данные клиентов (ФИО, телефон, email, ИИН), данные сотрудников (трудовые договоры, личные дела), данные контрагентов (реквизиты, подписанты). Отдельно выделите чувствительные категории — биометрию, медицинские сведения, данные о судимостях. Для них закон устанавливает повышенные требования.
Результат шага: таблица категорий данных с указанием источника получения, цели обработки и примерного объёма. Этот документ станет основой для всех последующих шагов.
Шаг 2. Проведите аудит данных и потоков
Аудит персональных данных — это картирование всех точек, где данные собираются, хранятся, передаются и уничтожаются. Без этого шага невозможно оценить реальный масштаб несоответствия и расставить приоритеты.
Пройдитесь по каждому бизнес-процессу: сайт и формы обратной связи, CRM-система, HR-документооборот, бухгалтерия, маркетинговые рассылки, колл-центр. Для каждого процесса зафиксируйте: какие данные собираются, где хранятся (локальный сервер, облако, бумажные носители), кто имеет доступ, передаются ли данные третьим лицам или за рубеж.
Особое внимание — подрядчикам и SaaS-сервисам. Если вы используете зарубежную CRM, облачную бухгалтерию или сервис email-рассылок, данные клиентов фактически обрабатываются третьей стороной. Это требует отдельного правового оформления — договора на обработку данных или проверки условий использования сервиса.
Результат шага: карта потоков данных и перечень выявленных несоответствий с приоритетами устранения.
Шаг 3. Назначьте ответственного за персональные данные
Казахстанское законодательство требует, чтобы оператор назначил лицо, ответственное за организацию обработки персональных данных. Это не обязательно отдельная штатная единица — функцию можно возложить на действующего сотрудника приказом.
Ответственный выполняет несколько ключевых функций: контролирует соблюдение требований закона внутри компании, организует обучение персонала, взаимодействует с субъектами данных при поступлении запросов и жалоб, ведёт реестр обработки. Без назначенного ответственного компания не может выстроить системный комплаенс — всё держится на ситуативных решениях.
Результат шага: приказ о назначении ответственного, должностная инструкция или дополнение к ней, контактные данные ответственного — для размещения в политике конфиденциальности.
Шаг 4. Разработайте политику конфиденциальности
Политика конфиденциальности — публичный документ, который оператор обязан сделать доступным для субъектов данных. Для большинства компаний это страница на сайте; для офлайн-бизнеса — документ, с которым знакомят клиентов при сборе данных.
Политика должна содержать: наименование и контакты оператора, цели и правовые основания обработки, перечень обрабатываемых данных, сроки хранения, порядок передачи третьим лицам, права субъектов данных и порядок их реализации, контакты ответственного лица. Шаблонная политика, скопированная с другого сайта, создаёт риск: она может не отражать реальные процессы вашей компании и не соответствовать казахстанским требованиям.
Отдельно разработайте внутреннее положение об обработке персональных данных — для сотрудников. Оно регулирует внутренние процедуры: доступ к данным, порядок уничтожения, действия при инцидентах. Ознакомьте всех сотрудников под подпись.
Шаг 5. Выстройте систему получения согласий
Согласие субъекта данных — одно из ключевых оснований обработки по казахстанскому законодательству. Согласие должно быть добровольным, конкретным, информированным и однозначным. Галочка, проставленная по умолчанию, или согласие, «зашитое» в длинный договор, не отвечает этим требованиям.
Для каждой точки сбора данных — форма на сайте, анкета в офисе, приложение — разработайте отдельную форму согласия. Она должна содержать: кто собирает данные, какие именно данные, для каких целей, как долго будут храниться, кому могут быть переданы. Субъект должен иметь возможность отозвать согласие — предусмотрите простой механизм отзыва.
Для чувствительных данных — биометрии, медицинских сведений — требуется письменное согласие. Храните полученные согласия: при проверке или жалобе вам нужно будет подтвердить факт и содержание согласия. Электронные согласия допустимы при условии идентификации субъекта.
Шаг 6. Ведите реестр обработки и проверьте трансграничную передачу
Реестр обработки персональных данных — внутренний документ оператора, который фиксирует все процессы работы с данными. Это рабочий инструмент комплаенса, а не формальность: при проверке уполномоченного органа реестр демонстрирует, что компания управляет данными осознанно.
Реестр включает: наименование процесса, категории субъектов и данных, цели обработки, правовое основание, сроки хранения, получатели данных (включая третьих лиц и зарубежные сервисы), технические меры защиты. Обновляйте реестр при каждом изменении бизнес-процессов.
Отдельно проверьте трансграничную передачу данных. Если данные казахстанских пользователей обрабатываются за рубежом — убедитесь, что соблюдены условия: наличие согласия субъекта или адекватный уровень защиты в стране-получателе. Для стран без адекватного уровня защиты потребуется дополнительное правовое оформление. Подробнее о требованиях к чувствительным данным — в материале «Что такое чувствительные персональные данные в Казахстане».
Что изменилось в регулировании персональных данных в Казахстане
Регуляторная среда в сфере персональных данных в Казахстане активно развивается. Цифровой кодекс, обсуждение которого ведётся на уровне государственной политики, предполагает системное обновление требований к операторам. Подробный анализ изменений — в материале «Цифровой кодекс Казахстана: что изменилось для бизнеса».
Ключевые тенденции, которые уже влияют на практику: усиление контроля за локализацией данных, повышение требований к согласиям при использовании файлов cookie и трекинговых технологий, расширение прав субъектов данных — включая право на переносимость и право на забвение. Компании, которые выстроили базовый комплаенс сейчас, адаптируются к новым требованиям значительно проще.
Для компаний, работающих с персоналом по договорам ГПХ, отдельного внимания заслуживает вопрос обработки данных подрядчиков — физических лиц. Подробнее — в материале «Можно ли работать по договору ГПХ в Казахстане в 2026 году».
Частые вопросы
1. Кто считается оператором персональных данных в Казахстане?
Оператором персональных данных в Казахстане признаётся любое физическое или юридическое лицо, которое самостоятельно или совместно с другими лицами организует и осуществляет обработку персональных данных. Статус оператора возникает автоматически — с момента, когда компания начинает собирать, хранить или использовать данные клиентов, сотрудников или контрагентов. Регистрация или специальное разрешение для этого не требуются. Важно понимать: оператором является не только IT-компания, но и любой бизнес, который ведёт базу клиентов, обрабатывает анкеты соискателей или использует CRM-систему.
2. Нужно ли уведомлять уполномоченный орган об обработке данных?
По действующему казахстанскому законодательству операторы не обязаны уведомлять уполномоченный орган о начале обработки персональных данных в общем случае. Однако Закон о персональных данных и их защите предусматривает ряд ситуаций, когда взаимодействие с уполномоченным органом становится обязательным: при трансграничной передаче данных в страны без адекватного уровня защиты, при обработке чувствительных категорий данных, а также при рассмотрении жалоб субъектов данных. Рекомендуется следить за актуальными требованиями, поскольку регуляторная практика в этой сфере активно развивается.
3. Какой штраф за нарушение закона о персональных данных?
Административная ответственность за нарушение законодательства о персональных данных в Казахстане предусмотрена Кодексом об административных правонарушениях. Размер санкций зависит от характера нарушения и субъекта ответственности: для должностных лиц и субъектов малого бизнеса суммы исчисляются в МРП (по состоянию на 2026 год МРП составляет 4 325 тенге), для крупного бизнеса — существенно выше. Помимо административных штрафов, нарушение может повлечь гражданско-правовую ответственность перед субъектами данных — возмещение ущерба и компенсацию морального вреда. При систематических нарушениях возможна приостановка деятельности.
4. Можно ли хранить персональные данные казахстанцев за границей?
Закон о персональных данных и их защите устанавливает требование локализации: первичный сбор и обработка персональных данных граждан Казахстана должны осуществляться на серверах, расположенных на территории Республики Казахстан. Трансграничная передача данных допускается при соблюдении ряда условий: наличие согласия субъекта, адекватный уровень защиты в стране-получателе или заключение специального соглашения. Использование зарубежных облачных сервисов без локальной копии данных создаёт правовой риск. На практике многие компании используют гибридную модель: локальное хранение с возможностью обработки за рубежом при соблюдении установленных требований.
5. Как долго можно хранить персональные данные?
Казахстанское законодательство устанавливает принцип ограничения хранения: персональные данные должны храниться не дольше, чем это необходимо для достижения целей обработки. После достижения цели данные подлежат уничтожению или обезличиванию. Конкретные сроки зависят от категории данных и применимых отраслевых требований: данные сотрудников — как правило, в течение срока трудовых отношений плюс установленный архивный срок; данные клиентов — в течение срока договора и срока исковой давности. Оператор обязан закрепить сроки хранения в политике конфиденциальности и реестре обработки, а также обеспечить процедуру своевременного уничтожения данных.
6. Что делать, если произошла утечка персональных данных?
При инциденте с персональными данными оператор обязан действовать оперативно. Первый шаг — локализация инцидента: ограничить доступ к скомпрометированным данным, зафиксировать факт и обстоятельства утечки. Второй шаг — оценка масштаба: какие данные затронуты, сколько субъектов пострадало, каков характер данных. Казахстанское законодательство предусматривает обязанность оператора уведомить субъектов данных об инциденте, если он может повлечь существенный ущерб их правам. Параллельно необходимо провести внутреннее расследование и устранить уязвимость. Документируйте все предпринятые меры — это важно как для внутреннего контроля, так и при возможной проверке.
7. Нужна ли политика конфиденциальности для мобильного приложения?
Да, мобильное приложение, которое собирает персональные данные пользователей, требует политики конфиденциальности — как по казахстанскому законодательству, так и по требованиям магазинов приложений (App Store, Google Play). Политика должна быть доступна до установки приложения и содержать те же обязательные элементы, что и для веб-сайта: цели сбора, перечень данных, сроки хранения, права пользователей. Отдельно опишите, какие разрешения запрашивает приложение (геолокация, камера, контакты) и для чего они используются. Отсутствие политики или её несоответствие реальным практикам — основание для удаления приложения из магазина и административной ответственности.
8. Как оформить передачу данных третьим лицам — подрядчикам и партнёрам?
Передача персональных данных третьим лицам требует правового основания. Как правило, это согласие субъекта данных или договорная необходимость. С каждым подрядчиком, который обрабатывает данные ваших клиентов или сотрудников, необходимо заключить соглашение об обработке персональных данных — или включить соответствующие положения в основной договор. Соглашение должно определять: цели и объём обработки, обязательства по защите данных, запрет на использование данных в собственных целях подрядчика, порядок уничтожения данных по окончании сотрудничества. Без такого оформления оператор несёт ответственность за действия подрядчика с данными.
9. Распространяется ли закон о персональных данных на данные юридических лиц?
Закон о персональных данных и их защите в Казахстане распространяется исключительно на данные физических лиц. Реквизиты юридического лица — наименование, БИН, юридический адрес — персональными данными не являются и под действие закона не подпадают. Однако на практике граница часто размыта: данные директора, подписанта, бенефициара, контактного лица — это персональные данные конкретных физических лиц. При работе с B2B-базами необходимо разграничивать данные компании и данные её представителей, применяя к последним требования закона о персональных данных.
10. Как реализовать право субъекта на доступ и удаление данных?
Субъект персональных данных вправе запросить у оператора информацию о том, какие его данные обрабатываются, на каком основании и в каких целях. Оператор обязан ответить в установленный законом срок. Право на удаление (право на забвение) реализуется при отзыве согласия или при отсутствии иного правового основания для обработки. Для практической реализации этих прав разработайте внутреннюю процедуру: кто принимает запросы, в какой форме, в какой срок обрабатывает, как документирует ответ. Укажите контакты для запросов в политике конфиденциальности. Отказ в реализации прав субъекта или нарушение сроков ответа — самостоятельное основание для жалобы в уполномоченный орган.
Выводы
Приведение обработки персональных данных в соответствие казахстанскому законодательству — управляемый процесс, который разбивается на шесть последовательных шагов: определение статуса оператора, аудит данных и потоков, назначение ответственного, разработка политики конфиденциальности, выстраивание системы согласий и ведение реестра обработки. Каждый шаг даёт конкретный документ или процедуру, которые в совокупности формируют работающий комплаенс.
Актуально на: 6 октября 2026 года.
Если ситуация требует внимания — мы поможем разобраться.
Смежные направления
Направление практики
Персональные данные и IT-право — соответствие Закону о персональных данных, трансграничная передача, аудит обработки и IT-договоры.