Как составить политику обработки персональных данных в Казахстане: руководство для бизнеса
Политика обработки персональных данных — обязательный документ для любой казахстанской компании, которая собирает, хранит или передаёт сведения о физических лицах. Закон о персональных данных и их защите прямо требует от операторов данных наличия такого документа и его публикации в открытом доступе. Директор, подписывающий договоры с клиентами и сотрудниками, несёт личную ответственность за соответствие компании этим требованиям — и это руководство поможет выстроить процесс правильно.
Если вашей компании предстоит аудит или вы только выстраиваете систему защиты данных — начните с проверки текущего состояния. Проверить обработку персональных данных · info@vetrovkz.com
Шаг 1. Определите, является ли ваша компания оператором персональных данных
Оператором персональных данных в Казахстане признаётся любое лицо, которое самостоятельно или совместно с другими определяет цели и способы обработки персональных данных. Если ваша компания собирает ФИО клиентов, ИИН сотрудников, адреса доставки или номера телефонов — вы оператор, и требования Закона о персональных данных и их защите распространяются на вас в полном объёме.
На практике оператором является практически любое юридическое лицо: интернет-магазин, работодатель, медицинская клиника, банк, образовательное учреждение. Исключения крайне редки. Важно понять это на старте: статус оператора влечёт конкретный перечень обязанностей — от разработки политики до уведомления уполномоченного органа при утечке данных.
Отдельно стоит разграничить понятия «оператор» и «обработчик». Обработчик действует по поручению оператора — например, облачный сервис, которому вы передаёте базу клиентов для рассылки. Ответственность перед субъектами данных несёт оператор, поэтому договор с обработчиком должен содержать чёткие условия о конфиденциальности и безопасности.
Реестр обработки данных — первое, что запросит регулятор при проверке. Если его нет, мы поможем выстроить систему с нуля.
Проверить обработку персональных данныхШаг 2. Проведите инвентаризацию данных: что, зачем и где хранится
Прежде чем писать политику, необходимо понять, какие персональные данные фактически обрабатывает компания. Без этого шага документ будет формальным и не отразит реальную картину — что создаёт риски при проверке.
Составьте реестр обработки: перечислите категории субъектов (клиенты, сотрудники, контрагенты, посетители сайта), категории данных по каждой группе, цели обработки, правовые основания, сроки хранения и места хранения (локальный сервер, облако, CRM-система). Этот реестр — внутренний рабочий документ, он не публикуется, но служит основой для политики.
- Клиенты: ФИО, телефон, email, адрес доставки, история заказов
- Сотрудники: ФИО, ИИН, банковские реквизиты, трудовая книжка, медсправки
- Посетители сайта: IP-адреса, cookies, данные форм обратной связи
- Контрагенты: ФИО представителей, контактные данные, реквизиты
Особое внимание уделите чувствительным категориям: биометрия, данные о здоровье, судимости. Их обработка требует усиленных мер защиты и, как правило, явного письменного согласия субъекта.
Шаг 3. Определите обязательные разделы политики
Политика обработки персональных данных должна содержать конкретный набор сведений, предусмотренных казахстанским законодательством. Документ без этих разделов не считается надлежащим — даже если он красиво оформлен и опубликован на сайте.
Обязательные разделы политики включают следующее.
- Сведения об операторе: полное наименование, БИН, адрес, контактные данные ответственного за обработку данных
- Цели обработки: конкретные и законные — «исполнение договора», «кадровый учёт», «маркетинговые рассылки с согласия»
- Категории субъектов и данных: кто и какие данные передаёт компании
- Правовые основания обработки: согласие, договор, законная обязанность
- Сроки хранения: по каждой категории данных
- Права субъектов: доступ, исправление, удаление, отзыв согласия
- Меры защиты: технические и организационные
- Передача третьим лицам: кому, на каких основаниях, в каких странах
- Порядок обращений: как субъект может реализовать свои права
Шаг 4. Как правильно описать цели и правовые основания обработки?
Цель обработки — ключевой элемент политики: именно она определяет, какие данные можно собирать, как долго хранить и кому передавать. Размытые формулировки вроде «улучшение сервиса» или «в целях деятельности компании» — типичная ошибка, которая не выдерживает проверки.
Каждая цель должна быть конкретной, законной и соразмерной. Для каждой цели укажите правовое основание: согласие субъекта, необходимость исполнения договора, соблюдение законной обязанности оператора или защита жизненно важных интересов. Если одни и те же данные обрабатываются для нескольких целей — каждая цель описывается отдельно.
Практический пример: компания собирает email клиента. Для отправки чека — основание «исполнение договора», согласие не нужно. Для маркетинговой рассылки — основание «согласие», которое должно быть получено отдельно и может быть отозвано в любой момент. Смешивать эти цели в одном пункте — ошибка.
Шаг 5. Опишите права субъектов и порядок их реализации
Раздел о правах субъектов — не формальность: казахстанское законодательство наделяет физических лиц конкретными правами, и компания обязана обеспечить механизм их реализации. Директор, получивший запрос от субъекта данных и проигнорировавший его, создаёт прямой риск административной ответственности.
Субъект персональных данных в Казахстане вправе: получить доступ к своим данным и информацию об их обработке; потребовать исправления неточных данных; потребовать удаления данных при отсутствии законных оснований для их хранения; отозвать согласие на обработку в любой момент; обратиться с жалобой в уполномоченный орган.
В политике укажите: контактные данные для обращений (email, почтовый адрес), срок рассмотрения запроса (по закону — в разумный срок, на практике рекомендуется не более 15 рабочих дней), формат ответа. Назначьте ответственного за обработку обращений — это может быть юрист, HR или специально назначенный сотрудник.
Шаг 6. Где и как опубликовать политику?
Политика обработки персональных данных должна быть общедоступной: Закон о персональных данных и их защите обязывает оператора обеспечить свободный доступ к документу. Для компаний с сайтом — это означает публикацию на сайте в постоянном разделе, доступном без регистрации.
Стандартные места размещения: ссылка в подвале сайта («Политика конфиденциальности»), страница в разделе «О компании» или «Правовые документы». Ссылка на политику должна присутствовать на всех формах сбора данных — форме регистрации, форме обратной связи, форме подписки на рассылку. Пользователь должен иметь возможность ознакомиться с документом до того, как передаст свои данные.
- Разместите ссылку в подвале каждой страницы сайта
- Добавьте чекбокс «Я ознакомлен с политикой» на все формы сбора данных
- Для офлайн-точек — разместите политику на информационном стенде или выдавайте при заключении договора
- Обновляйте документ при изменении процессов обработки и фиксируйте дату последнего обновления
Частые вопросы
1. Как долго можно хранить персональные данные?
Срок хранения персональных данных определяется целью их сбора: как только цель достигнута, данные подлежат уничтожению или обезличиванию. Закон о персональных данных и их защите не устанавливает единый универсальный срок — он определяется оператором в политике и согласии. На практике компании фиксируют конкретные сроки по категориям: данные клиентов — на период действия договора плюс срок исковой давности, данные кандидатов — как правило, не более одного года с момента отказа. Важно: по истечении срока данные нужно не просто «забыть», а уничтожить с составлением акта.
2. Нужно ли согласие на обработку данных сотрудников?
Согласие сотрудника требуется не всегда — Закон о персональных данных и их защите допускает обработку без согласия, если она необходима для исполнения трудового договора. Это означает: обработка ФИО, должности, ИИН, банковских реквизитов для выплаты зарплаты — законна без отдельного согласия. Однако для обработки биометрии, данных о здоровье, публикации фотографий сотрудника на сайте компании — письменное согласие обязательно. Рекомендуется включать согласие в трудовой договор или оформлять отдельным документом с указанием конкретных целей и категорий данных.
3. Что такое чувствительные персональные данные?
Чувствительные (специальные) персональные данные — это категория сведений, обработка которых требует повышенной защиты и, как правило, явного письменного согласия субъекта. По казахстанскому законодательству к ним относятся: расовое и этническое происхождение, политические взгляды, религиозные и философские убеждения, сведения о здоровье и интимной жизни, биометрические данные (отпечатки пальцев, распознавание лица), судимости. Обработка таких данных без согласия допустима лишь в строго ограниченных случаях — например, в медицинских целях или по требованию суда. Компании, работающие с такими данными, обязаны применять усиленные меры защиты.
4. Можно ли использовать видеонаблюдение в офисе?
Видеонаблюдение в офисе в Казахстане законно при соблюдении ряда условий. Во-первых, сотрудники должны быть уведомлены о ведении съёмки — как правило, через трудовой договор, локальный акт или информационные таблички. Во-вторых, цель наблюдения должна быть законной и соразмерной: охрана имущества, безопасность — допустимо; тотальный контроль за каждым движением — под вопросом. В-третьих, видеозаписи являются персональными данными и должны храниться с соблюдением требований закона: ограниченный доступ, фиксированный срок хранения, уничтожение по истечении срока. Установка камер в туалетах, раздевалках и иных приватных зонах — запрещена.
5. Как правильно собирать cookies на сайте в Казахстане?
Cookies, позволяющие идентифицировать пользователя, признаются персональными данными по казахстанскому законодательству. Это означает: сайт обязан уведомить пользователя о сборе cookies до начала их использования и получить согласие на аналитические и маркетинговые cookies. Технические cookies (необходимые для работы сайта) согласия не требуют. На практике это реализуется через cookie-баннер с возможностью выбора категорий. Политика конфиденциальности сайта должна содержать раздел о cookies: какие данные собираются, с какой целью, как долго хранятся и как пользователь может отозвать согласие. Отсутствие баннера при наличии аналитики — типичное нарушение.
6. Что грозит компании за отсутствие политики обработки персональных данных?
Отсутствие политики обработки персональных данных или её несоответствие требованиям казахстанского законодательства влечёт административную ответственность оператора. Уполномоченный орган вправе провести проверку, выдать предписание об устранении нарушений и наложить штраф. Размер санкций зависит от характера нарушения и субъекта ответственности. Помимо штрафа, компания рискует репутационными потерями: жалоба субъекта данных в уполномоченный орган — публичная процедура. Для топ-менеджера важно понимать: ответственность может быть возложена как на юридическое лицо, так и на должностное лицо, подписавшее соответствующие документы.
7. Нужно ли уведомлять регулятора о начале обработки персональных данных?
Казахстанское законодательство о персональных данных не предусматривает обязательной предварительной регистрации или уведомления уполномоченного органа о начале обработки данных — в отличие от ряда других юрисдикций. Однако оператор обязан обеспечить соответствие своей деятельности требованиям закона с момента начала обработки. Уведомление регулятора становится обязательным в конкретных случаях: при утечке персональных данных оператор обязан сообщить об инциденте уполномоченному органу и пострадавшим субъектам в установленные сроки. Рекомендуется заблаговременно разработать план реагирования на инциденты.
8. Как оформить согласие на обработку персональных данных?
Согласие на обработку персональных данных в Казахстане должно быть конкретным, информированным и добровольным. По форме оно может быть письменным (подпись на бумажном документе), электронным (чекбокс на сайте с фиксацией даты и IP) или иным способом, позволяющим подтвердить факт его получения. Согласие должно содержать: наименование оператора, перечень данных, цели обработки, срок действия, перечень третьих лиц (если данные передаются), порядок отзыва. Предзаполненный чекбокс или согласие «по умолчанию» — не соответствует требованиям закона. Субъект должен совершить активное действие.
Выводы
Политика обработки персональных данных — не разовый документ, а живой инструмент управления рисками. Для топ-менеджера ключевые шаги: установить статус оператора, провести инвентаризацию данных, разработать политику с обязательными разделами, опубликовать её в открытом доступе и выстроить механизм реализации прав субъектов. Отсутствие или формальность документа — прямой риск административной ответственности и репутационных потерь при проверке или инциденте.
Актуально на: 1 января 2026 года.
Если ситуация требует внимания — мы поможем разобраться.
Смежные направления
Направление практики
Персональные данные и IT-право — соответствие Закону о персональных данных, трансграничная передача, аудит обработки и IT-договоры.