Как составить политику обработки персональных данных в Казахстане: полное руководство

Шаг 1. Определите, кто является оператором и какие данные вы обрабатываете

Прежде чем писать политику, необходимо зафиксировать фактическую картину: какие персональные данные компания собирает, на каком основании и с какой целью. Это исходная точка — без неё документ будет формальным и не выдержит проверки.

Составьте внутренний реестр операций по обработке данных. Для каждой категории данных укажите: субъект (клиент, сотрудник, контрагент), цель обработки, правовое основание (согласие, договор, закон), срок хранения, перечень лиц с доступом. Это не публичный документ — он нужен для внутреннего контроля и взаимодействия с регулятором.

Отдельно зафиксируйте, передаёте ли вы данные третьим лицам: облачным провайдерам, колл-центрам, маркетинговым агентствам. Каждый такой получатель должен быть отражён в политике, а договор с ним — содержать условия о конфиденциальности и безопасности данных.

Шаг 2. Изучите обязательные требования казахстанского законодательства к содержанию политики

Закон о персональных данных и их защите устанавливает минимальный перечень сведений, которые должна содержать политика оператора. Отсутствие любого из обязательных элементов — основание для предписания регулятора.

Политика должна включать следующие блоки:

• наименование и контактные данные оператора;
• цели и правовые основания обработки персональных данных;
• категории субъектов и перечень обрабатываемых данных;
• порядок и условия обработки, включая передачу третьим лицам;
• права субъектов данных и порядок их реализации;
• меры по обеспечению безопасности данных.

Помимо этого, политика должна быть написана доступным языком — без избыточного юридического жаргона. Регулятор оценивает не только полноту, но и понятность документа для рядового пользователя или сотрудника.

Шаг 3. Пропишите правовые основания для каждой цели обработки

Каждая цель обработки персональных данных должна опираться на конкретное правовое основание — согласие субъекта, исполнение договора, требование закона или законный интерес оператора. Смешивать основания или указывать их «на всякий случай» — распространённая ошибка, которая создаёт правовую уязвимость.

Согласие субъекта — наиболее часто используемое основание, но и наиболее требовательное. Оно должно быть конкретным (для каждой цели отдельно), информированным и добровольным. Согласие, полученное «по умолчанию» или через заранее проставленную галочку, не соответствует требованиям казахстанского законодательства.

Для обработки данных сотрудников основанием, как правило, служит трудовой договор и требования Трудового кодекса РК. Для клиентов — договор на оказание услуг или согласие. Для маркетинговых рассылок — отдельное согласие, которое субъект вправе отозвать в любой момент.

Как описать права субъектов данных в политике?

Раздел о правах субъектов — один из ключевых с точки зрения регулятора и один из наиболее часто игнорируемых на практике. Субъект данных в Казахстане вправе получить информацию об обработке своих данных, потребовать их исправления, блокирования или уничтожения.

В политике необходимо указать: как субъект может направить запрос (email, форма на сайте, письменное обращение), в какой срок оператор обязан ответить, какие документы потребуются для идентификации заявителя. Срок ответа на запрос субъекта установлен законодательством — его нарушение является самостоятельным основанием для привлечения к ответственности.

Отдельно пропишите порядок отзыва согласия: субъект вправе отозвать его в любой момент, и это не должно влечь негативных последствий для него. После отзыва оператор обязан прекратить обработку данных в той части, которая основывалась на согласии.

Шаг 4. Опишите меры технической и организационной защиты данных

Политика должна содержать описание мер, которые оператор принимает для защиты персональных данных от несанкционированного доступа, утраты или уничтожения. Это не технический документ — достаточно общего описания на уровне политики, детали фиксируются во внутренних регламентах.

Укажите: разграничение прав доступа к базам данных, шифрование при передаче и хранении, порядок действий при инцидентах безопасности, ответственное лицо (как правило, назначается ответственный за организацию обработки персональных данных). Если компания использует облачные сервисы — укажите, что данные хранятся на серверах, расположенных на территории Республики Казахстан, либо опишите основания для трансграничной передачи.

Требование о локализации данных — один из наиболее чувствительных вопросов для компаний, использующих зарубежные SaaS-платформы. Казахстанское законодательство устанавливает обязанность хранить персональные данные граждан РК на серверах, расположенных в Казахстане, с рядом исключений для трансграничной передачи.

Шаг 5. Опубликуйте политику и обеспечьте доступ к ней

Политика обработки персональных данных должна быть размещена в открытом доступе — как правило, на сайте компании в виде отдельной страницы. Ссылка на политику должна быть заметной: в подвале сайта, в форме сбора данных, в мобильном приложении.

Для сотрудников политика доводится под подпись — либо как приложение к трудовому договору, либо как отдельный локальный акт, с которым работник знакомится при приёме на работу. Факт ознакомления фиксируется в личном деле или журнале.

При каждом обновлении политики необходимо уведомить субъектов данных — через email-рассылку, уведомление на сайте или иным способом, предусмотренным самой политикой. Дата последнего обновления должна быть указана в документе.