Как составить политику обработки персональных данных в Казахстане: как действовать
Политика обработки персональных данных — обязательный документ для любой компании, которая работает с данными сотрудников, клиентов или пользователей сайта в Казахстане. Закон о персональных данных и их защите требует от операторов не просто наличия документа, но и его соответствия конкретным требованиям по структуре и содержанию. Это руководство объясняет, что включить в политику, как её опубликовать и какие шаги предпринять, чтобы документ работал, а не просто существовал.
Если вам нужно привести политику обработки данных в соответствие с казахстанским законодательством — мы готовы провести аудит и подготовить документ. Проверить обработку персональных данных · info@vetrovkz.com
Шаг 1. Определите, является ли ваша компания оператором персональных данных
Любая компания, которая собирает, хранит или использует данные физических лиц, является оператором персональных данных по казахстанскому законодательству. Это означает обязанность разработать политику обработки данных — независимо от размера бизнеса и отрасли.
На практике оператором является практически каждая организация: работодатель, ведущий кадровый учёт; интернет-магазин, собирающий данные покупателей; банк, обрабатывающий финансовую информацию клиентов. Исключений немного, и они касаются строго личного, некоммерческого использования данных.
Прежде чем приступать к разработке политики, зафиксируйте внутренне: какие категории данных вы обрабатываете, в каких целях, на каком основании и кто в компании несёт ответственность за соблюдение требований. Без этого инвентаря политика превратится в формальный документ без связи с реальными процессами.
Если вы не уверены, какие данные обрабатывает ваша компания и соответствует ли это требованиям закона — начните с аудита.
Проверить обработку персональных данныхШаг 2. Проведите инвентаризацию данных — что и зачем вы обрабатываете
Инвентаризация персональных данных — обязательный предварительный шаг, без которого политика не отразит реальное положение дел. Составьте реестр: какие данные собираются, из каких источников, для каких целей, кто имеет к ним доступ и где они хранятся.
Типичные категории данных в казахстанской компании включают:
- данные сотрудников — ИИН, паспортные данные, сведения о зарплате, медицинские справки;
- данные клиентов — контактная информация, история покупок, платёжные реквизиты;
- данные пользователей сайта — IP-адреса, cookies, поведенческая аналитика;
- данные контрагентов — реквизиты, контактные лица, переписка.
Особое внимание уделите специальным категориям данных: сведениям о здоровье, биометрии, национальности, религиозных убеждениях. Их обработка требует явного письменного согласия субъекта и дополнительных мер защиты. Если такие данные есть в ваших процессах — это должно быть отражено в политике отдельно.
Шаг 3. Определите обязательные разделы политики
Закон о персональных данных и их защите устанавливает минимальный перечень сведений, которые должна содержать политика оператора. Документ без этих разделов не соответствует требованиям законодательства Казахстана, даже если он красиво оформлен и опубликован на сайте.
Обязательные разделы политики обработки персональных данных:
- наименование и контактные данные оператора;
- цели обработки персональных данных;
- категории обрабатываемых данных и категории субъектов;
- правовые основания обработки (согласие, договор, закон);
- порядок и условия обработки, в том числе передача третьим лицам;
Помимо обязательного минимума, рекомендуется включить: порядок реализации прав субъектов (доступ, исправление, удаление), сроки хранения данных, меры по обеспечению безопасности, порядок обработки обращений и жалоб. Документ должен быть написан понятным языком — не юридическим жаргоном, а так, чтобы субъект данных реально понял, что происходит с его информацией.
Что такое правовое основание обработки и почему это важно?
Каждое действие с персональными данными должно опираться на одно из правовых оснований, предусмотренных казахстанским законодательством. Отсутствие основания — это не формальность, а нарушение, которое влечёт административную ответственность.
Основные правовые основания обработки в Казахстане: согласие субъекта данных; исполнение договора, стороной которого является субъект; исполнение обязанности, возложенной на оператора законодательством; защита жизненно важных интересов субъекта. Согласие должно быть добровольным, конкретным, информированным и однозначным — «галочка по умолчанию» не соответствует этим требованиям.
В политике для каждой цели обработки должно быть указано соответствующее основание. Если вы обрабатываете данные сотрудников на основании трудового договора — это одно основание. Если вы используете их фотографии в маркетинговых материалах — это уже требует отдельного согласия. Смешивать основания нельзя.
Шаг 4. Пропишите порядок получения согласия субъектов данных
Согласие субъекта персональных данных — наиболее распространённое правовое основание для коммерческих операторов в Казахстане. Закон предъявляет конкретные требования к форме и содержанию согласия, которые необходимо отразить в политике.
Согласие должно содержать: наименование оператора, цель обработки, перечень данных, на обработку которых даётся согласие, срок действия согласия, порядок его отзыва. Для специальных категорий данных согласие оформляется только в письменной форме. Для стандартных данных допускается электронная форма — например, чекбокс на сайте с явным текстом.
Важный практический момент: согласие на обработку данных и согласие на получение маркетинговых рассылок — это два разных документа. Объединять их в одном чекбоксе нельзя. В политике должен быть описан механизм отзыва согласия — простой и доступный для субъекта.
Шаг 5. Опубликуйте политику — требования к размещению на сайте
Политика обработки персональных данных должна быть общедоступной: казахстанское законодательство обязывает операторов обеспечить свободный доступ к документу для субъектов данных. Для компаний с сайтом это означает обязательную публикацию в открытом доступе.
Требования к размещению на сайте:
- ссылка на политику должна быть видна на каждой странице, где собираются данные (формы, регистрация, оформление заказа);
- документ должен открываться без регистрации и авторизации;
- ссылка в футере сайта — минимальный стандарт, но недостаточный, если данные собираются на конкретных страницах;
- политика должна быть актуальной — дата последнего обновления должна быть указана.
Для компаний без публичного сайта политика должна быть доступна иным способом: вручена сотруднику при трудоустройстве, предоставлена клиенту при заключении договора. Факт ознакомления рекомендуется фиксировать документально — подписью или электронным подтверждением.
Шаг 6. Зарегистрируйте базы данных в уполномоченном органе
Разработка и публикация политики — не единственная обязанность оператора. Казахстанское законодательство требует регистрации баз данных, содержащих персональные данные, в Министерстве цифрового развития, инноваций и аэрокосмической промышленности РК.
Регистрация осуществляется через портал egov.kz. Для каждой базы данных указываются: наименование базы, цель обработки, категории данных, место хранения (сервер на территории Казахстана), сведения об операторе. Регистрация должна предшествовать началу обработки данных — не после.
Требование локализации данных на серверах в Казахстане — отдельный и принципиальный вопрос. Если ваша компания использует зарубежные облачные сервисы (AWS, Google Cloud, Microsoft Azure) для хранения данных казахстанских граждан — это потенциальное нарушение, которое необходимо урегулировать до регистрации базы данных. Трансграничная передача допускается только при соблюдении условий, установленных законом.
Частые вопросы
1. Кто считается оператором персональных данных в Казахстане?
Оператором персональных данных в Казахстане признаётся любое лицо — физическое, юридическое или государственный орган — которое самостоятельно или совместно с другими определяет цели и способы обработки персональных данных. На практике это означает, что оператором является практически любая компания, которая собирает данные сотрудников, клиентов или пользователей сайта. Статус оператора влечёт обязанность разработать политику обработки данных, обеспечить их защиту и соблюдать требования Закона о персональных данных и их защите. Подробнее о требованиях к операторам читайте в нашем материале о требованиях к операторам персональных данных.
2. Нужно ли уведомлять уполномоченный орган об обработке данных?
По действующему казахстанскому законодательству операторы персональных данных обязаны регистрировать базы данных, содержащие персональные данные, в уполномоченном органе — Министерстве цифрового развития, инноваций и аэрокосмической промышленности РК. Регистрация осуществляется через портал egov.kz. Исключения предусмотрены для ряда категорий баз данных, однако большинство коммерческих операторов под исключения не подпадают. Отсутствие регистрации является самостоятельным основанием для привлечения к административной ответственности.
3. Какой штраф за нарушение закона о персональных данных?
Административная ответственность за нарушение законодательства о персональных данных в Казахстане предусмотрена Кодексом об административных правонарушениях. Размер штрафов зависит от субъекта нарушения и характера нарушения: для должностных лиц и субъектов малого бизнеса — одни пороги, для крупных организаций — значительно выше. Помимо штрафов, возможно предписание об устранении нарушений. Подробнее о размерах штрафов и видах нарушений читайте в нашем материале о санкциях за нарушение закона о персональных данных в РК.
4. Можно ли хранить персональные данные казахстанцев за границей?
Закон о персональных данных и их защите устанавливает требование локализации: базы данных, содержащие персональные данные граждан Казахстана, должны размещаться на серверах, физически расположенных на территории Республики Казахстан. Трансграничная передача данных допускается при соблюдении ряда условий — в частности, если страна-получатель обеспечивает надлежащий уровень защиты данных или субъект дал явное согласие. Нарушение требования локализации является одним из наиболее распространённых оснований для проверок и предписаний уполномоченного органа.
5. Как долго можно хранить персональные данные?
Казахстанское законодательство не устанавливает единого универсального срока хранения персональных данных. Общий принцип: данные хранятся не дольше, чем это необходимо для достижения целей обработки, либо в течение срока, установленного договором или законодательством. Для данных сотрудников действуют сроки, предусмотренные Трудовым кодексом РК и архивным законодательством. Для клиентских данных срок определяется политикой оператора, но должен быть обоснован. По истечении срока данные подлежат уничтожению или обезличиванию — и этот порядок должен быть описан в политике.
6. Нужна ли отдельная политика для мобильного приложения?
Если мобильное приложение собирает персональные данные пользователей — геолокацию, контакты, биометрию, платёжные данные — оператор обязан обеспечить пользователям доступ к политике обработки данных непосредственно в приложении. Единая политика для сайта и приложения допустима, если она охватывает все каналы сбора данных. Однако на практике рекомендуется разрабатывать отдельный документ для приложения: пользователи мобильных сервисов передают специфические категории данных, которые требуют отдельного описания целей и оснований обработки.
7. Как часто нужно обновлять политику обработки персональных данных?
Политика обработки персональных данных должна актуализироваться при каждом существенном изменении процессов обработки: появлении новых категорий данных, новых целей обработки, новых третьих лиц, которым передаются данные, изменении правовых оснований или сроков хранения. Кроме того, изменения в законодательстве Казахстана могут потребовать обновления документа. Как правило, рекомендуется проводить плановый пересмотр политики не реже одного раза в год. Дата последнего обновления должна быть указана в самом документе.
8. Что делать, если произошла утечка персональных данных?
При утечке персональных данных оператор обязан предпринять меры по минимизации ущерба и уведомить уполномоченный орган. Казахстанское законодательство устанавливает обязанность оператора принять меры по устранению нарушений и предотвращению повторных инцидентов. Политика обработки данных должна содержать раздел об инцидентах: порядок выявления, внутреннего расследования, уведомления субъектов и регулятора. Отсутствие такого раздела и задокументированных процедур реагирования — самостоятельный риск при проверке.
9. Нужно ли согласие сотрудника на обработку его персональных данных?
Обработка персональных данных сотрудников в рамках трудовых отношений, как правило, осуществляется на основании трудового договора и требований Трудового кодекса РК — отдельное согласие для этих целей не требуется. Однако если работодатель планирует использовать данные сотрудника за пределами трудовых отношений — например, публиковать фотографии в рекламных материалах, передавать данные третьим лицам в маркетинговых целях — необходимо получить отдельное письменное согласие. Это разграничение должно быть чётко прописано в политике обработки данных.
10. Может ли топ-менеджер нести личную ответственность за нарушения в сфере персональных данных?
Да. Административная ответственность за нарушение законодательства о персональных данных в Казахстане распространяется не только на юридическое лицо, но и на должностных лиц — в том числе на руководителя организации. Если нарушение допущено вследствие ненадлежащей организации процессов обработки данных, отсутствия политики или непроведения обучения сотрудников, ответственность может быть возложена на директора персонально. Это делает вопрос комплаенса в сфере персональных данных прямым управленческим риском для топ-менеджмента.
Выводы
Политика обработки персональных данных — не формальный документ для галочки, а рабочий инструмент управления рисками. Казахстанское законодательство предъявляет конкретные требования к структуре, содержанию и публикации политики. Компании, которые подходят к этому вопросу системно — проводят инвентаризацию данных, прописывают правовые основания для каждой цели обработки, регистрируют базы данных и обеспечивают локализацию — существенно снижают риск предписаний и штрафов при проверке уполномоченного органа. Для топ-менеджера это ещё и вопрос личной ответственности: должностные лица несут административную ответственность наравне с организацией.
Актуально на: 15 сентября 2026 года.
Если ситуация требует внимания — мы поможем разобраться.
Смежные направления
Направление практики
Персональные данные и IT-право — соответствие Закону о персональных данных, трансграничная передача, аудит обработки и IT-договоры.