Как составить политику обработки персональных данных в Казахстане: алгоритм действий
Политика обработки персональных данных — обязательный документ для любой казахстанской компании, которая собирает, хранит или передаёт данные физических лиц. Закон о персональных данных и их защите прямо предписывает её наличие и публичную доступность. Руководитель, подписавший приказ об утверждении такой политики, несёт личную ответственность за её соответствие требованиям законодательства Республики Казахстан.
Если ваша компания ещё не утвердила политику обработки персональных данных или существующий документ не обновлялся более года — это уже нарушение. Проверить обработку персональных данных · info@vetrovkz.com
Шаг 1. Проведите инвентаризацию персональных данных
Прежде чем писать политику, необходимо понять, какие данные компания фактически обрабатывает. Без этого шага документ будет формальным и не отражающим реальность — что само по себе является нарушением.
Составьте реестр обработки данных по трём группам субъектов: сотрудники, клиенты и контрагенты. Для каждой группы зафиксируйте: какие данные собираются, на каком основании, где хранятся, кто имеет доступ и как долго они сохраняются.
Особое внимание уделите «теневой» обработке: мессенджеры, в которых сотрудники пересылают данные клиентов, таблицы Excel на личных компьютерах, облачные сервисы без корпоративного договора. Всё это — персональные данные под защитой казахстанского законодательства.
- Данные сотрудников: ФИО, ИИН, адрес, банковские реквизиты, медицинские справки
- Данные клиентов: контакты, история покупок, платёжные данные, поведенческие метрики
- Данные контрагентов: реквизиты, контактные лица, переписка
- Специальные категории: биометрия, состояние здоровья, судимости
Если вы не уверены, на каком основании компания обрабатывает те или иные данные — это первый признак того, что политика требует пересмотра.
Проверить обработку персональных данныхШаг 2. Определите правовые основания для каждой категории данных
Каждая операция обработки персональных данных должна иметь законное основание — это ключевое требование Закона о персональных данных и их защите.
Казахстанское законодательство предусматривает несколько оснований обработки без согласия субъекта: исполнение договора, выполнение требований закона, защита жизненно важных интересов. Во всех остальных случаях необходимо письменное согласие субъекта данных.
Распространённая ошибка топ-менеджеров — считать, что трудовой договор автоматически покрывает любую обработку данных сотрудника. Это не так: передача данных третьим лицам, биометрический учёт рабочего времени, публикация фотографий на корпоративном сайте — всё это требует отдельного согласия. Политика должна чётко разграничивать основания для каждого вида обработки.
Шаг 3. Какие разделы обязательны в политике обработки персональных данных?
Политика обработки персональных данных в Казахстане должна содержать конкретный перечень сведений, установленный действующим законодательством. Отсутствие любого из обязательных разделов — основание для предписания уполномоченного органа.
Структура политики включает следующие обязательные блоки:
- Общие положения: наименование оператора, контактные данные, сфера применения документа
- Цели обработки: конкретные, а не размытые формулировки — «для исполнения договора», «для расчёта заработной платы», но не «для улучшения сервиса» без расшифровки
- Категории субъектов и данных: кто является субъектом, какие именно данные обрабатываются
- Правовые основания: для каждой категории данных — своё основание
- Сроки хранения: конкретные сроки или критерии их определения
- Права субъектов данных: право на доступ, исправление, удаление, отзыв согласия
- Трансграничная передача: условия и ограничения передачи данных за рубеж
- Меры защиты: технические и организационные меры без раскрытия конфиденциальных деталей
Дополнительно рекомендуется включить раздел о порядке рассмотрения обращений субъектов данных — это снижает риск жалоб в уполномоченный орган.
Шаг 4. Как согласовать и утвердить политику внутри компании?
Политика обработки персональных данных — не только юридический, но и операционный документ. Его согласование требует участия нескольких подразделений.
Стандартный маршрут согласования включает три службы. Юридический отдел проверяет соответствие требованиям Закона о персональных данных и их защите и смежного законодательства. IT-служба подтверждает, что описанные технические меры защиты реально применяются. HR-отдел верифицирует разделы, касающиеся данных сотрудников, и проверяет соответствие Трудовому кодексу РК.
После согласования политика утверждается приказом руководителя организации. Важно: приказ должен содержать дату введения в действие и указание на обязательность ознакомления сотрудников. Факт ознакомления фиксируется подписью в листе ознакомления или электронной подписью в корпоративной системе.
Шаг 5. Где и как публиковать политику на сайте?
Закон о персональных данных и их защите обязывает оператора обеспечить свободный доступ к политике обработки данных — на практике это означает публикацию на официальном сайте компании.
Требования к публикации на сайте:
- Ссылка на политику должна быть доступна с главной страницы — как правило, в подвале сайта
- Документ должен открываться без регистрации и авторизации
- Форматы: HTML-страница или PDF с возможностью скачивания
- Ссылка на политику должна присутствовать в каждой форме сбора данных на сайте
Отдельного внимания заслуживает формулировка согласия на сайте. Чекбокс «Я согласен с политикой конфиденциальности» должен быть незаполненным по умолчанию — предзаполненное согласие не является действительным по казахстанскому законодательству. Это частая ошибка, которую фиксируют при проверках.
Шаг 6. Как поддерживать политику в актуальном состоянии?
Политика обработки персональных данных — живой документ, который требует регулярного пересмотра. Устаревший документ, не отражающий реальную практику компании, несёт те же риски, что и его отсутствие.
Назначьте ответственного за соответствие требованиям в области персональных данных — это может быть штатный юрист, сотрудник службы безопасности или внешний консультант. Его задача — отслеживать изменения законодательства и инициировать обновление политики.
Поводы для внепланового обновления политики:
- Изменения в Законе о персональных данных и их защите или подзаконных актах
- Запуск нового продукта или сервиса, предполагающего сбор данных
- Смена IT-инфраструктуры или облачных провайдеров
- Инцидент безопасности, связанный с утечкой данных
Рекомендуемая периодичность планового пересмотра — не реже одного раза в год. Дату последнего обновления следует указывать в самом документе.
Частые вопросы
1. Можно ли хранить персональные данные казахстанцев за границей?
Закон о персональных данных и их защите требует первичного хранения данных казахстанских граждан на серверах, расположенных в Республике Казахстан. Трансграничная передача данных допустима при соблюдении ряда условий: наличие согласия субъекта на такую передачу, обеспечение принимающей стороной уровня защиты не ниже казахстанского, а также в ряде случаев — уведомление уполномоченного органа. Использование зарубежных облачных сервисов без локального зеркала данных создаёт правовой риск для компании. На практике многие организации применяют гибридную схему: основное хранилище — в Казахстане, резервное — за рубежом с соответствующим документальным оформлением.
2. Как долго можно хранить персональные данные?
Срок хранения персональных данных определяется целью их обработки: данные должны уничтожаться или обезличиваться сразу после достижения цели либо по истечении срока, установленного договором или законодательством. Для данных сотрудников действуют архивные сроки по трудовому законодательству — как правило, не менее 75 лет для кадровых документов. Данные клиентов хранятся в течение срока договора плюс период исковой давности. Политика обработки персональных данных должна содержать конкретные сроки для каждой категории данных, иначе это само по себе является нарушением.
3. Нужно ли согласие на обработку данных сотрудников?
Обработка персональных данных сотрудников в рамках трудовых отношений, как правило, не требует отдельного согласия — она осуществляется на основании трудового договора и требований Трудового кодекса РК. Однако для отдельных видов обработки — например, передача данных третьим лицам, обработка биометрии, публикация фотографий — согласие необходимо. Важно разграничить: что входит в стандартный объём обработки по трудовому договору, а что выходит за его рамки. Политика обработки данных сотрудников должна быть отдельным документом или специальным разделом общей политики компании.
4. Что такое чувствительные персональные данные?
Чувствительные (специальные категории) персональных данных — это сведения, обработка которых требует повышенного уровня защиты и, как правило, явного согласия субъекта. К ним относятся: данные о расовом или этническом происхождении, политических взглядах, религиозных убеждениях, состоянии здоровья, биометрические данные, сведения о судимости. Закон о персональных данных и их защите устанавливает для таких данных особый режим: их обработка без согласия допустима лишь в строго определённых случаях. Компании, работающие с такими данными (медицина, HR, безопасность), обязаны отразить это в политике отдельным разделом.
5. Можно ли использовать видеонаблюдение в офисе?
Видеонаблюдение в офисе допустимо при соблюдении нескольких условий. Во-первых, сотрудники должны быть письменно уведомлены о ведении съёмки — как правило, через трудовой договор или отдельное соглашение. Во-вторых, цели наблюдения должны быть законными и соразмерными: охрана имущества, безопасность, но не тотальный контроль за трудовой деятельностью. В-третьих, записи являются персональными данными и подпадают под действие Закона о персональных данных и их защите: нужно определить сроки хранения, ограничить доступ и отразить это в политике. Скрытое видеонаблюдение без уведомления сотрудников создаёт правовой риск.
6. Нужно ли уведомлять уполномоченный орган о начале обработки данных?
По казахстанскому законодательству операторы персональных данных обязаны уведомлять уполномоченный орган о начале обработки данных в случаях, установленных Законом о персональных данных и их защите. Подробнее об условиях и процедуре уведомления читайте в нашем материале: Нужно ли уведомлять уполномоченный орган об обработке данных. Несоблюдение требования об уведомлении является самостоятельным основанием для привлечения к административной ответственности.
7. Какой штраф грозит за отсутствие политики обработки персональных данных?
Отсутствие политики обработки персональных данных или её несоответствие требованиям законодательства влечёт административную ответственность. Размеры штрафов и порядок привлечения к ответственности описаны в отдельном материале: Какой штраф за нарушение закона о персональных данных в РК. Помимо штрафа, уполномоченный орган вправе выдать предписание об устранении нарушений с установленным сроком исполнения.
8. Распространяется ли политика на данные, полученные до её принятия?
Политика обработки персональных данных распространяется на все данные, которые компания обрабатывает на момент её введения в действие, — вне зависимости от того, когда они были получены. Это означает, что при утверждении новой политики необходимо провести ревизию исторических данных: проверить, соответствуют ли основания их обработки новым требованиям, и при необходимости получить согласие субъектов или уничтожить данные, обработка которых не имеет законного основания.
9. Нужна ли отдельная политика для мобильного приложения?
Если компания эксплуатирует мобильное приложение, собирающее данные пользователей, рекомендуется разработать отдельную политику конфиденциальности для приложения или специальный раздел в общей политике. Это обусловлено спецификой данных, собираемых через мобильные устройства: геолокация, данные устройства, push-уведомления, доступ к камере и микрофону. Каждый из этих видов обработки требует отдельного согласия пользователя, которое должно запрашиваться в момент первого запуска приложения.
10. Как связаны политика персональных данных и трудовые договоры?
Трудовые договоры и политика обработки персональных данных — взаимосвязанные документы. Трудовой договор является правовым основанием для обработки базовых данных сотрудника, а политика описывает, как именно эта обработка осуществляется. При аудите трудовых договоров важно проверить, содержат ли они корректные ссылки на политику и не противоречат ли её положениям. Подробнее об аудите трудовых договоров — в нашем руководстве: Аудит трудовых договоров в Казахстане: пошаговое руководство.
Выводы
Политика обработки персональных данных — не формальность, а рабочий инструмент управления правовыми рисками. Руководитель, утвердивший документ, который не отражает реальную практику компании, несёт ту же ответственность, что и при полном его отсутствии. Алгоритм из шести шагов — инвентаризация, определение оснований, формирование структуры, согласование, публикация и актуализация — позволяет выстроить систему, а не создать бумагу для проверяющих.
Актуально на: 6 октября 2026 года.
Если ситуация требует внимания — мы поможем разобраться.
Смежные направления
Направление практики
Персональные данные и IT-право — соответствие Закону о персональных данных, трансграничная передача, аудит обработки и IT-договоры.