Как составить политику обработки персональных данных в Казахстане: пошаговая инструкция
Политика обработки персональных данных — обязательный документ для любой казахстанской компании, которая собирает данные сотрудников, клиентов или пользователей сайта. Закон о персональных данных и их защите устанавливает конкретные требования к содержанию такой политики: без неё компания рискует административной ответственностью. Это руководство описывает каждый шаг составления документа — от инвентаризации данных до публикации на сайте.
Если вам нужно проверить, соответствует ли текущая политика требованиям казахстанского законодательства, — Проверить обработку персональных данных · info@vetrovkz.com
Шаг 1. Проведите инвентаризацию данных: что вы собираете и зачем
Прежде чем писать политику, необходимо понять, какие персональные данные фактически обрабатывает компания. Это отправная точка: без инвентаризации документ окажется либо неполным, либо описывающим то, чего нет на практике.
Составьте внутренний реестр: по каждому бизнес-процессу зафиксируйте категорию данных, цель сбора, источник получения и срок хранения. Типичные категории для казахстанской компании — данные сотрудников (ИИН, адрес, банковские реквизиты), данные клиентов (имя, телефон, email), данные пользователей сайта (cookies, IP-адреса).
Отдельно выделите чувствительные данные: биометрия для СКУД, медицинские справки сотрудников, сведения о судимостях. Для них потребуется усиленный режим защиты и отдельное согласие субъектов.
Результат шага — таблица с перечнем всех потоков данных. Именно она станет основой для всех последующих разделов политики.
Если ваша компания использует биометрию или обрабатывает медицинские данные сотрудников — режим согласия и хранения требует отдельной проработки.
Проверить обработку персональных данныхШаг 2. Определите правовые основания обработки
Каждый поток данных должен опираться на одно из оснований, предусмотренных казахстанским законодательством. Обработка без надлежащего основания — прямое нарушение Закона о персональных данных и их защите.
Основные основания: согласие субъекта (наиболее распространённое), исполнение договора с субъектом, выполнение требований законодательства (например, хранение кадровых документов), защита жизненно важных интересов субъекта. Для каждого потока из реестра проставьте соответствующее основание.
Согласие должно быть добровольным, информированным и конкретным. Предварительно проставленные галочки на сайте или согласие «на всё» не соответствуют требованиям закона. Для чувствительных данных требуется явное письменное согласие — его форму стоит разработать отдельно.
Шаг 3. Составьте структуру документа: обязательные разделы
Политика обработки персональных данных в Казахстане должна содержать определённый набор разделов — их отсутствие делает документ юридически неполноценным. Ниже перечислены обязательные блоки.
- Общие положения: наименование оператора, цель документа, сфера применения.
- Категории обрабатываемых данных: перечень с указанием целей для каждой категории.
- Правовые основания обработки: со ссылкой на конкретное основание по каждой категории.
- Порядок сбора, хранения и уничтожения данных: сроки хранения, технические меры защиты, процедура уничтожения.
- Права субъектов и порядок их реализации: контакты для запросов, сроки ответа, процедура.
Дополнительно рекомендуется включить раздел о трансграничной передаче данных (если данные передаются за рубеж), раздел о cookies и раздел об ответственном лице за обработку данных внутри компании.
Шаг 4. Пропишите сроки хранения и порядок уничтожения данных
Сроки хранения персональных данных — один из наиболее часто упускаемых элементов политики. Казахстанское законодательство требует, чтобы данные не хранились дольше, чем это необходимо для достижения цели их сбора.
Для кадровых документов сроки определяются законодательством об архивном деле — как правило, это несколько лет после увольнения сотрудника. Для клиентских данных срок обычно привязан к сроку действия договора плюс период исковой давности. Данные пользователей сайта (cookies, аналитика) — как правило, не более 12 месяцев.
После истечения срока хранения данные подлежат уничтожению. Опишите в политике процедуру: кто принимает решение, каким способом уничтожаются данные (удаление, обезличивание), составляется ли акт. Это важно не только для соответствия закону, но и для защиты компании при возможных проверках.
Шаг 5. Опишите права субъектов и порядок обработки запросов
Субъект персональных данных в Казахстане вправе запросить сведения о своих данных, потребовать их исправления или удаления. Политика должна содержать чёткий механизм реализации этих прав — иначе компания окажется не готова к реальному запросу.
Укажите в политике: контактный адрес (email или почтовый) для направления запросов, срок рассмотрения (ориентир — 15 рабочих дней), форму ответа. Назначьте ответственное лицо внутри компании — это может быть юрист, HR-директор или специально назначенный сотрудник.
Разработайте внутренний регламент: что делать, когда запрос поступил, кто его рассматривает, в каких случаях можно отказать. Отказ допустим только в случаях, прямо предусмотренных законодательством, и должен быть мотивированным.
Шаг 6. Опубликуйте политику и обеспечьте доступ к ней
Готовый документ необходимо сделать доступным для всех субъектов данных. Для сайта это означает размещение политики по постоянной ссылке — как правило, в подвале каждой страницы.
Ссылка на политику должна присутствовать во всех точках сбора данных: форма регистрации, форма обратной связи, баннер cookies. Пользователь должен иметь возможность ознакомиться с политикой до того, как предоставит свои данные.
Для сотрудников политику включают в пакет документов при трудоустройстве — вместе с согласием на обработку персональных данных. Рекомендуется получить подпись сотрудника, подтверждающую ознакомление. При обновлении политики сотрудников уведомляют повторно.
Как часто нужно обновлять политику обработки персональных данных?
Политика — живой документ, который требует актуализации при изменении бизнес-процессов или законодательства. Как правило, пересмотр проводится не реже одного раза в год, а также при появлении новых категорий данных, новых инструментов (CRM, мобильное приложение), изменении целей обработки или при передаче данных новым третьим лицам.
Казахстанское законодательство о персональных данных продолжает развиваться: новые требования могут затронуть порядок трансграничной передачи данных, обработку биометрии или использование cookies. Рекомендуется проводить юридический аудит политики при каждом существенном изменении нормативной базы.
Подробнее о требованиях к обработке персональных данных в HR-процессах — в материале «Персональные данные в HR в Казахстане: что можно и нельзя». Общий обзор требований законодательства — в материале «Политика обработки персональных данных в Казахстане».
Частые вопросы
1. Что такое чувствительные персональные данные?
Чувствительные персональные данные — это особая категория сведений, обработка которых требует повышенной защиты: данные о состоянии здоровья, национальности, расовой принадлежности, политических взглядах, религиозных убеждениях, судимостях и биометрические данные. Казахстанское законодательство устанавливает для них более строгий режим: как правило, требуется явное письменное согласие субъекта, а хранение должно быть организовано с усиленными техническими мерами защиты. Работодатели, обрабатывающие медицинские данные сотрудников или биометрию для СКУД, обязаны отдельно прописать это в политике и получить специальное согласие.
2. Можно ли использовать видеонаблюдение в офисе?
Видеонаблюдение в офисе допустимо при соблюдении ряда условий. Сотрудники и посетители должны быть уведомлены о ведении съёмки — как правило, через заметные таблички и упоминание в трудовых договорах или правилах внутреннего распорядка. Цель видеонаблюдения (охрана имущества, безопасность) должна быть указана в политике обработки персональных данных. Записи нельзя использовать в иных целях, не предусмотренных при сборе. Срок хранения видеозаписей следует ограничить и зафиксировать в политике — практика показывает, что 30 дней является разумным ориентиром для большинства офисов.
3. Как правильно собирать cookies на сайте в Казахстане?
Сбор cookies, которые позволяют идентифицировать пользователя, квалифицируется как обработка персональных данных по казахстанскому законодательству. Сайт обязан уведомить пользователя о сборе cookies до начала их использования — через баннер или всплывающее окно. Политика конфиденциальности должна содержать раздел о cookies: какие виды используются, с какой целью, как пользователь может отказаться. Аналитические и маркетинговые cookies требуют явного согласия. Технические cookies, необходимые для работы сайта, как правило, могут использоваться без отдельного согласия, но должны быть описаны в политике.
4. Что делать при запросе субъекта персональных данных?
При получении запроса от субъекта персональных данных — о предоставлении сведений, исправлении или удалении данных — оператор обязан ответить в установленный законодательством срок. Как правило, на ответ отводится не более 15 рабочих дней. Политика обработки персональных данных должна содержать контактные данные для направления таких запросов и описание процедуры их рассмотрения. Отказ в предоставлении информации допускается только в случаях, прямо предусмотренных законом. Рекомендуется назначить ответственное лицо и зафиксировать внутренний регламент обработки запросов.
5. Кто считается оператором персональных данных в Казахстане?
Оператором персональных данных в Казахстане признаётся любое юридическое или физическое лицо, которое самостоятельно или совместно с другими определяет цели и способы обработки персональных данных. На практике это означает, что практически любая компания, имеющая сотрудников, клиентов или пользователей сайта, является оператором. Оператор несёт ответственность за соблюдение требований Закона о персональных данных и их защите, обязан разработать политику обработки, обеспечить техническую защиту данных и реагировать на запросы субъектов. Регистрация в уполномоченном органе требуется в случаях, установленных законодательством.
6. Нужна ли отдельная политика для мобильного приложения?
Мобильное приложение, собирающее персональные данные пользователей, требует собственной политики конфиденциальности или отдельного раздела в общей политике компании. Это обусловлено тем, что приложение может собирать специфические категории данных: геолокацию, данные устройства, историю действий. Каждая категория должна быть описана с указанием цели и основания. Магазины приложений (App Store, Google Play) также требуют наличия политики конфиденциальности как условие публикации. Рекомендуется разработать отдельный документ для приложения, даже если общая политика компании уже существует.
7. Что грозит за отсутствие политики обработки персональных данных?
Отсутствие политики обработки персональных данных или её несоответствие требованиям казахстанского законодательства влечёт административную ответственность. Уполномоченный орган вправе проводить проверки операторов и выносить предписания об устранении нарушений. Повторные нарушения или неисполнение предписания влекут более серьёзные санкции. Помимо административных рисков, отсутствие политики создаёт репутационные риски: клиенты и партнёры всё чаще проверяют наличие документации по персональным данным при выборе контрагента.
8. Нужно ли регистрировать базы данных в уполномоченном органе?
Казахстанское законодательство предусматривает уведомительный порядок для отдельных категорий операторов и баз данных. Требования к регистрации зависят от вида обрабатываемых данных и масштаба обработки. Операторы, обрабатывающие чувствительные данные или данные значительного числа субъектов, как правило, обязаны уведомить уполномоченный орган. Рекомендуется проверить применимость требований о регистрации к конкретной ситуации компании — это один из элементов аудита соответствия требованиям законодательства о персональных данных.
9. Как оформить согласие на обработку персональных данных?
Согласие на обработку персональных данных должно быть добровольным, конкретным и информированным. В письменной форме оно оформляется как отдельный документ или раздел договора с указанием: наименования оператора, перечня обрабатываемых данных, целей обработки, срока действия согласия и порядка его отзыва. На сайте согласие оформляется через чекбокс со ссылкой на политику — предварительно проставленная галочка не соответствует требованиям закона. Для чувствительных данных требуется явное письменное согласие, которое нельзя заменить электронным чекбоксом без квалифицированной ЭЦП.
10. Как организовать трансграничную передачу персональных данных?
Трансграничная передача персональных данных — то есть их передача на серверы или третьим лицам за пределами Казахстана — требует соблюдения дополнительных условий. Страна-получатель должна обеспечивать адекватный уровень защиты данных, либо оператор должен принять дополнительные меры защиты (договорные гарантии, стандартные контрактные положения). Политика обработки данных должна содержать раздел о трансграничной передаче с указанием стран-получателей и оснований передачи. Использование зарубежных облачных сервисов, CRM-систем или аналитических инструментов, как правило, квалифицируется как трансграничная передача.
Выводы
Политика обработки персональных данных — не формальность, а рабочий инструмент управления рисками. Документ, составленный по описанному алгоритму, закрывает основные требования казахстанского законодательства: от инвентаризации данных и определения правовых оснований до публикации на сайте и регламента обработки запросов субъектов. Топ-менеджер, подписывающий такую политику, должен понимать: документ работает только в связке с реальными процессами — согласиями, сроками хранения и назначенным ответственным лицом. Подробнее об аналитике в сфере IT-права и персональных данных — в разделе Аналитика. Также рекомендуем ознакомиться с материалом «Чем отличается патент от полезной модели в Казахстане» — если ваша компания работает с объектами интеллектуальной собственности.
Актуально на: 27 октября 2026 года.
Если ситуация требует внимания — мы поможем разобраться.
Смежные направления
Направление практики
Персональные данные и IT-право — соответствие Закону о персональных данных, трансграничная передача, аудит обработки и IT-договоры.