Как составить политику обработки персональных данных в Казахстане
Политика обработки персональных данных — обязательный документ для любой компании, которая собирает, хранит или передаёт данные физических лиц в Казахстане. Закон о персональных данных и их защите прямо обязывает операторов разработать и опубликовать такой документ. Руководитель, подписавший политику, несёт личную ответственность за её соответствие требованиям казахстанского законодательства.
Если вашей компании предстоит проверка или вы только выстраиваете систему работы с персональными данными — начните с аудита. Проверить обработку персональных данных · info@vetrovkz.com
Шаг 1. Определите, кто является оператором персональных данных
Оператор персональных данных — это организация или физическое лицо, которое самостоятельно или совместно с другими определяет цели и способы обработки данных. Если ваша компания собирает анкеты клиентов, ведёт базу сотрудников или использует CRM-систему — она является оператором и обязана соблюдать требования Закона о персональных данных и их защите.
На практике многие топ-менеджеры недооценивают этот статус. Оператором является не только крупный банк или телеком-оператор, но и небольшая торговая компания, которая хранит контакты покупателей в таблице Excel. Важно зафиксировать этот статус внутри организации и назначить ответственное лицо — как правило, это сотрудник юридического или IT-департамента.
Если компания привлекает подрядчиков для обработки данных (например, облачный сервис, колл-центр на аутсорсе), такие подрядчики становятся третьими лицами по смыслу закона. С каждым из них необходимо заключить соглашение о конфиденциальности и разграничить ответственность.
Если вы не уверены, какие данные обрабатывает ваша компания и на каком основании — аудит поможет выявить пробелы до проверки уполномоченного органа.
Проверить обработку персональных данныхШаг 2. Составьте реестр категорий персональных данных
Прежде чем писать политику, необходимо понять, какие именно данные обрабатывает компания. Реестр категорий — внутренний документ, который фиксирует: что собирается, у кого, с какой целью, на каком основании и как долго хранится.
Типичные категории для казахстанской компании включают несколько групп. Данные клиентов: ФИО, ИИН, контактные данные, история покупок. Данные сотрудников: паспортные данные, адрес, сведения о семье, банковские реквизиты. Данные посетителей сайта: IP-адреса, cookie, данные форм обратной связи. Специальные категории: состояние здоровья, биометрия — их обработка требует отдельного согласия и повышенных мер защиты.
Реестр не публикуется, но служит основой для политики. Без него политика будет формальной и не отразит реальную практику компании — что создаёт риски при проверке.
Шаг 3. Определите правовые основания обработки
Казахстанское законодательство допускает обработку персональных данных только при наличии одного из установленных оснований. Наиболее распространённые — согласие субъекта, исполнение договора, исполнение требований законодательства и защита жизненно важных интересов субъекта.
Согласие — самое гибкое, но и самое уязвимое основание. Оно должно быть добровольным, конкретным, информированным и однозначным. Галочка «по умолчанию» или согласие, встроенное в общие условия мелким шрифтом, не соответствует требованиям закона. Для каждой цели обработки — отдельное согласие.
Для данных сотрудников основанием, как правило, служит трудовой договор и нормы Трудового кодекса РК. Для данных клиентов при онлайн-продажах — договор оферты. Важно зафиксировать основание для каждой категории данных в реестре и отразить это в политике.
Шаг 4. Опишите обязательные разделы политики
Политика обработки персональных данных должна содержать ряд обязательных элементов, предусмотренных Законом о персональных данных и их защите. Отсутствие любого из них — основание для предписания об устранении нарушений.
Обязательные разделы включают следующее. Сведения об операторе: наименование, адрес, контакты ответственного лица. Цели обработки: конкретные, а не размытые формулировки вроде «улучшение сервиса». Категории субъектов и данных: кто и какие данные передаёт. Правовые основания: для каждой цели — своё основание. Сроки хранения: по каждой категории. Права субъектов: как подать запрос, как отозвать согласие. Меры защиты: организационные и технические. Порядок трансграничной передачи — если применимо.
Политика должна быть написана понятным языком — субъект данных должен понять её без юридического образования. Объём — как правило, от 5 до 15 страниц в зависимости от масштаба обработки.
Шаг 5. Опубликуйте политику и обеспечьте доступ к ней
Политика обработки персональных данных подлежит обязательной публикации в открытом доступе. Для компаний с сайтом — это отдельная страница, ссылка на которую размещается в подвале сайта и во всех формах сбора данных.
Ссылка на политику должна быть видимой и кликабельной до момента, когда пользователь предоставляет свои данные. Практика «спрятать» ссылку в подвале мелким шрифтом формально соответствует требованию публикации, но создаёт риски при оспаривании согласия субъектом.
Для офлайн-компаний, которые не ведут сайт, политика должна быть доступна в месте обслуживания клиентов — на стенде, по запросу на стойке регистрации или в виде QR-кода. Сотрудники должны быть ознакомлены с политикой под подпись.
Шаг 6. Выстройте процедуру ответа на запросы субъектов
Субъект персональных данных вправе в любой момент запросить информацию о своих данных, потребовать их исправления, блокировки или уничтожения. Оператор обязан ответить в установленный законом срок — как правило, в течение нескольких рабочих дней в зависимости от типа запроса.
На практике многие компании не имеют внутренней процедуры обработки таких запросов. Это означает, что при поступлении запроса сотрудники не знают, кто отвечает, в какой срок и в каком формате. Такая ситуация создаёт риск нарушения сроков и, как следствие, административной ответственности.
Процедура должна быть зафиксирована во внутреннем регламенте и отражена в политике. Укажите: кому направлять запрос (email, почтовый адрес), в какой срок компания отвечает, какие документы прилагать для идентификации субъекта. Подробнее о том, как правильно реагировать на запросы субъектов, читайте в нашем материале «Что делать при запросе субъекта персональных данных в Казахстане».
Частые вопросы
1. Нужно ли уведомлять уполномоченный орган об обработке данных?
Казахстанское законодательство не предусматривает обязательного предварительного уведомления уполномоченного органа о начале обработки персональных данных — в отличие от ряда других юрисдикций. Однако оператор обязан хранить политику обработки персональных данных и предоставлять её по запросу уполномоченного органа в ходе проверки. Если орган инициировал проверку, документы должны быть представлены в установленные сроки. Отсутствие политики или её несоответствие требованиям Закона о персональных данных и их защите — основание для привлечения к административной ответственности.
2. Какой штраф за нарушение закона о персональных данных?
Административная ответственность за нарушения в сфере персональных данных предусмотрена Кодексом об административных правонарушениях РК. Конкретный размер санкции зависит от характера нарушения, субъекта (физическое лицо, должностное лицо или юридическое лицо) и наличия повторности. Для юридических лиц санкции, как правило, существенно выше, чем для физических. Помимо штрафа, возможно предписание об устранении нарушений. При систематических нарушениях или утечке данных в крупном масштабе риски возрастают — вплоть до уголовной ответственности по Уголовному кодексу РК.
3. Можно ли хранить персональные данные казахстанцев за границей?
Закон о персональных данных и их защите устанавливает требование локализации: базы данных, содержащие персональные данные граждан Казахстана, должны размещаться на серверах, физически находящихся на территории Республики Казахстан. Трансграничная передача данных допускается при соблюдении ряда условий — в частности, если принимающая сторона обеспечивает надлежащий уровень защиты. На практике это означает, что хранение основной базы данных на зарубежных серверах без казахстанского зеркала является нарушением. Перед выбором облачного провайдера необходимо убедиться в наличии дата-центра в Казахстане или в соответствии условий договора требованиям локализации.
4. Как долго можно хранить персональные данные?
Срок хранения персональных данных определяется целью их обработки: данные должны храниться не дольше, чем это необходимо для достижения цели, ради которой они были собраны. После достижения цели или истечения установленного срока оператор обязан уничтожить данные или обезличить их. Конкретные сроки могут устанавливаться отраслевым законодательством — например, для данных сотрудников Трудовой кодекс РК и архивное законодательство предусматривают минимальные сроки хранения кадровых документов. Политика обработки персональных данных должна содержать раздел о сроках хранения по каждой категории данных.
5. Нужно ли согласие на обработку данных сотрудников?
Обработка персональных данных сотрудников в рамках трудовых отношений, как правило, осуществляется на основании трудового договора и норм Трудового кодекса РК — без отдельного согласия. Однако если работодатель планирует использовать данные сотрудника за пределами трудовых отношений (например, для маркетинга, передачи третьим лицам или публикации фото), согласие необходимо. Важно также учитывать, что согласие, полученное под давлением трудовых отношений, может быть признано недействительным — поэтому в спорных случаях рекомендуется фиксировать добровольность его предоставления.
6. Что такое специальные категории персональных данных?
Специальные категории персональных данных — это сведения, обработка которых несёт повышенные риски для субъекта. К ним относятся данные о состоянии здоровья, биометрические данные, сведения о судимости, расовой или этнической принадлежности, политических взглядах, религиозных убеждениях. Казахстанское законодательство устанавливает для таких данных более строгие требования: как правило, необходимо явное согласие субъекта, усиленные меры технической защиты и ограниченный круг лиц, имеющих доступ. Обработка специальных категорий без надлежащего основания — одно из наиболее серьёзных нарушений в этой сфере.
7. Нужна ли отдельная политика для мобильного приложения?
Если компания использует мобильное приложение для сбора данных пользователей, политика обработки персональных данных должна быть доступна непосредственно в приложении — как правило, в разделе настроек или при первом запуске. Можно использовать единую политику для сайта и приложения, если она охватывает все каналы сбора данных. Однако если приложение собирает специфические данные (геолокация, биометрия, история действий), рекомендуется выделить отдельный раздел или дополнение к основной политике, описывающее эти особенности. Магазины приложений (App Store, Google Play) также предъявляют собственные требования к наличию и содержанию политики.
8. Как часто нужно обновлять политику обработки персональных данных?
Политику необходимо обновлять при каждом существенном изменении в практике обработки данных: появлении новых целей, новых категорий данных, новых подрядчиков или изменении сроков хранения. Кроме того, обновление требуется при изменении законодательства — если новые нормы вводят дополнительные требования к содержанию политики. На практике рекомендуется проводить плановый пересмотр политики не реже одного раза в год. При каждом обновлении фиксируйте дату редакции и, если изменения существенные, уведомляйте субъектов данных — например, через email-рассылку или баннер на сайте.
9. Что такое трансграничная передача данных и когда она допустима?
Трансграничная передача персональных данных — это передача данных за пределы Республики Казахстан, в том числе через облачные сервисы с серверами за рубежом. Закон о персональных данных и их защите допускает такую передачу при условии, что государство-получатель обеспечивает надлежащий уровень защиты персональных данных, либо при наличии согласия субъекта, либо в иных случаях, прямо предусмотренных законодательством. Перед настройкой интеграций с зарубежными сервисами необходимо проверить, попадает ли такая передача под ограничения, и при необходимости получить согласие субъектов или выбрать провайдера с казахстанской инфраструктурой.
10. Как правильно оформить согласие на обработку персональных данных?
Согласие на обработку персональных данных должно быть добровольным, конкретным, информированным и однозначным. На сайте это, как правило, чекбокс, который пользователь ставит самостоятельно — не предзаполненный. Текст рядом с чекбоксом должен содержать ссылку на политику и кратко описывать цель обработки. В бумажном виде — подпись субъекта под текстом согласия с указанием даты. Согласие на несколько целей оформляется отдельными чекбоксами или подписями — нельзя объединять согласие на маркетинг и на исполнение договора в один документ. Хранить доказательства согласия необходимо на протяжении всего срока обработки данных.
Выводы
Политика обработки персональных данных — не формальность, а рабочий инструмент управления рисками. Документ, который не отражает реальную практику компании, не защитит при проверке. Шесть шагов этого руководства — от определения статуса оператора до выстраивания процедуры ответа на запросы субъектов — образуют минимальный контур соответствия требованиям казахстанского законодательства. Топ-менеджер, утверждающий политику, несёт личную ответственность за её актуальность и исполнение.
Актуально на: 13 октября 2026 года.
Если ситуация требует внимания — мы поможем разобраться.
Смежные направления
Направление практики
Персональные данные и IT-право — соответствие Закону о персональных данных, трансграничная передача, аудит обработки и IT-договоры.