Персональные данные в HR в Казахстане: что можно и нельзя работодателю: обзор изменений

Почему персональные данные в HR — зона повышенного риска для собственника

Работодатель в Казахстане автоматически становится оператором персональных данных с момента получения первого резюме. Это означает полный объём обязанностей по Закону о персональных данных и их защите — вне зависимости от размера компании и численности персонала.

HR-функция концентрирует наиболее чувствительные категории данных: сведения о состоянии здоровья (медицинские справки, больничные), биометрические данные (системы контроля доступа, распознавание лиц), финансовые сведения (зарплатные ведомости, банковские реквизиты), данные о судимостях и административных взысканиях. Каждая из этих категорий требует отдельного правового основания для обработки.

Практика показывает, что большинство нарушений в HR-сфере носят системный характер: компании годами используют устаревшие формы согласий, передают данные третьим лицам без надлежащего оформления, хранят данные уволенных сотрудников дольше допустимого срока. Собственник, как правило, узнаёт о проблеме только при проверке или жалобе работника.

Административная ответственность за нарушения в сфере персональных данных в Казахстане предусмотрена Кодексом об административных правонарушениях. Штрафы исчисляются в МРП — в 2026 году МРП составляет 4 325 тенге (по состоянию на 2026 год). При умышленном незаконном сборе или распространении данных наступает уголовная ответственность по Уголовному кодексу РК.

Какие данные работодатель вправе собирать при найме?

При подборе персонала в Казахстане работодатель вправе запрашивать только те данные, которые необходимы для оценки профессиональных качеств кандидата и заключения трудового договора. Принцип минимизации данных — один из ключевых в казахстанском законодательстве о персональных данных.

Допустимые данные на этапе отбора включают: ФИО, контактные данные, сведения об образовании и квалификации, опыт работы, профессиональные навыки. Эти сведения кандидат предоставляет добровольно в резюме, и их обработка, как правило, охватывается согласием, данным при отклике на вакансию.

Запрашивать на этапе отбора запрещено или требует специального обоснования: сведения о беременности и планах по рождению детей, национальность и вероисповедание, политические взгляды, членство в профсоюзах, состояние здоровья (кроме случаев, когда это прямо связано с требованиями должности). Трудовой кодекс РК прямо запрещает дискриминацию при приёме на работу по этим основаниям — и запрос таких данных сам по себе может быть квалифицирован как нарушение.

Отдельный вопрос — проверка кандидатов через социальные сети и открытые источники. Казахстанское законодательство не запрещает изучение публично доступной информации, однако систематический сбор и хранение таких данных требует правового основания. Рекомендуется фиксировать только сведения, непосредственно относящиеся к профессиональным качествам, и не хранить их дольше срока, необходимого для принятия решения о найме.

Согласие работника: когда оно нужно и как его правильно оформить?

Согласие работника на обработку персональных данных в Казахстане должно быть конкретным, информированным и добровольным — общая фраза в трудовом договоре «работник согласен на обработку данных» не отвечает требованиям закона. Закон о персональных данных и их защите устанавливает обязательные элементы согласия.

Корректное согласие должно содержать: наименование и адрес оператора, перечень обрабатываемых данных, цели обработки, перечень действий с данными (сбор, хранение, передача, уничтожение), срок действия согласия, порядок его отзыва. Согласие оформляется отдельным документом или отдельным разделом трудового договора с возможностью самостоятельного подписания.

Принципиальный момент для работодателя: согласие не является универсальным правовым основанием. Для обработки данных в целях исполнения трудового договора согласие не требуется — достаточно самого договора. Согласие необходимо для обработки данных, выходящих за рамки трудовых отношений: передача данных третьим лицам (кадровые агентства, страховые компании), использование фото в маркетинговых материалах, обработка биометрии для систем доступа.

• Согласие на обработку биометрических данных оформляется отдельно от общего согласия
• Работник вправе отозвать согласие в любой момент — это не является основанием для увольнения
• Согласие несовершеннолетнего работника (с 16 лет) требует участия законного представителя
• Электронное согласие допустимо при наличии ЭЦП или иного способа идентификации

Хранение персональных данных сотрудников: сроки и требования безопасности

Хранение персональных данных в Казахстане допустимо только в течение срока, необходимого для достижения целей обработки. После увольнения сотрудника работодатель обязан уничтожить данные, которые больше не нужны для исполнения законодательных требований.

Сроки хранения кадровых документов определяются перечнями типовых управленческих документов, утверждёнными уполномоченным органом в сфере архивного дела. Трудовые договоры, приказы о приёме и увольнении, личные дела хранятся длительный срок — как правило, 75 лет для документов по личному составу. Данные, собранные в процессе подбора (резюме отказных кандидатов), подлежат уничтожению по истечении срока, указанного в согласии, или в разумный срок после принятия решения об отказе.

Требования к безопасности хранения включают: ограничение доступа к персональным данным (принцип «необходимо знать»), ведение журналов доступа к базам данных с персональными данными, шифрование при хранении и передаче, регулярное резервное копирование. Передача данных на внешние носители или в облачные сервисы требует оценки соответствия провайдера требованиям казахстанского законодательства.

Трансграничная передача персональных данных — отдельная зона риска. Использование зарубежных HR-систем (облачные платформы для расчёта зарплаты, системы управления персоналом) означает передачу данных за пределы Казахстана. Закон о персональных данных и их защите устанавливает требования к трансграничной передаче: страна-получатель должна обеспечивать надлежащий уровень защиты, либо необходимо получить отдельное согласие субъекта.

Биометрические данные в HR: допустимые случаи использования

Биометрические данные — отпечатки пальцев, изображение лица, рисунок сетчатки глаза — относятся к специальным категориям персональных данных и требуют усиленной правовой защиты по казахстанскому законодательству. Их обработка допустима только при наличии явного согласия работника или в случаях, прямо предусмотренных законом.

Наиболее распространённые случаи использования биометрии в HR: системы контроля и управления доступом (СКУД) на основе отпечатков пальцев или распознавания лиц, учёт рабочего времени через биометрические терминалы. Работодатель обязан получить отдельное письменное согласие на обработку биометрических данных — включение этого согласия в общий трудовой договор недостаточно.

Принципиальный вопрос: что делать, если работник отказывается предоставлять биометрические данные? Отказ от биометрии не может быть основанием для отказа в приёме на работу или увольнения. Работодатель обязан предусмотреть альтернативный способ учёта рабочего времени и контроля доступа. Принуждение к предоставлению биометрических данных под угрозой негативных последствий по трудовым отношениям является нарушением как законодательства о персональных данных, так и Трудового кодекса РК.

• Биометрические данные нельзя передавать третьим лицам без отдельного согласия
• При увольнении биометрические шаблоны подлежат немедленному уничтожению
• Использование биометрии для слежки за производительностью (без уведомления работника) недопустимо

Передача данных третьим лицам: кадровые агентства, аутсорсинг, группы компаний

Передача персональных данных работников третьим лицам в Казахстане требует правового основания — как правило, согласия субъекта или прямого указания закона. Это правило распространяется на все типичные HR-сценарии: аутсорсинг расчёта зарплаты, взаимодействие с кадровыми агентствами, передача данных внутри группы компаний.

Аутсорсинг HR-функций (расчёт зарплаты, кадровое делопроизводство) означает, что третье лицо получает доступ к персональным данным работников. Договор с аутсорсинговой компанией должен содержать положения о конфиденциальности, ограничении целей использования данных, обязательстве уничтожить данные по окончании договора. Ответственность перед работниками за действия аутсорсера несёт работодатель как оператор данных.

Внутри группы компаний передача данных между юридическими лицами также требует правового основания. Холдинговая структура не создаёт автоматического права на обмен данными сотрудников. Если казахстанская «дочка» передаёт данные в материнскую компанию за рубежом — это трансграничная передача со всеми вытекающими требованиями.

Взаимодействие с государственными органами (КГД МФ РК, Министерство труда и социальной защиты населения, пенсионный фонд) осуществляется на основании прямых требований законодательства и не требует отдельного согласия работника. Однако работодатель обязан уведомить работника о том, каким органам и в каком объёме передаются его данные — как правило, это отражается в политике обработки персональных данных.

Права работника как субъекта персональных данных: что обязан обеспечить работодатель?

Работник в Казахстане обладает полным набором прав субъекта персональных данных, и работодатель обязан обеспечить реальную возможность их реализации. Игнорирование запросов работников — одна из наиболее частых причин жалоб в уполномоченный орган.

Ключевые права работника включают: право на получение информации об обрабатываемых данных (что собирается, с какой целью, кому передаётся), право на доступ к своим данным и получение их копии, право на исправление неточных данных, право на уничтожение данных при отсутствии правового основания для их хранения, право на отзыв согласия.

Работодатель обязан ответить на запрос субъекта в срок, установленный Законом о персональных данных и их защите. На практике рекомендуется выстроить внутреннюю процедуру обработки таких запросов: назначить ответственное лицо, установить внутренний регламент, вести реестр поступивших запросов и ответов на них. Отсутствие такой процедуры при проверке будет квалифицировано как системное нарушение.

• Запрос работника должен быть зафиксирован и рассмотрен в установленный срок
• Отказ в предоставлении информации допустим только в случаях, прямо предусмотренных законом
• Работник вправе обратиться с жалобой в уполномоченный орган, если работодатель нарушил его права
• Уничтожение данных по запросу работника должно быть задокументировано

Что изменилось в регулировании персональных данных в Казахстане: актуальный контекст

Казахстанское законодательство о персональных данных последовательно ужесточается: требования к операторам расширяются, санкции за нарушения растут, правоприменительная практика становится более активной. Для собственника бизнеса это означает, что подход «работает и ладно» становится всё более рискованным.

Среди ключевых тенденций, которые влияют на HR-практику: усиление контроля за трансграничной передачей данных (особенно актуально для компаний, использующих зарубежные облачные HR-системы), повышенное внимание регулятора к биометрическим данным, расширение перечня случаев, требующих уведомления уполномоченного органа. Параллельно развивается практика рассмотрения жалоб работников — субъекты данных стали активнее использовать свои права.

Важный контекст для собственника: ответственность за нарушения в сфере персональных данных не ограничивается административными штрафами. Уголовный кодекс РК предусматривает ответственность за незаконный сбор и распространение сведений о частной жизни лица. АФМ (Агентство финансового мониторинга) с 01.04.2026 ввело новые правила, в том числе затрагивающие обработку данных при финансовом мониторинге — это косвенно влияет на HR-процессы в финансовом секторе.

Практический вывод: компаниям, которые не проводили аудит HR-процессов с точки зрения персональных данных в последние два года, рекомендуется сделать это в приоритетном порядке. Аудит позволяет выявить системные нарушения до того, как их обнаружит регулятор или инициирует работник.