Персональные данные в HR в Казахстане: что можно и нельзя работодателю: правовой разбор

Почему HR — зона повышенного риска по персональным данным?

HR-функция — это точка концентрации персональных данных в любой компании. Работодатель собирает сведения о кандидатах ещё до заключения договора, обрабатывает данные в течение всего трудового цикла и хранит часть документов десятилетиями после увольнения.

Казахстанское законодательство рассматривает работодателя как оператора персональных данных — субъекта, который несёт полную ответственность за законность обработки. Это означает: недостаточно просто не «сливать» базы данных. Нужно соблюдать принципы целевого использования, соразмерности, безопасности и срочности хранения.

На практике нарушения чаще всего возникают не из злого умысла, а из-за отсутствия внутренней политики: данные собираются «на всякий случай», согласия не оформляются, биометрия внедряется без уведомления сотрудников. Именно такие системные пробелы становятся предметом проверок уполномоченного органа.

Подробнее о требованиях к уведомлению уполномоченного органа можно прочитать в нашем материале «Нужно ли уведомлять уполномоченный орган об обработке данных».

Какие данные работодатель вправе собирать при найме?

При найме работодатель вправе запрашивать только те данные, которые необходимы для оценки профессиональной пригодности кандидата и заключения трудового договора. Это принцип минимизации данных, закреплённый в Законе о персональных данных и их защите.

Допустимые категории при найме включают: ФИО, дату рождения, контактные данные, сведения об образовании и опыте работы, ИИН (для оформления трудового договора), сведения о воинском учёте (для военнообязанных). Работодатель также вправе запросить документы, подтверждающие квалификацию.

Запрещено запрашивать при найме: сведения о беременности, семейном положении и планах по рождению детей, религиозных и политических убеждениях, состоянии здоровья (за исключением случаев, когда медицинские требования прямо предусмотрены законодательством для конкретной должности), национальности и этническом происхождении.

Отдельного внимания заслуживают рекомендательные письма и проверка биографии (background check). Запрос сведений о кандидате у третьих лиц без его ведома нарушает принцип прозрачности. Кандидат должен быть уведомлён о том, что работодатель намерен проверить его данные через внешние источники.

Нужно ли согласие работника на обработку его данных?

Согласие работника на обработку персональных данных требуется не во всех случаях — казахстанское законодательство предусматривает несколько оснований для законной обработки без согласия.

Обработка без согласия допустима, если она необходима для исполнения трудового договора или выполнения обязательств, прямо предусмотренных законодательством. Это охватывает начисление заработной платы, уплату налогов и социальных взносов, оформление больничных листов, ведение воинского учёта, подачу статистической отчётности.

Согласие в письменной форме обязательно в следующих ситуациях: обработка чувствительных данных (биометрия, сведения о здоровье, религиозные убеждения); передача данных третьим лицам, не предусмотренная законом (например, передача данных аутсорсинговой HR-компании или страховщику); обработка данных в маркетинговых или иных целях, выходящих за рамки трудовых отношений; хранение данных после прекращения трудового договора сверх установленных сроков.

Согласие должно быть конкретным, информированным и добровольным. Включение согласия в текст трудового договора как условие найма — спорная практика: работник фактически лишён возможности отказаться, что ставит под сомнение добровольность.

Что такое чувствительные данные и как их обрабатывать в HR?

Чувствительные (специальные) персональные данные — это категория сведений, обработка которых несёт повышенные риски для субъекта и требует особых правовых оснований. В HR-контексте работодатель сталкивается с ними чаще, чем кажется.

К чувствительным данным в HR-практике относятся: биометрические данные (отпечатки пальцев, изображение лица, голос — используются в системах контроля доступа и учёта рабочего времени); медицинские данные (больничные листы, справки о состоянии здоровья, результаты медосмотров); сведения об уголовном преследовании (справки о судимости при найме на отдельные должности); религиозные убеждения (если работодатель учитывает их при планировании рабочего времени).

Для обработки чувствительных данных необходимо: получить письменное согласие работника с указанием конкретной цели; обеспечить усиленные меры технической и организационной защиты; ограничить круг лиц, имеющих доступ к таким данным; установить чёткие сроки хранения и процедуру уничтожения.

Биометрия заслуживает отдельного внимания: многие компании внедряют биометрические системы учёта рабочего времени, не осознавая, что это влечёт обязательства по специальному режиму обработки. Отсутствие письменного согласия и политики обработки биометрии — типичное нарушение при проверках.

Можно ли вести видеонаблюдение и мониторинг переписки сотрудников?

Видеонаблюдение в офисе допустимо, однако требует соблюдения нескольких обязательных условий, без которых оно превращается в нарушение права на неприкосновенность частной жизни.

Работодатель обязан: уведомить сотрудников о наличии видеонаблюдения до его введения (через локальный нормативный акт и информационные таблички); определить цель наблюдения (безопасность, охрана имущества, контроль доступа) и не использовать записи в иных целях; установить срок хранения видеозаписей и обеспечить ограниченный доступ к ним; исключить наблюдение в зонах, где сотрудники обоснованно ожидают приватности — санузлы, раздевалки, комнаты отдыха.

Мониторинг корпоративной переписки и использования рабочих устройств — более сложная область. Работодатель вправе контролировать использование корпоративных ресурсов (рабочая почта, корпоративные мессенджеры, рабочие компьютеры), если это прямо предусмотрено локальным актом и сотрудник уведомлён об этом при найме. Мониторинг личной переписки на личных устройствах — недопустим.

Скрытый мониторинг без уведомления сотрудников создаёт правовые риски: доказательства, полученные таким образом, могут быть признаны недопустимыми в трудовом споре, а сам работодатель — привлечён к административной ответственности.

Как долго хранить персональные данные и как их уничтожать?

Казахстанское законодательство устанавливает принцип срочности хранения: персональные данные должны храниться не дольше, чем это необходимо для достижения цели обработки. После достижения цели или отзыва согласия данные подлежат уничтожению или обезличиванию.

На практике сроки хранения кадровых документов определяются несколькими источниками. Архивное законодательство устанавливает сроки для конкретных видов документов: трудовые договоры, приказы о приёме и увольнении хранятся десятилетиями; документы по заработной плате — как правило, не менее 5 лет. Срок исковой давности по трудовым спорам также влияет на обоснованность хранения: данные, которые могут понадобиться для защиты в споре, разумно хранить до истечения срока давности.

Данные кандидатов, не принятых на работу, — отдельная категория. Закон не устанавливает специального срока, однако хранение резюме «на перспективу» без согласия кандидата является нарушением. Рекомендуемая практика: уведомить кандидата об отказе и либо получить согласие на хранение данных в кадровом резерве, либо уничтожить данные в разумный срок.

Уничтожение данных должно быть задокументировано: акт об уничтожении с указанием даты, перечня уничтоженных данных и ответственного лица. Это важно для подтверждения соответствия требованиям при проверке.

Передача данных сотрудников третьим лицам: когда это законно?

Передача персональных данных работников третьим лицам допустима только при наличии законного основания — согласия работника или прямого требования законодательства.

Передача без согласия законна в следующих случаях: государственным органам по их запросу в рамках установленных полномочий (налоговые органы, пенсионный фонд, статистика); банкам и страховщикам — в части, необходимой для исполнения договора с работником (например, зарплатный проект); правоохранительным органам — в рамках установленных законом процедур.

Передача данных аутсорсинговым HR-компаниям, кадровым агентствам, облачным сервисам для расчёта зарплаты требует согласия работника или заключения договора на обработку данных, в котором третье лицо принимает на себя обязательства по соблюдению требований закона. Работодатель при этом остаётся ответственным за законность обработки.

Трансграничная передача данных — отдельный вопрос. Казахстанское законодательство допускает передачу данных в страны, обеспечивающие адекватный уровень защиты. Использование зарубежных облачных HR-платформ (хранение данных на серверах за рубежом) может квалифицироваться как трансграничная передача и требует отдельного правового анализа.

Что грозит работодателю за нарушения в сфере персональных данных?

Ответственность за нарушения в сфере персональных данных в Казахстане предусмотрена административным законодательством и может затронуть как компанию, так и должностных лиц.

Административная ответственность наступает за: незаконный сбор, обработку или распространение персональных данных; нарушение требований к защите данных; непредоставление субъекту доступа к его данным; несоблюдение требований об уведомлении уполномоченного органа. Размеры штрафов исчисляются в МРП (по состоянию на 2026 год МРП составляет 4 325 тенге) и варьируются в зависимости от характера нарушения и субъекта ответственности.

Помимо административных санкций, работник вправе обратиться в суд с требованием о возмещении вреда, причинённого незаконной обработкой его данных, — включая моральный вред. Судебная практика по таким делам в Казахстане пока немногочисленна, однако активность уполномоченного органа растёт.

Репутационные риски нередко превышают финансовые: утечка кадровых данных или публичное нарушение прав сотрудников способны нанести серьёзный ущерб работодателю как бренду на рынке труда. Подробнее о приведении компании в соответствие требованиям по персональным данным читайте в материале «Приведение IT-компании в соответствие Цифровому кодексу РК».

Практические рекомендации: как выстроить HR-процессы в соответствии с законом

Соответствие требованиям законодательства о персональных данных в HR — это не разовое мероприятие, а система внутренних процессов и документов.

• Разработайте политику обработки персональных данных — документ, описывающий цели, основания, категории данных, сроки хранения и порядок уничтожения. Политика должна быть доступна сотрудникам и кандидатам.
• Оформите согласия для чувствительных данных — отдельные письменные согласия для биометрии, медицинских данных и иных специальных категорий. Не включайте их в текст трудового договора.
• Уведомите сотрудников о видеонаблюдении и мониторинге — через локальный нормативный акт и подпись об ознакомлении при найме.
• Установите сроки хранения и процедуру уничтожения — для каждой категории данных, с документированием факта уничтожения.
• Проверьте договоры с аутсорсерами — HR-платформы, расчётчики зарплаты, кадровые агентства должны принять на себя обязательства по защите данных.

Регулярный аудит HR-процессов позволяет выявить пробелы до проверки уполномоченного органа, а не после. Материал о патентовании и защите интеллектуальной собственности, смежный с вопросами цифровых активов компании, доступен по ссылке: «Патентование изобретений в Казахстане».