Персональные данные в HR в Казахстане: что можно и нельзя работодателю: экспертная оценка
Работодатель в Казахстане ежедневно обрабатывает персональные данные сотрудников и кандидатов — от паспортных сведений до биометрии. Закон о персональных данных и их защите устанавливает чёткие границы: что допустимо собирать, как хранить и когда передавать третьим лицам. Нарушение этих границ влечёт административную ответственность и репутационные потери — особенно болезненные для компаний с иностранным участием.
Если в вашей компании не проводился аудит обработки персональных данных сотрудников — риски уже существуют. Проверить обработку персональных данных · info@vetrovkz.com
Правовая база: какой закон регулирует HR-данные в Казахстане
Обработка персональных данных работников в Казахстане регулируется Законом о персональных данных и их защите — это основной нормативный акт, определяющий права субъектов и обязанности операторов. Трудовой кодекс РК дополняет его применительно к трудовым отношениям: устанавливает, какие сведения работодатель вправе запрашивать при найме и в период работы.
Ключевое понятие — «оператор персональных данных». Любой работодатель, собирающий данные сотрудников или кандидатов, является оператором по умолчанию. Это означает полный объём обязанностей: получение согласия, обеспечение безопасности баз данных, реагирование на запросы субъектов и уведомление уполномоченного органа.
Уполномоченный орган в сфере персональных данных — Министерство цифрового развития, инноваций и аэрокосмической промышленности РК. Именно оно проводит проверки, рассматривает жалобы субъектов и ведёт реестр операторов. Для топ-менеджера это означает: жалоба одного недовольного сотрудника может инициировать проверку всей HR-системы компании.
Административная ответственность за нарушения предусмотрена Кодексом об административных правонарушениях. Санкции применяются как к должностным лицам, так и к организациям — причём повторные нарушения влекут существенно более высокие штрафы.
Если в вашей компании используется биометрия или системы мониторинга сотрудников — правовое основание для этого должно быть задокументировано до начала обработки.
Проверить обработку персональных данныхЧто работодатель вправе собирать: допустимый перечень данных
Работодатель в Казахстане вправе собирать только те персональные данные, которые необходимы для достижения конкретной, заранее определённой цели — принципа минимизации данных. Сбор «на всякий случай» или «для полноты досье» прямо противоречит Закону о персональных данных и их защите.
При трудоустройстве допустимо запрашивать:
- Удостоверение личности или паспорт (ФИО, дата рождения, ИИН, гражданство)
- Документы об образовании и квалификации
- Трудовую книжку или сведения о предыдущем опыте
- Сведения о воинском учёте (для военнообязанных)
- Медицинскую справку — только для должностей, где это прямо предусмотрено законодательством
В период трудовых отношений перечень расширяется: банковские реквизиты для выплаты зарплаты, сведения о налоговом статусе, данные о нетрудоспособности для расчёта больничных. Каждое расширение перечня требует отдельного обоснования цели и, как правило, отдельного согласия работника.
Что работодателю запрещено: красные линии в HR-практике
Казахстанское законодательство устанавливает категории данных, обработка которых либо полностью запрещена, либо допустима только при строгом соблюдении дополнительных условий. Нарушение этих ограничений — наиболее частое основание для жалоб в уполномоченный орган.
Запрещено или существенно ограничено:
- Сбор данных о политических взглядах, религиозных убеждениях, национальности — если это не обусловлено спецификой должности
- Обработка биометрических данных без явного письменного согласия работника
- Запрос сведений о состоянии здоровья сверх минимально необходимого для конкретной должности
- Передача данных третьим лицам без согласия работника — за исключением случаев, прямо предусмотренных законом
- Хранение данных кандидатов, которым отказано в трудоустройстве, дольше срока, необходимого для завершения отбора
Отдельного внимания заслуживает мониторинг переписки и активности сотрудников. Казахстанская практика складывается так: работодатель вправе контролировать использование корпоративных ресурсов, но обязан заранее уведомить работников об этом в локальном акте и получить их согласие. Скрытый мониторинг личной переписки — нарушение как трудового, так и законодательства о персональных данных.
Согласие работника: как получить правильно и что оно не покрывает
Согласие на обработку персональных данных в Казахстане должно быть добровольным, конкретным, информированным и однозначным — это четыре обязательных критерия, каждый из которых суды и уполномоченный орган проверяют самостоятельно. Согласие, встроенное в трудовой договор единым блоком, формально действительно, но уязвимо: работник может оспорить его добровольность, указав на зависимое положение при найме.
Надлежащее согласие содержит:
- Перечень конкретных категорий данных
- Цели обработки каждой категории
- Срок хранения данных
- Перечень третьих лиц, которым данные могут передаваться
- Порядок отзыва согласия
Важно понимать: согласие не является универсальным основанием для любой обработки. Закон о персональных данных и их защите предусматривает и иные основания — исполнение договора, выполнение требований законодательства. Работодатели нередко злоупотребляют согласием там, где достаточно законного основания, и наоборот — ссылаются на «законное основание» там, где требуется явное согласие.
Данные кандидатов: особый режим на этапе подбора персонала
Персональные данные кандидатов, не принятых на работу, находятся в правовой «серой зоне», которую казахстанские работодатели часто игнорируют. Сбор резюме, проведение собеседований и хранение анкет — всё это обработка персональных данных, требующая правового основания.
Основные риски на этапе подбора:
- Хранение резюме отказников без ограничения срока — нарушение принципа ограничения хранения
- Передача резюме внутри группы компаний без согласия кандидата
- Проверка кандидата через социальные сети и открытые источники без уведомления
- Запрос документов, не связанных с оценкой профессиональной пригодности
Практическое решение — отдельная форма согласия для кандидатов с указанием срока хранения данных (как правило, не более 6 месяцев после завершения отбора) и возможности включения в кадровый резерв. Если кандидат не дал согласия на резерв — данные подлежат уничтожению по завершении конкурса.
Биометрия в HR: системы контроля доступа и учёта рабочего времени
Биометрические данные — отпечатки пальцев, данные распознавания лица, сканы сетчатки — относятся к специальным категориям персональных данных и требуют явного письменного согласия работника. Это правило действует вне зависимости от того, используется ли биометрия для контроля доступа, учёта рабочего времени или идентификации при работе с корпоративными системами.
Типичные нарушения при внедрении биометрических систем:
- Внедрение системы без получения согласия действующих сотрудников
- Отсутствие альтернативного способа идентификации для несогласных
- Хранение биометрических шаблонов на серверах за пределами Казахстана без соблюдения требований трансграничной передачи
- Отсутствие политики хранения и уничтожения биометрических данных
Работодатель не вправе принуждать работника к сдаче биометрии под угрозой увольнения или иных негативных последствий. Несогласный работник должен иметь альтернативный способ идентификации — карта доступа, PIN-код. Отсутствие альтернативы превращает «добровольное» согласие в принудительное.
Трансграничная передача данных: когда HR-система в облаке создаёт риски
Использование зарубежных HR-платформ — облачных систем управления персоналом, рекрутинговых сервисов, корпоративных порталов — автоматически означает трансграничную передачу персональных данных. Казахстанское законодательство допускает такую передачу, но с соблюдением ряда условий.
Передача данных за рубеж допустима, если:
- Страна-получатель обеспечивает надлежащий уровень защиты данных (перечень определяется уполномоченным органом)
- Субъект данных дал явное согласие на трансграничную передачу
- Передача необходима для исполнения договора с субъектом данных
На практике большинство казахстанских работодателей, использующих зарубежные HR-системы, не имеют ни надлежащих согласий, ни оценки уровня защиты в стране-получателе. Это системный риск, который выявляется при первой же проверке. Решение — либо локализация данных на серверах в Казахстане, либо документирование правового основания для каждой трансграничной передачи.
Что должно быть в локальных актах работодателя
Документальное оформление обработки персональных данных — не формальность, а доказательная база на случай проверки или спора. Уполномоченный орган при проверке запрашивает именно локальные акты, а не устные заверения HR-директора.
Минимальный пакет документов работодателя включает:
- Политику обработки персональных данных (публичный документ, размещается на сайте или стенде)
- Положение об обработке персональных данных работников (внутренний акт)
- Формы согласий — отдельно для работников, кандидатов, биометрии
- Перечень лиц, имеющих доступ к персональным данным, с указанием объёма доступа
- Регламент реагирования на запросы субъектов данных
Отдельного документа требует обработка данных через третьих лиц — кадровые агентства, аутсорсинговые провайдеры, облачные сервисы. С каждым из них необходимо заключить соглашение об обработке данных, где чётко определены цели, объём и ответственность сторон. Отсутствие такого соглашения означает, что работодатель несёт ответственность за действия подрядчика в полном объёме.
Частые вопросы
1. Что делать при запросе субъекта персональных данных?
При получении запроса от работника или кандидата работодатель обязан предоставить информацию об обрабатываемых данных в течение срока, установленного Законом о персональных данных и их защите. Ответ должен содержать перечень обрабатываемых данных, цели обработки и сведения о третьих лицах, которым данные передавались. Если работодатель не отвечает в срок — это самостоятельное нарушение, влекущее административную ответственность. Рекомендуется назначить ответственного за обработку персональных данных и утвердить регламент реагирования на запросы субъектов.
2. Кто считается оператором персональных данных в Казахстане?
Оператором персональных данных в Казахстане признаётся любое лицо — физическое или юридическое, государственное или частное, — которое самостоятельно или совместно с другими определяет цели и способы обработки персональных данных. Работодатель, собирающий данные сотрудников и кандидатов, является оператором по умолчанию. Статус оператора влечёт полный объём обязанностей по Закону о персональных данных и их защите: получение согласия, обеспечение безопасности, реагирование на запросы субъектов и уведомление уполномоченного органа.
3. Нужно ли уведомлять уполномоченный орган об обработке данных?
По действующему казахстанскому законодательству операторы персональных данных обязаны направить уведомление в уполномоченный орган — Министерство цифрового развития, инноваций и аэрокосмической промышленности РК — до начала обработки данных. Уведомление подаётся в электронной форме. Исключения предусмотрены для ряда случаев, прямо указанных в Законе о персональных данных и их защите. Отсутствие уведомления при наличии обязанности его подать является нарушением и может повлечь административную ответственность.
4. Какой штраф за нарушение закона о персональных данных?
Административная ответственность за нарушения в сфере персональных данных в Казахстане предусмотрена Кодексом об административных правонарушениях. Размер штрафов исчисляется в МРП и зависит от характера нарушения и субъекта ответственности. По состоянию на 2026 год МРП составляет 4 325 тенге. Санкции применяются как к должностным лицам, так и к организациям. Повторные нарушения влекут более высокие штрафы. Помимо административной, возможна гражданско-правовая ответственность за причинённый ущерб субъекту данных.
5. Можно ли хранить данные уволенных сотрудников и как долго?
Хранение персональных данных уволенных сотрудников допустимо только в течение срока, необходимого для достижения целей обработки или установленного законодательством. Трудовой кодекс РК и налоговое законодательство устанавливают сроки хранения кадровых документов — как правило, от 5 до 75 лет в зависимости от вида документа. По истечении установленного срока данные подлежат уничтожению с составлением акта. Хранение данных сверх установленного срока без правового основания — нарушение принципа ограничения хранения.
6. Вправе ли работодатель проверять кандидата в социальных сетях?
Проверка кандидата через открытые источники — социальные сети, профессиональные платформы — формально допустима в части общедоступных данных. Однако сбор, систематизация и хранение таких сведений в досье кандидата уже является обработкой персональных данных и требует правового основания. Казахстанская практика складывается в пользу уведомления кандидата о проводимой проверке. Использование данных из социальных сетей для дискриминации по защищённым признакам — религии, национальности, политическим взглядам — прямо противоречит действующему законодательству.
7. Как правильно оформить передачу данных кадровому агентству?
Передача персональных данных кандидатов или сотрудников кадровому агентству требует двух условий: согласия субъекта данных на передачу конкретному третьему лицу и заключения договора между работодателем и агентством, регулирующего условия обработки. Договор должен определять цели передачи, объём данных, срок обработки и обязательства агентства по безопасности. Работодатель несёт ответственность за действия агентства как за свои собственные, если надлежащий договор не заключён.
8. Что такое локализация персональных данных и распространяется ли она на HR?
Требование локализации означает, что базы данных, содержащие персональные данные граждан Казахстана, должны храниться на серверах, физически расположенных на территории Республики Казахстан. Это требование распространяется на HR-данные в полной мере: системы учёта сотрудников, кадровые базы, системы расчёта заработной платы. Использование зарубежных облачных HR-платформ без локальной копии базы данных нарушает требование локализации. Уполномоченный орган вправе запросить подтверждение соблюдения этого требования при проверке.
9. Может ли работник отозвать согласие на обработку данных в период работы?
Работник вправе отозвать согласие на обработку персональных данных в любой момент. Однако отзыв согласия не означает автоматического прекращения всей обработки: если данные обрабатываются на ином законном основании — исполнение трудового договора, требования законодательства — обработка продолжается. Работодатель обязан прекратить только ту обработку, которая основывалась исключительно на согласии. Порядок отзыва согласия должен быть описан в локальных актах и доведён до сведения работников.
10. Какова ответственность директора компании за нарушения в сфере персональных данных?
Директор компании как должностное лицо несёт административную ответственность за нарушения в сфере персональных данных наряду с организацией. Санкции для должностных лиц, как правило, ниже, чем для юридических лиц, но применяются персонально. В случае если нарушение повлекло существенный ущерб субъекту данных, возможна гражданско-правовая ответственность. Назначение ответственного за обработку персональных данных не снимает ответственности с директора, но может быть учтено при оценке вины при проверке.
Выводы
Работодатель в Казахстане несёт полную ответственность за обработку персональных данных сотрудников и кандидатов с момента первого контакта — от получения резюме до уничтожения данных уволенного работника. Три системных риска, характерных для большинства компаний: отсутствие надлежащих согласий на биометрию и трансграничную передачу данных, хранение данных кандидатов без ограничения срока и использование зарубежных HR-платформ без соблюдения требований локализации. Каждый из этих рисков устраняется документально — через аудит, обновление локальных актов и форм согласий.
Актуально на: 27 октября 2026 года.
Если ситуация требует внимания — мы поможем разобраться.
Смежные направления
Направление практики
Персональные данные и IT-право — соответствие Закону о персональных данных, трансграничная передача, аудит обработки и IT-договоры.