Персональные данные в HR в Казахстане: что можно и нельзя работодателю: тренды и выводы
Казахстанский работодатель ежедневно обрабатывает десятки категорий персональных данных — от резюме кандидатов до биометрии на проходной. Закон о персональных данных и их защите устанавливает чёткие границы: что собирать можно, что — только с отдельного согласия, а что запрещено в принципе. Нарушения в этой сфере влекут административную ответственность и репутационные потери — и правоприменение в Казахстане последовательно ужесточается.
Хотите понять, соответствуют ли ваши HR-процессы требованиям казахстанского законодательства о персональных данных? Проверить обработку персональных данных · info@vetrovkz.com
Почему персональные данные в HR стали зоной повышенного риска для собственника
Собственник бизнеса в Казахстане несёт ответственность за то, как компания обращается с данными работников — даже если конкретные решения принимает HR-менеджер или кадровик. Уполномоченный орган по защите персональных данных вправе проверить любого оператора данных, и HR-функция — одна из наиболее уязвимых точек.
Причин несколько. Во-первых, HR-процессы охватывают весь жизненный цикл данных: от анкеты кандидата до личного дела уволенного сотрудника. Во-вторых, многие работодатели до сих пор используют устаревшие формы согласий или вовсе не оформляют их. В-третьих, цифровизация HR — облачные системы, мессенджеры, биометрические терминалы — создаёт новые правовые риски, которые не всегда очевидны.
Тренд последних лет — переход от формального соблюдения закона к реальному правоприменению. Число проверок и предписаний растёт, а суммы штрафов для юридических лиц существенно выше, чем для физических. Для собственника это означает: вопрос персональных данных в HR — не задача кадровика, а элемент корпоративного управления.
Если ваши формы согласий не обновлялись с момента принятия нового регулирования — это уже нарушение, которое выявляется при первой же проверке.
Проверить обработку персональных данныхКакие данные работников относятся к персональным и как их классифицировать
Персональные данные в HR — это любая информация, которая прямо или косвенно идентифицирует конкретного работника или кандидата. Казахстанский Закон о персональных данных и их защите охватывает широкий круг сведений — от ФИО и ИИН до результатов психологического тестирования.
Для практических целей HR-данные делятся на три уровня. Первый — базовые идентификаторы: ФИО, дата рождения, ИИН, адрес, контактные данные, реквизиты документов. Второй — профессиональные данные: трудовая история, образование, квалификация, результаты оценки, сведения о дисциплинарных взысканиях. Третий — чувствительные (специальные) категории: состояние здоровья, биометрия, сведения о судимости, религиозные убеждения.
Чем выше уровень, тем строже требования к обработке. Для чувствительных данных требуется отдельное явное согласие или специальное законное основание. Работодатель, который собирает данные третьего уровня без надлежащего оформления, создаёт прямой правовой риск — даже если сами данные никуда не передаются и не используются во вред работнику.
Согласие работника: когда оно обязательно и как его правильно оформить
Согласие на обработку персональных данных — ключевой инструмент легализации HR-процессов в Казахстане. По общему правилу, обработка данных без согласия субъекта не допускается, если иное прямо не предусмотрено законом.
Согласие должно быть добровольным, конкретным, информированным и однозначным. На практике это означает: работник должен понимать, какие именно данные собираются, для каких целей, кому они могут передаваться и как долго будут храниться. Согласие, подписанное «в пакете» с трудовым договором без отдельного разъяснения, юридически уязвимо — его можно оспорить как недобровольное.
Отдельные согласия требуются для: обработки биометрических данных (отпечатки пальцев, распознавание лица); передачи данных третьим лицам (аутсорсинговые компании, банки для зарплатного проекта); использования данных в маркетинговых или иных целях, не связанных с трудовыми отношениями. Работник вправе отозвать согласие в любое время — и работодатель обязан прекратить обработку, если нет иного законного основания.
Что работодатель вправе собирать при найме, а что — нет?
При найме работодатель вправе запрашивать только те данные, которые необходимы для оценки профессиональной пригодности кандидата и оформления трудовых отношений. Принцип минимизации данных — один из ключевых в казахстанском законодательстве о персональных данных.
Допустимо запрашивать: ФИО, контактные данные, сведения об образовании и опыте работы, документы, необходимые для заключения трудового договора (удостоверение личности, ИИН, документы об образовании). Требовать предоставления медицинских справок допустимо только для должностей, где это прямо предусмотрено законодательством — например, для работ с вредными условиями труда.
Нельзя требовать: сведений о беременности, семейном положении, религиозных убеждениях, политических взглядах, если это не связано с характером работы. Нельзя проводить проверку кредитной истории кандидата без его явного согласия. Нельзя запрашивать данные о судимости, если должность не относится к тем, для которых такая проверка предусмотрена законом. Данные кандидатов, не принятых на работу, не могут храниться бессрочно — после достижения цели обработки они подлежат уничтожению.
Биометрия и видеонаблюдение: допустимые границы контроля
Биометрические данные — отпечатки пальцев, геометрия лица, рисунок сетчатки — относятся к чувствительным категориям персональных данных и требуют отдельного явного согласия работника. Использование биометрических терминалов учёта рабочего времени без надлежащего оформления согласий является нарушением Закона о персональных данных и их защите.
Видеонаблюдение в офисе допустимо при соблюдении нескольких условий. Работники должны быть уведомлены о наличии видеонаблюдения до начала записи — уведомление размещается на видном месте и фиксируется в локальных актах компании. Цель наблюдения должна быть законной и соразмерной: охрана имущества, безопасность, контроль производственного процесса. Скрытое видеонаблюдение без уведомления работников является нарушением.
Запись в зонах, где работники обоснованно ожидают приватности (туалеты, раздевалки, комнаты отдыха), запрещена. Видеозаписи являются персональными данными: доступ к ним должен быть ограничен, а сроки хранения — определены внутренней политикой. Использование видеозаписей в качестве доказательств в трудовых спорах возможно, но только если они получены с соблюдением всех требований законодательства.
Хранение и уничтожение данных: сроки и порядок
Хранение персональных данных работников допустимо только в течение срока, необходимого для достижения цели обработки. После прекращения трудовых отношений данные не могут храниться бессрочно — их следует либо уничтожить, либо обезличить.
На практике сроки хранения определяются несколькими факторами. Трудовое законодательство и требования архивного хранения устанавливают минимальные сроки для отдельных категорий документов — личных дел, приказов, расчётных ведомостей. Налоговое законодательство требует хранения документов, связанных с расчётом и уплатой налогов, в течение установленного срока. Сроки исковой давности по трудовым спорам определяют минимальный период, в течение которого данные могут потребоваться для защиты интересов работодателя.
Уничтожение данных должно быть задокументировано: составляется акт об уничтожении с указанием категорий данных, способа уничтожения и даты. Электронные данные уничтожаются способом, исключающим их восстановление. Передача данных на хранение третьим лицам (архивным компаниям) не снимает с работодателя ответственности за их сохранность и конфиденциальность.
Локализация данных и облачные HR-системы: практические риски
Казахстанское законодательство устанавливает требование локализации персональных данных граждан РК: базы данных, содержащие такие сведения, должны храниться и обрабатываться на серверах, физически расположенных на территории Казахстана. Это требование напрямую затрагивает компании, использующие зарубежные облачные HR-платформы.
Международные HR-системы — SAP SuccessFactors, Workday, Oracle HCM и другие — как правило, хранят данные на серверах в Европе, США или Азии. Использование таких систем без обеспечения локального хранения данных казахстанских работников создаёт риск нарушения требований о локализации. Аналогичная проблема возникает при использовании зарубежных мессенджеров и почтовых сервисов для передачи персональных данных.
Практические решения включают: выбор HR-систем с возможностью хранения данных на казахстанских серверах; использование локальных провайдеров облачных услуг; разделение данных — хранение персональных данных казахстанских работников локально, а агрегированной аналитики — в зарубежном облаке. Каждое решение требует юридической оценки с учётом конкретной архитектуры системы и характера обрабатываемых данных.
Тренды правоприменения и выводы для собственника
Правоприменение в сфере персональных данных в Казахстане последовательно ужесточается. Уполномоченный орган наращивает число проверок, а суммы штрафов для юридических лиц существенно превышают санкции для физических лиц и должностных лиц. Тренд на цифровизацию HR-процессов создаёт новые точки риска — и регулятор это учитывает.
Несколько ключевых наблюдений из практики. Первое: большинство нарушений выявляется не при утечках данных, а при плановых и внеплановых проверках — отсутствие политики обработки данных, устаревшие формы согласий, отсутствие уведомления уполномоченного органа. Второе: работники всё активнее используют право на обращение в уполномоченный орган с жалобами — особенно в контексте трудовых конфликтов. Третье: трансграничная передача данных и использование зарубежных облачных сервисов остаются зоной повышенного внимания регулятора.
Для собственника практический вывод один: соответствие требованиям законодательства о персональных данных в HR — это не разовая задача, а постоянный процесс. Политики и согласия требуют регулярного обновления; HR-системы — юридической оценки; работники — информирования о своих правах. Своевременный аудит обработки персональных данных позволяет выявить и устранить нарушения до проверки, а не после.
Частые вопросы
1. Как долго можно хранить персональные данные работников в Казахстане?
Срок хранения персональных данных работников определяется целью обработки и требованиями законодательства РК. Данные, связанные с трудовыми отношениями, как правило, хранятся в течение срока действия трудового договора и определённого периода после его прекращения — для выполнения обязательств по архивному хранению документов. Данные кандидатов, которым отказано в трудоустройстве, рекомендуется хранить не дольше, чем необходимо для ответа на возможные претензии. После истечения срока хранения данные подлежат уничтожению или обезличиванию. Конкретные сроки зависят от категории документов и устанавливаются внутренней политикой компании в соответствии с Законом о персональных данных и их защите.
2. Нужно ли согласие на обработку персональных данных сотрудников?
Да, по казахстанскому законодательству работодатель обязан получить согласие работника на обработку его персональных данных. Согласие должно быть добровольным, конкретным, информированным и однозначным. Оно оформляется в письменной форме — как отдельный документ или соответствующий раздел трудового договора. Важно: согласие, подписанное «под давлением» при приёме на работу, может быть оспорено как недобровольное. Для отдельных категорий данных — биометрических, медицинских, сведений о судимости — требуется отдельное согласие. Работник вправе отозвать согласие в любое время, после чего обработка данных должна быть прекращена, если нет иного законного основания.
3. Что такое чувствительные персональные данные в Казахстане?
Чувствительные (специальные категории) персональных данных — это сведения, обработка которых несёт повышенный риск для прав субъекта. По казахстанскому законодательству к ним относятся: расовое и этническое происхождение, политические взгляды, религиозные и философские убеждения, состояние здоровья, сексуальная жизнь, биометрические данные (отпечатки пальцев, распознавание лица), генетические данные, сведения о судимости. Для обработки таких данных требуется явное отдельное согласие работника или иное специальное основание, предусмотренное законом. Работодатель не вправе требовать предоставления чувствительных данных, если это не обусловлено прямой необходимостью для выполнения трудовых обязанностей.
4. Можно ли использовать видеонаблюдение в офисе в Казахстане?
Видеонаблюдение в офисе допустимо при соблюдении ряда условий. Работодатель обязан уведомить работников о наличии видеонаблюдения — до начала записи, а не после. Цель наблюдения должна быть законной и соразмерной: охрана имущества, безопасность, контроль производственного процесса. Скрытое видеонаблюдение без уведомления работников, как правило, является нарушением Закона о персональных данных и их защите. Запись в зонах, где работники обоснованно ожидают приватности (туалеты, раздевалки, комнаты отдыха), запрещена. Видеозаписи являются персональными данными и должны храниться с соблюдением требований безопасности и ограниченным доступом.
5. Какая ответственность грозит работодателю за нарушение закона о персональных данных в Казахстане?
За нарушение требований Закона о персональных данных и их защите работодателю грозит административная ответственность. Санкции предусматривают штрафы, размер которых зависит от характера нарушения и субъекта ответственности — физического лица, должностного лица или юридического лица. При повторных нарушениях или утечке данных, повлёкшей существенный ущерб, возможна уголовная ответственность. Помимо прямых санкций, работодатель несёт риск гражданских исков от пострадавших работников. Уполномоченный орган по защите персональных данных вправе проводить проверки и выносить предписания об устранении нарушений. Тренд последних лет — усиление правоприменения и рост числа проверок.
6. Можно ли передавать данные работников третьим лицам?
Передача персональных данных работников третьим лицам допустима только при наличии законного основания. Как правило, это согласие работника или прямое требование закона — например, передача данных в государственные органы (налоговые, пенсионные, социальные). Передача данных аутсорсинговым компаниям, кадровым агентствам, банкам для зарплатных проектов требует либо согласия работника, либо заключения договора на обработку данных с соответствующими гарантиями. Трансграничная передача данных — в иностранные компании, облачные сервисы за рубежом — регулируется отдельно и требует дополнительных правовых оснований.
7. Нужно ли уведомлять уполномоченный орган об обработке персональных данных?
По казахстанскому законодательству операторы персональных данных обязаны уведомить уполномоченный орган о начале обработки персональных данных. Уведомление подаётся в электронной форме через портал электронного правительства. Обязанность уведомления распространяется на большинство работодателей, поскольку обработка данных работников является систематической. Исключения из обязанности уведомления ограничены и прямо предусмотрены законом. Неисполнение обязанности уведомления само по себе является нарушением и может повлечь административную ответственность при проверке.
8. Как правильно оформить согласие на обработку персональных данных при приёме на работу?
Согласие на обработку персональных данных при приёме на работу должно содержать: наименование и реквизиты работодателя как оператора данных; перечень обрабатываемых данных; цели обработки; перечень действий с данными (сбор, хранение, передача и т.д.); срок действия согласия; порядок отзыва. Согласие оформляется отдельным документом или включается в трудовой договор как самостоятельный раздел. Важно: согласие не должно быть условием заключения трудового договора для тех данных, которые не являются необходимыми для трудовых отношений. Рекомендуется использовать отдельные согласия для разных категорий данных и целей обработки.
9. Распространяется ли закон о персональных данных на данные кандидатов?
Да, Закон о персональных данных и их защите распространяется на данные кандидатов на вакантные должности с момента их получения работодателем. Это означает, что резюме, анкеты, результаты тестирований и собеседований являются персональными данными и должны обрабатываться с соблюдением всех требований закона. Работодатель обязан уведомить кандидата о целях обработки его данных и получить согласие. Данные кандидатов, не принятых на работу, не могут храниться бессрочно — их следует уничтожить после достижения цели обработки. Передача резюме кандидата другим работодателям без его согласия является нарушением.
10. Что такое локализация персональных данных и как она влияет на HR-процессы?
Локализация персональных данных — требование казахстанского законодательства о хранении и обработке персональных данных граждан РК на серверах, физически расположенных на территории Казахстана. Для HR-процессов это означает, что использование иностранных облачных HR-систем без обеспечения локального хранения данных может нарушать требования о локализации. Работодатели, использующие международные HR-платформы, должны проверить, где физически хранятся данные, и при необходимости обеспечить их локализацию или перейти на решения с казахстанской инфраструктурой. Нарушение требований локализации является самостоятельным основанием для привлечения к ответственности.
Выводы
Персональные данные в HR — зона системного правового риска для казахстанского работодателя. Три ключевых вывода: согласия работников и кандидатов должны быть оформлены надлежащим образом и регулярно обновляться; биометрия и видеонаблюдение требуют отдельного правового оформления и уведомления работников; облачные HR-системы необходимо проверять на соответствие требованиям локализации данных. Правоприменение ужесточается — превентивный аудит обходится значительно дешевле, чем устранение последствий проверки.
Актуально на: 1 сентября 2026 года.
Если ситуация требует внимания — мы поможем разобраться.
Смежные направления
Направление практики
Персональные данные и IT-право — соответствие Закону о персональных данных, трансграничная передача, аудит обработки и IT-договоры.