Персональные данные в HR в Казахстане: что можно и нельзя работодателю

Почему персональные данные в HR — зона повышенного риска для топ-менеджера?

HR-функция — крупнейший внутренний оператор персональных данных в любой компании. Каждый день кадровая служба собирает, хранит, передаёт и уничтожает сведения о сотрудниках и кандидатах — и каждое из этих действий регулируется Законом о персональных данных и их защите.

Ответственность за нарушения несёт не только HR-директор. Топ-менеджер, утвердивший форму анкеты без блока согласия, или подписавший договор с подрядчиком без условий о конфиденциальности данных, создаёт правовой риск для всей организации. Уполномоченный орган — Министерство цифрового развития, инноваций и аэрокосмической промышленности РК — вправе проводить проверки и выносить предписания.

Практика показывает: большинство нарушений в HR носят системный характер. Это не разовые ошибки, а встроенные в процессы пробелы — отсутствие политики, неверные формулировки согласий, бессрочное хранение данных уволенных. Устранить их проще до проверки, чем объяснять после.

Что считается персональными данными в контексте трудовых отношений?

Персональные данные в HR — это любые сведения, относящиеся к конкретному физическому лицу, которое можно идентифицировать прямо или косвенно. В трудовых отношениях этот круг шире, чем кажется на первый взгляд.

К стандартным персональным данным работника относятся: ФИО, ИИН, дата рождения, адрес, контактные данные, сведения об образовании, трудовая книжка, данные о заработной плате и удержаниях. Это минимальный набор, необходимый для исполнения трудового договора и подачи отчётности.

Отдельную категорию составляют чувствительные данные: сведения о состоянии здоровья (больничные листы, медицинские справки), данные о судимости, национальности, религиозных убеждениях. Их обработка требует усиленного правового основания — как правило, явного письменного согласия или прямого указания закона.

• Фотографии и видеозаписи с корпоративных мероприятий — персональные данные
• Данные о местонахождении (геолокация служебного телефона) — персональные данные
• Биометрия (отпечатки пальцев, распознавание лица для СКУД) — чувствительные данные
• Переписка в корпоративной почте — данные, требующие отдельного регулирования

Какие правовые основания позволяют работодателю обрабатывать данные без согласия?

Казахстанское законодательство допускает обработку персональных данных без согласия субъекта в нескольких случаях — и трудовые отношения прямо входят в этот перечень. Понимание этих оснований позволяет топ-менеджеру выстроить HR-процессы без избыточного документооборота.

Первое основание — исполнение договора. Если обработка данных необходима для заключения или исполнения трудового договора, согласие не требуется. Это охватывает ведение личного дела, начисление заработной платы, оформление отпусков и больничных, подачу сведений в пенсионный фонд и налоговые органы.

Второе основание — выполнение требований законодательства. Работодатель обязан передавать данные в КГД МФ РК, ЕНПФ, органы статистики — и делает это без согласия работника, поскольку обязанность установлена законом. Третье основание — защита жизни и здоровья субъекта в экстренных ситуациях.

Всё, что выходит за рамки этих оснований, требует отдельного согласия. Передача данных третьим лицам (кадровым агентствам, страховым компаниям, банкам-партнёрам), использование данных в маркетинге, публикация фотографий сотрудников на сайте — каждое из этих действий нуждается в явном согласии работника.

Как правильно оформить согласие работника на обработку персональных данных?

Согласие на обработку персональных данных в Казахстане должно быть добровольным, конкретным, информированным и однозначным. Формальная подпись под общим текстом «согласен на обработку данных» без указания целей, состава данных и получателей — не соответствует требованиям закона.

Корректное согласие содержит: наименование оператора (работодателя), перечень обрабатываемых данных, цели обработки, перечень действий с данными (сбор, хранение, передача, уничтожение), срок действия согласия, порядок его отзыва. Согласие оформляется отдельным документом или отдельным разделом трудового договора — но не мелким шрифтом в приложении.

Отдельного внимания требует согласие кандидатов. Анкета соискателя, резюме, результаты тестирования — всё это персональные данные, которые работодатель начинает обрабатывать ещё до заключения трудового договора. Форма анкеты должна содержать блок согласия с указанием цели (рассмотрение кандидатуры) и срока хранения данных в случае отказа.

Что работодатель не вправе делать с персональными данными сотрудников?

Казахстанское законодательство устанавливает прямые запреты, нарушение которых влечёт административную ответственность. Топ-менеджеру важно знать эти границы — особенно в части практик, которые кажутся «стандартными», но фактически незаконны.

• Передавать данные работника третьим лицам без его согласия или законного основания
• Запрашивать данные, не связанные с трудовой функцией (политические взгляды, вероисповедание — без необходимости)
• Хранить данные дольше, чем требуется для достижения цели обработки
• Использовать данные сотрудников для целей, не указанных при сборе
• Отказывать работнику в доступе к его собственным данным

Отдельная зона риска — передача данных внутри группы компаний. Если казахстанская «дочка» передаёт данные сотрудников в головной офис за рубежом, это трансграничная передача персональных данных. Она допустима только при соблюдении условий, установленных казахстанским законодательством, — в том числе при наличии согласия или при передаче в страну с адекватным уровнем защиты данных.

Биометрия и видеонаблюдение: где проходит граница допустимого?

Биометрические данные — отпечатки пальцев, геометрия лица, рисунок сетчатки — относятся к чувствительным персональным данным и требуют явного письменного согласия работника. Использование биометрических СКУД (систем контроля и управления доступом) без такого согласия нарушает закон, даже если система установлена в целях безопасности.

Видеонаблюдение в офисе допустимо при соблюдении двух условий: работники уведомлены о факте съёмки, и наблюдение ведётся в рабочих зонах, а не в местах, где сотрудник обоснованно ожидает приватности. Уведомление оформляется через локальный нормативный акт — приказ или положение о видеонаблюдении — с подписью каждого работника об ознакомлении.

Записи видеонаблюдения являются персональными данными. Это означает: ограниченный круг лиц, имеющих доступ к записям; установленный срок хранения; порядок уничтожения. Практика бессрочного хранения видеозаписей «на всякий случай» нарушает принцип минимизации данных.

Как долго хранить персональные данные и как правильно их уничтожать?

Принцип ограничения хранения — один из ключевых в казахстанском законодательстве о персональных данных: данные не должны храниться дольше, чем необходимо для достижения цели их обработки. Нарушение этого принципа — одно из самых распространённых в HR.

На практике сроки хранения определяются несколькими источниками. Трудовое законодательство и архивные требования устанавливают минимальные сроки для отдельных категорий документов — личных дел, приказов, расчётных ведомостей. Эти сроки работодатель обязан соблюдать. Данные, собранные сверх этого минимума (например, результаты психологического тестирования или данные кандидатов, которым отказано), хранятся только в течение срока, указанного в согласии.

Уничтожение данных должно быть задокументировано. Простое удаление файла из папки не является надлежащим уничтожением — особенно если данные хранятся в облачных системах или на резервных серверах. Работодатель обязан обеспечить уничтожение всех копий и зафиксировать это актом.

Что должна содержать политика обработки персональных данных работодателя?

Политика обработки персональных данных — обязательный документ для любого работодателя в Казахстане, который обрабатывает данные сотрудников. Отсутствие такой политики само по себе является нарушением.

Документ должен охватывать: перечень категорий субъектов (сотрудники, кандидаты, контрагенты), перечень обрабатываемых данных по каждой категории, цели обработки, правовые основания, сроки хранения, порядок передачи третьим лицам, меры защиты, права субъектов и порядок их реализации. Политика публикуется в открытом доступе — как правило, на сайте компании и во внутренней сети.

Помимо политики, работодателю рекомендуется вести реестр операций по обработке данных. Это внутренний документ, фиксирующий все процессы работы с персональными данными: кто собирает, где хранит, кому передаёт, когда уничтожает. При проверке уполномоченного органа наличие такого реестра существенно упрощает взаимодействие и демонстрирует системный подход к compliance.