Собираете данные клиентов через сайт или приложение
Формы, cookies, аналитика и рассылки — всё это обработка персональных данных, требующая оснований, политики и корректных согласий.
Цифровой кодекс и закон о кибербезопасности действуют с 12 июля 2026 года: выросли штрафы, появилась обязанность уведомлять об утечках, ужесточились правила трансграничной передачи. Проводим аудит обработки персональных данных, готовим политики и согласия, сопровождаем при инцидентах.
Обсудить ситуациюПрактика защиты персональных данных БЕРІК помогает бизнесу привести обработку данных в соответствие с обновлённым регулированием Казахстана — без остановки продуктовых и маркетинговых процессов.
Регулирование ужесточилось по всем направлениям: расширены обязанности оператора, введено обязательное уведомление об утечках в сжатый срок, установлены отдельные требования к чувствительным данным и биометрии, усилен контроль трансграничной передачи. Санкции за нарушения стали ощутимыми для среднего бизнеса.
Работаем с типовыми зонами риска: сайт и cookies, CRM и маркетинговые рассылки, HR и данные кандидатов, видеонаблюдение, передача данных подрядчикам и в облачные сервисы за пределами Казахстана.
Цифровой кодекс и закон о кибербезопасности действуют с 12 июля 2026 года и меняют правила обработки персональных данных по всем направлениям. Для бизнеса это не косметическое обновление, а необходимость пересобрать процессы работы с данными клиентов, сотрудников и кандидатов.
Первое ключевое изменение — обязанность уведомлять об утечке. Срок сжатый, уведомляется и уполномоченный орган, и субъекты данных. Компании, у которых нет заранее описанной процедуры реагирования, физически не успевают собрать информацию и подготовить уведомления в отведённое время.
Второе — рост санкций. Размеры административной ответственности установлены в месячных расчётных показателях и дифференцированы по размеру бизнеса, а повторное нарушение влечёт более строгую ответственность. Дополнительный риск — требование регулятора приостановить обработку, которое способно остановить продуктовые процессы.
Третье — ужесточение контроля трансграничной передачи. Использование зарубежных облачных сервисов, CRM и аналитических платформ требует оформленного основания и оценки уровня защиты в принимающей юрисдикции. Для компаний, построивших инфраструктуру на иностранных сервисах, это наиболее трудоёмкая часть приведения в соответствие.
Отдельные требования установлены для чувствительных категорий данных, включая биометрию. Внедрение систем распознавания лиц и биометрического доступа без отдельных согласий и усиленных мер защиты стало прямым нарушением.
Формы, cookies, аналитика и рассылки — всё это обработка персональных данных, требующая оснований, политики и корректных согласий.
Закон устанавливает сжатый срок на уведомление уполномоченного органа и субъектов. Реакция в первые часы определяет масштаб последствий.
Передача данных за пределы Казахстана требует отдельного основания и оценки уровня защиты в принимающей юрисдикции.
Чувствительные категории данных обрабатываются по более строгим правилам, включая отдельные согласия и повышенные требования к защите.
Запрос требует ответа в установленный срок. Отсутствие политики и реестра процессов на этой стадии — отягчающее обстоятельство.
Инвентаризация процессов и баз, оценка законности оснований обработки, анализ трансграничных передач. Отчёт с планом устранения нарушений.
Разработка политики обработки, форм согласий, договоров с подрядчиками-обработчиками, внутренних регламентов и приказов.
Юридическое сопровождение инцидента: фиксация, уведомление уполномоченного органа и субъектов, взаимодействие с регулятором, снижение санкций.
Договоры на разработку и поддержку ПО, SaaS и лицензии, передача прав на код, NDA, условия использования сервиса.
МФЦА, корпоративное и IT-право. Сопровождает IT-компании и трансграничные структуры обработки данных.
Административное право и АППК. Ведёт обжалование актов регуляторов и защиту при проверках.
Судебные споры и IP. Подключается к спорам о правах на программное обеспечение и данные.
Дела описаны в обобщённом виде и анонимизированы. Идентификация клиентов и суммы — только с письменного согласия клиента.
Политика описывает конкретные процессы конкретной компании. Чужой документ не соответствует реальности и не защищает при проверке.
Согласие должно быть конкретным и информированным. Один общий чекбокс на маркетинг, передачу третьим лицам и профилирование признаётся недействительным.
Передача данных подрядчику без договора, определяющего его обязанности, — самостоятельное нарушение, ответственность за которое несёт заказчик.
Данные хранятся до достижения цели обработки. Бессрочные базы бывших клиентов и кандидатов — типичная находка при проверке.
Публичное признание или, наоборот, сокрытие инцидента без оценки правовых последствий ухудшает положение компании.
Комплаенс по персональным данным — не разовый документ, а встроенный процесс. Мы не выдаём папку с политиками, а перестраиваем работу с данными так, чтобы требования выполнялись в продуктовых и кадровых процессах без ручного контроля.
Размеры административных санкций установлены в МРП и различаются для субъектов малого, среднего и крупного предпринимательства, а повторное нарушение влечёт более строгую ответственность.
Отдельный риск — приостановление обработки и требования регулятора об устранении нарушений, что может остановить продуктовые процессы.
Часть обработки данных работников осуществляется в силу трудового законодательства и не требует отдельного согласия, но всё, что выходит за эти рамки — биометрия, фотографии для внешних целей, передача третьим лицам — требует отдельного правового основания.
На аудите мы разделяем процессы по основаниям и показываем, где согласие обязательно.
Трансграничная передача допускается при соблюдении условий, установленных законодательством Казахстана, включая требования к защите данных в принимающей юрисдикции и наличие надлежащего основания.
Для облачных сервисов это, как правило, решается комбинацией согласий, договорных гарантий и корректной архитектуры хранения.
Видеонаблюдение допускается при наличии законной цели, уведомлении работников и посетителей и соблюдении правил хранения записей. Скрытое наблюдение за работниками без уведомления является нарушением.
Необходимы информирование пользователя, возможность отказаться от необязательных категорий и политика, описывающая фактически используемые технологии. Баннер, не дающий реального выбора, не считается надлежащим основанием.
Субъект вправе получить информацию об обработке своих данных, требовать их уточнения, блокирования или уничтожения. Ответ даётся в установленный срок, и отсутствие внутренней процедуры делает соблюдение срока практически невозможным.
Данные хранятся до достижения цели обработки, после чего подлежат уничтожению. Бессрочные базы бывших клиентов и кандидатов — типичное нарушение, выявляемое при проверке.