Положение о защите персональных данных в Казахстане: что включить и образец

Проверено: 18 октября 2026 года.

Положение о защите персональных данных — внутренний документ, в котором компания закрепляет, какие данные и зачем собирает, кто получает доступ, как сведения хранят, передают и удаляют, кто отвечает на обращения людей. В Казахстане собственник и оператор должны утверждать документы, определяющие политику сбора, обработки и защиты данных. Однако название «Положение» само по себе не делает документ достаточным: содержание нужно связать с реальными процессами и применимыми мерами защиты. Основание — статья 25 Закона РК «О персональных данных и их защите».

Ниже — структура, заполняемый образец и короткий приказ. Начать удобнее с одного процесса: например, заявки на обратный звонок. Если для каждого поля формы вы можете назвать цель, основание, получателя и момент окончания хранения, у документа появляется практическая опора.

Положение, политика, согласие и приказ: какой документ нужен

Положение об обработке и защите персональных данных описывает внутренние правила и распределяет обязанности. Положение об обработке персональных данных можно включить в общий документ о защите: создавать два почти одинаковых текста только из-за названия обычно нет смысла.

Политика персональных данных может быть названием общего документа компании; назначение и содержание важнее вывески. Политика обработки персональных данных для посетителя сайта должна понятно объяснять фактическую обработку. Политика конфиденциальности персональных данных не заменяет ни внутренний порядок, ни согласие, когда оно необходимо.

Это практическое разделение документов, а не утверждение о четырех обязательных формах с такими названиями. Закон требует документы о политике оператора; Правила защиты №179/НҚ предусматривают внутренние документы. Согласие регулируется отдельно статьей 8 закона. Простого «ознакомлен с политикой» недостаточно, чтобы автоматически подтвердить требуемое согласие.

Что включить в положение в РК

Чтобы подготовить положение о защите персональных данных в РК, сначала опишите процессы, а затем распределите требования по разделам. В проверенных нормах нет единого универсального текста положения для любой компании; структура ниже — рабочая редакционная сборка требований, а не утвержденный государством образец.

1. Кто обрабатывает данные. Полное наименование компании, ее роль, подразделения и сфера документа: работники, кандидаты, клиенты, посетители.

2. Какие задачи и цели требуют данных. Отдельно кадровый учет, расчеты, обработка заявки и другие реальные задачи. Перечень данных утверждают по Правилам №199/НҚ, пункты 3–5 и приложение: там есть форма с задачей, целью, наименованием данных и документом или НПА, прямо указывающим на задачу. Обеспечьте доступ к перечню разрешенным законом способом.

3. На каком основании собирают данные. Где получают согласие и как сохраняют подтверждение; где действует конкретное исключение из статьи 9 или иная применимая норма. Общая фраза «в интересах компании» не заменяет проверку основания. Базовое правило согласия и ограничения целей установлены статьей 7.

4. Кто имеет доступ и кому передают. Список должностей/ролей, выдача и отзыв доступа, подрядчики, цели передачи, наличие зарубежных получателей. Для трансграничной передачи действуют условия и исключения статьи 16; одного упоминания иностранной CRM в политике недостаточно.

5. Где и сколько хранят. Укажите фактические бумажные и цифровые места хранения в Казахстане, сроки или критерии по каждой цели, основания обязательного хранения, порядок уничтожения/удаления. По статье 12 срок связан с достижением целей, если законодательство не устанавливает иное. Не назначайте один срок всем кадровым и клиентским документам.

6. Как защищают. Категория оператора, применимые организационные и технические меры, кто их выполняет и где проверяет результат. Перечень действий не должен оставаться обещанием на бумаге.

7. Как работают с обращениями и нарушениями. Контакт, проверка заявителя, регистрация запроса, исполнитель и сроки; отдельный маршрут для инцидентов.

8. Кто контролирует и обновляет документ. Ответственное лицо, ознакомление работников, пересмотр при новой форме, системе, цели или получателе.

Набор защиты зависит от категории оператора по статье 25-1 закона и пунктам 8–17 Правил №179. Считают уникальных людей по цифровым объектам, а не численность штата; при обработке данных ограниченного доступа категория повышается на один уровень. Для малой категории пункт 12 уже предусматривает, среди прочего, разграничение доступа, регистрацию действий, резервное копирование, обновления и защищенную передачу. Для средней и крупной добавляются меры пунктов 13–14; для ограниченного доступа — пункт 15. Положение не освобождает от их выполнения. Если применима обязанность уведомить орган до обработки по статье 10-1, внутренний приказ также ее не заменяет; сначала проверьте категорию и исключения.

Образец положения: заполните восемь пунктов

Если нужен образец положения о персональных данных, начните с проекта ниже и приложений к нему. В квадратных скобках — поля для заполнения; документ с незаполненными полями утверждать рано. Этот образец положения о персональных данных предназначен для адаптации, а не для подписания без проверки.

УТВЕРЖДЕНО: [уполномоченное лицо, приказ, дата и номер].
Положение об обработке и защите персональных данных [компания].
Версия: [номер]; дата начала применения: [дата].

1. Сфера и роли. [Компания, БИН, адрес] осуществляет [конкретная роль собственника/оператора]. Положение распространяется на [категории людей и процессы]. Ответственный за организацию обработки — [должность/ФИО, контакт]. Владельцы процессов — [должности]. Работник получает доступ только в пределах служебной задачи и утвержденных прав.

2. Цели и перечень. Компания собирает и использует данные для целей, перечисленных в приложении 1. Приложение составляется по форме Правил №199/НҚ. Для каждой задачи указаны цель, конкретные сведения и документ/НПА, прямо указывающий на задачу. Избыточные сведения не включаются. Новые поля или цели вводятся после повторного анализа и изменения документов; использование данных допускается только для ранее заявленных целей.

3. Получение и основания. По каждой операции в рабочей карте указан источник данных и основание: [согласие с реквизитами и местом хранения доказательства / точная применимая норма]. Согласие оформляется с содержанием статьи 8 закона; способ должен позволять подтвердить его получение. Проверку основания выполняет [роль] до запуска сбора. Если данные поступают из государственных цифровых объектов, отдельно проверяется применимый порядок государственного сервиса. Положение не является согласием субъекта.

4. Доступ и передачи. Приложение 2 определяет роли и объем доступа. [Исполнитель] выдает, изменяет и закрывает права по [процедура], фиксируя решение. Перед передачей внешнему получателю [роль] проверяет цель, состав данных, основание, условия защиты и, при необходимости, трансграничной передачи. Фактические получатели и страны: [перечень / отсутствуют в этом процессе]. Отправка в личные аккаунты и неутвержденные сервисы не допускается внутренними правилами компании.

5. Хранение и завершение. Данные хранятся в [бумажный архив / цифровой объект, конкретное размещение в Казахстане]. Рабочая карта содержит срок либо критерий завершения цели и отдельное основание обязательного хранения, если оно существует. После завершения обработки [роль] организует уничтожение/удаление по [процедура] с фиксацией результата и учетом копий. Нельзя обещать немедленно удалить все сведения, если закон требует их сохранить; применимые ограничения доступа и обработки определяются с учетом статьи 41(3) Цифрового кодекса и ее исключений.

6. Защита. Категория по статье 25-1: [обоснование, число уникальных субъектов, наличие ограниченного доступа]. Применимые меры Правил №179 перечислены в приложении 3 с исполнителями и подтверждениями выполнения. Для данных ограниченного доступа отдельно проверяются требования пункта 15, включая журналы, защищенную передачу и криптографическую защиту с установленными параметрами; общая запись «пароль установлен» их не заменяет. [Ответственный] проверяет изменения категории и мер при изменении обработки.

7. Обращения и инциденты. Запросы принимаются через [контакт], регистрируются [ролью] и передаются исполнителю в день получения — это внутренний организационный срок. Информация о данных предоставляется в течение трех рабочих дней, если законом не предусмотрен иной срок; отказ мотивируется в тот же установленный срок. Перед исполнением требования об удалении [ответственная роль] проверяет исключения статьи 18 закона и пункта 4 статьи 41 Цифрового кодекса, фиксируя решение и его мотивировку. Для изменения, блокирования, уничтожения/удаления и снятия блокирования применяются соответствующие условия и однодневные сроки статьи 25. При отзыве согласия в течение пятнадцати рабочих дней прекращается обработка, если ее хранение или продолжение не требуются законодательством, либо направляется мотивированный отказ; учитываются ограничения статьи 8(2). При обнаружении нарушения безопасности [роль] немедленно запускает процедуру реагирования; уполномоченный орган уведомляется в течение одного рабочего дня с обнаружения. Исполнители и замещение: [должности, контакты].

8. Контроль и актуализация. [Ответственный] контролирует обращения и соблюдение правил, доводит требования до работников. [Роль] организует ознакомление с документами, относящимися к работе. Положение пересматривается при изменении целей, данных, систем, получателей, требований и иных существенных условий. Изменения утверждает [уполномоченное лицо], прежняя версия сохраняется в [место].

Сроки в пункте 7 основаны на пункте 16 Правил №395, статьях 8 и 25 закона и пункте 23 Правил №179. Они относятся к разным действиям: универсальный ответ «на все запросы у нас 15 дней» будет ошибкой. При проверке личности заявителя не собирайте автоматически лишние данные: способ должен соответствовать запросу и требованиям закона.

Как заполнить карту на одном процессе

Учебная ситуация: человек оставляет имя и телефон, чтобы компания ответила на его конкретный вопрос. Заявка не используется для рекламы, иностранные сервисы и биометрия не задействованы. Это условие примера, а не описание любой формы на сайте.

Имя и телефон в строке «Данные» относятся к самому звонку, а не описывают полный состав оформления согласия. Реквизиты согласия оформляют отдельно по статье 8(4) закона; это не основание требовать ИИН или скан удостоверения для примера обратного звонка.

Эта расширенная рабочая карта дополняет официальный перечень, а не подменяет его форму. В столбце официального перечня о документе/НПА укажите реальный документ, определяющий задачу компании; не придумывайте норму об обязательном сборе телефона.

Проверка на ошибку. Если в этой форме появляется обязательный ИИН или скан удостоверения, спросите, какую часть обратного звонка без него нельзя выполнить. Удобство «пусть пригодится» не соответствует ограничению избыточности статьи 7(9). Аналогично, согласие на ответ по заявке не следует автоматически растягивать на рекламу: новая цель требует отдельной проверки основания и документов. Если же заявка переходит в заключение договора, это следующий процесс со своим перечнем, основанием и сроком; исходную строку не нужно искусственно делать бессрочной.

Приказ: как ввести документы в работу

Приказ о персональных данных утверждает документы и распределяет исполнение, но не заменяет само положение. Для юридического лица закон предусматривает назначение ответственного за организацию обработки; исключение касается обработки в деятельности судов. Его обязанности включают внутренний контроль, доведение требований до работников и контроль обращений — статья 25.

Короткий проект приказа:

[Компания], приказ №[номер], [дата], [город]. Об организации обработки и защиты персональных данных.

1. Утвердить Положение [версия] и приложения: перечень данных по Правилам №199, матрицу доступа, применимые меры защиты.

2. Назначить ответственным за организацию обработки [лицо/должность], установить его обязанности и замещение [документ].

3. Владельцам процессов до [дата] заполнить рабочие карты и обеспечить соответствие форм, согласий и фактических систем утвержденным целям.

4. [Роль] до [дата] организовать ознакомление работников; [ИТ-роль] обеспечить утвержденные права доступа и меры защиты.

5. Начало применения — [дата после выполнения необходимых условий]. Контроль исполнения — [лицо]. [Подпись уполномоченного лица].

Это пример управленческого решения; полномочия подписанта и порядок принятия акта сверяют с устройством компании. Для актов работодателя статья 11 ТК предусматривает письменную форму или электронный документ с ЭЦП. Не датируйте утверждение задним числом, чтобы скрыть фактический период обработки без необходимых документов.

Что добавить для персональных данных работников

Положение о защите персональных данных работников должно описывать кадровые процессы, доступ к личным делам и действия при переводе или увольнении. Положение о персональных данных работников можно оформить разделом общего документа или отдельным приложением — выбирайте вариант, который удобно поддерживать.

Кадровое оформление, расчет зарплаты, подбор кандидатов и контроль доступа — разные задачи. Вынесите по каждой состав сведений, получателей и сроки. Особенно внимательно разделите личное дело, медицинские сведения, фото для пропуска и биометрический доступ: наличие трудового договора само по себе не объясняет любой дополнительный сбор.

В статье 23(2)(24) ТК обязанность работодателя прямо связана с законодательством о персональных данных. Поэтому в таблице оснований нужны конкретные нормы для обязательной обработки и согласия там, где они требуются. Отметка работника «с положением ознакомлен» подтверждает ознакомление, а не автоматически разрешение на все обработки. По статье 23(2)(6) ТК работника знакомят с актами, непосредственно относящимися к его работе; способ ознакомления следует организовать так, чтобы исполнение можно было подтвердить.

Пример при увольнении. Закрыть доступ бывшего сотрудника к кадровой системе и уничтожить сведения о нем — разные действия. Первое выполняют по процедуре отзыва доступа. По второму сначала проверяют сроки обязательного хранения кадровых, расчетных и архивных документов; увольнение не означает, что можно удалить все личное дело. В этой статье нет единого срока кадрового хранения: его выбирают по конкретному виду документа и применимому акту. Отдельно решают судьбу пропуска, фотографии и других данных, цель которых закончилась.

Если вводятся распознавание лица, государственные интеграции, обработка медицинских данных или зарубежный кадровый сервис, одного общего приложения недостаточно: требуется предметная проверка этих процессов. Распространять пример обратного звонка на них нельзя.

Как проверить положение перед утверждением

Для запроса «положение о персональных данных 2026» важна применимая редакция норм, а не новый год на титульном листе. В частности, действующие Правила №179 предусматривают меры по категориям; старый шаблон, где есть только назначение ответственного и обещание конфиденциальности, не описывает весь необходимый набор действий.

Проведите одну заявку от формы до удаления и одно обращение человека от получения до ответа. У исполнителя должны находиться утвержденная цель и перечень, подтверждение основания, права доступа, место хранения, срок и понятный маршрут обращения. Если нельзя определить хотя бы один из этих элементов, вернитесь к соответствующей строке карты до утверждения.

Проверьте и публичный текст: если политика говорит «данные не передаются», а заявки получает внешний колл-центр, исправлять нужно документы и фактическую схему обработки вместе. Детальные пароли и архитектуру защиты публиковать в открытой политике не нужно; человеку нужно понятное объяснение обработки и способ воспользоваться правами. Юристу передайте карту процессов и конкретные вопросы об основаниях, сроках, категории, передачах и специальных требованиях. Подписанный приказ без выполненных мер не завершает эту работу.

Материал информационный и не заменяет консультацию юриста.