С 2 октября бизнесу придется по-новому удалять персональные данные

Со 2 октября в Казахстане изменятся правила сбора и обработки персональных данных. Если данные собрали или использовали с нарушением закона, человек сможет потребовать заблокировать или анонимизировать их, а при наличии оснований — уничтожить или удалить.

Изменения также касаются публикации сведений в открытом доступе, передачи третьим лицам и за границу. Новые требования утверждены приказом от 17 сентября 2026 года № 556/НҚ.

Кого касаются новые правила

Требования распространяются не только на крупные цифровые сервисы. Учитывать их нужно всем компаниям и ИП, которые собирают данные клиентов, работников или пользователей сайта.

Это, например:

• интернет-магазины и службы доставки;
• медицинские центры и салоны красоты;
• кафе, фитнес-клубы и образовательные центры;
• работодатели;
• компании, использующие CRM, программы лояльности, облачные сервисы и рассылки.

Персональными могут считаться ФИО, телефон, адрес, ИИН, сведения о покупках и биометрические данные. Фотография или видео также могут содержать персональные данные, если по ним можно определить человека.

Чем блокирование отличается от удаления

В правилах закрепили несколько способов работы с данными:

• блокирование — временное прекращение сбора, использования, передачи и других операций с данными;
• анонимизация — необратимое преобразование идентификаторов, после которого нельзя установить владельца данных;
• удаление — исключение данных из цифрового объекта без возможности восстановления;
• маскирование — замена части настоящих сведений недействительными или обезличенными данными.

Если человек сообщает о нарушении условий сбора или обработки, он может потребовать блокирования или анонимизации сведений. Незаконно собранные данные и сведения, для хранения которых больше нет правового основания, потребуется уничтожить или удалить.

Однако запрос клиента не всегда означает немедленное удаление. Если закон устанавливает обязательный срок хранения документов, компания может ограничить доступ к данным и приостановить их обработку. Цифровой кодекс также предусматривает исключения — например, для исполнения судебных актов, рассмотрения дел о правонарушениях и защиты прав третьих лиц.

Можно ли публиковать фотографии клиентов

Для размещения персональных данных в общедоступных источниках потребуется согласие человека, кроме случаев, когда публикация прямо предусмотрена законом. Поэтому салону, кафе или учебному центру недостаточно получить устное разрешение сфотографировать клиента. Если снимок планируют опубликовать на сайте, в соцсетях или рекламе, безопаснее зафиксировать отдельное согласие и указать, где и для каких целей будет использоваться изображение.

Если человек сам разместил фотографию или другие сведения в открытом доступе, это не дает компании безусловного права использовать их в рекламе. При дальнейшем сборе и распространении таких данных бизнесу придется доказать законность своих действий.

Когда потребуется отдельное согласие

Согласие человека потребуется при:

• трансграничной передаче данных, если не действует предусмотренное законом исключение;
• передаче сведений сторонней организации;
• распространении данных в общедоступных источниках.

Компаниям стоит проверить договоры с маркетинговыми агентствами, кол-центрами, службами доставки, операторами программ лояльности и другими подрядчиками. Если они получают доступ к клиентской базе, в документах нужно определить цель и условия передачи данных.

Правила также требуют хранить персональные данные в базе или цифровом объекте, находящемся на территории Казахстана. При использовании зарубежной CRM или облачного сервиса нужно отдельно выяснить, где расположена база и происходит ли трансграничная передача.

Что сделать бизнесу до 2 октября

1. Обновить формы согласия на сайте, в приложении и бумажных анкетах.
2. Проверить основания для передачи данных подрядчикам и зарубежным сервисам.
3. Провести ревизию фотографий, отзывов и переписки клиентов, опубликованных на сайте и в соцсетях.
4. Назначить сотрудника, который будет принимать запросы на блокирование, анонимизацию и удаление.
5. Определить, в каких системах хранятся данные и как удалить их одновременно из CRM, личного кабинета, рассылки и других сервисов.
6. Сохранить основания для отказа, если сведения нельзя удалить из-за обязательного срока хранения или установленного законом исключения.