С 2 октября бизнесу придется по-новому удалять персональные данные

ПЕРСОНАЛЬНЫЕ ДАННЫЕ

Со 2 октября в Казахстане изменятся правила сбора и обработки персональных данных. Если данные собрали или использовали с нарушением закона, человек сможет потребовать заблокировать или анонимизировать их, а при наличии оснований — уничтожить или удалить.

Изменения также касаются публикации сведений в открытом доступе, передачи третьим лицам и за границу. Новые требования утверждены приказом от 17 сентября 2026 года № 556/НҚ.

Кого касаются новые правила

Требования распространяются не только на крупные цифровые сервисы. Учитывать их нужно всем компаниям и ИП, которые собирают данные клиентов, работников или пользователей сайта.

Это, например:

  • интернет-магазины и службы доставки;
  • медицинские центры и салоны красоты;
  • кафе, фитнес-клубы и образовательные центры;
  • работодатели;
  • компании, использующие CRM, программы лояльности, облачные сервисы и рассылки.

Персональными могут считаться ФИО, телефон, адрес, ИИН, сведения о покупках и биометрические данные. Фотография или видео также могут содержать персональные данные, если по ним можно определить человека.

Чем блокирование отличается от удаления

В правилах закрепили несколько способов работы с данными:

  • блокирование — временное прекращение сбора, использования, передачи и других операций с данными;
  • анонимизация — необратимое преобразование идентификаторов, после которого нельзя установить владельца данных;
  • удаление — исключение данных из цифрового объекта без возможности восстановления;
  • маскирование — замена части настоящих сведений недействительными или обезличенными данными.

Если человек сообщает о нарушении условий сбора или обработки, он может потребовать блокирования или анонимизации сведений. Незаконно собранные данные и сведения, для хранения которых больше нет правового основания, потребуется уничтожить или удалить.

Однако запрос клиента не всегда означает немедленное удаление. Если закон устанавливает обязательный срок хранения документов, компания может ограничить доступ к данным и приостановить их обработку. Цифровой кодекс также предусматривает исключения — например, для исполнения судебных актов, рассмотрения дел о правонарушениях и защиты прав третьих лиц.

Можно ли публиковать фотографии клиентов

Для размещения персональных данных в общедоступных источниках потребуется согласие человека, кроме случаев, когда публикация прямо предусмотрена законом. Поэтому салону, кафе или учебному центру недостаточно получить устное разрешение сфотографировать клиента. Если снимок планируют опубликовать на сайте, в соцсетях или рекламе, безопаснее зафиксировать отдельное согласие и указать, где и для каких целей будет использоваться изображение.

Если человек сам разместил фотографию или другие сведения в открытом доступе, это не дает компании безусловного права использовать их в рекламе. При дальнейшем сборе и распространении таких данных бизнесу придется доказать законность своих действий.

Когда потребуется отдельное согласие

Согласие человека потребуется при:

  • трансграничной передаче данных, если не действует предусмотренное законом исключение;
  • передаче сведений сторонней организации;
  • распространении данных в общедоступных источниках.

Компаниям стоит проверить договоры с маркетинговыми агентствами, кол-центрами, службами доставки, операторами программ лояльности и другими подрядчиками. Если они получают доступ к клиентской базе, в документах нужно определить цель и условия передачи данных.

Правила также требуют хранить персональные данные в базе или цифровом объекте, находящемся на территории Казахстана. При использовании зарубежной CRM или облачного сервиса нужно отдельно выяснить, где расположена база и происходит ли трансграничная передача.

Что сделать бизнесу до 2 октября

  1. Обновить формы согласия на сайте, в приложении и бумажных анкетах.
  2. Проверить основания для передачи данных подрядчикам и зарубежным сервисам.
  3. Провести ревизию фотографий, отзывов и переписки клиентов, опубликованных на сайте и в соцсетях.
  4. Назначить сотрудника, который будет принимать запросы на блокирование, анонимизацию и удаление.
  5. Определить, в каких системах хранятся данные и как удалить их одновременно из CRM, личного кабинета, рассылки и других сервисов.
  6. Сохранить основания для отказа, если сведения нельзя удалить из-за обязательного срока хранения или установленного законом исключения.