Ответственное лицо и внутренние документы

Коротко

Собственник или оператор, если это юридическое лицо, обязан назначить лицо, ответственное за организацию обработки персональных данных (ст. 25 п. 2 пп. 10). У этого лица три обязанности: внутренний контроль, информирование работников и контроль за обращениями субъектов (ст. 25 п. 3). Требований к квалификации, независимости или регистрации в законе нет. Набор обязательных внутренних документов зависит от категории оператора по числу субъектов (ст. 25-1; Правила защиты, пп. 12–14).

Кто назначает

• Собственники и операторы, если это юридические лица (ст. 25 п. 2 пп. 10). Правила защиты называют также третье лицо (п. 19).
• Исключение составляет обработка данных в деятельности судов (ст. 25 п. 2).
• У индивидуальных предпринимателей и физических лиц прямой обязанности нет, поскольку норма говорит о юридических лицах.

Интерпретация. Формулировка п. 19 Правил («собственник и (или) оператор, а также третье лицо назначают… в случае, если собственник и (или) оператор являются юридическими лицами») не вполне ясна для третьих лиц, например обработчика, который работает по договору с оператором. Безопаснее исходить из того, что обработчик, если он юридическое лицо, тоже назначает ответственного.

Правила защиты включают назначение ответственного «за организацию обработки и защиту» персональных данных в минимальный набор мер даже для малых операторов (п. 12 пп. 4).

Обязанности ответственного лица

Закон и Правила устанавливают одинаковый перечень (ст. 25 п. 3; Правила защиты, п. 20):

1. внутренний контроль за соблюдением законодательства о персональных данных собственником или оператором и его работниками, в том числе требований к защите;
2. доведение до работников положений законодательства и требований к защите;
3. контроль за приёмом и обработкой обращений субъектов и их представителей.

Кроме того, контактные данные ответственного лица указываются в уведомлении уполномоченного органа о нарушении безопасности (ст. 25 п. 2 пп. 8).

Интерпретация. Закон не говорит, кем должно быть ответственное лицо: штатным работником, руководителем, внешним консультантом. Не запрещено и совмещение с другими должностями. Но поскольку лицо осуществляет «внутренний» контроль, логично назначать работника организации приказом с закреплением обязанностей в должностной инструкции.

Внутренние документы

Обязательные для всех собственников и операторов по Закону:

• перечень персональных данных, необходимый и достаточный для задач (ст. 25 п. 2 пп. 1; подробнее см. в заметке «Принципы обработки персональных данных»);
• документы, определяющие политику в отношении сбора, обработки и защиты (ст. 25 п. 2 пп. 1-1).

Остальное зависит от категории. С 2026 года операторы делятся на малых (до 10 тыс. уникальных субъектов), средних (от 10 тыс. до 500 тыс.) и крупных (от 500 тыс.). При обработке данных ограниченного доступа категория повышается на один уровень (ст. 25-1).

Категория	Документы и организационные меры
Малые	Перечень данных и цели; перечень лиц с доступом; назначение ответственного; внутренние документы о порядке сбора, обработки и защиты (п. 12)
Средние	Всё для малых, а также учёт цифровых систем и процессов обработки; порядок реагирования на инциденты; периодическое обучение работников; внутренний контроль соблюдения Закона (п. 13)
Крупные	Всё для средних, а также оценка защищённости систем; независимый аудит мер защиты (п. 14)

Технические меры для каждой категории описаны в заметке «Меры защиты персональных данных».

По запросу уполномоченного органа при рассмотрении обращений оператор обязан представить информацию о способах и процедурах, которыми он обеспечивает соблюдение Закона (ст. 25 п. 2 пп. 3-1).

Интерпретация. Именно внутренние документы и будут ответом на такой запрос. Отсутствие приказа о назначении ответственного или утверждённой политики будет, вероятно, самым простым для проверяющего нарушением, которое можно квалифицировать как несоблюдение мер защиты (КоАП, ст. 79 ч. 3).

Сравнение с GDPR

Вопрос	Казахстан	GDPR
Кто обязан	Все юридические лица в роли собственников и операторов	Госорганы; систематический мониторинг или особые категории данных в крупном масштабе (Art. 37(1))
Квалификация	Не установлена	Профессиональные качества и экспертные знания (Art. 37(5))
Независимость	Не установлена	Не получает указаний, не может быть уволен за выполнение задач, подчиняется высшему руководству (Art. 38(3))
Внешний специалист	Не урегулировано	Допускается по договору (Art. 37(6))
Контакты	Указываются в уведомлении о нарушении	Публикуются и сообщаются надзорному органу (Art. 37(7))
Задачи	Внутренний контроль, информирование работников, обращения субъектов	Информирование и консультирование, мониторинг, консультации по DPIA, взаимодействие с регулятором (Art. 39)
Документы	Перечень данных, политика, документы по категории	Реестр операций обработки (Art. 30), политики (Art. 24(2))

Открытые вопросы

Открытый вопрос: группа компаний. Может ли одно лицо быть ответственным сразу за несколько юридических лиц группы, как допускает GDPR для DPO?

Открытый вопрос: ответственность ответственного лица. Отвечает ли оно лично, например как должностное лицо по ст. 79 КоАП, если нарушение допущено в зоне его контроля?

Открытый вопрос: форма политики. Требования к содержанию «документов, определяющих политику» не установлены. Нужно ли публиковать политику для субъектов, как это принято на практике?

Что ещё изучить

• Практику проверок: какие документы запрашивает уполномоченный орган.
• Типовые формы политики и приказа о назначении ответственного, если регулятор их публиковал.
• Как категория оператора подтверждается и кто её определяет.