Персональные данные в финансовом секторе

Коротко

Отдельного режима персональных данных для финансового сектора нет: действует общий Закон, а поверх него накладываются отраслевые тайны и обязанности. Главные из них:

• банковская тайна по новому Закону о банках 2026 года (ст. 69);
• тайна предоставления микрокредита (Закон о микрофинансовой деятельности, ст. 21);
• согласие на формирование кредитной истории (Закон о кредитных бюро, ст. 25);
• надлежащая проверка клиентов и хранение их досье не менее пяти лет (Закон о ПОД/ФТ, ст. 5, 11).

Новый Закон о банках

Закон «О банках и банковской деятельности в Республике Казахстан» от 16.01.2026 № 258-VIII заменил закон 1995 года. Он вводится в действие по истечении 60 календарных дней после опубликования 17.01.2026, то есть с 18.03.2026. Часть норм вступает в силу с 01.07.2026, 01.01.2027 и 01.05.2027 (ст. 135). В частности, только с 01.01.2027 вступают в силу раскрытие банковской тайны финансовому омбудсману (ст. 69 п. 19) и витрина данных для регулятора (ст. 75 п. 5).

Банковская тайна

Банковская тайна включает сведения о клиентах и корреспондентах банков, их операциях и взаимоотношениях с банком: о счетах и их владельцах, остатках и движении денег, арестах, займах, имуществе в сейфах, платежах и переводах (ст. 69 п. 1). Банк гарантирует её сохранность (ст. 69 п. 2).

Банковская тайна может быть раскрыта (ст. 69 п. 4):

1. клиенту банка;
2. любому третьему лицу на основании согласия владельца счёта, данного банку в письменном виде либо посредством его идентификационного средства;
3. иным лицам по основаниям и в пределах, предусмотренных ст. 69.

Дальше статья содержит длинный перечень получателей без согласия клиента: органы государственных доходов, орган финансового мониторинга, кредитные бюро, другие банки, суды, правоохранительные органы и другие (ст. 69 пп. 5–18).

Интерпретация. Банковская тайна и персональные данные пересекаются, но не совпадают. Тайна охватывает и сведения о юридических лицах, но не охватывает, например, данные посетителей сайта банка. Для персональных данных клиента-физлица действуют оба режима одновременно: банк должен соблюсти и ст. 69 Закона о банках, и Закон о персональных данных. На практике оба согласия часто объединяют в одном документе.

Биометрия

• Дистанционное открытие счёта идёт с биометрической аутентификацией через Центр обмена идентификационными данными Национального Банка (ЦОИД), на основании согласия клиента и с использованием данных национальной системы биометрической аутентификации (ст. 52 п. 7).
• Заём через интернет выдается только после биометрической аутентификации, а для крупных займов она проходит через ЦОИД (ст. 58 п. 9).
• По запросу заёмщика банк в течение 10 рабочих дней сообщает, когда и как проводилась его биометрическая аутентификация, в том числе сверка с базой антифрод-центра (ст. 58 п. 10).

ЦОИД и антифрод-центр Национального Банка определены в Законе о платежах (ст. 1 пп. 7-3, 38-1).

Интерпретация. Биометрические данные относятся к данным ограниченного доступа. Значит, для их обработки действуют усиленные меры защиты, а категория оператора повышается на уровень. Подробнее см. в заметках «Виды персональных данных» и «Меры защиты персональных данных».

Обработка без согласия

Финансовые организации часто опираются на законные основания без согласия:

• надзор: получение регулятором финансового рынка информации от физических и юридических лиц (Закон о ПД, ст. 9 пп. 9);
• ПОД/ФТ: надлежащая проверка клиентов (Закон о ПОД/ФТ, ст. 5) и передача сведений об операциях в орган финансового мониторинга (ст. 10);
• передача активов и обязательств банка: банк-приобретатель обрабатывает данные клиентов без их согласия (Закон о банках, ст. 68 п. 13).

Подробнее об основаниях см. в заметке «Обработка персональных данных без согласия».

Кредитные бюро

• Согласие. Банки и другие поставщики информации передают сведения в кредитное бюро с согласия субъекта кредитной истории (ст. 25 п. 1).
• Без согласия передаётся негативная информация о субъекте и выдаются кредитные отчёты с ней (ст. 25 п. 4).
• Права субъекта (ст. 22): получить кредитный отчёт о себе, заявить несогласие со сведениями, потребовать исправления недостоверной информации, бесплатно установить или снять добровольный отказ от получения займов.

Микрофинансовые организации соблюдают тайну предоставления микрокредита. Она раскрывается заёмщику, третьим лицам с его письменного согласия и государственным органам в случаях, перечисленных в законе (Закон о микрофинансовой деятельности, ст. 21).

Сроки хранения

Документы и сведения, полученные при надлежащей проверке клиента, включая досье и переписку, хранятся не менее пяти лет со дня прекращения деловых отношений (Закон о ПОД/ФТ, ст. 11 п. 4).

Интерпретация. Это случай, когда срок хранения определяется не «датой достижения целей их сбора и обработки», а законом (Закон о ПД, ст. 12 п. 2). Требование бывшего клиента удалить данные в эти пять лет не исполняется; вместо удаления ограничивается доступ (см. заметку «Удаление, уничтожение, обезличивание и анонимизация»).

Контроль

Контроль за соблюдением законодательства о персональных данных в отношении Национального Банка и его организаций ведётся по Предпринимательскому кодексу, Закону о персональных данных и Закону о Национальном Банке (Закон о ПД, ст. 27-2).

Сравнение с GDPR

Вопрос	Казахстан	GDPR
Основание для ПОД/ФТ	Прямо в Законе о ПОД/ФТ	Юридическая обязанность (Art. 6(1)(c))
Профессиональная тайна	Банковская тайна, тайна микрокредита в отраслевых законах	Регулируется правом государств ЕС (Art. 90)
Кредитные истории	Формируются с согласия; негатив передаётся без согласия	Обычно законный интерес или закон; кредитный скоринг подпадает под Art. 22
Биометрия	Через государственную инфраструктуру (ЦОИД) с согласия	Особая категория, нужно основание по Art. 9(2)

Открытые вопросы

Открытый вопрос: два согласия. Достаточно ли одного документа для согласия на раскрытие банковской тайны (ст. 69 п. 4 Закона о банках) и согласия на обработку персональных данных (ст. 8 Закона о ПД)? Требования к их содержанию разные.

Открытый вопрос: облака и аутсорсинг. Какие требования Национальный Банк и регулятор финансового рынка предъявляют к размещению данных банков в облаке и у иностранных поставщиков, помимо общей локализации?

Открытый вопрос: кредитный скоринг. Попадает ли автоматическое решение об отказе в займе под ст. 19-1 Закона о ПД, и как банки получают на это согласие? См. заметку «Автоматизированная обработка и искусственный интеллект».

Что ещё изучить

• Требования регулятора финансового рынка к информационной безопасности и аутсорсингу банков.
• Правила ЦОИД и антифрод-центра: сроки хранения биометрических данных.
• Страховую тайну и правила для страховых организаций.