Обработка персональных данных без согласия

Коротко

Без согласия данные можно обрабатывать только в случаях, прямо перечисленных в ст. 9, и при дальнейшем использовании данных, опубликованных в общедоступных источниках (ст. 7 п. 5). Перечень ст. 9 в основном описывает деятельность государства и отдельных организаций. Последний пункт звучит так: «в иных случаях, установленных законами Республики Казахстан». Общих оснований вроде исполнения договора или законного интереса, как в GDPR, нет.

Перечень ст. 9

Сбор и обработка без согласия допускаются в случаях (ст. 9):

Группа	Случаи
Государственные функции	Деятельность правоохранительных органов, судов и органов, рассматривающих дела об административных правонарушениях, исполнительное производство (пп. 1); государственная статистика (пп. 2) и использование данных госорганами в статистических целях с обезличиванием (пп. 3); воинский учёт (пп. 2-1); надзор за финансовым рынком (пп. 9); налоговое и таможенное администрирование (пп. 9-1)
Международные договоры и права человека	Реализация ратифицированных международных договоров (пп. 4); защита конституционных прав и свобод, если получить согласие невозможно (пп. 5)
Публичность	Профессиональная деятельность журналистов и СМИ, научная, литературная и иная творческая деятельность (пп. 6); опубликование данных по закону, в том числе о кандидатах на выборные должности (пп. 7)
Обязанности субъекта	Субъект не исполняет обязанность представить данные по закону (пп. 8)
Отдельные организации и реестры	Единый накопительный пенсионный фонд (пп. 5-1); резервное копирование на национальную платформу (пп. 9-2); реестр бизнес-партнёров (пп. 9-3); банкротство граждан (пп. 9-4); эталонная база иммигрантов и реестр государственного имущества (пп. 9-5); жилищный строительный сберегательный банк (пп. 9-7)
Прочее	Иные случаи, установленные законами (пп. 10)

С 01.01.2027 перечень пополнится подпунктом 9-6 (Закон № 311-VIII от 12.06.2026, по примечанию ИЗПИ на Adilet).

Интерпретация. В действующем тексте ст. 9 два разных подпункта имеют номер 9-5: об эталонной базе иммигрантов и о реестре государственного имущества. Это техническая особенность текста, но ссылаться на эти основания безопаснее с описанием, а не только с номером.

Опубликованные данные

Отдельный путь без согласия открывают данные, уже опубликованные в общедоступных источниках (ст. 7 пп. 3–5):

• если публикация обязательна по закону, согласие на неё не нужно (п. 4);
• последующие сбор, обработка и распространение таких данных третьими лицами, а также данных, опубликованных с согласия или самим субъектом, допускаются при ссылке на источник (п. 5);
• но если данные опубликовал сам субъект, законность последующей обработки должен доказывать тот, кто её ведёт (п. 3-1);
• нецелевое извлечение из общедоступных источников для создания баз запрещено (п. 11).

Последствия обработки без основания

Если данные собраны и обрабатываются без согласия и без оснований ст. 7 п. 5 и ст. 9, их нужно уничтожить или удалить (ст. 18 пп. 3-1). Субъект вправе этого требовать (ст. 24 п. 1 пп. 4). Цифровой кодекс тоже допускает обработку без согласия только «в случаях, прямо предусмотренных законами» (ст. 37 п. 3).

Чего в перечне нет

Для обычного бизнеса важнее не то, что в ст. 9 есть, а чего там нет:

• исполнения договора с субъектом, например доставки по указанному адресу или выдачи кредита;
• законного интереса, например видеонаблюдения для безопасности или предотвращения мошенничества;
• жизненно важных интересов в общем виде: есть только защита конституционных прав, если согласие получить невозможно (пп. 5);
• трудовых отношений: Трудовой кодекс обязывает работодателя обрабатывать данные работников «в соответствии с законодательством Республики Казахстан о персональных данных и их защите» (ст. 23 п. 2 пп. 24), но собственного основания не даёт.

Интерпретация. Для этих ситуаций остаются три пути: получить согласие; найти конкретную норму закона, которая обязывает обрабатывать данные (пп. 10 ст. 9); или сослаться на обязанность субъекта представить данные (пп. 8 ст. 9 и ст. 24 п. 2). Например, обязанность работодателя вести учёт и сдавать отчётность по налогам и пенсионным взносам, видимо, можно обосновать специальными законами. А проверку кандидата при найме обосновать можно только согласием.

Сравнение с GDPR

Основание	Казахстан	GDPR (Art. 6(1))
Согласие	Основное правило (ст. 7 п. 1)	(a), одно из шести
Исполнение договора	Нет	(b)
Юридическая обязанность	Частично: «в иных случаях, установленных законами» (пп. 10), обязанность субъекта (пп. 8)	(c)
Жизненно важные интересы	Узко: защита конституционных прав, если согласие невозможно (пп. 5)	(d)
Публичная задача	Перечень конкретных государственных функций	(e), общая формула
Законный интерес	Нет	(f)

Открытые вопросы

Открытый вопрос: договор. Нужно ли отдельное согласие, если данные необходимы для исполнения договора с самим субъектом? Буква закона говорит «да». Практика, судя по распространённым договорным оговоркам о согласии, исходит из того же.

Открытый вопрос: «законами» или «нормативными актами». Пункт 10 ст. 9 говорит о случаях, установленных законами. Достаточно ли подзаконного акта (приказа министерства), который обязывает организацию собирать данные?

Открытый вопрос: видеонаблюдение. На каком основании ведётся видеонаблюдение в офисах и магазинах, если изображение лица считается идентификатором (ст. 6), а законного интереса в перечне нет?

Что ещё изучить

• Специальные законы, которые сами устанавливают обработку без согласия: банковский, налоговый, о противодействии отмыванию денег.
• Содержание подпункта 9-6, который вступит в силу с 01.01.2027.
• Практику регулятора по видеонаблюдению и обработке данных работников.