Персональные данные работников и кандидатов

Коротко

Трудовой кодекс почти не содержит собственных правил о персональных данных и отсылает к общему Закону. Работодатель обязан собирать, обрабатывать и защищать данные работника «в соответствии с законодательством Республики Казахстан о персональных данных и их защите» (ст. 23 п. 2 пп. 24). Работник вправе требовать защиты своих данных (ст. 22 п. 1 пп. 24). Самая практичная норма кодекса устанавливает закрытый перечень документов при приёме на работу (ст. 32): требовать другие документы нельзя, если это не предусмотрено нормативными актами.

Приём на работу

Для заключения трудового договора нужны (ст. 32 п. 1):

1. удостоверение личности или паспорт (иностранцы представляют вид на жительство или иной документ);
2. документ об образовании или о специальных знаниях, если работа их требует;
3. документ о признании профессиональной квалификации (при наличии);
4. документ, подтверждающий трудовую деятельность, для лиц со стажем;
5. документ о предварительном медицинском освидетельствовании, если оно обязательно.

Для отдельных случаев есть дополнительные документы:

• для работы с несовершеннолетними в образовании, медицине, спорте, культуре и социальной сфере нужна справка о наличии либо отсутствии сведений об определённых уголовных правонарушениях (ст. 32 п. 2);
• для некоторых должностей работодатель сам запрашивает сведения о коррупционных правонарушениях через цифровые системы (ст. 32 п. 3);
• для совместительства нужна справка с основного места работы (ст. 32 п. 4).

Работодатель не вправе требовать документы, не предусмотренные ст. 32, кроме случаев, установленных нормативными правовыми актами (ст. 32 п. 6). Если работник оставляет подлинники, работодатель выдаёт письменное обязательство вернуть их (ст. 32 п. 7).

Интерпретация. Ст. 32 п. 6 по сути вводит принцип минимизации для найма (ср. ст. 12 п. 1 Закона о ПД). Анкеты кандидатов с вопросами о семейном положении, детях, родственниках или прежних зарплатах трудно обосновать: запрашивать такие сведения можно разве что добровольно, с согласия, и без последствий за отказ. Кроме того, беременность и наличие детей до трёх лет не могут ограничивать заключение трудового договора (ст. 25 п. 2), а дискриминация в сфере труда запрещена (ст. 6).

Копии удостоверений личности

Закон о ПД запрещает собирать и обрабатывать бумажные копии документов, удостоверяющих личность. Исключения: нет интеграции с государственными цифровыми объектами, субъекта невозможно идентифицировать технологическими средствами, или это предусмотрено законами (ст. 7 п. 10). Документы из сервиса цифровых документов под эти исключения не подпадают (там же).

Интерпретация. Привычная практика отдела кадров (копировать удостоверение личности в личное дело) теперь требует обоснования одним из исключений. Безопаснее сверять документ при приёме, а в деле фиксировать только нужные реквизиты.

Основания обработки: закон или согласие

В Законе о ПД нет основания «исполнение трудового договора» (см. заметку «Обработка персональных данных без согласия»). Поэтому:

• без согласия обрабатываются данные, которые работник обязан представить по закону (ст. 9 пп. 8; ст. 24 п. 2), и данные для исполнения прямых обязанностей работодателя по законам (ст. 9 пп. 10): налоги, пенсионные взносы, обязательное социальное страхование (ТК, ст. 23 п. 2 пп. 14), внесение сведений о трудовом договоре в единую систему учёта трудовых договоров (ТК, ст. 23 п. 2 пп. 27);
• с согласия обрабатывается всё остальное: фотографии на сайте, данные родственников, проверка кандидатов, передача данных в группу компаний или за рубеж, биометрический доступ в офис.

Конфиденциальность данных в единой системе учёта трудовых договоров обеспечивает уполномоченный орган по труду (ТК, ст. 16 пп. 41-7). Работник вправе получать из системы сведения о своём трудовом договоре и трудовой деятельности (ТК, ст. 22 п. 1 пп. 25).

Интерпретация. Согласие работника, которое работодатель получает «на всё» при приёме, плохо сочетается с требованием, чтобы цели были конкретными и заранее определёнными (Закон о ПД, ст. 7 п. 8). Лучше разделить: что обрабатывается по закону (без согласия) и что обрабатывается по согласию, с перечислением целей. О добровольности согласия работника см. в заметке «Согласие на сбор и обработку персональных данных».

Кандидаты

• Что можно собирать: только то, что нужно для оценки кандидата на конкретную должность.
• Проверка кандидата (запрос рекомендаций, проверка по открытым источникам) проводится с согласия: основания «законный интерес» в законе нет.
• Срок хранения документов лиц, не принятых на работу: «до минования надобности» (Перечень, п. 464). По общему правилу это означает удаление после завершения отбора, если нет согласия на включение в кадровый резерв (см. заметку «Цели, объём и сроки хранения персональных данных»).

Сроки хранения кадровых документов

По Перечню 2025 года (пп. 460–467): положения о персональных данных работников (постоянно); трудовые договоры, личные дела и личные карточки (75 лет); заявления работников о согласии на обработку персональных данных (1 год). Подробная таблица и противоречие с обязанностью доказывать согласие разобраны в заметке «Цели, объём и сроки хранения персональных данных».

Особые данные работников

• Медицинские сведения (результаты медосмотров, больничные) составляют тайну медицинского работника и относятся к данным ограниченного доступа; см. заметку «Персональные медицинские данные и цифровое здравоохранение».
• Биометрия (доступ по лицу или отпечатку) относится к данным ограниченного доступа; нужно согласие и усиленные меры защиты.
• Сведения о судимости запрашиваются только в случаях ст. 32 пп. 2–3 ТК.

Сравнение с GDPR

Вопрос	Казахстан	GDPR
Специальные правила для трудовых отношений	Почти нет, отсылка к общему Закону	Государства ЕС вправе устанавливать особые правила (Art. 88)
Основание для кадровых данных	Закон или согласие	Исполнение договора, юридическая обязанность (Art. 6(1)(b), (c)); согласие работника считается сомнительным из-за неравенства сторон
Документы при найме	Закрытый перечень ст. 32 ТК	Принцип минимизации (Art. 5(1)(c))
Мониторинг работников	Специальных правил нет	Законный интерес с оценкой соразмерности, часто с оценкой воздействия (Art. 35)

Открытые вопросы

Открытый вопрос: видеонаблюдение и мониторинг. На каком основании работодатель ведёт видеонаблюдение, контролирует корпоративную почту и рабочие компьютеры? Законного интереса в Законе нет; согласие работника под вопросом из-за его зависимости от работодателя.

Открытый вопрос: HR-системы группы. Если кадровые данные хранятся в общей HR-системе международной группы за рубежом, как выполнить одновременно локализацию (ст. 12 п. 2) и правила трансграничной передачи (ст. 16)?

Открытый вопрос: отказ работника. Что делать, если работник отказывается дать согласие на обработку данных, без которых работа невозможна, но которые закон прямо не требует?

Что ещё изучить

• Правила представления сведений в единую систему учёта трудовых договоров.
• Практику трудовой инспекции и уполномоченного органа по данным работников.
• Нормы о медицинских осмотрах работников и хранении их результатов.