Что должно быть в политике конфиденциальности сайта

Закон Республики Казахстан от 21 мая 2013 года № 94-V «О персональных данных и их защите»

ст. 25, п. 2, пп. 1), 1-1); ст. 10-1

Собственник или оператор обязан утвердить перечень ПД, необходимый и достаточный для его задач, и документы, определяющие политику в отношении сбора, обработки и защиты ПД (политика конфиденциальности). С 25.08.2026 (Закон № 326-VIII) введена новая ст. 10-1: до начала и при прекращении обработки ПД нужно уведомить уполномоченный орган (реестр лиц, обрабатывающих ПД). Малые и средние операторы (до 500 тыс. уникальных субъектов, ст. 25-1) освобождены от уведомления. Статья 10 Закона «Об онлайн-платформах» также требует знакомить пользователя с политикой конфиденциальности до завершения регистрации.

Закон Республики Казахстан от 21 мая 2013 года № 94-V «О персональных данных и их защите»

ст. 7, п. 1; ст. 8, пп. 1, 4

Сбор и обработка ПД допускаются только с согласия субъекта (кроме случаев ст. 9). Согласие даётся письменно, через государственный или негосударственный сервис либо иным способом, позволяющим подтвердить его получение; оно должно содержать наименование и БИН/ИИН оператора, ФИО субъекта, срок действия, сведения о передаче третьим лицам, о трансграничной передаче, о распространении в общедоступных источниках и перечень собираемых данных. Собственник или оператор обязан по запросу доказать получение согласия (ст. 25, п. 2, пп. 5)). Для веб-формы нужен неотмеченный чекбокс с текстом согласия и журнал фактов согласия.

Закон Республики Казахстан от 21 мая 2013 года № 94-V «О персональных данных и их защите»

ст. 8, пп. 2, 7; ст. 24, п. 1, пп. 5)

Субъект вправе отозвать согласие, уведомив собственника, оператора или третье лицо. В течение 15 рабочих дней обработка должна быть прекращена либо дан мотивированный отказ. Отзыв невозможен, если он противоречит закону или есть неисполненное обязательство. На сайте должен быть указан понятный способ отзыва (e-mail или форма).

Закон Республики Казахстан от 21 мая 2013 года № 94-V «О персональных данных и их защите»

ст. 25, п. 2, пп. 10); ст. 25, п. 3

Собственник или оператор — юридическое лицо обязан назначить лицо, ответственное за организацию обработки ПД. Это лицо осуществляет внутренний контроль, информирует работников и контролирует приём и обработку обращений субъектов. Контакты ответственного лица указываются при уведомлении об утечке, поэтому их полезно указать в политике конфиденциальности.