Персональные данные работников в 2026 году: что проверить в кадровой службе

Кадровая служба получает персональные данные раньше большинства других подразделений компании и продолжает работать с ними даже после увольнения сотрудника. ИИН, удостоверение личности, банковские реквизиты, сведения об образовании, семейном положении, социальных гарантиях, фотографии, документы о трудовой деятельности — всё это проходит через кадровый контур.

Поэтому защита персональных данных работника начинается не с папки «Согласия». Она начинается с более простого вопроса: зачем компания собирает конкретные сведения и что происходит с ними дальше?

В 2026 году этот вопрос стал особенно актуален. Изменились требования к сроку действия согласия, с июля заработала новая редакция Правил защиты персональных данных, а с 25 августа законодательство дополнительно конкретизировало идентификаторы персональных данных.

Почему кадровикам стоит провести ревизию именно сейчас

Обязанность работодателя работать с персональными данными по установленным правилам не появилась в 2026 году. Трудовой кодекс прямо относит сбор, обработку и защиту персональных данных работников к обязанностям работодателя.

Но в течение 2026 года сразу несколько изменений сделали старые кадровые шаблоны потенциально уязвимыми.

С 18 января в Законе «О персональных данных и их защите» закреплено, что срок действия согласия не должен превышать срок, необходимый для достижения цели обработки, если другое не предусмотрено законом или договором. Если срок вообще не указан, согласие действует до достижения той цели, ради которой оно было получено. При отзыве согласия оператор должен в течение 15 рабочих дней прекратить обработку, если закон не требует продолжать её, либо дать мотивированный отказ.

С 12 июля действует новая редакция Правил осуществления мер по защите персональных данных. В них прямо предусмотрены выделение бизнес-процессов, содержащих персональные данные, определение круга лиц с доступом и утверждение внутренних документов по сбору, обработке и защите данных. Для юридического лица также должно быть назначено ответственное лицо.

С 25 августа Закон №326-VIII дополнительно уточнил регулирование цифровых объектов и идентификаторов персональных данных. В числе таких идентификаторов прямо названы Ф.И.О. в совокупности, ИИН, изображение лица, биометрический вектор лица и его производные, которые могут быть восстановлены до первоначального значения.

То есть старый подход «взяли общее согласие при приёме — и вопрос закрыт» становится всё менее жизнеспособным.

Начните не с согласия, а с того, что реально лежит у кадровиков

Самая полезная проверка начинается с инвентаризации.

Откройте личное дело работника, кадровую программу, общие папки, электронную почту и используемые облачные сервисы. Посмотрите не только на обязательные документы, но и на всё, что фактически накопилось за годы работы.

Часто рядом с необходимыми сведениями обнаруживаются старые анкеты, копии документов, уже потерявшие практический смысл, фотографии, таблицы с телефонами и адресами, выгрузки из кадровой программы, списки детей работников, банковские реквизиты и копии документов бывших сотрудников.

Сам факт того, что документ когда-то понадобился, ещё не объясняет, почему его продолжают использовать сейчас.

Закон исходит из принципа необходимости и достаточности персональных данных для выполняемой задачи. Поэтому у каждого массива сведений должна быть понятная цель.

Например, ИИН нужен для совершенно конкретных кадровых и расчётных процедур. Банковские реквизиты — для выплат. Данные об образовании могут требоваться для подтверждения квалификации. А вот хранение дополнительной информации просто потому, что она когда-то была указана в старой анкете, требует отдельного объяснения.

Проверьте старые согласия работников

В 2026 году формы согласий стоит открыть заново, даже если компания использует их много лет.

Особенно насторожить должна одна короткая универсальная формулировка вроде «согласен на сбор и обработку всех моих персональных данных».

Действующая статья 8 Закона предусматривает значительно более конкретное содержание согласия. В нём, среди прочего, должны отражаться срок или период действия, сведения о возможности передачи данных третьим лицам, наличии либо отсутствии трансграничной передачи, распространении в общедоступных источниках и перечне собираемых данных.

При этом согласие не нужно превращать в разрешение «на всё и навсегда».

Для кадровой службы здесь полезен другой принцип: цель должна объяснять срок и объём обработки.

Если персональные данные собираются для определённого процесса, документы должны позволять понять, какие сведения используются, для чего они нужны и как долго сохраняется соответствующее основание.

Это особенно важно при использовании сторонних бухгалтерских сервисов, кадровых программ, медицинских организаций, учебных центров и других подрядчиков, которым компания фактически передаёт данные работников.

Утвердите не просто положение, а рабочий порядок

Наличие красивого положения о персональных данных само по себе мало что решает, если фактическая работа устроена иначе.

Новая редакция Правил защиты данных требует выделить бизнес-процессы, содержащие персональные данные, определить лиц, которые их собирают, обрабатывают или имеют к ним доступ, и утвердить документы, регулирующие соответствующий порядок.

Для обычной компании это можно перевести на практический язык.

Например, есть процесс приёма на работу. В нём участвуют кадровик, руководитель, бухгалтерия и, возможно, IT-служба. Каждый из них должен получать не «всё личное дело», а тот объём информации, который нужен именно для его задачи.

Есть начисление заработной платы — свой маршрут данных.

Есть оформление отпуска или социальной гарантии — другой.

Есть увольнение — третий.

После такой раскладки становится намного проще увидеть лишние точки доступа.

Общая кадровая папка — тоже риск

Для утечки не обязательно взламывать сервер.

Иногда достаточно открыть сетевой каталог, доступный всему офису.

Типичная ситуация: кадровые документы хранятся в папке, куда имеют доступ бухгалтер, секретарь, руководители подразделений, системный администратор и несколько сотрудников, которым доступ когда-то открыли и забыли закрыть.

Правила требуют определить круг лиц, работающих с персональными данными или имеющих к ним доступ.

Поэтому полезная проверка выглядит предельно просто: кадровая служба вместе с IT получает реальный список пользователей кадровой системы и папок и по каждой фамилии отвечает на вопрос:

зачем этому сотруднику нужен доступ?

Если ответ состоит только в том, что «так исторически сложилось», права стоит пересмотреть.

Отдельный вопрос — фотографии и биометрия

После изменений с 25 августа 2026 года этот участок заслуживает отдельного внимания.

Закон прямо относит к идентификаторам персональных данных изображение лица и биометрический вектор лица либо его производные.

Для работодателя это касается не только сложных биометрических систем.

Стоит посмотреть, где используются фотографии сотрудников: пропуска, карточки в корпоративной системе, сайт, внутренняя база, система контроля доступа, мобильное приложение.

Если же в компании используется распознавание лица, это уже нельзя воспринимать просто как удобный технический способ открыть дверь или отметить приход сотрудника. Такой процесс нужно рассматривать вместе с правилами обработки и защиты персональных данных.

Для крупных баз законодательство предусматривает и специальные технические требования. Комитет информационной безопасности разъяснял, что при работе с базами более чем на 100 тысяч записей персональных данных ограниченного доступа в многофакторной аутентификации одним из методов должна использоваться биометрическая аутентификация.

Для небольшого работодателя это требование может быть неактуально по объёму базы, но сам принцип полезен: кадровые данные нельзя защищать только одним общим паролем.

Где физически находится кадровая база

Ещё один вопрос, на который кадровая служба нередко не знает ответа:

где находятся наши данные?

В офисе? На сервере подрядчика? В казахстанском дата-центре? В зарубежном облаке?

Закон устанавливает, что хранение персональных данных осуществляется в базе, находящейся на территории Республики Казахстан.

Поэтому при использовании облачной кадровой системы или внешнего сервиса недостаточно знать название программы. Необходимо понимать, где размещается база и какие операции с данными выполняет поставщик.

Особенно важно не путать место хранения с трансграничной передачей: это связанные, но не одинаковые вопросы.

Что делать с данными после увольнения

Удалить всё в последний рабочий день нельзя.

Но и хранить абсолютно всё бессрочно только потому, что сотрудник когда-то работал в компании, тоже неверный подход.

Закон связывает общий срок хранения с достижением целей сбора и обработки, если иной срок не установлен законодательством.

При этом трудовые, бухгалтерские и архивные документы могут иметь отдельные обязательные сроки хранения.

Поэтому после увольнения важен не принцип «удалить» или «оставить», а классификация.

Что компания обязана продолжать хранить? Что нужно для выполнения требований законодательства? А какие вспомогательные данные больше ни для чего не используются?

Одновременно с этим должны закрываться активные учётные записи, доступ к кадровым ресурсам, общим папкам и внутренним системам.

Особенно критично это при увольнении самого кадровика, бухгалтера, системного администратора или другого сотрудника с расширенными правами.

Ответственный за персональные данные — не фамилия в приказе

Для юридического лица законодательство предусматривает назначение лица, ответственного за организацию обработки персональных данных.

На практике иногда на этом всё и заканчивается: приказ есть, сотрудник назначен, но сам человек не знает, что именно должен контролировать.

Функция значительно шире. Ответственный участвует во внутреннем контроле соблюдения законодательства и работает с обращениями субъектов персональных данных.

Поэтому при внутреннем аудите стоит задавать не вопрос «есть ли приказ?», а другой:

может ли ответственное лицо показать, как в компании организована обработка персональных данных?

Если нет, формальное назначение проблему не решает.

Быстрый аудит: что проверить кадровой службе

• Составьте перечень кадровых процессов, где используются персональные данные.

• Определите, какие сведения собираются в каждом процессе и зачем.

• Поднимите действующую форму согласия и проверьте её содержание и срок.

• Проверьте, кому кадровые данные передаются внутри компании и за её пределами.

• Получите фактический список пользователей кадровой системы и сетевых папок.

• Убедитесь, что определены сотрудники, которым разрешён доступ к данным.

• Проверьте наличие ответственного за организацию обработки персональных данных.

• Выясните, где физически хранится электронная кадровая база.

• Отдельно проверьте использование фотографий и биометрических решений.

• Посмотрите, как прекращаются доступы при увольнении.

• Разделите обязательное хранение документов и данные, в которых необходимость уже отпала.

• Проверьте, существует ли понятный порядок действий при нарушении безопасности персональных данных.

Если уже на этом уровне обнаруживаются общие папки без ограничений, бессрочные универсальные согласия, неизвестное место хранения базы или доступ бывших сотрудников, дальнейшая проверка должна быть не формальной, а системной.

Персональные данные — это процесс, а не документ

Главная ошибка — пытаться решить вопрос персональных данных одной новой формой согласия.

Согласие важно. Но рядом с ним находятся кадровая программа, бумажные личные дела, почта, облако, мессенджеры, бухгалтерия, подрядчики, права пользователей и сроки хранения.

Именно на стыках этих участков чаще всего появляется проблема: документ оформлен правильно, а фактический процесс ему не соответствует.

Поэтому кадровой службе разумнее проверять не папку документов, а маршрут информации — от момента, когда сведения о работнике попали в компанию, до момента, когда основание для их дальнейшего использования изменилось или прекратилось.

Камерир поможет проверить кадровый контур

Проверка персональных данных требует сопоставить кадровые документы с тем, как компания фактически работает с информацией.

ТОО «Камерир» может проверить кадровые процессы, используемые формы согласий и внутренние документы, определить спорные участки и помочь привести документооборот в соответствие с действующим порядком работы с персональными данными.

Материал носит информационный характер и подготовлен по состоянию на 5 сентября 2026 года. Для конкретной ситуации необходимо учитывать состав обрабатываемых данных, используемые информационные системы, способы передачи информации и актуальную редакцию законодательства Республики Казахстан.

Источники

• Закон Республики Казахстан от 21 мая 2013 года № 94-V «О персональных данных и их защите».

• Трудовой кодекс Республики Казахстан.

• Правила сбора, обработки персональных данных, утверждённые приказом № 395/НҚ.

• Правила осуществления собственником и (или) оператором, а также третьим лицом мер по защите персональных данных.

• Приказ от 22 июня 2026 года № 338/НҚ — изменения в Правила осуществления мер по защите персональных данных, действующие с 12 июля 2026 года.

• Закон Республики Казахстан от 24 июня 2026 года № 326-VIII — изменения по вопросам цифровизации и защиты персональных данных, введённые в действие с 25 августа 2026 года.