Персональные данные работника: готовность компании к проверке

Что такое персональные данные работника и кто их регулирует?

Персональные данные работника — это любая информация, которая прямо или косвенно идентифицирует физическое лицо. В трудовых отношениях это ФИО, ИНН, паспортные реквизиты, место регистрации, СНИЛС (аналог — данные Соцфонда КР), трудовая история, медицинские сведения при оформлении больничных, фото для пропусков и корпоративных систем, а также данные о зарплате и банковских счетах.

Регулятором в Кыргызстане выступает Агентство по защите персональных данных (DPA) при Государственном комитете информационных технологий и связи КР. DPA ведёт реестр операторов, принимает жалобы от субъектов данных, проводит плановые и внеплановые проверки, выдаёт предписания и передаёт материалы в прокуратуру при выявлении признаков нарушений.

Важен контекст 2026 года: DPA активизировало проверки после принятия поправок к Закону «Об информации персонального характера», которые закрепили новые требования к согласию, трансграничной передаче и сроку уведомления об утечках. IT-компании, работающие с удалёнными командами, облачными сервисами и зарубежными подрядчиками, — в фокусе особого внимания: они передают данные за рубеж, нередко не задумываясь о правовых основаниях.

По данным аналитики БЕКЕМ, большинство претензий DPA к IT-работодателям касаются трёх точек: отсутствие согласия работника на обработку данных, неверно оформленная политика конфиденциальности и передача данных иностранным облачным провайдерам без правового обоснования. Все три устраняются превентивно — без риска санкций.

Как правильно оформить согласие работника на обработку данных?

Согласие — базовый правовой инструмент. Без него обработка персональных данных возможна только в случаях, прямо предусмотренных законом: исполнение трудового договора, обязательная отчётность в государственные органы, защита жизни и здоровья. Во всех остальных случаях — фото в корпоративном мессенджере, публикация имени на сайте компании, использование данных в аналитике — требуется письменное согласие.

Согласие должно быть конкретным, информированным и свободным. Это означает: отдельный документ или чётко выделенный раздел в трудовом договоре, перечень целей обработки, перечень категорий данных, срок хранения, перечень третьих лиц, которым данные передаются, и порядок отзыва согласия. Общая фраза «я согласен на обработку персональных данных» без детализации — дефектное согласие, которое DPA не признаёт надлежащим.

Для IT-компаний отдельный вопрос — согласие на обработку данных при дистанционной работе. Если работник подписывает документы через электронную подпись, согласие также может быть электронным — при условии, что оно соответствует Закону «Об электронной подписи» и его подлинность можно подтвердить. DPA при проверке вправе запросить доказательство получения согласия: лог системы ЭДО, квалифицированная метка времени, файл-подтверждение.

Обратите внимание на специальные категории данных: биометрия (сканы лиц для систем контроля доступа, отпечатки пальцев), состояние здоровья, судимость. Для них требования к согласию ужесточены: явное письменное согласие, отдельное от стандартного, с указанием конкретной цели. Нарушение влечёт более строгие административные последствия.

Каков допустимый срок хранения персональных данных и как его контролировать?

Хранить персональные данные дольше, чем нужно для достижения цели их обработки, — нарушение закона. Согласно действующему законодательству КР, оператор обязан установить сроки хранения и прописать их во внутренней политике. По истечении срока данные подлежат уничтожению или обезличиванию.

Для трудовых отношений ориентиры такие. Данные действующих работников хранятся на протяжении всего срока трудового договора. После его расторжения большинство кадровых документов — личные карточки, трудовые договоры, приказы о приёме и увольнении — хранится не менее 75 лет (если они касаются работников, занятых в особых условиях) или не менее 50 лет в общем случае, в соответствии с законодательством об архивном деле. Данные кандидатов, не принятых на работу, следует удалять через 3–6 месяцев после завершения подбора — если не было получено согласие на более длительное хранение.

Для IT-компаний особую проблему представляют корпоративные системы: мессенджеры, системы управления задачами, облачные хранилища. Данные там накапливаются органически, без какой-либо классификации. DPA при проверке вправе запросить реестр обрабатываемых данных (РОД) — перечень систем, категорий данных, сроков хранения и ответственных лиц. Если такого реестра нет, компания не сможет доказать соблюдение требований закона.

Практический шаг: назначить ответственного за персональные данные (Data Protection Officer или аналогичная роль) и разработать матрицу данных — таблицу, где по каждой категории данных прописан правовой базис обработки, цель, срок хранения и способ уничтожения. Это не просто бумажный документ: он становится доказательством системной работы при проверке.

Передача данных третьим лицам и за рубеж: что нужно оформить

IT-компании передают данные работников постоянно: в облачные сервисы (Google Workspace, Microsoft 365, Atlassian), провайдерам зарплатных решений, аутсорсерам бухгалтерии, клиентам при выставлении кандидатов. Каждая такая передача — самостоятельное правовое действие, требующее обоснования.

Передача данных внутри Кыргызстана третьим лицам допустима при наличии согласия субъекта или договора с получателем, содержащего обязательства по защите данных. На практике это означает: в договоре с аутсорсером бухгалтерии или кадровой службой должен быть раздел об обработке персональных данных — обязательства по конфиденциальности, запрет перепередачи, сроки и порядок возврата/уничтожения данных по окончании договора.

Трансграничная передача — когда данные уходят на серверы в другой стране — регулируется отдельно. По действующему законодательству КР, такая передача допустима, если страна-получатель обеспечивает адекватный уровень защиты данных либо если оператор использует стандартные договорные условия (SCCs), признанные DPA. Использование американских или европейских облачных сервисов без правового обоснования трансграничной передачи — типичное нарушение, которое DPA выявляет при проверке.

Облачные провайдеры, как правило, предлагают Data Processing Agreement (DPA-соглашение) — его нужно подписать. Это стандартный документ, но его наличие — обязательное условие правомерности обработки. Многие IT-компании пропускают этот шаг, считая, что принятие условий пользования достаточно. Это не так: условия пользования регулируют коммерческие отношения, а не защиту персональных данных работников.

Что проверяет DPA и какие документы запрашивает прежде всего?

DPA при плановой или внеплановой проверке запрашивает документы двух уровней: правовую базу (политики, согласия, договоры) и операционные доказательства (реестры, логи, процедуры). Компания, у которой есть только политика на бумаге, но нет доказательств её применения, получает предписание так же, как компания, у которой нет ничего.

Типичный перечень запрашиваемых документов:

• Политика обработки персональных данных (утверждённая, актуальная версия);
• Согласия работников — отдельно по каждой цели обработки, выходящей за рамки исполнения трудового договора;
• Реестр обрабатываемых данных (РОД) — по системам и категориям;
• Договоры с третьими лицами, содержащие условия об обработке данных;
• DPA-соглашения с облачными провайдерами;
• Приказ о назначении ответственного за персональные данные;
• Журнал инцидентов (утечек, несанкционированного доступа) — даже если инцидентов не было, журнал должен существовать;
• Уведомление DPA о регистрации в качестве оператора персональных данных (если применимо);
• Документы, подтверждающие уничтожение данных по истечении сроков хранения.

Срок предоставления документов по запросу DPA — как правило, 5–10 рабочих дней. Непредоставление документов в срок само по себе является нарушением и может стать основанием для внеплановой проверки с выездом. Для IT-компании, у которой документация разбросана по разным системам, сбор за 5 дней — нереальная задача. Отсюда вывод: пакет документов должен быть собран заранее.

Пошаговый чек-лист: как подготовиться к проверке DPA

Ниже — структурированный перечень шагов. Каждый пункт соответствует одному проверочному требованию DPA.

Права работника как субъекта данных: что компания обязана обеспечить

Работник — субъект данных — имеет права, которые компания обязана реализовать по запросу. Согласно действующему законодательству КР, это право на доступ к своим данным, право на исправление неточных данных, право на удаление данных (в определённых случаях), право на ограничение обработки и право на возражение против обработки.

На практике это означает: у компании должна быть процедура обработки таких запросов. Работник обращается с письменным заявлением — и компания обязана ответить в установленный законом срок (как правило, не более 15 рабочих дней). Если ответа нет — работник вправе обратиться в DPA с жалобой, и это автоматически инициирует проверку.

Особенно актуально для IT-компаний с текучкой кадров: уволенный работник может запросить подтверждение уничтожения его данных. Если у компании нет документированной процедуры и журнала уничтожения — ответить на такой запрос корректно невозможно. Смотрите также: срочный трудовой договор в Кыргызстане и странах ЕАЭС — при срочных договорах вопрос уничтожения данных возникает чаще из-за короткого цикла занятости.

Ещё один аспект — уведомление об утечке. По поправкам 2026 года компания обязана уведомить DPA об инциденте в течение 72 часов с момента обнаружения. Если утечка затрагивает значительный круг субъектов или специальные категории данных — уведомление может потребоваться и самим работникам. Отсутствие процедуры реагирования на утечку — отдельное нарушение, независимо от того, произошла ли утечка фактически.

Ответственность за нарушения: что грозит работодателю

За нарушение законодательства о персональных данных в Кыргызстане предусмотрена административная ответственность. DPA вправе выдать предписание об устранении нарушений, назначить административный штраф, приостановить или запретить обработку данных. При повторных нарушениях или признаках умышленных действий материалы могут быть переданы в прокуратуру.

Конкретные размеры штрафов зафиксированы в Кодексе о правонарушениях КР — уточняйте актуальный тариф у юриста, так как суммы периодически индексируются. Для IT-компаний принципиально важнее другой риск: приостановка обработки данных фактически означает приостановку кадрового администрирования. Это парализует найм, расчёт зарплаты и отчётность перед Соцфондом.

Мораторий на проверки бизнеса, действующий до 31 декабря 2026 года, не защищает от проверок DPA по жалобам работников. Если уволенный сотрудник или действующий работник подаёт жалобу — DPA инициирует внеплановую проверку вне зависимости от моратория. Для ознакомления с судебной практикой по трудовым спорам смотрите: разбор спора об испытательном сроке и актуальные тренды 2026 года.

Превентивные меры стоят дешевле устранения последствий проверки. Разработка комплекта документов занимает в среднем 2–4 недели при наличии юридического сопровождения. Это разовая инвестиция, которая снимает операционный риск на весь период действия текущего регулирования.