Персональные данные работника для иностранной компании в КР

Что считается персональными данными работника в КР?

Персональные данные работника — любая информация, прямо или косвенно идентифицирующая конкретного человека. Применительно к трудовым отношениям это значительно шире, чем паспортные реквизиты. В состав данных, которые работодатель собирает в рамках обычного трудового процесса, входят: ФИО, дата и место рождения, ИНН, сведения о гражданстве, место жительства и регистрации, образование и трудовой стаж, банковские реквизиты для перечисления зарплаты, фотографии, данные системы контроля доступа, информация из корпоративных аккаунтов и переписки.

Отдельную категорию составляют чувствительные данные: сведения о состоянии здоровья, инвалидности, беременности, судимостях. Закон «Об информации персонального характера» предусматривает для таких данных повышенные требования: обработка допустима только при наличии явного письменного согласия работника, либо когда это прямо требуется законом. Работодатель не вправе собирать чувствительные данные «на всякий случай» — каждая категория должна быть обоснована конкретной целью обработки.

Для иностранной компании принципиально важно разграничивать данные, которые собираются при заключении трудового договора, и данные, которые накапливаются в ходе работы. Первая группа — паспорт, ИНН, трудовая книжка — обрабатывается на основании прямого требования нового Трудового кодекса КР. Вторая группа — биометрия, журналы рабочего времени, данные корпоративных систем — требует либо отдельного согласия, либо локального нормативного акта работодателя, прошедшего регистрацию в уполномоченном органе.

Практически значимый момент: данные, получаемые через корпоративные мессенджеры и почту, которые хранятся на серверах иностранной компании за рубежом, де-факто уже пересекают государственную границу. Это автоматически переводит обработку в режим трансграничной передачи со всеми сопутствующими ограничениями — даже если компания считает переписку «рабочей», а не «персональными данными».

Какие документы нужно подготовить до начала обработки данных?

До того как компания начнёт собирать сведения о кандидате или работнике, она обязана подготовить комплект документов — локальную нормативную базу оператора персональных данных. Без этого комплекта любая обработка технически является незаконной, даже если согласие подписано.

Первый документ — политика конфиденциальности (или политика обработки персональных данных). В ней фиксируются: цели обработки, перечень категорий данных, правовые основания, сроки хранения, порядок уничтожения, права субъекта и контакты оператора. Политика должна быть доступна работнику до подписания согласия — например, вручена под роспись или размещена на корпоративном портале с подтверждением ознакомления.

Второй документ — форма согласия на обработку персональных данных. Согласие должно быть добровольным, информированным, конкретным и однозначным. Закон требует письменной формы. В тексте согласия указывают: наименование оператора, цели обработки, перечень данных, которые охватывает согласие, срок его действия, порядок отзыва. Согласие на обработку чувствительных данных оформляется отдельно от основного.

Третий документ — локальный акт о порядке обработки персональных данных работников. Это внутренний регламент, который описывает технические и организационные меры защиты, ответственных лиц, порядок доступа к данным внутри компании, процедуру реагирования на инциденты. Для иностранной компании рекомендуется закрепить в этом акте и порядок трансграничной передачи.

Четвёртый элемент — уведомление ГАЗПД о регистрации в качестве оператора персональных данных. Порядок уведомления и форма определены нормативными актами агентства. Регистрация в реестре операторов — не разрешительная процедура, а уведомительная, однако её отсутствие фиксируется как нарушение при проверке.

Наконец, если компания использует системы видеонаблюдения, биометрической идентификации или автоматизированного мониторинга рабочего времени — каждая такая система требует отдельного правового обоснования и, как правило, отдельного согласия работника.

Как правильно оформить согласие работника на обработку данных?

Согласие — центральный инструмент легитимации обработки персональных данных в трудовых отношениях. Закон «Об информации персонального характера» устанавливает жёсткие требования к его форме и содержанию. Несоответствие любому из них делает согласие юридически ничтожным, то есть обработка на его основании считается незаконной.

Согласие должно быть получено до начала обработки — не в день подписания трудового договора одним пакетом, а отдельным документом, который работник может изучить без спешки. Практика «подпиши всё сразу» создаёт риск оспаривания добровольности согласия. Особенно это актуально при приёме на работу, когда человек находится в ситуации экономической зависимости и фактически лишён возможности отказаться.

Структура корректного согласия включает несколько обязательных блоков. Первый — идентификация оператора: полное наименование компании, страна регистрации, адрес, контактные данные уполномоченного по персональным данным. Для иностранной компании это означает указание иностранного юридического адреса и, при наличии, кыргызского представительства или ОсОО. Второй блок — цели обработки: их нужно перечислять конкретно («начисление заработной платы», «ведение кадрового учёта», «обеспечение пропускного режима»), а не общими формулировками («в целях трудовой деятельности»). Третий блок — перечень данных: каждая категория отдельно, без обобщений. Четвёртый — действия с данными: сбор, хранение, использование, передача третьим лицам (с их перечнем), уничтожение. Пятый — срок: как правило, на период трудовых отношений плюс срок хранения документов после их окончания.

Работник вправе отозвать согласие в любой момент. Работодатель обязан предусмотреть простой и доступный механизм отзыва — письменное заявление, подача через HR-систему. После отзыва компания должна прекратить обработку данных, для которых согласие было единственным правовым основанием. При этом данные, обработка которых обязательна по закону (налоговая и кадровая документация), продолжают храниться независимо от отзыва согласия.

Отдельная ситуация — данные третьих лиц, которые работник сообщает при трудоустройстве: сведения о ближайших родственниках для экстренной связи, данные поручителей. На обработку этих сведений согласие должны дать сами третьи лица, а не работник. На практике это требование часто игнорируется — и становится предметом предписаний ГАЗПД.

Хранение данных: локализация и технические требования

Закон «Об информации персонального характера» устанавливает требование локализации: базы данных, содержащие персональные данные граждан КР, должны храниться на серверах, физически расположенных на территории Кыргызстана. Это правило распространяется на иностранные компании, которые ведут деятельность в КР или целенаправленно обрабатывают данные её граждан.

Для российской компании, переносящей бизнес в Кыргызстан, это означает практическую задачу: корпоративные системы HR, кадрового учёта, расчёта зарплат должны либо иметь кыргызский сегмент хранения, либо располагаться на сервере, физически находящемся в КР. Облачные решения российских или европейских провайдеров без кыргызского узла де-факто не соответствуют требованию локализации.

Технические требования к защите данных включают: шифрование при хранении и передаче, разграничение доступа по принципу минимальной необходимости, журналирование операций с данными, регулярное резервное копирование, процедуры реагирования на инциденты безопасности. ГАЗПД при проверках оценивает не только наличие политик, но и их фактическое исполнение — наличие технических средств защиты, логов доступа, результатов тестирования.

Сроки хранения определяются двумя источниками. Первый — требования трудового и налогового законодательства: трудовые договоры, приказы о приёме и увольнении, расчётные ведомости хранятся в течение сроков, установленных для кадровых документов согласно действующему законодательству КР (как правило, от 5 до 75 лет в зависимости от вида документа). Второй — политика оператора: данные, собранные на основании согласия и не требуемые законом, должны быть уничтожены по истечении срока, указанного в согласии, либо при его отзыве.

Уничтожение данных — не формальная процедура. Закон требует подтверждённого уничтожения: составляется акт об уничтожении с указанием метода (физическое уничтожение носителя, программное затирание с невозможностью восстановления), даты, перечня уничтоженных категорий. Этот акт хранится у оператора и может быть запрошен ГАЗПД при проверке.

Трансграничная передача данных сотрудников: что ограничено?

Трансграничная передача персональных данных — передача данных за пределы КР любому получателю, включая материнскую компанию — одно из наиболее регулируемых действий в сфере обработки данных. Закон «Об информации персонального характера» устанавливает для неё отдельные правила.

Передача данных в страну, обеспечивающую адекватный уровень защиты, допустима в общем порядке. Перечень таких стран определяется уполномоченным органом — ГАЗПД. Если страна назначения в этот перечень не включена, передача данных допустима только при наличии отдельного письменного согласия субъекта на трансграничную передачу, либо на основании международного договора КР, либо при соблюдении иных условий, предусмотренных законом.

Для иностранной компании, которая централизованно обрабатывает данные сотрудников из КР через головной офис в другой стране, это означает следующее. Передача кадровых данных в головной офис — например, для расчёта зарплаты, HR-аналитики, системы управления персоналом — является трансграничной. Она требует либо включения страны назначения в перечень ГАЗПД, либо отдельного согласия работников с явным указанием страны-получателя и целей передачи.

Передача данных третьим лицам внутри КР — аутсорсинговой бухгалтерии, кадровому агентству, банку для зарплатного проекта — трансграничной не является, но также требует правового основания: согласия субъекта или договора с третьим лицом, включающего обязательства по защите данных. Компания остаётся ответственной за действия обработчика, которому передала данные.

Типичная ошибка при релокации: компания продолжает использовать российские HR-системы, в которых обрабатываются данные кыргызских сотрудников. Технически это трансграничная передача в РФ — с момента первого входа данных в систему. Без надлежащего правового основания и согласия работников такая схема нарушает законодательство КР о персональных данных.

Специфика для нерезидентов: дополнительные требования

Иностранная компания, нанимающая сотрудников в КР, сталкивается с рядом требований, которые не актуальны для местных работодателей. Первое — идентификация оператора. В уведомлении ГАЗПД иностранная компания обязана указать представителя на территории КР, который будет точкой контакта для надзорного органа и субъектов данных. Таким представителем может быть кыргызское ОсОО группы, уполномоченный представитель по доверенности или иное лицо, постоянно находящееся в КР.

Второе — документы на иностранном языке. Если внутренние политики компании составлены на иностранном языке, ГАЗПД вправе потребовать их перевода на кыргызский или русский язык. Согласие работника также должно быть составлено на языке, понятном работнику, и подписано им собственноручно. Для дистанционного подписания допустима усиленная электронная подпись в соответствии с Законом «Об электронной подписи» КР.

Третье — двойное регулирование. Компания, работающая и в России, и в КР, обязана соблюдать требования обеих юрисдикций. Федеральный закон «О персональных данных» РФ и кыргызский закон имеют схожую концепцию, но расходятся в деталях: перечень чувствительных категорий, основания для обработки без согласия, требования к уведомлению о нарушениях. Compliance-пакет, разработанный для российского юрлица, не переносится в КР автоматически — требуется адаптация.

Четвёртое — ответственность. ГАЗПД вправе выносить предписания об устранении нарушений, составлять протоколы об административных правонарушениях, инициировать проверки. Для иностранных компаний, не имеющих зарегистрированного юрлица в КР, применение санкций технически затруднено, однако существует риск ограничения деятельности на территории республики и претензий со стороны работников.

Пятое — обработка данных иностранных граждан, работающих в КР. Если компания нанимает специалистов — граждан третьих стран, правила КР о персональных данных применяются к обработке их сведений в той мере, в какой она осуществляется на территории республики. Дополнительно возникают вопросы миграционного учёта: данные иностранного работника передаются в органы МВД КР в рамках обязательного уведомления — это самостоятельное правовое основание, не требующее согласия.

ГАЗПД: функции, проверки и ответственность

Агентство по защите персональных данных (ГАЗПД) — уполномоченный государственный орган КР в сфере персональных данных. Агентство ведёт реестр операторов, рассматривает жалобы субъектов данных, проводит плановые и внеплановые проверки, выдаёт предписания, а также разрабатывает нормативную базу в области защиты данных.

С 2026 года действует мораторий на проверки бизнеса до 31 декабря 2026 года. Однако проверки по обращениям граждан (работников, подавших жалобу) прямо выведены из-под моратория. Это означает: если сотрудник пожалуется в ГАЗПД на нарушение его прав в сфере персональных данных — проверка будет проведена вне зависимости от моратория.

Типичные нарушения, выявляемые ГАЗПД при проверках работодателей: отсутствие уведомления о регистрации оператора; обработка данных без правового основания или с ненадлежащим согласием; нарушение требования локализации; передача данных третьим лицам без документального основания; отсутствие процедуры реагирования на запросы субъектов данных; хранение данных дольше установленного срока без законного основания.

По результатам проверки ГАЗПД вправе выдать предписание об устранении нарушений с установленным сроком. Неисполнение предписания — самостоятельное нарушение, за которым следует административная ответственность. Кроме того, работник, чьи права нарушены, вправе обратиться в суд с иском о возмещении ущерба — как материального, так и морального. Практика взыскания морального вреда за нарушение прав в сфере персональных данных в КР только формируется, однако число таких исков растёт.

Обращение с данными сотрудников влияет и на более широкий комплаенс компании. Финансовые организации — банки, платёжные системы, VASP — при открытии счетов и подключении к платёжной инфраструктуре проверяют наличие политики персональных данных и статус оператора. Отсутствие регистрации в ГАЗПД или жалобы от работников в реестр могут стать основанием для отказа в обслуживании или проведении операций.

Права работника как субъекта данных

Работник в кыргызском законодательстве — полноправный субъект персональных данных с комплексом прав, которые работодатель обязан обеспечить в операционном режиме, а не только декларировать в политике. Перечень прав закреплён в Законе «Об информации персонального характера» и включает следующее.

Право на информацию: работник вправе в любой момент получить сведения о том, какие данные о нём обрабатываются, на каком основании, в каких целях, кому они передаются. Запрос обрабатывается в срок, установленный законом, — как правило, в течение 10–15 рабочих дней. Работодатель не вправе отказать в предоставлении информации без законного основания.

Право на исправление: если данные неточны или устарели, работник вправе потребовать их исправления. Это актуально, например, при изменении места жительства, смене фамилии, получении нового образования. Работодатель обязан внести исправления и уведомить третьих лиц, которым данные были переданы.

Право на удаление: работник вправе потребовать уничтожения данных, которые более не нужны для целей обработки или обрабатываются незаконно. Это право не абсолютно — данные, которые работодатель обязан хранить по закону (кадровые документы, налоговая отчётность), удалению не подлежат. Но данные из маркетинговых систем, старые резюме, неактуальные контакты — подлежат уничтожению по запросу.

Право на ограничение обработки: работник может потребовать приостановить обработку данных на период рассмотрения спора о законности обработки или для уточнения данных. На практике это означает, что до разрешения спора с работником компания не вправе использовать спорные данные в новых целях.

Право на возражение: работник вправе возразить против обработки данных в определённых целях — например, в целях маркетинга или профилирования. В трудовых отношениях это право ограничено: возражение невозможно против обработки, которая необходима для исполнения трудового договора или требуется законом.

Работодатель обязан создать механизм реализации этих прав — контактное лицо (ответственный за обработку персональных данных), форму запроса, процедуру регистрации и обработки обращений. Игнорирование запросов субъектов — самостоятельное нарушение, за которым следует жалоба в ГАЗПД.

Практические риски при найме через подрядчика или аутстаффинг

Многие иностранные компании, работающие в КР, предпочитают нанимать сотрудников не напрямую, а через кыргызского подрядчика — аутстаффинговую компанию или ИП. Это решает часть административных задач, но не снимает вопроса о персональных данных.

При аутстаффинге фактическим работодателем остаётся кыргызская компания-посредник. Именно она собирает данные работников, оформляет трудовые договоры, ведёт кадровый учёт. Иностранная компания, которой работники фактически оказывают услуги, при этом неизбежно получает доступ к части их персональных данных — как минимум к ФИО, контактам и иногда к налоговым сведениям для выставления счетов.

Передача этих данных от кыргызской аутстаффинговой компании иностранному заказчику — трансграничная передача персональных данных. Она требует правового основания. Если в договоре между аутстаффером и иностранной компанией этот вопрос не урегулирован — оба участника нарушают закон.

Дополнительный риск: аутстаффинговые компании нередко не имеют собственной compliance-системы в области персональных данных. При жалобе работника в ГАЗПД выяснится, что ни аутстаффер, ни иностранная компания не зарегистрированы как операторы, не имеют политик обработки, не получили надлежащих согласий. Ответственность в этом случае распределяется между обоими участниками — пропорционально их фактическому участию в обработке данных.

При выборе аутстаффера или подрядчика для найма в КР рекомендуется проверять: наличие регистрации в ГАЗПД, наличие политики конфиденциальности, опыт работы с иностранными клиентами в части персональных данных, готовность включить в договор обязательства по защите данных и ответственность за нарушения. Отсутствие этих элементов — основание либо для замены подрядчика, либо для самостоятельного выстраивания compliance-системы.

Материалы по смежным вопросам: 15 вопросов о трудовом договоре в КР и как защитить интересы компании в трудовом договоре. Общий обзор трудового права КР для работодателей — в руководстве по практике.

Новый Трудовой кодекс КР и персональные данные: что изменилось?

Новый Трудовой кодекс КР, вступивший в силу в 2025 году, содержит ряд положений, прямо регулирующих обработку персональных данных работников. Это первый случай, когда трудовое законодательство КР детально закрепило правила работы с данными в трудовых отношениях, ранее они регулировались исключительно Законом «Об информации персонального характера».

Новый кодекс прямо устанавливает: работодатель обязан получить согласие работника на обработку его персональных данных. Согласие является условием законности обработки в части, превышающей прямо предусмотренные кодексом обязательства работодателя. Это означает, что обработка данных, необходимая для исполнения трудового договора и предусмотренная кодексом — например, передача сведений в Соцфонд, оформление кадровых документов, — не требует отдельного согласия. Всё остальное — требует.

Кодекс также закрепляет обязанность работодателя хранить персональные данные работника в режиме конфиденциальности. Доступ к данным работника внутри компании должен предоставляться только тем сотрудникам, которым это необходимо для выполнения трудовых функций. Передача данных работника другим сотрудникам — например, коллегам — без его согласия не допускается, если она выходит за рамки служебной необходимости.

Важное практическое следствие: новый кодекс чётко разграничивает, какие данные работодатель вправе запрашивать при приёме на работу. Требование документов, не предусмотренных кодексом, — нарушение. Это ограничивает практику «запроса всего подряд» при трудоустройстве, характерную для компаний, перенёсших кадровые процессы из других юрисдикций без адаптации.

Для иностранных компаний принципиально: новый Трудовой кодекс КР применяется ко всем трудовым отношениям на территории республики вне зависимости от того, где зарегистрирован работодатель. Если иностранная компания нанимает сотрудника в КР — трудовой договор регулируется кыргызским правом, если стороны не предусмотрели иного применимого права в договоре. При выборе иностранного права нормы КР о персональных данных всё равно применяются как императивные.

Как выстроить compliance-систему: практический алгоритм

Compliance по персональным данным для иностранной компании в КР строится поэтапно. Попытка сделать всё сразу обычно приводит к формальному пакету документов, не работающему на практике. Ниже — рабочий алгоритм.

Этап первый — аудит текущей ситуации. Нужно зафиксировать: какие данные работников уже обрабатываются, где они хранятся (физически и технически), кто имеет к ним доступ, на каком правовом основании. Для компании, переехавшей из другой юрисдикции, это часто выявляет системы хранения данных за рубежом и отсутствие кыргызских правовых оснований для обработки.

Этап второй — разработка документальной базы. Политика конфиденциальности, форма согласия, внутренний регламент — эти три документа разрабатываются с учётом специфики компании: структуры группы, используемых систем, категорий работников. Типовые формы из интернета создают иллюзию compliance, но не защищают от предписаний ГАЗПД.

Этап третий — регистрация в ГАЗПД. Подача уведомления о регистрации оператора — административная процедура, которую рекомендуется завершить до начала найма первого сотрудника. Уведомление подаётся в установленном агентством порядке.

Этап четвёртый — техническая инфраструктура. Проверка и при необходимости переконфигурация систем хранения данных с учётом требования локализации. Настройка разграничения доступа, журналирования операций, шифрования. Для небольших компаний это часто решается через кыргызских облачных провайдеров или размещение сервера в КР.

Этап пятый — обучение персонала. Сотрудники HR, IT и руководители, имеющие доступ к данным работников, должны понимать базовые правила: что можно, что нельзя, что делать при запросе от работника или проверке ГАЗПД. Без этого самый детальный compliance-пакет остаётся бумажным.

Этап шестой — мониторинг и обновление. Законодательство о персональных данных в КР активно развивается. Compliance-система требует пересмотра при изменении законодательства, при расширении деятельности компании, при смене технических платформ. Рекомендуется ежегодный внутренний аудит.

Подробнее о трудовых вопросах при найме — на странице практики трудового права БЕКЕМ. Общий обзор аналитики — в разделе материалов.