Виды персональных данных

Коротко

По доступности персональные данные делятся на общедоступные и ограниченного доступа (ст. 6). Общедоступными считаются те, на которые законы не распространяют требования конфиденциальности и доступ к которым свободен с согласия субъекта. К данным ограниченного доступа относятся те, «доступ к которым ограничен законодательством». Закрытого перечня второй группы нет. Поэтому вопрос, относятся ли конкретные сведения к ограниченному доступу, решается через другие законы. От ответа зависят меры защиты, место обработки и даже категория оператора.

Общедоступные данные

«Общедоступными персональными данными являются персональные данные или сведения, на которые в соответствии с законами Республики Казахстан не распространяются требования соблюдения конфиденциальности, доступ к которым является свободным с согласия субъекта». — Закон № 94-V, ст. 6

Что важно:

• общедоступность возникает с согласия субъекта: публикация в общедоступных источниках по общему правилу требует согласия (ст. 7 п. 3);
• данные, собранные с нарушением закона, исключаются из общедоступных источников в течение одного рабочего дня по требованию субъекта, суда или уполномоченного органа (ст. 6);
• если данные опубликовал сам субъект, каждый последующий обработчик должен доказать законность своей обработки (ст. 7 п. 3-1).

Подробнее о распространении см. в заметке «Передача персональных данных третьим лицам и распространение».

Данные ограниченного доступа

Закон не перечисляет такие данные, а отсылает к законодательству. В других законах есть несколько опорных точек:

Источник	Что говорит	Как это работает
Закон о дактилоскопической и геномной регистрации, ст. 8	Дактилоскопическая и геномная информация относится к персональным данным ограниченного доступа	Прямое указание
Кодекс о здоровье, ст. 273	Персональные медицинские данные, факт обращения за помощью, состояние здоровья, диагноз составляют тайну медицинского работника	Через понятие охраняемой тайны
Закон «О доступе к информации», ст. 1	Информация с ограниченным доступом: государственные секреты, личная, семейная, банковская, коммерческая тайна, тайна медицинского работника и иные охраняемые тайны, персональные данные ограниченного доступа, служебная информация ограниченного распространения	Общий «словарь» охраняемых тайн
Конституция, ст. 21 п. 2	Тайна банковских операций, вкладов, переписки и сообщений охраняется законом	Конституционный уровень

Интерпретация. Опираясь на эти нормы, к данным ограниченного доступа разумно относить по меньшей мере медицинские сведения, сведения, составляющие банковскую тайну, генетические и дактилоскопические данные. Но, кроме дактилоскопической и геномной информации, это вывод через цепочку норм, а не прямое указание закона. Для других сведений, например ИИН, данных о заработной плате или семейном положении, ответ менее очевиден.

Почему это важно. Для данных ограниченного доступа действуют дополнительные требования:

• конфиденциальность: распространять их без согласия или иного законного основания нельзя (ст. 11);
• отдельный набор мер защиты, включая криптографию, журналы и контроль целостности (Правила мер защиты, п. 15);
• сбор и обработка только через цифровые объекты в Казахстане (п. 16);
• категория оператора повышается на один уровень (ст. 25-1; Правила, п. 17).

Идентификаторы

С 2026 года закон выделяет идентификаторы: ФИО (в совокупности), ИИН, изображение лица, биометрический вектор лица (ст. 6). Через них определяются сами персональные данные (ст. 1 пп. 2), а анонимизация описывается как необратимое преобразование идентификаторов (ст. 1 пп. 2-5). Цифровой кодекс называет ИИН уникальным идентификатором физического лица (ст. 45). Подробнее об определении см. в заметке «Сфера действия и основные понятия».

Биометрические данные

Отдельного определения биометрических данных в действующем Законе о персональных данных нет. Биометрия упоминается в нескольких нормах:

• изображение лица и биометрический вектор лица отнесены к идентификаторам (ст. 6);
• биометрические технологии в общественных местах без согласия субъекта применяются только для защиты конституционного строя, общественного порядка, прав, здоровья и нравственности (ст. 7 п. 12);
• конфиденциальность биометрических данных устанавливается законодательством (ст. 11 п. 3).

Цифровой кодекс уточняет: биометрические данные, используемые для цифровой аутентификации, признаются персональными данными; обязательная обработка биометрии допускается только в случаях, установленных законами; биометрическая аутентификация для государственных услуг идёт через национальную систему, а для финансовых организаций по правилам финансового регулятора и Национального Банка (ст. 48).

Сравнение с GDPR

Вопрос	Казахстан	GDPR
Основное деление	Общедоступные и ограниченного доступа	Обычные и особые категории
Чувствительные данные	Перечня нет; выводятся из других законов	Закрытый перечень: здоровье, генетика, биометрия для идентификации, расовое и этническое происхождение, политические взгляды, религия, профсоюзы, сексуальная жизнь (Art. 9)
Сведения о судимости	Отдельного режима в законе нет	Особый режим (Art. 10)
Публичные данные	Требуют согласия на публикацию; есть специальные правила дальнейшего использования	Остаются персональными данными; нужен обычный законный базис

Интерпретация. Особые категории GDPR определяются по содержанию сведений и риску дискриминации. Казахстанское «ограниченного доступа» определяется по наличию в законодательстве правила о закрытости. Поэтому политические взгляды или религиозные убеждения прямо не названы закрытыми, хотя по европейской логике это самые чувствительные данные.

Открытые вопросы

Открытый вопрос: ИИН. Является ли ИИН сам по себе данными ограниченного доступа? Он одновременно идентификатор и широко используемый публичный реквизит. Однозначного указания найти не удалось.

Открытый вопрос: банковская и коммерческая тайна. Если сведения о клиенте составляют банковскую тайну, автоматически ли они становятся «персональными данными ограниченного доступа» со всеми последствиями: локальной обработкой, криптографией, повышением категории?

Открытый вопрос: определение биометрии. В Законе о персональных данных нет общего определения биометрических данных. Где проходит граница между фотографией и «биометрическим вектором», закон не говорит.

Что ещё изучить

• Нормы о банковской тайне и их связь с данными ограниченного доступа.
• Трудовое законодательство о персональных данных работников.
• Правила сбора и обработки биометрических данных для аутентификации при оказании государственных услуг.