Цели, объём и сроки хранения персональных данных

Коротко

Обработка ограничивается конкретными, заранее определёнными и законными целями (ст. 7 п. 8). Данные используются только для ранее заявленных целей (ст. 14), а накапливаются путём сбора данных, «необходимых и достаточных для выполнения задач» (ст. 12 п. 1). Срок хранения определяется датой достижения целей, если законодательство не устанавливает иное (ст. 12 п. 2). Обязательные сроки для типовых документов организаций установлены Перечнем 2025 года (Перечень, п. 461).

Цели

• Цели должны быть конкретными, заранее определёнными и законными. Обработка с целью причинить вред или ограничить права субъекта запрещена (ст. 7 п. 8).
• Данные используются только для ранее заявленных целей (ст. 14; Правила сбора, п. 17).
• Распространение за рамками заявленных целей допускается только с согласия (ст. 15 п. 2; Правила сбора, п. 18).
• В перечне обрабатываемых данных цели указываются для каждой задачи и должны быть «однозначными, законными» (Правила определения перечня, п. 4).

Объём

Сбор ограничен данными, необходимыми и достаточными для задач (ст. 12 п. 1). Избыточные данные не обрабатываются (ст. 7 п. 9). Инструментом служит перечень персональных данных, который утверждает каждый собственник и оператор (ст. 25 п. 2 пп. 1):

• до начала сбора проводится анализ задач, затем повторно по мере необходимости (Правила определения перечня, п. 3);
• в перечень не включаются избыточные данные (п. 4);
• к перечню обеспечивается доступ (п. 5);
• сбор и обработка допускаются в объёме перечня (Правила сбора, п. 5).

Подробнее о перечне см. в заметке «Принципы обработки персональных данных».

Срок хранения

Закон задаёт два уровня:

1. Общее правило: срок определяется датой достижения целей сбора и обработки (ст. 12 п. 2). По достижении цели данные уничтожаются или удаляются (ст. 25 п. 2 пп. 4; ст. 18 пп. 1).
2. Иное, предусмотренное законодательством: обязательные сроки хранения документов. Если такой срок есть, удалять данные по требованию субъекта нельзя, но доступ к ним ограничивается, а обработка приостанавливается (Цифровой кодекс, ст. 41 п. 3).

Срок действия согласия тоже связан с целями: он не может превышать срок, необходимый для их достижения, если закон или договор не устанавливают иное. Если срок не указан, согласие действует до достижения целей (ст. 8 пп. 5–6).

Сроки для кадровых документов

С июля 2025 года действует новый Перечень типовых документов со сроками хранения, утверждённый приказом Министра культуры и информации от 17.06.2025 № 279-НҚ. Прежний Перечень (приказ № 263 от 2017 года) утратил силу. Для документов, связанных с персональными данными работников:

Пункт	Документы	Срок
460	Правовые акты (положения, инструкции) о персональных данных работников	Постоянно
461	Трудовые договоры, контракты	75 лет
462	Личные дела работников (для большинства категорий)	75 лет
463	Личные карточки работников	75 лет
464	Документы лиц, не принятых на работу	До минования надобности
467	Заявления работников о согласии на обработку персональных данных	1 год

Интерпретация. Срок в 1 год для заявлений о согласии плохо сочетается с обязанностью оператора доказывать получение согласия (ст. 25 п. 2 пп. 5): трудовые отношения и обработка данных длятся годами. Перечень, по-видимому, задаёт минимальный срок хранения документа, а не запрет хранить дольше. Безопаснее хранить согласие весь срок обработки.

Интерпретация. «До минования надобности» для документов кандидатов по сути отсылает к общему правилу ст. 12 п. 2: после окончания отбора цель достигнута, и данные отказанных кандидатов нужно удалить, если на дальнейшее хранение нет согласия.

Сравнение с GDPR

Вопрос	Казахстан	GDPR
Ограничение цели	Конкретные, заранее определённые, законные цели (ст. 7 п. 8, ст. 14)	Конкретные, явные, законные цели (Art. 5(1)(b))
Новая цель	Распространение за рамками целей только с согласия (ст. 15 п. 2)	Допускается совместимая цель по критериям Art. 6(4)
Минимизация	Перечень данных по утверждённой форме	Принцип без обязательной формы (Art. 5(1)(c))
Срок хранения	До достижения целей; обязательные сроки по Перечню	Не дольше, чем нужно для целей (Art. 5(1)(e)); сроки определяет национальное право

Открытые вопросы

Открытый вопрос: совместимая цель. Можно ли без нового согласия использовать данные для цели, близкой к первоначальной, например для аналитики качества обслуживания? Механизма оценки совместимости, как в GDPR, закон не содержит.

Открытый вопрос: срок хранения согласий. Как совместить годичный срок хранения заявлений о согласии с обязанностью доказывать согласие весь срок обработки?

Открытый вопрос: резервные копии. Распространяется ли обязанность удалить данные по достижении цели на резервные копии, срок жизни которых определяется технической политикой?

Что ещё изучить

• Сроки хранения по налоговому и бухгалтерскому законодательству и их соотношение с Перечнем.
• Сроки хранения записей видеонаблюдения.
• Практику регулятора по проверке перечней персональных данных.