Камера в офисе — это обработка персональных данных
Закон № 94-V не перечисляет видеозапись отдельной строкой, но работает с любыми данными, по которым человека можно идентифицировать. Запись, на которой узнаётся конкретный сотрудник, из этой логики не выпадает.
Важно и то, что закон считает обработкой. Статья 1 относит к ней накопление, хранение, изменение, дополнение, использование, распространение, обезличивание, блокирование и уничтожение данных — то есть не только запись, но и просмотр архива, выгрузку, пересылку ролика в чат. Монтаж на типовом офисе занимает день-два, документы — полчаса работы кадровика, и обычно не сделана вторая часть.
- Запись, по которой узнаётся человек, обрабатывается по правилам № 94-V и в своём офисе.
- Обработка — это и запись, и просмотр архива, и выгрузка, и пересылка.
- Отвечает за архив работодатель как оператор базы, а не монтажник.
Нужно ли согласие работника и в какой форме
Пункт 1 статьи 7 Закона № 94-V формулирует правило точно: сбор и обработка осуществляются с согласия субъекта в порядке, определяемом уполномоченным органом, за исключением случаев из пункта 5 этой же статьи и статьи 9. Пункт 5 — про повторный сбор опубликованных данных. Перечень статьи 9 узкий и завязан на государственные функции: правоохранительные органы, статистика, воинский учёт, налоговое администрирование — и заканчивается отсылкой к иным случаям, установленным законами РК. Основания «законный интерес работодателя» там нет.
Форма — по статье 8: письменно, через государственный или негосударственный сервис либо иным способом, позволяющим подтвердить получение согласия. Содержание задано пунктом 4: оператор с БИН или ИИН, ФИО субъекта, срок действия, сведения о передаче третьим лицам и трансграничной передаче, о распространении в общедоступных источниках и перечень собираемых данных. Слова «цели» в перечне нет, но цель указывать нужно: по пункту 6 согласие без срока действует до достижения целей.
Заранее решите, что делать при отзыве. Пункт 7 статьи 8 даёт работнику право отозвать согласие, а работодателю — пятнадцать рабочих дней, чтобы прекратить обработку либо представить мотивированный отказ. Демонтажем это заканчивается редко: чаще пересматривают ракурс конкретного рабочего места. Грань тонкая, и отказ пишет юрист.
- Перечень ст. 9 узкий и про государственные функции — «интереса работодателя» нет.
- Содержание по ст. 8 п. 4: оператор, субъект, срок, перечень данных, третьи лица.
- Отзыв — 15 рабочих дней на прекращение обработки либо мотивированный отказ.
Что писать в правилах трудового распорядка и договоре
Согласие закрывает вопрос данных, но не трудовых отношений. Статья 11 ТК РК даёт инструмент в виде актов работодателя, статья 23 обязывает знакомить работника с правилами трудового распорядка и иными актами, относящимися к его работе.
Ключевой документ — правила трудового распорядка. По статье 63 они устанавливают рабочее время и время отдыха, условия трудовой дисциплины и иные вопросы регулирования трудовых отношений. Эти «иные вопросы» и есть законное место для раздела о камерах. Статья 28 перечисляет обязательные условия договора, камер там нет, зато пункт 3 разрешает включать иные по соглашению сторон. И само положение не наша выдумка: статья 25 Закона № 94-V обязывает утверждать документы о политике обработки и защиты персональных данных.
- Положение о видеонаблюдении — цели, зоны, срок хранения, круг допущенных, ответственный.
- Раздел в правилах трудового распорядка — ст. 63 ТК РК допускает «иные вопросы».
- Лист ознакомления под подпись — обязанность закреплена в ст. 23 ТК РК.
Где камеры обосновать легко, а где нельзя ставить вообще
Списка разрешённых и запрещённых помещений в казахстанском законодательстве нет — поэтому по интернету и гуляют ссылки на несуществующие статьи. И то и другое выводится из пунктов 8 и 9 статьи 7 Закона № 94-V: обработка ограничивается конкретными законными целями, а избыточные данные обработке не подлежат.
Рабочее правило: если под камеру формулируется одна короткая деловая цель, которую кадровик перенесёт в положение слово в слово, — зона проходит. Если цель звучит как «видеть, кто чем занят», — не проходит.
У запретных зон есть и второй слой риска. Часть 2 статьи 147 Уголовного кодекса РК № 226-V от 03.07.2014 говорит о незаконном собирании сведений о частной жизни, составляющих личную или семейную тайну. Задачу решаем без потери смысла: камера ставится не внутри приватной зоны, а на подходе — коридор перед раздевалкой, дверь в санузел общим планом.
- Входная группа и периметр — «контроль доступа и фиксация посетителей».
- Касса и зона расчётов — «разбор споров при расчётах и сохранность денег».
- Склад, приёмка и отгрузка — «сохранность товарно-материальных ценностей».
- Серверная, щитовая, сейфовая — «защита оборудования и ограничение доступа».
- Коридоры и эвакуационные выходы — «безопасность людей и разбор инцидентов».
- Санузлы, душевые, раздевалки, медпункт, комната матери и ребёнка — камеры недопустимы.
- Съёмка в упор и кадр с читаемыми экранами — избыточный сбор, ракурс меняем.
- Скрытые камеры под видом датчиков не монтируем: открытость защищает в споре.
Можно ли писать звук
Отдельной нормы «про микрофон» в законе о персональных данных нет, и обещать её мы не будем. Логика общая: запись разговора позволяет установить, кто говорил, значит работают те же правила статьи 7 — цель по пункту 8, согласие по пункту 1, запрет избыточности по пункту 9. Только цель для звука обосновать труднее, а разговор двух людей ближе к личной тайне и к статье 147 УК РК.
Отсюда наша практика, а не требование закона: на офисных объектах микрофоны выключены. Для охраны имущества звук почти ничего не даёт, а рисков добавляет. Оправданным считаем один сценарий — кассовый узел, где спор «я давал пять тысяч» решается только записью.
Но здесь есть слой, о котором обычно не думают: на кассе в запись попадает и клиент, который согласия не подписывал. Уведомление при входе становится критичным, зону звука сужают до прилавка, а спорный случай несут юристу до включения микрофона.
- Пишете звук — назовите это в положении, в согласии и на табличке.
- На кассе в записи оказывается клиент без согласия: зону сужают до прилавка.
- Переговорные и кабинеты не оснащаем: «послушать, что говорят» — не цель.
- Звук отключается на камере и регистраторе — зафиксируйте это в акте.
Кто имеет доступ к архиву и сколько его хранить
Пункт 1 статьи 10 Закона № 94-V: доступ к персональным данным определяется условиями согласия субъекта, если иное не предусмотрено законодательством РК. Раз так, круг лиц должен быть виден из подписанных работником документов: статья 8 требует назвать передачу третьим лицам, а внутренний круг допущенных детализируется в положении, на которое ссылается согласие.
Дальше конфиденциальность. Статья 11 запрещает распространять данные без согласия субъекта и распространяет эту обязанность на лиц, которым данные стали известны в связи со служебной необходимостью или трудовыми отношениями — охранник у монитора тоже под нормой. Статья 25 добавляет: любой оператор уведомляет уполномоченный орган о нарушении безопасности данных, а юрлицо ещё и назначает ответственного за организацию обработки.
По срокам числа дней закон не называет: статья 12 привязывает срок хранения к дате достижения целей сбора и обработки и требует хранить данные в базе на территории РК. Значит, назовите срок в положении и держите его технически: мы обычно настраиваем 14–30 дней с автоперезаписью. Расчёт диска под нужную глубину разбирали в статье о том, сколько хранится запись с камер.
- Ответственный за организацию обработки назначается приказом (ст. 25, для юрлиц).
- Уведомить орган о нарушении безопасности данных обязан любой оператор, включая ИП.
- Именные учётные записи вместо общего admin: иначе не установить, кто выгружал.
- Регистратор в запираемом шкафу: частая утечка архива — вынос железа.
Что реально грозит: сначала трудовой спор, потом штраф
До проверок дело доходит редко, до конфликта с работником — регулярно. Сотрудника увольняют «по записи с камеры», он приносит претензию, и выясняется, что положения нет, согласия он не подписывал, а ролик неделю ходил по рабочему чату. Статья 24 Закона № 94-V даёт право требовать уничтожения незаконно собранных данных и возмещения морального и материального вреда. А тот, кто разослал ролик, попадает под часть 4 статьи 147 УК РК.
Второй, более редкий слой — статья 79 Кодекса РК об административных правонарушениях № 235-V от 05.07.2014. Часть 1, незаконные сбор и обработка: 30 МРП для физических лиц, 60 для должностных лиц и малого бизнеса, 100 для среднего и 200 для крупного предпринимательства. Часть 3, несоблюдение мер защиты: 150–600 МРП. Часть 4, то же с утерей данных: до 2000 МРП. МРП в 2026 году — 4 325 ₸, верхняя планка около 8,65 млн ₸.
- Главный риск — не проверка, а претензия работника: ст. 24 даёт право на возмещение вреда.
- Ст. 79 КоАП ч. 3 — несоблюдение мер защиты: 150–600 МРП, это пароли и доступы.
- Ст. 79 КоАП ч. 4 — утеря данных вследствие несоблюдения мер: до 2000 МРП.
Face ID и учёт рабочего времени: биометрия отдельно
Терминал распознавания лиц на проходной — уже не видеонаблюдение, а другая категория данных. Определения биометрических данных в Законе № 94-V сейчас нет: подпункт статьи 1, где оно стояло, исключён, а понятие переехало в Цифровой кодекс РК № 255-VIII от 09.01.2026. Его статья 48 говорит прямо: биометрические данные, используемые для цифровой аутентификации, признаются персональными и защищаются по Закону № 94-V.
Основание для проходной — общее правило пункта 1 статьи 7: обработка с согласия субъекта. Отдельно пункт 12 статьи 7 ограничивает использование в общественных местах технологических средств по сбору биометрии и идентификации: там это допускается только в узких публичных целях либо при согласии субъекта. Честно: офис общественным местом по умолчанию не является, и натягивать эту норму на корпоративную проходную мы не будем. Если вход открыт не только сотрудникам, она тоже работает — но вывод один: письменное согласие отдельным документом.
Сам учёт рабочего времени — обязанность. Статья 79 ТК РК требует вести учёт фактически отработанного времени, отдельно фиксируя сверхурочные, ночные, выходные и командировки, а форму работодатель определяет своим актом. Закон обязывает вести учёт, но не диктует делать это по лицу: если работник отзывает согласие на биометрию, должен остаться запасной способ — карта или табель.
- Основание для проходной — ст. 7 п. 1, а не норма про общественные места.
- Ст. 7 п. 12 работает там, где вход открыт не только сотрудникам.
- Отдельное согласие на биометрию — со своими целями, перечнем данных и сроком.
- Математический шаблон вместо фотографии снижает риск при утечке, но не отменяет требований к защите базы и хранению в РК.
Чек-лист: кто и что делает до того, как мы приедем сверлить
Проблемная система отличается от спокойной не оборудованием, а тем, сделал ли каждый свою часть. И повторим: это ориентир инженеров, а не юридическая консультация — формулировки под ваш случай пишет юрист или кадровик.
- Шаг 1, руководитель — утверждает положение и приказом назначает ответственного за обработку данных.
- Шаг 2, кадровик — раздел в правилах распорядка, пункт-отсылка в договор, лист ознакомления.
- Шаг 3, кадровик — согласия по ст. 8, на Face ID отдельные, с альтернативой по карте.
- Шаг 4, инженер — схема расстановки: снимаем всё, подо что не сформулирована цель.
- Шаг 5, инженер — именные учётные записи, глубина архива под срок из положения, журнал выгрузок.
- Шаг 6, офис-менеджер — таблички на входе и в зонах съёмки.
- Юрист, если ситуация спорная — смотрит документы до монтажа, а не после претензии.