Персональные данные детей в CRM: что требует закон Казахстана и о чём спросить поставщика

Где должны храниться данные о детях и их здоровье, что учитывать центру при выборе CRM и какие 10 вопросов задать поставщику до подписания договора.

В коррекционном центре в учёте лежит больше, чем телефоны родителей: заключения, диагнозы, результаты обследований, фото и видео занятий. Это сведения о здоровье несовершеннолетних — самая чувствительная категория данных. Поэтому выбор CRM — это не только вопрос удобства.

Что известно о требованиях

• Хранение на территории Казахстана. Согласно закону «О персональных данных и их защите» (№ 94-V), базы с персональными данными должны находиться на территории РК. Требование действует с 1 января 2016 года; в 2026 году закон менялся несколько раз, и о его отмене в найденных нами материалах речи нет. Обзор — у юристов Morgan Lewis.
• Цифровой кодекс (2026) по персональным данным отсылает к закону № 94-V и даёт гражданам права на удаление, анонимизацию и ограничение обработки.
• Согласие. Для детей согласие даёт законный представитель. Нужна ли отдельная форма для сведений о здоровье и как её составлять — вопрос юристу.

Что это значит для выбора CRM

Простой фильтр: если поставщик не может ответить, где физически находится сервер с данными ваших детей, — это повод насторожиться. Если сервер за рубежом, вы должны понимать, как это соотносится с требованием о локализации и какие гарантии даёт договор.

10 вопросов поставщику CRM

1. В какой стране и в каком центре обработки данных хранятся наши данные?
2. Где лежат резервные копии и как часто проверяется восстановление?
3. Как разделены данные разных клиентов — отдельная база или общая?
4. Кто из сотрудников поставщика имеет доступ к нашим данным и как это фиксируется?
5. Как устроены роли внутри нашего центра: можно ли закрыть заключения от части сотрудников?
6. Ведётся ли журнал действий: кто открывал и менял карточку ребёнка?
7. Есть ли второй фактор входа для руководителей?
8. Проходила ли система внешнюю проверку безопасности?
9. Что с данными при расторжении договора: выгрузка и удаление?
10. Привлекаются ли сторонние сервисы (ИИ, мессенджеры, оплаты), и какие данные туда уходят?

Как у нас

Мы открыто описываем, что сделано и что нет, на странице «Безопасность и данные». Коротко: отдельная база на каждый центр, роли и медконтур, журнал, второй фактор, регулярные копии с проверкой восстановления. Хостинг в Казахстане, копии вне основного сервера и внешний тест на проникновение — наши задачи до платных пилотов; сегодня сервер расположен в ЕС.