Фото клиента без согласия: что изменилось для бизнеса Мангистау с 2 октября

С 2 октября 2026 года в Казахстане вступили в силу обновленные Правила сбора и обработки персональных данных. Изменения затрагивают не только компании, которые работают с большими базами клиентов. На практике они могут касаться практически каждого, кто фотографирует людей, хранит их изображения, публикует фотографии в интернете или передает данные другим организациям.

При этом само изображение лица уже закреплено в законе как идентификатор персональных данных – наряду с ФИО и ИИН. Закон относит к идентификаторам также биометрический вектор лица и его производные, которые могут быть восстановлены до первоначального значения.

О том, что это означает на практике, рассказала медиаюрист, руководитель юридической службы Media Qoldau Гульмира Биржанова.

Что именно изменилось

Обновленные правила ввели и уточнили сразу несколько важных понятий: удаление, блокирование, анонимизация и маскирование персональных данных, а также порядок их использования в открытых источниках.

Теперь, например, удаление персональных данных означает не просто убрать фотографию с сайта. Речь идет об исключении данных из цифрового объекта таким образом, чтобы восстановить их было невозможно.

Анонимизация – это необратимое преобразование идентификаторов, после которого определить, кому принадлежат данные, невозможно.

Маскирование означает замену части настоящих персональных данных недействительными или обезличенными данными.

Для обычного человека

Для гражданина главное изменение заключается в том, что теперь законодательство более четко регулирует, что происходит с его персональными данными после того, как они уже попали в чужую систему или в интернет.

Субъект персональных данных может отозвать свое согласие на их сбор и обработку. По новым правилам он также может потребовать блокирования или анонимизации своих данных, если есть информация о нарушении условий их сбора или обработки.

Если данные были собраны или обработаны с нарушением законодательства, человек может потребовать их уничтожения и/или удаления. При этом есть предусмотренные законом исключения – например, когда хранение или обработка необходимы в соответствии с законодательством.

Важный срок: при отзыве согласия собственник, оператор или третье лицо должны прекратить обработку данных в течение 15 рабочих дней, если их дальнейшее хранение или обработка не требуются по закону, либо предоставить мотивированный отказ.

Если человек сам выложил фотографию в Instagram

Здесь возникает одна из самых частых ошибок: открытый аккаунт не означает, что фотографию можно использовать для любых целей.

Новые правила отдельно регулируют персональные данные, которые человек сам разместил в общедоступном источнике. Если кто-то впоследствии собирает, распространяет или иным образом обрабатывает такие данные, именно это лицо должно подтвердить законность своих действий.

Поэтому логика «раз человек сам выложил фотографию, значит ее можно взять и использовать в рекламе» не работает автоматически.

Например, клиентка салона красоты сама разместила свою фотографию в Instagram. Это еще не означает, что салон может взять ее снимок, разместить у себя и использовать для продвижения услуг.

Для коммерческого использования безопаснее получить отдельное согласие, причем желательно зафиксировать, где именно и для какой цели будет использоваться фотография.

Работодатели

Работодателей изменения тоже касаются напрямую.

Если компания фотографирует сотрудников и размещает их фотографии на сайте, в социальных сетях, рекламных материалах или других публичных ресурсах, необходимо понимать, на каком основании происходит такая обработка.

Особенно важно, если фотография используется не просто для внутреннего корпоративного документа, а для рекламы, продвижения компании или публичного представления сотрудника.

Поэтому работодателю лучше заранее фиксировать согласие сотрудника и конкретную цель использования изображения.

Магазины и бизнес

Магазины, кафе, салоны красоты, фитнес-центры и другие компании также должны учитывать новые требования.

Например, магазин проводит фотосъемку покупателей и публикует их фотографии в Instagram. Или салон красоты выкладывает фотографии клиентов в формате «до и после». Или компания снимает клиента для рекламного ролика.

Во всех этих случаях нужно разделять сам факт фотографирования и последующее использование изображения.

Особенно осторожно следует относиться к публикации фотографии в рекламных целях. Если лицо человека становится частью продвижения товара или услуги, согласие должно быть оформлено так, чтобы можно было подтвердить его получение.

Медицинские организации

Отдельная категория – клиники, стоматологии, косметологические центры и другие медицинские организации.

Если медицинская организация фотографирует пациента, хранит его изображение или использует фотографию для публикации, рекламных материалов, сайта или социальных сетей, необходимо учитывать не только правила работы с изображением, но и режим медицинской тайны.

Для публикации фотографии пациента в рекламных или публичных целях особенно важно иметь подтвержденное согласие и четко понимать, для чего именно изображение используется.

Школы и образовательные организации

Фотографии детей – еще одна ситуация, требующая осторожности.

Школа может фотографировать детей во время мероприятий, но это не означает автоматического права использовать любой снимок в рекламных материалах, на сайте или в социальных сетях организации.

Здесь необходимо учитывать цель использования изображения и основания для его обработки, а при необходимости получать согласие законного представителя ребенка.

При этом фотография с публичного мероприятия и рекламная фотография – не одно и то же. Цель и обстоятельства публикации имеют значение.

А если фотографирует обычный человек?

Новые правила не означают, что теперь запрещено фотографировать людей на улице.

Само право человека на собственное изображение существовало и раньше. Согласно статье 145 Гражданского кодекса, обнародование и использование изображения гражданина в общем случае требуют его согласия.

Поэтому общий снимок городской площади, концерта или массового мероприятия и крупный портрет конкретного человека – разные ситуации.

И тем более отдельно стоит рассматривать фотографию человека, которую затем используют для рекламы, продажи товара или продвижения услуг.

Что делать фотографам

Для фотографа важно разделять два права: авторское право на сам снимок и право человека на собственное изображение.

То, что фотограф является автором фотографии, само по себе не дает ему неограниченного права использовать изображенного человека в любых целях.

Если снимок делается для коммерческого использования, лучше заранее определить условия такого использования и получить подтверждаемое согласие.

Что меняется для блогеров

Для пользователей онлайн-платформ также существуют специальные исключения.

Закон «Об онлайн-платформах и онлайн-рекламе» предусматривает случаи, когда согласие изображаемого лица не требуется: например, если человек присутствует на публичном мероприятии; если изображение связано с его служебной или публичной деятельностью; либо если он сам, его законный представитель или уполномоченное лицо разместили изображение в источнике с неограниченным доступом.

Но и здесь важно смотреть на цель использования.

Фотография человека на концерте и фотография этого же человека в рекламном посте коммерческого аккаунта — не обязательно одна и та же правовая ситуация.

А что с журналистами?

Для СМИ законодательство предусматривает отдельные исключения.

Закон «О масс-медиа» дает журналисту право производить записи, в том числе фото- и видеосъемку, за исключением случаев, запрещенных законом.

Кроме того, законодательство предусматривает случаи, когда для использования изображения человека в продукции СМИ его согласие не требуется. Это касается, в частности, присутствия человека на публичных мероприятиях, изображения, связанного с его служебной или публичной деятельностью, а также предусмотренных законом случаев защиты общественного порядка, прав и свобод человека, здоровья и нравственности населения.

Поэтому для редакции не действует простое правило «на каждую фотографию нужно брать письменное согласие».

Но и обратное утверждение – «журналист может публиковать любую фотографию без разрешения» – также неверно.

В каждом случае необходимо учитывать обстоятельства съемки, содержание материала, роль человека в событии, цель публикации и предусмотренное законом исключение.

Можно ли потребовать СМИ удалить фотографию?

Здесь также нельзя автоматически применять правила, действующие для коммерческого бизнеса.

Если фотография была законно опубликована СМИ в рамках журналистского материала, последующий отзыв согласия не означает автоматически, что редакция обязана удалить весь материал или фотографию.

Сначала необходимо установить, на каком основании изображение было опубликовано изначально и подпадает ли ситуация под предусмотренное законом исключение для СМИ.

При этом право человека на частную жизнь и собственное изображение сохраняется, а использование изображения без согласия допускается только в установленных законом случаях. На это отдельно обращал внимание Конституционный Суд Казахстана.

Еще одно важное новшество – хранение данных

Обновленные правила устанавливают, что хранение персональных данных собственником, оператором и третьим лицом осуществляется в базе и/или цифровом объекте, которые находятся на территории Казахстана.

Это особенно важно для компаний, которые используют иностранные облачные сервисы, CRM-системы и другие цифровые инструменты для хранения клиентских данных.

Передача данных за границу

Отдельно прописано, что обработка персональных данных в виде трансграничной передачи, за исключением предусмотренных законом случаев, осуществляется при наличии согласия субъекта. То же правило касается передачи персональных данных третьим лицам.

Для бизнеса это означает необходимость проверить, куда фактически уходят данные клиентов и сотрудников при использовании различных сервисов.

Какие штрафы грозят за нарушения

Здесь стоит уточнить цифры, поскольку распространенная формулировка о «60 МРП для физлица и 200 МРП для бизнеса» не отражает всю действующую шкалу.

По статье 79 КоАП за незаконные сбор и/или обработку персональных данных предусмотрен штраф:

30 МРП – для физических лиц;

60 МРП – для должностных лиц, субъектов малого бизнеса и НКО;

100 МРП – для субъектов среднего бизнеса;

200 МРП – для субъектов крупного бизнеса.

При МРП в 2026 году 4 325 теңге это составляет соответственно 129 750, 259 500, 432 500 и 865 000 теңге.

За несоблюдение мер по защите персональных данных санкции выше: от 150 МРП для физлиц до 600 МРП для крупного бизнеса, а если нарушение повлекло утрату, незаконный сбор или обработку данных, – до 2 000 МРП для крупного бизнеса.

В более серьезных случаях может наступать и уголовная ответственность по статье 147 УК РК.

При этом, как подчеркивает Гульмира Биржанова, сам факт использования фотографии без согласия еще не означает автоматически, что человеку или компании будет назначен штраф. Сначала нужно установить, какое именно право нарушено, кто использовал изображение, с какой целью и есть ли предусмотренное законом исключение.

Что стоит запомнить

По сути, человеку теперь проще защищать свое изображение как персональные данные, а бизнесу и организациям необходимо внимательнее относиться к тому, что именно они фотографируют, где хранят снимки, кому передают и для чего публикуют.

Если фотография используется для рекламы, продвижения бизнеса или иной коммерческой цели, безопаснее заранее получить подтверждаемое согласие. Для СМИ, публичных мероприятий и случаев, связанных с общественным интересом, действуют специальные правила и исключения.

В материале использована следующая нормативная база: приказ №556/НК от 17 сентября 2026 года, Закон РК "О персональных данных и их защите", Закон РК "О масс-медиа".