Геолокация и биометрия в контроле сотрудников: что даёт отметка выхода и что разрешает закон о персональных данных

Контроль сотрудников по геолокации и биометрии в Казахстане законен, если соблюдены три главных условия. Компания собирает только данные, нужные для конкретной цели. Человек даёт согласие. База хранится на территории республики. Эти требования установлены Законом РК «О персональных данных и их защите» № 94-V, и Цифровой кодекс 2026 года его не отменил. Обязательная обработка биометрии допускается только в случаях, установленных законами, а закона, который требовал бы отмечаться по лицу на сменах, нет. Значит, заставить человека проходить распознавание лица без согласия нельзя. Геолокация отвечает на вопрос «где», биометрия на вопрос «кто».

Что даёт контроль сотрудников по геолокации и биометрии?

Ручное подтверждение выхода ломается на трёх вещах. Ответственный забывает отметить или вносит данные позже. График в одной таблице, подтверждения в чате, расчёт у бухгалтерии. При споре нет доказательств, кто прав.

Каждая технология цифровой отметки отвечает на свой вопрос.

Поэтому их комбинируют по риску объекта. Для магазина с администратором хватит отметки и подтверждения. Для распределённых объектов добавляют геолокацию. Распознавание лица оправдано там, где реален риск подмены: один отмечается за другого.

Какой закон регулирует биометрию и геолокацию в 2026 году?

Основной акт это Закон РК от 21 мая 2013 года № 94-V «О персональных данных и их защите». Цифровой кодекс РК № 255-VIII, вступивший в силу в июле 2026 года, признал утратившим силу только закон 2003 года об электронном документе и ЭЦП (статья 106). Закон о персональных данных продолжает действовать, и сам кодекс на него ссылается. По пункту 1 статьи 48 кодекса биометрические данные, используемые для цифровой аутентификации, признаются персональными данными и защищаются по закону № 94-V.

Ещё три нормы задают рамку:

• Конституция РК, принятая на референдуме 15 марта 2026 года и действующая с 1 июля 2026 года, пункт 1 статьи 21: право на неприкосновенность частной жизни и защиту персональных данных от незаконного сбора, обработки, хранения и использования, в том числе с применением цифровых технологий;
• Трудовой кодекс, подпункт 24 пункта 2 статьи 23: работодатель собирает, обрабатывает и защищает персональные данные работника по закону о персональных данных;
• Цифровой кодекс, пункт 3 статьи 48: обязательная обработка биометрических данных допускается только в случаях, установленных законами.

Отдельных норм о слежении за работниками по геолокации в Трудовом кодексе нет. Значит, действует общий режим закона о персональных данных.

Нужно ли согласие работника или исполнителя?

Да. По общему правилу пункта 1 статьи 7 закона № 94-V сбор и обработка персональных данных идут с согласия субъекта. Исключения перечислены в статье 9, отметки выхода по геолокации или по лицу среди них нет.

Согласие дают письменно, через государственный или негосударственный сервис либо иным способом, который позволяет подтвердить его получение (пункт 1 статьи 8). Согласие в приложении можно считать таким способом, если система хранит, кто, когда и на что согласился.

В согласии указывают, кто оператор, какие данные собираются, на какой срок, передаются ли они третьим лицам и за границу (пункт 4 статьи 8). Человек вправе отозвать согласие. Оператор в течение 15 рабочих дней прекращает обработку или даёт мотивированный отказ (пункт 7 статьи 8). Отозвать нельзя, если это противоречит закону или есть неисполненное обязательство (пункт 2).

Обязательная обработка биометрических данных допускается только в случаях, установленных законами (пункт 3 статьи 48 Цифрового кодекса). Закона, обязывающего работников складов и магазинов отмечаться по лицу, нет, поэтому биометрия на смене держится на добровольном согласии. Прямой нормы о запасном способе отметки нет, это практический вывод: для тех, кто не согласен, держите другой способ, например QR-код и подтверждение ответственным.

Считается ли геолокация персональными данными?

Прямой нормы «геолокация это персональные данные» в законе нет. Но по подпункту 2 статьи 1 закона № 94-V персональные данные это сведения о субъекте, дополненные одним или несколькими идентификаторами. Координаты, привязанные к ФИО или ИИН человека и к его смене, и есть сведения о нём с идентификатором. Вывод: под определение они подпадают, и обращаться с ними стоит как с персональными данными.

Практическое правило простое. Фиксируйте точку в момент отметки начала и окончания, а не трек за весь день. Для проверки выхода достаточно координат, времени, объекта и результата сравнения с зоной. Закон запрещает обрабатывать данные, избыточные по отношению к цели (пункт 9 статьи 7 закона № 94-V). По этой логике маршрут в течение смены и тем более перемещения вне её для учёта выхода избыточны.

Радиус зоны настраивайте с запасом на погрешность. Для склада зона может охватывать всю территорию комплекса, для магазина конкретную точку, для выездного заказа адрес клиента.

Где хранить биометрию и координаты?

Закон требует хранить персональные данные в базе, которая находится на территории Республики Казахстан (пункт 2 статьи 12 закона № 94-V). Если сервис учёта держит базу только на зарубежном сервере, это требование нарушено. Спросите поставщика, где физически стоит база, и зафиксируйте это в договоре.

Срок хранения определяется датой достижения цели сбора, если законодательство не устанавливает иное (там же). Для отметок выхода цель разумно считать достигнутой, когда смена принята и оплачена, а спор по ней исключён. Установите срок в документе о политике обработки и удаляйте фото и координаты по его истечении. Итоговые часы и акты хранятся по своим правилам, их сроки описаны в статье Документы по выплатам исполнителям.

Передача данных за границу возможна в страны, которые обеспечивают защиту персональных данных. В остальные только в случаях из пункта 3 статьи 16, для бизнеса это прежде всего согласие субъекта. При утечке или другом нарушении безопасности данных собственник или оператор уведомляет уполномоченный орган в течение одного рабочего дня с момента обнаружения. Это пункт 11 Правил мер по защите персональных данных, утверждённых приказом № 179/НҚ.

Какие штрафы за нарушения закона о персональных данных?

Административная ответственность установлена статьёй 79 КоАП РК. В тенге суммы посчитаны по МРП 2026 года, 4 325 ₸.

Для физических лиц суммы ниже: 30, 100, 150 и 200 МРП по частям 1–4. Если нарушение причинило существенный вред, возможна уголовная ответственность по статье 147 УК РК.

Чем контроль работника отличается от контроля исполнителя?

Для работника по трудовому договору работодатель обязан вести учёт рабочего времени (статья 79 ТК), и способы отметки это инструмент этой обязанности. Правила обработки данных при этом те же: согласие, перечень, хранение в Казахстане.

С исполнителем по договору услуг или самозанятым тоньше. Геолокация при начале заказа или распознавание лица, подтверждающее, что заказ выполняет тот, кто его взял, остаются частью учёта услуги. Опасно другое: если отметки превращаются в контроль дисциплины с опозданиями, выговорами и обязательными часами на объекте. Подчинение трудовому распорядку это признак трудового договора по статье 27 ТК. С 8 июня 2026 года договор с таким признаком признаётся трудовым (пункт 1-1 статьи 26). Подробнее о границе в статье Договор ГПХ в 2026 году.

Сколько контроля нужно: четыре уровня

Чем сложнее процедура выхода, тем чаще люди ошибаются и ищут обходные пути. Уровень выбирают по риску конкретного объекта.

Переходить на следующий уровень стоит, когда предыдущий не решает конкретную проблему. Если геометка снимает споры о выходе, биометрия ничего не добавит, кроме лишних данных.

По данным FlexTime, на платформе есть онлайн-контроль исполнения, в том числе геолокация и Face Personal ID.

Какие правила утвердить до запуска?

Закон обязывает собственника и оператора базы утвердить перечень персональных данных и документы о политике обработки, принимать меры защиты, уничтожать данные по достижении цели и представлять доказательство согласия (пункт 2 статьи 25 закона № 94-V). Юридическое лицо назначает ответственного за организацию обработки персональных данных (подпункт 10 того же пункта). Чек-лист до первой отметки:

1. цель: подтверждение выхода и расчёт оплаты, без наблюдения за частной жизнью;
2. перечень данных: время, координаты отметки, фото или шаблон лица, если нужна биометрия;
3. текст согласия и способ его хранения;
4. запасной способ отметки без биометрии;
5. кто видит данные: руководитель объекта, координатор, служба безопасности;
6. срок хранения фото и координат и порядок удаления;
7. место хранения базы в Казахстане, подтверждённое поставщиком;
8. ответственный за организацию обработки персональных данных;
9. порядок оспаривания неверной отметки;
10. порядок действий при утечке и уведомление уполномоченного органа в течение одного рабочего дня.

Закон № 326-VIII от 24 июня 2026 года добавил в закон о персональных данных ещё две нормы, они вводятся в действие через 60 дней после опубликования. Статья 25-1 делит собственников и операторов по числу людей, чьи данные они обрабатывают: малые до 10 000, средние от 10 000 до 500 000, крупные от 500 000. При обработке данных ограниченного доступа категория повышается на один уровень. По статье 10-1 крупные уведомляют уполномоченный орган до начала и до прекращения обработки, малые и средние вправе обрабатывать без уведомления. Если через систему отметок проходят десятки тысяч людей, проверьте свою категорию заранее.

Как объяснить людям, зачем нужен контроль?

Если люди видят в биометрии недоверие, сопротивление почти неизбежно. Покажите практический смысл: меньше споров о смене, точнее оплата, быстрее подтверждение работы. Расскажите, что именно собирается, кто это видит и когда удаляется.

Человек должен заранее знать, как отметиться, что делать при сбое связи и куда писать, если отметка неверна. Спорные случаи разбирает ответственный по понятному порядку.

Как внедрить без сопротивления и лишних рисков?

Начните с одного объекта и одного уровня контроля. Через две-три недели сравните: сколько стало ручных уточнений, сколько споров по оплате, хватает ли данных руководителю. Биометрию добавляйте только там, где подмена подтверждена фактами.

Отметки выхода ложатся в табель учёта рабочего времени временного персонала, а по табелю считается оплата. Если на объекте часто срываются смены, начинать стоит с резерва и подтверждений, об этом статья Сотрудник не вышел на смену.

Частые вопросы