База гостей из Wi-Fi и новые правила защиты персональных данных

Портал авторизации собирает номера телефонов гостей. Это персональные данные, а значит заведение автоматически становится их собственником со всеми обязанностями. В сентябре 2026 года правила обновились, и разбор здесь нужен не «на будущее», а сейчас.

Почему это касается любого кафе с Wi-Fi

Как только гость вводит номер телефона на странице входа, вы начинаете обработку персональных данных. Неважно, рассылаете вы что-нибудь потом или нет: сам сбор и хранение уже обработка. Та же логика распространяется на журнал подключений, который вы обязаны вести по требованиям связи — разбор в материале о хранении логов гостевого Wi-Fi.

Получается, что у одной и той же таблицы два разных режима: как журнал сессий она нужна по законодательству о связи, как база контактов подпадает под законодательство о персональных данных. Требования не противоречат друг другу, но их важно не путать.

О каком акте речь

Правила осуществления мер по защите персональных данных утверждены приказом Министра искусственного интеллекта и цифрового развития от 3 сентября 2026 года и введены в действие в сентябре 2026 года. Публикации расходятся в том, какой именно день считать датой введения, поэтому точную дату и действующую редакцию имеет смысл сверять на портале правовой информации adilet.zan.kz. Базовый акт отрасли — Закон РК «О персональных данных и их защите».

Цифры ниже приведены по этим правилам. Если у вас пограничный случай, сверяйтесь с первоисточником, а не с пересказами: по этой теме в сети много материалов разной степени свежести.

Категории: к какой относится ваше заведение

Обновлённые правила делят собственников данных по числу уникальных субъектов, то есть людей, чьи данные вы обрабатываете:

Категория	Число субъектов	Уведомление уполномоченного органа
Малые	до 10 000	не требуется
Средние	от 10 000 до 500 000	требуется
Крупные	от 500 000	требуется

Практический ориентир: отдельное кафе или небольшой отель почти наверняка попадает в малые и уведомлять никого не обязано. Сеть заведений или торговый центр с потоком в несколько тысяч человек в день выходит за порог быстрее, чем кажется, — считайте уникальных гостей за всё время, а не за месяц.

Что обязаны делать все, включая малых

Освобождение от уведомления не освобождает от мер защиты. Базовый набор одинаков для всех:

• Определить перечень собираемых данных и цели обработки. «Номер телефона — для авторизации в гостевой сети и информирования об акциях» — это уже перечень и цель
• Назначить ответственное лицо. Конкретный человек, а не «администрация»
• Разграничить доступ. Официант не должен иметь возможности выгрузить всю базу
• Регистрировать действия с данными. Кто и когда смотрел или выгружал
• Делать резервные копии и защищать систему от вредоносного ПО

Для средних добавляются управление доступом по ролям, многофакторная аутентификация для данных ограниченного доступа, обучение сотрудников и анализ уязвимостей. Для крупных — независимый аудит мер защиты, мониторинг кибербезопасности и тестирование на проникновение.

Утечка: один рабочий день

Самое жёсткое требование. При обнаружении нарушения безопасности персональных данных уведомить уполномоченный орган нужно в течение одного рабочего дня. В уведомлении указываются контакты ответственного за обработку, принятые меры по устранению и сведения о затронутых субъектах.

Практический вывод: у вас должен заранее существовать ответ на вопрос «кто это делает и по какому каналу». Искать контакты регулятора в момент инцидента — гарантированно не уложиться в срок.

Что это меняет в работе портала авторизации

• Согласие должно быть явным и отделимым. Согласие на авторизацию и согласие на рекламную рассылку — это разные вещи. Одна галочка на оба случая ослабляет обе
• Собирайте минимум. Для авторизации достаточно номера. Паспортные данные, адрес и дата рождения в системе гостевого Wi-Fi не нужны и только увеличивают вашу ответственность
• Удаление должно быть настоящим. В правилах прямо определено удаление как действия, исключающие восстановление данных. Пометка «неактивен» в базе удалением не считается
• Отписка работает с первого раза. Это и требование закона, и здравый смысл — подробнее о работе с базой в материале про сбор базы гостей через Wi-Fi

Как это устроено в TheLink

Данные хранятся в облаке, доступ разграничен по ролям, действия с базой протоколируются, выгрузка и удаление доступны из личного кабинета. Согласия на авторизацию и на рассылку разделены на уровне формы. Это закрывает базовый набор мер, но не снимает с заведения роли собственника данных: ответственное лицо назначаете вы, и уведомлять регулятора при инциденте тоже вам. Отраслевые сценарии собраны на страницах для кафе, отелей и торговых центров.

Чек-лист

• Знаю, сколько уникальных гостей в базе, и понимаю свою категорию
• Назначено ответственное лицо за обработку
• Перечень данных и цели зафиксированы письменно
• Согласие на авторизацию и на рассылку разделены
• Доступ к базе есть не у всех сотрудников
• Известно, кто и куда сообщает об утечке в течение рабочего дня
• Требования связи по журналу сессий выполняются отдельно — см. страницу о законе и проверках

Материал носит справочный характер и не является юридической консультацией. Правила защиты персональных данных обновлялись в 2026 году несколько раз, точную действующую редакцию и дату введения проверяйте на adilet.zan.kz или у профильного юриста.