Маскирование данных в CRM: доступ сотрудников

Маскирование персональных данных в CRM позволяет показывать сотруднику только те сведения о клиенте, которые необходимы для его работы. Например, оператору колл-центра может быть достаточно последних цифр телефона, а бухгалтерии — реквизитов для конкретной операции. Но скрытые символы на экране ещё не означают, что компания исполнила все требования закона: доступ к исходным значениям, выгрузкам и журналам должен быть организован отдельно.

 Почему скрытие полей стало юридическим вопросом

 С сентября 2026 года действуют Правила применения методов маскирования и хеширования, утверждённые приказом заместителя Премьер-Министра — Министра искусственного интеллекта и цифрового развития РК от 3 сентября 2026 года № 535/НҚ. Основание принятия — пункт 2 статьи 23 Закона РК «О персональных данных и их защите». Правила описывают маскирование как замену части реальных сведений недействительными или обезличенными значениями; на практике это может быть отображение телефона с закрытыми цифрами или сокращение номера документа.

 Согласно пункту 5 Правил маскирование применяется в числе прочего при доступе пользователей цифровых систем, в тестовой среде, интерфейсах, отчётах, распечатках, выгрузках и интеграционном обмене, когда полный объём данных не нужен. Пункт 6 требует проводить маскирование до соответствующих действий. Следовательно, опасная схема — сначала выгрузить полную клиентскую базу, а затем вручную скрывать поля в готовом файле.

 Кто из сотрудников вправе видеть полные данные

 Организации следует составить матрицу прав доступа: роль сотрудника, деловая задача, необходимые поля и условия раскрытия полного значения. Менеджеру по продажам может быть разрешено видеть имя и рабочий номер клиента, но не копию документа и историю всех обращений. Сотрудник службы поддержки получает временный расширенный доступ только при подтверждённой необходимости. Руководящий статус сам по себе не оправдывает неограниченный просмотр.

 Пункт 9 статьи 7 Закона ограничивает обработку объёмом, необходимым для цели, а статья 22 обязывает предотвращать несанкционированный доступ. Статья 25 предусматривает организационные обязанности оператора, включая утверждение документов по обработке и защите данных. Значит, правила CRM должны сочетать настройки системы и локальные документы компании.

 Как внедрить маскирование без фиктивной защиты

 Для каждой группы сведений — ИИН, номер документа, адрес, телефон, реквизиты платежей — нужно определить сценарии отображения. К примеру, для обычного оператора CRM ИИН показывается частично, а полный номер доступен назначенному специалисту по обоснованному запросу. Это пример организации контроля, а не установленный законом универсальный формат маски из конкретного количества символов.

 Проверить следует не только карточку клиента, но и поиск, уведомления, экспорт CSV/XLSX, API-ответы, интеграции с телефонией, печать, резервные отчёты и тестовые копии базы. Если пользователь видит замаскированный ИИН в интерфейсе, но получает его полностью через кнопку «Экспорт», защита фактически обойдена. Системные администраторы и подрядчики требуют отдельной модели доступа и контроля.

 Журналы операций и работа с подрядчиками

 Пункт 8 Правил № 535/НҚ предусматривает фиксацию сведений о применении маскирования в журнале учёта операций. Среди обязательных реквизитов названы дата и время, вид операции, перечень затронутых данных и метод маскирования. Для внутреннего расследования полезно дополнительно сохранять идентификатор исполнителя и основание расширенного доступа, соблюдая требования безопасности и сроки хранения.

 Если поддержку CRM выполняет внешняя IT-компания, в договоре стоит определить доступ к клиентской информации, запрет несанкционированного копирования, защиту тестовых сред, порядок уведомления об инцидентах и возврат либо удаление данных по завершении работ. Одного общего положения о конфиденциальности недостаточно для технического контроля.

 Маскирование, хеширование и обезличивание — не одно и то же

 Маскирование прежде всего ограничивает видимую часть сведений. Если исходные данные остаются в базе и лицо может быть идентифицировано, компания продолжает обрабатывать персональные данные. Хеширование — преобразование значения с использованием хеш-функции; оно решает другие задачи, в частности проверку совпадений, и не заменяет настройки просмотра клиентских карточек. Полное обезличивание предполагает иной результат, поэтому нельзя автоматически называть любую маску анонимизацией.

 Маскирование не освобождает от необходимости законного основания обработки, соблюдения целей сбора, политики хранения и обработки запросов субъектов. Нельзя скрыть нарушение сбора данных красивым интерфейсом.

 Что проверить при внутреннем аудите CRM

 Юристу и специалисту по безопасности понадобятся перечень обрабатываемых полей, роли пользователей, регламент предоставления доступа, политика защиты данных, образцы интерфейсов, настройки экспорта, схема интеграций, документы с подрядчиками и выдержки из технических журналов. Вместо передачи реальных ИИН и клиентской базы для первичного анализа лучше использовать подготовленные безопасные примеры.

 Если выявлен доступ сотрудника к лишней информации, необходимо зафиксировать обстоятельства, временно ограничить соответствующие полномочия, определить круг затронутых записей и оценить применимость обязанностей по реагированию на нарушение безопасности. Скрывать факт доступа, удаляя журналы, нельзя: это осложняет расследование и защиту прав клиентов.

 Нужно ли обращаться в суд?

 Большинство вопросов внедрения маскирования решается внутри компании: настройкой CRM, утверждением полномочий, корректировкой договоров и проверкой соблюдения требований. При конфликте с сотрудником, подрядчиком или субъектом данных необходимо сохранить доказательства и определить характер нарушения. Судебный способ защиты зависит от конкретных требований и фактов; он не является обязательным этапом каждой проверки настройки CRM.

 Вопросы и ответы

 Нужно ли скрывать ИИН у всех работников? Необходимо оценивать цель доступа и трудовую функцию. Полный номер не следует показывать тем, кому он для работы не нужен; конкретная модель настраивается по ролям.

 Достаточно ли замаскировать поля в интерфейсе? Нет. Нужно проверить экспорт, API, печать, интеграции, тестовую среду и права администраторов.

 Можно ли использовать реальные данные клиентов для тестирования? Правила прямо предусматривают применение маскирования в тестовых и демонстрационных средах. Законность каждой операции и меры защиты требуют самостоятельной оценки.

 Кто отвечает за доступ подрядчика к CRM? Обязанности собственника, оператора и третьего лица устанавливаются законом и договором. Передача доступа не снимает с компании её собственных обязанностей.

 Какие документы подтвердят выполнение требований? Матрица ролей, регламент доступа, технические настройки, журналы операций, результаты тестов, акты проверок и условия договоров с подрядчиками.

 Записаться на платную консультацию

 Стоимость консультации — от 20 000 тенге, в зависимости от сложности вопроса.

 Чтобы записаться, перейдите по ссылке ниже и выберите удобный способ связи.