Как правильно собирать cookies на сайте в Казахстане: 5 ключевых вопросов
Сайт, работающий с казахстанскими пользователями, обязан получить явное согласие посетителя до установки нефункциональных cookies — аналитических, маркетинговых или персонализирующих. Технически необходимые cookies согласия не требуют. Отсутствие cookie-баннера или использование «согласия по умолчанию» нарушает казахстанский Закон о персональных данных и их защите и влечёт административную ответственность.
Ваш сайт собирает данные казахстанских пользователей — проверьте, соответствует ли это требованиям закона. Проверить обработку персональных данных · info@vetrovkz.com
Что такое cookies с точки зрения казахстанского права?
Cookies — небольшие текстовые файлы, которые сайт сохраняет в браузере пользователя. С точки зрения казахстанского законодательства они квалифицируются как персональные данные, если позволяют идентифицировать конкретного человека — прямо или косвенно.
IP-адрес, идентификатор устройства, поведенческий профиль, собранный через аналитические инструменты, — всё это персональные данные по Закону о персональных данных и их защите. Это означает, что сайт, использующий счётчики посещаемости или пиксели социальных сетей, является оператором персональных данных со всеми вытекающими обязанностями.
Казахстанское регулирование не делает исключений для малого бизнеса или некоммерческих сайтов. Если сайт доступен казахстанским пользователям и собирает любые данные о них — требования закона распространяются в полном объёме.
Если ваш сайт использует Google Analytics, пиксели Facebook или другие трекеры — это уже обработка персональных данных, требующая правового оформления.
Проверить обработку персональных данныхКак правильно собирать cookies на сайте в Казахстане?
Правильный сбор cookies в Казахстане предполагает три обязательных элемента: cookie-баннер с реальным выбором, актуальную политику конфиденциальности и техническую реализацию, при которой нефункциональные cookies не устанавливаются до получения согласия.
Cookie-баннер должен появляться при первом визите пользователя — до того, как аналитические или маркетинговые cookies будут установлены. Пользователь должен совершить активное действие: нажать кнопку «Принять» или проставить галочку. Формат «продолжая использовать сайт, вы соглашаетесь» не является надлежащим согласием — это прямо следует из требований Закона о персональных данных и их защите.
Баннер должен предлагать не только кнопку «Принять всё», но и возможность отказаться или настроить категории. Пользователь вправе в любой момент отозвать согласие — для этого на сайте должна быть доступна соответствующая функция.
- Технически необходимые cookies (сессия, авторизация, корзина) — согласия не требуют
- Аналитические cookies (Google Analytics, счётчики) — требуют явного согласия
- Маркетинговые cookies (ретаргетинг, пиксели) — требуют явного согласия
- Функциональные cookies (персонализация интерфейса) — как правило, требуют согласия
Кто считается оператором персональных данных в Казахстане?
Оператором персональных данных в Казахстане признаётся любое лицо — физическое или юридическое, — которое организует и осуществляет обработку персональных данных. Если ваш сайт собирает имена, email-адреса, IP-адреса или поведенческие данные казахстанских пользователей — вы являетесь оператором.
Место регистрации компании не имеет значения. Иностранные компании, чьи сайты ориентированы на казахстанскую аудиторию — предлагают товары или услуги в тенге, ведут контент на казахском или русском языке, используют домен .kz — подпадают под казахстанское регулирование в полном объёме.
Статус оператора влечёт конкретные обязанности: зарегистрировать базу данных в уполномоченном органе, разработать политику конфиденциальности, обеспечить механизм обработки запросов субъектов данных и принять меры по защите информации. Подробнее об обязанностях оператора — в материале «Новые правила защиты персональных данных в Казахстане».
Нужно ли уведомлять уполномоченный орган об обработке данных?
По казахстанскому законодательству операторы обязаны зарегистрировать базы данных, содержащие персональные данные, в уполномоченном органе — Министерстве цифрового развития, инноваций и аэрокосмической промышленности РК — до начала обработки.
Регистрация проводится через портал электронного правительства. При регистрации указываются: цель обработки, категории данных, срок хранения, меры защиты и сведения о трансграничной передаче. Закон о персональных данных и их защите предусматривает исключения для ряда случаев, однако большинство коммерческих сайтов под эти исключения не подпадают.
Нарушение порядка регистрации — самостоятельное основание для административной ответственности. Проверить, зарегистрирована ли ваша база данных, можно через реестр на сайте уполномоченного органа. Если регистрация не проводилась — её необходимо пройти до начала следующей проверки.
Что делать при запросе субъекта персональных данных?
При получении запроса от пользователя о его персональных данных оператор обязан ответить в установленный законом срок. Запрос может касаться предоставления сведений об обрабатываемых данных, их исправления, блокировки или уничтожения.
Ответ направляется в той же форме, в которой поступил запрос, если иное не согласовано с субъектом. Если данные обрабатываются незаконно или цель обработки достигнута — оператор обязан прекратить обработку и уничтожить данные. Игнорирование запроса или немотивированный отказ влекут административную ответственность.
На практике рекомендуется заранее разработать внутренний регламент обработки запросов субъектов: определить ответственное лицо, установить внутренние сроки реакции и шаблоны ответов. Это снижает риск нарушения сроков при одновременном поступлении нескольких запросов. Подробнее о правах субъектов — в материале «Что важно знать о сборе cookies в Казахстане».
Какой штраф за нарушение закона о персональных данных в Казахстане?
Административная ответственность за нарушение законодательства о персональных данных предусмотрена Кодексом об административных правонарушениях РК. Санкции зависят от характера нарушения: незаконная обработка данных, нарушение порядка регистрации базы данных, отказ в предоставлении информации субъекту.
Размеры штрафов исчисляются в МРП — в 2026 году МРП составляет 4 325 тенге (по состоянию на 2026 год). Помимо штрафа, уполномоченный орган вправе выдать предписание об устранении нарушений в установленный срок. При повторных нарушениях или утечке данных ответственность существенно возрастает.
Отдельно следует учитывать репутационные последствия: уведомление об утечке данных, которое оператор обязан направить субъектам и уполномоченному органу, становится публичным. Для бизнеса, работающего с большим объёмом пользовательских данных, это может нанести ущерб, несопоставимый с размером штрафа.
Частые вопросы
1. Как правильно собирать cookies на сайте в Казахстане?
Сайт, работающий с казахстанскими пользователями, обязан получить явное согласие посетителя до установки нефункциональных cookies — аналитических, маркетинговых или персонализирующих. Согласие оформляется через cookie-баннер: пользователь должен активно подтвердить выбор (галочка или кнопка «Принять»), а не просто продолжить просмотр. Технически необходимые cookies — сессионные, корзина, авторизация — согласия не требуют. Политика конфиденциальности должна описывать каждую категорию cookies, срок хранения и цель обработки. Отсутствие баннера или использование «согласия по умолчанию» нарушает Закон о персональных данных и их защите.
2. Что делать при запросе субъекта персональных данных?
При получении запроса от субъекта персональных данных оператор обязан ответить в течение срока, установленного Законом о персональных данных и их защите. Запрос может касаться предоставления сведений об обрабатываемых данных, их исправления, блокировки или уничтожения. Ответ направляется в той же форме, в которой поступил запрос, если иное не согласовано. Если данные обрабатываются незаконно — оператор обязан прекратить обработку и уничтожить данные. Игнорирование запроса или немотивированный отказ влекут административную ответственность.
3. Кто считается оператором персональных данных в Казахстане?
Оператором персональных данных в Казахстане признаётся любое физическое или юридическое лицо, которое самостоятельно или совместно с другими лицами организует и осуществляет обработку персональных данных. Если ваш сайт собирает имена, email-адреса, IP-адреса или поведенческие данные казахстанских пользователей — вы являетесь оператором независимо от того, где зарегистрирована компания. Иностранные компании, чьи сайты доступны в Казахстане и ориентированы на казахстанскую аудиторию, также подпадают под действие казахстанского законодательства о персональных данных.
4. Нужно ли уведомлять уполномоченный орган об обработке данных?
По действующему казахстанскому законодательству операторы персональных данных обязаны регистрировать базы данных, содержащие персональные данные, в уполномоченном органе — Министерстве цифрового развития, инноваций и аэрокосмической промышленности РК. Регистрация проводится до начала обработки. Исключения предусмотрены для ряда случаев, прямо указанных в Законе о персональных данных и их защите. Нарушение порядка регистрации влечёт административную ответственность. Если ваш сайт собирает данные пользователей через формы или cookies — проверьте, зарегистрирована ли соответствующая база данных.
5. Какой штраф за нарушение закона о персональных данных?
Административная ответственность за нарушение законодательства о персональных данных в Казахстане предусмотрена Кодексом об административных правонарушениях. Санкции варьируются в зависимости от характера нарушения: незаконная обработка, нарушение порядка регистрации базы данных, отказ в предоставлении информации субъекту. Размеры штрафов исчисляются в МРП (в 2026 году — 4 325 тенге по состоянию на 2026 год). Помимо штрафа, уполномоченный орган вправе выдать предписание об устранении нарушений. При повторных нарушениях или утечке данных ответственность существенно возрастает.
6. Нужен ли cookie-баннер на казахстанском сайте?
Да, cookie-баннер необходим, если сайт устанавливает нефункциональные cookies — счётчики аналитики, пиксели социальных сетей, рекламные трекеры. Баннер должен появляться при первом визите до установки таких cookies, содержать описание категорий и давать пользователю реальный выбор — принять или отклонить. Формат «продолжая использовать сайт, вы соглашаетесь» не является надлежащим согласием по казахстанскому законодательству. Технически необходимые cookies (сессия, авторизация, корзина) баннера не требуют.
7. Что должна содержать политика конфиденциальности сайта в Казахстане?
Политика конфиденциальности казахстанского сайта должна описывать: кто является оператором и его контактные данные; какие персональные данные собираются и с какой целью; правовое основание обработки; срок хранения данных; порядок передачи третьим лицам и за рубеж; права субъекта данных и способ их реализации; сведения о cookies и аналитических инструментах. Документ должен быть написан понятным языком, доступен по прямой ссылке с каждой страницы сайта и обновляться при изменении практики обработки данных.
8. Распространяется ли казахстанский закон о персональных данных на иностранные сайты?
Казахстанский Закон о персональных данных и их защите применяется к обработке данных казахстанских граждан и резидентов независимо от места регистрации оператора. Если иностранный сайт ориентирован на казахстанскую аудиторию — предлагает товары или услуги в тенге, использует домен .kz, ведёт контент на казахском или русском языке — он подпадает под казахстанское регулирование. Это означает обязанность иметь политику конфиденциальности, cookie-баннер и механизм обработки запросов субъектов данных.
9. Можно ли передавать данные казахстанских пользователей за рубеж?
Трансграничная передача персональных данных из Казахстана допустима при соблюдении условий, установленных Законом о персональных данных и их защите. Передача возможна в страны, обеспечивающие надлежащий уровень защиты данных, либо при наличии согласия субъекта, либо на основании международного договора. Использование зарубежных облачных сервисов, CRM-систем или аналитических платформ, которые хранят данные на серверах за пределами Казахстана, квалифицируется как трансграничная передача и требует правового обоснования.
10. Как долго можно хранить данные, собранные через cookies?
Срок хранения данных, собранных через cookies, должен быть соразмерен цели обработки и прямо указан в политике конфиденциальности. Казахстанское законодательство не устанавливает единый максимальный срок для всех категорий данных, однако требует, чтобы данные уничтожались после достижения цели обработки или по истечении заявленного срока. Аналитические cookies, как правило, хранятся от 30 дней до 2 лет; маркетинговые — до 1 года. Хранение данных дольше заявленного срока без правового основания является нарушением.
11. Что такое согласие на обработку персональных данных и как его правильно получить?
Согласие на обработку персональных данных в Казахстане должно быть конкретным, информированным и добровольным. Пользователь должен понимать, какие данные собираются, кем, с какой целью и на какой срок. Согласие не может быть получено через заранее проставленные галочки или условие «продолжая использование». Для cookies согласие фиксируется через баннер с активным действием пользователя. Согласие должно быть отзываемым: пользователь вправе в любой момент отозвать его без негативных последствий для себя.
12. Нужна ли отдельная политика для мобильного приложения?
Мобильное приложение, собирающее персональные данные казахстанских пользователей, требует собственной политики конфиденциальности — отдельной от сайта или интегрированной, но охватывающей специфику приложения. Приложения собирают данные, которых нет на сайте: геолокацию, идентификаторы устройства, данные камеры и микрофона. Каждая категория требует отдельного правового основания и описания в политике. Магазины приложений также предъявляют собственные требования к политике конфиденциальности, которые должны соответствовать казахстанскому законодательству.
13. Что такое база данных персональных данных и нужно ли её регистрировать?
База данных персональных данных — это упорядоченная совокупность персональных данных в электронном или бумажном виде. Любая CRM-система, база подписчиков или таблица с данными клиентов сайта квалифицируется как база данных. Операторы обязаны зарегистрировать такие базы в уполномоченном органе до начала обработки. Регистрация проводится через портал электронного правительства с указанием цели обработки, категорий данных, срока хранения и мер защиты.
14. Как провести аудит обработки персональных данных на сайте?
Аудит обработки персональных данных на сайте включает: инвентаризацию всех точек сбора данных (формы, cookies, аналитика, чат-боты); проверку наличия правового основания для каждой категории обработки; оценку актуальности политики конфиденциальности; проверку механизма согласия; анализ договоров с третьими лицами, которым передаются данные. По итогам формируется перечень несоответствий и план устранения. Рекомендуется проводить аудит не реже одного раза в год или при существенном изменении функциональности сайта.
15. Какие cookies не требуют согласия пользователя?
Согласия не требуют технически необходимые cookies, без которых сайт не может функционировать: сессионные идентификаторы, токены авторизации, данные корзины в интернет-магазине, настройки языка интерфейса. Эти cookies не отслеживают поведение пользователя и не передаются третьим лицам. Все остальные категории — аналитические, функциональные, маркетинговые — требуют явного согласия. Граница между необходимыми и ненеобходимыми cookies должна быть чётко описана в политике конфиденциальности.
Выводы
Сбор cookies на сайте в Казахстане — это обработка персональных данных, которая требует явного согласия пользователя, зарегистрированной базы данных и актуальной политики конфиденциальности. Отсутствие cookie-баннера, использование «молчаливого согласия» или игнорирование запросов субъектов данных влекут административную ответственность. Иностранные компании, работающие с казахстанской аудиторией, подпадают под те же требования независимо от места регистрации.
Актуально на: 2 января 2026 года.
Если ситуация требует внимания — мы поможем разобраться.
Смежные направления
Направление практики
Персональные данные и IT-право — соответствие Закону о персональных данных, трансграничная передача, аудит обработки и IT-договоры.