Как правильно собирать cookies на сайте в Казахстане: частые вопросы
Сбор cookies на казахстанском сайте требует явного согласия пользователя и соответствующей политики конфиденциальности — это прямое требование Закона о персональных данных и их защите. Собственник бизнеса, разместивший сайт без cookie-баннера или с формальным «уведомлением», рискует административной ответственностью и претензиями со стороны уполномоченного органа. Ниже — ответы на наиболее частые вопросы о правилах сбора cookies в Казахстане.
Не уверены, соответствует ли ваш сайт требованиям казахстанского законодательства о персональных данных? Проверить обработку персональных данных · info@vetrovkz.com
Как правильно собирать cookies на сайте в Казахстане?
Для правомерного сбора cookies в Казахстане необходимо получить явное согласие пользователя до начала сбора данных — через баннер или всплывающее окно с чёткими кнопками «Принять» и «Отклонить». Согласие должно быть свободным, конкретным и информированным: пользователь должен понимать, какие именно данные собираются и для каких целей.
Технически необходимые cookies — те, без которых сайт не может функционировать (авторизация, корзина, языковые настройки) — допускаются без отдельного согласия. Аналитические cookies (например, счётчики посещаемости) и маркетинговые (ретаргетинг, рекламные сети) требуют явного согласия пользователя до их активации.
Политика конфиденциальности на сайте должна описывать все категории используемых cookies, сроки их хранения, цели обработки и порядок отзыва согласия. Ссылка на политику должна быть доступна непосредственно из cookie-баннера. Хранить подтверждения согласий рекомендуется не менее трёх лет — на случай проверки.
Если ваш сайт работает с данными казахстанских пользователей — проверьте, соответствует ли ваша политика конфиденциальности требованиям Закона о персональных данных и их защите.
Проверить обработку персональных данныхКто считается оператором персональных данных в Казахстане?
Оператором персональных данных в Казахстане признаётся любое лицо — государственный орган, физическое или юридическое лицо, — которое организует и (или) осуществляет обработку персональных данных. Если ваш сайт собирает имена, email-адреса, IP-адреса, данные о поведении пользователей или иные сведения, позволяющие идентифицировать человека, — вы являетесь оператором.
Это правило распространяется и на иностранные компании, чьи сайты ориентированы на пользователей из Казахстана или обрабатывают данные граждан РК. Регистрация юридического лица в Казахстане для возникновения обязательств оператора не требуется — достаточно факта обработки данных казахстанских пользователей.
Статус оператора влечёт конкретные обязанности: получение согласия, обеспечение безопасности данных, ответы на запросы субъектов, уведомление уполномоченного органа в установленных случаях. Незнание о своём статусе оператора не освобождает от ответственности.
Нужно ли уведомлять уполномоченный орган об обработке данных?
По действующему законодательству Казахстана операторы персональных данных обязаны уведомить уполномоченный орган о начале обработки персональных данных в случаях, предусмотренных Законом о персональных данных и их защите. Уведомление подаётся до начала обработки.
Уполномоченным органом в сфере персональных данных в Казахстане является Министерство цифрового развития, инноваций и аэрокосмической промышленности РК. Ряд категорий операторов освобождён от обязательного уведомления, однако перечень исключений ограничен и не охватывает большинство коммерческих сайтов.
Помимо уведомления, оператор обязан вести внутренний учёт обрабатываемых данных: перечень баз данных, цели обработки, категории субъектов, сроки хранения. Этот документ — основа для прохождения проверки и ответов на запросы субъектов.
Что делать при запросе субъекта персональных данных?
При получении запроса от субъекта персональных данных оператор обязан ответить в срок, установленный Законом о персональных данных и их защите. Запрос может касаться предоставления сведений об обрабатываемых данных, их исправления, блокирования или уничтожения.
Ответ направляется в той форме, в которой поступил запрос, если иное не согласовано с субъектом. Отказ допускается только в случаях, прямо предусмотренных законодательством РК, и должен быть мотивированным. Немотивированный отказ — самостоятельное основание для жалобы в уполномоченный орган.
Рекомендуется заранее разработать внутренний регламент обработки запросов субъектов: назначить ответственное лицо, установить внутренние сроки реагирования, вести журнал входящих запросов и принятых мер. Это снижает риск нарушений при внезапном росте числа обращений.
Какой штраф за нарушение закона о персональных данных в Казахстане?
Нарушение требований казахстанского законодательства о персональных данных влечёт административную ответственность по Кодексу об административных правонарушениях РК. Размер санкций зависит от характера нарушения и субъекта ответственности — физического лица, должностного лица или юридического лица.
Повторные нарушения, а также нарушения, повлёкшие причинение вреда субъектам данных или утечку значительного объёма персональных данных, влекут более строгие санкции. Отдельно предусмотрена ответственность за незаконную передачу персональных данных третьим лицам и за непринятие мер по обеспечению их безопасности.
Точные размеры штрафов периодически пересматриваются и привязаны к МРП (в 2026 году — 4 325 тенге, по состоянию на 2026 год). Для оценки актуального размера санкций применительно к конкретной ситуации рекомендуется обратиться к юристу по персональным данным.
Частые вопросы
1. Как правильно собирать cookies на сайте в Казахстане?
Для правомерного сбора cookies в Казахстане необходимо получить явное согласие пользователя до начала сбора данных — через баннер или всплывающее окно с чёткими кнопками «Принять» и «Отклонить». Согласие должно быть свободным, конкретным и информированным: пользователь должен понимать, какие именно данные собираются и для каких целей. Технически необходимые cookies допускаются без согласия, аналитические и маркетинговые — только с ним. Политика конфиденциальности на сайте должна описывать все категории cookies, сроки хранения и порядок отзыва согласия.
2. Что делать при запросе субъекта персональных данных?
При получении запроса от субъекта персональных данных оператор обязан ответить в течение срока, установленного Законом о персональных данных и их защите. Запрос может касаться предоставления сведений об обрабатываемых данных, их исправления, блокирования или уничтожения. Ответ направляется в той форме, в которой поступил запрос. Отказ допускается только в случаях, прямо предусмотренных законодательством РК, и должен быть мотивированным. Рекомендуется вести журнал входящих запросов и фиксировать принятые меры.
3. Кто считается оператором персональных данных в Казахстане?
Оператором персональных данных в Казахстане признаётся государственный орган, физическое или юридическое лицо, которое организует и (или) осуществляет обработку персональных данных. Если ваш сайт собирает имена, email-адреса, IP-адреса или поведенческие данные посетителей — вы являетесь оператором и несёте соответствующие обязательства по казахстанскому законодательству. Это правило распространяется и на иностранные компании, чьи сайты ориентированы на пользователей из Казахстана или обрабатывают данные граждан РК.
4. Нужно ли уведомлять уполномоченный орган об обработке данных?
По действующему законодательству Казахстана операторы персональных данных обязаны уведомить уполномоченный орган — Министерство цифрового развития, инноваций и аэрокосмической промышленности РК — о начале обработки персональных данных в случаях, предусмотренных Законом о персональных данных и их защите. Уведомление подаётся до начала обработки. Ряд категорий операторов освобождён от этой обязанности, однако перечень исключений ограничен. Рекомендуется заблаговременно проверить, попадает ли ваша деятельность под обязательное уведомление.
5. Какой штраф за нарушение закона о персональных данных?
Нарушение требований казахстанского законодательства о персональных данных влечёт административную ответственность. Размер санкций зависит от характера нарушения и субъекта ответственности — физического лица, должностного лица или юридического лица. Повторные нарушения, а также нарушения, повлёкшие причинение вреда субъектам данных, влекут более строгие санкции. Точные размеры штрафов привязаны к МРП и периодически пересматриваются — рекомендуется уточнять актуальные значения у юриста по персональным данным.
6. Нужен ли отдельный cookie-баннер или достаточно политики конфиденциальности?
Политики конфиденциальности недостаточно — она описывает правила обработки данных, но не фиксирует факт получения согласия. Cookie-баннер необходим как инструмент получения и документирования согласия пользователя до начала сбора данных. Баннер должен содержать: описание категорий cookies, ссылку на политику конфиденциальности, кнопки «Принять» и «Отклонить» (или «Настроить»). Автоматическое согласие при прокрутке страницы или продолжении использования сайта казахстанским законодательством не признаётся надлежащим.
7. Распространяется ли казахстанский закон о персональных данных на иностранные сайты?
Да, казахстанское законодательство о персональных данных распространяется на иностранные сайты, если они обрабатывают персональные данные граждан или резидентов Казахстана. Регистрация юридического лица в РК для возникновения этих обязательств не требуется. Если ваш сайт доступен казахстанским пользователям, принимает их данные (регистрация, заказы, подписки) или использует аналитику с геолокацией по Казахстану — требования Закона о персональных данных и их защите применимы к вашей деятельности.
8. Можно ли хранить персональные данные казахстанских пользователей на серверах за рубежом?
Казахстанское законодательство устанавливает требование локализации: базы данных персональных данных граждан РК должны храниться на серверах, расположенных на территории Казахстана. Трансграничная передача данных допускается при соблюдении ряда условий — в частности, при наличии согласия субъекта или при передаче в страны с надлежащим уровнем защиты данных. Нарушение требования локализации является самостоятельным основанием для привлечения к ответственности.
9. Что такое политика конфиденциальности и что она должна содержать?
Политика конфиденциальности — публичный документ оператора, описывающий порядок сбора, хранения, использования и защиты персональных данных пользователей. По казахстанскому законодательству она должна содержать: перечень собираемых данных и цели их обработки, основания обработки (согласие, договор, закон), сроки хранения, порядок передачи третьим лицам, права субъектов данных и порядок их реализации, контактные данные оператора. Политика должна быть доступна на сайте в любое время — как правило, в футере.
10. Как пользователь может отозвать согласие на cookies?
Пользователь вправе в любой момент отозвать ранее данное согласие на обработку персональных данных, в том числе через cookies. Оператор обязан обеспечить технический механизм отзыва — как правило, через настройки cookie-баннера, доступные повторно (кнопка в футере или в личном кабинете). После отзыва согласия оператор обязан прекратить обработку данных в той части, которая основывалась на согласии, и при необходимости уничтожить соответствующие данные. Отзыв согласия не должен быть сложнее, чем его предоставление.
11. Нужно ли согласие на cookies для B2B-сайтов?
Да, требования к сбору cookies распространяются на все сайты, включая B2B, поскольку cookies идентифицируют конкретного пользователя (физическое лицо), а не компанию. Даже если ваш сайт ориентирован на корпоративных клиентов, его посещают физические лица — сотрудники, менеджеры, директора, — чьи данные подпадают под действие Закона о персональных данных и их защите. Исключений для B2B-сегмента казахстанское законодательство не предусматривает.
12. Что такое «технически необходимые» cookies и почему они не требуют согласия?
Технически необходимые cookies — это файлы, без которых сайт не может выполнять свои основные функции: поддержание сессии авторизованного пользователя, сохранение содержимого корзины, языковые настройки, защита от CSRF-атак. Они не используются для отслеживания поведения пользователя или передачи данных третьим лицам. Поскольку их обработка обусловлена исполнением договора (использование сервиса) или законным интересом оператора по обеспечению работоспособности сайта, отдельного согласия они не требуют. Однако пользователь должен быть о них проинформирован в политике конфиденциальности.
13. Как проверить, соответствует ли мой сайт требованиям казахстанского законодательства о персональных данных?
Базовый аудит включает несколько шагов: проверить наличие и содержание cookie-баннера (явное согласие до сбора данных), оценить полноту политики конфиденциальности, убедиться в наличии механизма отзыва согласия, проверить, уведомлен ли уполномоченный орган (если требуется), и оценить, где физически хранятся данные казахстанских пользователей. Дополнительно стоит проверить договоры с подрядчиками, которым передаются данные (аналитика, CRM, email-рассылки). Полный аудит рекомендуется проводить с участием юриста по персональным данным.
14. Нужно ли получать согласие на cookies при каждом визите пользователя?
Нет, согласие не требуется при каждом визите — оно действует до момента его отзыва пользователем или истечения установленного срока. Как правило, согласие фиксируется в отдельном cookie с определённым сроком действия (обычно 6–12 месяцев). По истечении срока баннер отображается повторно. Важно: если пользователь очистил cookies в браузере, его согласие технически утрачено, и при следующем визите баннер должен отобразиться снова. Это не нарушение — это корректная работа механизма согласия.
15. Что грозит за утечку персональных данных пользователей сайта?
Утечка персональных данных влечёт обязанность оператора уведомить уполномоченный орган и, в ряде случаев, самих субъектов данных. Помимо административной ответственности, оператор может нести гражданско-правовую ответственность перед субъектами данных за причинённый вред. При наличии умысла или грубой халатности возможна уголовная ответственность должностных лиц. Наличие утверждённой политики безопасности данных, регулярные аудиты и документированные меры защиты существенно снижают риски и смягчают последствия при проверке.
Выводы
Сбор cookies на казахстанском сайте — не технический, а правовой вопрос. Любой сайт, собирающий данные казахстанских пользователей, является оператором персональных данных и обязан получить явное согласие, разработать политику конфиденциальности, обеспечить механизм отзыва согласия и при необходимости уведомить уполномоченный орган. Нарушения влекут административную ответственность, а при утечке данных — и гражданско-правовые претензии со стороны пользователей.
Актуально на: 13 октября 2026 года.
Если ситуация требует внимания — мы поможем разобраться.
Смежные направления
Направление практики
Персональные данные и IT-право — соответствие Закону о персональных данных, трансграничная передача, аудит обработки и IT-договоры.