Как правильно собирать cookies на сайте в Казахстане: что важно знать
Сайт, работающий с казахстанскими пользователями, обязан получить явное согласие посетителя до установки нефункциональных cookies — это требование Закона о персональных данных и их защите. Без баннера согласия, политики cookies и технической возможности отказа аналитические и маркетинговые счётчики нарушают казахстанское законодательство, даже если сам сайт зарегистрирован за рубежом.
Не уверены, соответствует ли ваш сайт требованиям казахстанского законодательства о персональных данных? Проверить обработку персональных данных · info@vetrovkz.com
Как правильно собирать cookies на сайте в Казахстане?
Cookies, содержащие идентификаторы пользователя, признаются персональными данными по казахстанскому законодательству — если они позволяют прямо или косвенно установить личность посетителя. Это означает, что на сайт распространяются требования Закона о персональных данных и их защите.
Минимальный набор для законного сбора нефункциональных cookies включает четыре элемента. Первый — баннер согласия, который появляется при первом визите до установки любых нефункциональных cookies. Второй — политика cookies с описанием каждой категории, провайдера и срока хранения. Третий — равнозначные кнопки «Принять» и «Отклонить» без визуального акцента на принятии. Четвёртый — постоянно доступный механизм отзыва согласия.
Аналитические счётчики (Google Analytics, Яндекс.Метрика и аналоги) и маркетинговые пиксели без предварительного согласия нарушают закон, даже если данные обрабатываются на серверах третьих лиц. Факт передачи данных внешнему сервису не снимает ответственности с оператора сайта.
Если ваш сайт использует аналитику или маркетинговые пиксели — стоит проверить, соответствует ли текущая реализация требованиям закона.
Проверить обработку персональных данныхКто считается оператором персональных данных в Казахстане?
Оператором персональных данных признаётся любое лицо — физическое, юридическое или государственный орган, — которое самостоятельно или совместно с другими определяет цели и способы обработки персональных данных.
Для владельца сайта это означает следующее: если вы решаете, какие данные собирать через cookies, зачем и как долго хранить — вы оператор, даже если техническую обработку выполняет подрядчик или облачный сервис. Передача обработки на аутсорс не освобождает от обязанностей оператора.
Иностранные компании, чьи сайты целенаправленно работают с казахстанскими пользователями — принимают оплату в тенге, используют домен .kz или казахстанский язык интерфейса, — также подпадают под действие казахстанского законодательства о персональных данных. Подробнее о правовом регулировании цифровой среды — в материале «Цифровой кодекс Казахстана: что изменилось для бизнеса».
Какие cookies требуют согласия, а какие — нет?
Функциональными (технически необходимыми) считаются cookies, без которых сайт не может работать: сессионные идентификаторы для авторизации, корзина в интернет-магазине, языковые настройки, CSRF-токены безопасности. Эти cookies устанавливаются без согласия пользователя.
Все остальные категории требуют явного согласия до установки. Аналитические cookies — счётчики посещений, тепловые карты, записи сессий. Маркетинговые — ретаргетинг, рекламные сети, пиксели социальных сетей. Персонализирующие — запоминание предпочтений, рекомендательные алгоритмы. Cookies третьих лиц — встроенные виджеты, видеоплееры, кнопки «Поделиться».
Граница между функциональными и нефункциональными cookies — не техническая, а правовая: ключевой вопрос в том, необходима ли обработка для предоставления услуги, которую пользователь явно запросил. Если нет — согласие обязательно.
Нужно ли уведомлять уполномоченный орган об обработке данных?
По действующему казахстанскому законодательству операторы, обрабатывающие персональные данные в информационных системах, обязаны направить уведомление в уполномоченный орган — Министерство цифрового развития, инноваций и аэрокосмической промышленности РК — до начала обработки.
Сайты, собирающие данные через cookies в коммерческих целях, как правило, под исключения не подпадают. Отсутствие уведомления при наличии обработки — самостоятельное основание для привлечения к ответственности, отдельное от нарушений в части согласия или политики.
Уведомление подаётся в электронном виде через портал электронного правительства. Форма уведомления и перечень сведений установлены действующим законодательством. О порядке получения согласия на обработку персональных данных подробнее — в материале «Как получить согласие на обработку персональных данных в Казахстане».
Что делать при запросе субъекта персональных данных?
При получении запроса от субъекта персональных данных оператор обязан ответить в течение трёх рабочих дней. Ответ должен подтвердить факт обработки, перечислить категории данных, указать цели и основания обработки, а также сообщить о третьих лицах, которым данные были переданы.
Если субъект требует удаления данных — оператор обязан уничтожить их в течение пяти рабочих дней, если нет законного основания для хранения. Отказ отвечать или затягивание сроков — самостоятельное нарушение, которое уполномоченный орган фиксирует отдельно от основного нарушения.
На практике запросы субъектов чаще всего поступают через форму обратной связи или на общий email. Рекомендуется назначить ответственное лицо за обработку таких запросов и зафиксировать процедуру во внутреннем регламенте.
Какой штраф за нарушение закона о персональных данных в Казахстане?
Административная ответственность за нарушение законодательства о персональных данных предусмотрена Кодексом об административных правонарушениях РК. Размер санкций зависит от вида нарушения и субъекта ответственности.
Для должностных лиц и субъектов малого бизнеса суммы исчисляются в МРП — по состоянию на 2026 год МРП составляет 4 325 тенге. Для крупных организаций санкции существенно выше. Повторные нарушения влекут увеличенные штрафы. Помимо штрафа, уполномоченный орган вправе выдать предписание об устранении нарушений и приостановить обработку данных до их исполнения.
Отдельную ответственность влечёт нарушение требований о локализации персональных данных — хранении баз данных казахстанских граждан на серверах в Республике Казахстан. Этот риск актуален для сайтов, передающих данные в зарубежные облачные сервисы без надлежащего правового основания. Подробнее о трудовых и кадровых рисках при работе с данными сотрудников — в материале «Новая квота на иностранную рабочую силу в Казахстане».
Частые вопросы
1. Как правильно собирать cookies на сайте в Казахстане?
Сайт, работающий с казахстанскими пользователями, обязан получить информированное согласие посетителя до установки нефункциональных cookies. Это требование вытекает из Закона о персональных данных и их защите: cookies, содержащие идентификаторы пользователя, признаются персональными данными, если позволяют прямо или косвенно установить личность. Минимальный набор: баннер согласия при первом визите, политика cookies с описанием каждой категории, кнопки «Принять» и «Отклонить» равнозначного размера, техническая возможность отозвать согласие в любой момент. Аналитические и маркетинговые cookies без согласия — нарушение, даже если данные передаются третьим сервисам.
2. Что делать при запросе субъекта персональных данных?
При получении запроса от субъекта персональных данных оператор обязан ответить в течение трёх рабочих дней. Ответ должен подтвердить факт обработки, перечислить категории данных, указать цели и основания обработки, а также сообщить о третьих лицах, которым данные были переданы. Если субъект требует удаления — оператор обязан уничтожить данные в течение пяти рабочих дней, если нет законного основания для их хранения. Отказ отвечать или затягивание сроков — самостоятельное нарушение, которое фиксируется уполномоченным органом отдельно от основного нарушения.
3. Кто считается оператором персональных данных в Казахстане?
Оператором персональных данных в Казахстане признаётся любое лицо — физическое, юридическое или государственный орган, — которое самостоятельно или совместно с другими определяет цели и способы обработки персональных данных. Для сайта это означает: если вы решаете, какие данные собирать, зачем и как хранить — вы оператор, даже если техническую обработку выполняет подрядчик. Иностранные компании, чьи сайты доступны казахстанским пользователям и целенаправленно работают с ними, также могут подпадать под действие казахстанского законодательства о персональных данных.
4. Нужно ли уведомлять уполномоченный орган об обработке данных?
По действующему казахстанскому законодательству операторы, обрабатывающие персональные данные в информационных системах, обязаны направить уведомление в уполномоченный орган — Министерство цифрового развития, инноваций и аэрокосмической промышленности РК. Уведомление подаётся до начала обработки. Исключения предусмотрены для ряда категорий операторов, однако сайты, собирающие данные через cookies в коммерческих целях, как правило, под исключения не подпадают. Отсутствие уведомления при наличии обработки — самостоятельное основание для привлечения к ответственности.
5. Какой штраф за нарушение закона о персональных данных?
Административная ответственность за нарушение законодательства о персональных данных в Казахстане предусмотрена Кодексом об административных правонарушениях. Размер санкций зависит от вида нарушения и субъекта: для должностных лиц и субъектов малого бизнеса суммы исчисляются в МРП (по состоянию на 2026 год — 4 325 тенге за единицу), для крупных организаций — существенно выше. Повторные нарушения влекут увеличенные санкции. Помимо штрафа, уполномоченный орган вправе выдать предписание об устранении нарушений и приостановить обработку данных до их исполнения.
6. Нужен ли отдельный баннер cookies или достаточно политики конфиденциальности?
Политика конфиденциальности и баннер cookies — разные инструменты с разными функциями. Политика описывает общие принципы обработки данных и размещается как статичная страница. Баннер cookies — это механизм получения согласия в момент первого визита, до того как нефункциональные cookies установлены. Наличие политики не заменяет баннер: согласие должно быть получено активным действием пользователя, а не подразумеваться из факта посещения сайта. Оба документа обязательны для сайтов, использующих аналитические, маркетинговые или персонализирующие cookies.
7. Какие cookies считаются функциональными и не требуют согласия?
Функциональными (технически необходимыми) считаются cookies, без которых сайт не может работать: сессионные идентификаторы для авторизации, корзина в интернет-магазине, языковые настройки, CSRF-токены безопасности. Эти cookies устанавливаются без согласия пользователя, поскольку обработка данных необходима для исполнения договора или обеспечения безопасности. Аналитические cookies (счётчики посещений), маркетинговые (ретаргетинг, рекламные сети) и cookies социальных сетей к функциональным не относятся и требуют явного согласия до установки.
8. Можно ли использовать Google Analytics на казахстанском сайте?
Google Analytics можно использовать на казахстанском сайте при соблюдении двух условий: получено явное согласие пользователя на аналитические cookies до загрузки скрипта, и в политике cookies раскрыт факт передачи данных третьему лицу — Google LLC — с указанием целей передачи. Дополнительно рекомендуется активировать анонимизацию IP-адресов в настройках счётчика и проверить, не противоречит ли передача данных за рубеж требованиям казахстанского законодательства о локализации персональных данных. Использование Analytics без согласия и без раскрытия — нарушение Закона о персональных данных.
9. Что такое локализация персональных данных и касается ли она cookies?
Локализация персональных данных — требование казахстанского законодательства хранить базы данных казахстанских граждан на серверах, физически расположенных в Республике Казахстан. Это требование распространяется на операторов, собирающих данные казахстанских граждан. Cookies, содержащие идентификаторы, которые позволяют установить личность пользователя, могут подпадать под это требование — особенно если данные передаются в облачные сервисы за рубежом. Практика применения нормы к cookies пока формируется, однако риск существует и его следует учитывать при выборе аналитических инструментов.
10. Как оформить политику cookies для казахстанского сайта?
Политика cookies для казахстанского сайта должна содержать: определение cookies и их технический принцип работы; перечень всех используемых cookies с указанием названия, провайдера, срока хранения и цели; разбивку по категориям (функциональные, аналитические, маркетинговые); информацию о третьих лицах, получающих данные; инструкцию по управлению cookies через настройки браузера и через баннер сайта; контактные данные оператора для обращений. Политика размещается как отдельная страница, и ссылка на неё обязательно присутствует в баннере согласия.
11. Нужно ли согласие на cookies для B2B-сайта?
Да, требование о согласии на cookies распространяется на B2B-сайты так же, как на B2C. Ключевой критерий — не тип аудитории, а факт сбора персональных данных. Если сотрудник компании-клиента посещает ваш сайт и его идентификатор фиксируется аналитическим или маркетинговым cookie, этот сотрудник является субъектом персональных данных. Его корпоративный статус не отменяет требований Закона о персональных данных. Исключение — сайты, использующие исключительно функциональные cookies без передачи данных третьим лицам.
12. Как правильно реализовать отзыв согласия на cookies?
Отзыв согласия должен быть таким же простым, как его предоставление — это прямое требование принципа добровольности. На практике это означает: постоянно доступная ссылка «Настройки cookies» в футере сайта или в меню; при переходе по ссылке — тот же интерфейс, что при первом визите, с возможностью снять галочки с нефункциональных категорий; после отзыва — немедленное прекращение установки соответствующих cookies. Технически это реализуется через Consent Management Platform (CMP) или собственное решение с хранением статуса согласия.
13. Что грозит за использование пикселей социальных сетей без согласия?
Пиксели социальных сетей (Meta Pixel, LinkedIn Insight Tag и аналоги) технически работают как cookies третьих лиц и передают данные о поведении пользователя на сайте внешним платформам. Их использование без предварительного согласия пользователя нарушает Закон о персональных данных и их защите: данные передаются третьему лицу без правового основания. Риски: предписание уполномоченного органа, административный штраф, репутационный ущерб при публичном разбирательстве. Корректная реализация: пиксель загружается только после получения согласия на маркетинговые cookies через баннер.
14. Распространяется ли казахстанский закон на иностранные сайты?
Казахстанское законодательство о персональных данных применяется к операторам, которые целенаправленно работают с казахстанскими пользователями: имеют казахстанскую аудиторию, принимают оплату в тенге, используют домен .kz или казахстанский язык интерфейса. Иностранный сайт, ориентированный на казахстанских пользователей, обязан соблюдать требования Закона о персональных данных в части согласия, политики и локализации. Уполномоченный орган вправе направить предписание иностранному оператору и инициировать блокировку ресурса через регуляторные механизмы.
15. Как провести аудит cookies на существующем сайте?
Аудит cookies на существующем сайте включает четыре этапа. Первый — техническое сканирование: автоматизированные инструменты выявляют все cookies, устанавливаемые сайтом и встроенными сервисами. Второй — классификация: каждый cookie относится к категории и проверяется на соответствие заявленным целям. Третий — правовой анализ: проверяется наличие оснований для обработки, корректность политики и механизма согласия. Четвёртый — устранение: отключаются cookies без оснований, обновляется политика, настраивается CMP. Периодичность аудита — не реже одного раза в год или при изменении состава сервисов.
Выводы
Cookies на казахстанском сайте — это не технический, а правовой вопрос. Нефункциональные cookies требуют явного согласия до установки, политики с раскрытием каждой категории и работающего механизма отзыва. Отсутствие баннера согласия, уведомления уполномоченного органа или ответа на запрос субъекта — самостоятельные нарушения с отдельными санкциями. Иностранные сайты, работающие с казахстанской аудиторией, подпадают под те же требования.
Актуально на: 1 сентября 2026 года.
Если ситуация требует внимания — мы поможем разобраться.
Смежные направления
Направление практики
Персональные данные и IT-право — соответствие Закону о персональных данных, трансграничная передача, аудит обработки и IT-договоры.