Как правильно собирать cookies на сайте в Казахстане: разъяснение
Сайт, работающий с казахстанскими пользователями, обязан получить явное согласие посетителя до установки нефункциональных cookies — аналитических, маркетинговых, персонализационных. Молчание или продолжение просмотра страницы согласием не считается. Технические cookies, без которых сайт не работает, согласия не требуют.
Если ваш сайт собирает данные казахстанских пользователей и вы не уверены в соответствии требованиям — проверьте это до проверки регулятора. Проверить обработку персональных данных · info@vetrovkz.com
Как правильно собирать cookies на сайте в Казахстане?
Сбор cookies на сайте в Казахстане регулируется Законом о персональных данных и их защите: если cookie-файл позволяет идентифицировать пользователя или отслеживать его поведение — он считается персональными данными и требует согласия. Технические cookies (сессионные, авторизационные, корзина) в эту категорию, как правило, не попадают.
Согласие должно быть получено до установки нефункциональных cookies. Это означает, что баннер должен появляться при первом визите, до загрузки аналитических или маркетинговых скриптов. Пользователь нажимает «Принять» — скрипты запускаются. Пользователь закрывает баннер или прокручивает страницу — скрипты не запускаются.
Согласие должно быть конкретным, информированным и добровольным. Нельзя заранее проставлять галочки или делать отказ технически сложнее, чем принятие. Политика конфиденциальности и политика cookies должны быть доступны по ссылке прямо из баннера.
Оператор обязан хранить доказательства согласия: дату, версию баннера, выбор пользователя. Это важно при проверке регулятором или при жалобе субъекта данных.
Если ваш сайт использует аналитику или рекламные пиксели — проверьте, соответствует ли ваш cookie-баннер требованиям казахстанского законодательства.
Проверить обработку персональных данныхКакие cookies требуют согласия, а какие — нет?
Не все cookies одинаковы с точки зрения казахстанского законодательства о персональных данных: ключевой критерий — возможность идентификации пользователя или отслеживания его поведения.
Согласия не требуют технические (функциональные) cookies: они необходимы для работы сайта и не передают данные третьим лицам. К ним относятся сессионные идентификаторы, токены авторизации, содержимое корзины в интернет-магазине, языковые настройки.
Согласие обязательно для следующих категорий:
- Аналитические cookies (Google Analytics, Yandex.Metrica, собственные счётчики) — отслеживают поведение пользователя на сайте
- Маркетинговые и рекламные cookies — используются для ретаргетинга, передаются рекламным платформам
- Персонализационные cookies — запоминают предпочтения для показа персонализированного контента
- Cookies социальных сетей — кнопки «Поделиться», пиксели отслеживания
Если вы используете сторонние сервисы (рекламные сети, CRM-интеграции, чат-боты), убедитесь, что их cookies также охвачены вашим баннером согласия.
Что должен содержать cookie-баннер на казахстанском сайте?
Корректный cookie-баннер — это не просто уведомление, а инструмент получения и фиксации согласия. Он должен содержать несколько обязательных элементов.
Во-первых, краткое и понятное описание того, какие данные собираются и для каких целей. Формулировки вроде «Мы используем cookies для улучшения сайта» без детализации недостаточны. Во-вторых, разбивку по категориям cookies с возможностью выбора: принять все, принять только технические, настроить индивидуально.
В-третьих, ссылки на политику конфиденциальности и политику cookies — оба документа должны быть актуальными и доступными. В-четвёртых, кнопки с равнозначным визуальным весом: «Принять все» и «Отклонить» не должны различаться по размеру или цвету так, чтобы подталкивать к одному выбору.
Баннер должен появляться при каждом новом визите до момента, когда пользователь сделал выбор. Повторный показ необходим при изменении политики cookies или по истечении срока хранения согласия.
Кто считается оператором персональных данных в Казахстане?
Оператором персональных данных в Казахстане признаётся любое лицо, которое самостоятельно или совместно с другими определяет цели и способы обработки персональных данных. Если ваш сайт собирает IP-адреса, email, поведенческие данные казахстанских пользователей — вы оператор, независимо от юрисдикции регистрации компании и местонахождения серверов.
Это означает, что иностранная компания, чей сайт доступен казахстанским пользователям и собирает их данные, также подпадает под действие казахстанского Закона о персональных данных и их защите. Территориальный принцип применения закона ориентирован на местонахождение субъекта данных, а не оператора.
Оператор обязан: определить правовое основание обработки каждой категории данных, разработать внутренние документы (политику конфиденциальности, регламент обработки), обеспечить права субъектов данных и принять технические меры защиты.
Что делать при запросе субъекта персональных данных?
При получении запроса от субъекта персональных данных оператор обязан ответить в установленный законом срок — как правило, в течение нескольких рабочих дней с момента получения обращения. Субъект вправе запросить: состав своих данных, цели обработки, перечень третьих лиц, которым данные передавались.
Субъект также вправе потребовать исправления неточных данных, блокировки обработки или полного уничтожения данных. Оператор обязан исполнить требование или предоставить мотивированный отказ. Немотивированный отказ или нарушение сроков — самостоятельное нарушение закона.
Практически это означает, что в компании должна быть выстроена процедура обработки запросов субъектов: назначен ответственный, определён маршрут запроса, установлены сроки внутреннего согласования ответа. Отсутствие такой процедуры — типичное нарушение, выявляемое при проверках.
Ответ направляется в той форме, в которой поступил запрос, если иное не установлено соглашением с субъектом. Рекомендуется вести реестр запросов субъектов с фиксацией даты, содержания и принятых мер.
Нужно ли уведомлять уполномоченный орган об обработке данных?
Казахстанское законодательство о персональных данных не устанавливает общей обязанности предварительного уведомления уполномоченного органа для всех операторов — в отличие от ряда других юрисдикций. Уполномоченным органом в сфере персональных данных в Казахстане выступает Министерство цифрового развития, инноваций и аэрокосмической промышленности РК.
Тем не менее отдельные виды обработки могут требовать специального уведомления или согласования. Прежде всего это касается трансграничной передачи персональных данных: если данные казахстанских пользователей передаются в другую страну, оператор обязан убедиться, что эта страна обеспечивает надлежащий уровень защиты, либо получить отдельное согласие субъекта на такую передачу.
Также повышенные требования установлены для обработки особых категорий данных: биометрических, медицинских, данных о судимостях. Если ваш сайт или приложение работает с такими данными — рекомендуется провести отдельный правовой анализ применимых требований.
Какой штраф за нарушение закона о персональных данных в Казахстане?
Административная ответственность за нарушение законодательства о персональных данных в Казахстане предусмотрена Кодексом об административных правонарушениях и дифференцирована в зависимости от субъекта и характера нарушения.
Санкции исчисляются в МРП — в 2026 году МРП составляет 4 325 тенге (по состоянию на 2026 год). Размер штрафов для юридических лиц, как правило, существенно выше, чем для физических и должностных лиц. Повторные нарушения влекут увеличенные санкции.
Помимо административной ответственности, незаконный сбор и распространение персональных данных в значительном объёме может квалифицироваться по Уголовному кодексу РК. Гражданско-правовая ответственность наступает при причинении вреда субъекту данных вследствие нарушения закона — субъект вправе требовать возмещения убытков и компенсации морального вреда.
Практика показывает, что регулятор активизировал проверки в отношении операторов, работающих с большими массивами данных: интернет-магазины, финтех-сервисы, маркетплейсы. Превентивный аудит обходится значительно дешевле, чем устранение нарушений после предписания.
Частые вопросы
1. Как правильно собирать cookies на сайте в Казахстане?
Сайт, работающий с казахстанскими пользователями, обязан получить явное согласие посетителя до установки нефункциональных cookies — аналитических, маркетинговых, персонализационных. Согласие оформляется через cookie-баннер: пользователь должен активно подтвердить выбор (нажать «Принять»), а не просто продолжить просмотр страницы. Молчание или прокрутка страницы не считаются согласием по казахстанскому законодательству о персональных данных. Технические cookies, необходимые для работы сайта (сессионные, корзина, авторизация), согласия не требуют.
2. Что делать при запросе субъекта персональных данных?
При получении запроса от субъекта персональных данных оператор обязан ответить в установленный законом срок. Субъект вправе запросить сведения о составе своих данных, целях обработки, третьих лицах, которым данные передавались, а также потребовать исправления, блокировки или уничтожения данных. Ответ направляется в письменной или электронной форме. Отказ в предоставлении информации или нарушение сроков ответа образует самостоятельное нарушение Закона о персональных данных и их защите.
3. Кто считается оператором персональных данных в Казахстане?
Оператором персональных данных в Казахстане признаётся любое лицо — физическое или юридическое, государственный орган — которое самостоятельно или совместно с другими определяет цели и способы обработки персональных данных. Если ваш сайт собирает имена, email-адреса, IP-адреса или поведенческие данные казахстанских пользователей — вы являетесь оператором и несёте полный объём обязанностей по Закону о персональных данных и их защите, независимо от того, где физически расположены серверы.
4. Нужно ли уведомлять уполномоченный орган об обработке данных?
Казахстанское законодательство о персональных данных предусматривает обязанность оператора принять внутренние документы по обработке данных и обеспечить их соблюдение, однако общей обязанности предварительного уведомления уполномоченного органа для всех операторов не установлено. Уведомление может потребоваться в специальных случаях — при трансграничной передаче данных или обработке особых категорий. Рекомендуется проверить актуальный перечень требований применительно к конкретному виду деятельности.
5. Какой штраф за нарушение закона о персональных данных?
Административная ответственность за нарушение законодательства о персональных данных в Казахстане установлена Кодексом об административных правонарушениях. Размер санкций зависит от характера нарушения и субъекта ответственности — физическое лицо, должностное лицо или юридическое лицо. Суммы штрафов исчисляются в МРП (в 2026 году МРП составляет 4 325 тенге, по состоянию на 2026 год). Повторные нарушения, а также нарушения, повлёкшие утечку данных, влекут более высокие санкции. Уголовная ответственность наступает при незаконном сборе и распространении персональных данных в значительном объёме.
6. Нужна ли политика конфиденциальности, если сайт только информационный?
Да, политика конфиденциальности нужна даже для информационного сайта, если он собирает хотя бы минимальные данные о посетителях. Любой сайт, использующий счётчики посещаемости, формы обратной связи или аналитические инструменты, обрабатывает персональные данные. IP-адрес пользователя в казахстанской правоприменительной практике, как правило, признаётся персональными данными. Политика конфиденциальности должна быть доступна с каждой страницы сайта и содержать информацию о целях, составе и сроках обработки данных, а также о правах субъектов.
7. Распространяется ли казахстанский закон о персональных данных на иностранные сайты?
Казахстанский Закон о персональных данных и их защите применяется к обработке данных казахстанских пользователей вне зависимости от юрисдикции регистрации оператора. Если иностранный сайт целенаправленно работает с казахстанской аудиторией — предлагает товары или услуги в Казахстане, использует казахстанский домен или язык — он подпадает под требования казахстанского законодательства. Это означает необходимость корректного cookie-баннера, политики конфиденциальности на русском или казахском языке и соблюдения прав субъектов данных.
8. Что такое трансграничная передача данных и когда она требует согласия?
Трансграничная передача персональных данных — это передача данных казахстанских пользователей на серверы или третьим лицам, находящимся за пределами Казахстана. Она возникает, например, при использовании облачных сервисов с серверами в других странах, при передаче данных иностранным партнёрам или рекламным платформам. Казахстанское законодательство требует, чтобы страна-получатель обеспечивала надлежащий уровень защиты данных, либо оператор получил отдельное согласие субъекта на такую передачу. Использование Google Analytics или Facebook Pixel, как правило, квалифицируется как трансграничная передача.
9. Как долго можно хранить данные, собранные через cookies?
Срок хранения персональных данных, собранных через cookies, должен быть определён оператором и указан в политике конфиденциальности. Казахстанское законодательство устанавливает принцип минимизации: данные хранятся не дольше, чем это необходимо для достижения заявленной цели обработки. После достижения цели или истечения установленного срока данные подлежат уничтожению или обезличиванию. Срок хранения согласия пользователя на cookies, как правило, не превышает 12 месяцев — после чего баннер должен быть показан повторно.
10. Что такое политика cookies и чем она отличается от политики конфиденциальности?
Политика cookies — отдельный документ, описывающий конкретные файлы cookie, которые использует сайт: их названия, назначение, срок действия и поставщиков. Политика конфиденциальности — более широкий документ, охватывающий все виды обработки персональных данных на сайте и в деятельности компании. Оба документа могут быть объединены в один или существовать раздельно. Важно, чтобы политика cookies была актуальной: если вы добавили новый аналитический инструмент или рекламный пиксель — политика должна быть обновлена, а пользователи уведомлены.
11. Можно ли использовать Google Analytics на казахстанском сайте?
Использование Google Analytics на сайте, работающем с казахстанскими пользователями, допустимо при соблюдении ряда условий. Во-первых, пользователь должен дать явное согласие на аналитические cookies до загрузки скрипта. Во-вторых, в политике конфиденциальности должна быть указана трансграничная передача данных Google и описаны меры защиты. В-третьих, рекомендуется активировать функцию анонимизации IP-адресов в настройках Google Analytics. Аналогичные требования применяются к Yandex.Metrica и другим аналитическим инструментам.
12. Что проверяет регулятор при проверке оператора персональных данных?
При проверке оператора персональных данных уполномоченный орган, как правило, проверяет наличие и актуальность внутренних документов (политика конфиденциальности, регламент обработки, согласия субъектов), соответствие фактической обработки заявленным целям, наличие технических мер защиты данных, процедуру обработки запросов субъектов и соблюдение требований к трансграничной передаче. Отсутствие корректного cookie-баннера и политики cookies — одно из наиболее часто выявляемых нарушений при проверках сайтов.
13. Нужно ли согласие на cookies для мобильного приложения?
Мобильные приложения не используют cookies в классическом смысле, однако собирают аналогичные идентификаторы: рекламные идентификаторы устройства (IDFA, GAID), данные об использовании приложения, геолокацию. Требования казахстанского Закона о персональных данных и их защите распространяются на любую обработку персональных данных, включая мобильные приложения. Согласие на сбор данных должно быть получено при первом запуске приложения, до начала сбора нефункциональных данных. Политика конфиденциальности приложения должна быть доступна в магазинах приложений и внутри самого приложения.
14. Как провести аудит соответствия требованиям о персональных данных?
Аудит соответствия требованиям о персональных данных включает несколько этапов. Первый — инвентаризация: выявление всех точек сбора данных на сайте и в бизнес-процессах. Второй — правовой анализ: проверка наличия правового основания для каждого вида обработки. Третий — документарный аудит: оценка актуальности политики конфиденциальности, регламентов, форм согласия. Четвёртый — технический аудит: проверка cookie-баннера, настроек аналитических инструментов, мер защиты данных. По итогам аудита формируется план устранения нарушений с приоритизацией по уровню риска.
15. Что делать, если произошла утечка персональных данных пользователей сайта?
При утечке персональных данных оператор обязан незамедлительно принять меры по локализации инцидента и минимизации ущерба. Казахстанское законодательство предусматривает обязанность уведомления уполномоченного органа и субъектов данных об утечке в установленные сроки. Промедление с уведомлением усугубляет ответственность оператора. Параллельно необходимо зафиксировать обстоятельства инцидента, провести внутреннее расследование и принять меры по предотвращению повторных инцидентов. Подробнее о процедуре уведомления — в материале «Уведомление об утечке персональных данных в Казахстане».
Выводы
Сбор cookies на казахстанском сайте — не технический, а правовой вопрос. Нефункциональные cookies требуют явного согласия пользователя до их установки; молчание или продолжение просмотра согласием не считается. Оператор обязан хранить доказательства согласия, обеспечить права субъектов данных и корректно оформить трансграничную передачу данных при использовании иностранных аналитических инструментов. Превентивный аудит позволяет устранить нарушения до проверки регулятора — и обходится значительно дешевле, чем реагирование на предписание.
Актуально на: 22 сентября 2026 года.
Если ситуация требует внимания — мы поможем разобраться.
Смежные направления
Направление практики
Персональные данные и IT-право — соответствие Закону о персональных данных, трансграничная передача, аудит обработки и IT-договоры.