Как правильно собирать cookies на сайте в Казахстане
Для правомерного сбора cookies в Казахстане необходимо получить явное согласие пользователя до начала сбора данных, разместить cookie-баннер с возможностью отказа и опубликовать политику конфиденциальности. Казахстанский Закон о персональных данных и их защите распространяется на любой сайт, собирающий идентифицирующие сведения о пользователях из Республики Казахстан, — независимо от того, где зарегистрирован владелец ресурса.
Ваш сайт собирает данные пользователей из Казахстана — проверьте, соответствует ли это требованиям закона. Проверить обработку персональных данных · info@vetrovkz.com
Что такое cookies с точки зрения казахстанского законодательства?
Cookies — это персональные данные, если они позволяют идентифицировать конкретного пользователя. Казахстанский Закон о персональных данных и их защите относит к персональным данным любые сведения, относящиеся к определённому или определяемому физическому лицу. IP-адрес, идентификатор сессии, поведенческий профиль пользователя — всё это попадает под действие закона.
Различают несколько категорий cookies по функциональному назначению. Технические (необходимые) cookies обеспечивают базовую работу сайта: авторизацию, корзину, языковые настройки. Аналитические cookies собирают статистику посещаемости. Маркетинговые cookies используются для таргетированной рекламы и передаются третьим лицам — рекламным сетям и платформам.
Правовой режим для каждой категории различается. Технические cookies, как правило, не требуют отдельного согласия, поскольку их обработка необходима для исполнения договора с пользователем. Аналитические и маркетинговые cookies требуют явного согласия — до их установки на устройство пользователя.
Если ваш сайт использует аналитические или маркетинговые инструменты — проверьте, соответствует ли текущая политика конфиденциальности требованиям казахстанского закона.
Проверить обработку персональных данныхКак правильно собирать cookies на сайте в Казахстане?
Правомерный сбор cookies в Казахстане строится на трёх обязательных элементах: информирование, согласие и возможность отказа. Согласие должно быть получено до того, как cookies установлены на устройство пользователя, — не после.
Cookie-баннер должен появляться при первом визите на сайт и содержать понятное описание того, какие данные собираются и для каких целей. Пользователь должен иметь возможность принять все cookies, отклонить необязательные или настроить их категории по отдельности. Кнопка «Отклонить» должна быть столь же заметной, как кнопка «Принять», — скрытый или мелкий отказ не соответствует требованиям закона.
Согласие фиксируется технически: дата, время, версия политики, на которую дано согласие. Это необходимо для подтверждения правомерности обработки при возможной проверке. Пользователь должен иметь возможность отозвать согласие в любой момент — через настройки сайта или повторное обращение к баннеру.
- Баннер появляется до установки cookies, не после
- Кнопки «Принять» и «Отклонить» равнозначны по заметности
- Согласие фиксируется с датой и версией политики
- Отзыв согласия технически реализован и доступен пользователю
- Политика конфиденциальности описывает все категории cookies
Что должна содержать политика конфиденциальности в части cookies?
Политика конфиденциальности — обязательный документ для любого сайта, собирающего персональные данные пользователей из Казахстана. В части cookies она должна раскрывать: какие cookies используются, для каких целей, как долго хранятся и передаются ли третьим лицам.
Для каждой категории cookies следует указать конкретные инструменты: например, аналитические сервисы или рекламные пиксели. Если данные передаются за рубеж — это требует отдельного правового основания по казахстанскому законодательству. Трансграничная передача персональных данных допускается при соблюдении условий, установленных Законом о персональных данных и их защите.
Политика должна быть написана понятным языком, доступна с любой страницы сайта и обновляться при изменении состава используемых cookies. Ссылка на политику размещается в cookie-баннере и в подвале сайта.
Кто является оператором персональных данных и какие у него обязанности?
Оператором персональных данных в Казахстане признаётся любое лицо — физическое или юридическое, государственное или частное, — которое организует и осуществляет обработку персональных данных. Если ваш сайт собирает имена, email-адреса, IP-адреса или поведенческие данные пользователей из Казахстана, вы являетесь оператором.
Основные обязанности оператора включают: уведомление уполномоченного органа об обработке данных, обеспечение конфиденциальности и безопасности данных, соблюдение принципов целевого использования и минимизации, а также реагирование на запросы субъектов данных. Оператор несёт ответственность за действия третьих лиц, которым он передаёт данные.
Иностранные компании, чьи сайты ориентированы на казахстанскую аудиторию, также попадают под действие казахстанского законодательства о персональных данных. Это актуально для международных платформ, использующих казахстанский домен или казахстанский язык интерфейса.
Нужно ли уведомлять уполномоченный орган об обработке персональных данных?
По казахстанскому законодательству операторы персональных данных обязаны направить уведомление в уполномоченный орган до начала обработки данных. Уполномоченным органом в сфере персональных данных является Министерство цифрового развития, инноваций и аэрокосмической промышленности РК.
Уведомление подаётся в электронном виде через портал egov.kz. В нём указываются: наименование оператора, цели обработки, категории данных, меры по их защите и сведения о трансграничной передаче. Закон о персональных данных и их защите предусматривает ряд исключений из обязанности уведомления, однако они носят ограниченный характер.
Отсутствие уведомления при наличии обязанности его направить является самостоятельным основанием для привлечения к административной ответственности. На практике уполномоченный орган проводит как плановые, так и внеплановые проверки операторов.
Какова ответственность за нарушение требований по cookies и персональным данным?
Административная ответственность за нарушение законодательства о персональных данных в Казахстане предусмотрена Кодексом об административных правонарушениях. Санкции дифференцированы в зависимости от характера нарушения и субъекта: физическое лицо, должностное лицо или юридическое лицо несут разную ответственность.
Типичные нарушения, которые фиксирует уполномоченный орган: отсутствие уведомления об обработке данных, сбор данных без согласия субъекта, непредоставление информации по запросу субъекта, нарушение требований к трансграничной передаче данных. Каждое из них образует самостоятельный состав правонарушения.
Помимо штрафа, уполномоченный орган вправе выдать предписание об устранении нарушений с установленным сроком исполнения. Неисполнение предписания влечёт повторное привлечение к ответственности с увеличенными санкциями. Репутационные последствия — публичное раскрытие факта нарушения — также возможны при серьёзных инцидентах.
Частые вопросы
1. Как правильно собирать cookies на сайте в Казахстане?
Для правомерного сбора cookies в Казахстане необходимо получить явное согласие пользователя до начала сбора данных, разместить cookie-баннер с возможностью отказа и опубликовать политику конфиденциальности. Казахстанский Закон о персональных данных и их защите требует, чтобы согласие было информированным, добровольным и конкретным. Технические cookies, необходимые для работы сайта, как правило, не требуют согласия, однако аналитические и маркетинговые cookies — требуют. Баннер должен появляться при первом визите, до того как cookies установлены. Пользователь должен иметь возможность отозвать согласие так же легко, как его дал.
2. Что делать при запросе субъекта персональных данных?
При получении запроса субъекта персональных данных оператор обязан ответить в течение срока, установленного Законом о персональных данных и их защите. Запрос может касаться предоставления сведений об обрабатываемых данных, их исправления, блокирования или уничтожения. Ответ должен быть дан в письменной форме — на бумажном носителе или в электронном виде. Если оператор отказывает в удовлетворении запроса, он обязан мотивировать отказ. Рекомендуется вести журнал обращений субъектов: это подтверждает добросовестность оператора при возможной проверке уполномоченного органа.
3. Кто считается оператором персональных данных в Казахстане?
Оператором персональных данных в Казахстане признаётся государственный орган или физическое либо юридическое лицо, которое самостоятельно или совместно с другими лицами организует и осуществляет обработку персональных данных. Если ваш сайт собирает имена, email-адреса, IP-адреса или иные идентифицирующие сведения о пользователях — вы являетесь оператором и несёте соответствующие обязанности по казахстанскому законодательству. Это распространяется как на казахстанские компании, так и на иностранные организации, чьи сайты ориентированы на пользователей из Казахстана.
4. Нужно ли уведомлять уполномоченный орган об обработке данных?
По казахстанскому законодательству операторы персональных данных обязаны направить уведомление в уполномоченный орган — Министерство цифрового развития, инноваций и аэрокосмической промышленности РК — до начала обработки персональных данных. Уведомление подаётся в электронном виде через портал egov.kz. Исключения предусмотрены для ряда случаев, прямо указанных в Законе о персональных данных и их защите. Отсутствие уведомления при наличии обязанности его направить является самостоятельным основанием для привлечения к административной ответственности.
5. Какой штраф за нарушение закона о персональных данных?
Административная ответственность за нарушение законодательства о персональных данных в Казахстане предусмотрена Кодексом об административных правонарушениях. Размер санкций зависит от характера нарушения и субъекта ответственности: для физических лиц, должностных лиц и юридических лиц установлены разные пороги. Помимо штрафа, уполномоченный орган вправе выдать предписание об устранении нарушений. При повторном нарушении санкции, как правило, увеличиваются. Точные размеры штрафов следует уточнять в актуальной редакции КоАП РК, поскольку они привязаны к МРП и пересматриваются.
6. Распространяется ли казахстанский закон о персональных данных на иностранные сайты?
Казахстанский Закон о персональных данных и их защите распространяется на обработку данных граждан и резидентов Казахстана вне зависимости от места регистрации оператора. Если иностранный сайт целенаправленно работает с казахстанской аудиторией — использует казахстанский домен, казахский или русский язык интерфейса, принимает оплату в тенге — он попадает под действие казахстанского законодательства. Это означает обязанность соблюдать требования к согласию, политике конфиденциальности и уведомлению уполномоченного органа. Игнорирование этих требований создаёт правовые риски при работе с казахстанскими партнёрами и при возможном выходе на рынок РК.
7. Нужно ли согласие на cookies, если сайт использует только Google Analytics?
Да, согласие необходимо. Google Analytics устанавливает аналитические cookies, которые собирают поведенческие данные пользователей и передают их на серверы Google — то есть осуществляется трансграничная передача персональных данных. По казахстанскому законодательству такая обработка требует явного согласия пользователя до установки cookies. Кроме того, трансграничная передача данных требует соблюдения дополнительных условий, предусмотренных Законом о персональных данных и их защите. Использование режима анонимизации IP в Google Analytics снижает, но не устраняет правовые риски.
8. Как долго можно хранить данные, собранные через cookies?
Срок хранения персональных данных, собранных через cookies, должен соответствовать целям их обработки — это один из базовых принципов казахстанского законодательства о персональных данных. Данные не могут храниться дольше, чем это необходимо для достижения заявленной цели. Конкретные сроки хранения для каждой категории cookies следует закрепить в политике конфиденциальности. По истечении срока данные подлежат уничтожению или обезличиванию. Хранение данных без определённого срока и без актуальной цели является нарушением принципа минимизации данных.
9. Что такое трансграничная передача персональных данных и когда она допустима?
Трансграничная передача персональных данных — это передача данных на территорию иностранного государства иностранному государственному органу, физическому или юридическому лицу. Она происходит, в частности, при использовании зарубежных аналитических сервисов, облачных платформ или рекламных сетей. Казахстанский Закон о персональных данных и их защите допускает трансграничную передачу при соблюдении ряда условий: наличие согласия субъекта, обеспечение адекватного уровня защиты данных в стране-получателе или заключение соответствующего договора. Передача данных в страны без адекватного уровня защиты требует дополнительных правовых оснований.
10. Можно ли использовать готовые шаблоны политики конфиденциальности?
Готовые шаблоны политики конфиденциальности могут служить отправной точкой, но не заменяют индивидуальную разработку документа. Политика должна отражать реальный состав обрабатываемых данных, конкретные инструменты (аналитические сервисы, пиксели, CRM-системы), цели обработки и сроки хранения именно вашего сайта. Использование чужого шаблона без адаптации создаёт риск несоответствия фактической практике обработки данных и требованиям казахстанского законодательства. При проверке уполномоченный орган сопоставляет содержание политики с реальной технической реализацией сайта.
11. Как технически реализовать управление согласием на cookies?
Технически управление согласием реализуется через систему управления согласием (Consent Management Platform, CMP). CMP обеспечивает показ баннера при первом визите, фиксацию выбора пользователя, блокировку cookies до получения согласия и возможность изменить настройки в любой момент. Выбор конкретного инструмента зависит от технической платформы сайта. Важно, чтобы CMP действительно блокировала установку cookies до получения согласия — а не просто показывала баннер после их установки. Журнал согласий должен храниться и быть доступен для предъявления при проверке.
12. Нужно ли отдельное согласие на каждый вид cookies?
Согласие должно быть конкретным — это означает, что пользователь должен понимать, на что именно он соглашается. Рекомендуется разделять согласие по категориям: технические, аналитические, маркетинговые cookies. Пользователь должен иметь возможность принять одни категории и отклонить другие. Единое согласие «на все cookies» без возможности дифференцированного выбора не соответствует принципу конкретности, закреплённому в Законе о персональных данных и их защите. Это особенно актуально для сайтов, использующих маркетинговые инструменты с передачей данных третьим лицам.
13. Что происходит, если пользователь отзывает согласие на cookies?
При отзыве согласия оператор обязан прекратить обработку данных, для которой это согласие служило правовым основанием. Технически это означает удаление ранее установленных cookies соответствующей категории и прекращение передачи данных третьим лицам. Отзыв согласия не влияет на правомерность обработки, осуществлённой до его отзыва. Механизм отзыва должен быть столь же доступным, как механизм дачи согласия — скрытая или многошаговая процедура отзыва нарушает требования закона. Факт отзыва и его дата также подлежат фиксации в журнале согласий.
14. Применяется ли закон о персональных данных к B2B-сайтам?
Казахстанский Закон о персональных данных и их защите защищает физических лиц, а не организации. Однако B2B-сайт, как правило, собирает данные конкретных физических лиц — контактных лиц компаний, менеджеров, представителей партнёров. Их имена, должности, email-адреса и телефоны являются персональными данными. Кроме того, cookies на B2B-сайте идентифицируют конкретных пользователей вне зависимости от их корпоративного статуса. Таким образом, требования к cookie-баннеру и политике конфиденциальности распространяются на B2B-сайты в той же мере, что и на B2C.
15. Как провести аудит соответствия сайта требованиям по персональным данным?
Аудит соответствия включает несколько этапов: инвентаризацию всех cookies и трекеров, используемых на сайте; проверку наличия и содержания политики конфиденциальности; оценку механизма получения и фиксации согласия; анализ трансграничных передач данных; проверку наличия уведомления уполномоченного органа. По итогам аудита формируется перечень несоответствий и план их устранения. Аудит рекомендуется проводить при запуске нового сайта, при подключении новых аналитических или маркетинговых инструментов, а также при изменении казахстанского законодательства о персональных данных.
Выводы
Правомерный сбор cookies в Казахстане требует трёх элементов: информированного согласия пользователя до установки cookies, технической реализации управления согласием и актуальной политики конфиденциальности. Аналитические и маркетинговые cookies не могут устанавливаться без явного согласия — это прямое требование казахстанского Закона о персональных данных и их защите. Оператор несёт ответственность не только за собственные действия, но и за передачу данных третьим лицам, включая зарубежные аналитические сервисы.
Актуально на: 1 января 2026 года.
Если ситуация требует внимания — мы поможем разобраться.
Смежные направления
Направление практики
Персональные данные и IT-право — соответствие Закону о персональных данных, трансграничная передача, аудит обработки и IT-договоры.