Можно ли хранить персональные данные казахстанцев за границей: разъяснение
Хранить персональные данные граждан Казахстана за рубежом можно, но только при условии, что основная база данных находится на территории Республики Казахстан. Казахстанское законодательство не запрещает трансграничную передачу данных, однако устанавливает чёткие условия: соответствующий уровень защиты в стране-получателе или письменное согласие каждого субъекта. Нарушение этих требований влечёт административную ответственность оператора.
Ваша компания обрабатывает данные казахстанских пользователей и использует зарубежные облачные сервисы? Проверить обработку персональных данных · info@vetrovkz.com
Что говорит казахстанский закон о хранении данных за рубежом?
Закон о персональных данных и их защите устанавливает требование локализации: базы данных с персональными данными граждан РК должны находиться на серверах, физически расположенных в Казахстане. Это базовое правило, от которого отталкивается вся система регулирования трансграничной передачи.
Вместе с тем закон не запрещает дублировать данные на зарубежных серверах. Компания вправе использовать иностранные облачные сервисы, CDN-сети или резервные хранилища — при условии, что казахстанская база данных существует и является основной. Иными словами, зарубежное хранение допустимо как дополнение, но не как замена локальной базы.
Требование распространяется на всех операторов персональных данных — как казахстанские компании, так и иностранные организации, работающие с данными граждан РК. Место регистрации компании значения не имеет: если вы собираете данные казахстанских пользователей, вы обязаны соблюдать казахстанское законодательство.
Используете зарубежные облачные сервисы для хранения данных казахстанских клиентов или сотрудников? Проверьте соответствие требованиям локализации до того, как это сделает регулятор.
Проверить обработку персональных данныхПри каких условиях трансграничная передача данных законна?
Трансграничная передача персональных данных из Казахстана законна при выполнении одного из двух условий, установленных действующим законодательством РК.
Первое условие: страна-получатель обеспечивает уровень защиты персональных данных не ниже казахстанского. В этом случае передача допускается без дополнительного согласия субъекта. Оценку уровня защиты проводит оператор самостоятельно, ориентируясь на наличие в стране-получателе специального законодательства о персональных данных и механизмов его исполнения.
Второе условие: если уровень защиты в стране-получателе недостаточен, оператор обязан получить письменное согласие каждого субъекта на передачу его данных за рубеж. В согласии должны быть указаны цель передачи, страна назначения и получатель. Помимо этого, оператор уведомляет уполномоченный орган о намерении осуществить трансграничную передачу до её начала.
Как требование локализации применяется на практике?
На практике требование локализации означает, что компания должна арендовать или использовать серверные мощности, физически расположенные в Казахстане. Это может быть собственный сервер в казахстанском дата-центре, аренда виртуального сервера у казахстанского провайдера или использование казахстанского сегмента международного облачного сервиса.
Крупные международные облачные провайдеры, как правило, предлагают выбор региона хранения данных. Выбор казахстанского региона или ближайшего с подтверждённым соответствием требованиям — стандартное решение для компаний, работающих с казахстанской аудиторией. Важно документально подтвердить, что данные хранятся именно в Казахстане: договор с провайдером должен содержать соответствующее условие.
Типичные ошибки операторов: использование только зарубежных серверов без казахстанской копии; отсутствие документального подтверждения места хранения; передача данных иностранному обработчику без уведомления уполномоченного органа. Каждая из этих ситуаций создаёт риск административной ответственности при проверке.
Что изменилось с принятием нового регулирования в сфере IT-права?
Казахстанское законодательство в сфере персональных данных последовательно ужесточается: требования к операторам расширяются, полномочия уполномоченного органа по контролю усиливаются. Компаниям, работающим с данными казахстанских пользователей, рекомендуется отслеживать актуальное состояние нормативной базы.
Одна из ключевых тенденций — усиление требований к документированию обработки данных. Оператор обязан не только соблюдать требования закона, но и быть способным подтвердить это соблюдение: иметь политику обработки персональных данных, журналы согласий, договоры с обработчиками. Отсутствие документации само по себе является нарушением при проверке.
Подробнее о приведении IT-компании в соответствие действующим требованиям читайте в материале «Приведение IT-компании в соответствие цифровому кодексу РК». Общий обзор требований к хранению данных — в статье «Хранение персональных данных казахстанцев: базовые требования».
Какова ответственность за нарушение требований локализации?
За нарушение требований локализации персональных данных в Казахстане предусмотрена административная ответственность. Уполномоченный орган вправе проводить проверки операторов, выдавать предписания об устранении нарушений и налагать штрафы.
Размер санкций исчисляется в МРП — по состоянию на 2026 год МРП составляет 4 325 тенге. Помимо штрафа, оператору может быть выдано предписание об устранении нарушения в установленный срок. Неисполнение предписания влечёт повторную ответственность с увеличенным размером санкций.
В случае утечки персональных данных, повлёкшей существенный вред субъектам, возможна уголовная ответственность по Уголовному кодексу РК. Репутационные последствия публичной утечки данных клиентов нередко превышают размер формального штрафа — особенно для компаний, работающих в сегменте B2C.
Нужен ли аудит персональных данных и что он включает?
Аудит персональных данных — это проверка соответствия практики обработки данных требованиям казахстанского законодательства. Он позволяет выявить нарушения до того, как их обнаружит регулятор, и устранить их в рабочем порядке.
Стандартный аудит включает: инвентаризацию обрабатываемых данных и их категорий; проверку наличия и корректности согласий субъектов; анализ договоров с обработчиками и субподрядчиками; оценку технических мер защиты; проверку соответствия политики конфиденциальности актуальным требованиям; анализ трансграничных потоков данных и их соответствия условиям закона.
По итогам аудита формируется перечень нарушений с приоритетами устранения и рекомендации по приведению документации в порядок. Для большинства компаний аудит занимает от двух до четырёх недель в зависимости от объёма обрабатываемых данных и сложности IT-инфраструктуры. Подробнее о защите прав на интеллектуальную собственность в цифровой среде — в материале «Как защитить права на товарный знак в Казахстане».
Частые вопросы
1. Можно ли хранить персональные данные казахстанцев за границей?
Да, хранить персональные данные граждан Казахстана за рубежом можно, но только при соблюдении условий, установленных Законом о персональных данных и их защите. Базовое требование — наличие базы данных на территории Республики Казахстан. Трансграничная передача допускается как дополнение, а не замена локального хранения. Если иностранное государство обеспечивает надлежащий уровень защиты данных, передача возможна без дополнительного согласия субъекта. В противном случае необходимо получить явное письменное согласие каждого субъекта персональных данных.
2. Что такое локализация персональных данных в Казахстане?
Локализация персональных данных — это требование казахстанского законодательства хранить базы данных с персональными данными граждан РК на серверах, физически расположенных на территории Казахстана. Это не означает полного запрета на зарубежное хранение: компания вправе дублировать данные за рубежом, но основная база должна находиться в Казахстане. Требование распространяется на операторов персональных данных — юридических и физических лиц, которые собирают, обрабатывают или хранят сведения о гражданах РК. Нарушение требования локализации влечёт административную ответственность.
3. Какие условия нужно соблюсти для трансграничной передачи данных?
Для правомерной трансграничной передачи персональных данных из Казахстана необходимо выполнить одно из двух условий. Первое: иностранное государство-получатель обеспечивает уровень защиты персональных данных не ниже казахстанского — в этом случае передача допустима без дополнительного согласия субъекта. Второе: если уровень защиты в стране-получателе недостаточен, оператор обязан получить письменное согласие субъекта на такую передачу с указанием цели и получателя. Помимо этого, оператор должен уведомить уполномоченный орган о намерении осуществить трансграничную передачу. Передача данных в страны, не обеспечивающие надлежащую защиту, без согласия субъекта является нарушением.
4. Как долго можно хранить персональные данные?
Казахстанское законодательство устанавливает принцип ограничения срока хранения: персональные данные должны храниться не дольше, чем это необходимо для достижения целей их обработки. После достижения цели оператор обязан уничтожить или обезличить данные. Конкретные сроки зависят от категории данных и цели обработки: для кадровых документов действуют сроки архивного хранения по законодательству об архивном деле, для данных клиентов — срок действия договора плюс период исковой давности. Хранить данные «на всякий случай» без определённой цели недопустимо. Субъект вправе потребовать уничтожения своих данных, если цель обработки достигнута.
5. Нужно ли согласие на обработку данных сотрудников?
Согласие сотрудника на обработку его персональных данных в рамках трудовых отношений, как правило, не требуется — обработка осуществляется на основании Трудового кодекса РК и является необходимой для исполнения трудового договора. Работодатель вправе обрабатывать данные, непосредственно связанные с трудовой функцией: ФИО, ИИН, адрес, банковские реквизиты для выплаты зарплаты. Однако для обработки данных, выходящих за рамки трудовых отношений — например, для маркетинговых рассылок или передачи третьим лицам — согласие необходимо. Особый режим установлен для чувствительных данных: состояние здоровья, биометрия — здесь согласие обязательно в любом случае.
6. Что такое чувствительные персональные данные?
Чувствительные (специальные) персональные данные — это категория сведений, требующая повышенного уровня защиты в силу их особой значимости для субъекта. К ним относятся: расовое и этническое происхождение, политические взгляды, религиозные и философские убеждения, состояние здоровья и медицинские сведения, биометрические данные (отпечатки пальцев, данные распознавания лица), сведения об уголовном преследовании. Обработка таких данных допускается только с явного письменного согласия субъекта или в случаях, прямо предусмотренных законодательством РК. Для чувствительных данных установлены более строгие требования к защите, хранению и передаче.
7. Можно ли использовать видеонаблюдение в офисе?
Видеонаблюдение в офисе допустимо, но требует соблюдения ряда условий. Работодатель обязан уведомить сотрудников о ведении видеозаписи — как правило, это делается в трудовом договоре или отдельном локальном акте под подпись. Видеозапись является персональными данными, поскольку позволяет идентифицировать конкретного человека. Соответственно, на её обработку распространяются все требования Закона о персональных данных и их защите. Скрытое видеонаблюдение без уведомления сотрудников нарушает их право на неприкосновенность частной жизни и может повлечь административную ответственность работодателя. Записи должны храниться с соблюдением требований безопасности и уничтожаться по истечении установленного срока.
8. Кто является оператором персональных данных в Казахстане?
Оператором персональных данных в Казахстане признаётся государственный орган, физическое или юридическое лицо, которое самостоятельно или совместно с другими лицами организует и осуществляет обработку персональных данных. Практически любая компания, работающая с клиентами, сотрудниками или партнёрами-физическими лицами, является оператором. Это означает обязанность соблюдать требования Закона о персональных данных и их защите: обеспечивать конфиденциальность, хранить данные в Казахстане, получать согласие субъектов, реагировать на их запросы. Иностранные компании, обрабатывающие данные граждан РК, также подпадают под действие казахстанского законодательства.
9. Какая ответственность предусмотрена за нарушение законодательства о персональных данных?
За нарушение законодательства о персональных данных в Казахстане предусмотрена административная ответственность. Санкции применяются за незаконный сбор, обработку или распространение персональных данных, нарушение требований локализации, отказ предоставить субъекту доступ к его данным. Размер штрафов исчисляется в МРП — по состоянию на 2026 год МРП составляет 4 325 тенге. Уполномоченный орган вправе проводить проверки операторов и выдавать предписания об устранении нарушений. В случае утечки данных, повлёкшей существенный вред, возможна уголовная ответственность по Уголовному кодексу РК. Репутационные риски при публичной утечке данных клиентов нередко превышают размер формального штрафа.
10. Нужно ли уведомлять уполномоченный орган об обработке персональных данных?
Казахстанское законодательство предусматривает уведомительный порядок для отдельных видов обработки персональных данных, в том числе при трансграничной передаче. Оператор, намеревающийся передать данные за рубеж, обязан уведомить уполномоченный орган в сфере защиты персональных данных. Уведомление подаётся до начала передачи и содержит сведения о получателе, стране назначения и цели передачи. Для стандартной обработки внутри Казахстана уведомление, как правило, не требуется, однако оператор обязан вести внутреннюю документацию об обработке. Рекомендуется разработать политику обработки персональных данных и разместить её в открытом доступе.
11. Распространяется ли казахстанский закон о персональных данных на иностранные компании?
Да, казахстанский Закон о персональных данных и их защите распространяется на иностранные компании, если они обрабатывают персональные данные граждан Республики Казахстан — независимо от места регистрации компании и расположения серверов. Это означает, что зарубежный сервис, собирающий данные казахстанских пользователей, обязан соблюдать требования локализации, получать согласие субъектов и обеспечивать их права. На практике правоприменение в отношении иностранных компаний сложнее, однако риск блокировки сервиса или иных санкций со стороны казахстанских регуляторов реален. Компаниям, работающим с казахстанской аудиторией, рекомендуется провести аудит соответствия требованиям местного законодательства.
12. Что такое обезличивание персональных данных и когда оно применяется?
Обезличивание — это процедура, в результате которой персональные данные утрачивают связь с конкретным субъектом: из них удаляются или заменяются идентифицирующие признаки. После обезличивания данные перестают быть персональными и на них не распространяются требования закона о персональных данных. Обезличивание применяется при необходимости хранить статистику или аналитику без идентификации конкретных лиц, а также при истечении срока хранения данных — как альтернатива уничтожению. Важно: обезличивание должно быть необратимым. Псевдонимизация (замена имени кодом при сохранении возможности обратного восстановления) не является обезличиванием и не снимает требований закона.
13. Как правильно оформить согласие на обработку персональных данных?
Согласие на обработку персональных данных должно быть конкретным, информированным и добровольным. Казахстанское законодательство допускает как письменную, так и электронную форму согласия — при условии возможности его идентификации и подтверждения. В тексте согласия необходимо указать: цель обработки, перечень обрабатываемых данных, срок хранения, круг лиц, которым данные могут передаваться, а также права субъекта. Согласие не должно быть условием предоставления услуги, если обработка конкретных данных для этой услуги не является необходимой. Субъект вправе отозвать согласие в любой момент — оператор обязан прекратить обработку после получения такого отзыва.
14. Какие права есть у субъекта персональных данных в Казахстане?
Субъект персональных данных в Казахстане обладает комплексом прав: право знать о факте обработки своих данных и получать информацию об операторе; право на доступ к своим данным; право требовать исправления неточных сведений; право на уничтожение данных после достижения цели обработки или при отзыве согласия; право на возражение против обработки. Оператор обязан ответить на запрос субъекта в установленный законом срок. Отказ предоставить информацию или уничтожить данные по законному требованию субъекта является нарушением и может стать основанием для жалобы в уполномоченный орган или обращения в суд.
15. Нужна ли политика конфиденциальности для казахстанского сайта?
Да, политика конфиденциальности обязательна для любого сайта или приложения, собирающего персональные данные пользователей на территории Казахстана. Документ должен быть размещён в открытом доступе — как правило, в нижнем колонтитуле сайта — и содержать: перечень собираемых данных, цели обработки, порядок хранения и защиты, условия передачи третьим лицам, права пользователей и контактные данные оператора. Политика конфиденциальности — не формальность: при проверке уполномоченного органа её отсутствие или несоответствие требованиям закона является самостоятельным основанием для привлечения к ответственности. Документ рекомендуется обновлять при каждом изменении практики обработки данных.
Выводы
Хранение персональных данных казахстанцев за рубежом допустимо при наличии основной базы данных в Казахстане. Трансграничная передача требует либо подтверждённого уровня защиты в стране-получателе, либо письменного согласия каждого субъекта и уведомления уполномоченного органа. Нарушение требований локализации влечёт административную ответственность, а при утечке данных — уголовную. Большинство нарушений выявляется при проверках и связано не с умыслом, а с отсутствием документации и непониманием требований закона. Аудит персональных данных позволяет устранить нарушения до того, как их обнаружит регулятор.
Актуально на: 3 января 2026 года.
Если ситуация требует внимания — мы поможем разобраться.
Смежные направления
Направление практики
Персональные данные и IT-право — соответствие Закону о персональных данных, трансграничная передача, аудит обработки и IT-договоры.