Можно ли хранить персональные данные казахстанцев за границей: что важно знать
Да, хранить персональные данные казахстанцев за рубежом можно — но только при условии, что данные предварительно размещены на серверах в Казахстане. Казахстанское законодательство не запрещает трансграничную передачу, однако устанавливает обязательное требование локализации: первичная база данных должна находиться на территории Республики Казахстан. Для собственника бизнеса это означает конкретные требования к IT-инфраструктуре, договорам с провайдерами и внутренней документации.
Используете зарубежные облачные сервисы для хранения данных клиентов или сотрудников? Проверить обработку персональных данных · info@vetrovkz.com
Можно ли хранить персональные данные казахстанцев за границей?
Да, хранение персональных данных казахстанцев за рубежом допустимо — при соблюдении условий, установленных Законом о персональных данных и их защите. Ключевое из них: данные должны быть первично собраны и сохранены в базе данных, физически расположенной на территории Казахстана.
Локализация — это не альтернатива зарубежному хранению, а его обязательное предварительное условие. Только после того как данные зафиксированы в казахстанской базе, их копию допустимо передать за рубеж — при наличии согласия субъекта или иного законного основания.
На практике это означает: если ваша компания использует зарубежный облачный сервис как единственное место хранения данных казахстанских пользователей или сотрудников — это нарушение, даже если сервис надёжен и зашифрован. Требование касается физического расположения серверов, а не уровня защиты данных.
Используете зарубежные CRM, HR-системы или облачные хранилища? Соответствие требованиям локализации можно проверить в рамках аудита персональных данных.
Проверить обработку персональных данныхЧто такое требование локализации и на кого оно распространяется?
Локализация персональных данных — это обязанность оператора хранить базы данных, содержащие сведения о гражданах Казахстана, на серверах, физически расположенных в Республике Казахстан.
Требование распространяется на всех операторов персональных данных без исключения: казахстанские компании, иностранные юридические лица, индивидуальных предпринимателей и физических лиц, если они обрабатывают данные казахстанских граждан в коммерческих целях. Иностранная регистрация компании не освобождает от соблюдения казахстанского законодательства, если сервис работает с казахстанскими пользователями.
Для соответствия требованию компания обязана либо арендовать серверные мощности у казахстанского провайдера, либо использовать собственную инфраструктуру на территории РК. Облачные сервисы с серверами исключительно за рубежом — даже крупнейшие международные платформы — сами по себе не соответствуют требованию локализации.
Какие условия необходимо соблюсти для трансграничной передачи данных?
Трансграничная передача персональных данных законна при одновременном выполнении нескольких условий. Первое и главное: данные уже должны храниться в казахстанской базе — локализация первична и не может быть заменена иными мерами.
Второе условие: субъект данных должен дать явное согласие на передачу его данных за рубеж с указанием конкретной страны и получателя. Альтернативное основание — передача необходима для исполнения договора, стороной которого является субъект данных.
Третье условие: принимающая сторона должна обеспечивать уровень защиты персональных данных не ниже установленного казахстанским законодательством. Это требование необходимо закрепить в договоре с зарубежным провайдером или контрагентом.
- Проверить юрисдикцию хранения данных у каждого используемого сервиса
- Обновить политику конфиденциальности с указанием стран передачи
- Получить отдельное согласие на трансграничную передачу
- Включить в договор с провайдером обязательства по защите данных
- Обеспечить наличие казахстанской базы как мастер-хранилища
Что грозит за нарушение требований о локализации и трансграничной передаче?
Нарушение требований о локализации персональных данных в Казахстане влечёт административную ответственность. Уполномоченный орган — Министерство цифрового развития, инноваций и аэрокосмической промышленности РК — вправе проводить проверки операторов и выдавать предписания об устранении нарушений.
При повторном нарушении или неисполнении предписания возможно наложение штрафа. Для иностранных компаний, работающих с казахстанскими пользователями, несоблюдение требований локализации создаёт риск блокировки сервиса на территории РК.
Помимо административных санкций, субъект данных вправе обратиться с жалобой в уполномоченный орган или в суд. Отсутствие внутренней документации — политики обработки данных, журналов согласий, договоров с провайдерами — существенно осложняет защиту позиции компании при проверке.
Как провести аудит персональных данных: с чего начать собственнику?
Аудит персональных данных — это систематическая проверка того, какие данные компания собирает, где хранит, как использует и кому передаёт. Для собственника бизнеса это инструмент управления правовым риском, а не формальность.
Стандартный аудит включает несколько последовательных шагов: инвентаризацию всех систем и баз данных, где хранятся персональные данные; проверку наличия и актуальности согласий субъектов; оценку соответствия мест хранения требованию локализации; анализ договоров с третьими лицами, которым передаются данные.
По итогам аудита формируется перечень несоответствий и план их устранения с приоритизацией по уровню риска. Рекомендуется проводить аудит не реже одного раза в год, а также при существенных изменениях в бизнес-процессах, IT-инфраструктуре или при подключении новых сервисов.
Частые вопросы
1. Можно ли хранить персональные данные казахстанцев за границей?
Да, хранить персональные данные казахстанцев за рубежом можно, но только при соблюдении ряда условий. Казахстанское законодательство не запрещает трансграничную передачу данных, однако устанавливает обязательное требование: первичный сбор и хранение данных граждан Казахстана должны осуществляться на серверах, физически расположенных на территории Республики Казахстан. Иными словами, локализация — это не альтернатива зарубежному хранению, а его обязательное предварительное условие. Только после того как данные зафиксированы в казахстанской базе, их копию допустимо передать за рубеж — при наличии согласия субъекта или иного законного основания.
2. Что такое локализация персональных данных в Казахстане?
Локализация персональных данных — это требование хранить базы данных, содержащие сведения о гражданах Казахстана, на серверах, физически расположенных в Республике Казахстан. Требование распространяется на всех операторов персональных данных — как казахстанских компаний, так и иностранных, если они собирают данные о казахстанских гражданах. Облачные сервисы с серверами за рубежом сами по себе не соответствуют требованию локализации, даже если данные зашифрованы или обезличены. Для соответствия закону компания обязана либо арендовать серверные мощности у казахстанского провайдера, либо использовать собственную инфраструктуру на территории РК.
3. Какие условия нужно соблюсти для трансграничной передачи данных?
Для законной трансграничной передачи персональных данных казахстанское законодательство требует одновременного выполнения нескольких условий. Первое: данные уже должны храниться в казахстанской базе — локализация первична. Второе: субъект данных должен дать явное согласие на передачу за рубеж, либо передача должна быть необходима для исполнения договора с субъектом. Третье: принимающая сторона должна обеспечивать уровень защиты данных не ниже казахстанского. На практике это означает, что перед подключением зарубежного облака или CRM-системы с иностранными серверами компания обязана проверить юрисдикцию хранения, обновить политику конфиденциальности и получить надлежащее согласие пользователей.
4. Как долго можно хранить персональные данные?
Казахстанское законодательство устанавливает принцип: персональные данные хранятся не дольше, чем это необходимо для достижения цели их сбора. После достижения цели оператор обязан уничтожить данные или обезличить их. Конкретные сроки зависят от типа данных и правоотношений: данные сотрудников, как правило, хранятся в течение срока трудовых отношений плюс период, установленный архивным законодательством; данные клиентов — в течение срока действия договора и срока исковой давности. Хранить данные «на всякий случай» без определённой цели и срока — нарушение закона. Рекомендуется закрепить сроки хранения в политике обработки персональных данных и регулярно проводить их ревизию.
5. Нужно ли согласие на обработку данных сотрудников?
Да, согласие сотрудника на обработку его персональных данных требуется в большинстве случаев. Исключение составляют ситуации, когда обработка прямо предусмотрена законодательством — например, передача данных в налоговые органы или пенсионный фонд. Согласие должно быть добровольным, конкретным и информированным: сотрудник должен понимать, какие данные собираются, с какой целью и кому они могут быть переданы. Получение согласия «автоматически» при подписании трудового договора — распространённая ошибка: согласие на обработку данных должно быть оформлено отдельным документом или отдельным пунктом с возможностью его отозвать. Отзыв согласия не влечёт автоматического прекращения трудовых отношений, однако ограничивает возможности работодателя по обработке данных.
6. Что такое чувствительные персональные данные?
Чувствительные (специальные) категории персональных данных — это сведения, обработка которых несёт повышенные риски для субъекта и требует особого правового основания. К ним относятся: расовое и этническое происхождение, политические взгляды, религиозные и философские убеждения, членство в профсоюзах, состояние здоровья и медицинские данные, биометрические и генетические данные, сведения о судимостях. Обработка таких данных допускается только при наличии явного согласия субъекта или в случаях, прямо предусмотренных законом. Для бизнеса это означает: если вы собираете медицинские справки сотрудников, биометрию для СКУД или данные о вероисповедании — требования к защите и документированию значительно строже, чем для обычных персональных данных.
7. Можно ли использовать видеонаблюдение в офисе?
Видеонаблюдение в офисе допустимо, но при соблюдении ряда обязательных условий. Работодатель обязан уведомить сотрудников о наличии видеонаблюдения до начала его применения — как правило, это делается в трудовом договоре или локальном акте. Скрытое видеонаблюдение за сотрудниками без их уведомления нарушает законодательство о персональных данных. Записи с камер являются персональными данными, если позволяют идентифицировать конкретного человека, — следовательно, на них распространяются все требования о хранении, сроках и защите. Видеозаписи нельзя хранить бессрочно: рекомендуется установить срок хранения и закрепить его во внутренней политике. Передача записей третьим лицам требует отдельного правового основания.
8. Что грозит за нарушение требований о локализации данных?
Нарушение требований о локализации персональных данных в Казахстане влечёт административную ответственность. Уполномоченный орган вправе проводить проверки операторов персональных данных. По результатам проверки может быть выдано предписание об устранении нарушений, а при повторном нарушении — наложен штраф. Помимо административных санкций, нарушение может повлечь репутационные последствия: субъект данных вправе обратиться с жалобой в уполномоченный орган или в суд. Для иностранных компаний, работающих с казахстанскими пользователями, несоблюдение требований локализации создаёт риск блокировки сервиса на территории РК. Отсутствие внутренней документации существенно осложняет защиту позиции компании при проверке.
9. Распространяются ли требования казахстанского закона на иностранные компании?
Да, требования Закона о персональных данных и их защите распространяются на любых операторов, которые собирают или обрабатывают данные граждан Казахстана, — вне зависимости от того, где зарегистрирована компания. Если иностранный сервис, приложение или платформа работают с казахстанскими пользователями, они обязаны соблюдать казахстанское законодательство о персональных данных, включая требование локализации. На практике это означает: иностранная компания, запускающая продукт для казахстанского рынка, должна либо арендовать серверные мощности в Казахстане, либо использовать казахстанского облачного провайдера для первичного хранения данных. Игнорирование этого требования создаёт риск предписаний и блокировок.
10. Нужно ли уведомлять уполномоченный орган о сборе персональных данных?
Казахстанское законодательство не устанавливает общего требования об обязательной регистрации или уведомлении уполномоченного органа при начале обработки персональных данных. Однако оператор обязан разработать и опубликовать политику обработки персональных данных, обеспечить возможность субъектам реализовывать свои права (доступ, исправление, удаление), а также принять организационные и технические меры защиты. При проведении проверки уполномоченный орган вправе запросить документацию, подтверждающую соответствие требованиям закона. Отсутствие внутренней документации — одна из наиболее распространённых причин предписаний по итогам проверок.
11. Что такое согласие на обработку персональных данных и как его правильно оформить?
Согласие на обработку персональных данных — это добровольное, конкретное, информированное и однозначное волеизъявление субъекта, которым он разрешает оператору обрабатывать его данные. Согласие должно содержать: наименование оператора, перечень обрабатываемых данных, цели обработки, перечень действий с данными, срок действия согласия и порядок его отзыва. Согласие, оформленное как общая оговорка в договоре, не отвечает требованиям закона. Для разных целей обработки рекомендуется получать отдельные согласия. Субъект вправе отозвать согласие в любой момент — оператор обязан прекратить обработку данных после получения отзыва.
12. Можно ли передавать персональные данные сотрудников в зарубежный HR-сервис?
Передача данных сотрудников в зарубежный HR-сервис с серверами за рубежом возможна, но требует соблюдения условий трансграничной передачи. Прежде всего, данные должны первично храниться в казахстанской базе. Далее необходимо получить согласие каждого сотрудника на передачу его данных за рубеж с указанием конкретной страны и получателя. Договор с зарубежным провайдером должен содержать обязательства по защите данных на уровне не ниже казахстанского. На практике многие компании решают эту задачу через гибридную архитектуру: мастер-база данных размещается в Казахстане, а в зарубежный сервис передаётся только необходимый минимум данных.
13. Что делать, если произошла утечка персональных данных?
При обнаружении утечки персональных данных оператор обязан принять незамедлительные меры по локализации инцидента и минимизации ущерба. Казахстанское законодательство обязывает оператора уведомить субъектов данных об утечке, если она создаёт риск для их прав и интересов. Рекомендуется также уведомить уполномоченный орган. Внутри компании необходимо зафиксировать факт инцидента, провести расследование, установить причины и принять меры по их устранению. Отсутствие реагирования на утечку или её сокрытие существенно увеличивает правовые риски для компании и её руководства. Наличие заранее разработанного плана реагирования на инциденты значительно снижает последствия утечки.
14. Нужна ли политика конфиденциальности на сайте казахстанской компании?
Да, наличие политики конфиденциальности на сайте — обязательное требование для любой компании, которая собирает персональные данные через интернет. Политика должна быть доступна пользователям до момента предоставления ими данных и содержать: наименование и контакты оператора, перечень собираемых данных, цели обработки, правовые основания, сроки хранения, порядок передачи третьим лицам, права субъектов и порядок их реализации. Политика, скопированная с иностранного сайта без учёта реальных процессов компании, не защищает от претензий. При проверке уполномоченный орган оценивает соответствие политики фактической практике обработки данных.
15. Как проверить, соответствует ли компания требованиям о персональных данных в Казахстане?
Проверку соответствия удобно проводить по нескольким ключевым критериям. Первое: все базы данных с персональными данными казахстанских граждан физически расположены на серверах в Казахстане. Второе: для каждой категории субъектов (клиенты, сотрудники, пользователи сайта) получены надлежащие согласия. Третье: на сайте опубликована актуальная политика конфиденциальности, отражающая реальную практику. Четвёртое: договоры с IT-провайдерами и контрагентами содержат положения о защите персональных данных. Пятое: установлены и соблюдаются сроки хранения данных. Если хотя бы один из критериев не выполнен — это зона риска, требующая устранения. Подробнее о практике защиты данных в Казахстане — в обзоре требований к операторам персональных данных и материале об изменениях цифрового законодательства РК.
Выводы
Хранение персональных данных казахстанцев за рубежом допустимо, но только при условии предварительной локализации: первичная база данных должна физически находиться в Казахстане. Трансграничная передача требует явного согласия субъекта и договорных гарантий со стороны принимающей стороны. Нарушение этих требований влечёт административную ответственность и риск блокировки сервиса. Для собственника бизнеса практический минимум — провести аудит IT-инфраструктуры, проверить договоры с провайдерами и актуализировать внутреннюю документацию.
Актуально на: 27 октября 2026 года.
Если ситуация требует внимания — мы поможем разобраться.
Смежные направления
Направление практики
Персональные данные и IT-право — соответствие Закону о персональных данных, трансграничная передача, аудит обработки и IT-договоры.