Можно ли хранить персональные данные казахстанцев за границей
Да — хранить персональные данные граждан Казахстана за рубежом можно, но только при выполнении условий, установленных казахстанским законодательством о персональных данных. Ключевые требования: согласие субъекта данных или международный договор, обеспечивающий надлежащий уровень защиты, а также уведомление уполномоченного органа в предусмотренных случаях. Собственник бизнеса, использующий зарубежные облачные сервисы или CRM-системы, несёт ответственность за соблюдение этих условий независимо от того, где физически расположены серверы.
Используете зарубежные облачные сервисы и не уверены, соответствует ли это требованиям казахстанского законодательства? Проверить обработку персональных данных · info@vetrovkz.com
Что говорит казахстанское законодательство о трансграничной передаче данных?
Закон о персональных данных и их защите допускает трансграничную передачу данных при соблюдении нескольких условий. Передача возможна, если страна-получатель обеспечивает надлежащий уровень защиты персональных данных — это определяется наличием соответствующего международного договора с Казахстаном или признанием уполномоченным органом уровня защиты достаточным.
Если страна-получатель не обеспечивает надлежащего уровня защиты, передача данных всё равно допустима — но только при наличии письменного согласия субъекта персональных данных. Субъект должен быть проинформирован о том, в какую страну передаются его данные и с какой целью.
Важно понимать: казахстанское законодательство не устанавливает требования хранить данные исключительно на серверах в Казахстане — в отличие от ряда других юрисдикций. Речь идёт именно об условиях передачи и хранения, а не об абсолютном запрете трансграничного оборота данных.
Если ваша компания использует зарубежные CRM, облачные хранилища или HR-системы — проверьте, соответствует ли это требованиям Закона о персональных данных.
Проверить обработку персональных данныхКакие условия необходимо выполнить перед передачей данных за рубеж?
Перед тем как передать персональные данные казахстанцев на зарубежные серверы, оператор обязан выполнить несколько обязательных шагов. Их несоблюдение влечёт административную ответственность.
- Определить правовое основание: международный договор, согласие субъекта или иное основание, предусмотренное законом.
- Получить согласие субъекта — если страна-получатель не признана обеспечивающей надлежащий уровень защиты. Согласие должно быть письменным, конкретным и информированным.
- Уведомить уполномоченный орган — в случаях, предусмотренных законодательством. Подробнее о порядке уведомления — в материале «Нужно ли уведомлять уполномоченный орган об обработке данных».
- Зафиксировать условия передачи в договоре с зарубежным оператором или облачным провайдером — включая обязательства по защите данных и порядок их уничтожения.
Практически это означает: если ваша компания использует Google Workspace, Salesforce, HubSpot или любой другой зарубежный SaaS-сервис для хранения данных клиентов или сотрудников — вы уже осуществляете трансграничную передачу данных и обязаны соответствовать этим требованиям.
Что считается «надлежащим уровнем защиты» в стране-получателе?
Надлежащий уровень защиты — это оценочная категория, которую определяет уполномоченный орган в сфере персональных данных в Казахстане. На практике ориентиром служат наличие специального законодательства о защите данных в стране-получателе, членство в международных соглашениях по защите данных и правоприменительная практика.
Государства — члены ЕАЭС, как правило, признаются обеспечивающими надлежащий уровень защиты в рамках соответствующих соглашений. Для стран ЕС, США и других юрисдикций вопрос решается индивидуально — либо через согласие субъекта, либо через договорные гарантии с зарубежным оператором.
Собственнику бизнеса важно понимать: отсутствие формального признания не означает запрета передачи — это означает, что нужно получить согласие субъекта и надлежащим образом его задокументировать. О том, как правильно оформить согласие, читайте в материале «Как получить согласие на обработку персональных данных в Казахстане».
Какова ответственность за нарушение правил трансграничной передачи данных?
Нарушение требований к трансграничной передаче персональных данных в Казахстане влечёт административную ответственность. Санкции предусмотрены Кодексом об административных правонарушениях и применяются как к юридическим лицам, так и к должностным лицам.
Помимо штрафов, уполномоченный орган вправе вынести предписание о прекращении незаконной обработки данных — что на практике может означать необходимость экстренной миграции данных обратно на казахстанские серверы или прекращения использования зарубежного сервиса. Для бизнеса, завязанного на конкретную IT-инфраструктуру, это может обернуться серьёзными операционными потерями.
Отдельный риск — репутационный: жалобы субъектов данных в уполномоченный орган становятся всё более распространённой практикой, особенно в контексте трудовых споров. Подробнее о трудовых аспектах обработки данных — в материале «Коллективный договор в Казахстане: новые требования».
Как собственнику бизнеса выстроить правомерную работу с зарубежными сервисами?
Правомерная работа с зарубежными облачными и SaaS-сервисами требует системного подхода, а не разовых мер. Ниже — практический минимум для собственника.
- Провести аудит данных: определить, какие персональные данные, кому и в каком объёме передаются через зарубежные сервисы.
- Обновить политику конфиденциальности и пользовательские соглашения — включить информацию о трансграничной передаче и странах-получателях.
- Пересмотреть формы согласия: убедиться, что субъекты данных явно соглашаются на передачу данных за рубеж с указанием конкретных стран.
- Заключить DPA (Data Processing Agreement) с зарубежным провайдером — договор об обработке данных с обязательствами по защите и уничтожению.
- Назначить ответственного за обработку данных внутри компании и зафиксировать его полномочия.
Этот минимум не гарантирует полного соответствия — конкретные требования зависят от отрасли, категорий данных и используемых сервисов. Однако он существенно снижает риск претензий со стороны уполномоченного органа.
Частые вопросы
1. Можно ли хранить персональные данные казахстанцев за границей?
Да, хранить персональные данные граждан Казахстана за рубежом можно, но только при соблюдении условий, установленных Законом о персональных данных и их защите. Ключевое требование — наличие согласия субъекта данных на трансграничную передачу либо наличие международного договора, обеспечивающего надлежащий уровень защиты. При этом казахстанское законодательство не устанавливает абсолютного запрета на хранение данных за рубежом, однако требует соблюдения ряда процедурных условий и уведомления уполномоченного органа в установленных случаях.
2. Как долго можно хранить персональные данные?
Персональные данные в Казахстане должны храниться не дольше, чем это необходимо для достижения целей их обработки. После достижения цели или истечения срока, установленного договором либо законодательством, данные подлежат уничтожению или обезличиванию. Конкретные сроки зависят от категории данных: для данных сотрудников они, как правило, определяются трудовым законодательством и внутренними политиками компании, для клиентских данных — условиями договора и требованиями отраслевого регулирования. Хранить данные «на всякий случай» без определённой цели — нарушение закона.
3. Нужно ли согласие на обработку данных сотрудников?
По казахстанскому законодательству обработка персональных данных сотрудников в рамках трудовых отношений в большинстве случаев не требует отдельного письменного согласия — достаточно условий трудового договора. Однако если работодатель планирует передавать данные третьим лицам, использовать их в целях, выходящих за рамки трудовых отношений, или осуществлять трансграничную передачу, согласие сотрудника необходимо. Его следует оформлять в письменной форме с указанием конкретных целей и объёма обработки.
4. Что такое чувствительные персональные данные?
Чувствительные (специальные) персональные данные — это категория сведений, обработка которых требует повышенного уровня защиты. По казахстанскому законодательству к ним относятся данные о расовой и национальной принадлежности, политических взглядах, религиозных убеждениях, состоянии здоровья, интимной жизни, а также биометрические данные. Их обработка допускается только с явного письменного согласия субъекта либо в случаях, прямо предусмотренных законом. Хранение таких данных за рубежом сопряжено с дополнительными требованиями и рисками — рекомендуется отдельно проработать этот вопрос с юристом.
5. Можно ли использовать видеонаблюдение в офисе?
Видеонаблюдение в офисе в Казахстане допустимо, однако работодатель обязан заблаговременно уведомить сотрудников о его ведении. Уведомление должно быть зафиксировано документально — как правило, в трудовом договоре, правилах внутреннего трудового распорядка или отдельном приказе. Скрытое видеонаблюдение за работниками без их ведома нарушает требования Закона о персональных данных и их защите и может повлечь административную ответственность. Видеозаписи являются персональными данными и на них распространяются все требования по хранению и защите.
6. Нужно ли уведомлять уполномоченный орган о трансграничной передаче данных?
В ряде случаев — да. Казахстанское законодательство предусматривает обязанность уведомить уполномоченный орган об осуществлении трансграничной передачи персональных данных. Конкретный порядок и случаи уведомления определяются подзаконными актами. На практике уведомление требуется при систематической передаче данных за рубеж в коммерческих целях. Разовая или эпизодическая передача с согласия субъекта, как правило, не требует отдельного уведомления, однако этот вопрос следует уточнять применительно к конкретной ситуации.
7. Что такое локализация данных и применяется ли она в Казахстане?
Локализация данных — это требование хранить персональные данные граждан страны исключительно на серверах, расположенных на её территории. В Казахстане такого абсолютного требования нет: законодательство допускает хранение данных за рубежом при соблюдении установленных условий. Это принципиальное отличие от ряда других юрисдикций. Тем не менее для отдельных категорий данных — например, государственных информационных систем или данных финансового сектора — могут действовать специальные требования по локализации, установленные отраслевым регулированием.
8. Как правильно оформить согласие на трансграничную передачу данных?
Согласие на трансграничную передачу персональных данных должно быть письменным, конкретным и информированным. В тексте согласия необходимо указать: наименование страны или стран-получателей, цель передачи, категории передаваемых данных, а также права субъекта по отзыву согласия. Согласие, включённое в общий договор мелким шрифтом или объединённое с другими условиями без явного выделения, может быть признано недействительным. Рекомендуется оформлять его отдельным документом или отдельным разделом с явной подписью субъекта.
9. Распространяются ли требования казахстанского законодательства на иностранные компании, работающие с казахстанскими пользователями?
Да, казахстанское законодательство о персональных данных применяется к операторам, осуществляющим обработку данных граждан Казахстана, вне зависимости от места регистрации оператора. Если иностранная компания целенаправленно работает с казахстанской аудиторией — предлагает товары или услуги, собирает данные через сайт или приложение, — она обязана соблюдать требования Закона о персональных данных и их защите. Это актуально для e-commerce, SaaS-платформ и маркетплейсов, ориентированных на Казахстан.
10. Что такое DPA и зачем он нужен при работе с зарубежными провайдерами?
DPA (Data Processing Agreement) — договор об обработке персональных данных между оператором и обработчиком данных. При использовании зарубежных облачных сервисов, CRM или HR-систем компания передаёт данные своих клиентов или сотрудников третьей стороне — провайдеру. DPA фиксирует обязательства провайдера по защите данных, порядок их уничтожения, условия субобработки и ответственность за нарушения. Отсутствие DPA — распространённое нарушение, которое выявляется при аудитах. Большинство крупных зарубежных провайдеров предоставляют стандартные формы DPA по запросу.
11. Можно ли передавать данные клиентов партнёрам и контрагентам?
Передача персональных данных клиентов третьим лицам — партнёрам, агентам, подрядчикам — допустима только при наличии согласия субъекта данных или в случаях, прямо предусмотренных законом. Согласие должно охватывать конкретных получателей или категории получателей. Передача данных без согласия под предлогом «деловой необходимости» или «корпоративного интереса» не является законным основанием. Исключение — передача данных по требованию государственных органов в рамках их полномочий.
12. Что делать, если произошла утечка персональных данных?
При утечке персональных данных оператор обязан принять меры по локализации инцидента и минимизации ущерба. Казахстанское законодательство предусматривает обязанность уведомить уполномоченный орган об инцидентах, связанных с нарушением безопасности персональных данных. Субъектов данных также рекомендуется уведомить — особенно если утечка затрагивает чувствительные данные или может повлечь для них негативные последствия. Промедление с реагированием усугубляет административную ответственность и репутационные риски.
13. Нужна ли политика конфиденциальности на сайте казахстанской компании?
Да, политика конфиденциальности обязательна для любого сайта или приложения, собирающего персональные данные пользователей. Она должна содержать информацию о целях сбора данных, категориях обрабатываемых данных, сроках хранения, правах субъектов и порядке их реализации, а также сведения об операторе. Если сайт передаёт данные за рубеж — это также должно быть отражено в политике. Отсутствие политики конфиденциальности или её несоответствие фактической практике обработки данных — основание для претензий уполномоченного органа.
14. Как провести аудит персональных данных в компании?
Аудит персональных данных включает несколько этапов: инвентаризацию всех точек сбора данных (сайт, CRM, HR-система, видеонаблюдение), картирование потоков данных — кому и куда они передаются, проверку правовых оснований обработки по каждой категории данных, оценку технических мер защиты и анализ договорной базы с провайдерами и партнёрами. По результатам аудита формируется план устранения нарушений. Как правило, аудит занимает от двух до четырёх недель в зависимости от масштаба бизнеса.
15. Какие санкции предусмотрены за нарушение законодательства о персональных данных в Казахстане?
За нарушение требований законодательства о персональных данных в Казахстане предусмотрена административная ответственность. Санкции применяются как к юридическим лицам, так и к должностным лицам. Помимо штрафов, уполномоченный орган вправе вынести предписание о прекращении незаконной обработки данных. При систематических нарушениях или утечках данных в крупном масштабе возможно возбуждение уголовного дела. Размер санкций зависит от характера нарушения, категории данных и наличия умысла.
Выводы
Хранение персональных данных казахстанцев за рубежом законно — при наличии согласия субъекта или международного договора, надлежащем документировании и соблюдении требований к уведомлению уполномоченного органа. Собственник бизнеса, использующий зарубежные облачные сервисы, несёт ответственность за соответствие этим требованиям вне зависимости от того, где физически расположены серверы. Системный подход — аудит данных, обновление политики конфиденциальности, корректные формы согласия и DPA с провайдерами — существенно снижает риск претензий со стороны уполномоченного органа.
Актуально на: 29 сентября 2026 года.
Если ситуация требует внимания — мы поможем разобраться.
Смежные направления
Направление практики
Персональные данные и IT-право — соответствие Закону о персональных данных, трансграничная передача, аудит обработки и IT-договоры.