Трансграничная передача персональных данных из Казахстана: обзор изменений

Что изменилось в регулировании трансграничной передачи данных в Казахстане

Казахстанское законодательство о персональных данных прошло несколько волн реформ, каждая из которых последовательно приближала его к международным стандартам — прежде всего к европейской модели GDPR и Конвенции 108 Совета Европы. Закон о персональных данных и их защите в действующей редакции существенно отличается от первоначальной версии: расширен круг субъектов, на которых распространяются требования, уточнены основания обработки, введены более строгие правила для трансграничной передачи.

Ключевое изменение последних лет — переход от уведомительной модели к модели с обязательными правовыми основаниями. Раньше оператор мог передавать данные за рубеж, просто уведомив об этом субъекта. Теперь требуется одно из прямо предусмотренных законом оснований: адекватная защита в стране-получателе, согласие субъекта, договорная необходимость или иное основание из закрытого перечня.

Параллельно усилилась роль уполномоченного органа — Министерства цифрового развития, инноваций и аэрокосмической промышленности РК. Орган получил расширенные полномочия по проверке операторов, выдаче предписаний и инициированию административного производства. Практика проверок становится более системной: под контроль попадают не только крупные игроки, но и компании среднего размера, активно работающие с персональными данными.

Для бизнеса это означает одно: трансграничная передача данных из Казахстана перестала быть техническим вопросом и стала юридическим. Ошибка в оформлении оснований — это не просто процедурное нарушение, а риск предписания, штрафа и репутационного ущерба.

Какие основания допускают трансграничную передачу данных?

Закон о персональных данных и их защите предусматривает несколько самостоятельных оснований для трансграничной передачи — оператор вправе опираться на любое из них, но обязан зафиксировать выбранное основание в документации.

Первое и наиболее удобное основание — адекватная защита в стране-получателе. Если государство включено в утверждённый уполномоченным органом перечень, передача данных в эту страну не требует дополнительных условий. Перечень формируется с учётом членства государства в Конвенции 108 и наличия у него специального законодательства о защите данных.

Второе основание — согласие субъекта. Оно должно быть явным, информированным и конкретным: субъект должен понимать, в какую страну передаются его данные, кому именно и с какой целью. Общее согласие на обработку данных, как правило, не охватывает трансграничную передачу — требуется отдельное волеизъявление или расширенная формулировка в форме согласия.

• Исполнение договора с субъектом или в его интересах — если передача необходима для оказания услуги, заказанной субъектом.
• Защита жизни и здоровья субъекта — в экстренных ситуациях, когда получить согласие невозможно.
• Исполнение международного договора, участником которого является Казахстан.
• Осуществление правосудия и исполнение судебных актов.

На практике большинство коммерческих операторов опираются на первые два основания — адекватную защиту или согласие. Остальные основания применимы в специфических ситуациях и редко используются в повседневной деятельности компаний.

Перечень стран с адекватной защитой: как он работает и что важно знать?

Перечень государств, обеспечивающих адекватный уровень защиты персональных данных, — центральный инструмент казахстанского регулирования трансграничной передачи. Включение страны в перечень означает, что оператор может передавать данные туда без дополнительных условий, помимо общих требований к обработке.

Перечень утверждается и обновляется уполномоченным органом. Основной критерий включения — наличие в государстве специального законодательства о защите персональных данных, соответствующего международным стандартам, и (или) членство в Конвенции 108 Совета Европы. Государства — члены ЕС, как правило, присутствуют в перечне; ряд азиатских и постсоветских государств — нет.

Важный практический момент: перечень не является статичным. Государство может быть исключено из него при изменении своего законодательства или правоприменительной практики. Оператор, выстроивший передачу данных на основании перечня, обязан отслеживать его актуальность — иначе в момент проверки окажется, что основание для передачи утрачено.

Если страна-получатель не включена в перечень, оператор должен использовать иное основание — прежде всего согласие субъекта. Передача данных в страну вне перечня без надлежащего основания является нарушением независимо от того, насколько развито законодательство этой страны о защите данных.

Согласие субъекта на трансграничную передачу: требования к форме и содержанию

Согласие субъекта персональных данных на трансграничную передачу — наиболее распространённое основание для операторов, работающих с зарубежными партнёрами или облачными сервисами. Однако именно здесь чаще всего возникают нарушения: согласие оформляется формально, без учёта требований к его содержанию.

Закон о персональных данных и их защите устанавливает, что согласие должно быть конкретным, информированным и добровольным. Применительно к трансграничной передаче это означает: субъект должен знать, в какую страну передаются его данные, кому именно (наименование получателя или его категория), с какой целью и на какой срок. Формулировка «данные могут передаваться третьим лицам» не удовлетворяет этим требованиям.

• Согласие должно быть получено до начала передачи — ретроактивное согласие не допускается.
• Субъект вправе отозвать согласие в любой момент — оператор обязан обеспечить механизм отзыва.
• Отзыв согласия не влечёт автоматического удаления уже переданных данных, но прекращает основание для дальнейшей передачи.
• Согласие несовершеннолетних требует участия законного представителя.

На практике рекомендуется выделять согласие на трансграничную передачу в отдельный чекбокс или раздел формы согласия — это упрощает доказывание его наличия при проверке и снижает риск оспаривания субъектом.

Требование локализации данных: как оно соотносится с трансграничной передачей?

Требование локализации персональных данных и правила трансграничной передачи — два самостоятельных инструмента казахстанского регулирования, которые нередко смешивают на практике. Локализация означает обязанность хранить и обрабатывать данные казахстанских субъектов на серверах, физически расположенных в Казахстане. Трансграничная передача — это отдельная операция, которая может осуществляться параллельно с локализацией.

Закон о персональных данных и их защите устанавливает требование локализации для определённых категорий операторов и данных. Ключевой принцип: передача данных за рубеж не освобождает оператора от обязанности хранить основную базу данных в Казахстане. Иными словами, оператор может одновременно хранить данные на казахстанских серверах и передавать их копию зарубежному партнёру — при наличии надлежащего основания для передачи.

Нарушение требования локализации является самостоятельным составом нарушения и влечёт отдельную ответственность — независимо от того, соблюдены ли правила трансграничной передачи. Это означает, что комплаенс-аудит должен охватывать оба вопроса: где физически хранятся данные и на каком основании они передаются за рубеж.

Для облачных сервисов и SaaS-решений вопрос локализации стоит особенно остро: если сервер провайдера находится за пределами Казахстана, оператор должен либо обеспечить хранение данных на казахстанском узле, либо иметь чёткое правовое обоснование допустимости такой конфигурации.

Иностранные компании и казахстанское законодательство о данных: экстерриториальный эффект

Закон о персональных данных и их защите распространяется на обработку данных казахстанских субъектов вне зависимости от места нахождения оператора — это принцип экстерриториального действия, аналогичный подходу GDPR. Иностранная компания, предлагающая товары или услуги лицам в Казахстане либо отслеживающая их поведение в сети, подпадает под действие казахстанского законодательства.

На практике это означает, что иностранный оператор обязан соблюдать требования к согласию, локализации и трансграничной передаче в той же мере, что и казахстанская компания. Отсутствие юридического лица в Казахстане не является основанием для освобождения от этих требований.

Степень правоприменения в отношении иностранных операторов возрастает: уполномоченный орган располагает инструментами воздействия через блокировку доступа к сервису на территории Казахстана. Для компаний, ориентированных на казахстанский рынок, это реальный операционный риск.

Рекомендуемый подход для иностранных операторов — провести оценку применимости казахстанского законодательства, определить объём обрабатываемых данных казахстанских субъектов и выстроить минимально необходимый комплаенс: политику конфиденциальности на русском языке, механизм согласия и процедуру ответа на запросы субъектов.

Практические риски и типичные нарушения при трансграничной передаче данных

Анализ правоприменительной практики в Казахстане позволяет выделить несколько типичных нарушений, которые выявляются при проверках операторов, осуществляющих трансграничную передачу данных.

Наиболее распространённое нарушение — отсутствие надлежащего основания для передачи. Оператор передаёт данные зарубежному партнёру или облачному сервису, не проверив, включена ли страна-получатель в перечень адекватной защиты, и не получив согласия субъектов на передачу в страну вне перечня. Это нарушение выявляется при первой же проверке документации.

• Формальное согласие без указания страны-получателя и наименования получателя данных.
• Отсутствие в политике конфиденциальности раздела о трансграничной передаче.
• Передача данных через зарубежные аналитические и рекламные сервисы без оценки правовых оснований.
• Использование облачных сервисов с серверами за пределами Казахстана без проверки требований локализации.
• Отсутствие договорных гарантий защиты данных с зарубежным получателем.

Отдельную группу рисков формируют интеграции с зарубежными сервисами — CRM, аналитика, email-маркетинг, платёжные системы. Каждая такая интеграция потенциально является трансграничной передачей данных и требует правового обоснования. На практике большинство компаний не проводят такой оценки при внедрении новых инструментов.

Как выстроить комплаенс по трансграничной передаче данных: практические рекомендации

Комплаенс по трансграничной передаче данных строится на нескольких последовательных шагах — от инвентаризации потоков данных до документирования оснований и обучения сотрудников.

Первый шаг — картирование потоков данных. Необходимо установить, какие данные, кому и в какие страны передаются. Это включает не только явные передачи (партнёрам, дочерним компаниям), но и скрытые — через аналитические сервисы, рекламные пиксели, облачные хранилища. Результат картирования фиксируется в реестре операций по обработке данных.

Второй шаг — проверка оснований для каждого потока. Для каждой выявленной передачи необходимо определить правовое основание: адекватная защита (проверить актуальный перечень), согласие субъекта (проверить форму и содержание), договорная необходимость или иное основание. Если основание отсутствует — передача должна быть приостановлена до его оформления.

• Обновить политику конфиденциальности: добавить раздел о трансграничной передаче с указанием стран и получателей.
• Пересмотреть формы согласия: убедиться, что они охватывают трансграничную передачу явно.
• Заключить договоры с зарубежными получателями данных, включающие обязательства по защите данных.
• Настроить механизм отзыва согласия и ответа на запросы субъектов.

Регулярный аудит — не менее одного раза в год и при каждом существенном изменении в составе используемых сервисов — позволяет поддерживать комплаенс в актуальном состоянии и снижает риск нарушений при проверке уполномоченного органа. Подробнее о структуре такого аудита — в материале «Чек-лист комплаенса по персональным данным в Казахстане».