Трансграничная передача персональных данных из Казахстана: правовой разбор
Трансграничная передача персональных данных из Казахстана допускается только при наличии надлежащего правового основания — адекватной защиты в стране-получателе или явного согласия субъекта. Для топ-менеджера это означает конкретные обязательства: проверить, куда уходят данные сотрудников и клиентов, и убедиться, что каждая такая операция задокументирована. Казахстанское законодательство ужесточает требования, и регуляторный риск для компаний, использующих зарубежные облачные сервисы без правового основания, становится всё более ощутимым.
Ваша компания передаёт данные сотрудников или клиентов зарубежным сервисам — и вы не уверены, соответствует ли это требованиям казахстанского законодательства? Проверить обработку персональных данных · info@vetrovkz.com
Контекст: почему трансграничная передача данных стала приоритетом регулятора в Казахстане
Трансграничная передача персональных данных — одна из наиболее чувствительных точек в казахстанском регулировании цифровой среды. Закон о персональных данных и их защите действует в Казахстане уже более десяти лет, однако практика его применения существенно изменилась: уполномоченный орган перешёл от декларативного контроля к реальным проверкам и предписаниям.
Для топ-менеджера это означает следующее: использование зарубежных CRM-систем, HR-платформ, облачных хранилищ и корпоративных мессенджеров автоматически создаёт вопрос о трансграничной передаче данных. Каждый раз, когда данные казахстанского сотрудника или клиента оказываются на сервере за пределами РК, возникает обязательство — либо подтвердить правовое основание, либо устранить нарушение.
Интенсивность цифровизации бизнеса в Казахстане опережает скорость адаптации комплаенс-процессов. По нашему опыту, большинство компаний среднего сегмента не имеют актуального реестра операций по обработке данных и не могут оперативно ответить на запрос регулятора о правовых основаниях конкретной передачи.
Если ваша компания использует зарубежные HR-платформы или облачные сервисы — проверьте, есть ли у вас документальное подтверждение правового основания для каждой такой передачи.
Проверить обработку персональных данныхЧто считается трансграничной передачей данных по казахстанскому законодательству?
Трансграничная передача персональных данных — это любая операция, в результате которой персональные данные, собранные или обрабатываемые на территории Казахстана, становятся доступны лицам или системам за пределами РК. Закон о персональных данных и их защите охватывает не только прямую отправку файлов, но и удалённый доступ к базам данных, синхронизацию с облачными сервисами и передачу данных внутри международных корпоративных групп.
На практике трансграничная передача возникает в следующих типичных ситуациях: использование зарубежных SaaS-платформ для управления персоналом, хранение данных клиентов в облаке с серверами за рубежом, передача данных головной компании группы, расположенной в другой юрисдикции, а также использование зарубежных платёжных процессоров и аналитических инструментов.
Важно понимать: казахстанский закон не делает исключений для внутригрупповых передач. Даже если данные передаются дочерней или материнской компании в рамках одного холдинга, правовое основание для трансграничной передачи должно быть оформлено так же, как и для передачи независимому третьему лицу.
Какие правовые основания допускают трансграничную передачу данных из Казахстана?
Казахстанское законодательство предусматривает два основных правовых основания для трансграничной передачи персональных данных: адекватная защита в стране-получателе и согласие субъекта персональных данных. Каждое из них имеет свои условия применения и ограничения.
Первое основание — адекватная защита. Уполномоченный орган ведёт перечень государств, уровень защиты персональных данных в которых признан сопоставимым с казахстанским. Если страна-получатель включена в этот перечень, передача данных допускается без дополнительных условий. Перечень периодически обновляется, и его актуальность необходимо проверять перед каждой новой интеграцией с зарубежным сервисом.
Второе основание — согласие субъекта. Если страна-получатель не включена в перечень, компания обязана получить явное, конкретное и информированное согласие каждого субъекта на передачу его данных в эту страну. Согласие должно содержать указание на конкретную страну, получателя и цель передачи. Общее согласие на обработку данных, включённое в трудовой договор или пользовательское соглашение, как правило, не отвечает этому требованию.
Требование локализации: что должно оставаться в Казахстане?
Локализация персональных данных — это обязательство хранить первичную базу данных казахстанских граждан на серверах, физически расположенных на территории РК. Это требование существует параллельно с регулированием трансграничной передачи и не заменяет его: даже при соблюдении локализации передача данных за рубеж требует самостоятельного правового основания.
На практике требование локализации означает следующее: если компания использует зарубежный облачный сервис как основное хранилище данных казахстанских пользователей или сотрудников, она нарушает законодательство РК вне зависимости от наличия согласия на трансграничную передачу. Допустимая модель — первичное хранение в Казахстане с возможностью репликации или резервного копирования за рубеж при наличии правового основания.
Для международных компаний, работающих в Казахстане, это создаёт практическую задачу: стандартная глобальная IT-архитектура, как правило, не предусматривает отдельного казахстанского сегмента хранения. Адаптация требует либо технических изменений в инфраструктуре, либо выбора провайдеров с дата-центрами в РК.
Чувствительные данные: повышенные требования при трансграничной передаче
Специальные категории персональных данных — сведения о здоровье, биометрия, данные о судимостях, религиозных и политических взглядах — требуют повышенного уровня защиты при любой обработке, а при трансграничной передаче — особого внимания. Казахстанское законодательство устанавливает для них более строгие условия: обработка допускается только при наличии явного согласия либо в случаях, прямо предусмотренных законом.
Для топ-менеджера это означает конкретный риск: передача медицинских данных сотрудников зарубежному страховщику, использование биометрических систем контроля доступа с облачной обработкой за рубежом или передача данных о судимостях при международном скрининге кандидатов — каждая из этих операций требует отдельного правового основания и документального оформления.
По нашему опыту, именно чувствительные данные становятся предметом наиболее серьёзных претензий регулятора: их незаконная передача влечёт не только административную, но и потенциально уголовную ответственность по Уголовному кодексу РК.
Практические последствия нарушений: что грозит компании и директору?
Нарушение требований к трансграничной передаче персональных данных влечёт административную ответственность для компании и её должностных лиц. Уполномоченный орган вправе выдать предписание об устранении нарушений, приостановить обработку данных и инициировать административное производство.
Для топ-менеджера принципиально важно следующее: ответственность за нарушения в сфере персональных данных может быть возложена лично на руководителя как на должностное лицо. Это не абстрактный риск — в казахстанской практике административные дела в отношении директоров по вопросам обработки данных уже рассматривались.
Помимо административных санкций, незаконная передача данных может повлечь гражданско-правовые претензии со стороны субъектов данных — сотрудников или клиентов, чьи права были нарушены. В случае утечки данных в результате ненадлежащей трансграничной передачи масштаб претензий существенно возрастает. Репутационные последствия для бизнеса в таких ситуациях, как правило, превышают размер формальных санкций.
Рекомендации для топ-менеджера: как выстроить комплаенс по трансграничной передаче данных
Комплаенс в сфере трансграничной передачи данных строится на четырёх практических шагах, которые компания должна реализовать последовательно. Отсутствие любого из них создаёт уязвимость при проверке регулятора.
- Реестр операций по обработке данных. Зафиксируйте все потоки данных: какие данные, кому передаются, в какую страну, на каком основании. Без реестра невозможно ни выявить нарушения, ни ответить на запрос регулятора.
- Проверка перечня стран с адекватной защитой. Для каждой страны-получателя убедитесь, что она включена в актуальный перечень уполномоченного органа. Если нет — оформите согласие субъектов или иное правовое основание.
- Актуализация согласий и договоров. Проверьте, что согласия на обработку данных содержат явное указание на трансграничную передачу, страну и получателя. Договоры с зарубежными контрагентами должны включать положения о защите данных.
- Техническая локализация. Убедитесь, что первичное хранение данных казахстанских субъектов осуществляется на серверах в РК. При необходимости — адаптируйте IT-архитектуру или смените провайдера.
Эти шаги не требуют немедленной реструктуризации всей IT-инфраструктуры. Как правило, достаточно провести аудит, выявить приоритетные риски и устранить их в порядке очерёдности — начиная с чувствительных данных и наиболее активно используемых зарубежных сервисов.
Частые вопросы
1. Можно ли хранить персональные данные казахстанцев за границей?
Казахстанское законодательство допускает хранение персональных данных граждан РК за рубежом при соблюдении двух условий: страна-получатель обеспечивает адекватный уровень защиты данных, либо субъект дал явное письменное согласие на такую передачу. Если ни одно из условий не выполнено, хранение за границей является нарушением Закона о персональных данных и их защите. На практике это означает, что использование зарубежных облачных сервисов без надлежащего правового основания создаёт регуляторный риск для компании. Дополнительно действует требование локализации: первичная база данных должна находиться на серверах в Казахстане.
2. Как долго можно хранить персональные данные?
Казахстанское законодательство устанавливает принцип ограничения хранения: персональные данные должны храниться не дольше, чем это необходимо для достижения целей обработки. После достижения цели данные подлежат уничтожению или обезличиванию. Для отдельных категорий данных — например, кадровых документов — действуют специальные сроки хранения, установленные Трудовым кодексом РК и архивным законодательством. Компании обязаны закрепить конкретные сроки хранения в своей политике обработки персональных данных. Хранение данных «на всякий случай» без определённой цели является нарушением принципа минимизации данных.
3. Нужно ли согласие на обработку данных сотрудников?
Согласие сотрудника на обработку его персональных данных требуется не всегда. Трудовой кодекс РК и Закон о персональных данных и их защите допускают обработку без согласия, если она необходима для исполнения трудового договора. Это охватывает стандартные HR-процессы: расчёт зарплаты, ведение кадрового учёта, оформление командировок. Однако для передачи данных третьим лицам, использования биометрии или обработки специальных категорий данных согласие остаётся обязательным. Трансграничная передача данных сотрудников зарубежным провайдерам HR-услуг требует отдельного согласия с указанием страны и получателя.
4. Что такое чувствительные персональные данные?
Чувствительные (специальные) персональные данные — это категория сведений, обработка которых требует повышенного уровня защиты в силу их особой природы. Казахстанское законодательство относит к ним данные о расовом и этническом происхождении, политических взглядах, религиозных убеждениях, состоянии здоровья, судимостях и биометрические данные. Их обработка допускается только при наличии явного согласия субъекта либо в случаях, прямо предусмотренных законом. Трансграничная передача таких данных требует особого внимания и дополнительных правовых оснований. Нарушение этих требований влечёт повышенную ответственность по сравнению с обработкой обычных персональных данных.
5. Что такое адекватная защита данных и как определить, обеспечивает ли её страна-получатель?
Адекватная защита — это уровень правовой охраны персональных данных в стране-получателе, сопоставимый с казахстанским стандартом. Уполномоченный орган РК ведёт перечень государств, признанных обеспечивающими такую защиту. Если страна в перечень не включена, компания обязана использовать альтернативные правовые основания: согласие субъекта, договорные гарантии или иные механизмы. Перечень периодически обновляется, поэтому его актуальность следует проверять перед каждой новой интеграцией с зарубежным сервисом. Отсутствие страны в перечне не означает автоматического запрета передачи — оно означает необходимость дополнительного правового оформления.
6. Какие санкции грозят за незаконную трансграничную передачу данных?
Нарушение требований к трансграничной передаче персональных данных влечёт административную ответственность по казахстанскому законодательству. Размер санкций зависит от характера нарушения, субъектного состава и наличия повторности. Помимо штрафов, уполномоченный орган вправе выдать предписание об устранении нарушений и приостановить обработку данных. В случаях, связанных с утечкой чувствительных данных или систематическими нарушениями, возможно возбуждение уголовного дела по соответствующим составам Уголовного кодекса РК. Личная ответственность директора как должностного лица является самостоятельным основанием для привлечения к ответственности.
7. Нужно ли уведомлять уполномоченный орган о трансграничной передаче?
Казахстанское законодательство предусматривает уведомительный порядок для отдельных видов обработки персональных данных. Применительно к трансграничной передаче компании обязаны обеспечить документальное подтверждение правового основания такой передачи и готовность предоставить его по запросу уполномоченного органа. Отдельные категории операторов — в частности, обрабатывающие специальные категории данных или данные в крупных масштабах — могут подпадать под дополнительные требования по регистрации и отчётности. Рекомендуется заблаговременно проконсультироваться с юристом о применимых требованиях к вашей конкретной деятельности.
8. Как оформить согласие на трансграничную передачу данных?
Согласие на трансграничную передачу персональных данных должно быть добровольным, конкретным, информированным и однозначным. Субъект должен понимать, в какую страну передаются его данные, кто является получателем и с какой целью. Согласие оформляется в письменной форме — на бумажном носителе или в электронном виде с использованием ЭЦП либо иного способа идентификации. Встроенное согласие в длинные пользовательские соглашения без явного выделения условий передачи не соответствует требованиям казахстанского законодательства. Согласие должно быть отзывным: субъект вправе отозвать его в любой момент.
9. Распространяются ли требования казахстанского закона на иностранные компании?
Требования Закона о персональных данных и их защите распространяются на операторов, осуществляющих обработку данных на территории Республики Казахстан, вне зависимости от их юрисдикции регистрации. Иностранная компания, собирающая данные казахстанских пользователей через сайт или приложение, обязана соблюдать казахстанские требования в части локализации, трансграничной передачи и получения согласия. Игнорирование этого требования создаёт риск блокировки сервиса и административных санкций. По нашему опыту, международные компании нередко недооценивают экстерриториальный охват казахстанского законодательства о персональных данных.
10. Что такое локализация данных и обязательна ли она в Казахстане?
Локализация данных — это требование хранить определённые категории персональных данных на серверах, физически расположенных на территории Казахстана. Закон о персональных данных и их защите устанавливает такое требование для операторов, работающих с данными граждан РК. Это означает, что первичная база данных должна находиться в Казахстане, даже если резервные копии хранятся за рубежом. Нарушение требования локализации является самостоятельным основанием для привлечения к ответственности, независимо от соблюдения иных условий трансграничной передачи. Для международных компаний адаптация IT-архитектуры под это требование — приоритетная задача комплаенса.
Выводы
Трансграничная передача персональных данных из Казахстана — не технический вопрос IT-департамента, а правовое обязательство, за нарушение которого несёт ответственность топ-менеджер лично. Два ключевых вывода: первый — каждая операция по передаче данных за рубеж должна иметь документально подтверждённое правовое основание; второй — требование локализации существует параллельно с регулированием трансграничной передачи и не заменяет его. Аудит потоков данных и актуализация согласий — минимальный набор мер, который снижает регуляторный риск до управляемого уровня. Откладывать эту работу до проверки регулятора — значит действовать в условиях давления и ограниченного времени.
Актуально на: 15 сентября 2026 года.
Если ситуация требует внимания — мы поможем разобраться.
Смежные направления
Направление практики
Персональные данные и IT-право — соответствие Закону о персональных данных, трансграничная передача, аудит обработки и IT-договоры.