Трансграничная передача персональных данных из Казахстана: экспертная оценка

Что такое трансграничная передача данных и почему это важно для казахстанского бизнеса?

Трансграничная передача персональных данных — это любая операция, при которой данные субъектов, собранные на территории Казахстана, направляются оператором или третьим лицом за рубеж. Казахстанское законодательство рассматривает такую передачу как самостоятельный вид обработки данных, требующий отдельного правового основания.

Для собственника бизнеса это означает следующее: недостаточно иметь общее согласие пользователя на обработку данных. Если данные уходят за пределы Казахстана — нужно отдельное основание именно для трансграничной передачи. На практике большинство компаний об этом не задумываются, пока не сталкиваются с проверкой или жалобой субъекта.

Типичные сценарии, при которых возникает трансграничная передача: использование Google Workspace или Microsoft 365 для корпоративной почты, хранение клиентских данных в Salesforce или HubSpot, подключение платёжных систем с серверами за рубежом, передача данных сотрудников в головной офис иностранной материнской компании. Каждый из этих случаев — потенциальное нарушение, если правовое основание не оформлено.

Закон о персональных данных и их защите действует в Казахстане и распространяется на всех операторов, работающих с данными граждан страны, — вне зависимости от места регистрации самого оператора.

Правовые основания для трансграничной передачи: три допустимых пути

Казахстанское законодательство допускает трансграничную передачу персональных данных по трём основным правовым основаниям. Выбор конкретного пути зависит от страны-получателя, характера данных и возможностей оператора.

Первый путь — передача в страну, включённую в перечень государств с адекватным уровнем защиты персональных данных. Такой перечень формирует уполномоченный орган — Министерство цифрового развития, инноваций и аэрокосмической промышленности РК. Если страна-получатель в перечне есть, дополнительных условий не требуется: оператор вправе передавать данные в обычном порядке.

Второй путь — получение явного согласия субъекта персональных данных на трансграничную передачу. Согласие должно быть информированным: субъект обязан знать, в какую страну передаются его данные, кому именно и с какой целью. Общее согласие на «обработку данных» без упоминания трансграничной передачи не является надлежащим основанием.

Третий путь — заключение договора с иностранным получателем данных, предусматривающего обязательства по защите персональных данных на уровне не ниже казахстанского стандарта. Этот механизм применяется прежде всего в B2B-отношениях: при передаче данных сотрудников в материнскую компанию, при работе с иностранными процессорами данных. На практике рекомендуется сочетать договорные гарантии с согласием субъекта.

Перечень стран с адекватной защитой: как он работает и что делать, если страны в нём нет?

Перечень государств, обеспечивающих адекватный уровень защиты персональных данных, — ключевой инструмент казахстанского регулирования трансграничной передачи. Страны, включённые в перечень, признаются «безопасными» для передачи данных без дополнительных условий.

Перечень формируется уполномоченным органом и периодически обновляется. Как правило, в него включаются государства — участники Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных, а также страны с развитым законодательством в этой сфере. Актуальный перечень следует проверять на официальном ресурсе уполномоченного органа.

Если страна-получатель в перечне отсутствует — оператор не лишён права передавать данные, но обязан выполнить одно из альтернативных условий: получить согласие субъекта или заключить договор с гарантиями защиты. Отсутствие страны в перечне не означает автоматического запрета — это означает повышенные требования к правовому оформлению передачи.

• Проверьте актуальный перечень стран с адекватной защитой на сайте уполномоченного органа.
• Составьте реестр всех зарубежных получателей данных вашей компании.
• Для каждого получателя определите правовое основание передачи.
• Если основание — договор, убедитесь, что он содержит конкретные обязательства по защите данных.
• Обновляйте реестр при подключении новых зарубежных сервисов.

Согласие субъекта на трансграничную передачу: как оформить правильно?

Согласие субъекта персональных данных на трансграничную передачу — наиболее распространённое правовое основание для казахстанских компаний, работающих с зарубежными сервисами. Однако именно здесь допускается большинство ошибок.

Надлежащее согласие должно отвечать нескольким требованиям одновременно. Оно должно быть добровольным — субъект не должен быть вынужден давать согласие под угрозой отказа в услуге. Оно должно быть конкретным — охватывать именно трансграничную передачу, а не только общую обработку данных. Оно должно быть информированным — субъект знает, в какую страну, кому и зачем передаются его данные.

Типичная ошибка — включение согласия на трансграничную передачу в общий текст пользовательского соглашения мелким шрифтом. Казахстанская правоприменительная практика, как правило, исходит из того, что согласие должно быть явным и выделенным. Рекомендуется оформлять его отдельным чекбоксом с чётким описанием: «Я согласен на передачу моих персональных данных в [страна] компании [получатель] в целях [цель]».

Отдельного внимания заслуживает вопрос об отзыве согласия. Субъект вправе отозвать согласие в любой момент. Оператор обязан обеспечить техническую возможность такого отзыва и прекратить передачу данных после его получения. Отсутствие механизма отзыва — самостоятельное нарушение.

Договорные гарантии защиты данных: что должен содержать договор с иностранным получателем?

Договор с иностранным получателем персональных данных — второй по распространённости механизм правового оформления трансграничной передачи. Он особенно актуален для корпоративных структур: холдингов с иностранной материнской компанией, аутсорсинговых схем, работы с иностранными процессорами данных.

Казахстанское законодательство не устанавливает стандартной формы такого договора — в отличие, например, от европейского регулирования со стандартными договорными положениями. Это означает, что стороны формируют содержание договора самостоятельно, ориентируясь на требования Закона о персональных данных и их защите.

Договор должен предусматривать: обязательство получателя обрабатывать данные только в заявленных целях; запрет на передачу данных третьим лицам без согласия оператора; обязательство по обеспечению технических и организационных мер защиты; порядок уведомления оператора об инцидентах безопасности; право оператора на проверку соблюдения условий договора.

На практике крупные иностранные провайдеры (облачные платформы, SaaS-сервисы) предлагают стандартные соглашения об обработке данных (Data Processing Agreement, DPA). Такие соглашения, как правило, составлены по стандартам GDPR и могут быть приняты за основу — однако их следует проверить на соответствие требованиям казахстанского законодательства.

Практические риски для собственника: что происходит при нарушении?

Нарушение правил трансграничной передачи персональных данных влечёт административную ответственность оператора по казахстанскому законодательству. Собственник бизнеса несёт риск не только штрафных санкций, но и репутационных потерь — особенно если нарушение связано с утечкой данных клиентов.

Уполномоченный орган вправе проводить проверки операторов как планово, так и по жалобам субъектов. Жалоба одного недовольного клиента, узнавшего, что его данные были переданы за рубеж без его ведома, может инициировать проверку всей системы обработки данных компании. По результатам проверки орган вправе выдать предписание об устранении нарушений и приостановить обработку данных до их устранения.

Для бизнеса, работающего в сфере финансов, медицины, телекоммуникаций или e-commerce, риски особенно высоки: объём обрабатываемых данных велик, а зависимость от зарубежных сервисов — значительна. Приостановка обработки данных в таком бизнесе равнозначна остановке операционной деятельности.

Дополнительный риск — гражданско-правовая ответственность перед субъектами данных. Если незаконная трансграничная передача повлекла ущерб субъекту (например, утечку данных и последующее мошенничество), субъект вправе предъявить требования о возмещении вреда. Казахстанские суды рассматривают такие споры в рамках общих норм Гражданского кодекса РК.

Рекомендации: как собственнику выстроить compliance по трансграничной передаче данных?

Выстраивание compliance по трансграничной передаче персональных данных — это не разовое мероприятие, а постоянный процесс. Для собственника среднего бизнеса достаточно нескольких последовательных шагов, чтобы снизить правовые риски до управляемого уровня.

Первый шаг — аудит потоков данных. Необходимо составить реестр всех систем и сервисов, которые обрабатывают персональные данные клиентов, сотрудников и контрагентов. Для каждой системы — определить, где физически хранятся данные и передаются ли они за рубеж. Этот шаг часто выявляет «незаметные» передачи: аналитические скрипты на сайте, интеграции с зарубежными маркетинговыми платформами, резервное копирование в иностранные облака.

Второй шаг — правовое оформление каждой выявленной трансграничной передачи. Для каждого зарубежного получателя — определить правовое основание: перечень адекватной защиты, согласие субъекта или договорные гарантии. Там, где основание отсутствует, — либо оформить его, либо прекратить передачу.

Третий шаг — обновление документации. Политика конфиденциальности, пользовательские соглашения и формы согласия должны отражать реальные потоки данных, включая трансграничные передачи. Документация, написанная «для галочки» и не соответствующая фактической практике, не защищает оператора при проверке.

Связь с другими требованиями Закона о персональных данных: что ещё важно знать собственнику?

Трансграничная передача данных — лишь один из элементов системы compliance по персональным данным. Собственник бизнеса, выстраивающий работу с данными, должен учитывать и смежные требования казахстанского законодательства.

Требование о локализации данных: казахстанское законодательство обязывает операторов хранить персональные данные граждан Казахстана на серверах, расположенных на территории страны. Это требование применяется параллельно с правилами трансграничной передачи: данные могут храниться в Казахстане, но при этом передаваться за рубеж для обработки — и такая передача требует отдельного основания.

Требование о назначении ответственного за организацию обработки персональных данных: оператор обязан определить лицо, ответственное за соблюдение требований законодательства. В небольших компаниях эту роль нередко совмещает юрист или IT-директор. Важно, чтобы это лицо реально понимало требования закона и имело полномочия принимать решения об обработке данных.

Требования к безопасности данных: оператор обязан принять технические и организационные меры для защиты персональных данных от несанкционированного доступа, утечки и уничтожения. При трансграничной передаче эти требования распространяются и на иностранного получателя — что должно быть закреплено в договоре. Подробнее о системе требований казахстанского законодательства — в нашем материале «Новые правила защиты персональных данных в Казахстане».