Трансграничная передача персональных данных из Казахстана: тренды и выводы

Правовая основа трансграничной передачи данных в Казахстане

Трансграничная передача персональных данных в Казахстане регулируется Законом о персональных данных и их защите, который устанавливает три допустимых основания для такой передачи. Первое — страна-получатель включена в перечень государств, обеспечивающих адекватную защиту персональных данных. Второе — субъект данных дал явное согласие на передачу. Третье — передача осуществляется в рамках договора, стороной которого является субъект данных.

Перечень стран с адекватной защитой утверждается уполномоченным органом — Министерством цифрового развития, инноваций и аэрокосмической промышленности РК. Включение страны в перечень означает, что её законодательство признано сопоставимым по уровню защиты с казахстанским. Если страна-получатель в перечень не включена, оператор обязан применять дополнительные механизмы: стандартные договорные условия, обязательные корпоративные правила или получить явное согласие субъекта.

Параллельно действует требование локализации: базы данных граждан РК должны первично храниться на серверах, расположенных на территории Казахстана. Это требование не запрещает трансграничную передачу, но устанавливает иерархию: локальное хранение первично, зарубежная обработка — вторична и условна. Компании, использующие исключительно зарубежную облачную инфраструктуру без локальной копии, нарушают требования локализации вне зависимости от наличия согласия субъекта.

Какие страны признаны безопасными для передачи данных из Казахстана?

Перечень стран с адекватной защитой персональных данных — ключевой инструмент регулирования трансграничной передачи в Казахстане. Включение в перечень означает, что оператор вправе передавать данные без дополнительных механизмов защиты и без получения отдельного согласия субъекта на трансграничную передачу как таковую.

Перечень формируется на основе оценки законодательства страны-получателя: наличие специального закона о персональных данных, независимый надзорный орган, права субъектов данных, механизмы правовой защиты. Страны — участницы СНГ, ратифицировавшие Конвенцию Совета Европы о защите физических лиц при автоматизированной обработке персональных данных (Конвенция 108), как правило, рассматриваются как обеспечивающие адекватную защиту. Государства ЕС, имеющие развитое законодательство в этой сфере, также традиционно включаются в подобные перечни.

Практическая проблема состоит в том, что перечень не является статичным: страны могут быть исключены при изменении их законодательства. Оператор, выстроивший процессы передачи данных на основании перечня, обязан отслеживать его актуальность. Передача данных в страну, исключённую из перечня, без перехода на альтернативные механизмы — нарушение, которое не освобождает от ответственности даже при добросовестном заблуждении.

Согласие субъекта: условия, форма и ограничения

Согласие субъекта персональных данных на трансграничную передачу должно быть конкретным, информированным и добровольным — это три обязательных критерия, несоблюдение хотя бы одного из которых делает согласие недействительным. Субъект должен понимать, в какую страну передаются его данные, кто является получателем и с какой целью осуществляется передача.

Форма согласия — письменная или электронная с возможностью верификации. Включение согласия на трансграничную передачу в общий текст пользовательского соглашения без явного выделения — распространённая ошибка. Казахстанская правоприменительная практика, формирующаяся в этой сфере, следует общемировому тренду: «закопанное» согласие в многостраничных документах не признаётся надлежащим.

Добровольность согласия — особенно острый вопрос в трудовых отношениях. Работник, зависящий от работодателя, формально не может дать вполне добровольное согласие. Поэтому для передачи данных сотрудников иностранным материнским структурам или аутсорсинговым компаниям рекомендуется опираться не только на согласие, но и на договорные основания — включение условий о передаче данных непосредственно в трудовой договор или локальный нормативный акт работодателя.

Согласие может быть отозвано субъектом в любой момент. Оператор обязан предусмотреть механизм отзыва и прекратить передачу данных после его получения. Отсутствие такого механизма — самостоятельное нарушение, независимо от того, воспользовался ли субъект правом на отзыв.

Договорные механизмы: стандартные условия и корпоративные правила

Стандартные договорные условия (СДУ) — наиболее распространённый механизм легализации трансграничной передачи данных в страны, не включённые в перечень с адекватной защитой. СДУ представляют собой типовые положения договора между оператором и получателем данных, гарантирующие соблюдение стандартов защиты, установленных казахстанским законодательством.

Казахстанское законодательство не утвердило официальные типовые формы СДУ в отличие, например, от европейского подхода. На практике компании адаптируют международные стандарты — прежде всего европейские стандартные договорные положения — к казахстанским требованиям. Такой подход допустим, однако требует тщательной проверки на соответствие местному законодательству: европейские формы содержат ссылки на нормы GDPR, которые не имеют прямого аналога в казахстанском праве.

Обязательные корпоративные правила (ОКП) — механизм для транснациональных групп компаний, позволяющий установить единые стандарты защиты данных внутри группы. ОКП утверждаются на уровне группы и обязательны для всех её участников. В казахстанской практике этот механизм используется реже, чем СДУ, однако для крупных международных структур с казахстанскими дочерними компаниями он может быть более эффективным решением.

Чувствительные данные: повышенные требования при трансграничной передаче

Чувствительные персональные данные — биометрические, медицинские, данные о религиозных убеждениях, политических взглядах, судимостях — при трансграничной передаче требуют соблюдения повышенных стандартов защиты. Для таких данных недостаточно общего согласия на обработку: требуется явное согласие на передачу именно этой категории данных именно в указанную страну.

На практике это означает, что компании, передающие за рубеж, например, медицинские данные сотрудников (страховые программы, корпоративная медицина) или биометрические данные (системы контроля доступа с распознаванием лиц), должны выстраивать отдельный процесс получения согласия. Включение такого согласия в общую форму обработки персональных данных недостаточно.

• Биометрические данные: отпечатки пальцев, данные распознавания лиц, сетчатки глаза
• Медицинские данные: диагнозы, результаты анализов, сведения об инвалидности
• Данные о судимостях и административных правонарушениях
• Сведения о религиозных и политических убеждениях
• Данные о расовом и этническом происхождении

Трансграничная передача чувствительных данных в страны без адекватной защиты при отсутствии явного согласия — одно из наиболее серьёзных нарушений в сфере персональных данных. Регулятор, как правило, рассматривает такие случаи как приоритетные при проведении проверок.

Тренды правоприменения: как меняется подход регулятора

Казахстанское регулирование в сфере персональных данных последовательно движется в сторону ужесточения — это устойчивый тренд последних лет, который прослеживается как в изменениях законодательства, так и в практике уполномоченного органа. Несколько ключевых направлений заслуживают особого внимания.

Первое — усиление контроля за локализацией. Уполномоченный орган всё активнее проверяет, где фактически хранятся данные казахстанских пользователей. Декларативное соответствие — наличие политики обработки персональных данных без реальной локальной инфраструктуры — перестаёт быть достаточным. Компании, использующие исключительно зарубежные облачные сервисы, находятся в зоне повышенного риска.

Второе — внимание к цифровым платформам и маркетплейсам. Платформы, собирающие данные казахстанских пользователей и передающие их рекламным сетям, аналитическим сервисам или партнёрам за рубежом, оказались в фокусе регуляторного внимания. Передача данных через пиксели отслеживания, cookie и SDK мобильных приложений квалифицируется как трансграничная передача, требующая соблюдения всех установленных условий.

Третье — экстерриториальный охват. Иностранные компании, работающие с казахстанскими пользователями, всё чаще получают предписания и запросы от уполномоченного органа. Отсутствие юридического присутствия в Казахстане не освобождает от обязанности соблюдать местное законодательство о персональных данных.

Практические рекомендации для операторов персональных данных

Операторам, осуществляющим или планирующим трансграничную передачу персональных данных из Казахстана, следует выстроить системный подход — разовые меры не обеспечивают устойчивого соответствия требованиям законодательства. Ниже — ключевые шаги, которые, по нашему опыту, позволяют минимизировать регуляторные риски.

• Провести инвентаризацию потоков данных: установить, какие данные, куда и на каком основании передаются
• Проверить актуальный перечень стран с адекватной защитой и сопоставить с реальными направлениями передачи
• Для стран вне перечня — разработать и внедрить стандартные договорные условия с получателями данных
• Привести формы согласия в соответствие с требованиями: конкретность, информированность, добровольность
• Обеспечить локальное хранение первичных баз данных казахстанских пользователей

Отдельного внимания заслуживает документирование. Оператор должен быть готов в любой момент подтвердить правовое основание каждой трансграничной передачи. Это означает, что договоры с получателями данных, формы согласий, внутренние политики и реестры обработки должны поддерживаться в актуальном состоянии. Проверка уполномоченного органа, как правило, начинается именно с запроса документации.

Для компаний, входящих в международные группы, рекомендуется согласовать казахстанские требования с корпоративными стандартами группы заблаговременно. Нередко выясняется, что глобальная политика обработки данных не учитывает казахстанскую специфику — в частности, требования локализации и особенности перечня допустимых стран.

Ответственность за нарушение правил трансграничной передачи

Нарушение требований к трансграничной передаче персональных данных влечёт административную ответственность оператора. Уполномоченный орган вправе выдать предписание об устранении нарушений, наложить штраф и потребовать прекращения незаконной обработки. Размеры санкций определяются в зависимости от характера и тяжести нарушения.

Помимо административной ответственности, субъект данных вправе обратиться в суд с требованием о возмещении вреда, причинённого незаконной передачей его данных. Казахстанское законодательство предусматривает возмещение как имущественного, так и морального вреда. В случае утечки данных в результате незаконной трансграничной передачи риск гражданских исков существенно возрастает.

Для должностных лиц компании — директора, ответственного за обработку персональных данных — нарушения в этой сфере могут повлечь личную административную ответственность. Это особенно актуально для руководителей, подписывающих договоры с иностранными получателями данных без надлежащей правовой проверки. Подробнее о практике трансграничной передачи персональных данных и об изменениях в регулировании читайте в обзоре цифрового законодательства Казахстана. Общий обзор аналитических материалов по IT-праву доступен в разделе Аналитика.