Трансграничная передача персональных данных из Казахстана: анализ практики
Трансграничная передача персональных данных из Казахстана — это передача данных казахстанских субъектов на серверы, расположенные за пределами Республики Казахстан, или иностранным получателям. Казахстанское законодательство допускает такую передачу, однако устанавливает условия: адекватная защита в стране-получателе или согласие субъекта. Для топ-менеджера это означает конкретные обязательства: договорные гарантии, внутренние политики и понимание того, какие страны считаются «безопасными» по казахстанским стандартам.
Ваша компания передаёт данные клиентов или сотрудников зарубежным сервисам — и вы не уверены, соответствует ли это требованиям казахстанского законодательства? Проверить обработку персональных данных · info@vetrovkz.com
Что такое трансграничная передача данных по казахстанскому праву?
Трансграничная передача персональных данных — это любое действие, в результате которого данные субъектов, находящихся под юрисдикцией Казахстана, поступают к получателю в иностранном государстве или на серверы, расположенные за его пределами. Закон о персональных данных и их защите охватывает широкий круг ситуаций: от передачи HR-данных в зарубежную штаб-квартиру до использования облачных CRM-систем с серверами в Европе или США.
На практике трансграничная передача возникает чаще, чем компании осознают. Использование Google Workspace, Salesforce, SAP, корпоративных мессенджеров с зарубежной инфраструктурой — всё это потенциально квалифицируется как передача данных за рубеж. Директор, подписывающий договор с SaaS-провайдером, фактически принимает решение о трансграничной передаче данных своих сотрудников и клиентов.
Казахстанский закон не запрещает трансграничную передачу, но обусловливает её соблюдением одного из двух требований: либо страна-получатель обеспечивает адекватный уровень защиты персональных данных, либо оператор получает явное согласие субъекта на такую передачу. Оба пути имеют свои ограничения и практические сложности.
Если ваша компания использует зарубежные облачные сервисы для хранения данных сотрудников или клиентов — проверьте, есть ли у вас надлежащие основания для трансграничной передачи.
Проверить обработку персональных данныхКакие страны считаются «безопасными» для передачи данных из Казахстана?
Уполномоченный орган Казахстана — Министерство цифрового развития, инноваций и аэрокосмической промышленности — ведёт перечень иностранных государств, обеспечивающих адекватный уровень защиты персональных данных. Передача данных в страны из этого перечня не требует дополнительных гарантий или согласия субъекта сверх общих требований.
Перечень формируется на основе оценки национального законодательства страны-получателя: наличие специального закона о персональных данных, независимый надзорный орган, механизмы правовой защиты субъектов. Государства — члены ЕС, ряд стран ОЭСР и некоторые государства СНГ, принявшие законодательство, соответствующее международным стандартам, как правило, включаются в такой перечень.
Ключевая практическая проблема: перечень периодически обновляется, и компании не всегда отслеживают изменения. Передача данных в страну, исключённую из перечня, без дополнительных оснований становится нарушением — даже если на момент заключения договора с провайдером страна в перечне присутствовала. Рекомендуется встроить проверку актуальности перечня в ежегодный аудит обработки данных.
Согласие субъекта как основание для передачи: когда оно работает?
Согласие субъекта персональных данных является самостоятельным основанием для трансграничной передачи — даже если страна-получатель не включена в перечень «безопасных». Однако казахстанское законодательство предъявляет к такому согласию строгие требования: оно должно быть добровольным, конкретным, информированным и однозначным.
На практике согласие как основание для трансграничной передачи имеет существенные ограничения. Субъект вправе отозвать согласие в любой момент — и оператор обязан прекратить передачу. Для корпоративных данных (сотрудники, клиенты) массовое получение и поддержание актуального согласия технически сложно. Согласие, встроенное в трудовой договор или пользовательское соглашение как условие его заключения, может быть признано недобровольным.
Топ-менеджеру важно понимать: согласие — не универсальное решение. Для систематической передачи данных (HR-системы, CRM, аналитика) надёжнее выстраивать договорную базу с провайдерами и проверять их юрисдикцию, чем полагаться исключительно на согласие субъектов.
Договорные гарантии: что должен содержать договор с иностранным провайдером?
Когда страна провайдера не входит в перечень «безопасных», а согласие субъектов ненадёжно как единственное основание, договорные гарантии становятся основным инструментом правомерной трансграничной передачи. Казахстанское законодательство допускает использование договора как механизма обеспечения защиты данных при передаче за рубеж.
Договор с иностранным провайдером должен содержать несколько ключевых элементов. Во-первых, чёткое определение категорий передаваемых данных и целей обработки. Во-вторых, обязательство провайдера соблюдать стандарты защиты, эквивалентные казахстанским требованиям. В-третьих, ограничение на дальнейшую передачу данных субподрядчикам без уведомления оператора. В-четвёртых, обязательство уведомить оператора об инцидентах безопасности в разумный срок.
На практике крупные международные провайдеры (Microsoft, Google, SAP) предлагают стандартизированные соглашения об обработке данных (Data Processing Agreements, DPA), которые в целом соответствуют международным стандартам. Однако такие соглашения требуют анализа на предмет соответствия казахстанским специфическим требованиям — в частности, в части локализации и уведомления об инцидентах.
Локализация данных: как она соотносится с трансграничной передачей?
Казахстанское законодательство устанавливает требование локализации: персональные данные граждан Казахстана должны храниться и обрабатываться на серверах, расположенных на территории Республики Казахстан. Это требование существует параллельно с нормами о трансграничной передаче и создаёт дополнительный уровень обязательств для операторов.
Соотношение локализации и трансграничной передачи на практике выглядит следующим образом: оператор обязан хранить «основную» базу данных на казахстанских серверах, однако может передавать данные за рубеж для конкретных целей обработки при соблюдении условий передачи. Иными словами, локализация и трансграничная передача — не взаимоисключающие требования, а параллельные обязательства.
Для компаний, использующих гибридные облачные решения, это означает необходимость архитектурного разделения: казахстанский сегмент данных хранится локально, а для зарубежной обработки (аналитика, резервное копирование, интеграция с головным офисом) используются отдельные потоки с надлежащими основаниями. Такая архитектура требует технической документации и юридического сопровождения.
Ответственность оператора: что грозит за нарушение правил передачи?
Нарушение правил трансграничной передачи персональных данных влечёт административную ответственность оператора по казахстанскому законодательству. Уполномоченный орган вправе проводить проверки, выдавать предписания об устранении нарушений и привлекать к ответственности как юридических, так и должностных лиц.
Для топ-менеджера особенно значима личная ответственность: директор как должностное лицо может быть привлечён к административной ответственности наряду с компанией. Это не гипотетический риск — уполномоченный орган активизировал надзорную деятельность, и число проверок в сфере персональных данных растёт. Подробнее о рисках для операторов — в нашем материале о том, кто считается оператором персональных данных в Казахстане.
Помимо административных санкций, нарушение может повлечь репутационные последствия и гражданско-правовые требования субъектов данных. В корпоративном контексте — претензии со стороны иностранных партнёров, если нарушение затрагивает их данные или данные их клиентов, переданные казахстанской стороне.
Практические рекомендации для топ-менеджера: с чего начать?
Управление трансграничной передачей данных начинается с инвентаризации: необходимо понять, какие данные, кому и на каком основании передаются. Без этого шага любые политики и договоры будут неполными. Как правило, инвентаризация выявляет значительно больше потоков трансграничной передачи, чем предполагалось изначально.
После инвентаризации — проверка оснований для каждого потока. Для каждого зарубежного получателя нужно ответить на три вопроса: входит ли его страна в перечень «безопасных»; если нет — есть ли договорные гарантии; если нет — есть ли надлежащее согласие субъектов. Потоки без оснований подлежат либо прекращению, либо легализации.
Третий шаг — документирование. Внутренняя политика обработки персональных данных, реестр операций обработки, договоры с провайдерами и шаблоны согласий должны быть актуальными и доступными для проверки. Подробнее о структуре трансграничной передачи — в нашем материале о трансграничной передаче персональных данных из Казахстана. Общий обзор требований к операторам — на странице практики Персональные данные и IT-право.
- Провести инвентаризацию потоков данных за рубеж
- Проверить актуальный перечень «безопасных» стран
- Заключить или обновить DPA с зарубежными провайдерами
- Назначить ответственного за обработку запросов субъектов
- Актуализировать политику конфиденциальности и шаблоны согласий
Частые вопросы
1. Как правильно собирать cookies на сайте в Казахстане?
Сбор cookies, которые позволяют идентифицировать пользователя, квалифицируется как обработка персональных данных по казахстанскому законодательству. Оператор обязан получить согласие пользователя до начала сбора таких данных — через баннер или всплывающее окно с чёткой формулировкой цели. Технические cookies, необходимые для работы сайта, как правило, не требуют отдельного согласия, однако аналитические и маркетинговые — требуют. Политика конфиденциальности должна быть доступна на сайте и описывать все категории собираемых данных, цели обработки и условия передачи третьим лицам, включая зарубежные сервисы аналитики.
2. Что делать при запросе субъекта персональных данных?
При получении запроса от субъекта персональных данных оператор обязан ответить в срок, установленный Законом о персональных данных и их защите. Субъект вправе запросить подтверждение факта обработки, перечень обрабатываемых данных, цели и основания обработки, а также потребовать исправления или удаления данных. Отказ в предоставлении информации без законного основания является нарушением. Рекомендуется назначить ответственного сотрудника за обработку таких запросов и зафиксировать внутреннюю процедуру реагирования в локальных актах компании.
3. Кто считается оператором персональных данных в Казахстане?
Оператором персональных данных в Казахстане признаётся государственный орган, физическое или юридическое лицо, которое самостоятельно или совместно с другими лицами организует и осуществляет обработку персональных данных. Ключевой критерий — наличие полномочий определять цели и способы обработки. Если компания передаёт данные на обработку третьему лицу (например, облачному провайдеру), она остаётся оператором и несёт ответственность за соблюдение требований законодательства. Подробнее об этом — в материале о том, кто считается оператором персональных данных в Казахстане.
4. Нужно ли уведомлять уполномоченный орган об обработке данных?
Казахстанское законодательство о персональных данных не предусматривает общей обязанности уведомлять уполномоченный орган о начале обработки данных — в отличие от ряда других юрисдикций. Однако при трансграничной передаче данных в страны, не включённые в перечень государств с адекватной защитой, оператор обязан обеспечить соответствующие гарантии и, в ряде случаев, получить согласие субъекта. Уполномоченный орган вправе проводить проверки и запрашивать документацию, поэтому наличие внутренней политики обработки данных и договорной базы с контрагентами является обязательным условием.
5. Можно ли передавать данные сотрудников в зарубежную штаб-квартиру?
Передача данных сотрудников в зарубежную штаб-квартиру допустима при соблюдении условий казахстанского законодательства. Если страна расположения штаб-квартиры входит в перечень государств с адекватной защитой — достаточно общих требований к обработке данных. Если не входит — необходимо либо заключить соглашение об обработке данных с надлежащими гарантиями, либо получить согласие каждого сотрудника. На практике для внутригрупповой передачи используются внутрикорпоративные соглашения (intragroup data transfer agreements), которые фиксируют обязательства всех участников группы по защите данных.
6. Что такое «адекватная защита» применительно к трансграничной передаче?
Адекватная защита персональных данных — это уровень правовой и организационной защиты в стране-получателе, признанный достаточным уполномоченным органом Казахстана. Оценка включает наличие специального законодательства о персональных данных, независимого надзорного органа, механизмов правовой защиты субъектов и международных обязательств страны в сфере защиты данных. Перечень таких стран публикуется уполномоченным органом и периодически обновляется. Передача данных в страну из перечня не требует дополнительных договорных гарантий сверх общих требований к обработке.
7. Как оформить согласие на трансграничную передачу данных?
Согласие на трансграничную передачу персональных данных должно быть добровольным, конкретным, информированным и однозначным. В тексте согласия необходимо указать: страну или конкретного получателя данных, цель передачи, категории передаваемых данных, а также право субъекта отозвать согласие. Согласие, встроенное в общие условия договора без возможности отказа, может быть признано недобровольным. Для клиентских данных согласие, как правило, оформляется в политике конфиденциальности с активным подтверждением; для данных сотрудников — отдельным документом.
8. Распространяется ли требование локализации на все категории данных?
Требование локализации по казахстанскому законодательству распространяется на персональные данные граждан Казахстана, собираемые и обрабатываемые операторами. Это означает, что основная база данных должна храниться на серверах, физически расположенных в Казахстане. Требование применяется независимо от того, является ли оператор казахстанским юридическим лицом или иностранной компанией, работающей с казахстанскими субъектами. Для обезличенных данных, из которых невозможно идентифицировать конкретного человека, требование локализации, как правило, не применяется.
9. Что проверяет уполномоченный орган при проверке оператора?
При проверке оператора персональных данных уполномоченный орган, как правило, запрашивает внутреннюю политику обработки персональных данных, реестр операций обработки, договоры с третьими лицами, которым передаются данные, шаблоны согласий субъектов и документацию по инцидентам безопасности. Для трансграничной передачи дополнительно проверяются основания передачи: наличие страны в перечне «безопасных» или договорные гарантии. Отсутствие документации само по себе является нарушением — даже если фактическая обработка данных ведётся правомерно.
10. Нужно ли согласие на передачу данных в рамках ЕАЭС?
Передача персональных данных между государствами — членами ЕАЭС регулируется как национальным законодательством каждой страны, так и международными соглашениями в рамках Союза. Казахстанское законодательство применяется к данным казахстанских субъектов вне зависимости от того, куда они передаются. Если страна-получатель входит в перечень государств с адекватной защитой, дополнительного согласия не требуется. Если не входит — необходимы договорные гарантии или согласие субъекта. Вопросы трансграничной передачи в рамках ЕАЭС рекомендуется анализировать с учётом актуального перечня «безопасных» стран.
Выводы
Трансграничная передача персональных данных из Казахстана — это не технический вопрос IT-департамента, а правовое обязательство оператора, за нарушение которого несёт ответственность в том числе топ-менеджер лично. Два ключевых условия правомерной передачи — адекватная защита в стране-получателе или надлежащее согласие субъекта — требуют системного подхода: инвентаризации потоков данных, проверки актуального перечня «безопасных» стран и договорной базы с провайдерами. Требование локализации существует параллельно с нормами о трансграничной передаче и не отменяет их. Подробнее о смежных вопросах — в аналитическом разделе и материале о кадровых вопросах в Казахстане.
Актуально на: 29 сентября 2026 года.
Если ситуация требует внимания — мы поможем разобраться.
Смежные направления
Направление практики
Персональные данные и IT-право — соответствие Закону о персональных данных, трансграничная передача, аудит обработки и IT-договоры.