Трансграничная передача персональных данных из Казахстана
Трансграничная передача персональных данных из Казахстана допустима, но требует выполнения ряда условий: локализации базы данных на территории РК, наличия согласия субъекта или подтверждённого адекватного уровня защиты в стране-получателе. Собственник бизнеса, использующий зарубежные CRM-системы, облачные сервисы или передающий кадровые данные в иностранный головной офис, несёт прямую ответственность за соблюдение этих требований по казахстанскому законодательству.
Ваш бизнес использует зарубежные облачные сервисы или передаёт данные клиентов за рубеж? Проверить обработку персональных данных · info@vetrovkz.com
Что такое трансграничная передача данных по казахстанскому праву?
Трансграничная передача персональных данных — это любое действие, в результате которого персональные данные субъектов, собранные на территории Казахстана, становятся доступны лицам или системам, находящимся за пределами РК. Закон о персональных данных и их защите регулирует этот процесс отдельно от общих правил обработки данных.
На практике трансграничная передача возникает чаще, чем собственник бизнеса осознаёт. Использование Google Workspace, Salesforce, SAP, 1С в облаке, Slack, Zoom, зарубежных HR-платформ — каждый из этих инструментов потенциально означает передачу персональных данных сотрудников и клиентов за рубеж. Отправка резюме кандидата в иностранный головной офис, синхронизация клиентской базы с зарубежным сервером — всё это подпадает под регулирование.
Ключевое разграничение: передача данных иностранному лицу, находящемуся на территории Казахстана, трансграничной не является. Передача казахстанскому юрлицу, но на сервер за рубежом — является. Критерий — физическое местонахождение получателя или сервера хранения, а не его юрисдикция регистрации.
- Облачные SaaS-сервисы с серверами за рубежом
- Передача данных в иностранный головной офис или материнскую компанию
- Использование зарубежных платёжных процессоров и маркетинговых платформ
- Аутсорсинг HR, бухгалтерии, IT-поддержки иностранным подрядчикам
- Резервное копирование данных на зарубежные серверы
Если ваши данные передаются в страну, не входящую в перечень адекватной защиты, — необходима дополнительная правовая основа.
Проверить обработку персональных данныхТребование локализации: что должно оставаться в Казахстане?
Казахстанское законодательство устанавливает обязательное требование локализации: первичный сбор и хранение персональных данных граждан РК должны осуществляться на базах данных, физически расположенных на территории Республики Казахстан. Это требование является предварительным условием для любой последующей трансграничной передачи.
Требование локализации не означает запрет на использование зарубежных сервисов. Оно означает, что казахстанская копия базы данных должна существовать и обновляться. Иными словами, данные могут одновременно храниться и в Казахстане, и за рубежом — но казахстанское хранилище должно быть первичным и актуальным.
На практике это создаёт операционную сложность для компаний, использующих глобальные платформы. Если CRM-система компании полностью размещена на зарубежных серверах без казахстанского зеркала — это нарушение, даже если данные защищены технически. Уполномоченный орган по защите персональных данных в Казахстане — Министерство цифрового развития, инноваций и аэрокосмической промышленности РК — вправе проводить проверки и выносить предписания об устранении нарушений.
Исключения из требования локализации предусмотрены для ряда случаев: обработка данных в рамках международных договоров, ратифицированных Казахстаном, а также случаи, когда субъект данных сам инициировал передачу. Однако эти исключения узкие и не покрывают стандартные бизнес-операции.
Какие страны считаются безопасными для передачи данных из Казахстана?
Передача персональных данных в страну с адекватным уровнем защиты — наиболее простой правовой механизм трансграничной передачи, не требующий отдельного согласия субъекта. Уполномоченный орган РК ведёт перечень государств, обеспечивающих такой уровень защиты.
Критерии адекватности включают наличие специального законодательства о персональных данных, независимого надзорного органа, механизмов правовой защиты субъектов и международных обязательств в сфере защиты данных. Страны — члены Совета Европы, подписавшие Конвенцию о защите физических лиц при автоматизированной обработке персональных данных (Конвенция 108), как правило, признаются имеющими адекватный уровень защиты.
Для собственника бизнеса практически важно следующее: перед передачей данных в конкретную страну необходимо проверить актуальный перечень на сайте уполномоченного органа. Перечень периодически обновляется. Передача в страну, не включённую в перечень, требует либо согласия субъекта, либо применения договорных механизмов защиты.
Согласие субъекта: когда оно необходимо и как его получить?
Согласие субъекта персональных данных на трансграничную передачу — основной инструмент легализации передачи в страны без адекватного уровня защиты. Однако согласие, полученное с нарушением требований, не имеет правовой силы.
Казахстанское законодательство предъявляет к согласию несколько обязательных требований. Оно должно быть добровольным — субъект не должен испытывать давления или негативных последствий за отказ. Оно должно быть информированным — субъект должен понимать, кому, в какую страну и с какой целью передаются его данные. Оно должно быть конкретным — общее согласие «на обработку данных» без указания трансграничной передачи недостаточно.
Особую сложность представляет получение согласия от сотрудников. Трудовые отношения создают дисбаланс власти: работник, опасающийся последствий, может дать согласие под давлением. По этой причине согласие сотрудника на трансграничную передачу его данных в иностранный головной офис юридически уязвимо — и при проверке может быть признано недействительным. Более надёжная конструкция — включение условий передачи в трудовой договор с чётким описанием целей и получателей.
- Согласие должно быть получено до начала передачи данных
- Субъект вправе отозвать согласие в любой момент
- Отзыв согласия не влечёт ответственности субъекта
- Форма согласия — письменная или электронная с подтверждением
Договорные механизмы: как оформить передачу данных без согласия?
Когда получение согласия затруднено или ненадёжно, казахстанское законодательство допускает передачу данных на основании договора между оператором и получателем, содержащего обязательства по защите данных. Этот механизм аналогичен стандартным договорным положениям (Standard Contractual Clauses), применяемым в европейской практике.
Договор с иностранным получателем данных должен содержать: перечень передаваемых категорий данных, цели обработки, обязательства получателя по обеспечению конфиденциальности и безопасности, запрет на дальнейшую передачу третьим лицам без согласования, механизм уведомления об инцидентах и порядок уничтожения данных по истечении срока обработки.
На практике многие международные SaaS-провайдеры предлагают стандартные Data Processing Agreements (DPA). Однако такое соглашение, составленное по европейским стандартам GDPR, не всегда автоматически соответствует казахстанским требованиям. Необходима проверка на соответствие Закону о персональных данных и их защите — в частности, в части требований к локализации и уведомлению уполномоченного органа.
Что грозит за нарушение правил трансграничной передачи?
Нарушение требований к трансграничной передаче персональных данных влечёт административную ответственность по казахстанскому законодательству. Уполномоченный орган вправе проводить плановые и внеплановые проверки операторов персональных данных, выносить предписания об устранении нарушений и привлекать к ответственности.
Административные санкции применяются как к юридическому лицу, так и к должностному лицу — руководителю или ответственному за обработку данных. Для собственника бизнеса это означает личную ответственность, а не только корпоративную. Повторные нарушения влекут более строгие санкции.
Помимо административной ответственности, нарушение может повлечь гражданско-правовые последствия: субъект данных вправе требовать возмещения вреда, причинённого незаконной обработкой его данных. В случае утечки данных в результате ненадлежащей трансграничной передачи риски существенно возрастают — как репутационные, так и финансовые.
Отдельный риск — уголовная ответственность при наличии умысла и крупного ущерба. Уголовный кодекс РК предусматривает ответственность за незаконный сбор и распространение сведений, составляющих личную или семейную тайну. Если переданные за рубеж данные содержали специальные категории (здоровье, биометрия) и это повлекло существенный вред субъекту — уголовно-правовая квалификация не исключена.
Практические рекомендации для собственника бизнеса
Управление рисками трансграничной передачи данных начинается с инвентаризации: собственник должен знать, какие данные, кому и в какие страны передаёт его компания. Без этого базового понимания любые правовые меры будут неполными.
По нашему опыту, большинство нарушений в этой сфере — не умышленные, а операционные: компания просто не осознавала, что использование того или иного сервиса означает трансграничную передачу данных. Регулярный аудит IT-инфраструктуры и договорной базы позволяет выявить такие ситуации до проверки уполномоченного органа.
- Составьте реестр всех зарубежных сервисов, получающих данные субъектов из Казахстана
- Проверьте наличие казахстанской локализации данных для каждого сервиса
- Убедитесь, что страна-получатель входит в перечень адекватной защиты или заключён надлежащий договор
- Пересмотрите формы согласия — они должны явно упоминать трансграничную передачу
- Назначьте ответственного за защиту персональных данных внутри компании
Подробнее о смежных вопросах — в материале об актуальных изменениях в регулировании персональных данных в Казахстане. Вопросы видеонаблюдения и обработки данных сотрудников рассмотрены в статье о видеонаблюдении в офисе по казахстанскому праву. Общий обзор практики доступен в разделе Аналитика.
Частые вопросы
1. Можно ли хранить персональные данные казахстанцев за границей?
Казахстанское законодательство требует первичного сбора и хранения персональных данных граждан РК на серверах, расположенных на территории Казахстана. Передача данных за рубеж допустима после выполнения этого требования — при наличии согласия субъекта или при передаче в страну с адекватным уровнем защиты. Использование исключительно зарубежных серверов без казахстанской копии базы данных нарушает требование локализации и влечёт административную ответственность.
2. Как долго можно хранить персональные данные?
Закон о персональных данных и их защите не устанавливает единый срок хранения — он определяется целью обработки. Данные должны уничтожаться или обезличиваться сразу после достижения цели, для которой собирались. Для кадровых данных ориентиром служат сроки хранения документов по Трудовому кодексу РК. Для клиентских баз — срок действия договора плюс период исковой давности. Хранение данных дольше необходимого без правового основания — самостоятельное нарушение.
3. Нужно ли согласие на обработку данных сотрудников?
Обработка персональных данных сотрудников в рамках трудовых отношений допускается без отдельного согласия, если она необходима для исполнения трудового договора. Однако передача данных сотрудников третьим лицам — кадровым агентствам, аутсорсинговым компаниям, иностранным головным офисам — требует либо согласия работника, либо иного законного основания. Трансграничная передача кадровых данных в страны без адекватной защиты без согласия сотрудника является нарушением.
4. Что такое чувствительные персональные данные?
Казахстанское законодательство выделяет особую категорию — специальные персональные данные, обработка которых требует повышенной защиты. К ним относятся сведения о расовой и национальной принадлежности, политических взглядах, религиозных убеждениях, состоянии здоровья, судимостях, а также биометрические данные. Трансграничная передача специальных данных требует явного согласия субъекта и, как правило, дополнительных технических мер защиты. Обработка без согласия допустима лишь в строго ограниченных случаях, предусмотренных законом.
5. Нужно ли уведомлять уполномоченный орган о трансграничной передаче?
Казахстанское законодательство предусматривает обязанность оператора уведомить уполномоченный орган о намерении осуществить трансграничную передачу персональных данных. Уведомление подаётся до начала передачи. Порядок и форма уведомления определяются уполномоченным органом — Министерством цифрового развития, инноваций и аэрокосмической промышленности РК. Отсутствие уведомления при фактической передаче данных является самостоятельным основанием для привлечения к ответственности, даже если сама передача осуществлена правомерно.
6. Распространяются ли требования на иностранные компании, работающие в Казахстане?
Да. Закон о персональных данных и их защите применяется к любому оператору, осуществляющему обработку персональных данных на территории Казахстана, — вне зависимости от страны регистрации компании. Иностранная компания, имеющая представительство или филиал в Казахстане, либо оказывающая услуги казахстанским субъектам данных, обязана соблюдать казахстанское законодательство о персональных данных в полном объёме, включая требования к трансграничной передаче и локализации.
7. Что происходит при утечке данных, переданных за рубеж?
При утечке персональных данных, переданных иностранному получателю, казахстанский оператор несёт ответственность перед субъектами данных и уполномоченным органом РК. Факт того, что утечка произошла на стороне иностранного получателя, не освобождает оператора от ответственности — он обязан был обеспечить надлежащий уровень защиты при выборе получателя и заключении договора. Оператор обязан уведомить уполномоченный орган об инциденте в установленные сроки и принять меры по минимизации последствий.
8. Применяется ли GDPR к казахстанским компаниям?
GDPR — европейский регламент — применяется к казахстанским компаниям, если они обрабатывают данные резидентов ЕС: предлагают им товары или услуги либо отслеживают их поведение. Если казахстанская компания работает с европейскими клиентами или сотрудниками, она обязана соблюдать и GDPR, и казахстанский Закон о персональных данных одновременно. Требования двух режимов в целом совместимы, но имеют различия — в частности, в части сроков уведомления об инцидентах и оснований обработки.
9. Как оформить передачу данных в иностранный головной офис?
Передача персональных данных сотрудников и клиентов в иностранную материнскую компанию требует правового основания. Оптимальный вариант — заключение внутригруппового соглашения о передаче данных (Intragroup Data Transfer Agreement), содержащего перечень категорий данных, цели обработки, обязательства по защите и механизм уведомления об инцидентах. Дополнительно необходимо уведомить уполномоченный орган РК и убедиться, что страна головного офиса входит в перечень адекватной защиты или соглашение компенсирует её отсутствие.
10. Что такое оператор персональных данных по казахстанскому праву?
Оператор персональных данных — это физическое или юридическое лицо, государственный орган, самостоятельно или совместно с другими лицами организующие и осуществляющие обработку персональных данных. Большинство компаний, имеющих базы клиентов, сотрудников или контрагентов, являются операторами по казахстанскому праву. Оператор несёт полную ответственность за соблюдение требований законодательства, в том числе при привлечении третьих лиц для обработки данных.
Выводы
Трансграничная передача персональных данных из Казахстана — не технический, а правовой вопрос, требующий системного подхода. Три ключевых вывода для собственника: первое — локализация данных на казахстанских серверах обязательна до любой передачи за рубеж; второе — передача в страну без адекватного уровня защиты требует либо надлежащего согласия субъекта, либо договора с получателем, содержащего обязательства по защите данных; третье — использование стандартных DPA от зарубежных провайдеров не гарантирует соответствия казахстанским требованиям без дополнительной проверки.
Актуально на: 6 октября 2026 года.
Если ситуация требует внимания — мы поможем разобраться.
Смежные направления
Направление практики
Персональные данные и IT-право — соответствие Закону о персональных данных, трансграничная передача, аудит обработки и IT-договоры.