Материал будет полезен руководителям, IT- и юридическим службам компаний, работающих в Казахстане, в том числе дочерним компаниям иностранных групп.
Что закон считает трансграничной передачей
Закон определяет трансграничную передачу как передачу персональных данных на территорию иностранных государств (ст. 16 Закона). Такая передача осуществляется при условии, что эти государства обеспечивают защиту персональных данных. Если такой защиты нет, передача возможна только при наличии специальных оснований: в частности, согласия субъекта на передачу его данных в соответствующее государство, международного договора либо в случаях, прямо предусмотренных законами.
Локализация и трансграничная передача: два разных требования
Частая ошибка — считать, что достаточно выполнить одно из требований. Между тем закон предъявляет их параллельно.
Первое требование — хранение. Закон требует, чтобы хранение персональных данных осуществлялось в базе, находящейся на территории Республики Казахстан (ст. 12). Это предполагает первичную локализацию базы в РК.
Второе требование — передача. Даже при выполненной локализации последующая передача данных в иностранное облако, иностранной материнской компании или зарубежному подрядчику оценивается отдельно, по правилам ст. 16 Закона.
Соблюдение локализации не легализует трансграничную передачу, а наличие согласия на передачу не освобождает от локализации.
Что изменилось в 2026 году
Передача — только по защищённым каналам или с шифрованием
Правила осуществления мер по защите персональных данных, обновлённые приказом № 338/НҚ от 22 июня 2026 года (введены в действие 12 июля 2026 года), требуют осуществлять передачу персональных данных третьим лицам и трансграничную передачу исключительно по защищённым каналам связи и (или) с применением шифрования. Ранее действовавшая смягчающая оговорка исключена.
Ограничения Цифрового кодекса
Цифровой кодекс РК № 255-VIII, введённый в действие в июле 2026 года, прямо ограничивает размещение исходных (необработанных) данных, включая персональные, вне территории Республики Казахстан в рамках оборота данных на платформах обмена.
Новое определение персональных данных
Сведения признаются персональными данными, если к ним относится один или несколько идентификаторов (фамилия, имя, отчество в совокупности, индивидуальный идентификационный номер, изображение лица, биометрические векторы и иные). Периметр данных, подпадающих под регулирование, расширился, а вместе с ним — и объём сведений, передача которых за рубеж требует проверки.
Где в облачной архитектуре возникает передача данных
- регион размещения продуктовой (рабочей) среды, а также резервных копий и среды аварийного восстановления — они нередко находятся в разных юрисдикциях;
- субпроцессоры поставщика, то есть компании, которых он привлекает для обработки данных: сам сервис может быть развёрнут на инфраструктуре третьего провайдера;
- техническая поддержка и администрирование, если к данным имеют доступ специалисты из других стран;
- телеметрия, журналы событий и аналитика использования сервиса;
- интеграции: рассылки, чат-боты, коллтрекинг, рекламные кабинеты, BI-системы;
- использование данных заказчика для улучшения сервиса и обучения моделей поставщика — во многих стандартных условиях это предусмотрено по умолчанию, а отказ оформляется отдельной настройкой или доступен только на иных условиях.
Что проверить до подключения сервиса
- категории обрабатываемых данных и наличие среди них данных ограниченного доступа;
- юрисдикции продуктивной среды, резервных копий и среды разработки;
- перечень субпроцессоров;
- кто и из каких стран имеет доступ к данным;
- обеспечены ли защищённые каналы связи и (или) шифрование при передаче;
- используются ли данные для обучения моделей и каким образом это исключается;
- сроки хранения, порядок удаления данных после расторжения договора и порядок уведомления об инцидентах.
Что зафиксировать в договоре с поставщиком
Стандартные публичные оферты иностранных провайдеров ориентированы на другое регулирование и могут не закрывать казахстанские требования. В договоре целесообразно зафиксировать:
- перечень и категории обрабатываемых данных;
- цели обработки и запрет на обработку в иных целях;
- обязательства по конфиденциальности и мерам защиты;
- порядок привлечения субподрядчиков;
- место обработки и хранения данных;
- требования к защищённым каналам и шифрованию;
- сроки хранения и порядок удаления данных.
Срок уведомления об инцидентах
Это условие требует отдельного внимания. Закон отводит собственнику и оператору один рабочий день на уведомление уполномоченного органа о нарушении безопасности персональных данных. Если договор с поставщиком предусматривает уведомление «в разумный срок» или в течение 72 часов, компания не сможет выполнить требование казахстанского законодательства.
Согласие субъекта как основание для передачи
Если данные передаются в государство, не обеспечивающее надлежащий уровень защиты, наиболее практичным основанием остаётся согласие субъекта. Чтобы оно работало, согласие должно быть конкретным: субъект должен понимать, что его данные передаются за пределы Казахстана, в какие государства или каким категориям получателей и с какой целью.
Типичные ошибки
- Оценка «по вывеске» — предположение, что при наличии у сервиса местного юридического лица или локального домена данные не покидают Казахстан.
- Расхождение документов и практики — политика конфиденциальности не упоминает трансграничную передачу, хотя фактически она происходит ежедневно.
- Отсутствие ведения учета передач персональных данных.
Главное
Работа с облачными сервисами не запрещена и не требует отказа от иностранных решений. Требуется другое — понимание маршрута данных и способность его документально подтвердить.
Для компании, которая ведёт реестр используемых сервисов, знает юрисдикции обработки, обеспечила шифрование и учёт передач и собрала корректные согласия, трансграничная передача не создаёт критических рисков. Для остальных вопрос обычно возникает в наименее удобный момент — при проверке, инциденте или due diligence её деятельности.
Как мы можем помочь
Юристы REVERA Казахстан могут помочь с подготовкой договоров и соглашений об обработке данных (DPA) с иностранными провайдерами, мы обновляем политику конфиденциальности и формы согласий субъектов. Кроме того, мы проверяем условия использования сторонних сервисов, в том числе AI-решений, на предмет обучения моделей на данных заказчика, а при проверке уполномоченного органа представляем интересы компании и обжалуем предписания и штрафы.
