Условия передачи персональных данных за рубеж.
Нажмите на вопрос, чтобы увидеть краткий ответ. Подробный разбор с нормами — в заметке ниже.
Официального перечня нет: ни закон, ни подзаконные акты не говорят, кто и по каким критериям определяет такие страны. Поэтому на практике компании обычно получают согласие на трансграничную передачу во всех случаях.
Подробнее — в заметке «Трансграничная передача персональных данных»
Прежде всего с согласия человека. Без согласия можно передавать, если передачу предусматривает ратифицированный международный договор или закон (для защиты конституционного строя, общественного порядка, прав, здоровья и нравственности) либо она нужна для защиты прав человека, когда получить его согласие невозможно.
Подробнее — в заметке «Трансграничная передача персональных данных»
Закон прямо не отвечает: он говорит о передаче «на территорию иностранных государств». Требование хранить данные в Казахстане при таком доступе выполнено. Осторожный подход: считать доступ из-за рубежа передачей и предусматривать его в согласии.
Подробнее — в заметке «Трансграничная передача персональных данных»
Отправка персональных данных зарубежному сервису (облачному API или ИИ-модели) выглядит как трансграничная передача, даже если основная база в Казахстане. Нужно основание, как правило согласие, и сначала стоит проверить, нужно ли вообще отправлять персональные данные: часто их можно убрать или обезличить до отправки.
Подробнее — в заметке «Трансграничная передача персональных данных»
Заметка
Когда персональные данные можно передавать за рубеж: что говорит ст. 16 Закона, как она соотносится с требованием согласия в ст. 7, какие специальные запреты есть в отраслевых законах и почему без перечня «безопасных» стран остаётся много неясного.
Заметка
Сводная таблица по 20 вопросам: где казахстанское регулирование персональных данных похоже на GDPR, а где принципиально расходится (основания обработки, локализация, трансграничная передача, сроки, ответственное лицо, штрафы). И список того, что компании, уже соответствующей GDPR, нужно сделать дополнительно для Казахстана.
Заметка
Специальный режим Закона «О связи» для данных абонентов: что относится к служебной информации (номера, IMEI, ИИН, биллинг, геолокация, IP-адреса), абсолютный запрет её передачи за рубеж, доступ органов, тайна связи и регистрация абонентских устройств. Поправки 2026 года и пилотный проект до конца 2027 года.
Заметка
Разбор требования хранить персональные данные в Казахстане: что говорит ст. 12 Закона после поправок 2026 года, что добавляют подзаконные правила, чем это отличается от GDPR и какие вопросы остаются открытыми.
Базовый закон. Определяет понятия (ст. 1) и сферу действия (ст. 3). Устанавливает требование хранить данные на территории Казахстана (ст. 12) и условия трансграничной передачи (ст. 16). С 25.08.2026 действуют уведомление о начале обработки (ст. 10-1) и деление операторов на малых, средних и крупных (ст. 25-1).
Открыть:Adilet (откроется в новой вкладке)официальныйzakon.uchet.kz (откроется в новой вкладке)альтернативный источник, неофициальный
● Проверено 26 октября 2026 г.действуетАвтоматизированная обработка и ИИНарушения безопасности и уведомленияСогласиеТрансграничная передачаВиды персональных данныхПрава субъектаУдаление, уничтожение и обезличиваниеПередача третьим лицам и распространениеОтветственностьЛокализацияУведомление и реестр операторовПринципы обработкиОбработка без согласияЦели, объём и сроки храненияУполномоченный орган и государственный контрольОтветственное лицо и внутренние документыСфера действия и основные понятияСвязьМеры защиты
Специальный режим для служебной информации об абонентах (номера, идентификаторы устройств, ИИН/БИН, биллинг, геолокация, IP-адреса и т. п., ст. 23-1). Операторы связи хранят её в Казахстане; передавать её за пределы страны запрещено, кроме обслуживания казахстанских абонентов за рубежом (ст. 15 п. 1 пп. 2). Закон о персональных данных прямо отсылает к этому режиму (ст. 16 п. 5).
Открыть:Adilet (откроется в новой вкладке)официальныйzakon.uchet.kz (откроется в новой вкладке)альтернативный источник, неофициальный
● Проверено 26 октября 2026 г.действуетТрансграничная передачаЛокализацияСвязь
Порядок сбора и обработки, детализирующий закон. Повторяет требование согласия на распространение в общедоступных источниках, передачу третьим лицам и трансграничную передачу (п. 4-5). Устанавливает срок ответа субъекту в три рабочих дня (п. 16), правила обезличивания, по которым оно проводится до распространения и без возможности обратного восстановления (пп. 20–21), блокирование и удаление по требованию субъекта (п. 25).
Открыть:Adilet (откроется в новой вкладке)официальныйzakon.uchet.kz (откроется в новой вкладке)альтернативный источник, неофициальный
● Проверено 26 октября 2026 г.действуетСогласиеТрансграничная передачаПрава субъектаУдаление, уничтожение и обезличиваниеПередача третьим лицам и распространениеЦели, объём и сроки хранения
Используется для сравнения. Общего требования о локализации в GDPR нет: внутри ЕС данные перемещаются свободно (Art. 1(3)), а вывоз за пределы ЕЭЗ регулируется главой V: условия передачи — Art. 44–49.
Открыть:EUR-Lex (откроется в новой вкладке)официальный
● Проверено 26 октября 2026 г.действуетТрансграничная передачаКазахстан и GDPRЛокализация
Единственный обязательный международный договор о защите персональных данных; открыт и для государств вне Совета Европы. По таблице ратификаций на 18.10.2026 Казахстан участником не является. Это важно для трансграничной передачи: участие в Конвенции часто используют как ориентир «адекватной» защиты.
Что считается «передачей» по главе V GDPR: критерии (экспортёр, импортёр в третьей стране, раскрытие или предоставление доступа). Помогает сформулировать тот же вопрос для Казахстана, где понятие передачи определено лишь через территорию.
Открыть:edpb.europa.eu (откроется в новой вкладке)
Не проверено по первоисточникуТрансграничная передачаКазахстан и GDPR
Практический разбор локализации после поправок 2026 года. Автор разграничивает хранение (ст. 12) и передачу (ст. 16). По его мнению, параллельное хранение за рубежом допустимо, если основная и актуальная база находится в Казахстане. Он ссылается на письмо Комитета по информационной безопасности от 06.05.2024. Отдельно разобраны вызовы зарубежных ИИ-моделей.