Трансграничная передача персональных данных

Коротко

Трансграничной передачей называется передача персональных данных на территорию иностранных государств (ст. 16 п. 1). Закон делит страны на две группы. В страны, «обеспечивающие защиту персональных данных», передавать можно (ст. 16 п. 2). В остальные можно передавать только при одном из оснований, прежде всего при согласии субъекта (ст. 16 п. 3). Отдельно закон говорит, что трансграничная передача, «за исключением случаев, предусмотренных статьёй 16», осуществляется при условии согласия субъекта (ст. 7 п. 6).

Официального перечня стран, обеспечивающих защиту, в законе и подзаконных актах найти не удалось. Поэтому на практике главным основанием остаётся согласие.

Что говорит закон

Статья 16 устроена так:

1. Определение: передача на территорию иностранных государств (ст. 16 п. 1).
2. Страны, обеспечивающие защиту: передача допускается (ст. 16 п. 2).
3. Остальные страны: передача возможна при согласии субъекта или законного представителя; в случаях, предусмотренных ратифицированными международными договорами; в случаях, предусмотренных законами, если это необходимо для защиты конституционного строя, общественного порядка, прав и свобод, здоровья и нравственности населения; для защиты конституционных прав и свобод, если получить согласие невозможно (ст. 16 п. 3).
4. Запреты и ограничения могут устанавливаться законами (ст. 16 п. 4).
5. Служебная информация об абонентах связи регулируется Законом «О связи» (ст. 16 п. 5).

Рядом с этим работают нормы о согласии. В согласии должны быть сведения о наличии или отсутствии трансграничной передачи (ст. 8 п. 4 пп. 5). Субъект вправе отозвать согласие, в том числе на трансграничную передачу (ст. 24 п. 1 пп. 5). Правила сбора и обработки дословно повторяют ст. 7 п. 6 (п. 4-5). С 25.08.2026 сведения о трансграничной передаче включаются и в уведомление регулятору о начале обработки (ст. 10-1 п. 3 пп. 5).

Интерпретация. Формулировку ст. 7 п. 6 можно прочитать двумя способами. Первый: согласие нужно на любую трансграничную передачу, кроме случаев ст. 16 п. 3 пп. 2–4, где закон сам даёт основание без согласия. Второй: передача в страны, обеспечивающие защиту (ст. 16 п. 2), тоже подпадает под «случай, предусмотренный статьёй 16», и согласие для неё не требуется. Второе прочтение ближе к логике разделения стран на две группы, а первое осторожнее. Пока нет перечня стран, разница во многом теоретическая.

Нет перечня «безопасных» стран

Закон не говорит, кто и по каким критериям определяет страны, обеспечивающие защиту. Среди полномочий уполномоченного органа (ст. 27-1) утверждение такого перечня не названо.

Привычным внешним ориентиром служит участие государства в Конвенции Совета Европы № 108. Казахстан сам в ней не участвует: по таблице ратификаций на 18.10.2026 его в списке нет. Поэтому и опереться на Конвенцию как на общий для сторон стандарт нельзя.

Интерпретация. Без перечня компания сама решает, считать ли страну получателя «обеспечивающей защиту», и несёт риск ошибки. Отсюда распространённая практика: получать согласие на трансграничную передачу всегда, даже если страна, по мнению компании, защиту обеспечивает.

Отраслевые запреты

Пример ограничения по ст. 16 п. 4 касается служебной информации об абонентах связи. Операторы связи хранят её в Казахстане; передавать её за пределы страны запрещено, кроме случаев оказания услуг абонентам из Казахстана, находящимся за рубежом (Закон «О связи», ст. 15). С 25.08.2026 закон перечисляет, что это за информация: номера, идентификаторы устройств, ИИН или БИН абонента, биллинг, местоположение устройства, адреса в сети передачи данных и др. (ст. 23-1).

Для данных ограниченного доступа есть техническое правило: при хранении и передаче нужны средства криптографической защиты не ниже 3-го уровня по СТ РК 1073-2007, но это требование не распространяется на трансграничную передачу по ст. 16 (Правила мер защиты, п. 15 пп. 9).

Связь с локализацией

Передача за рубеж не отменяет требования хранить данные в Казахстане (ст. 12 п. 2). Это два параллельных режима: данные должны храниться в базе или цифровом объекте в Казахстане, а их отправка за рубеж оценивается отдельно по ст. 16. Подробнее см. в заметке «Локализация персональных данных в Казахстане».

Сравнение с GDPR

Вопрос	Казахстан	GDPR
Что считается передачей	Передача на территорию иностранных государств (ст. 16 п. 1)	Раскрытие данных импортёру в третьей стране; критерии даны в Guidelines 05/2021
Страны с достаточной защитой	Понятие есть, перечня и процедуры нет	Решения Еврокомиссии о достаточности (Art. 45)
Договорные механизмы	Не предусмотрены	Стандартные договорные условия, обязательные корпоративные правила (Art. 46–47)
Согласие	Основной практический инструмент	Лишь исключение для отдельных случаев, согласие должно быть явным (Art. 49)
Хранение внутри страны	Обязательно (ст. 12)	Не требуется

Интерпретация. В GDPR согласие служит запасным путем, а в основе лежат оценка уровня защиты и договорные гарантии. В Казахстане наоборот: при отсутствии перечня стран и договорных механизмов согласие становится главным основанием. Для компании, привыкшей к SCC, это означает дополнительную работу с текстами согласий.

Открытые вопросы

Открытый вопрос: кто определяет страны, обеспечивающие защиту? Ни закон, ни подзаконные акты не называют органа и критериев. Найти официальные разъяснения регулятора по этому вопросу пока не удалось.

Открытый вопрос: удалённый доступ. Если данные хранятся в Казахстане, а сотрудник или подрядчик просматривает их из-за рубежа, происходит ли «передача на территорию иностранного государства»? Определение в ст. 16 п. 1 ответа не даёт.

Открытый вопрос: облачные и ИИ-сервисы. Отправка запроса с персональными данными зарубежному API выглядит как трансграничная передача, даже если основная база в Казахстане. Такую позицию высказывают и практики (например, статья SOLIS Partners), но официальных разъяснений нет.

Открытый вопрос: отзыв согласия. Субъект может отозвать согласие на трансграничную передачу (ст. 24 п. 1 пп. 5). Что делать с данными, уже переданными за рубеж, закон прямо не говорит.

Что ещё изучить

• Разъяснения уполномоченного органа о странах, обеспечивающих защиту, и о форме согласия на трансграничную передачу.
• Международные договоры Казахстана, предусматривающие передачу персональных данных (ст. 16 п. 3 пп. 2), например в рамках ЕАЭС и СНГ.
• Отраслевые ограничения: банковская тайна, медицинские данные.
• Практику проверок и привлечения к ответственности за трансграничную передачу без согласия.