Требование хранить персональные данные на территории Казахстана и связанные технические требования.
Нажмите на вопрос, чтобы увидеть краткий ответ. Подробный разбор с нормами — в заметке ниже.
Закон требует хранить персональные данные в базе или цифровой системе на территории Казахстана; это касается всех персональных данных и любых компаний. Слова «только» в законе нет, поэтому спорно, можно ли параллельно держать копию за рубежом. По пересказу юрфирмы, регулятор в 2024 году допускал это, если основная и актуальная база находится в Казахстане, но сам текст разъяснения не опубликован.
Подробнее — в заметке «Локализация персональных данных в Казахстане»
Данные должны храниться на серверах в Казахстане, в серверном помещении или дата-центре. Если сервис хранит данные только за рубежом, требование не выполняется; нужна казахстанская база или казахстанская площадка провайдера. Отправку данных в зарубежный сервис дополнительно оценивают как трансграничную передачу.
Подробнее — в заметке «Локализация персональных данных в Казахстане»
Закон прямо не отвечает. Для компаний, которые работают в Казахстане, требование действует. Распространяется ли оно на зарубежный онлайн-сервис без присутствия в стране, остаётся открытым вопросом.
Подробнее — в заметке «Локализация персональных данных в Казахстане»
Отдельного состава нет. Нарушение, вероятно, будут квалифицировать по общей статье о персональных данных как незаконную обработку или несоблюдение мер защиты: штрафы от 30 до 600 МРП, а если данные утеряны или незаконно обработаны, то до 2000 МРП.
Подробнее — в заметке «Локализация персональных данных в Казахстане»
Заметка
Когда персональные данные можно передавать за рубеж: что говорит ст. 16 Закона, как она соотносится с требованием согласия в ст. 7, какие специальные запреты есть в отраслевых законах и почему без перечня «безопасных» стран остаётся много неясного.
Заметка
Сводная таблица по 20 вопросам: где казахстанское регулирование персональных данных похоже на GDPR, а где принципиально расходится (основания обработки, локализация, трансграничная передача, сроки, ответственное лицо, штрафы). И список того, что компании, уже соответствующей GDPR, нужно сделать дополнительно для Казахстана.
Заметка
Особый режим персональных медицинских данных по Кодексу о здоровье: тайна медицинского работника и случаи её раскрытия, электронный паспорт здоровья, кто и когда получает доступ к данным пациента, правила Минздрава о согласии, уведомлении пациента и хранении данных в Казахстане.
Заметка
Специальный режим Закона «О связи» для данных абонентов: что относится к служебной информации (номера, IMEI, ИИН, биллинг, геолокация, IP-адреса), абсолютный запрет её передачи за рубеж, доступ органов, тайна связи и регистрация абонентских устройств. Поправки 2026 года и пилотный проект до конца 2027 года.
Заметка
Разбор требования хранить персональные данные в Казахстане: что говорит ст. 12 Закона после поправок 2026 года, что добавляют подзаконные правила, чем это отличается от GDPR и какие вопросы остаются открытыми.
Базовый закон. Определяет понятия (ст. 1) и сферу действия (ст. 3). Устанавливает требование хранить данные на территории Казахстана (ст. 12) и условия трансграничной передачи (ст. 16). С 25.08.2026 действуют уведомление о начале обработки (ст. 10-1) и деление операторов на малых, средних и крупных (ст. 25-1).
Открыть:Adilet (откроется в новой вкладке)официальныйzakon.uchet.kz (откроется в новой вкладке)альтернативный источник, неофициальный
● Проверено 26 октября 2026 г.действуетАвтоматизированная обработка и ИИНарушения безопасности и уведомленияСогласиеТрансграничная передачаВиды персональных данныхПрава субъектаУдаление, уничтожение и обезличиваниеПередача третьим лицам и распространениеОтветственностьЛокализацияУведомление и реестр операторовПринципы обработкиОбработка без согласияЦели, объём и сроки храненияУполномоченный орган и государственный контрольОтветственное лицо и внутренние документыСфера действия и основные понятияСвязьМеры защиты
Пакет поправок 2026 года. Изменения в Закон о персональных данных собраны в п. 37 ст. 1: «цифровой объект» в норме о локализации, новые ст. 10-1, 23-2, 25-1, удаление и анонимизация данных. Опубликован 25.06.2026, вступает в силу через 60 календарных дней (по расчёту, 25.08.2026); исключения перечислены в ст. 2.
Открыть:Adilet (откроется в новой вкладке)официальныйzakon.uchet.kz (откроется в новой вкладке)альтернативный источник, неофициальный
● Проверено 26 октября 2026 г.действуетНарушения безопасности и уведомленияУдаление, уничтожение и обезличиваниеЛокализацияУведомление и реестр операторов
Специальный режим для служебной информации об абонентах (номера, идентификаторы устройств, ИИН/БИН, биллинг, геолокация, IP-адреса и т. п., ст. 23-1). Операторы связи хранят её в Казахстане; передавать её за пределы страны запрещено, кроме обслуживания казахстанских абонентов за рубежом (ст. 15 п. 1 пп. 2). Закон о персональных данных прямо отсылает к этому режиму (ст. 16 п. 5).
Открыть:Adilet (откроется в новой вкладке)официальныйzakon.uchet.kz (откроется в новой вкладке)альтернативный источник, неофициальный
● Проверено 26 октября 2026 г.действуетТрансграничная передачаЛокализацияСвязь
Главный подзаконный акт о мерах защиты. В редакции сентября 2026 года: уведомление о начале обработки (пп. 3–7), категории операторов и меры защиты для малых, средних и крупных (пп. 8–14), требования к данным ограниченного доступа, включая криптографию по СТ РК 1073-2007 (п. 15), сбор и обработка таких данных через цифровые объекты в Казахстане (п. 16), хранение в серверном помещении или ЦОД в Казахстане (п. 18), ответственное лицо (пп. 19–20), уведомление регулятора о нарушении в течение одного рабочего дня (п. 23).
Открыть:Adilet (откроется в новой вкладке)официальныйzakon.uchet.kz (откроется в новой вкладке)альтернативный источник, неофициальный
● Проверено 26 октября 2026 г.действуетНарушения безопасности и уведомленияВиды персональных данныхЛокализацияУведомление и реестр операторовОтветственное лицо и внутренние документыМеры защиты
33 требования, по которым проверяют собственников и операторов. Полезен как готовый чек-лист соответствия: согласие, цели, локализация (п. 6), трансграничная передача (п. 8), ответственное лицо, журналы, криптография. Формулировки даны до поправок 2026 года.
Открыть:Adilet (откроется в новой вкладке)официальныйzakon.uchet.kz (откроется в новой вкладке)альтернативный источник, неофициальный
● Проверено 26 октября 2026 г.действуетЛокализацияУполномоченный орган и государственный контрольМеры защиты
Используется для сравнения. Общего требования о локализации в GDPR нет: внутри ЕС данные перемещаются свободно (Art. 1(3)), а вывоз за пределы ЕЭЗ регулируется главой V: условия передачи — Art. 44–49.
Открыть:EUR-Lex (откроется в новой вкладке)официальный
● Проверено 26 октября 2026 г.действуетТрансграничная передачаКазахстан и GDPRЛокализация
Практический разбор локализации после поправок 2026 года. Автор разграничивает хранение (ст. 12) и передачу (ст. 16). По его мнению, параллельное хранение за рубежом допустимо, если основная и актуальная база находится в Казахстане. Он ссылается на письмо Комитета по информационной безопасности от 06.05.2024. Отдельно разобраны вызовы зарубежных ИИ-моделей.