Локализация персональных данных в Казахстане

Коротко

Закон требует хранить персональные данные «в базе и (или) цифровом объекте, которые находятся на территории Республики Казахстан» (ст. 12 п. 2). В таком виде норма действует с 25 августа 2026 года. Подзаконные правила добавляют конкретику. Электронные данные хранятся в серверном помещении или центре обработки данных в Казахстане. Данные ограниченного доступа ещё и собираются и обрабатываются через цифровые объекты в Казахстане (Правила, п. 16, п. 18).

Требование о локализации не запрещает передавать данные за рубеж. Передача регулируется отдельно (ст. 16), и, судя по тексту закона, оба требования нужно выполнять одновременно.

Что говорит закон

«Хранение персональных данных осуществляется собственником и (или) оператором, а также третьим лицом в базе и (или) цифровом объекте, которые находятся на территории Республики Казахстан». — Закон № 94-V, ст. 12 п. 2

Норма адресована собственнику, оператору и третьему лицу (ст. 1 пп. 9, 10, 17). Порогов по объёму данных или размеру компании в ней нет. Речь идёт обо всех персональных данных, а не только о данных ограниченного доступа.

Из сферы действия закона выведены обработка для личных и семейных нужд, архивы (с оговорками), государственные секреты и оперативно-розыскная, разведывательная и контрразведывательная деятельность (ст. 3 п. 3). В самой ст. 12 исключений нет.

Что изменилось в 2026 году

Требование о хранении в базе на территории Казахстана действует с 2016 года (по сноске к ст. 12: Закон № 419-V от 24.11.2015). В 2026 году его формулировку изменили. Закон № 326-VIII заменил слова «в базе, находящейся» на «в базе и (или) цифровом объекте, которые находятся» (ст. 1 п. 37 пп. 9). Закон опубликован 25.06.2026 и вводится в действие через 60 календарных дней (ст. 2). По расчёту это 25.08.2026.

Почему это важно, видно из определений. В действующей редакции «база» означает упорядоченные данные на бумажном носителе (ст. 1 пп. 8). Для электронных данных введено понятие «цифровой объект, содержащий персональные данные» (ст. 1 пп. 10-1). Оно опирается на определение цифрового объекта в Цифровом кодексе. К цифровым объектам там отнесены, в частности, цифровые ресурсы, программное обеспечение, цифровые системы, платформы и объекты цифровой инфраструктуры (ст. 20).

Интерпретация. Если бы в ст. 12 осталось только слово «база», можно было бы спорить, распространяется ли локализация на электронные данные вообще. Добавление «цифрового объекта» этот спор, по-видимому, закрывает: требование прямо охватывает электронные системы, включая облачные.

Что добавляют подзаконные акты

Правила осуществления мер по защите персональных данных в 2026 году менялись дважды: редакция приказа № 338/НҚ действовала с 12.07.2026, а с 21.09.2026 Правила изложены заново приказом № 534/НҚ (дата получена расчётом от опубликования 10.09.2026). Нумерация пунктов при этом изменилась. В действующей редакции три требования, связанные с местом обработки (Правила):

1. Хранение. Данные в цифровых ресурсах хранятся в базе и (или) цифровом объекте, которые находятся в серверном помещении или центре обработки данных на территории Казахстана (п. 18).
2. Сбор и обработка данных ограниченного доступа. Только через цифровые объекты, размещённые в Казахстане (п. 16).
3. Криптография. Данные ограниченного доступа хранятся и передаются с использованием СКЗИ не ниже 3-го уровня по СТ РК 1073-2007. На трансграничную передачу по ст. 16 это требование не распространяется (п. 15 пп. 9).

Хранение данных в базе на территории Казахстана вынесено в отдельный пункт проверочного листа (п. 6), то есть его проверяют при проверках. Лист утверждён в 2024 году и использует прежнюю терминологию.

С 25.08.2026 к этому добавилось уведомление о начале обработки (ст. 10-1). Его подают крупные операторы: от 500 тыс. уникальных субъектов. Оператор, обрабатывающий данные ограниченного доступа, переходит на категорию выше (ст. 25-1). В уведомлении указываются место нахождения базы и (или) цифрового объекта и есть ли трансграничная передача (п. 3 пп. 5, 8).

Интерпретация. Через уведомление регулятор будет знать о месте хранения данных крупных операторов ещё до проверки. Расхождение между уведомлением и реальной архитектурой систем выглядит самостоятельным риском.

Сравнение с GDPR

Вопрос	Казахстан	GDPR
Общее требование хранить данные в определённой стране	Есть (ст. 12 п. 2)	Нет; внутри ЕС данные перемещаются свободно (Art. 1(3))
Вывоз данных	Отдельно по ст. 16, вдобавок к локализации	Глава V (Art. 44–49)
Требования к месту размещения инфраструктуры	Серверное помещение или ЦОД в Казахстане (Правила, п. 18)	Нет
Можно ли закрыть вопрос договором	Нет: требование касается физического места хранения	Для передач можно, например через SCC

Интерпретация. GDPR регулирует, куда и на каких условиях данные уходят. Казахстанское право вдобавок определяет, где данные должны находиться. Поэтому соответствие GDPR само по себе не означает соответствия ст. 12: компания, хранящая данные только в европейском облаке, формально не выполняет требование о локализации.

Открытые вопросы

Открытый вопрос: основная копия или единственное место хранения? В ст. 12 нет слова «только». В статье SOLIS Partners упоминается письмо Комитета по информационной безопасности от 06.05.2024. По изложению авторов статьи, письмо допускает параллельное хранение за рубежом, если казахстанская база основная и актуальная. Сам текст письма найти не удалось, поэтому его содержание известно только в этом пересказе.

Открытый вопрос: иностранные компании без присутствия в Казахстане. Отдельной нормы о территориальном действии закон не содержит (ст. 3). Распространяется ли ст. 12 на зарубежный онлайн-сервис, собирающий данные жителей Казахстана, из текста однозначно не следует.

Открытый вопрос: удалённый доступ. Если база в Казахстане, а работают с ней из-за рубежа, требование о хранении выполнено. Является ли сам доступ трансграничной передачей? Ст. 16 п. 1 говорит о передаче «на территорию иностранных государств». Ответа в норме нет.

Открытый вопрос: ответственность. Отдельного состава за нарушение локализации в КоАП нет. Подходят ст. 79 ч. 1 (незаконные сбор и обработка, от 30 до 200 МРП) или ч. 3 (несоблюдение мер защиты, от 150 до 600 МРП; при утере или незаконной обработке применяется ч. 4, до 2000 МРП). Как нарушения квалифицируют на практике, ещё предстоит изучить (КоАП, ст. 79).

Что ещё изучить

• Текст письма КИБ от 06.05.2024 или иные разъяснения регулятора по локализации.
• Судебную и административную практику по ст. 79 КоАП в части локализации.
• Отраслевые требования: банки, связь, здравоохранение, государственные органы.
• Обновлялся ли проверочный лист после поправок 2026 года.