Кратко: Как новые требования по локализации данных в Казахстане повлияют на иностранных владельцев бизнеса и SaaS-провайдеров в 2024 году

С октября 2024 года в Казахстане действуют новые правила локализации и хранения персональных данных, обязывающие все компании — включая иностранные и SaaS-провайдеров — хранить персональные данные граждан Казахстана только на серверах, расположенных в стране. Территориальный признак собственника значения не имеет, а за несоблюдение грозят штрафы, блокировки работы и фактическая потеря доступа к рынку.

Важнейшая особенность: Локализация касается не только физического размещения серверов, но и ограничивает трансграничные передачи данных, выбор облачных сервисов и формирует новые обязательства по обработке локально. Модели зарубежных SaaS-сервисов на внешних облаках без выделенной инфраструктуры в РК больше не соответствуют закону с октября 2024 года.

Правовые основы: базы законодательства и ключевые изменения

Базовым нормативным актом Казахстана по локализации данных остается Law of the Republic of Kazakhstan “On Personal Data and Their Protection” No. 94-V ZRK от 21 мая 2013 (с изменениями на 2024 год). Внесённая новая редакция с октября 2024 года ужесточает требования к хранению данных.

Ключевые новшества вступили в силу с октября 2024 года.

Основной регулятор — Ministry of Digital Development, Innovations and Aerospace Industry of the Republic of Kazakhstan (MinDIIAI), которому помогают отраслевые ведомства, в частности Information Security Committee.

Главные законы и регуляторные документы

• Law No. 94-V ZRK с обновлениями 2024 г.
• Подзаконные акты по техническим параметрам хранения и обработки
• Приказы и методические рекомендации MinDIIAI по техническому исполнению и практике контроля

Бизнес-группы и SaaS-провайдеры за пределами Казахстана, но обрабатывающие данные казахстанцев, прямо подпадают под новые правила.

Кого затрагивает режим локализации данных Казахстана?

Любая организация или сервис, касающиеся персональных данных граждан Казахстана, обязаны соблюдать требования к локализации вне зависимости от страны регистрации.

В их числе: дочерние компании, СП с иностранным капиталом, SaaS/PaaS/IaaS провайдеры, e-commerce сервисы, SaaS для HR и зарплатных расчетов. Правила в равной степени относятся к B2B, B2C, государственному и некоммерческому сектору.

Основные категории затрагиваемых компаний: - Международные корпорации с офисами, представительствами или сотрудниками в РК - SaaS, облачные и ИТ-сервисы, обслуживающие казахстанских пользователей - Электронная коммерция и онлайн-платформы, работающие с местными клиентами - Банки, телеком, медицина, финтех, если в распоряжении есть данные о гражданах Казахстана

Основные требования: какие данные подлежат локализации?

Все персональные данные граждан Казахстана, которые собираются или обрабатываются, подлежат хранению на территории страны.

• Персональные данные — любая информация, прямо или косвенно идентифицирующая человека (имя, контакты, удостоверения, биометрия, геолокация, логи использования и пр.).
• Чувствительные данные (медицина, финансы, страхование, геолокация, биометрия) требуют еще более строгой защиты, включая спецтребования к инфраструктуре и процедурам.
• Передача данных за рубеж разрешена только после первичного сбора и обработки внутри Казахстана (принцип «local first»).

Агрегированные, обезличенные и не персональные данные как правило освобождаются от локализации, но если возможна обратная идентификация — правило распространяется и на них.

Что такое «локальное хранение данных»: практический смысл

Локализация означает, что основная база персональных данных должна находиться на сервере внутри Казахстана, а первичный сбор и обработка — происходить в стране.

• Облачное хранение разрешено только через дата-центры внутри РК, аккредитованные у регулятора.
• «Зеркальные» копии, резерв — могут быть за рубежом, но основная, рабочая база данных — только в РК.
• Использование иностранных облаков (AWS, Azure, Google Cloud и др.) легально лишь при контракте на хранение на серверах в РК с соответствующей инфраструктурой.

Трансграничная передача: в каких случаях разрешено

Перенос персональных данных за пределы Казахстана возможен ограниченно, только после локального хранения и, как правило, с оформлением согласия субъекта и/или уведомления регулятора.

• Передача возможна только после хранения/первичной обработки внутри РК.
• Необходимо явное согласие пользователя на трансграничную передачу. Для чувствительных данных некоторые виды передачи запрещены без специального разрешения MinDIIAI даже при согласии пользователя.
• Передача в страны без «достаточного уровня правовой защиты данных» (по оценке РК или международных стандартов) — запрещена или сильно усложняется.

Контроль и санкции: кто следит и какие риски

Основной орган контроля — Ministry of Digital Development, Innovations and Aerospace Industry, обладающий полномочиями на аудиты, административные взыскания, блокировку ресурсов и остановку деятельности компаний-нарушителей.

• Штрафы: Размеры варьируются, но существенны даже для крупных иностранных игроков. По состоянию на ноябрь 2026 года распространены административные штрафы в районе нескольких тысяч USD за инцидент, с увеличением при повторных нарушениях.
• Блокировки: Возможно ограничение доступа к ресурсам — вплоть до блокировки доменов, IP, приостановки деятельности на территории страны.
• Репутация: Освещение нарушений в медиа, усиленный надзор со стороны НПО и ограничения при размещении госзаказов и участии в тендерах.

Практические последствия для SaaS-провайдеров и структуры облачных сервисов

SaaS-провайдерам и компаниям с централизованной архитектурой ИТ придется перестраивать процессы — либо разворачивать инфраструктуру в Казахстане, либо использовать аккредитованные локальные дата-центры.

• Хранение данных казахстанских пользователей за рубежом (даже в виде бэкапов или «для админ-доступа») — риск несоблюдения закона.
• Использование глобальных интерфейсов и панелей администрирования с общим пулом данных разных стран теперь нарушает требования — требуется территориальное разделение казахстанских баз.
• Внедрение гибридных/частных облачных решений уменьшает риски только при гарантии, что «казахстанский» сегмент строго изолирован и расположен в допущенной инфраструктуре.

Таблица 1: Сравнение требований локализации данных до и после 2024 года

Как соблюсти требования: последовательный алгоритм для иностранного бизнеса и SaaS

Для соответствия новым требованиям зарубежная компания или SaaS-провайдер может использовать следующий чек-лист из шести шагов:

1. Провести аудит потоков данных: Досконально описать все точки сбора, хранения и передачи данных казахстанских юзеров, где используются локальные и внешние системы.
2. Анализ инфраструктуры: Определить все сервисы, облака, бэкапы и админ-интерфейсы, хоть как-то обрабатывающие данные граждан РК.
3. Контрактоваться с локальными дата-центрами: Перенести (или синхронизировать) основные базы персональных данных в сертифицированный дата-центр, внести изменения в договоры на предмет резиденции данных.
4. Разделить данные по географическому признаку: Исключить попадание данных казахстанцев в общие базы, четко сегментировать администрирование.
5. Обновить процедуры трансграничной передачи: Внедрить новые шаблоны согласий, схемы уведомления регулятора и алгоритмы согласования на каждый кейс передачи данных за границу.
6. Провести обучение и аудит: Оформить внутреннюю политику локализации, обучить персонал и планировать периодические внутренние/внешние аудиты на предмет соответствия.

Таблица 2: Пример расчета стоимости миграции инфраструктуры под локализацию в 2024 году (SaaS)

Фактические суммы зависят от числа пользователей в РК, объёма данных, критичности и сложности текущих ИТ-систем.

Типичные ошибки (и почему они особенно дорого обходятся)

Ошибка 1: Считать, что бэкапы на территории РК — уже соответствие закону. Требования распространяются на основную, действующую базу, а не только на резервные копии. Даже если ИТ-процессы переносятся спустя бэкап в РК, это не освобождает от риска штрафа.

Ошибка 2: Использовать международные SaaS/облака без локализации. Большинство западных сервисов размещают пользовательские данные на своих глобальных платформах вне РК. Без гарантированной локации персональных данных на казахских серверах сервис автоматически подпадает под опасность штрафа и блокировки.

Ошибка 3: Не обновлять формы согласия или шаблоны уведомлений. После изменений в 2024 году понадобились новые формулировки согласий, политика прозрачности сбора и передачи. Устаревшие формы — прямое основание для штрафа и пристального контроля.

Ошибка 4: Недооценивать случайные/скрытые сборы информации. Вся аналитика сайта, мониторинг активности сотрудников и другие косвенные сборы — это тоже персональные данные. Произвольное сокращение набора данных не освобождает от необходимости соблюдения закона, важны все реальные данные в потоках, которые фактически обрабатываются через системы.

Кому особенно важно локализовать данные в Казахстане сейчас?

В первую очередь — компаниям, активно обрабатывающим крупные массивы персональных данных граждан РК; особенно, если речь о финансовых, медицинских, государственных и геолокационных услугах.

Планируете запуск global SaaS или новый проект на казахстанском рынке? Проверяйте архитектуру хранения персональных данных с момента проектирования.

К кому требования не всегда применяются или применяются ограниченно?

Если вы никак не работаете с персонализированными, неанонимизированными и не агрегированными данными о гражданах РК — например, обрабатываете сугубо статистику и невозможно восстановить личность, ваша компания может формально не подпадать под действие новых норм. Но если даже гипотетическая возможность идентификации есть — обязательно консультируйтесь с локальными юридическими специалистами.

FAQ: самые частые вопросы и ответы

1. Может ли иностранная SaaS-компания хранить данные казахстанских пользователей за пределами РК? Нет. Основные персональные данные должны быть хранятся и обрабатываться локально в РК, даже если иностранные сервера формально безопасны и сертифицированы.

2. Дает ли использование AWS, Azure, Google Cloud автоматическое соответствие требованиям? Нет — только если в контракте отдельно определено хранение данных именно на территории РК и вся обработка/бэкапы локализованы внутри страны.

3. Что если я храню только анонимизированные логи/статистику? Формально они подлежат освобождению, только если гарантированно исключена даже косвенная идентификация. Как правило, если логи хранят какие-либо идентификаторы, регулятор требует локализации.

4. Можно ли передавать данные за рубеж для поддержки/анализов? Можно, но только если до этого был организован сбор и хранение в РК, получено явное согласие каждого пользователя и (для чувствительных данных) — согласование с регулятором.

5. Каковы санкции за невыполнение новых правил? Обычно штрафы в несколько тысяч USD за нарушение, а также блокировка домена/IP/сервиса, риски репутации и недопуск к госзакупкам или крупным контрактам (точные суммы — по последним постановлениям).

6. Как подготовиться к аудиту на соответствие? Держать в актуальном состоянии всю техническую и юридическую документацию: карты потоков данных, договоры с дата-центрами, журналы согласий пользователей, протоколы собственных/внешних аудитов по текущему состоянию хранения и обработки.

Краткие выводы: что обязательно помнить иностранному бизнесу

• С октября 2024 года действует обязательная локализация персональных данных казахстанцев на территории страны.
• Требования одинаково распространяются на всех иностранных собственников, SaaS- и облачных провайдеров, работающих с рынком Казахстана.
• Первичное хранение и обработка — только в РК; передача за рубеж допустима после получения новых согласий и уведомления регулятора в ряде случаев.
• Нарушение правил влечёт ощутимые штрафы, блокировку доступа к сервису, репутационные расцены и потенциал недопуска до тендеров.
• Ключевые шаги: аудит потоков и структуры данных, техмиграция в допущенные дата-центры, пересмотр политики и юридических оснований, программ обучения.
• Ранняя подготовка — критически важна для сохранения доступа к казахстанскому рынку для специалистов и технологических команд зарубежного происхождения.

Если вашему бизнесу нужна практическая помощь с регистрацией, визами, налогами, банками в Казахстане — UPPERSETUP готов поддержать пошагово и на месте.

Конкретный ответ для быстрого поиска: локализация данных в Казахстане, правила 2024

С октября 2024 года Казахстан обязал все компании, включая иностранных SaaS-провайдеров, которые обрабатывают персональные данные граждан РК, хранить эти данные в Казахстане. Трансграничная передача разрешена только после локального хранения и чаще всего требует согласия пользователя и/или уведомления регулятора. Нарушение грозит штрафами и блокировкой сервиса. Для соблюдения компаниям необходимо провести аудит всех данных, перенести основные массивы на локальные серверы, обновить политики и разделить клиентские базы по странам.

Источники

• Law of the Republic of Kazakhstan “On Personal Data and Their Protection” No. 94-V ZRK (с изменениями 2024)
• Официальные порталы Казахстана (law.gov.kz, digital.gov.kz)
• Обзоры глобальных юридических фирм и консультантов (DLA Piper, PwC, Deloitte)
• Кейсы компаний и отчеты о практике применения требований (данные по состоянию на ноябрь 2026)

Дисклеймер

Данный материал носит исключительно информационный характер и не является юридической, налоговой, финансовой, инвестиционной или консалтинговой рекомендацией. Перед принятием решений, влияющих на хранение и обработку персональных данных, обязательно проконсультируйтесь с профильными специалистами, исходя из вашей бизнес-модели, ИТ-инфраструктуры и последних требований законодательства.