1. Главное требование: локализация баз данных в Казахстане
Вопрос хранения персональных данных в Казахстане перестал быть формальностью: регуляторные проверки МЦРИАП и требования кибербезопасности усиливаются ежегодно. Ключевая норма Закона РК «О персональных данных и их защите» (статья 12) формулируется предельно четко:
Сбор и обработка персональных данных граждан Казахстана должны производиться с использованием баз данных, находящихся физически на территории Республики Казахстан.
Это означает, что если ваш сервис собирает имена, номера телефонов, ИИН, адреса доставки или реквизиты платежных карт казахстанцев, основная база данных обязана физически размещаться в ЦОД на территории РК. О требованиях к безопасным вычислительным мощностям читайте также в нашем материале про грант Pro-Data Startup Boost на облачные мощности.
Ответственность и штрафы: статья 79 КоАП РК
За нарушение законодательства Республики Казахстан о персональных данных и их защите предусмотрена административная ответственность по статье 79 КоАП РК. При расчете штрафов в 2026 году применяется базовый расчетный показатель (1 МРП = 4 325 тенге):
| Категория правонарушения | Субъект бизнеса | Штраф в МРП | Сумма в тенге (2026 г.) |
|---|---|---|---|
| Незаконный сбор и обработка данных (без согласия субъекта) | Малый бизнес / ИП | 60 МРП | 259 500 ₸ |
| Средний бизнес | 100 МРП | 432 500 ₸ | |
| Крупный бизнес | 200 МРП | 865 000 ₸ | |
| Несоблюдение мер по защите данных (повлекшее утечку или доступ третьих лиц) | Малый бизнес / ИП | 200 МРП | 865 000 ₸ |
| Средний бизнес | 300 МРП | 1 297 500 ₸ | |
| Крупный бизнес | 600 МРП | 2 595 000 ₸ |
Важно: При выявлении инцидента безопасности или утечки персональных данных собственник или оператор базы данных обязан в течение 1 рабочего дня уведомить уполномоченный орган — Министерство цифрового развития, инноваций и аэрокосмической промышленности РК (МЦРИАП) и Национальный координационный центр информационной безопасности (НКЦИБ).
2. Обзор провайдеров дата-центров и облаков в Казахстане
Для размещения IT-инфраструктуры в Казахстане компании выбирают между классическим colocation/IaaS и масштабируемыми публичными облаками:
| Провайдер | Тип инфраструктуры | Уровень надёжности | Кому подходит |
|---|---|---|---|
| PS.kz | IaaS, VPS/VDS, Dedicated | ЦОД в Алматы, работает с 2003 года | МСБ, веб-проекты, e-commerce, агентства |
| Kazteleport | ЦОД «Сайрам» (Алматы), «Ерейментау» (Астана) | Tier III Design + Facility (Uptime Institute) | Финтех, банки, enterprise, критическая инфраструктура |
| Yandex Cloud KZ | Публичное облако, регион kz1, ЦОД в Караганде | Полное соответствие законам РК по персданным | Стартапы, микросервисы, AI-проекты, Kubernetes |
| Транстелеком (TTC) | Облачный ЦОД, IaaS, colocation | Республиканская сеть защищенных ЦОД | Госсектор, корпорации, распределённые сети |
О том, как получить софинансирование на внедрение облачной архитектуры, читайте в нашем материале о субсидиях на цифровизацию МСБ до 50 млн тенге.
3. Как законно использовать зарубежные SaaS и нейросети
Большинство современных технологических продуктов используют глобальные API: OpenAI, Anthropic, AWS S3, Stripe или Amplitude. Как делать это, не нарушая законы РК?
Гибридная архитектура (On-Premises / Local + Cloud API). Вы храните профили пользователей и идентификаторы (ИИН, номера телефонов, пароли) на локальном сервере в Казахстане (например, в PS.kz или Yandex Cloud KZ).
Обезличивание данных (Anonymization/Tokenization). При отправке запроса во внешнюю нейросеть или аналитический сервис вы заменяете реальные данные пользователя на анонимный хэш/ID. Внешний сервис обрабатывает запрос, не получая персональных данных гражданина РК. Это прямо предусмотрено статьёй 17 Закона РК как отдельный механизм.
Трансграничная передача данных (статья 16). Передача данных за рубеж разрешена, если страна-получатель обеспечивает защиту данных либо при наличии явного электронного согласия субъекта через форму на сайте/в приложении.
Чек-лист: 6 шагов для полного соответствия законам РК
- Локализуйте базы данных: убедитесь, что физический сервер с базой профилей пользователей (ИИН, телефоны, адреса, пароли) находится на территории Республики Казахстан (ЦОДы Kazteleport, PS.kz, Yandex Cloud KZ в Караганде).
- Оформите сбор согласий: чекбокс согласия с Политикой конфиденциальности и сбором данных не должен быть предзаполнен по умолчанию.
- Пропишите трансграничную передачу (ст. 16): если вы отправляете данные в зарубежные CRM/Email-сервисы, в текст согласия обязательно включается отдельный пункт о трансграничной передаче.
- Внедрите обезличивание (ст. 17): при интеграции с зарубежными LLM/нейросетями (OpenAI, Anthropic) передавайте анонимизированные идентификаторы без привязки к ФИО и ИИН.
- Зарегистрируйте домен .KZ на локальном хостинге: согласно правилам национальной доменной зоны, серверная инфраструктура сайта должна располагаться в Казахстане.
- Утвердите внутренний регламент ИБ: подготовьте приказы о назначении ответственного за защиту персональных данных и план реагирования на инциденты утечки.
Часто задаваемые вопросы по закону о персональных данных
Считается ли email или номер телефона персональными данными?
Да. Согласно Закону РК «О персональных данных и их защите», номер телефона или email в связке с заказом, именем или IP-адресом однозначно идентифицируют физлицо и являются персональными данными.
Обязательно ли держать фронтенд-серверы внутри Казахстана?
Закон требует физической локализации на территории РК именно баз данных, где хранятся персональные данные граждан. CDN-серверы для статического контента (изображения, стили) могут быть распределены по миру.
Какой штраф грозит бизнесу за утечку персональных данных в Казахстане?
По статье 79 КоАП РК штрафы за несоблюдение мер защиты составляют от 200 МРП (865 000 тенге) для малого бизнеса до 600 МРП (2 595 000 тенге) для крупного бизнеса в 2026 году.
