Персональные данные в Казахстане: локализация, облака и что это значит для разработки

Персональные данные в Казахстане регулирует Закон «О персональных данных и их защите» от 21 мая 2013 года № 94-V. Он требует хранить персональные данные в базе или цифровом объекте, расположенном на территории Республики Казахстан, а передачу за границу допускает только на условиях статьи 16. Для разработчиков это превращается в конкретные решения: где живут тестовые и боевые данные, какие облака и SaaS допустимы и можно ли отправлять код и логи во внешние сервисы.

Основные акты и их статус в 2026 году

• Закон РК от 21 мая 2013 года № 94-V «О персональных данных и их защите» — действует; в справочной системе отражены изменения вплоть до сентября 2026 года.
• Цифровой кодекс РК от 9 января 2026 года № 255-VIII — вступил в силу в июле 2026 года. Закрепляет права субъектов (удаление, анонимизация, ограничение обработки), в том числе статьёй 41, на которую ссылается обновлённый закон о персональных данных.
• Закон РК от 9 января 2026 года № 256-VIII — заменил в законе о персональных данных термины «объекты информатизации» на «цифровые объекты»; в силу вступил 12 июля 2026 года.
• Закон РК от 24 июня 2026 года № 326-VIII — крупные поправки: новые статьи 10-1, 23-2 и 25-1, изменения статей 12 и 22. Нормы, затрагивающие закон о персональных данных, вступили в силу 25 августа 2026 года.

Закон № 94-V не утратил силу с приходом Цифрового кодекса — они действуют параллельно.

Локализация: что именно требует статья 12

В действующей редакции пункта 2 статьи 12 хранение персональных данных осуществляется «в базе и (или) цифровом объекте, которые находятся на территории Республики Казахстан». Это текст официальной редакции закона по справочной системе. Практические выводы, которые делают юристы (мы приводим их как мнение, а не как норму):

• основная актуальная база должна быть в Казахстане; параллельные копии за рубежом по мнению ряда авторов не запрещены;
• новая формулировка с «цифровым объектом» закрывает спор о том, относятся ли к хранению платформы, приложения и облачные среды;
• размещение базы в Казахстане не решает вопрос передачи: запрос с персональными данными к внешней SaaS-платформе или ИИ-модели может считаться трансграничной передачей, а удалённый доступ к боевой базе из-за рубежа юристы тоже трактуют как передачу.

Трансграничная передача: статья 16

Передача допускается, если иностранное государство обеспечивает защиту персональных данных. Для государств без такой защиты закон перечисляет исключения: согласие субъекта, международные договоры, отдельные законы РК, защита прав человека, когда получить согласие невозможно. Передача может быть запрещена или ограничена законом. Официального перечня «надёжных» стран, по обзорам юристов, нет, поэтому вывод об адекватной защите стоит подкреплять письменным обоснованием. Согласие должно быть проверяемым и содержать указание на трансграничную передачу.

Что изменили поправки 2026 года

• Классификация операторов (новая статья 25-1): по числу уникальных субъектов данных — малые (до 10 тысяч), средние (от 10 до 500 тысяч), крупные (от 500 тысяч). Обработка данных ограниченного доступа повышает категорию на один уровень; меры защиты для каждой категории установит уполномоченный орган. По обзору EY, понятие «уникальный субъект» в законе не определено.
• Реестр обработчиков (статья 10-1): владельцы и операторы уведомляют уполномоченный орган о начале и окончании обработки, указывая в том числе места размещения базы и сведения о трансграничной передаче. Обязанность по уведомлению, по обзорам EY и Morgan Lewis, касается крупных операторов.
• Реестр нарушений безопасности (статья 23-2) ведёт уполномоченный орган, опираясь на открытые источники и данные центров кибербезопасности.
• Маскирование и хеширование добавлены к методам защиты (статья 23); удаление данных по подтверждённому незаконному сбору — в течение одного рабочего дня.
• Уведомление об инциденте: владелец или оператор обязан уведомить уполномоченный орган о нарушении безопасности персональных данных сразу после его обнаружения (пп. 8 п. 2 ст. 25).
• Автоматизированные решения: статья 19-1 ограничивает обработку, самостоятельно создающую или прекращающую права человека, без согласия или прямого указания закона.

Что это значит для разработки

Из этих норм следуют инженерные правила, которые стоит закрепить в процессе разработки.

1. Карта данных. Какие поля — персональные, где они хранятся, куда уходят: логи, трассировки, ошибки в трекерах, аналитика, бэкапы. Без этой карты невозможно ни локализовать данные, ни ответить на запрос субъекта.
2. Тестовые среды без боевых данных. Используйте маскирование и синтетические данные: закон прямо называет маскирование и хеширование методами защиты.
3. Защита от утечек через код. Статический анализ находит логирование персональных данных, слабую криптографию и жёстко прописанные секреты — см. SAST, DAST, SCA и MAST.
4. Контроль зависимостей. Вредоносный пакет или уязвимая библиотека — частый путь утечки; нужен SBOM и проверка компонентов при сборке.
5. Секреты вне кода. Токены и ключи доступа к базам с персональными данными должны жить в хранилище секретов — управление секретами.
6. Журналы и реагирование. Обязанность уведомлять об утечке требует, чтобы вы умели быстро установить факт и масштаб инцидента.

Облако или on-premise для AppSec-инструментов

Сканеры исходного кода работают с самым чувствительным активом компании — кодом, а нередко и с примерами данных, секретами и конфигурациями. При передаче такого материала внешнему облачному сервису возникает вопрос: не уходят ли вместе с ним персональные данные и не является ли это трансграничной передачей. Для организаций, которые обрабатывают данные граждан в больших объёмах, самый простой способ снять вопрос — поставить анализатор внутри контура компании.

• On-premise: код и результаты анализа остаются в вашей инфраструктуре; проще объяснить регулятору и аудитору, где что хранится. Минус — вы сами эксплуатируете платформу.
• Облачный SaaS: быстрее старт и меньше эксплуатации, но нужно проверить, где физически расположены серверы, какие данные из репозитория передаются и есть ли у вас основание для передачи.

DerScanner поставляется как on-premise платформа (SAST, DAST, SCA, MAST), что позволяет держать анализ в собственном контуре. Общие подходы к выбору места развёртывания мы разбираем в статье об on-premise и облаке для AppSec, а организацию процесса целиком — на странице DevSecOps.

Права субъектов и Цифровой кодекс

Цифровой кодекс усиливает права человека в цифровой среде, и это затрагивает проектирование систем:

• Удаление, анонимизация, ограничение обработки (статья 41 Кодекса). Если закон требует хранить данные, компания ограничивает доступ и приостанавливает обработку вместо удаления; исключения — решение суда, исполнение договора, архивные и общественные интересы. В продукте нужны механизмы, которые реально умеют удалять и анонимизировать записи, включая копии и логи.
• Алгоритмические решения (статья 43 Кодекса). Человек вправе узнать, что применялась автоматизированная система, получить понятное объяснение ключевых факторов решения и потребовать его пересмотра специалистом. Раскрывать исходный код или параметры модели не требуется. Если ваш сервис принимает решения о клиенте автоматически, предусмотрите журнал и возможность ручного пересмотра.
• Аутентификация. По обзору Bluescreen, биометрия не может быть единственным способом входа, если это не установлено законом.

Типичные ошибки команд разработки

• Персональные данные в логах и трекерах ошибок. Стек-трейс с ИИН или телефоном, отправленный в зарубежный SaaS-мониторинг, превращается в трансграничную передачу.
• Копия боевой базы на тесте. Без маскирования это и нарушение режима защиты, и риск утечки через менее защищённую среду.
• Внешние ИИ-ассистенты и сервисы. Копирование в публичную модель фрагментов с персональными данными — передача данных, даже если провайдер ничего не хранит (так трактуют ситуацию юристы).
• Удалённый доступ к продуктиву из-за рубежа у подрядчиков и поддержки вендоров — юристы приравнивают его к передаче.
• Нет единого владельца данных. Назначьте ответственного за обработку персональных данных и держите актуальную карту потоков.

Частые вопросы

Статья носит информационный характер и не является юридической консультацией. Нормы быстро меняются — перед принятием решений сверяйтесь с действующей редакцией на adilet.zan.kz.

Источники

• Закон РК № 94-V «О персональных данных и их защите» (действующая редакция)
• EY: изменения в Закон о персональных данных (закон № 326-VIII)
• Morgan Lewis: Kazakhstan data protection law amendments in 2026
• THE TECH: SaaS и зарубежные ИИ-модели — где хранить данные
• Цифровой кодекс: что меняется для граждан и бизнеса (zakon.kz)
• Закон о персональных данных и их защите РК на 2026 год (prg.kz)