Закон РК о персональных данных: где хранить переписку

Кратко

Закон Республики Казахстан от 21 мая 2013 года № 94-V «О персональных данных и их защите» требует, чтобы база данных, содержащая персональные данные ограниченного доступа граждан РК, физически находилась на территории Казахстана. Переписка с клиентом — это персональные данные, если по ней можно установить конкретного человека (имя, телефон, обращение с личными обстоятельствами), поэтому требование затрагивает и обычную переписку в чате или тикет-системе, а не только «особые» категории данных вроде медицинских. Похожее требование к персональным данным клиентов в CRM действует и по российскому 152-ФЗ — сравнение в статье «Персональные данные клиентов в CRM: что требует 152-ФЗ».

Актуально на 23 сентября 2026 года.

Что закон считает персональными данными в переписке

Закон определяет персональные данные широко — как сведения, относящиеся к определённому или определяемому на их основании физическому лицу. В обычной переписке поддержки это почти всегда:

Практический вывод: если переписка привязана к карточке клиента с его контактами — а в любой нормальной системе поддержки так и есть — она подпадает под закон целиком, а не выборочно по содержанию сообщений.

Что именно требует закон

Закон разделяет два разных требования, которые часто путают:

Место хранения базы данных. База данных, содержащая персональные данные ограниченного доступа граждан Казахстана, должна располагаться на территории Республики Казахстан. Это требование о физическом расположении серверов, а не о запрете передавать данные за рубеж как таковом.

Трансграничная передача (ст. 16 закона). Отдельно регулируется, можно ли передавать данные за пределы Казахстана — например, в облачный сервис или подрядчику в другой стране. Передача допускается, если принимающая страна обеспечивает защиту персональных данных, сопоставимую с требованиями казахстанского закона, — то есть само по себе наличие облачного провайдера в другой стране не запрещено законом автоматически, но требует проверки.

Обе нормы применяются одновременно: сервер с основной базой данных — в Казахстане, а трансграничная передача (например, в резервное хранилище) — по отдельным правилам, а не «как получится».

Что грозит за нарушение

Нарушение требований о локализации и обработке персональных данных может повлечь административную ответственность, предписание уполномоченного органа устранить нарушение и — в случае неисполнения — блокировку сайта или сервиса на территории Казахстана оператором связи. Для бизнеса, у которого весь клиентский поток идёт через один сайт или приложение, эта санкция означает полную остановку работы с казахстанскими клиентами до устранения нарушения, а не просто штраф. Отдельный языковой аспект переписки с клиентом в Казахстане разобран в статье «На каком языке отвечать клиенту в Казахстане».

Как проверить у себя

• Узнайте у поставщика вашей системы поддержки (или у своего ИТ-отдела, если система собственная), в какой стране физически расположены серверы, где хранится база переписки с клиентами.
• Проверьте, есть ли резервные копии базы за пределами Казахстана, и если да — на каком основании (согласие субъектов, договор с провайдером о защите данных).
• Найдите в договоре с поставщиком системы поддержки пункт о месте хранения данных — если пункта нет, это сам по себе повод уточнить у поставщика письменно.
• Проверьте, есть ли у компании политика обработки персональных данных, доступная клиенту, и указано ли в ней место хранения.
• Если переписка касается претензии потребителя, для неё действуют ещё и отдельные сроки ответа — «Срок ответа на претензию потребителя в Казахстане».

Частые ошибки

• Считают, что закон касается только «чувствительных» данных — медицинских, биометрических. На деле обычная переписка с именем и телефоном клиента тоже подпадает под определение персональных данных.
• Путают локализацию с запретом любой передачи за границу. Закон не запрещает трансграничную передачу как таковую — он требует, чтобы основная база физически находилась в Казахстане, а передача за рубеж происходила по отдельным правилам.
• Не проверяют место хранения у поставщика SaaS-системы. Компания отвечает за соблюдение закона как оператор персональных данных даже тогда, когда техническую инфраструктуру предоставляет сторонний сервис.
• Хранят резервные копии за рубежом «для надёжности», не оформив это как трансграничную передачу. Формально это тоже трансграничная передача персональных данных, требующая соблюдения условий статьи 16 закона.

Частые вопросы

Распространяется ли закон на компании, зарегистрированные не в Казахстане?

Да, если компания обрабатывает персональные данные граждан Казахстана — регистрация самой компании в другой стране не выводит её из-под действия закона в части работы с казахстанскими клиентами.

Можно ли вообще пользоваться зарубежным облачным сервисом для переписки с клиентами?

Формально закон не запрещает это напрямую, но требует, чтобы основная база данных находилась на территории Казахстана, а любая передача за рубеж (в том числе в облако) соответствовала требованиям статьи 16 о трансграничной передаче.

Что делать, если сейчас переписка хранится не в Казахстане?

Сначала уточнить у поставщика системы, где физически расположены серверы и есть ли у него вариант размещения в Казахстане либо в юрисдикции с признанным уровнем защиты данных — это первый шаг перед любыми другими действиями.

Связанные статьи

• Персональные данные в форме обратной связи: согласие
• Запрос субъекта персональных данных: как обработать
• Срок ответа на обращение в Казахстане: 15 дней по АППК
• Готовый шаблон письма на обращение в поддержку