Казахстанский бизнес, обрабатывающий персональные данные клиентов, обязан хранить их на серверах, физически расположенных в Республике Казахстан. Это не рекомендация — это требование закона, за нарушение которого предусмотрены штрафы и блокировки. Выбор неподходящего дата-центра превращает добросовестную компанию в нарушителя — даже если она об этом не знает.
Ниже — чёткий разбор законодательных требований, критериев выбора дата-центра и практических сценариев для бизнеса разного масштаба.
Закон о персональных данных РК
Основной нормативный акт — Закон РК «О персональных данных и их защите» (№ 94-V от 21 мая 2013 года с последующими изменениями). Он устанавливает: базы персональных данных граждан Казахстана должны формироваться, обрабатываться и храниться на серверах, физически находящихся на территории Республики Казахстан. Под действие закона подпадают все юридические лица и ИП, собирающие данные казахстанских пользователей — независимо от страны регистрации компании.
Ключевые понятия закона: персональные данные — любая информация, относящаяся к определённому или определяемому физическому лицу (ФИО, ИИН, телефон, адрес, история покупок, IP-адрес); оператор — организация, определяющая цели и объём обработки данных; локализация данных — требование хранить данные граждан РК на серверах внутри страны. Надзор за соблюдением осуществляет Министерство цифрового развития, инноваций и аэрокосмической промышленности РК.
Требования к дата-центру для хранения данных
Закон о персональных данных РК предъявляет требования не только к бизнес-процессам компании, но и к инфраструктуре, на которой хранятся данные. Дата-центр должен соответствовать нескольким ключевым критериям одновременно.
- Физическое расположение на территории РК. Серверы должны стоять в казахстанском дата-центре — зарубежные облака (AWS, Azure, GCP без локальных регионов в РК) не удовлетворяют этому требованию.
- Физическая безопасность. Ограниченный доступ в серверный зал, видеонаблюдение, журналы посещений, охрана — стандартные меры для добросовестного ЦОД.
- Техническая защита данных. Шифрование каналов передачи, межсетевые экраны, системы обнаружения вторжений (IDS/IPS), разграничение доступа.
- Отказоустойчивость и непрерывность. Резервное электропитание (ИБП + дизельные генераторы), дублированные каналы связи, резервное копирование данных.
- Документация и аудит. Возможность подтвердить место хранения данных для регуляторных проверок: договор с ЦОД с указанием адреса, SLA, акты о выполненных работах.
- Конфиденциальность. Договор с дата-центром должен включать обязательство о неразглашении и условия обработки данных третьими сторонами.
Подробнее об инфраструктуре и сервисах можно узнать на странице услуг дата-центра Ahost — colocation, выделенные серверы, VPS и облачные решения на базе казахстанской площадки.
Локализация данных: сравнение вариантов
Компании выбирают между несколькими сценариями размещения данных. Ниже — сравнение по ключевым критериям соответствия закону РК.
| Критерий | Казахстанский ЦОД (colocation / выделенный сервер) | Зарубежное облако (без РК-региона) | Собственный сервер в офисе |
|---|---|---|---|
| Соответствие закону РК | Да | Нет | Частично (риски физической безопасности) |
| Физическое расположение в РК | Да | Нет | Да |
| Отказоустойчивость | Высокая | Высокая | Низкая |
| Физическая охрана и контроль доступа | Профессиональная | Неизвестна (не в РК) | Силами компании |
| Документы для регулятора | Предоставляет ЦОД | Затруднено | Самостоятельно |
| Масштабируемость | Высокая | Высокая | Низкая |
| Риск штрафов и блокировок | Минимальный | Высокий | Средний |
| Затраты на поддержку | Средние | Средние | Высокие (собственный штат) |
Сценарии выбора инфраструктуры
Требования к дата-центру одинаковы для всех, но оптимальная модель размещения зависит от масштаба и специфики бизнеса.
Интернет-магазин или сервис с базой клиентов до 50 000 человек. Достаточно одного выделенного сервера или нескольких VPS в казахстанском ЦОД. Данные хранятся в РК, нагрузка предсказуема, затраты управляемы. Аренда выделенного сервера в Алматы — готовое решение: физически изолированное железо, гарантированные ресурсы и казахстанская юрисдикция.
Финансовая компания, МФО, страховщик. Регуляторные требования в финсекторе жёстче: нужен выделенный сервер или colocation собственного оборудования, чёткий SLA, возможность аудита. Важно, чтобы дата-центр мог предоставить документы о месте хранения данных для проверок Агентства РК по регулированию и развитию финансового рынка.
Медицинская организация, клиника, лабораторная сеть. Медицинские данные относятся к особой категории персональных данных — требования к их защите повышены. Необходимо colocation с физической изоляцией стойки или зоны, шифрование на уровне хранилища, строгий контроль доступа.
Крупный ритейл или телеком с миллионами записей. Требуется масштабируемая инфраструктура: аренда стойки или целой зоны в ЦОД, возможность быстро наращивать ресурсы, резервирование данных с чётким RPO/RTO. Colocation собственного оборудования в казахстанском ЦОД даёт полный контроль над данными при профессиональной поддержке площадки.
Признаки нарушения требований
Компания нарушает закон о персональных данных РК, если хотя бы один из следующих признаков присутствует в её инфраструктуре.
- База данных клиентов хранится на серверах зарубежного облачного провайдера без казахстанского региона.
- Нет договора с ЦОД или хостинг-провайдером, фиксирующего физическое расположение серверов в РК.
- Резервные копии отправляются на зарубежные хранилища без дублирования в РК.
- Данные передаются в зарубежный офис головной компании без соблюдения требований трансграничной передачи.
- Компания не может документально подтвердить место хранения данных при запросе регулятора.
Чек-лист соответствия закону РК
- Серверы с персональными данными физически расположены в Казахстане — адрес зафиксирован в договоре с ЦОД.
- Заключён договор с дата-центром или провайдером с указанием юрисдикции и адреса площадки.
- В договоре с ЦОД есть раздел о конфиденциальности и обязательствах по защите данных.
- Резервные копии хранятся также на территории РК.
- Реализованы технические меры защиты: шифрование, межсетевые экраны, контроль доступа.
- Ведутся журналы доступа к персональным данным.
- Назначен ответственный за организацию обработки персональных данных.
- Политика конфиденциальности на сайте актуальна и соответствует реальным практикам обработки данных.
- При использовании сторонних сервисов (CRM, аналитика) проверено, где они хранят данные.
- Компания может оперативно предоставить документы о месте хранения данных по запросу регулятора.
Почему Ahost
Ahost — казахстанский дата-центр в Алматы, специализирующийся на инфраструктурных решениях для бизнеса, которому важны соответствие законодательству РК и надёжность хранения данных.
- Данные в Казахстане. Все серверы физически расположены в Алматы. Клиент получает договор с адресом площадки — готовый документ для регуляторных проверок.
- Гибкие модели размещения. Colocation (Unit, стойка, зона), аренда выделенных серверов, VPS и облачные серверы — выбор под задачу и бюджет.
- Физическая безопасность. Ограниченный доступ, видеонаблюдение, охрана 24/7, журналы посещений серверного зала.
- Отказоустойчивая инфраструктура. Резервное электропитание, дублированные каналы интернет-связи, климат-контроль.
- Техническая поддержка. Инженеры на площадке — remote hands для клиентов на colocation, поддержка серверной инфраструктуры.
- Казахстанская юрисдикция. Договор по праву РК, данные не покидают страну, полное соответствие Закону о персональных данных.
Узнать об инфраструктуре и условиях размещения можно на странице дата-центра Ahost в Алматы.
Частые вопросы
Что именно считается персональными данными по закону РК
Персональные данные — любая информация, позволяющая идентифицировать физическое лицо: ФИО, ИИН, адрес, номер телефона, email, дата рождения, история транзакций, IP-адрес, cookies, биометрия. Даже частичная комбинация этих сведений может подпадать под действие закона.
Распространяется ли закон на иностранные компании
Да. Если компания собирает данные граждан Казахстана — независимо от страны регистрации — она обязана хранить эти данные на серверах в РК. Зарубежная регистрация не освобождает от требований казахстанского законодательства.
Можно ли хранить данные в зарубежном облаке
Нет, если речь идёт о первичной базе персональных данных граждан РК. Трансграничная передача данных допускается только после формирования и хранения базы в Казахстане и при соблюдении дополнительных условий (согласие субъекта или договорные гарантии).
Какие санкции грозят за нарушение локализации данных
Административная ответственность: штрафы для должностных лиц и организаций. В отдельных случаях — блокировка сервиса или сайта на территории РК. Регулятор вправе инициировать проверку по жалобе любого пользователя.
Нужно ли хранить в РК резервные копии
Да. Резервные копии, содержащие персональные данные, также должны храниться на территории Казахстана. Хранение бэкапов за рубежом фактически означает трансграничную передачу данных и нарушает требования закона.
Что такое colocation и подходит ли оно для хранения персональных данных
Colocation — размещение собственного серверного оборудования компании в профессиональном дата-центре. Компания владеет железом и полностью контролирует данные, а ЦОД обеспечивает питание, охлаждение, охрану и каналы связи. Это оптимальная модель для организаций с высокими требованиями к безопасности и контролю данных.
Как подтвердить регулятору, что данные хранятся в Казахстане
Достаточно предоставить договор с дата-центром или провайдером, в котором указан физический адрес серверной площадки в РК. Надёжный ЦОД выдаёт такие документы по запросу клиента. Ahost предоставляет договор с указанием адреса площадки в Алматы.
Подходит ли VPS для хранения персональных данных
Да, если виртуальный сервер физически развёрнут на оборудовании в казахстанском дата-центре. VPS в Ahost размещены в Алматы — это соответствует требованиям о локализации данных для большинства сценариев малого и среднего бизнеса.
Нужно ли уведомлять регулятора о начале обработки персональных данных
Закон РК предусматривает обязанность оператора обеспечить защиту персональных данных, вести их учёт и назначить ответственное лицо. Конкретные требования к уведомлению зависят от категории данных и масштаба обработки — рекомендуется проконсультироваться с юристом по законодательству РК.
Что такое Cross Connect и нужен ли он для соответствия закону
Cross Connect — прямое физическое соединение между оборудованием клиентов или между клиентом и интернет-провайдером внутри дата-центра. Он не является требованием закона о персональных данных, но повышает безопасность и скорость передачи данных внутри ЦОД — актуально для финансовых и медицинских организаций с высокими требованиями к защищённости каналов.
Если вы не уверены, соответствует ли текущая инфраструктура вашей компании требованиям казахстанского законодательства о персональных данных — команда Ahost готова проконсультировать и подобрать подходящее решение. Свяжитесь с нами, чтобы обсудить задачу и получить коммерческое предложение под ваш сценарий.