Персональные данные на сайте в Казахстане
Форма заявки собирает персональные данные. Значит, нужны согласие по форме закона, доказательство этого согласия и хранение заявок на сервере в Казахстане. Разбираем по статьям, что это значит для формы и базы.
Проверено по adilet.zan.kz 13.11.2026Что говорит закон.
Закон РК от 21.05.2013 № 94-V в редакции с изменениями по закону от 24.06.2026 № 326-VIII.
- Сбор только с согласия
Собственник или оператор собирает и обрабатывает персональные данные с согласия субъекта, кроме случаев, прямо названных в законе (ст. 7 п. 1).[1]
- Согласие, которое можно подтвердить
Согласие дают письменно, через государственный или негосударственный сервис либо иным способом, который позволяет подтвердить его получение (ст. 8 п. 1). Оператор обязан представить доказательство получения согласия (ст. 25 п. 2 пп. 5).[1]
- Что должно быть в согласии
Наименование и БИН оператора, ФИО субъекта, срок действия, можно ли передавать данные третьим лицам, есть ли трансграничная передача, можно ли распространять данные в общедоступных источниках, перечень данных (ст. 8 п. 4).[1]
- Отзыв за пятнадцать рабочих дней
Человек вправе отозвать согласие. Оператор в течение пятнадцати рабочих дней прекращает обработку или даёт мотивированный отказ (ст. 8 п. 7).[1]
- Хранение в Казахстане
Персональные данные хранятся в базе или цифровом объекте на территории Республики Казахстан. Срок хранения определяется достижением целей сбора (ст. 12 п. 2).[1]
- Передача за рубеж и третьим лицам
Трансграничная передача и передача третьим лицам идут с согласия субъекта (ст. 7 п. 6). В страны, которые не обеспечивают защиту данных, передача возможна, в частности, при согласии субъекта (ст. 16 п. 3 пп. 1).[1]
- Обязанности оператора
Утвердить перечень данных и документы о политике обработки, принять правовые, организационные и технические меры защиты, юрлицу назначить ответственного (ст. 25 п. 2). Категории операторов по числу субъектов добавлены в ст. 25-1.[1]
Что сделать на сайте.
Минимум для формы заявки, которая собирает имя, телефон или e-mail. Журнал согласий и отдельные cookies это практика, а не дословное требование закона.
- Поле ФИОСогласие называет субъекта по фамилии, имени и отчеству (ст. 8 п. 4 пп. 2). Без имени согласие не связать с человеком.
- Отдельная галочка согласияНе отмечена заранее, рядом ссылка на полный текст согласия. Без отметки форма не отправляется.
- Журнал согласийВ записи заявки храним факт согласия, дату и время, редакцию текста. Это и есть доказательство по ст. 25.
- Сервер в КазахстанеБаза с заявками на сервере в РК. Копия в зарубежной CRM или почте это уже трансграничная передача.
- Честный текст согласияВ тексте только те передачи, что есть на деле: хостинг, почта, мессенджеры, аналитика. И порядок отзыва.
- Cookies отдельноАналитика и реклама с cookies по отдельному согласию в баннере, а не той же галочкой, что и заявка.
Где обычно ошибаются.
Частые случаи, которые мы видим на сайтах перед переделкой.
Как привести сайт в порядок.
Порядок, в котором мы делаем это на проектах.
- Опись данных
Какие формы и поля есть, куда уходит каждая заявка: база, почта, CRM, мессенджер.
- Документы оператора
Перечень данных, политика обработки, ответственный за обработку. Утверждает компания, текст готовит юрист.
- Текст согласия
По пунктам ст. 8 п. 4: оператор и БИН, перечень данных, срок, третьи лица, трансграничная передача, порядок отзыва.
- Форма и база
ФИО, галочка, ссылка на согласие, запись времени и редакции текста. Хранение заявок на сервере в РК.
Это не юридическая консультация.
Это не юридическая консультация: мы пересказали нормы закона в редакции на дату проверки и показали, как делаем формы сами. Политику и согласие для вашей компании утверждает ваш юрист. Закон меняется, поэтому перед запуском проверьте актуальную редакцию на adilet.zan.kz.
Что почитать дальше.
Наши документы и соседние гайды.
Проверено 13.11.2026
Это не юридическая консультация. Законы меняются: перед запуском сверьтесь с актуальной редакцией на adilet.zan.kz и с юристом или бухгалтером.
Коротко и по делу.
Нужно ли согласие, если форма просит только имя и телефон?
Да. Имя и телефон это персональные данные, их собирают с согласия субъекта (ст. 7 п. 1 закона № 94-V). Исключения перечислены в законе (ст. 9): подходит ли под них ваш случай, решает юрист.
Можно ли хранить заявки в зарубежной CRM?
Хранить персональные данные закон требует в базе на территории Казахстана (ст. 12 п. 2). Передача в зарубежный сервис это трансграничная передача: она идёт с согласия субъекта и указывается в тексте согласия (ст. 7 п. 6, ст. 8 п. 4 пп. 5).
Чем подтвердить, что человек дал согласие?
Закон допускает любой способ, который позволяет подтвердить получение согласия (ст. 8 п. 1). На сайте это запись в базе: кто, когда отметил согласие и какую редакцию текста видел.
Сколько хранить заявки?
До достижения целей сбора, если законодательство не требует иного (ст. 12 п. 2). Срок стоит прописать в согласии и политике, а старые заявки потом удалять.
Нужна ли отдельная галочка для cookies аналитики?
Отдельной нормы про cookies в законе № 94-V мы не нашли. Но аналитика собирает данные об устройстве, и если сервис зарубежный, это трансграничная передача. Мы просим отдельное согласие в баннере cookies.
Проверим вашу форму заявки?
Пришлите адрес сайта: посмотрим, что собирают формы и куда уходят заявки, и скажем, что поправить.