如果您的公司处理哈萨克斯坦公民的个人数据 — 包括员工、客户及服务用户的数据，您有义务将这些数据存储在物理位置位于哈萨克斯坦境内的服务器上。这一要求已在法律中明确规定，并由授权国家机关进行监督。不遵守规定将承担行政责任。
以下拆解法律的具体要求、适用对象以及如何在实际业务中落实该要求。
法律依据
核心文件为 2013 年 5 月 21 日颁布的哈萨克斯坦共和国第 94-V 号《个人数据及其保护法》（含后续修订案）。该法律规范了个人数据的收集、处理、存储和传输。
根据法律定义，个人数据是指“与特定的或据此可确定的自然人相关的信息”。包括：姓名、个人识别码（IIN）、地址、电话号码、电子邮箱、生物识别数据、健康状况数据、财务信息以及几乎所有能够识别特定个人的数据。
授权机关为哈萨克斯坦共和国数字发展、创新和航空航天工业部。该部门管理数据库登记簿、开展检查并下发整改指令。
本地化要求
法律第 22 条规定：对哈萨克斯坦公民个人数据的收集和处理，必须通过位于哈萨克斯坦共和国境内的数据库进行。
在实际业务中这意味着：存储哈萨克斯坦公民个人数据的数据库，必须部署在物理位置位于哈萨克斯坦境内的服务器上。
未设立哈萨克斯坦可用区的境外云服务商存储，即使其服务可在哈萨克斯坦直接访问，也不符合此项要求。
哪些主体必须遵守该要求
该要求适用于个人数据处理者 — 即独立或与他人共同组织和（或）实施个人数据处理的法人或自然人。
在实际业务中，这涵盖：
- 存储员工、客户或用户数据的哈萨克斯坦公司。
- 在哈萨克斯坦开展业务并收集哈国用户数据的外国公司。
- 面向哈萨克斯坦用户提供服务的互联网平台、移动应用及电商市场。
- 银行、保险公司、医疗机构、电信运营商。
- 国家机关及履行国家职能的组织。
企业规模不存在豁免条件：只要处理个人数据，任何规模的公司均须遵守。
数据的跨境传输
法律允许将个人数据传输至境外，但必须满足以下条件：
- 数据主体的同意 — 取得自然人关于将其数据传输至特定国家的书面同意。
- 与外国政府签订条约 — 数据接收国必须具备经哈萨克斯坦认可的充分个人数据保护水平。
- 事前通知哈国数字发展部 — 提前就数据的跨境传输事宜向监管机关报备。
重要细节： 获得跨境传输许可并不能免除在哈萨克斯坦境内进行首要存储的规定。数据副本可以传输至境外，但核心主数据库必须留在哈国境内。
数据库登记册备案
个人数据处理者有义务在授权监管机关对其数据库进行登记备案。登记通过电子政务门户网站 egov.kz 进行。登记信息中须特别注明数据库的物理具体位置。
在备案时，处理者需确认该数据库部署在哈萨克斯坦境内。若数据的实际存放位置与申报不符，将直接构成下发整改指令及行政处罚的依据。
罚款与法律责任
针对违反个人数据保护法规的行为，其责任由《哈萨克斯坦共和国行政违法行为法典》予以规定。
主要违法行为包括：
- 违法收集和处理个人数据。
- 违反个人数据存储与防护要求。
- 未经授权访问或传播个人数据。
- 违反数据跨境传输程序。
- 逃避履行数据库登记备案义务。
面向法人的罚款金额高达数百至数千个月算指标。除罚款外，授权监管机关有权下发整改指令、限制对相关网络资源的访问或启动封禁程序。
在 2022 至 2024 年期间，哈国数字发展部大幅加强了监督执法力度：专项检查与整改指令的数量持续增加。多家大型国际平台均已收到要求其落实数据本地化的官方指令。
哈萨克斯坦数据中心如何助力满足合规要求
满足数据本地化要求最直接的方式，是将服务器或数据库部署在哈萨克斯坦境内的商业数据中心中。
在哈萨克斯坦本地数据中心进行服务器托管可提供：
- 具备书面凭证的物理位置：与数据中心签订的合同中明确记录了设备的物理部署地址 — 这是在接受监管检查时最直接的合规证明。
- 支持安全审计的能力：具备资质认证的数据中心可为检查人员提供所需文件，包括 SOC 审计报告以及物理部署证明文件。
- 高可靠性与业务连续性：Tier III/IV 标准的数据中心可保证 99.98% 以上的可用性（Uptime），确保数据的连续可访问。
- 物理安全保障：机房安防防护、视频监控及出入控制系统 — 法律对个人数据安全防护的要求在基础设施层面上得到了全面覆盖。
对于采用云服务架构的企业，落地合规通常有两条途径：选择在哈萨克斯坦拥有可用区的云服务商（若符合要求）；或者将数据库迁移至哈萨克斯坦本地进行服务器托管，同时将其余非敏感基础设施保留在云端。
落地合规的具体实施步骤
- 资产盘点：梳理所有包含哈萨克斯坦公民个人数据的数据库清单，明确其当前的物理存储位置。
- 风险评估：甄别并标记出目前仍存储在哈萨克斯坦境外的数据库。
- 数据迁移：将对应的数据库迁移至哈萨克斯坦境内的服务器上——可选择服务器托管或哈萨克斯坦本地云服务。
- 登记备案：在哈国数字发展部完成数据库的备案（或更新备案信息），并注明其在哈萨克斯坦境内的实际物理地址。
- 凭证存档：妥善保存与数据中心签订的合同、物理部署证明及技术文档——以便在监管检查时随时出示。
常见问题
如果外国公民使用哈萨克斯坦的业务服务，其数据是否需要在哈萨克斯坦境内存储？
法律的效力范围仅针对哈萨克斯坦公民的个人数据。外国公民的数据不属于此项强制规定的管辖范围，但可能会受到相应国外法律的约束。
如果境外云服务商承诺遵守哈萨克斯坦法规，能否将数据存储在境外云端？
不能。只要物理服务器不在哈萨克斯坦境内，服务商关于遵守哈国法律的合同约定便无法替代针对数据库“物理存放位置”的法定强制要求。
如果主数据库部署在境外，仅在哈萨克斯坦保留一份备份副本，是否满足要求？
根据当前的司法解释 — 不满足。核心主数据库必须部署在哈萨克斯坦境内。在满足跨境传输条件前提下允许将备份副本存放在境外，但这绝不能替代主数据存储的本地化要求。
哈国数字发展部如何获知数据的具体物理位置？
在进行数据库备案时，数据处理者须自行申报物理存储位置。此外，监管部门还会通过例行及专项检查、处理用户投诉举报，并与网络运营商协作监控数据跨境流动。
在收到监管部门的整改指令后，需要在多长时间内完成违法行为的整改？
具体的整改期限会在发出的整改指令中明确列明，通常为 30 至 90 天。若被认定存在系统性违规或拒绝执行整改指令，相关业务资源将面临被封禁的风险。
Looking for a data center in Kazakhstan to meet localisation requirements? Learn about colocation at Akashi — Central Asia’s first Tier IV data center, located in Astana.