Казахстан проверит пять компаний «Яндекса» после масштабного сбоя и вопросов о хранении персональных данных

Власти Казахстана до конца ноября проведут внеплановые проверки пяти юридических лиц группы «Яндекс». Министерство искусственного интеллекта и цифрового развития выяснит, где хранятся персональные данные казахстанцев, соблюдает ли компания местный закон и как защищает информацию. Поводом стал масштабный сбой 11 октября, после которого в стране перестали работать сервисы поездок и доставки.

О проверках сообщил вице-премьер и министр искусственного интеллекта и цифрового развития Жаслан Мадиев в ответе депутату Курултая Ляззат Жылкыбаевой, которая обратилась в ведомство после октябрьских перебоев. Проверят пять зарегистрированных в республике организаций, среди которых ТОО «Яндекс Казахстан», ТОО «Yandex Bastau» и ТОО «Яндекс. Еда Казахстан». Если инспекторы найдут нарушения, компаниям выдадут рекомендации и рассмотрят вопрос об административной ответственности.

Заказы встали, базы работали

Сбой остановил заказы в Yandex Go, доставку еды и товаров, «Яндекс Лавку» и аренду самокатов. Водители и курьеры не могли нормально принимать и выполнять заказы, а магазины и рестораны-партнёры рисковали сорвать доставку.

В пресс-службе Yandex Go объяснили, что сервисы работают на распределённой инфраструктуре, и неисправность компонента на сервере в другой стране может остановить приложение за её пределами. Казахстанские СМИ называли причиной повреждения российских дата-центров «Яндекса» после налётов беспилотников в Рязанской и Владимирской областях. Заказы в приложениях компании у российских пользователей тоже зависят от площадок в разных регионах, и удар по одному дата-центру может остановить сервис далеко за пределами его региона.

Министерство уточнило, что серверы с персональными данными казахстанских пользователей стоят в республике и работали штатно, а часть технологических компонентов расположена за границей. Судя по заявлению Жаслана Мадиева, инспекторы изучат сбор, обработку и хранение персональной информации, локализацию баз и меры защиты, а внимание сосредоточат на трёх вопросах:

• где физически размещены базы казахстанских пользователей и их резервные копии;
• какие сведения уходят зарубежным подразделениям и подрядчикам и на каком основании;
• как защищены системы, кто имеет к ним доступ и фиксируются ли действия сотрудников.

Что требует закон

Закон № 94-V «О персональных данных и их защите» от 21 мая 2013 года в статье 12 требует хранить персональные данные в базе на территории Казахстана. Закон регулирует место хранения данных, а не размещение всех серверов и вычислительных мощностей платформы.

Статья 16 разрешает передачу данных за границу при соблюдении условий, в том числе при защите информации в стране-получателе. Наличие зарубежных серверов само по себе нарушением не считается, поэтому регулятору предстоит установить, какие сведения уходят за пределы республики, на каком основании и кому доступны.

Сервисы поездок и доставки обрабатывают данные нескольких типов, которые проходят через разные системы, и проверять приходится всю цепочку, а не один профиль пользователя:

• имена, номера и адреса подачи автомобиля или доставки;
• список прошлых заказов и платёжные сведения;
• данные водителей и курьеров и технические сведения о работе приложений.

Какие нарушения находили раньше

В 2025 году ведомство провело 77 внеплановых проверок и рассмотрело 38 административных дел. К ответственности привлекли пять физических лиц и 33 юридических и должностных лица, а сумма штрафов составила 17 546 350 тенге. С начала 2026 года прошли 44 проверки. Министерство перечислило, что находили у организаций:

• отсутствие согласий граждан на обработку информации и избыточный сбор сведений;
• отсутствие ответственных сотрудников и утверждённых списков лиц с доступом к данным;
• отсутствие многофакторной аутентификации, журналирования, шифрования, антивирусов и межсетевых экранов.

Закон № 326-VIII от 24 июня 2026 года изменил профильное регулирование, и часть норм вступила в силу 25 августа. Операторы должны уведомлять уполномоченный орган о начале обработки персональных данных и делятся по масштабу деятельности. Платформам, которые работают с водителями, курьерами, магазинами и платёжными сервисами, придётся описывать регулятору цели обработки, состав информации, системы и круг лиц с доступом.

Максимальный штраф для крупного бизнеса по статье 79 Кодекса об административных правонарушениях достигает 2000 МРП, то есть 8,65 млн тенге при показателе 4325 тенге в 2026 году. Размер зависит от нарушения:

• 200 МРП за незаконный сбор или обработку данных;
• 600 МРП за то же с использованием служебного положения и за несоблюдение мер защиты;
• 2000 МРП за нарушение мер защиты, повлёкшее утрату или незаконную обработку данных.

На 12 ноября результаты проверок не опубликованы, поэтому о нарушениях и штрафах говорить рано. Российским IT-компаниям, которые работают в Казахстане или готовят выход на рынок республики, стоит заранее сверить схему хранения и передачи данных со статьями 12 и 16 закона, пока регулятор разбирает случай «Яндекса».

Эксперты CISOCLUB заявили, что локализация базы данных сама по себе не гарантирует независимость сервиса от зарубежной инфраструктуры, а октябрьский сбой в Казахстане показал это на живом примере. Заказы остановились при работающих серверах с данными, потому что авторизация, маршрутизация запросов и обработка платежей могли находиться в другом месте.

Оператору нужно составить карту потоков данных и знать, какие системы и какие подрядчики видят каждую категорию сведений. Отдельного внимания требуют договоры с поставщиками облаков и платёжными сервисами, где обязанности по защите данных должны быть закреплены письменно. Пользователям остаётся выяснять, где хранятся их данные и кто за них отвечает.

Ранее сообщалось, что «Яндекс» восстановил доступ к 97,16% пользовательских данных Yandex Cloud после октябрьских атак беспилотников на три дата-центра. Оставшиеся 2,84% информации оказались безвозвратно утрачены из-за повреждения оборудования и отсутствия резервных копий. Клиенты, использовавшие резервное копирование, сохранили все данные, а для новых виртуальных машин эта функция теперь включается автоматически.