哈萨克斯坦 · 数据隐私

核心要点

• 法律基础：Law No.94-V（2013年颁布，2021年、2022年、2025年多次修订），最新版本于2025-01-07生效。
• 合法处理：须具备同意、合同必要或法定义务等合法基础；数据仅可用于收集时所声明的目的。
• 跨境传输：仅当接收国提供充分保护水平或采取具体保障措施（如标准合同/认证）时方可进行。
• 2025-12-22新规：记录不少于10万条的数据库所有者或运营方须强制实施含生物识别验证的多因素认证（MFA）。
• 数据主体权利：访问、更正、删除、可携、反对、限制处理。
• DPO：大规模处理或处理敏感数据（生物/健康/金融/刑事）的运营方须设立数据保护负责人。
• 罚则：行政罚款100至10,000 MCI（约300至30,000美元），情节严重的可暂停处理并追究刑事责任。
• 双重合规：在哈萨克斯坦处理哈国居民数据须同时满足 PIPL 出境要求（安全评估/标准合同/认证）与哈萨克斯坦本地法律。
• 中国数据出境义务（pkulaw 核验 2026-07）：向境内传输或回传数据须择一适用安全评估（网信办令11号）、标准合同（13号）或认证（网信办·市监总局令20号，2025-10-14）；2024至2025年监管口径已放宽——《促进和规范数据跨境流动规定》（16号）、《网络数据安全管理条例》（国务院令790号）落地，部分情形免于申报。

办理流程

1. 盘点处理活动，建立处理记录（ROPA）。
2. 确定合法基础（优先为同意或合同），发布哈萨克语/俄语双语隐私政策。
3. 跨境传输前评估接收国充分性（adequacy）或签署标准合同条款（SCC）/取得认证。
4. 记录达10万条以上的数据库部署生物识别 MFA（2025-12-22强制）。
5. 设立 DPO（如触发条件）、建立数据主体请求响应与泄露应急机制。
6. 与中国母公司 PIPL 出境合规要求相衔接。

硬性要求

• 合法基础与透明告知。
• 跨境传输充分性/保障措施。
• 大规模数据库生物识别 MFA（2025年底强制）。
• DPO 与处理记录。

费用