Трансграничная передача данных в КР: практика госорганов и судов

Что такое трансграничная передача данных по законодательству КР?

Трансграничная передача — это любая операция, в результате которой персональные данные, собранные или обрабатываемые оператором на территории Кыргызстана, становятся доступны получателю за пределами страны. Закон «Об информации персонального характера» закрепляет это понятие без оговорок о форме передачи: она охватывает как прямую отправку файлов иностранному контрагенту, так и предоставление доступа к базе данных через API, облачное хранение с серверами за рубежом, а также включение данных в аналитические платформы, физически расположенные в другой стране.

Ключевой практический вопрос — кто считается оператором. Закон относит к операторам как юридических лиц, так и физических, если они самостоятельно или совместно с другими определяют цели и способы обработки данных. Для IT-компаний это означает, что статус оператора возникает не с момента регистрации в DPA, а с момента начала фактической обработки данных кыргызстанских пользователей. Регистрация у регулятора — отдельная обязанность, нарушение которой влечёт самостоятельную ответственность.

Закон различает два режима передачи: передачу в страны с «адекватным» уровнем защиты и передачу в страны без такого статуса. В первом случае дополнительных правовых оснований не требуется — оператор обязан лишь убедиться, что страна-получатель действительно включена в перечень DPA. Во втором случае необходимо одно из трёх оснований: согласие субъекта, договорные гарантии или специальное разрешение DPA. На практике большинство передач данных кыргызстанских IT-компаний попадает именно во второй режим, поскольку перечень стран с адекватной защитой пока невелик.

Разграничение между хранением и передачей в судебных делах 2025–2026 годов становится предметом споров. Суды, как правило, квалифицируют как передачу любой технический механизм, при котором данные оказываются реально доступны иностранному лицу — независимо от того, как оператор называет это в своей политике конфиденциальности. Финнадзор в части VASP-компаний придерживается аналогичного подхода: предоставление доступа к KYC-данным иностранному AML-провайдеру квалифицируется как трансграничная передача, требующая соответствующего правового основания.

Какие условия делают передачу данных за рубеж законной?

Закон «Об информации персонального характера» устанавливает три самостоятельных правовых основания, каждое из которых достаточно для легализации трансграничной передачи в страну без статуса адекватной защиты.

Согласие субъекта. Это наиболее часто используемый инструмент, однако на практике — наиболее уязвимый. Согласие должно быть информированным, свободным и конкретным: субъект обязан знать, в какую именно страну передаются его данные, какому получателю и с какой целью. Общая оговорка в пользовательском соглашении типа «данные могут передаваться третьим лицам» DPA последовательно признаёт недостаточной. В 2025 году агентство вынесло ряд предписаний, указав, что при отзыве согласия оператор обязан прекратить передачу в течение 10 рабочих дней и уведомить иностранного получателя об аннулировании правового основания.

Договорные гарантии. Второй механизм — заключение договора между оператором и иностранным получателем, включающего стандартные договорные условия (по аналогии с SCCs в европейском праве). Закон не содержит утверждённого шаблона таких условий; DPA в своих разъяснениях 2026 года ориентирует операторов на включение в договор обязательств получателя: обрабатывать данные только в заявленных целях, обеспечивать их защиту на уровне не ниже кыргызстанского стандарта, уведомлять оператора об инцидентах безопасности в течение 72 часов и допускать аудит. Отсутствие хотя бы одного из этих элементов даёт DPA основание квалифицировать договор как недостаточную гарантию.

Разрешение DPA. Третий механизм — получение специального разрешения агентства. Он применяется редко, поскольку носит разрешительный характер и требует подачи заявки с обоснованием невозможности использования первых двух оснований. Срок рассмотрения заявки, как правило, составляет 30 рабочих дней. На практике этот механизм используется преимущественно крупными операторами при передаче данных в рамках международных программ или при интеграции с иностранными государственными системами.

Помимо правового основания, оператор обязан уведомить DPA о факте трансграничной передачи до её начала. Форма уведомления утверждена агентством; в ней указываются страна-получатель, категории передаваемых данных, правовое основание и технические меры защиты. Отсутствие уведомления — самостоятельное нарушение, даже если само основание для передачи оформлено корректно.

Как DPA проверяет трансграничную передачу на практике?

Агентство по защите персональных данных ведёт надзор в трёх формах: плановые проверки по графику, внеплановые — по жалобам субъектов или третьих лиц, и мониторинг на основе открытых источников (публичные политики конфиденциальности, App Store / Google Play, корпоративная документация). IT-компании чаще всего сталкиваются с третьей формой: агентство самостоятельно анализирует политики конфиденциальности приложений и сервисов, выявляя упоминания иностранных получателей без надлежащего правового основания.

По данным открытой отчётности DPA за 2025 год, большинство выявленных нарушений в IT-секторе связано с тремя типовыми ситуациями. Первая — использование облачных сервисов (AWS, Google Cloud, Microsoft Azure) без договорных гарантий или с гарантиями, не адаптированными под кыргызстанские требования. Вторая — передача KYC/AML-данных иностранным провайдерам верификации без специального согласия субъектов. Третья — интеграция с иностранными аналитическими платформами (рекламные сети, CRM) при отсутствии уведомления DPA.

При выявлении нарушения DPA, как правило, выносит предписание об устранении с указанием конкретного срока — обычно от 15 до 30 рабочих дней. Повторное нарушение или неисполнение предписания в установленный срок влечёт составление протокола об административном правонарушении и передачу материалов в суд. Суммы штрафов устанавливаются судом в соответствии с Кодексом о правонарушениях КР — конкретные размеры уточняются в каждом деле и зависят от характера нарушения, объёма затронутых данных и поведения оператора при проверке.

Отдельная практика сложилась по жалобам от субъектов данных. DPA рассматривает их в течение 30 календарных дней и вправе запросить у оператора полный комплект документов по спорной передаче: правовое основание, договор с получателем, уведомление, журнал передачи. Операторы, не сохранившие эту документацию, фактически лишены возможности доказать законность передачи — бремя доказывания по закону лежит именно на операторе, а не на субъекте или регуляторе.

Позиция судов: что выносят МСЭД по спорам о данных?

Межрайонные суды по экономическим делам рассматривают споры о трансграничной передаче данных в двух форматах: обжалование предписаний и штрафов DPA операторами, и гражданские иски субъектов данных к операторам о компенсации вреда. По первой категории дел суды, как правило, поддерживают позицию агентства, если оно документально подтверждает факт нарушения и соблюдение процедуры проверки. По второй — практика только начинает складываться.

В делах об обжаловании предписаний суды проверяют три обстоятельства: соответствие процедуры проверки установленным требованиям, наличие и достаточность правового основания для передачи, а также соразмерность предписанной меры выявленному нарушению. Операторам удавалось частично отменить предписания в случаях, когда DPA не соблюло сроки уведомления о начале проверки или квалифицировало как трансграничную передачу операцию, которая фактически являлась внутренней обработкой данных с использованием иностранного ПО без доступа иностранного лица к самим данным.

По гражданским искам суды пока не выработали единого подхода к размеру компенсации морального вреда. Верховный Суд КР в ряде дел указывал, что сам факт незаконной передачи данных не означает автоматического причинения вреда — субъект обязан доказать конкретные негативные последствия. Это существенно снижает риск массовых исков, однако не устраняет репутационные последствия для оператора, если факт незаконной передачи стал публичным.

Для VASP-компаний, находящихся под надзором Финнадзора, суды применяют совокупный подход: нарушение требований о защите данных может учитываться при оценке соответствия AML/KYC-политик лицензионным требованиям. Travel Rule в части обмена данными о бенефициарах прямо предполагает трансграничную передачу — и суды в нескольких делах 2025 года отметили, что отсутствие договорных гарантий с иностранным VASP-контрагентом создаёт самостоятельный риск при лицензионных проверках.

Договорные гарантии: что включить в соглашение с иностранным получателем?

Договорные гарантии — наиболее универсальный инструмент для IT-компаний, работающих с несколькими иностранными получателями: согласие субъектов требует повторного сбора при изменении списка получателей, тогда как договор можно подписать один раз и при необходимости дополнить. Однако качество договора критично: DPA при проверке оценивает не только его наличие, но и содержание.

Обязательные элементы по позиции DPA 2026 года: чёткое определение категорий передаваемых данных и целей обработки; обязательство получателя не передавать данные субпроцессорам без письменного согласия оператора; стандарт технической защиты — шифрование при передаче и хранении, контроль доступа, логирование; обязательство уведомить оператора об инциденте безопасности в течение 72 часов; право оператора на аудит — самостоятельный или через третью сторону; порядок уничтожения или возврата данных при расторжении договора; применимое право и орган по разрешению споров.

Практическая проблема — типовые договоры крупных облачных провайдеров. AWS, Google и Microsoft предлагают стандартные Data Processing Agreements (DPA), которые частично соответствуют кыргызстанским требованиям, но не полностью: в частности, они редко содержат обязательство уведомления в 72-часовой срок именно оператора (а не регулятора страны расположения сервера) и не всегда предусматривают право на аудит в форме, приемлемой для небольшой IT-компании. DPA КР в своих разъяснениях 2026 года указало, что стандартные DPA крупных провайдеров могут приниматься как основание, однако оператор обязан дополнить их аддендумом, закрывающим указанные пробелы.

Для компаний, передающих данные сразу нескольким получателям, практичнее использовать многостороннее соглашение или унифицированный шаблон аддендума, применяемый ко всем DPA. Это снижает операционную нагрузку и позволяет при проверке представить регулятору единый документ вместо разрозненного пакета договоров.

Согласие субъекта: когда оно работает, а когда — нет?

Согласие как правовое основание для трансграничной передачи данных формально доступно любому оператору, однако его практическая надёжность ниже, чем у договорных гарантий. Причина — в волатильности: субъект вправе отозвать согласие в любой момент, и оператор обязан прекратить передачу в течение 10 рабочих дней. Для систем с непрерывной передачей данных (аналитические платформы, CRM с облачной синхронизацией) это создаёт операционный риск.

DPA последовательно признаёт недействительным согласие, полученное в следующих ситуациях: форма согласия является предварительно заполненной (pre-checked); согласие объединено с принятием пользовательского соглашения и не может быть дано отдельно; формулировка не содержит указания на конкретную страну-получатель или конкретного получателя; субъект не был уведомлён о праве на отзыв и о последствиях такого отзыва для предоставляемого сервиса.

Отдельный кейс — несовершеннолетние пользователи. Для них Закон «Об информации персонального характера» требует согласия законного представителя. IT-сервисы, не имеющие механизма верификации возраста, несут риск признания согласий несовершеннолетних недействительными — даже если форма согласия была технически корректной для взрослых пользователей. DPA в 2025 году направило предписания нескольким мобильным приложениям именно по этому основанию.

Согласие остаётся рабочим инструментом для разовых или редких передач — например, при передаче данных по запросу самого субъекта или при единовременной интеграции с иностранным партнёром в рамках конкретного проекта. Для текущей операционной деятельности, связанной с систематической передачей данных, договорные гарантии устойчивее.

Уведомление DPA: сроки, форма и типовые ошибки

Уведомление о трансграничной передаче — обязательный шаг, предшествующий началу передачи. Закон не устанавливает единого срока подачи уведомления «до» передачи: по сложившейся практике DPA рекомендует направлять его не позднее чем за 5 рабочих дней до начала операций. На практике агентство не инициирует санкции, если уведомление подано одновременно с началом передачи, — однако такой порядок создаёт риск при жалобе субъекта, поданной в первые дни после начала передачи.

Форма уведомления размещена на официальном сайте DPA. В ней указываются: наименование и реквизиты оператора; страна-получатель; наименование и реквизиты получателя; категории субъектов и категории данных; цель передачи; правовое основание (с приложением копии договора, формы согласия или разрешения); технические и организационные меры защиты; предполагаемые сроки хранения данных за рубежом.

Типовые ошибки при заполнении уведомления, по которым DPA возвращает документы: указание «третьи лица» вместо конкретного наименования получателя; ссылка на «договор» без приложения его копии или извлечения с условиями гарантий; отсутствие описания технических мер защиты (принято указывать шифрование, псевдонимизацию, контроль доступа); расхождение между категориями данных в уведомлении и в политике конфиденциальности, размещённой на сайте оператора.

При изменении условий передачи — новый получатель, новая страна, расширение категорий данных — оператор обязан подать обновлённое уведомление. Агентство ведёт реестр уведомлений, и при проверке сверяет его с фактической деятельностью оператора. Расхождения между реестром и реальными потоками данных — один из наиболее частых поводов для внеплановой проверки.

Санкционный контекст: как ограничения на передачу данных пересекаются с комплаенсом?

Трансграничная передача данных приобрела дополнительное измерение в контексте санкционного комплаенса. Ряд иностранных юрисдикций — в первую очередь страны ЕС и США — ввели ограничения на передачу определённых категорий данных из санкционных стран или в санкционные страны. Для кыргызстанской IT-компании, обслуживающей клиентов из разных юрисдикций, это означает необходимость одновременно соблюдать требования местного законодательства КР и отслеживать ограничения, которые могут применяться к получателю данных за рубежом.

Конкретный риск: IT-компания передаёт данные своих пользователей иностранному облачному провайдеру, который сам находится под вторичными санкциями или предоставляет услуги в юрисдикциях, подпадающих под экспортные ограничения. В этом случае получатель данных может оказаться не вправе принять их по собственному законодательству — и договорные гарантии, оформленные в соответствии с кыргызстанским правом, не устранят санкционный риск на стороне получателя. VASP-компании, для которых Transfer Rule предполагает обмен данными с иностранными контрагентами, особенно подвержены этому риску.

Подробнее о санкционном комплаенсе для бизнеса в КР читайте в Руководстве по санкционному комплаенсу в Кыргызстане. Отдельный анализ вторичных санкций применительно к КР и странам ЕАЭС — в материале «Вторичные санкции в Кыргызстане и странах ЕАЭС: сравнение». Актуальная новостная повестка по 20-му санкционному пакету ЕС — в материале «20-й пакет ЕС: на что обратить внимание в 2026 году».

Практический вывод: при выборе иностранного получателя данных IT-компании необходимо провести базовую санкционную проверку получателя (screening по спискам SDN, EU Consolidated List) до подписания договора о передаче. Этот шаг не заменяет документирование правового основания по кыргызстанскому праву, но закрывает риск, который кыргызстанское законодательство о персональных данных само по себе не адресует.

Документы, которые должны быть у оператора до начала передачи

Минимальный пакет документов, позволяющий оператору доказать законность трансграничной передачи при проверке DPA или в суде, включает несколько обязательных элементов. Их отсутствие не просто создаёт риск штрафа — оно лишает оператора процессуальной позиции, поскольку бремя доказывания законности передачи лежит на нём.

Политика конфиденциальности с разделом о трансграничной передаче: в ней должны быть названы страны-получатели, категории передаваемых данных и правовое основание для каждой передачи. Общие формулировки без указания конкретных получателей или стран агентство квалифицирует как нарушение требования о прозрачности.

Договор с иностранным получателем (или аддендум к стандартному DPA провайдера), содержащий все обязательные элементы договорных гарантий: цель, категории данных, стандарт защиты, уведомление об инцидентах, право на аудит, порядок уничтожения данных.

Уведомление DPA с отметкой о принятии или подтверждением направления. Без этого документа оператор не вправе ссылаться на соблюдение уведомительного порядка.

Журнал передачи данных — внутренний реестр, фиксирующий дату, категории данных, получателя и правовое основание каждой операции по передаче. Закон прямо предусматривает обязанность оператора вести такую документацию; её отсутствие при проверке DPA воспринимается как доказательство системного несоблюдения требований.

Форма согласия (если согласие используется как основание): с указанием конкретной страны и получателя, отдельная от пользовательского соглашения, с механизмом фиксации факта дачи согласия и его отзыва. Важно хранить подтверждения — скриншоты интерфейса, экспорт из базы данных с временными метками.

Дополнительно рекомендуется иметь внутренний регламент или политику трансграничной передачи данных — документ, описывающий внутренние процедуры компании: кто вправе инициировать передачу, кто её утверждает, как проводится проверка получателя, как ведётся журнал. Этот документ не обязателен по закону, но существенно укрепляет позицию при взаимодействии с DPA: агентство расценивает его наличие как свидетельство системного подхода к комплаенсу.

Статистика нарушений и тенденции надзора в 2026 году

По данным открытой отчётности DPA, количество выявленных нарушений в сфере трансграничной передачи данных выросло в 2025 году относительно 2024-го. Агентство связывает этот рост преимущественно с расширением мониторинга мобильных приложений и SaaS-сервисов — категорий, в которых трансграничная передача данных встроена в бизнес-модель, однако документальное оформление исторически отставало от регуляторных требований.

В структуре нарушений, по данным предписаний DPA 2025–2026 годов, доминируют три категории: отсутствие уведомления при фактически осуществляемой передаче (наиболее распространённое); использование стандартных DPA иностранных провайдеров без аддендума, закрывающего кыргызстанские требования; передача данных в страны, не включённые в перечень адекватной защиты, на основании согласия, которое не соответствует требованиям информированности и конкретности.

Тенденции надзора в 2026 году указывают на несколько направлений усиления. Первое — фокус на VASP и финтех: Travel Rule создаёт систематическую трансграничную передачу KYC-данных, и DPA координирует надзор с Финнадзором. Второе — внимание к рекламным технологиям: пиксели отслеживания, аналитические SDK и рекламные сети де-факто передают данные за рубеж, и агентство начало квалифицировать их как операторов или обработчиков, обязанных соблюдать уведомительный порядок. Третье — акцент на субпроцессорах: если иностранный получатель передаёт данные далее, в другую юрисдикцию, оператор остаётся ответственным за соблюдение требований по всей цепочке.

Разбор конкретного дела о трансграничных данных в контексте санкционного спора читайте в материале «20-й пакет ЕС: разбор спора и выводы». Общий обзор комплаенс-практики в КР — в хабе аналитики БЕКЕМ. Детальная проработка вашей ситуации — у Нурбека Турсунбаева, специализирующегося на комплаенсе и санкционных рисках.