カザフスタンの個人情報保護法を弁護士が解説

中央アジアの経済的中心地として急速なデジタル化を推し進めるカザフスタン共和国（以下、カザフスタン）では、近年、個人のプライバシーおよび個人データの保護に関する法規制が極めて厳格化しています。本記事では、カザフスタンにおける包括的な個人情報保護法である2013年5月21日施行の「個人データとその保護に関するカザフスタン共和国法（The Law of the Republic of Kazakhstan on Personal data and its Protection、法律第94-V号）」について、日本の法律との比較を交えながら詳細に解説します。本記事が想定する主要な読者は、カザフスタンでのビジネス展開や投資を検討している日本企業の経営者や法務部員の皆様です。

本記事の全体的な要点として、第一に、カザフスタンには自国民の個人データを国内の物理的なサーバーに保存することを義務付ける厳格な「データローカライゼーション規制」が存在し、本人の同意を前提として柔軟な海外移転を認める日本の個人情報保護法とは大きく異なる点に注意が必要です。第二に、個人データの侵害（漏洩など）が発生した場合、所管官庁に対して「1営業日以内」という極めて短期間での通知が義務付けられており、企業には迅速なインシデント対応体制の構築が不可欠です。第三に、個人データの収集・処理における同意取得の手続きが非常に厳格であり、法律で定められた8つの必須項目を網羅した明示的な同意が求められます。

さらに、2025年末の人工知能（AI）法の成立や2026年のデジタル法典の制定など、最先端の技術進展に伴う法改正が矢継ぎ早に行われており、同意の有効期間の制限や撤回権がより明確化され、違反時の罰金も劇的に引き上げられました。これらの規制に違反した場合、行政裁判所において実際に多額の罰金が科される判例も相次いでおり、実務上の運用も非常に厳格です。以下の解説を通じて、カザフスタン特有の法的要件を正確に把握し、現地のコンプライアンス体制を構築するための実践的な知識を深めていただければ幸いです。

カザフスタンにおける個人情報保護法の基本構造と適用範囲

カザフスタンにおける個人データ保護の基本法は、2013年に制定された「個人データとその保護に関するカザフスタン共和国法」です。この法律は、公的部門および民間部門の双方に等しく適用され、カザフスタン国内で個人データの収集、処理、保存、移転、破棄を行うすべての組織を対象としています。また、外国企業であっても、カザフスタン国内で事業を展開し、現地の従業員や顧客の個人データを処理する場合、あるいはカザフスタン国内のデータ処理インフラを利用する場合には、本法の適用を受けます。

本法における「個人データ」の定義は、特定の個人に関連する情報、またはそのデータに基づいて個人を識別できる情報とされており、氏名、個人識別番号（IIN）、住所、電話番号、電子メールアドレス、生体情報、健康情報、財務情報などが広く含まれます。この点は、日本の個人情報保護法における「個人情報」の定義と概ね軌を一にしています。また、個人データの収集および処理は、原則としてデータ主体（本人）またはその法定代理人の同意を得た場合にのみ適法とされるという基本原則も、日本法と共通しています。

個人データ保護の分野を監督する主要な国家機関は、デジタル発展・イノベーション・航空宇宙産業省です。同省は、データ保護に関する規制の策定、コンプライアンスの監視、違反者に対する行政指導や制裁の権限を有しており、カザフスタンにおけるプライバシー保護の要として機能しています。

カザフスタンと日本の個人情報保護法の重要な相違点

日本企業がカザフスタンに進出する際、日本の個人情報保護法と同じ感覚で実務を行うと、重大な法令違反に問われるリスクがあります。日本の法律とほぼ同じである基本原則（適法な取得、目的外利用の禁止、安全管理措置の義務など）の詳細は割愛しますが、実務上極めて重要となる日本法との決定的な違いについて詳しく解説します。以下の表は、両国の主要な規制要件を比較したものです。

厳格なデータローカライゼーション（国内保存）義務

カザフスタンの個人情報保護法において最も注意すべき特徴の一つが、データローカライゼーション（データの国内保存）の義務付けです。本法第22条および関連規定に基づき、2016年1月1日以降、カザフスタン国民の個人データを収集・処理する際は、カザフスタンの領土内に物理的に配置されたデータベース（サーバー）を使用しなければなりません。日本の個人情報保護法では、外国にある第三者への個人データの提供について、本人の事前同意を得るか、あるいは提供先が日本と同等の水準にあると認められる基準（相当措置）を満たしていれば、海外のサーバーにデータを保存することが一般的に認められています。

しかし、カザフスタンの法律では、クラウドサービスを利用する場合であっても、カザフスタン国民の主要な個人データを含むデータベースはカザフスタン国内のデータセンターに物理的に存在していなければなりません。バックアップや一部のコピーを国外に移転すること自体は、一定の条件を満たせば可能ですが、プライマリデータベースの国内設置義務を免れることはできません。この規制により、日本企業はグローバルで統合されたクラウドベースの人事システムや顧客管理システムをそのまま利用することが難しく、カザフスタン国内のサーバープロバイダーと新たに契約を結ぶなどの対応が迫られます。

1営業日以内のデータ侵害通知義務

サイバーセキュリティの脅威が高まる中、カザフスタンではデータ侵害（漏洩、滅失、毀損など）が発生した際の報告義務が極めて厳格に定められています。2023年12月の法改正により導入され、2024年7月1日から施行された新規定によれば、個人データのデータベースの所有者およびオペレーターは、個人データのセキュリティ侵害を発見した場合、発見から「1営業日以内」に所管官庁であるデジタル発展・イノベーション・航空宇宙産業省に通知しなければなりません。

日本の個人情報保護法においてもデータ漏洩時の個人情報保護委員会への報告義務は存在しますが、速報と確報という二段階の猶予が設けられています。これに対し、カザフスタンの「1営業日以内」という要件は、欧州のGDPR（72時間以内）と比較しても非常に短く、企業側には侵害を検知して即座に状況を把握し、行政庁へ報告するための高度なインシデント対応プロセスが事前に構築されていることが求められます。

データ侵害通知の要件に関する実務的な指針は、現地の専門法律事務所の解説で確認することができます。

参考：Bond Stone法律事務所のデータ保護実務解説

8つの必須項目を要求する厳格な同意取得手続き

個人データの収集における同意の取得方法についても、日本とは異なる厳格なアプローチが採られています。日本の実務では、プライバシーポリシーの掲示による黙示的な同意や、一定の要件下でのオプトアウト方式が許容される場面がありますが、カザフスタンでは本法第8条に基づき、明示的で具体的な同意が要求されます。

特に実務上重要となるのが、同意書に含めるべき必須項目の多さです。カザフスタンの法律では、同意を取得する際に少なくとも8つの特定の要素を含めることが求められています。これには、オペレーターの事業者登録番号（BIN）、同意の有効期間、越境移転に関する詳細事項、公開情報源へのデータ配布の有無などが含まれます。国際的なテンプレートをそのまま翻訳して使用した場合、これらのカザフスタン固有の必須要件を満たせず、同意そのものが無効とみなされるリスクがあります。また、近年の規制強化により、同意の有効期間は目的達成に必要な期間を超えてはならないという制限が明記され、データ主体がいつでも無条件に同意を撤回できる権利も一層強化されています。

カザフスタンの人工知能およびデジタル関連規制の動向

カザフスタンは、最新のデジタル技術に法制度を適応させるため、非常に速いペースで包括的な法改正を行っています。とりわけ注目すべきは、2025年11月17日に成立した人工知能に関する新法（法律第230-VIII号）およびこれに伴う個人情報保護法等の改正法（法律第231-VIII号）です。このAI法は、人工知能システムの開発と利用に関する包括的な枠組みを定めたものであり、AIを利用して個人データを処理する際のセキュリティ要件や、特定の機微データを利用した広告配信などの規制見直し、自動化された意思決定におけるデータ主体の権利保護を強化しています。

さらに、2026年1月9日にはデジタル環境全体を規定する「デジタル法典（法律第256-VIII号）」が成立し、同年7月1日から主要な規定が施行される予定です。1600万人規模の国民データ漏洩事件など過去に発生した大規模なセキュリティインシデントへの反省から、デジタル衛生の向上と法規制の厳罰化が国家的な急務とされてきました。これらの法典の制定と同時に行われた一連の法改正により、同意の撤回権や生体情報の取り扱いに関する規定がより詳細に規定されることとなりました。

カザフスタンの罰則規定厳格化と行政裁判所における判例の動向

デジタル関連法制の整備に伴い、個人情報保護違反に対する罰則もかつてない規模で強化されました。カザフスタンの行政罰法典（Code of Administrative Offences）第79条の改正により、個人データの保護に関する法令違反に対する罰金は最大で月額計算指数（MCI）の2000倍（約790万テンゲ）に引き上げられました。さらに、大規模なデータ漏洩などの重大な違反に対しては最大5000MCIの罰金や刑事罰が科される方針も政府によって示されています。また、行政責任を追及できる出訴期限（時効）も従来の2ヶ月から1年に延長され、規制当局が過去の違反を遡って摘発しやすい環境が整えられています。

カザフスタン共和国最高裁判所による規範的決定と下級審の動向

カザフスタンの司法実務においては、個人データの不正処理に対する行政罰の妥当性が頻繁に争われています。カザフスタン共和国最高裁判所は、2023年12月7日付の規範的決定第5号において、行政手続における個人の特定とデータ処理に関して、公式な身分証明書の記録に厳密に従って個人データを取り扱うべき旨を判示し、行政機関および下級審に対する厳格な運用指針を示しました。

この最高裁判所の厳格な方針は、下級審の判断にも明確に反映されています。当事者名が匿名化された形で公開されているアルマトイ市の行政裁判所などにおける近年の判例を調査すると、法要件がいかに厳密に適用されているかがわかります。

例えば、政府機関向けの通信サービスを提供する小規模な通信会社が、入札書類に元従業員の個人データを本人の明確な書面による同意なく記載した事件において、同社は規制当局から140ユーロ相当の罰金を科されました。会社側は「口頭での同意は得ていた」と主張して裁判所に提訴しましたが、裁判所は、口頭での同意は法的に不十分であり書面等の明確な記録が必要であるとして会社側の訴えを退け、罰金を適法と判断しました。

また別の事例では、ある市民がローンの申し込みを行った際、申込者が勝手に記入した知人の連絡先情報を利用し、銀行がその知人に対して2年間にわたり電話をかけ続けた行為が問題となりました。知人側が銀行に対して自身のデータの利用停止を求めたにもかかわらず銀行が処理を継続したため、規制当局が介入しました。裁判所は、銀行が本人からの同意を得ずにデータを処理し、苦情を受けた後も適法性を確認する措置を怠ったとして、銀行に対して400ユーロ相当の罰金を科しました。

さらに、民間企業だけでなく公的機関に対する法適用も例外ではありません。アルマトイ市の国家機関が、市民の個人データを適切な同意手続きを経ずに情報システム内で利用した事件では、同機関が手続上の瑕疵や「第三者機関がデータを処理していた」といった弁明を行ったものの、裁判所はこれを退け、国家機関に対しても140ユーロ相当の罰金処分を維持する判決を下しています。

これらの判決から、カザフスタンの裁判所は口頭での同意や曖昧な手続きを一切認めず、法要件を厳格に適用しているということが言えるでしょう。日本企業が現地の従業員を採用する場合や、現地の顧客に対してサービスを提供する場合には、法定の8要件を満たした書面または電子的な同意書を確実に取得し、保管するコンプライアンス体制を構築することが急務です。

まとめ

本記事で解説した通り、カザフスタン共和国における個人情報保護法は、急速なデジタル化とAI等の新技術の普及を背景に、極めて厳格かつ現代的な法制度へと進化を遂げています。特に、カザフスタン国内へのサーバー設置を義務付けるデータローカライゼーション要件や、データ侵害時の「1営業日以内」という非常に短い通知義務、そして8つの必須項目を定めた厳格な同意取得の手続きは、日本の法律の感覚のままでは対応が難しく、現地でのビジネス展開において重大なリスクとなり得ます。また、2025年のAI法や2026年のデジタル法典の導入によって罰則が大幅に強化されており、現地の行政裁判所も法違反に対して妥協のない厳しい判決を下している現状を重く受け止める必要があります。

モノリス法律事務所では、ITビジネスや越境データ移転に関する豊富な知見を活かし、グローバルに展開する日本企業の皆様に向けた法的支援を提供しております。カザフスタンにおけるビジネス展開に伴う特有の法的リスクの評価や、現地の最新の個人情報保護法に準拠したプライバシーポリシーおよび社内規程の整備などを通じて、皆様の事業の安全な推進をサポートいたします。海外進出時のデータコンプライアンスに関してご懸念やご不明な点がございましたら、ぜひお気軽にご相談ください。