一、 敏感数据的定义与分类

哈萨克斯坦法律虽未直接使用“敏感数据”一词，但通过法规将以下数据视为高度敏感并予以特殊保护：

1. 个人敏感信息：如健康记录、基因数据、生物识别数据等。

2. 国家安全类数据：涉及国防、军事、能源战略、国家机密等。

3. 金融与支付系统核心数据：如交易行为、反洗钱日志。

4. 通信元数据：如通话记录、IP地址。

5. 医疗健康数据：患者病历、诊疗记录。

6. 国家地理空间数据：包含国家边界或敏感测绘信息。

二、 特殊保护规定

三、 具体场景的特殊操作要求

针对不同类型敏感数据，实际操作中还需满足以下特殊要求：

· 医疗数据：必须遵守《医疗信息保护规定》，强调境内优先存储，传输需患者授权。

· 通信元数据：所有电信公司必须将用户的通信元数据存储在哈国境内，禁止传输至境外，受《通信法》及2023年第220/NK号命令约束。

· 生物识别数据：属于高度敏感的个人数据，其保密性由《个人数据法》第11条专门规定，处理要求更为严格。

四、 关键合规提示

企业处理哈萨克斯坦敏感数据时，必须建立数据分类制度，明确区分“普通数据”与“敏感数据”。对于后者，不能简单依据“企业经营数据可自由出境”的原则操作，而必须获得官方许可、满足本地化存储，并取得数据主体明确授权。