Le Kazakhstan s’apprête à procéder à un contrôle des activités de Yandex, notamment ses services de taxis et de livraison de repas. Les autorités veulent vérifier où sont stockées les données personnelles des utilisateurs et dans quelles conditions elles sont exploitées. Déclenchée après une panne majeure en octobre 2026, cette initiative ravive une controverse sensible : l’accès potentiel des services de renseignement russes aux informations collectées par le géant technologique.
Yandex au Kazakhstan : cinq sociétés visées par des contrôles
Le 11 novembre 2026, le Kazakhstan a fait connaître son intention de renforcer la surveillance de Yandex. Le ministère de l’Intelligence artificielle et du Développement numérique prévoit des inspections extraordinaires de plusieurs sociétés du groupe russe présentes dans le pays. L’annonce fait suite à une demande parlementaire adressée au gouvernement après les dysfonctionnements de la plateforme Yandex Go, qui avaient perturbé les déplacements et les livraisons dans plusieurs villes du Kazakhstan.
Au-delà des problèmes techniques, l’affaire soulève des questions plus sensibles. Où sont réellement traitées les informations personnelles des clients ? Quels acteurs peuvent y accéder ? Et dans quelle mesure des données concernant les déplacements de citoyens kazakhstanais pourraient-elles relever de la législation russe ? Autant d’interrogations auxquelles les autorités d’Astana entendent apporter des réponses, alors que le groupe continue de défendre sa conformité aux règles nationales.
Dans une réponse officielle datée du 10 novembre 2026, le vice-Premier ministre et ministre de l’Intelligence artificielle et du Développement numérique, Zhaslan Madiyev, annonce des contrôles avant la fin du mois. Cinq entités juridiques sont concernées, selon le document publié sur le portail du Parlement : Yandex Kazakhstan, Yandex Bastau, Yandex Taxi Corp, Yandex Eda Kazakhstan et Yandex LLP.
L’objectif consiste à déterminer si ces sociétés respectent les obligations imposées par la législation kazakhstanaise en matière de collecte, de traitement et de conservation des informations personnelles. Les enquêteurs devront notamment vérifier la localisation des serveurs et examiner les dispositifs destinés à empêcher l’accès non autorisé aux données.
« Les inspections comprendront un examen approfondi et complet du respect de la législation relative à la protection des données personnelles, notamment concernant leur stockage localisé et les mesures organisationnelles et techniques destinées à les protéger », a précisé Zhaslan Madiyev dans sa réponse officielle. La question de la localisation constitue un enjeu central. Les autorités doivent pouvoir déterminer non seulement l’emplacement physique des informations collectées, mais aussi les conditions de leur exploitation. Une plateforme peut en effet stocker des fichiers dans un pays tout en utilisant des infrastructures situées à l’étranger pour faire fonctionner certaines de ses applications. Le ministère examinera également les mécanismes de contrôle interne des entreprises. Il s’agit de vérifier que les informations collectées correspondent aux besoins réels des services proposés et qu’elles ne sont pas conservées au-delà des délais autorisés.
Si des manquements sont établis, des mesures correctives pourront être exigées. Les autorités envisagent également des procédures administratives contre les responsables concernés. Les inspections ne constituent cependant pas, à ce stade, une reconnaissance de culpabilité : aucun résultat officiel établissant une infraction de Yandex n’a encore été publié. « À l’issue des inspections, les informations correspondantes seront communiquées aux médias », a assuré Zhaslan Madiyev dans sa réponse parlementaire.
Cette promesse de transparence sera particulièrement observée. Les autorités devront préciser les éventuelles irrégularités constatées et, le cas échéant, les mesures imposées aux sociétés concernées.
Kazakhstan : une panne qui a révélé les fragilités de l’écosystème numérique
L’initiative gouvernementale trouve son origine dans les événements du 11 octobre 2026. Ce jour-là, les utilisateurs kazakhstanais de Yandex Go ont rencontré d’importantes difficultés pour commander un taxi ou organiser une livraison. Les perturbations ont également touché les chauffeurs et les coursiers dont l’activité dépend de la plateforme. Ces dysfonctionnements sont survenus après des frappes ukrainiennes sur des centres de données de Yandex situés en Russie. L’entreprise a expliqué que des dommages affectant son infrastructure étrangère avaient perturbé le fonctionnement de plusieurs services.
Le problème a immédiatement pris une dimension politique. Les autorités kazakhes ont indiqué que les serveurs destinés à conserver les informations personnelles des utilisateurs locaux se trouvaient sur le territoire national et continuaient à fonctionner normalement. Elles ont toutefois reconnu qu’une partie des composants nécessaires aux services de transport et de livraison était installée à l’étranger.
Cette distinction est essentielle. Le stockage local des données ne garantit pas automatiquement l’autonomie technique d’une application. Un service peut conserver ses bases d’informations au Kazakhstan tout en dépendant, pour le traitement des commandes ou le fonctionnement de ses outils, d’équipements localisés dans un autre pays.
La panne a ainsi révélé une vulnérabilité qui dépasse les questions habituelles de cybersécurité. Une défaillance dans une infrastructure extérieure peut désorganiser un service indispensable aux déplacements quotidiens et perturber directement l’activité économique locale. La députée Lazzat Jylkybaeva a porté ces préoccupations devant le parlement. Le 14 octobre 2026, elle a adressé une demande au procureur général Berik Assylov et au ministre Zhaslan Madiyev. Elle a notamment attiré leur attention sur la nature des informations traitées par les applications de transport : numéros de téléphone, adresses, itinéraires et données de paiement.
Pour les parlementaires, il devient nécessaire de clarifier les pays dans lesquels ces informations sont effectivement traitées ainsi que les règles juridiques applicables aux différents traitements. La question ne se limite donc pas à savoir où se trouve un serveur. Elle concerne également les possibilités d’accès à distance et les conditions dans lesquelles des données peuvent être communiquées à des tiers.
Un nouvel élément est venu renforcer les inquiétudes autour de la fiabilité des infrastructures russes. Le 10 novembre 2026, Yandex a annoncé avoir rétabli l’accès à 97,16% des données de ses clients Yandex Cloud affectées par les attaques contre ses centres de données. « Les 2,84 % restants ne peuvent pas être récupérés en raison des dommages critiques subis par les équipements et de l’absence de sauvegardes effectuées par les clients sur la plateforme », a expliqué Yandex par communiqué le 10 novembre 2026.
Le groupe précise que les clients ayant utilisé ses outils de sauvegarde ont conservé l’intégralité de leurs données. Il a également décidé d’activer automatiquement cette fonctionnalité lors de la création de nouvelles machines virtuelles. Cette perte concerne les services de cloud computing touchés en Russie – les clients kazakhstanais de Yandex Cloud n’en ont pas souffert puisque le centre de données les desservant se trouve à Karaganda.
Yandex et le FSB : pourquoi le Kazakhstan s’inquiète des données personnelles de ses ressortissants
Derrière les préoccupations techniques se trouve une controverse plus ancienne. En Russie, la réglementation des services de réservation de taxis a été modifiée en 2023 pour organiser l’accès du Service fédéral de sécurité, le FSB, aux systèmes d’information des opérateurs concernés. Le dispositif est entré en vigueur le 1er septembre 2023. Il prévoit notamment, pour certaines catégories d’opérateurs, un accès distant permanent aux systèmes informatiques utilisés pour enregistrer, conserver et traiter les commandes de taxis. Le cadre réglementaire autorise également les services de sécurité à demander des informations issues des registres électroniques de réservations. Les délais de réponse peuvent être de trois ou dix jours ouvrables, suivant le caractère urgent ou non de la demande. Le sujet dépasse donc la simple collecte commerciale des données. Les itinéraires enregistrés, les lieux de prise en charge, les destinations et les informations associées aux courses peuvent présenter un intérêt pour les renseignements russes.
C’est cette perspective qui avait déclenché une controverse internationale en août 2023. Une enquête du média indépendant Meduza affirmait alors que les données relatives à des trajets effectués à l’étranger étaient également conservées dans des centres informatiques russes. Cette architecture faisait craindre que le FSB puisse accéder à des informations concernant des utilisateurs situés hors de Russie.
Au Kazakhstan, la filiale de l’entreprise avait rejeté l’idée d’un accès automatique des services de renseignement russes aux informations de ses clients. « La législation russe ne s’applique pas au service au Kazakhstan ni à ses utilisateurs, puisqu’ils effectuent leurs déplacements et utilisent l’application en dehors de la Russie », assurait Yandex Kazakhstan. L’entreprise précisait alors que les autorités étrangères, y compris russes, ne pouvaient demander des données liées à ses activités kazakhstanaises que dans le cadre de procédures officielles et des mécanismes internationaux applicables.
Cette distinction reste fondamentale pour comprendre le dossier actuel. L’existence d’une réglementation autorisant le FSB à accéder à des bases de données de taxis en Russie ne démontre pas que Yandex lui transmet les informations relatives aux déplacements effectués au Kazakhstan. L’enjeu consiste précisément à distinguer le lieu de conservation des informations, leur circulation entre composants techniques et les droits d’accès dont peuvent disposer différentes autorités. À ce stade, les documents officiels relatifs aux inspections de novembre ne font état d’aucun transfert confirmé de données personnelles kazakhes vers le FSB. Ils ne mentionnent pas non plus une accusation formelle visant Yandex pour une telle transmission.
L’initiative du ministère doit donc être comprise comme une opération de contrôle de conformité, dans un contexte marqué par des inquiétudes persistantes concernant la souveraineté numérique et la protection des informations personnelles.
Kazakhstan : une législation de plus en plus stricte sur les données personnelles
Ce contrôle de Yandex intervienn alors que le Kazakhstan renforce progressivement son arsenal juridique contre les utilisations abusives des données personnelles. Dans sa réponse aux parlementaires, Jaslan Madiev rappelle notamment les obligations imposées par la législation sur la protection des données. Les organismes doivent limiter la collecte aux informations strictement nécessaires à un objectif précis. Ils ne peuvent pas exiger des renseignements supplémentaires sans justification ni conserver indéfiniment les informations recueillies. Ces règles concernent aussi les plateformes numériques qui utilisent des données pour fournir leurs services. Une entreprise doit pouvoir justifier les informations collectées, leur durée de conservation et les conditions dans lesquelles elles sont éventuellement communiquées à des tiers.
Le cadre réglementaire a été durci le 22 décembre 2025. Des dispositions prévoient désormais une identification biométrique obligatoire pour les opérateurs traitant plus de 100.000 données personnelles à accès restreint, conformément aux précisions fournies par le ministère dans sa réponse du 10 novembre 2026.
Une nouvelle étape a été franchie avec l’adoption, le 24 juin 2026, d’une loi renforçant la sécurité des informations personnelles. Celle-ci prévoit notamment l’utilisation de techniques de masquage et de hachage, destinées à réduire l’exposition des informations sensibles.
Les autorités ont également introduit des règles encadrant l’extraction de données depuis les infrastructures numériques d’importance critique. Parallèlement, un système d’enregistrement des organismes chargés de collecter ou de traiter des données personnelles doit permettre d’améliorer le suivi de leurs activités.
Le ministère travaille à une nouvelle version du service public de contrôle d’accès aux données personnelles. L’objectif affiché est de permettre aux citoyens de mieux connaître les motifs pour lesquels leurs informations sont consultées et les fondements juridiques de ces accès.
La question de la protection des renseignements privés dépasse largement le secteur des transports. Dans la même réponse parlementaire, Zhaslan Madiyev a révélé plusieurs affaires de divulgation illégale dans des établissements éducatifs, sans rapport établi avec Yandex. À Semeï, des informations concernant 3.752 employés et 344 mineurs avaient été rendues accessibles, selon la réponse officielle du ministre. Dans la région de Kyzylorda, un autre incident avait touché 529 salariés du secteur éducatif, d’après le même document. Au total, ces affaires concernent 4.625 personnes. Le ministère affirme que les données concernées ont été retirées de l’accès public après l’intervention des autorités judiciaires et que des responsables ont été sanctionnés.
Ces incidents illustrent les difficultés auxquelles le pays est confronté pour sécuriser des informations personnelles de plus en plus nombreuses, collectées par des administrations comme par des entreprises privées.
La protection des données bénéficie désormais d’un fondement constitutionnel renforcé. L’article 21 de la Constitution adoptée lors du référendum du 15 mars 2026 consacre expressément le droit des citoyens à être protégés contre la collecte, le traitement, la conservation et l’utilisation illégaux de leurs informations personnelles, y compris au moyen des technologies numériques, comme le rappelle la réponse ministérielle. Pour les utilisateurs des services de transport et de livraison, ces nouvelles garanties devront se traduire par des mécanismes concrets : un meilleur encadrement des accès, une limitation des données conservées et une identification plus précise des acteurs susceptibles de les traiter.
Le ministère souligne enfin que les citoyens peuvent saisir ses services lorsqu’ils soupçonnent une collecte ou une divulgation illégale de leurs informations. Ils peuvent également engager des procédures judiciaires pour défendre leurs droits, tandis que les affaires susceptibles de constituer des infractions pénales relèvent des autorités compétentes. Les contrôles annoncés des sociétés de Yandex constitueront ainsi l’une des premières occasions de mesurer concrètement l’application de ces exigences renforcées à une grande plateforme numérique étrangère implantée au Kazakhstan.