Закон о персональных данных Узбекистана: гид для IT-команд

У вас приложение, SaaS или финтех-продукт, а серверы стоят во Франкфурте, Дублине или Вирджинии. Пользователи из Узбекистана регистрируются, загружают селфи, вводят номер телефона. Нужно ли что-то переносить? Нужно ли что-то регистрировать? Правила короче, чем их обычно описывают, но три из них способны остановить запуск. Выходите на рынок шире? См. также регулирование стартапов в Узбекистане и наши услуги для финтех-продуктов.

Коротко

Обязан ли я хранить персональные данные в Узбекистане? Только три вида: биометрические данные, генетические данные и данные пользователей услуг операторов телекоммуникаций, работающих в Узбекистане (ст. 27-1, часть 2 закона о персональных данных). Всё остальное можно хранить и обрабатывать за границей при выполнении одного из трёх условий (часть 6):

1. государство признано обеспечивающим адекватную защиту — Кабинет Министров назвал 49 таких государств (постановление № 415 от 29 июля 2026 года);
2. вы приняли и соблюдаете стандартные договорные условия или обязательные корпоративные правила, отвечающие требованиям уполномоченного органа;
3. вы соблюдаете международные стандарты в области персональных данных из перечня, который утверждает уполномоченный орган.

Два момента, которые нужно знать до начала планирования. Требования для пути 2 поручено утвердить в трёхмесячный срок с 29 июля 2026 года, и утверждённых требований в базе Lex на 14 октября 2026 года мы не нашли. А базы с локализованными данными подлежат регистрации в государственном реестре (см. ниже).

Основной закон — ЗРУ-547 2019 года с поздними изменениями, плюс постановление Кабинета Министров со списком стран. Старые руководства в интернете описывают более широкое правило локализации. Учтите, что Кодекс об административной ответственности (ст. 46-2) и Уголовный кодекс (ст. 141-2) до сих пор используют прежнюю формулировку: они наказывают за несоблюдение требований о сборе, систематизации и хранении данных граждан, обрабатываемых с использованием ИТ и интернета, на технических средствах, физически размещённых в Узбекистане, и в зарегистрированных базах. Как это соотносится с более узкой ст. 27-1, текст не говорит, поэтому, прежде чем полагаться только на узкое правило, проконсультируйтесь.

Собственник, оператор, третье лицо

В законе три роли (ст. 4):

• собственник базы персональных данных обладает правом владения, пользования и распоряжения базой;
• оператор — орган или лицо, осуществляющее обработку данных;
• третье лицо — любое иное лицо, связанное с ними обстоятельствами или отношениями по обработке.

Собственник или оператор вправе поручить обработку третьему лицу, но только с письменного согласия субъекта (в том числе в виде электронного документа), во исполнение договора с ним или в случаях, предусмотренных законодательством (ст. 31, части 15–18).

Закон не говорит, кто есть кто в современной архитектуре. Ниже наше прочтение, для планирования:

Закон не применяется, когда физическое лицо обрабатывает данные в личных и бытовых целях (ст. 3). Также вне закона: архивные документы, государственные секреты и данные об обороне и национальной безопасности, данные оперативно-розыскной, разведывательной, правоохранительной деятельности и борьбы с отмыванием доходов, а также территории с особым правовым режимом.

Что должно остаться в Узбекистане

Биометрические данные — это персональные данные, характеризующие анатомические и физиологические особенности субъекта (ст. 26); генетические — данные о наследуемых или приобретённых характеристиках, полученные из биологического образца. Примеров закон не приводит. Применительно к вашим данным:

Локализованные данные остаются в Узбекистане. Можно ли дополнительно держать копию за границей, текст ст. 27-1 не отвечает: часть говорит об обязательном хранении в Узбекистане и задаёт условия для остальных данных. Не считайте зарубежное зеркало допустимым без консультации.

Биометрические и генетические данные в электронной форме вне информационных систем можно хранить только на носителях, исключающих несанкционированный доступ (ст. 26, часть 4).

Передача данных за границу

Применяются две статьи. Ст. 27-1 определяет, где можно хранить и обрабатывать нелокализованные данные. Ст. 15 — о передаче: передача допускается в государство с адекватной защитой; в государство без неё — только с согласия субъекта, для защиты конституционного строя, общественного порядка, прав и свобод граждан, здоровья и нравственности населения или по международному договору (ст. 15, части 2–6). Как две статьи соотносятся, текст не объясняет. Выбирая путь, проверяйте по обеим.

Путь 1: список стран. Постановление № 415 называет 49 государств и территорий (приложение): все 27 членов ЕС, Исландия, Лихтенштейн, Норвегия, Великобритания и её коронные владения (Гернси, Джерси, остров Мэн), Фарерские острова, Андорра, Швейцария, Аргентина, Бразилия, Канада, Гонконг, Израиль, Япония, Республика Корея, Новая Зеландия, Россия, Сингапур, Уругвай и США. США включены только для компаний, участвующих в EU–US Data Privacy Framework. В списке нет, например, ОАЭ, Турции, Казахстана, Индии, Китая и Австралии.

В государства из списка данные, передаваемые через информационные системы, созданные на основании международных соглашений, передаются без дополнительного разрешения и без уведомления уполномоченного органа, при условии мер по предотвращению утечки (п. 4).

Путь 2: договорные условия. В государства вне списка, согласно постановлению, передача допускается при выполнении правовых, организационных и технических условий, которые определит уполномоченный орган (п. 4). Требования к стандартным договорным условиям и обязательным корпоративным правилам должны быть утверждены в течение трёх месяцев после 29 июля 2026 года (п. 7). Пока они не опубликованы, мы не можем сказать, как должно выглядеть соответствующее требованиям условие. Сюда попадает американский поставщик вне Privacy Framework и облачный регион в стране вне списка.

Путь 3: международные стандарты. Перечень утверждает уполномоченный орган. В базе мы его не нашли.

Государственный реестр

Регистрация — по заявочному принципу, путём уведомления: заявление подаётся в уполномоченный орган (ст. 20, часть 2). Закон прямо требует регистрировать базы, подлежащие обязательному хранению в Узбекистане (часть 1). Отдельно ст. 31, часть 13 относит к обязанностям собственника и оператора регистрацию «находящихся в собственности и (или) обрабатываемых баз». Постановление № 71 (п. 5) тоже говорит, без оговорки о локализованных данных, что собственник и оператор обязаны регистрировать базы персональных данных. Мы читаем это так: регистрируйте как минимум локализованные базы, а если у вас есть другие базы, не подпадающие под исключения, — уточните у нас.

Не подлежат регистрации (ст. 20, части 4–10), среди прочих, базы только с фамилией, именем и отчеством, данные без средств автоматизации, данные по трудовому законодательству, данные, сделанные общедоступными самим субъектом, и данные для однократного пропуска.

Как это работает (постановление № 71):

Неверные или неполные данные — основание для отказа, а заявитель отвечает за недостоверность (п. 11, п. 21). Постановление № 71 принято раньше нынешней ст. 20, поэтому порядок подачи сверьте по актуальной версии перед обращением.

Согласие и запросы пользователей

Заложите в продукт:

• Согласие в любой форме, позволяющей подтвердить факт его получения (ст. 21, часть 1). Чекбокс с журналом может быть таким подтверждением; что его достаточно, закон не говорит. Доказательство согласия нужно представить, когда этого требует закон (ст. 31, часть 7).
• Письменное согласие, в том числе электронным документом, для специальных данных (здоровье, религия, политические взгляды, судимость, частная жизнь — ст. 25), а за несовершеннолетних и недееспособных — через родителей или законного представителя (ст. 21, части 2–4).
• Отзыв в той же форме, в какой дано согласие, либо письменно (ст. 21, часть 7). После отзыва данные нужно уничтожить (ст. 17).
• Новая цель — новое согласие (ст. 19, часть 3).
• Письменно уведомите субъекта о целях и его правах при включении данных в базу (ст. 23, часть 1), а при передаче данных третьему лицу — в течение трёх дней (часть 2).
• Информация по запросу: обрабатываете ли вы данные, зачем, кто имеет доступ, как долго хранится, была ли трансграничная передача (ст. 22).
• Электронные запросы: нужно дать возможность подать в электронном виде заявление о приостановлении обработки или уничтожении данных (ст. 31, часть 10).
• Решения исключительно на основе автоматизированной обработки, затрагивающие права человека и порождающие юридические последствия, допускаются только с письменного согласия (в том числе электронным документом), во исполнение договора с ним или в случаях, предусмотренных законодательством. Нужно объяснить порядок, принять возражение и письменно ответить в течение десяти дней (ст. 24).
• Ответственное подразделение или должностное лицо (ст. 31, часть 20).

Утечки и регулятор

Утечки. Мы нашли один срок на уведомление: если утечка обнаружена в ходе трансграничной передачи, оператор обязан сообщить уполномоченному органу в течение 24 часов и дать подробную информацию о причинах и принятых мерах в течение 72 часов (постановление № 415, п. 4). Общего правила об уведомлении об утечках в самом законе о персональных данных в базе Lex нет. Закон о кибербезопасности (ЗРУ-764, ст. 16) отдельно обязывает субъектов кибербезопасности сообщать об инцидентах уполномоченному органу; срока он не устанавливает. Отраслевые акты для банков и платёжных организаций могут добавлять своё; этот гид их не разбирает.

Регулятор. Закон называет уполномоченным органом Государственный центр персонализации при Кабинете Министров (ст. 8). Постановление № 415, а также постановление № 71 в редакции от 24 декабря 2025 года возлагают роль «уполномоченного государственного органа» на Департамент миграции и персонализации при Министерстве внутренних дел. Направляйте обращения тому органу, который указан на странице услуги, и перед подачей это подтвердите.

Ответственность. Ст. 33 говорит лишь, что виновные несут ответственность «в установленном порядке». Санкции — в Кодекс об административной ответственности (ст. 46-2) и Уголовном кодексе (ст. 141-2), и обе статьи пока используют прежнюю формулировку о локализации (см. выше). Суммы здесь не приводим.

Чек-лист

• Составьте перечень собираемых данных и отметьте биометрические, генетические и данные пользователей телеком-операторов.
• Храните локализуемые категории на серверах в Узбекистане и зарегистрируйте эти базы.
• Для остальных данных определите путь по каждому поставщику: страна из списка, договорные условия (когда будут опубликованы) или стандарты.
• Проверьте каждого американского поставщика на участие в Data Privacy Framework.
• Определите, кто собственник и оператор в каждом потоке, и закрепите в договорах.
• Добавьте экраны согласия с журналом, возможность отзыва и форму электронного запроса.
• Рассылайте письменное уведомление при добавлении данных и при передаче третьему лицу (3 дня).
• Назначьте ответственного; подготовьте регламент действий при утечке в ходе трансграничной передачи (24 часа / 72 часа).
• После 29 октября 2026 года перепроверьте требования к договорным условиям и перечень стандартов.

Вопросы

Можно ли хранить всё во Франкфурте? Нельзя, если среди данных биометрические, генетические или данные пользователей телеком-операторов. Остальное можно держать в Германии: она в списке.

Локализуются ли номера телефонов, которые мы используем для входа? По нашему прочтению — нет: категория касается пользователей услуг операторов телекоммуникаций. Если вы такой оператор — да.

Мы пользуемся американским облаком. Что делать? Если провайдер сертифицирован по Data Privacy Framework, действует запись о США. Если нет — нужен другой путь, а правила о договорных условиях пока не опубликованы.

Достаточно ли чекбокса для согласия? Закон допускает любую форму, подтверждающую факт получения согласия. Для обычных данных может подойти чекбокс с журналом; для специальных данных нужна письменная форма, в том числе электронный документ.

Источники: Закон Республики Узбекистан от 2 июля 2019 года № ЗРУ-547 «О персональных данных» (статьи 3, 4, 8, 15, 17, 19–26, 27-1, 31, 33); постановление Кабинета Министров от 29 июля 2026 года № 415; постановление Кабинета Министров от 8 февраля 2020 года № 71. Проверено 14 октября 2026 года. Цитаты из нормативных актов — наш перевод узбекского текста.

Сверено с законодательством в Lex: 14 октября 2026 · Juris Advisory