Защита персональных данных

Трансграничная передача персональных данных в Узбекистане 2026: перечень 49 стран

Что изменили ЗРУ-1125 и постановление Кабмина № 415: какие данные обязаны храниться в Узбекистане, полный перечень 49 стран, условие для США, правила для Казахстана, ОАЭ и Турции и регламент утечки 24/72 часа при передаче за рубеж.

Бахром Исомадинов

Основатель и CEO Pactum · IT, AI и стартап-право

13 октября 2026 г.16 мин чтения

С 27 марта 2026 года большинство персональных данных из Узбекистана можно хранить и обрабатывать за рубежом без обязательной копии в стране. На октябрь 2026 года в Узбекистане обязательно хранятся только биометрия, генетические данные и данные абонентов операторов связи (ст. 27¹ в редакции ЗРУ-1125). Остальное допускается в 49 государствах и территориях из перечня ПКМ № 415, действующего с 3 августа 2026 года, а в другие страны — при условиях уполномоченного органа (на дату публикации они не найдены на pd.gov.uz и lex.uz). Об утечке при передаче за рубеж оператор сообщает за 24 часа, подробности — за 72 часа.

Коротко

Сплошной локализации больше нет. С 27 марта 2026 года в Узбекистане обязательно хранятся только три категории данных: биометрия, генетические данные и данные пользователей услуг операторов телекоммуникаций.
Перечень стран утверждён. ПКМ № 415 называет 49 государств и территорий: все 27 стран ЕС, Великобританию, Швейцарию, Норвегию, Японию, Республику Корея, Сингапур, Канаду, Россию и другие.
США входят в перечень с условием. Передача разрешена только компаниям, которые работают в рамках EU-US Data Privacy Framework.
Казахстана, ОАЭ, Турции и материкового Китая в перечне нет. Остаются договорные условия, корпоративные правила, международные стандарты или согласие субъекта и другие случаи по ст. 15; как ст. 15 соотносится с новой ст. 27¹, закон не уточняет. Требования к условиям и правилам на 12.10.2026 на pd.gov.uz и lex.uz не найдены.
При утечке во время передачи за рубеж: 24 и 72 часа. Сообщить уполномоченному органу нужно в течение суток, подробный отчёт о причинах и мерах представить в течение трёх суток.
Регистрация в Госреестре — прежде всего для локализуемых баз. По новой ч. 1 ст. 20 регистрации прямо подлежат локализуемые базы; ст. 31 закона и ст. 46² КоАО с этим не согласованы, поэтому по остальным базам решение принимают после проверки.

Что изменилось в 2026 году

Ваш случай отличается?

Опишите ситуацию — юрист разберёт задачу

Отправляя заявку, вы соглашаетесь с обработкой персональных данных и их передачей юристу-партнёру для ответа (политика)

Пн–пт 9:00–18:00 · +998 99 050 50 70

Прежняя редакция ст. 27¹ (с 2021 года) требовала хранить персональные данные граждан, обрабатываемые с помощью ИТ, на технических средствах в стране и в базах из Госреестра. С этой нормой связывают то, что PayPal, Google Pay и Apple Pay не вышли на рынок (kun.uz). В 2026 году режим изменили в два шага: поправили закон, затем утвердили перечень стран.

Вопрос	До 27.03.2026	На октябрь 2026	Норма
Где хранить данные граждан	На технических средствах в Узбекистане, в базах из Госреестра	В Узбекистане только биометрия, генетика и данные абонентов связи; остальное можно за рубежом при одном из трёх условий	ст. 27¹
Регистрация баз	Общая обязанность регистрировать базы	Ч. 1 ст. 20 прямо называет локализуемые базы; ст. 31 и ст. 46² КоАО не согласованы, по остальным — решение после проверки	ст. 20, ст. 31
Перечень стран	Не утверждён	49 государств и территорий, в силе с 03.08.2026	ПКМ № 415
Страны вне перечня	Основная база в Узбекистане; передача по ст. 15 только при соблюдении локализации	При условиях уполномоченного органа; ст. 15 действует	п. 4 ПКМ № 415
Утечка при передаче за рубеж	Специального срока не было	24 часа на сообщение, 72 часа на подробную информацию	п. 4 ПКМ № 415

Кто уполномоченный орган. Ст. 8 закона (текст на lex.uz не обновлён) называет Госцентр персонализации при Кабмине, а п. 3 ПКМ № 415 и pd.gov.uz — Департамент миграции и персонализации при МВД. Канал подачи уточняйте на дату обращения.

Ключевые даты:

27.03.2026 — вступил в силу ЗРУ-1125: новая редакция ст. 27¹ и ч. 1 ст. 20 о регистрации локализуемых баз, исполнение поручено МВД.
25.07.2026 — вступил в силу конституционный закон о Ташкентском международном финансовом центре (ЗРУ-1158). На территории с особым правовым режимом могут действовать иные правила обработки данных — участникам ТМФЦ их нужно проверять отдельно.
03.08.2026 — вступило в силу ПКМ № 415; 07.08.2026 перечень опубликован на pd.gov.uz.
Ожидается — требования к договорным условиям и корпоративным правилам: п. 7 ПКМ № 415 отводит три месяца; если считать с 03.08.2026, ориентировочно до начала ноября 2026 года. По п. 6 МИД в тот же срок вносит предложения о присоединении к Конвенции Совета Европы 1981 года о защите персональных данных (Конвенция 108) и о включении Узбекистана в иностранные перечни стран с адекватной защитой.

Что обязано остаться на серверах в Узбекистане

Часть вторая ст. 27¹ содержит закрытый перечень из трёх категорий:

Биометрические данные — по ст. 26 закона это данные об анатомических и физиологических особенностях человека. Примеры: вход по лицу в банковском приложении, селфи с документом при удалённой идентификации (eKYC), шаблон лица или отпечаток в турникетах офиса.
Генетические данные — сведения о наследственных или приобретённых характеристиках, например результаты генетических тестов.
Данные пользователей услуг операторов телекоммуникаций, работающих в Узбекистане — данные абонентов, которые ведут операторы (по Закону «О телекоммуникациях» ЗРУ-1015 — владельцы сетевой инфраструктуры). Касается ли норма провайдеров услуг и насколько широко трактовать «пользователей услуг», закон не уточняет — проверяйте по своей модели.

Примеры приведены редакцией, в законе их нет; спорные случаи лучше разобрать до запуска продукта.

Локализуемые базы регистрируют в Государственном реестре баз персональных данных в уведомительном порядке, а об изменении сведений сообщают не позднее 10 календарных дней (ст. 20). Нерезиденты подают письмо-обращение, заявление, документ о полномочиях подписанта и копию свидетельства или лицензии по электронной почте (pd.gov.uz). Биометрическая СКУД сотрудников попадает под обе нормы ст. 20: биометрия регистрируется, а базы по трудовому законодательству и для однократного пропуска на территорию исключены. Осторожная позиция — хранить её в Узбекистане и подать уведомление, но вопрос стоит проверить с уполномоченным органом. Можно ли держать копию локализуемой базы за рубежом, закон прямо не говорит, поэтому копии вывозят только после правовой оценки.

Перечень 49 стран: кто в него вошёл

На lex.uz на дату публикации доступен только узбекский текст постановления № 415, страны в нём идут единым нумерованным списком. Ниже полный перечень, который редакция сгруппировала по регионам.

Группа	Страны и территории	Сколько
Европейский союз	Австрия, Бельгия, Болгария, Венгрия, Германия, Греция, Дания, Ирландия, Испания, Италия, Кипр, Латвия, Литва, Люксембург, Мальта, Нидерланды, Польша, Португалия, Румыния, Словакия, Словения, Финляндия, Франция, Хорватия, Чехия, Швеция, Эстония	27
Другие страны ЕЭЗ	Исландия, Лихтенштейн, Норвегия	3
Другие страны и территории Европы	Великобритания, Швейцария, Андорра, Гернси, Джерси, остров Мэн, Фарерские острова, Россия	8
Америка	США (с условием), Канада, Бразилия, Аргентина, Уругвай	5
Азия и Тихий океан	Япония, Республика Корея, Сингапур, Гонконг (САР КНР), Новая Зеландия	5
Ближний Восток	Израиль	1
Итого		49

В перечень вошли все 27 стран ЕС, а не «большинство», как пишут в пересказах. Перечень может меняться, поэтому страну получателя проверяйте на дату передачи.

США (№ 2) включены только для участников DPF, Россия — позиция № 34, позиция Гонконга (№ 12) не распространяется на материковый Китай. Не вошли, в частности, материковый Китай, Казахстан, Кыргызстан, ОАЭ, Турция, Индия, Австралия, Беларусь, Саудовская Аравия и Катар.

Если страна в перечне: что всё равно нужно сделать

П. 4 постановления позволяет передавать данные в страны из перечня без дополнительных разрешений и уведомления уполномоченного органа при мерах против утечки (формально речь об информационных системах, созданных по международным соглашениям). Для частной компании основание — ч. 3 ст. 27¹. Обязанности оператора остаются:

Правовое основание. Согласие субъекта или другое основание из закона для каждой цели обработки.
Уведомление субъекта. При передаче данных третьему лицу субъекта письменно уведомляют в течение трёх дней (ч. 2 ст. 23), кроме случаев, перечисленных в законе.
Договор с получателем. Цели, объём, меры защиты, субподрядчики, удаление данных и срок сообщения об инциденте.
Меры против утечки. Шифрование, разграничение доступа и журналы действий.
Ответственное лицо. Подразделение или должностное лицо, которое отвечает за обработку и защиту данных (ст. 31).

Если страны нет в перечне

Требования к трём из четырёх оснований на дату проверки (12.10.2026) на pd.gov.uz и lex.uz не найдены; проверьте статус на дату передачи.

Основание	Кто устанавливает требования	Статус на 12.10.2026
Стандартные договорные условия	МВД вместе с Минцифры, СГБ и Национальным агентством перспективных проектов (п. 7 ПКМ № 415)	Не найдены; п. 7 отводит три месяца, ориентировочно до начала ноября 2026 года
Обязательные корпоративные правила группы	Те же органы	Не найдены
Международные стандарты управления и хранения данных	Уполномоченный орган (ч. 3 ст. 27¹)	Перечень стандартов не найден
Согласие субъекта и другие случаи по ст. 15 закона	Закон	Норма не менялась; как она соотносится с новой ст. 27¹, закон не уточняет

Пока документов нет, рабочих вариантов три: перенести хранение в регион из перечня (например, в дата-центр в ЕС вместо Дубая или Алматы), оставить поток в Узбекистане до публикации требований или опереться на согласие субъекта по ст. 15 с письменной оценкой рисков. Последний вариант самый уязвимый.

Таблица-решение: тип данных и страна получателя

Данные	Куда	Можно ли	Что подготовить
Биометрия, генетика, данные абонентов связи	Любая страна	Основная база только в Узбекистане (ч. 2 ст. 27¹)	Сервер в Узбекистане, уведомление в Госреестр, оценка любых копий за рубежом
Клиенты, заказы, CRM, маркетинг	Страна из перечня: ЕС, Великобритания, Сингапур, Япония, Россия и другие	Да (ч. 3 ст. 27¹, ПКМ № 415)	Основание обработки, договор с получателем, уведомление в течение 3 дней, меры защиты, регламент 24/72
Клиенты, заказы, CRM, маркетинг	США	Да, если получатель участвует в DPF	Подтверждение участия в DPF и те же документы
Клиенты, заказы, CRM, маркетинг	Казахстан, ОАЭ, Турция, материковый Китай, Индия	При условиях уполномоченного органа или по ст. 15 (согласие и другие случаи); соотношение ст. 15 и ст. 27¹ не уточнено	До публикации требований хранить в регионе из перечня или в Узбекистане
Данные сотрудников	Зависит от страны получателя	Как для клиентских данных	Кадровые базы из регистрации исключены; биометрическую СКУД хранить в Узбекистане и подать уведомление (вопрос спорный)

Утечка при трансграничной передаче: регламент 24 и 72 часа

Срок установлен п. 4 постановления № 415 и касается только утечек, выявленных при трансграничной передаче; общей обязанности уведомлять об утечке в законе нет. Регламент всё равно стоит писать под этот, самый жёсткий, сценарий.

Час 0: выявление. Зафиксируйте время обнаружения: от него считаются оба срока. Пропишите в договоре, что зарубежный получатель сообщает вам об инциденте в срок заметно короче 24 часов.
Первые часы: сдерживание. Отзовите скомпрометированные доступы, остановите поток, сохраните журналы.
До 24 часов: сообщение. Оператор базы сообщает уполномоченному органу; канал подачи уточните у Департамента миграции и персонализации при МВД или на pd.gov.uz.
До 72 часов: подробности. Причины и принятые меры: какие данные, сколько субъектов, какая страна, что исправлено.
Субъекты данных. Постановление этого не требует, но тех, чьи документы или платёжные данные затронуты, мы рекомендуем предупредить.
После инцидента. Обновите договор, карту потоков и регламент.

Сценарии для бизнеса

Сценарии приведены для иллюстрации и не заменяют правовое заключение.

HR-система группы компаний за рубежом

Кадровые данные ташкентской «дочки» ведутся в HR-системе группы в Ирландии или Германии: обе страны в перечне, нужны основание обработки, внутригрупповое соглашение и уведомление сотрудников. HR-хаб в Дубае или Алматы — вне перечня, поток лучше перевести в регион из перечня. Обратное направление регулирует право ЕС: решения ЕС об адекватности для Узбекистана на октябрь 2026 года нет, поэтому для передачи из ЕС в Ташкент по-прежнему нужны стандартные договорные условия ЕС (SCC) и оценка рисков передачи (TIA). Проверку удобно совместить с кадровым аудитом.

Платёжный сервис, банк, eKYC

Селфи и шаблоны лица из удалённой идентификации — биометрия, их база остаётся в Узбекистане. Анкеты и история операций по закону о персональных данных не локализуются, но для банков и платёжных организаций сначала проверяют отраслевые требования ЦБ (банковская тайна, информационная безопасность, размещение процессинга) — они могут требовать обработки в Узбекистане. Для финтеха вопрос данных обычно решают вместе с лицензией.

Маркетплейс или приложение с серверами вне Узбекистана

Серверы в Казахстане или Турции вне перечня. Практичный путь — перенести основную базу в регион из перечня, а биометрию для входа по лицу держать в отдельном контуре в Узбекистане; IT-компаниям стоит сверить схему с условиями резидентства IT Park.

Пример (иллюстративный): немецкая группа открывает ООО в Ташкенте и нанимает 5 инженеров и 30 сотрудников склада. HR-система группы в Нидерландах (страна из перечня): нужны внутригрупповой договор и уведомление сотрудников. CRM у американского провайдера — проверяем его участие в DPF. Турникеты пускают по лицу, поэтому шаблоны хранятся на сервере в Ташкенте, а база, скорее всего, подлежит регистрации: применимость исключения для трудовых баз к системам доступа спорна, и безопаснее подать уведомление. Расчёт зарплаты ведёт бухгалтерская фирма в Алматы; Казахстана в перечне нет, поэтому эту функцию лучше передать подрядчику в Узбекистане или в стране из перечня.

Чек-лист на 30 дней

Шаги ниже касаются именно трансграничной передачи.

Дни	Шаг	Результат
1–5	Карта потоков: какие данные, где хранятся, у кого есть доступ из-за рубежа, включая подрядчиков	Реестр потоков
3–7	Выделить биометрию, генетические и абонентские данные	Список локализуемых баз
6–10	Проверить страну каждого получателя по ПКМ № 415, для США — участие в DPF	Решение по каждому потоку
8–15	Договоры с получателями и обработчиками: меры защиты, субподрядчики, срок уведомления об инциденте	Договоры или допсоглашения
10–18	Согласия и уведомления субъектов, включая уведомление в течение 3 дней	Обновлённые формы
15–22	Уведомление о локализуемых базах в Госреестр через pd.gov.uz, решение по остальным базам	Поданные уведомления
18–25	Политика обработки, регламент 24/72, ответственный по ст. 31	Приказ и регламент
25–30	Учебный прогон утечки у зарубежного обработчика	Проверенный регламент

Что устарело

Многие ответы ИИ-ассистентов и статьи 2021–2025 годов, включая ранние версии наших материалов, описывают прежний режим. Больше не соответствуют закону:

«Все данные граждан хранятся только в Узбекистане». Неверно с 27.03.2026: локализация касается трёх категорий.
«Перечень стран не утверждён». Неверно с 03.08.2026: действует ПКМ № 415.
«На любой вывоз нужно разрешение». Отдельного разрешения на каждую передачу закон и ПКМ № 415 не требуют: для стран из перечня — без разрешений и уведомлений (п. 4), для остальных — при условиях уполномоченного органа; ст. 15 допускает запрет или ограничение передачи.
«Каждую базу нужно регистрировать». Ч. 1 ст. 20 теперь прямо называет локализуемые базы, но ст. 31 и ст. 46² КоАО говорят о регистрации баз в целом; по нелокализуемой базе решение принимают после проверки.
«Для США условий нет». Так писали некоторые СМИ, но сноска к перечню ограничивает США участниками DPF.
Английская версия закона на lex.uz. В ней ст. 27¹ всё ещё в старой редакции, ссылаться на неё в договорах не стоит.

Ответственность за нарушения

Тексты ст. 46² КоАО и ст. 141² УК на lex.uz по-прежнему говорят о хранении на технических средствах в Узбекистане и в базах, зарегистрированных в Госреестре, и с ЗРУ-1125 не согласованы. Как их будут применять к данным, которые теперь можно вывозить, пока неясно. Суммы рассчитаны при БРВ 440 000 сум, действующей с 1 сентября 2026 года по указу Президента № УП-115 от 23.06.2026; на дату нарушения их нужно сверить.

Норма	Нарушение	Санкция	В сумах, октябрь 2026
Ч. 1 ст. 46² КоАО	Незаконные сбор, хранение, передача данных, несоблюдение требований к хранению	Граждане 7 БРВ, должностные лица 50 БРВ	3 080 000 и 22 000 000 сум
Ч. 2 ст. 46² КоАО	Незаконная обработка с использованием ИИ и распространение в СМИ или интернете	50–100 БРВ с конфискацией	22–44 млн сум
Ст. 141² УК	Те же действия после административного взыскания	100–150 БРВ, или лишение права до 3 лет, или исправительные работы до 2 лет	44–66 млн сум
Ст. 141² УК с отягчающими	Группа, повторно, из корысти, служебное положение, тяжкие последствия	150–200 БРВ или наказание вплоть до лишения свободы до 3 лет	66–88 млн сум

Как Pactum помогает

Карта потоков. Юристы Pactum с вашей IT-командой описывают, какие данные и через каких подрядчиков уходят, и определяют режим каждого потока.
Документы. Договоры с зарубежными получателями и обработчиками, внутригрупповые соглашения, согласия и уведомления субъектов.
Регистрация. Уведомления в Госреестр, в том числе за нерезидентов, и позиция по спорным базам.
Политики. Политика обработки, регламент инцидентов 24/72, приказ о назначении ответственного.
Сопровождение. Следим за требованиями к договорным условиям и корпоративным правилам и обновляем документы, когда они выйдут.

Начать можно со страницы о защите персональных данных или с консультации юриста: 60 минут, 300 000 сум, сумма засчитывается в стоимость услуги. Стоимость проекта называем после разбора задачи.

Частые вопросы

Можно ли хранить данные клиентов из Узбекистана в AWS во Франкфурте?

Да, если это не биометрия, не генетические данные и не данные абонентов связи: Германия входит в перечень ПКМ № 415, хранение допускается по ч. 3 ст. 27¹. Нужны основание обработки, договор с провайдером и меры защиты; отдельно проверьте, из каких стран у поддержки и подрядчиков провайдера есть доступ к данным.

Входит ли Россия в перечень стран с равноценной защитой?

Да, Российская Федерация — позиция № 34. Правила те же, что для стран ЕС: основание обработки, договор с получателем, уведомление субъекта и меры против утечки.

Что нужно для передачи персональных данных в США?

Получатель должен участвовать в EU-US Data Privacy Framework, так сказано в сноске к позиции США. Если компания в программе не участвует, действуют правила для стран вне перечня, а требования к договорным условиям на дату проверки (12.10.2026) на pd.gov.uz и lex.uz не найдены.

Входят ли в перечень Казахстан, ОАЭ, Турция и Китай?

Нет, их в перечне нет; Гонконг включён отдельной позицией, материковый Китай — нет. Для передачи в эти страны нужны договорные условия, корпоративные правила или международные стандарты по требованиям уполномоченного органа либо согласие субъекта и другие случаи по ст. 15 закона. Как ст. 15 соотносится с новой ст. 27¹, закон не уточняет.

Нужно ли согласие на трансграничную передачу персональных данных?

Для стран из перечня передача идёт по ч. 3 ст. 27¹: нужно общее основание обработки (согласие или другое основание из закона) и уведомление субъекта по ч. 2 ст. 23, а среди условий самой ст. 27¹ согласия нет. Для стран вне перечня ст. 15 допускает передачу с согласия субъекта, но её соотношение со ст. 27¹ не прояснено. Поэтому опираться только на согласие рискованно.

Касаются ли новые правила данных сотрудников?

Да, передача кадровых данных в HR-систему группы за рубежом подчиняется ст. 27¹ и перечню. Кадровые базы ч. 3 ст. 20 из регистрации исключает, но биометрическая СКУД попадает под обе нормы статьи. Осторожная позиция — хранить её в Узбекистане, подать уведомление и уточнить вопрос у уполномоченного органа.

Источники

Юрист перезвонит за 15 минут

Юрист ответит на вопрос из статьи. Пн–пт 9:00–18:00