Pactum
Стоимость — по объёму задачи

Персональные данные и локализация в Узбекистане

Разбираем, какие ваши базы обязаны храниться в Узбекистане после реформы 2026 года, какие можно вынести за рубеж и чем это подтверждать.

Обсудить задачуКак это устроено
  • Локализация обязательна для биометрии и генетики — здесь ничего не смягчили
  • Регистрация базы в Госреестре — бесплатно, 5 рабочих дней
  • Ограничение доступа к ресурсу — реально применявшаяся мера
Коротко

Можно ли хранить персональные данные за пределами Узбекистана в 2026 году?

Частично. Законом ЗРУ-1125 от 26 марта 2026 года статья 27-1 Закона «О персональных данных» изложена в новой редакции: обязательному хранению на территории Узбекистана подлежит закрытый перечень категорий, среди которых биометрические и генетические данные физических лиц. Остальные персональные данные могут храниться и обрабатываться за пределами страны при выполнении одного из трёх условий, установленных частью третьей статьи 27-1. При этом перечень иностранных государств, обеспечивающих адекватную защиту, устанавливается Кабинетом Министров, поэтому опираться на это основание можно только после его утверждения.

Где теряют деньги

Что обычно идёт не так

Это не абстрактные риски, а сценарии, из-за которых сделки срываются, а решения госорганов приходят не в вашу пользу.

Компания соблюдает требование, которого больше нет

Ежемесячные расходы на локальный хостинг и зеркалирование данных, которым локализация уже не нужна, плюс внутренние политики и соглашения с контрагентами, описывающие недействующую редакцию закона.

Типичная ошибка: После ужесточения 2021 года бизнес массово переносил инфраструктуру в Узбекистан и регистрировал в Госреестре все базы подряд. С 27 марта 2026 года обязательное хранение распространяется только на перечень из части второй статьи 27-1.

Закон разрешил хранить за рубежом, а подтвердить право нечем

Компания опирается на основание, соответствие которому не может доказать проверяющему, а нарушение требований к хранению персональных данных образует состав административного правонарушения.

Типичная ошибка: Читают заголовок «локализацию смягчили» и оставляют данные в иностранном облаке. Между тем все три условия части третьей статьи 27-1 отсылочные, а перечень государств с адекватной защитой утверждает Кабинет Министров.

Биометрию внедряют все, а смягчение её не коснулось

Биометрические данные обязаны храниться в Узбекистане, а база подлежит регистрации. Ответственность установлена статьёй 46-2 Кодекса об административной ответственности и статьёй 141-2 Уголовного кодекса.

Типичная ошибка: Не замечают, что биометрию порождают обычные вещи: вход по лицу, отпечаток на СКУД, видеоаналитика, HR-турникеты, удалённая идентификация клиента. Всё это часто живёт в иностранном облаке вместе с остальной HR-системой.

Непонятно, какие именно базы регистрировать

Избыточная регистрация означает, что вы добровольно передаёте регулятору карту своих данных. Недорегистрация — прямое нарушение. Цена ошибки в обе стороны реальна.

Типичная ошибка: Новая редакция части первой статьи 20 привязала обязанность регистрации к перечню из части второй статьи 27-1. Дальше начинается квалификация: считается ли фотография в профиле биометрией, относится ли к перечню запись разговора в колл-центре.

Риск оценивают размером штрафа

Для банковского приложения, маркетплейса или SaaS настоящая санкция — не штраф, а ограничение доступа к ресурсу: выручка останавливается на весь период устранения нарушений.

Типичная ошибка: Юрист приносит цифру штрафа, и вопрос закрывается: «дешевле заплатить». Из расчёта выпадает и ограничение доступа, и то, что ответственность по статье 141-2 Уголовного кодекса персональная.

Кадровое дело — это база персональных данных, а согласие в трудовом договоре пустое

Любой трудовой спор превращается во второй фронт: жалобу по персональным данным, где у работодателя нет ни политики, ни приказа об ответственном, ни корректного согласия.

Типичная ошибка: Собирают сканы паспортов, медсправки и биометрию с турникетов, ведут всё в иностранной HR-системе, а согласие оформляют одной строкой в трудовом договоре — без цели обработки и перечня данных.

Результат

Что вы получаете

Аудит обработки данных

Инвентаризация: какие данные вы собираете, где они физически лежат, кто имеет доступ и через каких подрядчиков проходят.

Карта локализации

Разделяем данные на те, что обязаны храниться в Узбекистане, и те, которые можно вынести — с указанием основания по части третьей статьи 27-1.

Комплект документов оператора

Политика обработки и защиты персональных данных, приказ о назначении ответственного, внутренний порядок обработки, формы согласий под конкретные цели.

Регистрация баз в Госреестре

Определяем, какие базы подлежат регистрации по новой редакции статьи 20, и проводим её — услуга бесплатна, срок пять рабочих дней.

Договоры с подрядчиками

Условия обработки данных для облачных провайдеров, колл-центров, HR- и маркетинговых сервисов, через которых данные уходят наружу.

Готовность к проверке

Комплект, который предъявляется по запросу, и понятный ответ на вопрос, на каком основании данные находятся там, где находятся.

Порядок работы

Как это устроено

  1. 011–2 недели

    Инвентаризация

    Смотрим системы и потоки данных, а не только сайт: HR, CRM, колл-центр, видеонаблюдение, аналитика.

  2. 021 неделя

    Правовая квалификация

    Относим каждую категорию к перечню обязательной локализации либо к разрешённой к вынесению, фиксируем основание.

  3. 032–3 недели

    Документы и настройки

    Готовим комплект оператора, правим согласия и договоры с подрядчиками, ставим задачи по переносу того, что должно храниться в Узбекистане.

  4. 045 рабочих дней на регистрацию

    Регистрация и поддержка

    Регистрируем базы, подлежащие регистрации, и сопровождаем при запросах регулятора.

Правовая база

Что говорит закон

Каждый пункт — со ссылкой на первоисточник, чтобы вы могли проверить его сами.

  • Базовый акт — Закон Республики Узбекистан «О персональных данных» от 2 июля 2019 года № ЗРУ-547.

    lex.uz — ЗРУ-547

  • Закон № ЗРУ-1125 от 26 марта 2026 года внёс изменения в Закон «О персональных данных», в том числе изложил статью 27-1 в новой редакции.

    lex.uz — ЗРУ-1125

  • Обязательному хранению на территории Республики Узбекистан подлежат перечисленные в части второй статьи 27-1 категории, включая биометрические и генетические данные физических лиц.

    lex.uz — ст. 27-1

  • Персональные данные, не указанные в части второй статьи 27-1, могут храниться и обрабатываться за пределами Узбекистана при выполнении одного из трёх условий части третьей той же статьи.

    lex.uz — ст. 27-1

  • Перечень иностранных государств, обеспечивающих адекватную защиту персональных данных, устанавливается Кабинетом Министров Республики Узбекистан (ч. 4 ст. 27-1).

    lex.uz — ст. 27-1

  • Обязанность регистрации баз персональных данных в Государственном реестре привязана к перечню данных, подлежащих обязательному хранению в Узбекистане (новая редакция части первой статьи 20).

    lex.uz — ст. 20

  • Государственное регулирование в области персональных данных осуществляют Кабинет Министров и уполномоченный государственный орган; ведение Государственного реестра баз персональных данных отнесено к полномочиям уполномоченного органа (ст. 6, 8 ЗРУ-547).

    lex.uz — ст. 6, 8 ЗРУ-547

  • Порядок регистрации баз персональных данных установлен постановлением Кабинета Министров № 71 от 8 февраля 2020 года: регистрация бесплатна, срок рассмотрения — пять рабочих дней.

    lex.uz — ПКМ № 71

  • Закон не распространяется на обработку персональных данных физическим лицом исключительно в личных и бытовых целях (ст. 3 ЗРУ-547 в редакции ЗРУ-1125).

    lex.uz — ст. 3

  • Ответственность за нарушение законодательства о персональных данных установлена статьёй 46-2 Кодекса об административной ответственности и статьёй 141-2 Уголовного кодекса.

    lex.uz — Уголовный кодекс
Выбор варианта

Что обязано лежать в Узбекистане, а что можно вынести

Категория данныхХранениеЧто требуется от оператора
Биометрические и генетические данныеТолько на территории УзбекистанаЛокальное хранение и регистрация базы в Государственном реестре
Иные категории из части второй статьи 27-1Только на территории УзбекистанаТо же: локализация и регистрация
Остальные персональные данныеДопускается хранение и обработка за рубежомДокументально подтверждённое основание по части третьей статьи 27-1
Данные, обрабатываемые физлицом в личных целяхЗакон не применяетсяТребований нет

Практический вывод: сначала инвентаризация и квалификация категорий, и только потом решения об инфраструктуре. Перенос данных до квалификации — это либо лишние расходы, либо нарушение.

Следующий шаг

Расскажите о задаче

Разберём вашу ситуацию, скажем, что реально сделать и в какие сроки, и назовём стоимость — после того, как поймём объём. Без этого любая цифра была бы выдумкой.

Телефон: +998990505070

Telegram: @pactum_uz

Почта: info@pactum.uz

Консультация по задаче — бесплатно. Стоимость работы называем после того, как поймём объём.

Вопросы

Частые вопросы

Обязательно ли хранить персональные данные клиентов в Узбекистане?
Не все. После изменений ЗРУ-1125 от 26 марта 2026 года обязательное хранение на территории Узбекистана распространяется на закрытый перечень категорий из части второй статьи 27-1, включая биометрические и генетические данные. Остальные данные можно хранить и обрабатывать за рубежом при выполнении одного из трёх условий части третьей той же статьи.
Что относится к биометрическим данным на практике?
Биометрию порождают вход по лицу, отпечаток пальца на системе контроля доступа, видеоаналитика, HR-турникеты и удалённая идентификация клиента. Для этой категории смягчения не было: она хранится в Узбекистане, а база подлежит регистрации.
Нужно ли регистрировать базу персональных данных?
Обязанность регистрации привязана к перечню данных, подлежащих обязательному хранению в Узбекистане. Поэтому вопрос решается не по названию системы, а по составу данных в ней. Сама регистрация бесплатна, срок рассмотрения — пять рабочих дней по постановлению Кабинета Министров № 71.
Можно ли пользоваться иностранным облаком?
Для данных вне перечня обязательной локализации — да, при наличии основания по части третьей статьи 27-1. Одно из оснований опирается на перечень государств с адекватной защитой, который устанавливает Кабинет Министров, поэтому основание нужно выбирать и документировать заранее, а не после запроса регулятора.
Достаточно ли согласия в трудовом договоре?
Как правило нет. Согласие должно быть привязано к конкретной цели обработки и перечню данных, а у работодателя дополнительно должны быть политика обработки, приказ о назначении ответственного и внутренний порядок. Кадровое дело — это база персональных данных со всеми вытекающими обязанностями.
Какая ответственность за нарушение?
Ответственность установлена статьёй 46-2 Кодекса об административной ответственности и статьёй 141-2 Уголовного кодекса. Для интернет-сервисов практически более значимой мерой оказывается ограничение доступа к ресурсу — оно применялось к крупным международным платформам со ссылкой на статью 27-1.
С чего начать приведение в соответствие?
С инвентаризации: какие данные собираются, где физически лежат, через каких подрядчиков проходят. Без этой карты невозможно ни определить, что подлежит локализации, ни понять, какие базы регистрировать. Решения об инфраструктуре принимаются после квалификации, а не до неё.
Что изменилось для компаний, которые уже перенесли данные в Узбекистан?
Часть расходов может оказаться избыточной: обязательное хранение теперь распространяется на перечень категорий, а не на все персональные данные подряд. При этом внутренние политики и договоры с контрагентами, написанные под прежнюю редакцию, требуют обновления — они описывают требование в недействующем виде.
Почему нам можно доверить это

Проверяемые факты о нас

Здесь нет отзывов и кейсов: их нельзя проверить. Есть только то, что вы можете подтвердить сами.

  • Каждая норма приведена со ссылкой на lex.uz, включая сам Закон ЗРУ-1125 от 26 марта 2026 года, которым переписана статья 27-1.
  • Мы не приводим конкретные суммы штрафов по статье 46-2 КоАО и статье 141-2 УК: подтвердить действующие редакции по первоисточнику не удалось, а цифра из пересказа в этой теме стоит слишком дорого.
  • Pactum — платформа юридических услуг Узбекистана: 5042 услуги в каталоге, заявка уходит профильному юристу по направлению.
По теме

Смежные материалы и услуги

Комплаенс персональных данныхЗащита персональных данныхАвторское право и ITКадровый аудит
Обсудить задачуПозвонить

Материал носит справочный характер и не является юридической консультацией по вашей конкретной ситуации. Нормы и тарифы меняются — проверяйте актуальную редакцию по ссылкам на первоисточники выше. Для оценки вашего случая оставьте заявку.