Стоимость — по объёму задачи

Персональные данные и локализация в Узбекистане

Разбираем, какие ваши базы обязаны храниться в Узбекистане после реформы 2026 года, какие можно вынести за рубеж и чем это подтверждать.

Обсудить задачу Как это устроено

Локализация обязательна для биометрии и генетики — здесь ничего не смягчили
Регистрация базы в Госреестре — безвозмездно, 5 рабочих дней
Ограничение доступа к ресурсу — реально применявшаяся мера

Коротко

Можно ли хранить персональные данные за пределами Узбекистана в 2026 году?

Частично. Законом ЗРУ-1125 от 26 марта 2026 года статья 27-1 Закона «О персональных данных» изложена в новой редакции: обязательному хранению на территории Узбекистана подлежит закрытый перечень категорий, среди которых биометрические и генетические данные физических лиц. Остальные персональные данные могут храниться и обрабатываться за пределами страны при выполнении одного из трёх условий, установленных частью третьей статьи 27-1. Перечень иностранных государств с равноценной защитой утверждён постановлением Кабинета Министров № 415 от 29 июля 2026 года (в силе с 3 августа 2026 года): в него вошли 49 государств, в том числе Россия, страны ЕС, Великобритания, Южная Корея и Япония; США — только для компаний — участников EU-US Data Privacy Framework. Казахстана, ОАЭ, Турции и материкового Китая в перечне нет.

Где теряют деньги

Что обычно идёт не так

Это не абстрактные риски, а сценарии, из-за которых сделки срываются, а решения госорганов приходят не в вашу пользу.

Компания соблюдает требование, которого больше нет

Ежемесячные расходы на локальный хостинг и зеркалирование данных, которым локализация уже не нужна, плюс внутренние политики и соглашения с контрагентами, описывающие недействующую редакцию закона.

Типичная ошибка: После ужесточения 2021 года бизнес массово переносил инфраструктуру в Узбекистан и регистрировал в Госреестре все базы подряд. С 27 марта 2026 года обязательное хранение распространяется только на перечень из части второй статьи 27-1.

Закон разрешил хранить за рубежом, а подтвердить право нечем

Компания опирается на основание, соответствие которому не может доказать проверяющему, а нарушение требований к хранению персональных данных образует состав административного правонарушения.

Типичная ошибка: Читают заголовок «локализацию смягчили» и оставляют данные в облаке любой страны. Между тем без дополнительных условий данные можно передавать только в 49 государств из перечня, утверждённого постановлением № 415; для остальных стран действуют правовые, организационные и технические условия уполномоченного органа.

Биометрию внедряют все, а смягчение её не коснулось

Биометрические данные обязаны храниться в Узбекистане, а база подлежит регистрации. Ответственность установлена статьёй 46-2 Кодекса об административной ответственности и статьёй 141-2 Уголовного кодекса.

Типичная ошибка: Не замечают, что биометрию порождают обычные вещи: вход по лицу, отпечаток на СКУД, видеоаналитика, HR-турникеты, удалённая идентификация клиента. Всё это часто живёт в иностранном облаке вместе с остальной HR-системой.

Непонятно, какие именно базы регистрировать

Избыточная регистрация означает, что вы добровольно передаёте регулятору карту своих данных. Недорегистрация — прямое нарушение. Цена ошибки в обе стороны реальна.

Типичная ошибка: Новая редакция части первой статьи 20 привязала обязанность регистрации к перечню из части второй статьи 27-1. Дальше начинается квалификация: считается ли фотография в профиле биометрией, относится ли к перечню запись разговора в колл-центре.

Риск оценивают размером штрафа

Для банковского приложения, маркетплейса или SaaS настоящая санкция — не штраф, а ограничение доступа к ресурсу: выручка останавливается на весь период устранения нарушений.

Типичная ошибка: Юрист приносит цифру штрафа, и вопрос закрывается: «дешевле заплатить». Из расчёта выпадает и ограничение доступа, и то, что ответственность по статье 141-2 Уголовного кодекса персональная.

Кадровое дело — это база персональных данных, а согласие в трудовом договоре пустое

Любой трудовой спор превращается во второй фронт: жалобу по персональным данным, где у работодателя нет ни политики, ни приказа об ответственном, ни корректного согласия.

Типичная ошибка: Собирают сканы паспортов, медсправки и биометрию с турникетов, ведут всё в иностранной HR-системе, а согласие оформляют одной строкой в трудовом договоре — без цели обработки и перечня данных.

Результат

Что вы получаете

Аудит обработки данных

Инвентаризация: какие данные вы собираете, где они физически лежат, кто имеет доступ и через каких подрядчиков проходят.

Карта локализации

Разделяем данные на те, что обязаны храниться в Узбекистане, и те, которые можно вынести — с указанием основания по части третьей статьи 27-1.

Комплект документов оператора

Политика обработки и защиты персональных данных, приказ о назначении ответственного, внутренний порядок обработки, формы согласий под конкретные цели.

Регистрация баз в Госреестре

Определяем, какие базы подлежат регистрации по новой редакции статьи 20, и проводим её; за саму регистрацию в Госреестре государство плату не берёт, срок — пять рабочих дней.

Договоры с подрядчиками

Условия обработки данных для облачных провайдеров, колл-центров, HR- и маркетинговых сервисов, через которых данные уходят наружу.

Готовность к проверке

Комплект, который предъявляется по запросу, и понятный ответ на вопрос, на каком основании данные находятся там, где находятся.

Порядок работы

Как это устроено

011–2 недели
Инвентаризация
Смотрим системы и потоки данных, а не только сайт: HR, CRM, колл-центр, видеонаблюдение, аналитика.
021 неделя
Правовая квалификация
Относим каждую категорию к перечню обязательной локализации либо к разрешённой к вынесению, фиксируем основание.
032–3 недели
Документы и настройки
Готовим комплект оператора, правим согласия и договоры с подрядчиками, ставим задачи по переносу того, что должно храниться в Узбекистане.
045 рабочих дней на регистрацию
Регистрация и поддержка
Регистрируем базы, подлежащие регистрации, и сопровождаем при запросах регулятора.

Правовая база

Что говорит закон

Каждый пункт — со ссылкой на первоисточник, чтобы вы могли проверить его сами.

Базовый акт — Закон Республики Узбекистан «О персональных данных» от 2 июля 2019 года № ЗРУ-547.
lex.uz — ЗРУ-547
Закон № ЗРУ-1125 от 26 марта 2026 года внёс изменения в Закон «О персональных данных», в том числе изложил статью 27-1 в новой редакции.
lex.uz — ЗРУ-1125
Обязательному хранению на территории Республики Узбекистан подлежат перечисленные в части второй статьи 27-1 категории, включая биометрические и генетические данные физических лиц.
lex.uz — ст. 27-1
Персональные данные, не указанные в части второй статьи 27-1, могут храниться и обрабатываться за пределами Узбекистана при выполнении одного из трёх условий части третьей той же статьи.
lex.uz — ст. 27-1
Перечень 49 иностранных государств, обеспечивающих равноценную защиту персональных данных, утверждён постановлением Кабинета Министров № 415 от 29 июля 2026 года; при утечке в ходе трансграничной передачи оператор уведомляет уполномоченный орган в течение 24 часов и сообщает причины и принятые меры в течение 72 часов.
lex.uz — постановление КМ № 415
Обязанность регистрации баз персональных данных в Государственном реестре привязана к перечню данных, подлежащих обязательному хранению в Узбекистане (новая редакция части первой статьи 20).
lex.uz — ст. 20
Государственное регулирование в области персональных данных осуществляют Кабинет Министров и уполномоченный государственный орган; ведение Государственного реестра баз персональных данных отнесено к полномочиям уполномоченного органа (ст. 6, 8 ЗРУ-547).
lex.uz — ст. 6, 8 ЗРУ-547
Порядок регистрации баз персональных данных установлен постановлением Кабинета Министров № 71 от 8 февраля 2020 года: регистрация проводится безвозмездно, срок рассмотрения — пять рабочих дней.
lex.uz — ПКМ № 71
Закон не распространяется на обработку персональных данных физическим лицом исключительно в личных и бытовых целях (ст. 3 ЗРУ-547 в редакции ЗРУ-1125).
lex.uz — ст. 3
Ответственность за нарушение законодательства о персональных данных установлена статьёй 46-2 Кодекса об административной ответственности и статьёй 141-2 Уголовного кодекса.
lex.uz — Уголовный кодекс

Выбор варианта

Что обязано лежать в Узбекистане, а что можно вынести

Категория данных	Хранение	Что требуется от оператора
Биометрические и генетические данные	Только на территории Узбекистана	Локальное хранение и регистрация базы в Государственном реестре
Иные категории из части второй статьи 27-1	Только на территории Узбекистана	То же: локализация и регистрация
Остальные персональные данные	Допускается хранение и обработка за рубежом	Документально подтверждённое основание по части третьей статьи 27-1
Данные, обрабатываемые физлицом в личных целях	Закон не применяется	Требований нет

Практический вывод: сначала инвентаризация и квалификация категорий, и только потом решения об инфраструктуре. Перенос данных до квалификации — это либо лишние расходы, либо нарушение.

Следующий шаг

Расскажите о задаче

Разберём вашу ситуацию, скажем, что реально сделать и в какие сроки, и назовём стоимость — после того, как поймём объём. Без этого любая цифра была бы выдумкой.

Телефон: +998781138101

Telegram: @pactumcrmbot

Почта: info@pactum.uz

Сначала разобраться с юристом?

Консультация 60 минут — 300 000 сум, с предоплатой. Сумма засчитывается в стоимость услуги, если вы её закажете.

Записаться на консультацию

Вопросы

Частые вопросы

Обязательно ли хранить персональные данные клиентов в Узбекистане?

Не все. После изменений ЗРУ-1125 от 26 марта 2026 года обязательное хранение на территории Узбекистана распространяется на закрытый перечень категорий из части второй статьи 27-1, включая биометрические и генетические данные. Остальные данные можно хранить и обрабатывать за рубежом при выполнении одного из трёх условий части третьей той же статьи.

Что относится к биометрическим данным на практике?

Биометрию порождают вход по лицу, отпечаток пальца на системе контроля доступа, видеоаналитика, HR-турникеты и удалённая идентификация клиента. Для этой категории смягчения не было: она хранится в Узбекистане, а база подлежит регистрации.

Нужно ли регистрировать базу персональных данных?

Обязанность регистрации привязана к перечню данных, подлежащих обязательному хранению в Узбекистане. Поэтому вопрос решается не по названию системы, а по составу данных в ней. Сама регистрация проводится безвозмездно, срок рассмотрения — пять рабочих дней по постановлению Кабинета Министров № 71.

Можно ли пользоваться иностранным облаком?

Для данных вне перечня обязательной локализации — да. Если сервер находится в одном из 49 государств перечня постановления № 415 (например, Германия, Нидерланды, Ирландия или Финляндия), дополнительных разрешений не нужно, но меры против утечки обязательны. Для серверов в США основание есть только у провайдеров — участников EU-US Data Privacy Framework, для остальных стран — условия уполномоченного органа. Основание стоит выбрать и задокументировать заранее, а не после запроса регулятора.

Достаточно ли согласия в трудовом договоре?

Как правило нет. Согласие должно быть привязано к конкретной цели обработки и перечню данных, а у работодателя дополнительно должны быть политика обработки, приказ о назначении ответственного и внутренний порядок. Кадровое дело — это база персональных данных со всеми вытекающими обязанностями.

Какая ответственность за нарушение?

Ответственность установлена статьёй 46-2 Кодекса об административной ответственности и статьёй 141-2 Уголовного кодекса. Для интернет-сервисов практически более значимой мерой оказывается ограничение доступа к ресурсу — оно применялось к крупным международным платформам со ссылкой на статью 27-1.

С чего начать приведение в соответствие?

С инвентаризации: какие данные собираются, где физически лежат, через каких подрядчиков проходят. Без этой карты невозможно ни определить, что подлежит локализации, ни понять, какие базы регистрировать. Решения об инфраструктуре принимаются после квалификации, а не до неё.

Что изменилось для компаний, которые уже перенесли данные в Узбекистан?

Часть расходов может оказаться избыточной: обязательное хранение теперь распространяется на перечень категорий, а не на все персональные данные подряд. При этом внутренние политики и договоры с контрагентами, написанные под прежнюю редакцию, требуют обновления — они описывают требование в недействующем виде.

Почему нам можно доверить это

Проверяемые факты о нас

Здесь нет отзывов и кейсов: их нельзя проверить. Есть только то, что вы можете подтвердить сами.

Каждая норма приведена со ссылкой на lex.uz, включая сам Закон ЗРУ-1125 от 26 марта 2026 года, которым переписана статья 27-1.
Мы не приводим конкретные суммы штрафов по статье 46-2 КоАО и статье 141-2 УК: подтвердить действующие редакции по первоисточнику не удалось, а цифра из пересказа в этой теме стоит слишком дорого.
Pactum — платформа юридических услуг Узбекистана: 5042 услуги в каталоге, заявка уходит профильному юристу по направлению.

По теме

Смежные материалы и услуги

Комплаенс персональных данных Защита персональных данных Авторское право и IT Кадровый аудит Передача данных за рубеж: 49 стран

Материал носит справочный характер и не является юридической консультацией по вашей конкретной ситуации. Нормы и тарифы меняются — проверяйте актуальную редакцию по ссылкам на первоисточники выше. Для оценки вашего случая оставьте заявку.