Разбираем, какие ваши базы обязаны храниться в Узбекистане после реформы 2026 года, какие можно вынести за рубеж и чем это подтверждать.
Можно ли хранить персональные данные за пределами Узбекистана в 2026 году?
Частично. Законом ЗРУ-1125 от 26 марта 2026 года статья 27-1 Закона «О персональных данных» изложена в новой редакции: обязательному хранению на территории Узбекистана подлежит закрытый перечень категорий, среди которых биометрические и генетические данные физических лиц. Остальные персональные данные могут храниться и обрабатываться за пределами страны при выполнении одного из трёх условий, установленных частью третьей статьи 27-1. Перечень иностранных государств с равноценной защитой утверждён постановлением Кабинета Министров № 415 от 29 июля 2026 года (в силе с 3 августа 2026 года): в него вошли 49 государств, в том числе Россия, страны ЕС, Великобритания, Южная Корея и Япония; США — только для компаний — участников EU-US Data Privacy Framework. Казахстана, ОАЭ, Турции и материкового Китая в перечне нет.
Это не абстрактные риски, а сценарии, из-за которых сделки срываются, а решения госорганов приходят не в вашу пользу.
Ежемесячные расходы на локальный хостинг и зеркалирование данных, которым локализация уже не нужна, плюс внутренние политики и соглашения с контрагентами, описывающие недействующую редакцию закона.
После ужесточения 2021 года бизнес массово переносил инфраструктуру в Узбекистан и регистрировал в Госреестре все базы подряд. С 27 марта 2026 года обязательное хранение распространяется только на перечень из части второй статьи 27-1.
Компания опирается на основание, соответствие которому не может доказать проверяющему, а нарушение требований к хранению персональных данных образует состав административного правонарушения.
Читают заголовок «локализацию смягчили» и оставляют данные в облаке любой страны. Между тем без дополнительных условий данные можно передавать только в 49 государств из перечня, утверждённого постановлением № 415; для остальных стран действуют правовые, организационные и технические условия уполномоченного органа.
Биометрические данные обязаны храниться в Узбекистане, а база подлежит регистрации. Ответственность установлена статьёй 46-2 Кодекса об административной ответственности и статьёй 141-2 Уголовного кодекса.
Не замечают, что биометрию порождают обычные вещи: вход по лицу, отпечаток на СКУД, видеоаналитика, HR-турникеты, удалённая идентификация клиента. Всё это часто живёт в иностранном облаке вместе с остальной HR-системой.
Избыточная регистрация означает, что вы добровольно передаёте регулятору карту своих данных. Недорегистрация — прямое нарушение. Цена ошибки в обе стороны реальна.
Новая редакция части первой статьи 20 привязала обязанность регистрации к перечню из части второй статьи 27-1. Дальше начинается квалификация: считается ли фотография в профиле биометрией, относится ли к перечню запись разговора в колл-центре.
Для банковского приложения, маркетплейса или SaaS настоящая санкция — не штраф, а ограничение доступа к ресурсу: выручка останавливается на весь период устранения нарушений.
Юрист приносит цифру штрафа, и вопрос закрывается: «дешевле заплатить». Из расчёта выпадает и ограничение доступа, и то, что ответственность по статье 141-2 Уголовного кодекса персональная.
Любой трудовой спор превращается во второй фронт: жалобу по персональным данным, где у работодателя нет ни политики, ни приказа об ответственном, ни корректного согласия.
Собирают сканы паспортов, медсправки и биометрию с турникетов, ведут всё в иностранной HR-системе, а согласие оформляют одной строкой в трудовом договоре — без цели обработки и перечня данных.
Инвентаризация: какие данные вы собираете, где они физически лежат, кто имеет доступ и через каких подрядчиков проходят.
Разделяем данные на те, что обязаны храниться в Узбекистане, и те, которые можно вынести — с указанием основания по части третьей статьи 27-1.
Политика обработки и защиты персональных данных, приказ о назначении ответственного, внутренний порядок обработки, формы согласий под конкретные цели.
Определяем, какие базы подлежат регистрации по новой редакции статьи 20, и проводим её; за саму регистрацию в Госреестре государство плату не берёт, срок — пять рабочих дней.
Условия обработки данных для облачных провайдеров, колл-центров, HR- и маркетинговых сервисов, через которых данные уходят наружу.
Комплект, который предъявляется по запросу, и понятный ответ на вопрос, на каком основании данные находятся там, где находятся.
Смотрим системы и потоки данных, а не только сайт: HR, CRM, колл-центр, видеонаблюдение, аналитика.
Относим каждую категорию к перечню обязательной локализации либо к разрешённой к вынесению, фиксируем основание.
Готовим комплект оператора, правим согласия и договоры с подрядчиками, ставим задачи по переносу того, что должно храниться в Узбекистане.
Регистрируем базы, подлежащие регистрации, и сопровождаем при запросах регулятора.
Каждый пункт — со ссылкой на первоисточник, чтобы вы могли проверить его сами.
Базовый акт — Закон Республики Узбекистан «О персональных данных» от 2 июля 2019 года № ЗРУ-547.
lex.uz — ЗРУ-547Закон № ЗРУ-1125 от 26 марта 2026 года внёс изменения в Закон «О персональных данных», в том числе изложил статью 27-1 в новой редакции.
lex.uz — ЗРУ-1125Обязательному хранению на территории Республики Узбекистан подлежат перечисленные в части второй статьи 27-1 категории, включая биометрические и генетические данные физических лиц.
lex.uz — ст. 27-1Персональные данные, не указанные в части второй статьи 27-1, могут храниться и обрабатываться за пределами Узбекистана при выполнении одного из трёх условий части третьей той же статьи.
lex.uz — ст. 27-1Перечень 49 иностранных государств, обеспечивающих равноценную защиту персональных данных, утверждён постановлением Кабинета Министров № 415 от 29 июля 2026 года; при утечке в ходе трансграничной передачи оператор уведомляет уполномоченный орган в течение 24 часов и сообщает причины и принятые меры в течение 72 часов.
lex.uz — постановление КМ № 415Обязанность регистрации баз персональных данных в Государственном реестре привязана к перечню данных, подлежащих обязательному хранению в Узбекистане (новая редакция части первой статьи 20).
lex.uz — ст. 20Государственное регулирование в области персональных данных осуществляют Кабинет Министров и уполномоченный государственный орган; ведение Государственного реестра баз персональных данных отнесено к полномочиям уполномоченного органа (ст. 6, 8 ЗРУ-547).
lex.uz — ст. 6, 8 ЗРУ-547Порядок регистрации баз персональных данных установлен постановлением Кабинета Министров № 71 от 8 февраля 2020 года: регистрация проводится безвозмездно, срок рассмотрения — пять рабочих дней.
lex.uz — ПКМ № 71Закон не распространяется на обработку персональных данных физическим лицом исключительно в личных и бытовых целях (ст. 3 ЗРУ-547 в редакции ЗРУ-1125).
lex.uz — ст. 3Ответственность за нарушение законодательства о персональных данных установлена статьёй 46-2 Кодекса об административной ответственности и статьёй 141-2 Уголовного кодекса.
lex.uz — Уголовный кодекс| Категория данных | Хранение | Что требуется от оператора |
|---|---|---|
| Биометрические и генетические данные | Только на территории Узбекистана | Локальное хранение и регистрация базы в Государственном реестре |
| Иные категории из части второй статьи 27-1 | Только на территории Узбекистана | То же: локализация и регистрация |
| Остальные персональные данные | Допускается хранение и обработка за рубежом | Документально подтверждённое основание по части третьей статьи 27-1 |
| Данные, обрабатываемые физлицом в личных целях | Закон не применяется | Требований нет |
Практический вывод: сначала инвентаризация и квалификация категорий, и только потом решения об инфраструктуре. Перенос данных до квалификации — это либо лишние расходы, либо нарушение.
Разберём вашу ситуацию, скажем, что реально сделать и в какие сроки, и назовём стоимость — после того, как поймём объём. Без этого любая цифра была бы выдумкой.
Сначала разобраться с юристом?
Консультация 60 минут — 300 000 сум, с предоплатой. Сумма засчитывается в стоимость услуги, если вы её закажете.
Записаться на консультациюЗдесь нет отзывов и кейсов: их нельзя проверить. Есть только то, что вы можете подтвердить сами.
Каждая норма приведена со ссылкой на lex.uz, включая сам Закон ЗРУ-1125 от 26 марта 2026 года, которым переписана статья 27-1.
Мы не приводим конкретные суммы штрафов по статье 46-2 КоАО и статье 141-2 УК: подтвердить действующие редакции по первоисточнику не удалось, а цифра из пересказа в этой теме стоит слишком дорого.
Pactum — платформа юридических услуг Узбекистана: 5042 услуги в каталоге, заявка уходит профильному юристу по направлению.
Материал носит справочный характер и не является юридической консультацией по вашей конкретной ситуации. Нормы и тарифы меняются — проверяйте актуальную редакцию по ссылкам на первоисточники выше. Для оценки вашего случая оставьте заявку.