O'zbekiston shaxsiy ma'lumotlar qonuni: IT-kompaniya uchun tekshiruv ro'yxati

O'zbekiston shaxsiy ma'lumotlar qonuni: IT-kompaniya uchun tekshiruv ro'yxati

Agar xizmatingiz foydalanuvchilarni ro'yxatdan o'tkazsa, analitika to'plasa yoki to'lov ma'lumotlarini saqlaса — siz shaxsiy ma'lumotlarni qayta ishlayapsiz. O'zbekistonda bu soha maxsus qonun bilan tartibga solinadi va talablarni bilmaslik javobgarlikdan ozod etmaydi. Yaxshi xabar: agar qonun mantig'ini tushunсangiz, shtatda yuridik bo'lim bo'lmasa ham compliance tizimini qurish mumkin.

Asosiy tezislar:

• Qonun doirasiga O'zbekiston fuqarolarining ma'lumotlarini qayta ishlovchi barcha operatorlar kiradi — kompaniya qaysi yurisdiksiyada ro'yxatdan o'tganidan qat'i nazar.
• O'zbekiston fuqarolarining shaxsiy ma'lumotlarini saqlash mamlakat ichidagi serverlarda lokalizatsiyani talab qiladi (bir qator istisnolar bilan).
• Foydalanuvchi roziligisiz ma'lumotlarni qayta ishlash — ma'lumotlar «ochiq» bo'lsa ham qonun buzilishi hisoblanadi.
• Regulator jarimalar va ko'rsatmalari real; mahsulot o'sishi bilan xavf ortadi.

---

«Operator» kim va nega bu — siz

O'zbekistonning shaxsiy ma'lumotlar to'g'risidagi qonuni operator tushunchasini kiritadi — bu shaxsiy ma'lumotlarni qayta ishlash maqsad va usullarini mustaqil yoki boshqalar bilan birgalikda belgilaydigan shaxs yoki tashkilot. Agar o'zbek foydalanuvchilariga mo'ljallangan mobil ilova, SaaS-platforma yoki internet-do'kon ishga tushirsangiz — siz operatorsiz.

Bunda kompaniyangiz qayerda ro'yxatdan o'tganligi muhim emas. Hududdan tashqarida qo'llash printsipi GDPRga o'xshaydi: agar siz O'zbekiston foydalanuvchilari bilan maqsadli ishlasangiz, qonun sizga ham tarqaladi.

Amaliy jihat: agar uchinchi tomon xizmatlaridan (analitika, CRM, email-xabarlar) foydalansangiz, ma'lumotlarni uchinchi shaxslarga uzatayapsiz. Qonun bu uzatishni rasmiylashtirishni talab qiladi — foydalanuvchi roziligi yoki ma'lumotlarni himoya qilish bo'yicha majburiyatlari aniq belgilangan shartnoma orqali.

---

Qanday ma'lumotlar shaxsiy hisoblanadi

Shaxsiy ma'lumotlar — jismoniy shaxsni to'g'ridan-to'g'ri yoki bilvosita identifikatsiya qiladigan har qanday ma'lumot. IT-kontekstida bu:

• ism, familiya, tug'ilgan sana;
• telefon raqami, email, manzil;
• IP-manzil, cookie-identifikatorlar;
• geolokatsiya;
• boshqa atributlar bilan birgalikda qurilma ma'lumotlari;
• foydalanuvchini identifikatsiya qilish imkonini beruvchi xulq-atvor naqshlari.

Alohida kategoriya — maxsus (sezgir) ma'lumotlar: biometrik ma'lumotlar, salomatlik, siyosiy qarashlar, din. Ularni qayta ishlash uchun talablar qattiqroq: qoida tariqasida, aniq yozma rozilik talab etiladi. Agar mahsulotingiz tibbiyot, HR yoki fintech sohasiga tegishli bo'lsa — bu sizning alohida e'tibor zonangiz.

---

Ma'lumotlarni saqlash yondashuvlarini solishtirish

> Muhim: lokalizatsiyaga oid aniq talablar va ruxsat etilgan istisnolar ro'yxatini qo'llash sanasida tekshirish kerak — regulator tushuntirishlarni vaqti-vaqti bilan yangilaydi.

---

Foydalanuvchi roziligi: to'g'ri qilish yo'li

Shaxsiy ma'lumotlarni qayta ishlashga rozilik:

• ixtiyoriy bo'lishi kerak — ixtiyoriy analitikadan voz kechganlik uchun asosiy funksionallikni bloklab bo'lmaydi;
• xabardor qilingan — foydalanuvchi nima, nima uchun va qancha vaqt saqlanishini bilishi kerak;
• aniq — «hamma narsaga» bitta rozilik turli qayta ishlash maqsadlari uchun ishlamaydi;
• qaytarib olinishi mumkin — foydalanuvchida rozilikni qaytarib olishning oddiy imkoniyati bo'lishi kerak.

Pactumni qurayotganimizda, birinchi vazifalardan biri barcha ma'lumot to'plash shakllarini ko'rib chiqish bo'ldi. Marketing xabarlari va asosiy ro'yxatdan o'tish uchun darhol alohida checkboxlar qo'yishni maslahat beraman — bu ham yuridik jihatdan to'g'ri, ham foydalanuvchiga nisbatan halolroq.

---

Tekshiruv ro'yxati: bu hafta nima qilish kerak

• [ ] Ma'lumotlar xaritasini (data map) tuzish: qanday ma'lumotlar to'planadi, qaerda saqlanadi, kimga uzatiladi.
• [ ] Maxfiylik siyosatini tekshirish: u o'zbek/rus tilida, aniq va dolzarb bo'lishi kerak.
• [ ] Rozilik shaklining talablarga muvofiqligini tekshirish — har bir qayta ishlash maqsadi uchun alohida.
• [ ] Foydalanuvchi ma'lumotlarini uzatayotgan pudratchilar bilan tuzilgan shartnomalarni tekshirish (analitika, CRM, qo'llab-quvvatlash).
• [ ] O'zbekiston fuqarolarining ma'lumotlari jismonan qaerda saqlanishini va bu lokalizatsiya talablariga muvofiqligini aniqlashtirish.
• [ ] Jamoada ma'lumotlarni qayta ishlash uchun mas'ul shaxsni tayinlash (bu alohida lavozim bo'lmasa ham).
• [ ] Foydalanuvchi so'rovlariga javob berish tartibini o'ylash: kirish, tuzatish, ma'lumotlarni o'chirish.

---

FAQ

Shaxsiy ma'lumotlar operatori sifatida regulatorda ro'yxatdan o'tish kerakmi?

Qonun bir qator operatorlar uchun bildirishnoma tartibini nazarda tutadi. Aniq talablar va chegaralar ma'lumot kategoriyalari va qayta ishlash hajmiga bog'liq — amaldagi tartibni mutaxassis yoki regulator veb-saytida aniqlang.

Biz kichik jamoali startapmiz — bizga DPO (ma'lumotlar bo'yicha mas'ul) kerakmi?

DPO rasmiy lavozimi o'zbek qonunchiligida barcha uchun bevosita belgilanmagan, ammo mas'ul shaxsning mavjudligi amalda xavflarni kamaytiradi. Dastlabki bosqichda bu aniq belgilangan majburiyatlarga ega co-founder yoki CTO bo'lishi mumkin.

Qonun buzilishi nima hisoblanadi va oqibatlari qanday?

Qonun buzilishlariga rozilikсiz qayta ishlash, lokalizatsiyaga rioya qilmaslik, foydalanuvchiga o'z ma'lumotlariga kirish huquqini bermaslik kiradi. Sanktsiyalar ko'rsatmalardan tortib ma'muriy javobgarlikkacha bo'ladi; aniq jarima miqdorlari vaqti-vaqti bilan qayta ko'rib chiqiladi — amaldagi summalarni qo'llash sanasida aniqlang.

Qonun B2B-mahsulotlarga ham tarqaladimi?

Ha, agar qayta ishlash jarayonida jismoniy shaxslarning ma'lumotlari (mijoz xodimlari, aloqa shaxslari) bilan ishlasangiz. B2B talablardan ozod etmaydi.

Ma'lumotlarni AWS yoki Google Cloud'da saqlash mumkinmi?

Bu ma'lumot turiga va provayderning O'zbekistondagi infratuzilmasining mavjudligiga yoki qonunda nazarda tutilgan boshqa shartlarning bajarilishiga bog'liq. Aniq taqiq yo'q, lekin avtomatik ruxsat ham yo'q — aniq arxitekturani baholash kerak.

---

*Ushbu material umumiy ma'lumot xarakteriga ega va individual yuridik maslahat hisoblanmaydi. Vaziyatingizni baholash uchun mutaxassisga murojaat qiling.*

---

Bu tekshiruv ro'yxatidan keyin savollar qolgan bo'lsa yoki hujjatlar bilan yordam kerak bo'lsa — maslahatga yozing. Pactumda biz IT-kompaniyalarga shaxsiy ma'lumotlar bo'yicha compliance tizimini qurishda yordam beramiz: amaldagi vaziyatni auditdan tortib siyosatlar ishlab chiqish va pudratchilar bilan shartnomalar tuzishgacha.