Персональные данные в Узбекистане: требования к сайтам и приложениям

Короткий ответ

Основной документ — Закон Республики Узбекистан «О персональных данных» (ЗРУ-547 от 2 июля 2019 года). Для сайтов и приложений из него следуют четыре ключевых обязанности:

1. Получать согласие человека на обработку его данных (кроме случаев, прямо предусмотренных законом).
2. Хранить данные граждан Узбекистана на серверах в Узбекистане — это требование о локализации.
3. Зарегистрировать базу персональных данных в Государственном реестре баз персональных данных.
4. Защищать данные правовыми, организационными и техническими мерами.

Нарушения влекут административную, а в отдельных случаях и уголовную ответственность. Эта статья — обзор, а не юридическая консультация: формулировки и порядок исполнения периодически уточняются, поэтому проверяйте актуальную редакцию закона и подзаконных актов.

Что считается персональными данными

Любая информация, которая позволяет прямо или косвенно определить человека: ФИО, телефон, email, адрес, паспортные данные, фотография, геолокация, идентификаторы устройства в связке с аккаунтом. Для сайта это обычно данные из форм заявок, регистрации, заказов, а также CRM, рассылки и аналитика, привязанная к пользователю.

Закон различает собственника базы (кто решает, зачем и какие данные обрабатывать) и оператора (кто обрабатывает их по поручению собственника). Компания, у которой есть сайт, обычно собственник; хостинг, CRM-сервис или подрядчик — операторы.

Локализация данных

С апреля 2021 года действует статья 27-1: при обработке персональных данных граждан Узбекистана с использованием информационных технологий, в том числе через интернет, их сбор, систематизация и хранение должны осуществляться в базах на технических средствах, физически расположенных на территории Узбекистана и зарегистрированных в Государственном реестре.

На практике это означает:

• Основная база с данными граждан — на сервере в узбекском дата-центре или у локального облачного провайдера.
• Зарубежные сервисы (CRM, рассылки, формы, чат-боты, аналитика с данными пользователей) требуют отдельной оценки: где физически хранятся данные и допустима ли такая схема.
• Вопросы вроде копий за рубежом или трансграничной передачи трактуются неоднозначно — их стоит согласовать с юристом.

Согласие

• Согласие должно быть явным: отдельная галочка, которая не стоит по умолчанию, а не фраза мелким шрифтом.
• Пользователь должен понимать, какие данные, для каких целей и как долго вы обрабатываете, кому их передаёте.
• Согласие можно отозвать — предусмотрите способ и процедуру удаления данных.
• Собирайте только нужное для цели: форма заявки не требует паспортных данных.
• Храните доказательство согласия: дату, версию текста, источник.

Регистрация базы

Базы персональных данных подлежат регистрации в Государственном реестре баз персональных данных, который ведёт уполномоченный государственный орган. Лучше пройти регистрацию до запуска сбора данных, а при изменении сведений о базе — обновлять их. Уточните актуальный порядок подачи сведений у уполномоченного органа или юриста: процедура может меняться.

Практические шаги для онлайн-бизнеса

1. Инвентаризация: перечислите все места, где собираются и хранятся данные (формы, CRM, 1С, почта, таблицы, боты, аналитика).
2. Хостинг: перенесите базы с данными граждан на серверы в Узбекистане.
3. Внешние сервисы: для каждого определите, где он хранит данные, и решите, оставлять ли его.
4. Документы: политика обработки персональных данных на сайте, текст согласия, внутреннее положение о защите данных.
5. Формы: чекбокс согласия без предустановленной галочки и ссылка на политику.
6. Ответственный: назначьте сотрудника или подразделение, отвечающее за обработку данных.
7. Регистрация базы в Государственном реестре.
8. Безопасность: HTTPS, разграничение доступа, журналы доступа, резервные копии, шифрование чувствительных данных.
9. Запросы субъектов: процесс ответа на запросы об ознакомлении, изменении и удалении данных.