Это практический разбор для владельцев сайтов, юридической консультацией он не является. Тексты закона и постановлений сверяйте на lex.uz: когда поправки вышли, часть разборов опиралась на неофициальный перевод.
Как было до 2026 года
Закон «О персональных данных» № ЗРУ-547 подписан 2 июля 2019 года и действует с 1 октября 2019 года. В 2021 году в него добавили статью 27-1 «Особые условия обработки персональных данных граждан Республики Узбекистан». По ней данные граждан, которые обрабатываются с помощью информационных технологий, в том числе в интернете, нужно было хранить на технических средствах, физически расположенных в Узбекистане и зарегистрированных в Государственном реестре баз персональных данных.
Формально под это требование попадал почти любой сайт с формой заявки на зарубежном хостинге, облачная CRM или зарубежная рассылка. Регулятор выдавал предписания крупным иностранным платформам, а местный бизнес выбирал между удобными сервисами и буквой закона.
Что изменил закон ЗРУ-1125
Закон подписан 26 марта 2026 года и вступил в силу в день официального опубликования, 27 марта. Новая редакция статьи 27-1 оставила обязательную локализацию для трёх категорий данных.
| Какие данные | Пример на сайте или в сервисе | Где хранить |
|---|---|---|
| Биометрические | вход по лицу или отпечатку, видеоидентификация клиента | только в Узбекистане |
| Генетические | результаты ДНК-тестов в медицинском сервисе | только в Узбекистане |
| Данные абонентов операторов связи | базы операторов, работающих в Узбекистане | только в Узбекистане |
| Остальные персональные данные | ФИО, телефон, e-mail, адрес доставки, история заказов | в Узбекистане или за рубежом при одном из трёх условий |
Остальные данные можно хранить и обрабатывать за пределами страны, если выполнено хотя бы одно условие:
- страна признана государством, обеспечивающим адекватную защиту персональных данных;
- оператор принял и соблюдает типовые договорные условия или обязательные корпоративные правила, которые отвечают требованиям уполномоченного органа;
- оператор соблюдает международные стандарты управления и хранения персональных данных из перечня, утверждённого уполномоченным органом.
Для обычного сайта проще всего первый вариант: держать данные в стране из перечня.
Перечень 49 стран
Страны с адекватной защитой персональных данных перечислены в постановлении Кабинета Министров № 415 от 29 июля 2026 года. В список вошли 49 государств и территорий. Это все 27 стран Евросоюза, в том числе Германия, Нидерланды, Финляндия, Франция, Польша и Эстония. Из остальной Европы туда попали Великобритания, Швейцария, Норвегия, Исландия, Лихтенштейн, Андорра, а также Гернси, Джерси, остров Мэн и Фарерские острова. Дальше идут США, Канада и Россия, в Азии и Тихоокеанском регионе Япония, Южная Корея, Сингапур, Гонконг, Израиль и Новая Зеландия, в Латинской Америке Аргентина, Бразилия и Уругвай.
Если сайт, CRM или база заказов стоят на сервере в Казахстане, первое условие не работает. Понадобится другое основание (типовые договорные условия или международный стандарт) либо переезд в Узбекистан или в страну из перечня.
Передача данных в страны из перечня через системы, созданные на основе международных соглашений, не требует отдельного разрешения или уведомления регулятора, если приняты меры против утечек. Если утечка всё же случилась при передаче за рубеж, оператор сообщает уполномоченному органу в течение 24 часов с момента обнаружения и в течение 72 часов объясняет причины и принятые меры. Изменения в перечень вносит Кабинет Министров по предложениям Департамента миграции и персонализации МВД.
Где на самом деле лежат данные сайта
Данные с сайта почти никогда не остаются в одном месте. Заявка из формы уходит в CRM, на почту и в Telegram, посещение записывает аналитика. Закон касается каждого из этих мест.
| Где оседают данные | Что именно | Что проверить |
|---|---|---|
| Хостинг и база сайта | заявки, заказы, аккаунты покупателей | страна сервера: Узбекистан или страна из перечня |
| CRM | карточки клиентов, история сделок, записи звонков | страна дата-центра у поставщика CRM |
| Почта и мессенджеры | уведомления о заявках с именем и телефоном | где сервис хранит письма и сообщения |
| Веб-аналитика | cookies, IP-адреса, поведение на сайте | данные Google Analytics обрабатывает американская Google, Яндекс Метрики российский Яндекс: США и Россия в перечне |
| Платёжные системы | данные плательщика | их обрабатывает платёжная система, данные карт сайт хранить не должен |
| Биометрия | Face ID в личном кабинете, видеоверификация | только серверы в Узбекистане |
Если на сайте есть онлайн-оплата, заодно проверьте уведомления и чеки, про них статья о подключении Payme, Click и Uzum к сайту.
Что проверить на своём сайте
- Список персональных данных, которые собирает сайт (формы, заказы, кабинет, cookies), и сервисов, куда они уходят.
- Страна хранения у каждого сервиса: хостинг, CRM, почта, рассылки, аналитика, онлайн-чат.
- Если страны нет в перечне, например Казахстана, переезд или другое основание из статьи 27-1.
- Биометрические данные, если они есть, только на серверах в Узбекистане.
- Политика конфиденциальности: какие данные, зачем, сколько хранятся и куда передаются, в том числе за рубеж.
- Согласие на обработку данных в каждой форме, без заранее поставленной галочки.
- Регистрация в Государственном реестре баз персональных данных на pd.gov.uz, если база подлежит хранению в Узбекистане.
- Порядок на случай утечки: кто уведомляет уполномоченный орган за 24 часа и кто готовит объяснение за 72 часа.
Проверка обычно занимает день-два, а заметная часть пунктов закрывается правкой политики конфиденциальности и форм. Если сайт на поддержке у подрядчика, это удобно включить в сопровождение.
Когда сервер в Узбекистане всё равно удобнее
Смягчение закона не делает местный хостинг лишним. Для аудитории внутри страны сервер в Ташкенте просто ближе, сайт открывается быстрее, а скорость загрузки влияет и на заявки, и на позиции в поиске. Если в продукте может появиться биометрия, переезжать потом не придётся.
Государственные и крупные заказчики часто прописывают хранение данных в Узбекистане в техническом задании или договоре, независимо от закона. И документов меньше: не нужно подтверждать основание для передачи за рубеж и следить за изменениями перечня.
Вопросы и ответы
Обязательно ли хранить данные сайта в Узбекистане в 2026 году?
Только для трёх категорий. С 27 марта 2026 года по закону ЗРУ-1125 в Узбекистане обязательно хранить биометрические и генетические данные и данные абонентов операторов связи. Остальное можно держать за рубежом при одном из трёх условий статьи 27-1.
Можно ли держать сайт на хостинге в Германии или России?
Можно. Германия, другие страны Евросоюза и Россия входят в перечень 49 государств с адекватной защитой данных из постановления Кабмина № 415 от 29 июля 2026 года.
А если сервер в Казахстане?
Казахстана в перечне нет. Нужно другое основание из статьи 27-1: типовые договорные условия, обязательные корпоративные правила или международный стандарт хранения данных. Второй путь: переезд в Узбекистан или в страну из перечня.
Можно ли пользоваться Google Analytics и Яндекс Метрикой?
Можно. Данные Google Analytics обрабатывает американская Google, Яндекс Метрики российский Яндекс, и обе страны есть в перечне. Аналитику и передачу данных за рубеж стоит указать в политике конфиденциальности.
Какие персональные данные собирает обычный сайт?
Имя, телефон и e-mail из форм, адрес доставки и история заказов в магазине, данные личного кабинета, а ещё cookies и IP-адреса, которые записывает веб-аналитика.
Что делать при утечке данных?
При утечке во время передачи за рубеж оператор уведомляет уполномоченный орган в течение 24 часов с момента обнаружения и в течение 72 часов сообщает причины и принятые меры. Кто и что делает, лучше расписать заранее.
Нужно ли регистрироваться в реестре баз персональных данных?
Государственный реестр баз персональных данных ведётся на pd.gov.uz и связан с базами, которые хранятся в Узбекистане. Нужна ли регистрация вашей базе после поправок 2026 года, уточните у юриста по актуальной редакции закона.
