Локализация персональных данных в Узбекистане: что важно знать бизнесу

В чём состоит требование

Закон Республики Узбекистан «О персональных данных» устанавливает общие правила обработки персональных данных: законные основания, согласие, права субъектов, меры защиты и трансграничную передачу. Требование о локализации, закреплённое в статье 27¹ и действующее с 2021 года, обязывает собственников и операторов, которые собирают и обрабатывают персональные данные граждан Узбекистана с использованием информационных технологий, в том числе через интернет, обеспечивать их сбор, систематизацию и хранение в базах данных, физически размещённых на территории Узбекистана.

Такие базы данных также подлежат регистрации в государственном реестре баз персональных данных, который ведёт уполномоченный государственный орган. Обязанности по регистрации и по локализации самостоятельны: компания может нарушить любую из них.

Локализация не запрещает трансграничную передачу как таковую. Данные могут передаваться за рубеж в порядке, установленном Законом, — например, в государства, обеспечивающие надлежащую защиту прав субъектов персональных данных, или на основании согласия субъекта, — однако основная база данных с персональными данными граждан Узбекистана должна находиться в Узбекистане.

Кого это касается

Требование распространяется на любого собственника или оператора, обрабатывающего персональные данные граждан Узбекистана с использованием информационных технологий, независимо от места регистрации самой компании. На практике оно актуально для:

• местных дочерних компаний и филиалов международных групп, использующих общегрупповые HR-, CRM- или ERP-системы, размещённые за рубежом;
• банков, платёжных и финтех-компаний, страховщиков и операторов связи;
• платформ электронной коммерции, маркетплейсов, сервисов доставки и заказа такси;
• иностранных онлайн-сервисов и приложений с пользователями в Узбекистане;
• работодателей, обрабатывающих данные сотрудников в глобальных облачных решениях.

Последствия для бизнеса

Нарушение требования может повлечь административную ответственность компании и её должностных лиц. На практике уполномоченные органы также ограничивали доступ в Узбекистане к онлайн-ресурсам, не соблюдавшим требование о локализации. Помимо рисков применения санкций, локализация влияет и на коммерческие переговоры: банки и крупные корпоративные заказчики всё чаще просят поставщиков подтвердить соблюдение требования, а вопросы защиты данных становятся стандартной частью due diligence в сделках M&A.

Основная практическая сложность связана с архитектурой ИТ-систем. Международные группы, как правило, используют централизованные системы, и перенос полноценного экземпляра системы в Узбекистан может быть дорогостоящим. Распространённые решения — размещение основной локальной базы данных в узбекском дата-центре с репликацией за рубеж или использование местных облачных провайдеров для данных граждан Узбекистана при сохранении глобальных систем для других юрисдикций. Каждый вариант необходимо оценивать как с точки зрения Закона, так и с учётом собственных политик группы в области информационной безопасности и защиты данных.

Рекомендации LEXGLOBAL

1. Проведите инвентаризацию обрабатываемых персональных данных: категории, субъекты, системы, места хранения и потоки данных.
2. Выявите все базы данных, содержащие персональные данные граждан Узбекистана, и убедитесь, что они физически размещены в Узбекистане.
3. Зарегистрируйте базы данных в государственном реестре и поддерживайте сведения о регистрации в актуальном состоянии.
4. Проверьте основания для трансграничной передачи и при необходимости обновите формы согласий и уведомления о конфиденциальности.
5. Внесите в договоры с хостинг-, облачными и ИТ-провайдерами обязательства по локализации и защите данных.
6. Утвердите или обновите внутреннюю политику обработки персональных данных и назначьте лицо, ответственное за их защиту.
7. Повторно оценивайте соответствие требованиям при запуске новых продуктов, смене хостинг-провайдера или миграции систем, а также не реже одного раза в год.

LEXGLOBAL помогает международным и местным компаниям проводить аудит соответствия требованиям о персональных данных, регистрировать базы данных и выстраивать соответствующие закону потоки данных в Узбекистане.