Законодательные изменения в сфере защиты персональных данных – Август 2026
Узбекистан утвердил Перечень государств, обеспечивающих адекватную защиту персональных данных
3 августа 2026 года в Республике Узбекистан вступило в силу Постановление Кабинета Министров «Об утверждении перечня иностранных государств, обеспечивающих адекватную защиту персональных данных» от 29 июля 2026 года №415 (далее – «ПКМ №415»).
Принятое постановление направлено на формирование единой правовой базы для трансграничной передачи персональных данных (далее – «ПД»). Ключевым нововведением является официальное утверждение Перечня иностранных государств, обеспечивающих адекватную защиту ПД (далее – «Перечень»), который включает 49 стран. В Перечень вошли преимущественно европейские страны, а также отдельные азиатские юрисдикции с высоким уровнем экономического развития, включая Сингапур, Японию и Республику Корея.
Особого внимания заслуживает регулирование трансграничной передачи персональных данных в США. Согласно ПКМ № 415, передача ПД американским компаниям допускается при наличии у таких компаний действующей сертификации в рамках программы EU-US Data Privacy Framework. Указанное условие имеет существенное практическое значение с точки зрения соблюдения требований законодательства и требует отдельной проверки со стороны организаций, использующих американские облачные платформы, программное обеспечение и иную технологическую инфраструктуру.
Устранение правового пробела в национальном законодательстве
До утверждения Перечня национальное регулирование трансграничной передачи ПД характеризовалось наличием существенной правовой неопределённости. Так, статья 15 Закона Республики Узбекистан «О персональных данных» от 2 июля 2019 года № ЗРУ-547 (далее — «Закон о ПД») предусматривает, что трансграничная передача ПД допускается в иностранные государства, обеспечивающие адекватную защиту прав субъектов ПД. Кроме того, часть 3 статьи 27-1 Закона о ПД также предусматривает, что хранение и обработка ПД за пределами Республики Узбекистан допускаются при условии признания соответствующего иностранного государства обеспечивающим адекватный уровень защиты ПД.
Вместе с тем до принятия ПКМ №415 законодательство не содержало перечня государств, обеспечивающих адекватный уровень защиты ПД, или критериев отнесения государств к данной категории.
При этом передача ПД в государства, не обеспечивающие адекватную защиту прав субъектов ПД, допускалась лишь в случаях, прямо предусмотренных законодательством, в том числе при наличии согласия субъекта ПД, в целях защиты конституционного строя Республики Узбекистан либо для исполнения международных договоров Республики Узбекистан. На практике это создавало существенные комплаенс-риски и административные обременения.
С вступлением в силу ПКМ № 415 данный пробел был устранён. Трансграничная передача ПД, а также их хранение и обработка в государствах, включённых в Перечень, могут осуществляться автоматически без получения дополнительных разрешений или направления уведомлений уполномоченному органу, при условии соблюдения иных требований законодательства о ПД.
Вопросы применения автоматической передачи данных частными лицами
Несмотря на то, что ПКМ № 415 направлено на упрощение процедур трансграничной передачи данных, его отдельные положения создают новую правовую неопределённость. В частности, абзац 2 пункта 4 ПКМ № 415 предусматривает, что данные, создаваемые автоматически, передаются «посредством информационных систем, созданных на основе международных соглашений».
Вместе с тем содержание данного положения не позволяет однозначно определить ни перечень соответствующих информационных систем, ни критерии их отнесения к системам, созданным на основе международных соглашений. В результате остаётся неясным, распространяется ли данное требование на все случаи трансграничной передачи данных.
Дополнительные вопросы вызывает используемая в ПКМ № 415 формулировка о передаче данных посредством информационных систем, созданных на основе международных соглашений. Такая формулировка порождает вопросы в отношении применения Перечня частным сектором. В частности, остаётся неясным, вправе ли коммерческие организации в полной мере полагаться на предусмотренный ПКМ № 415 режим трансграничной передачи данных.
До формирования официальной правоприменительной практики и получения соответствующей позиции уполномоченных органов порядок применения норм ПКМ №415 к конкретным корпоративным отношениям требует индивидуального юридического анализа.
Механизмы трансграничной передачи данных в юрисдикции вне Перечня
ПКМ № 415 также предусматривает механизмы регулирования трансграничной передачи данных в государства, не включённые в Перечень, включая такие юрисдикции, как Китай, Индия и Объединённые Арабские Эмираты.
В соответствии с пунктом 7 ПКМ № 415 Министерству внутренних дел, Министерству цифровых технологий, Службе государственной безопасности и Национальному агентству перспективных проектов поручено в трёхмесячный срок со дня принятия постановления разработать и утвердить требования к стандартным договорным условиям и обязательным корпоративным правилам, используемым при трансграничной передаче ПД.
Обязательные процессуальные сроки уведомления об утечках данных
Важным требованием, установленным ПКМ №415, является внедрение строгих процессуальных сроков для информирования об утечках ПД в ходе трансграничной обработки.
Абзац 4 пункта 4 возлагает на операторов данных обязанность уведомить компетентный орган, в лице Департамента миграции и персонализации при Министерстве внутренних дел, в течение 24 часов с момента обнаружения утечки данных. Кроме того, исчерпывающий отчет, устанавливающий первопричины утечки и предпринятые меры по ее устранению, должен быть предоставлен в течение 72 часов.
Contacts:
 |
Zafar Vakhidov Partner, Vakhidov & Partners Uzbekistan / Kazakhstan |
|
|
Kamila Sharipova Senior Associate, Vakhidov & Partners Uzbekistan |
