Хранение данных в Узбекистане, России и ЕС: что требует закон

Хранение данных в Узбекистане обязательно не для всех: после поправки ЗРУ-1125 статья 27-1 закона «О персональных данных» требует держать в стране биометрические, генетические данные и данные пользователей услуг операторов телекоммуникаций. Прочие персональные данные можно хранить за рубежом, если выполняется одно из трёх условий закона: страна признана обеспечивающей адекватную защиту, оператор принял типовые договорные условия или корпоративные правила либо соблюдает международные стандарты из утверждённого перечня. В России действует правило локализации данных граждан РФ — часть 5 статьи 18 закона № 152-ФЗ, в ЕС — правила GDPR о передаче данных в третьи страны. Для компании из Узбекистана сервер в России или ЕС не заменяет статью 27-1, а добавляет второй слой правил. Поэтому хранение в стране — самый короткий путь: не нужно подбирать условие для хранения за рубежом и сверяться с законом другой юрисдикции. Zukko.AI — платформа ИИ-агентов для бизнеса — хранит данные клиентов из Узбекистана в стране, а для банков СНГ доступно развёртывание в private cloud или on-prem.

Хранение персональных данных в Узбекистане, России и ЕС: сравнение

Три юрисдикции отвечают на вопрос «где хранить» по-разному. Узбекистан называет категории данных, которые остаются в стране. Россия привязывает правило к данным своих граждан. ЕС регулирует не место хранения, а передачу данных за пределы Союза. Ниже — сравнение по текстам законов.

Главный вывод из таблицы: выбор страны хранения не отменяет закон Узбекистана. Где бы ни стоял сервер, компания, которая обрабатывает данные граждан Узбекистана, сверяется со статьёй 27-1.

Что требует закон Узбекистана после поправки ЗРУ-1125

Прежнее правило «все персональные данные граждан хранятся в стране» больше не действует. Закон ЗРУ-1125 от 26 марта 2026 года изложил статью 27-1 закона «О персональных данных» в новой редакции (lex.uz). Обязательному хранению на территории Узбекистана подлежат три категории: биометрические данные, генетические данные и данные физических лиц — пользователей услуг операторов телекоммуникаций. Прочие персональные данные можно хранить и обрабатывать за рубежом, если выполняется одно из условий:

• Адекватная защита. Иностранное государство признано обеспечивающим адекватную защиту персональных данных; перечень таких государств устанавливает Кабинет Министров.
• Договорные условия или корпоративные правила. Оператор принял типовые договорные условия или обязательные корпоративные правила, отвечающие требованиям уполномоченного государственного органа.
• Международные стандарты. Оператор соблюдает международные стандарты управления персональными данными из перечня, который утверждает уполномоченный государственный орган.

Конкретные стандарты и сертификаты закон не называет — он отсылает к перечню уполномоченного органа. Подробный разбор статьи — в материале о локализации персональных данных по ЗРУ-547.

Что меняется, если данные хранятся в России

Российское правило локализации записано в части 5 статьи 18 Федерального закона № 152-ФЗ: при сборе персональных данных запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся за пределами России, не допускаются (consultant.ru). Норма говорит о данных граждан России. Статья 12 того же закона обязывает оператора уведомить уполномоченный орган до начала трансграничной передачи (consultant.ru).

Для компании из Узбекистана сервер в России не решает задачу статьи 27-1: три категории данных всё равно остаются в Узбекистане, а для остальных нужно одно из условий закона. Применяется ли к вашей обработке российский закон, оценивает юрист.

Что меняется, если данные хранятся в ЕС

GDPR устроен иначе: глава V регулирует передачу персональных данных в третьи страны. Статья 44 допускает её только при соблюдении условий этой главы (gdpr-info.eu). Статья 45 разрешает передачу, если Еврокомиссия признала уровень защиты в стране адекватным; статья 46 — при надлежащих гарантиях, среди которых стандартные договорные условия и обязательные корпоративные правила (gdpr-info.eu).

Кого касается регламент, определяет статья 3: обработки в рамках деятельности оператора или обработчика, учреждённого в ЕС, а также данных людей в ЕС, которым предлагают товары и услуги (gdpr-info.eu). Для компании из Узбекистана хранение в ЕС означает второй слой правил поверх статьи 27-1, а не замену ей.

Что выбрать бизнесу в Узбекистане

Выбор зависит от того, какие данные вы собираете и с кем работаете. Хранение в стране — не обязанность для всех, но самый короткий путь: не нужно подбирать условие для хранения за рубежом и сверяться с законом второй юрисдикции.

Где именно физически лежат данные CRM и что такое резидентность — в статье «Где хранятся данные вашей CRM».

Как это устроено в Zukko.AI

Zukko.AI хранит данные клиентов из Узбекистана в стране. Это свойство продукта, а не требование закона для всех: место хранения известно заранее, юрисдикция понятна, а разговор с банками СНГ и госсектором, у которых есть собственные требования, становится проще. Развёртывание — SaaS, private cloud или on-prem на выбор клиента. Данные шифруются AES-256 при хранении и TLS 1.3 при передаче, доступ разграничен по ролям (RBAC), каждое действие пишется в журнал аудита. Как это устроено — на странице Безопасность и в AI-CRM.

Честно о сертификациях: мы не заявляем ни одной — вместо этого называем действующие контроли: шифрование, ролевой доступ, журнал аудита и развёртывание в контуре клиента. Платформа помогает соблюдать требования, но это не юридическая гарантия: правовую оценку под ваш бизнес даёт ваш юрист. Запуск для малого бизнеса — от 2 часов, для enterprise-внедрения с private cloud или on-prem — до 30 дней.

Что это даёт бизнесу

• Понятная юрисдикция — данные клиентов из Узбекистана лежат в стране.
• Меньше вопросов о трансграничной передаче — место хранения известно до подписания договора.
• Аргумент для банков СНГ и госсектора — место хранения данных входит в число вопросов проверки безопасности.
• Выбор контура — SaaS, private cloud или on-prem.

Если бизнес записывает и разбирает разговоры, к контуру данных добавляется голос — как это устроено, описано в разделе Анализ звонков. Полная картина защиты данных — в гиде по безопасности CRM.