Персональные данные клиентов, сотрудников и кандидатов: что можно хранить и образец согласия (2026)

Avada · Проверено: 26 октября 2026 г. · Источник: lex.uz

Коротко

Образцы ниже: А — кандидат, Б — клиент или родитель (за ребёнка), В — сотрудник.
Для заказа клиента достаточно договора, для сотрудника — трудового договора и обязанностей по законодательству (Закон «О персональных данных» № ЗРУ-547, далее — Закон, ст. 18). Рекламные SMS, публикация фото или мнения клиента и смена цели требуют отдельного согласия. Напоминание о занятии, оплате или приёме — не реклама (наше толкование).
С 1 ноября рекламные SMS — только на номера с письменным или электронным согласием, в том числе из уже собранной базы: переходного периода нет. Рекламные звонки и сообщения с 18.00 до 09.00 запрещены (постановление Президента № ПП-265, п. 11).
Сейчас: берите согласие при следующей оплате, визите или заказе галочкой на рекламу. После 1 ноября не рассылайте по базе SMS с просьбой о согласии: рекламой может быть и сообщение о самой компании (Закон «О рекламе», ст. 5; наш совет).
Клиника: карту пациента для лечения ведут без отдельного согласия, если её ведёт работник, обязанный защищать данные (Закон, ст. 25, ч. 3): поручите это приказом или в должностной инструкции (наш совет). Для публикации фото «до/после» — полный образец Б (строка 8; наше толкование).
Базы, которые обязаны храниться в Узбекистане, нужно зарегистрировать в государственном реестре: например, базу системы распознавания лиц или отпечатков пальцев (Закон, ст. 20).

Содержание

На каком основании хранить каждый список
Когда нужно согласие
Что должно быть в согласии
Три образца согласия
Сколько хранить
Передача данных другим
Что нельзя публиковать
Реестр: кому нужен
Ответственность
Чек-лист
Что сделать дальше

На каком основании хранить каждый список

Человек, к которому относятся данные, в законе — «субъект», а бизнес, который их ведёт, — собственник базы и её оператор (Закон, ст. 4).

Клиенты

Что: имя, телефон, адрес доставки, заказы.
Основание: исполнение договора, стороной которого является субъект.
В аптеке: не подбирайте рекламу по лекарству или диагнозу (наш совет). Рекламировать рецептурные лекарства запрещено (Закон «О рекламе», ст. 34).

Сотрудники

Что: перечень ст. 175 Трудового кодекса (Ф.И.О., ПИНФЛ, паспорт, результаты медосмотра и другое).
Основание: исполнение трудового договора и обязанностей по законодательству.
Данные получают у самого работника. У третьих лиц — только после письменного уведомления и с письменного согласия (Трудовой кодекс, ст. 176). О здоровье спрашивают только то, что касается возможности выполнять работу (ст. 178).

Кандидаты

Что: резюме, заявка, результаты собеседования. Требовать можно только документы, предусмотренные законодательством (Трудовой кодекс, ст. 124).
Основание: кандидат сам прислал резюме — это действия до заключения договора, совершаемые по его запросу (Закон, ст. 18; наше толкование). Поставьте в форму заявки галочку согласия (наш совет).
Судимость — специальные данные (ст. 25). Отказ в приёме из-за судимости допустим только в случаях, предусмотренных законодательством (Трудовой кодекс, ст. 119). Справку просите только для такой должности (наш совет).

Как ведутся этапы заявки и причина отказа, можно посмотреть в демо «Кадры и найм» (на примере вуза).

Рекламный список

Что: телефоны для акций и новостей.
Основание: только согласие.
Использовать в рекламе телефон, оставленный для доставки, — смена цели: нужно новое согласие (Закон, ст. 19).
Telegram-бот или канал: мессенджеры ПП-265 не называет. Правило о согласии (п. 11, «а») — для SMS; ночной запрет («в») — для рекламных звонков и уведомлений через телекоммуникационные сети (мобильная связь). В боте тоже берите отдельное согласие на рекламу и не отправляйте её с 18.00 до 09.00 (наш совет).

Напоминание — не реклама. Реклама — информация, предназначенная для привлечения внимания к объекту рекламы, формирования или поддержания интереса к нему и его продвижения на рынке с целью прямого или опосредствованного получения прибыли (Закон «О рекламе», ст. 5). Напоминание о занятии, оплате, приёме или статусе заказа отправляют для исполнения заключённого договора (Закон, ст. 18). Приглашение на повторный приём, назначенный врачом, — напоминание по договору; акция, скидка, новый курс или «вернитесь к нам» без назначения врача, даже одному человеку, — реклама (наше толкование).

Когда нужно согласие

Если другого основания (Закон, ст. 18) нет или закон требует его отдельно, согласие получают:

при смене цели (ст. 19);
при распространении данных неопределённому кругу лиц, в том числе в интернете (ст. 28; если это выходит за ранее заявленные цели сбора — ст. 14);
для специальных данных (здоровье, судимость), если нет другого основания из ч. 3 ст. 25, — в письменной форме или в виде электронного документа (ст. 21; Типовой порядок обработки персональных данных, п. 9);
для биометрических данных, используемых для идентификации (ст. 26);
за несовершеннолетнего (младше 18 лет: Гражданский кодекс, ст. 22) — письменное согласие родителей (опекунов, попечителей) (Закон, ст. 21).

Форма. Согласие даётся «в любой форме, позволяющей подтвердить факт его получения» (Закон, ст. 21). В случаях, предусмотренных законодательством, доказательство согласия представляет оператор (ст. 31), поэтому берите его в доказуемой форме: подпись или электронное подтверждение — галочка, которую человек поставил сам на сайте или в боте, ответное SMS; храните с датой и временем. Заранее отмеченная галочка — не доказательство (и то и другое — наше толкование). «Электронный документ», которого закон требует для специальных данных и за ребёнка, — документ с электронной цифровой подписью (ЭЦП) (Закон «Об электронном документообороте», ст. 5–6). Галочка в боте, подпись на планшете или ответ в Telegram таким документом не являются: без ЭЦП берите подпись на бумаге (наше толкование).

Письменное уведомление. Когда данные вносят в базу, субъекта письменно уведомляют о целях обработки и его правах (Закон, ст. 23). Для этого в каждом образце ниже есть строка о целях и правах; приложите к бланку перечень прав из ст. 30 или дайте ссылку на него (наш совет). Где согласия нет (карта пациента, заказ, трудовой договор — Трудовой кодекс, ст. 176), впишите ту же строку с перечнем прав в договор, оферту или лист, который подписывает пациент (наш совет).

Что должно быть в согласии

Пункт 11 Типового порядка (утверждён приказом министра юстиции от 15 ноября 2023 г. № 20-мх, рег. № 3478) называет восемь сведений:

Оператор: название организации и ИНН; для физического лица — Ф.И.О. и ПИНФЛ.
Субъект: Ф.И.О. и данные документа, удостоверяющего личность.
Цели обработки.
Перечень данных.
Срок или период действия согласия.
Согласие на передачу третьим лицам и (или) трансграничную передачу.
Согласие на распространение в общедоступных источниках.
Другие сведения.

Три образца согласия

Образец, адаптируйте под свой случай. «☐» — отдельная галочка: если её не отметить, остальная часть согласия всё равно действует.

А. Согласие кандидата (под заявкой на вакансию)

Я, ____ (Ф.И.О.), документ, удостоверяющий личность: ____ (серия, номер), даю ____ (название организации, ИНН ____; для физического лица — Ф.И.О. и ПИНФЛ) согласие на обработку моих персональных данных.
Цель: отбор кандидатов на должность ____.
Данные: из резюме — Ф.И.О., дата рождения, телефон, электронная почта, образование, опыт работы; результаты собеседования.
Срок: до замещения должности.
Если мне откажут: запись о причине отказа (Ф.И.О., должность, дата, причина) хранится ещё ____ (например, 6) месяцев — на случай спора.
Передача третьим лицам: ____ (кому) / не передаются. Трансграничная передача: ____ / нет.
Распространение в общедоступных источниках: нет.
☐ Кадровый резерв (по желанию): для следующих вакансий, ____ месяцев.
Без этой галочки резюме уничтожают после замещения должности.
Я уведомлён(а) о целях обработки и о своих правах по ст. 30 Закона «О персональных данных».
Согласие я могу отозвать в любое время, направив письменное заявление на ____ (адрес или электронная почта).
Если мне откажут, я вправе потребовать письменное обоснование отказа.
Дата: ____ Подпись: ____

Б. Согласие клиента (для целей помимо заказа)

На кассе, при бронировании и при заказе онлайн — короткий путь. Впишите цели в оферту, условия сайта, бронирования или карты постоянного покупателя: принятие оферты или условий пользования услугами, где цели указаны точно, считается согласием (Типовой порядок, п. 9), строка о документе не нужна (наше толкование). Об оферте: Публичная оферта и чек при оплате через Click и Payme: порядок 2026 года для учебного центра.

Если аптека хранит в карте историю покупок, этого пути мало: мы считаем её специальными данными (Закон, ст. 25) — берите полный образец Б с подписью или электронным документом (ст. 21; Типовой порядок, п. 9).
Клиника: фото «до/после». Мы считаем его сведениями о здоровье: берите полный образец Б с подписью или электронным документом.
Учебный центр: ребёнок. SMS о новом курсе или скидке — реклама: согласие даёт получатель, обычно родитель, короткого пути хватит. Для фото, имени или результата ребёнка — полный образец Б (со строкой 2), с подписью или электронным документом (ст. 21; наше толкование). Для журнала эти строки можно вписать в договор об обучении, который родитель подписывает на бумаге (наше толкование).
Для заказов в Instagram или Telegram пришлите ссылку на оферту до заказа, галочки дайте в боте (наш совет).

Образец:

Оператор: ____ (название, ИНН). Цели: карта постоянного покупателя, бронь, заказ или договор об обучении.
Оформляя карту, бронь, заказ или договор об обучении, вы соглашаетесь на обработку имени и телефона для этих целей.
Срок: ____ месяцев. Кому передаются: ____ (SMS-сервис). Как отозвать согласие: ____.
О целях обработки и ваших правах (ст. 30 Закона «О персональных данных»): ____ (ссылка или пункт оферты).
☐ Согласен(на) получать SMS об акциях и новостях.
☐ Согласен(на) на публикацию моего мнения или фото на ____.
☐ Можно указать моё имя.
Дата и подпись (на бумаге) или дата и время отметки (на сайте, в боте): ____.

В аптеке галочку на мнение или фото о лекарстве не давайте: в рекламе лекарств нельзя использовать благодарности и рекомендации покупателей или конкретные случаи удачного применения (Закон «О рекламе», ст. 34).

Полный образец Б — когда согласие единственное основание:

Я, ____ (Ф.И.О.), документ, удостоверяющий личность: ____, даю ____ (название организации, ИНН ____; для физического лица — Ф.И.О. и ПИНФЛ) согласие на обработку персональных данных.
Если заполняю за ребёнка: я родитель / опекун / попечитель ребёнка ____ (Ф.И.О., дата рождения, свидетельство о рождении или ID-карта: серия, номер). Ф.И.О. в строке 4 — ребёнка; номер телефона и строка 10 (реклама) — мои.
Цель: по отмеченным галочкам и ____ (например, карта постоянного покупателя).
Данные: Ф.И.О., номер телефона, ____ (фото; в клинике — фото до и после лечения).
Срок: ____ месяцев или до отзыва согласия.
Передача третьим лицам: ____ (например, SMS-сервис, поставщик CRM).
Трансграничная передача: ____ / нет.
☐ Согласен(на) на публикацию моего мнения, фото или результата (за ребёнка — его). Где: ____ (сайт, страница в соцсети).
☐ Можно указать моё имя (за ребёнка — его).
☐ Реклама: согласен(на) получать SMS, сообщения в Telegram и звонки об акциях и новостях от ____ (название).
Я уведомлён(а) о целях обработки и о своих правах по ст. 30 Закона «О персональных данных».
Согласие, в том числе отдельно на рекламу, я могу отозвать в любое время письменным заявлением на ____ или тем же способом, каким давал(а) согласие.
Дата: ____ Подпись или электронное подтверждение: ____ (для специальных данных и за ребёнка — подпись или электронный документ)

В. Согласие сотрудника (на то, что выходит за рамки трудового договора)

Я, ____ (Ф.И.О.), сотрудник на должности ____, документ, удостоверяющий личность: ____, даю ____ (название организации, ИНН ____; для физического лица — Ф.И.О. и ПИНФЛ) письменное согласие на:
☐ запрос характеристики обо мне у ____ (прежнего работодателя);
☐ передачу характеристики обо мне другому работодателю по его запросу;
☐ публикацию моего фото, имени и должности на ____ (сайт, страница в соцсети).
Данные: Ф.И.О., должность, период работы, ____ (фото).
Срок: на время работы / до ____.
Последствия отказа дать согласие: ____ (например, фото не публикуют).
Согласие я могу отозвать в любое время, направив письменное заявление на ____.
Я уведомлён(а) о целях обработки и о своих правах по ст. 30 Закона «О персональных данных».
Дата: ____ Подпись: ____

Сколько хранить

Данные уничтожают при достижении цели, при отзыве согласия, по истечении срока из согласия или по решению суда (Закон, ст. 10, 17). Если срок установлен законодательством или договором с субъектом — действует этот срок (Типовой порядок, п. 5).

Резюме отклонённого кандидата. Когда должность занята, цель достигнута, и резюме уничтожают в течение трёх дней (Типовой порядок, п. 23). Если кандидат согласился на кадровый резерв (образец А, строка 8), резюме хранят до конца срока. Если резюме пришло в Telegram, ответьте так: «Резюме получили (____, ИНН ____): используем его только для отбора на должность ____ и удалим, когда должность будет занята. Если согласны, чтобы мы хранили его ____ месяцев для следующих вакансий, ответьте „Согласен(на)“.» Ответ сохраните с датой. Это короткий путь: в нём есть не все сведения п. 11 Типового порядка, полное согласие — образец А (наш совет).

А вот причину отказа запишите: по требованию кандидата вы в трёхдневный срок даёте письменное обоснование (Трудовой кодекс, ст. 119), а доказать законность отказа должны вы (ст. 120). Храните эту запись шесть месяцев: это срок обращения работника в суд по другим трудовым спорам (ст. 558, 560); основание — законный интерес работодателя (Закон, ст. 18; наше толкование).

Если согласие отозвано, данные уничтожают не позднее следующего рабочего дня после поступления заявления (Типовой порядок, п. 10; п. 23 говорит «в течение трёх дней» — следуйте более короткому сроку).

Передача данных другим

Передать список SMS-сервису, курьеру, бухгалтеру или владельцу онлайн-программы — «предоставление» (Закон, ст. 13; наше толкование); размещение в интернете — «распространение» (ст. 14).

Поручить обработку третьему лицу можно: с письменного согласия субъекта, для исполнения договора между собственником и субъектом или в случаях, предусмотренных законодательством (ст. 31).
Другим организациям данные передаются с согласия субъекта, если нет иного основания (Типовой порядок, п. 8, 18; Закон, ст. 18).
Если данные переданы третьему лицу, субъекта письменно уведомляют в течение трёх дней (ст. 23). Если получатель заранее назван в согласии, уведомление можно считать данным (наше толкование); новому получателю — сначала новое согласие (если основание — согласие), затем уведомление.
Данные сотрудника: третьему лицу — только с его письменного согласия, кроме случаев, предусмотренных законом, и предупреждения угрозы жизни или здоровью (Трудовой кодекс, ст. 178). Характеристика для другого работодателя — тоже.

О сервере за рубежом: Нужно ли хранить персональные данные студентов на серверах в Узбекистане?

Что нельзя публиковать

Оператор не раскрывает и не распространяет данные без согласия субъекта или иного законного основания (Закон, ст. 28):

фото или мнение клиента, с именем или без, — только с отдельного согласия;
список сотрудников с телефонами — не публикуют: данные сотрудника конфиденциальны (Трудовой кодекс, ст. 175, 178);
видеонаблюдение: если камера стоит для охраны и обрабатывать записи для конкретных целей не предполагается, это не считается сбором персональных данных, но распространять запись нельзя (Типовой порядок, п. 12).

Реестр: кому нужен

Базы данных, которые обязаны храниться в Узбекистане, нужно зарегистрировать в государственном реестре (Закон, ст. 20): например, биометрические и генетические базы. Примеры биометрии в Типовом порядке (п. 1): отпечатки пальцев, изображение лица, радужная оболочка глаза, особенности голоса. Об обычном фото (например, «до/после») закон отдельно не говорит, а изображение лица — пример биометрии. Если из фото не извлекают признаки для распознавания лица, мы не считаем его такой базой (наше толкование). Для публикации нужно отдельное согласие (ст. 28).

Порядок: через Центр госуслуг или my.gov.uz, пять рабочих дней, бесплатно (постановление Кабинета Министров № 71, п. 7, 9, 10).
Не регистрируют: базы, обрабатываемые по трудовому законодательству; списки только из Ф.И.О.; списки для разового пропуска; бумажные списки без компьютера (ст. 20).
Относится ли к этому учёт прихода сотрудников по отпечатку пальца, текст прямо не говорит. Уточните через сайт реестра pd.gov.uz или зарегистрируйте базу. Даже без регистрации биометрия хранится в Узбекистане (ст. 27¹).
Обычный список клиентов регистрировать не нужно (наше толкование). Сервисы рассылки рекламных SMS регистрируют свои информационные системы в реестре (ПП-265, п. 11).

Ответственность

Кодекс об административной ответственности, ст. 46², ч. 1: за незаконные сбор, хранение, передачу, распространение и другие действия с персональными данными — штраф на граждан 7 базовых расчётных величин (БРВ), на должностных лиц 50 БРВ. Компанию по этой статье не штрафуют.
Уголовный кодекс, ст. 141²: те же действия после применения административного взыскания (до истечения года после его исполнения) — штраф от 100 до 150 БРВ или другое наказание (ч. 1), при квалифицирующих признаках — строже (ч. 2).
Нарушение правил рекламных SMS (ПП-265, п. 11) считается нарушением законодательства о рекламе и о персональных данных; к компании могут быть применены и финансовые санкции (Закон «О рекламе», ст. 47; наше толкование).

Чек-лист

Разделите списки и запишите основание каждого; собирайте только нужное для цели (Закон, ст. 10).
Берите согласие из восьми обязательных сведений, так, чтобы его можно было доказать.
Реклама — с отдельной галочкой и только через сервис, чья система зарегистрирована в реестре; не смешивайте её с напоминанием.
Записывайте причину отказа; резюме и данные после отзыва согласия уничтожайте в срок.
Базу системы распознавания лиц или отпечатков пальцев клиентов зарегистрируйте в реестре; если она только для сотрудников — сначала уточните.

Что сделать дальше

Скопируйте образец и назначьте ответственного за персональные данные (Закон, ст. 31).