Нужно ли хранить персональные данные студентов на серверах в Узбекистане?

Короткий ответ. Не все. По ст. 27¹ Закона № ЗРУ-547 (с 27.03.2026) в Узбекистане обязательно хранятся биометрические и генетические данные, например данные учёта посещаемости по лицу или отпечатку пальца, а также данные абонентов операторов связи, работающих в Узбекистане. Остальные данные студентов можно хранить за рубежом при одном из трёх условий статьи, например если страна есть в перечне Кабинета Министров.

Какие данные где

Для данных, которые вуз, колледж, лицей или учебный центр собирает в своих системах (LMS, экзамены, кадры, CRM, контроль доступа):

Данные	Пример в учебном заведении	Где хранить	Что ещё нужно
Биометрические	посещаемость и вход по лицу или отпечатку пальца, распознавание лица на экзамене	только в Узбекистане (ст. 27¹)	для установления личности — согласие субъекта (ст. 26); база регистрируется в государственном реестре (ст. 20)
Голос и изображение лица	запись устного экзамена, видео экзаменационного зала, фото студента, скан паспорта с фото	на сервере в Узбекистане (наше толкование)	Ни закон, ни постановление Кабинета Министров № 570 не называют голос и фото отдельно; ст. 26 называет биометрическими данные об «анатомических и физиологических особенностях», мы относим их сюда
Генетические	анализ биологического образца в научной работе	только в Узбекистане (ст. 27¹)	согласие субъекта (ст. 26)
Специальные (здоровье и др.)	медицинская справка, сведения об инвалидности	в Узбекистане или за рубежом — при одном из трёх условий	письменное (в том числе электронное) согласие, кроме исключений ст. 25 (ст. 21)
Остальные персональные данные	ФИО, паспортные данные (номер, дата), телефон, группа, оценки, платежи	в Узбекистане или за рубежом — при одном из трёх условий	основание обработки: согласие, договор, обязанность по законодательству и др. (ст. 18)

Три условия хранения за рубежом (ст. 27¹, часть 3): страна признана обеспечивающей адекватную защиту персональных данных; оператор принял и соблюдает стандартные договорные условия или обязательные корпоративные правила, отвечающие требованиям уполномоченного органа; или оператор соблюдает международные стандарты из перечня, утверждаемого уполномоченным органом.

На 25.10.2026 на lex.uz не найдены ни требования к стандартным договорным условиям и обязательным корпоративным правилам, ни перечень международных стандартов, ни условия передачи в страны вне перечня. На практике сегодня работает одно условие: сервер в стране из перечня постановления № 415.

Что проверить, по порядку

Составьте перечень данных. По каждой системе: какие данные, чьи (студент, сотрудник, абитуриент, родитель), на каком сервере, в какой стране.
Выделите биометрию. Лицо, отпечатки, голос и изображения лица (фото и видео тоже) — на сервере в Узбекистане. Если она служит для установления личности — возьмите согласие. Такая база регистрируется в Государственном реестре баз персональных данных (заявление через pd.gov.uz).
Выберите место для остального. Если сервер за рубежом, проверьте, есть ли страна в перечне постановления № 415; если нет, нужно одно из двух других условий.
Запишите основание и согласие. Для каждого вида данных — основание обработки (ст. 18). Данные о здоровье — письменное согласие; ученик младше 18 лет — письменное согласие родителей (опекунов) (ст. 21). Факт согласия нужно уметь доказать (ст. 31). Если сервер за рубежом, укажите это в уведомлении студенту: субъект вправе знать о трансграничной передаче (ст. 22).
Ответственный и договор. Назначьте подразделение или должностное лицо, ответственное за персональные данные (ст. 31). В договор с разработчиком или хостингом впишите: в какой стране данные, у кого доступ, меры защиты (ст. 27), уничтожение по достижении цели (ст. 17), а при утечке во время трансграничной передачи — хостинг немедленно сообщает вам: как оператор вы сообщаете уполномоченному органу в течение 24 часов и даёте подробную информацию в течение 72 часов (постановление № 415, п. 4).
SMS в приёмную кампанию. С 1 ноября 2026 года SMS-реклама — только после письменного или электронного согласия; сервис рассылки должен зарегистрировать свою информационную систему в государственном реестре; рекламные SMS и звонки запрещены с 18.00 до 09.00 (ПП-265, п. 11).

Что говорит закон

Закон «О персональных данных» № ЗРУ-547 от 02.07.2019, ст. 27¹ (в редакции Закона № ЗРУ-1125 от 26.03.2026). Обязательно хранятся на территории Узбекистана биометрические и генетические данные физических лиц и данные пользователей операторов телекоммуникаций, работающих в Узбекистане; остальные — за рубежом при одном из трёх условий; перечень стран с адекватной защитой устанавливает Кабинет Министров. lex.uz/docs/-4396419 (официальный текст на узбекском; русский текст ст. 27¹ на lex.uz помечен как неофициальный перевод) · Проверено: 25.10.2026.
Тот же Закон, ст. 20. Базы, подлежащие обязательному хранению в Узбекистане по части второй ст. 27¹, регистрируются в Государственном реестре (часть 1, в редакции ЗРУ-1125); регистрация — по заявочному принципу; базы с данными, обрабатываемыми в соответствии с законодательством о труде, не регистрируются (часть 3); об изменениях — в течение десяти календарных дней. lex.uz/docs/-4396419 (официальный текст на узбекском; часть 1 в русском тексте — неофициальный перевод) · Проверено: 25.10.2026.
Тот же Закон, ст. 26. Биометрические данные — данные, характеризующие анатомические и физиологические особенности субъекта; биометрические и генетические данные, используемые для установления личности, обрабатываются только с согласия субъекта (кроме случаев, предусмотренных законодательством). lex.uz/docs/4396428 · Проверено: 25.10.2026.
Тот же Закон, ст. 18 и 21. Основания обработки: согласие, договор, стороной которого является субъект, обязанности собственника или оператора по законодательству и др. (ст. 18). Согласие — в любой форме, позволяющей подтвердить факт его получения; для специальных данных — письменное, в том числе электронное; за несовершеннолетних — письменное согласие родителей (опекунов, попечителей); отзыв — в той же или письменной форме (ст. 21). lex.uz/docs/4396428 · Проверено: 25.10.2026.
Тот же Закон, ст. 25. Данные о физическом или психическом здоровье — специальные персональные данные. lex.uz/docs/-4396419 (официальный текст на узбекском; изменения ЗРУ-1174 в русский текст ещё не переведены) · Проверено: 25.10.2026.
Тот же Закон, ст. 27 и 31. Собственник и оператор принимают правовые, организационные и технические меры защиты; представляют доказательство согласия; поручают обработку третьему лицу (например, хостингу или разработчику) при письменном согласии субъекта, для исполнения договора с субъектом (например, договора на обучение) или в случаях, предусмотренных законодательством; о передаче данных третьему лицу субъект письменно уведомляется в течение трёх дней (ст. 23); определяют ответственное подразделение или должностное лицо. lex.uz/docs/4396428 · Проверено: 25.10.2026.
Постановление Кабинета Министров № 415 от 29.07.2026 (с 03.08.2026). Перечень 49 иностранных государств и территорий с адекватной защитой (например, Германия, Нидерланды, Финляндия, Российская Федерация, Сингапур; США — только для компаний в рамках EU-US Data Privacy Framework); передача в страны вне перечня — при выполнении правовых, организационных и технических условий, установленных уполномоченным органом; при утечке в ходе передачи — оператор сообщает уполномоченному органу за 24 часа, подробности за 72 часа; уполномоченный орган — Департамент миграции и персонализации при Министерстве внутренних дел; требования к стандартным договорным условиям и обязательным корпоративным правилам поручено утвердить за три месяца (п. 7). lex.uz/docs/-8369688 (текст на узбекском; русского текста на lex.uz нет) · Проверено: 25.10.2026.
Кодекс об административной ответственности, ст. 46², часть 1. Нарушение законодательства о персональных данных — штраф на граждан в семь, на должностных лиц — в пятьдесят базовых расчётных величин. Текст этой части пока в редакции 2021 года и называет прежнее требование хранить данные граждан на технических средствах в Узбекистане. lex.uz/docs/97661 · Проверено: 25.10.2026.
Постановление Президента № ПП-265 от 15.07.2026, п. 11 (с 01.11.2026). SMS-реклама — только после письменного или электронного согласия лица; юридические лица, оказывающие услуги рассылки рекламных звонков и SMS, — только после регистрации своих информационных систем в Государственном реестре; рекламные звонки и уведомления по мобильной связи запрещены с 18.00 до 09.00. lex.uz/docs/8329412 · Проверено: 25.10.2026.

В тексте ст. 8 Закона уполномоченным органом пока названа «Государственный центр персонализации при Кабинете Министров»; постановление № 415 и pd.gov.uz называют Департамент миграции и персонализации (на 25.10.2026). Положение о Департаменте утверждено постановлением Президента № ПП-14 от 19.01.2026; Центр персонализации теперь входит в Департамент. lex.uz/docs/-8003859 (текст на узбекском) · Проверено: 25.10.2026.

Пример: Zarmed University

Медицинский университет, Самарканд и Бухара: шесть систем на одной основе, «каждая на своём адресе университета» (у каждой системы свой веб-адрес) — проект Avada. Условия Avada (главная avada.uz): «Ваши данные — ваши. Все данные — вам за 10 рабочих дней по запросу.» В демо: «Данные вымышленные и каждую ночь сбрасываются»; по демо на ваших данных: «Если не продолжим — данные удалим.»

Вопросы и ответы

Где должны храниться данные студентов? По ст. 27¹ ЗРУ-547 (в редакции ЗРУ-1125 от 26.03.2026, действует с 27.03.2026) в Узбекистане обязательно хранить биометрические и генетические данные, а также данные физических лиц — пользователей услуг операторов телекоммуникаций, работающих в Узбекистане. Для учебного заведения это прежде всего база посещаемости и входа по лицу или отпечатку; такая база ещё и регистрируется в государственном реестре (ст. 20). Остальные персональные данные (ФИО, паспортные данные, оценки, платежи) можно хранить и обрабатывать за рубежом при одном из трёх условий статьи: страна признана обеспечивающей адекватную защиту (перечень постановления № 415); оператор соблюдает стандартные договорные условия или обязательные корпоративные правила по требованиям уполномоченного органа; оператор соблюдает международные стандарты из перечня уполномоченного органа. Голос и изображения лица (фото и видео тоже) мы советуем считать биометрией и хранить в Узбекистане (наше толкование). Учтите: часть 1 ст. 46² Кодекса об административной ответственности пока в прежней редакции (на 25.10.2026) — перед переносом за рубеж обсудите это с юристом.

Можно ли использовать зарубежный облачный сервер? Для биометрических и генетических данных — нет. Для остальных — да, если страна сервера есть в перечне постановления № 415 или выполнено одно из двух других условий. США в перечне — только для компаний в рамках EU-US Data Privacy Framework. Условия передачи в страну вне перечня должен установить уполномоченный орган; на 25.10.2026 на lex.uz их нет.

Нужно ли согласие на все данные? Не всегда: ст. 18 даёт и другие основания — договор, стороной которого является субъект (например, договор на обучение), или обязанность по законодательству. Согласие обязательно: на биометрию для установления личности (ст. 26), на специальные данные, например о здоровье, — письменное (ст. 25, 21), при смене цели обработки (ст. 19). Факт согласия нужно уметь доказать (ст. 31).

А если ученику нет 18 лет? За несовершеннолетних согласие в письменной форме, в том числе в виде электронного документа, дают родители (опекуны, попечители) (ст. 21). Это касается лицеев, колледжей, школ и учебных центров, а иногда и первокурсников.

Нужно ли регистрировать базу в государственном реестре? По части 1 ст. 20 (в редакции ЗРУ-1125) — базы, которые обязательно хранятся в Узбекистане, то есть с биометрическими или генетическими данными. Но ст. 31 по-прежнему называет регистрацию баз общей обязанностью, а ст. 46² Кодекса упоминает зарегистрированные базы: если сомневаетесь, уточните в уполномоченном органе через pd.gov.uz. Заявление — через pd.gov.uz (заявочный принцип). Часть 3 освобождает базы с данными, обрабатываемыми по законодательству о труде; как это применяется к учёту прихода только сотрудников по отпечатку, текст прямо не говорит — уточните в уполномоченном органе.

Какая ответственность за нарушение? Ст. 46² Кодекса об административной ответственности: штраф на граждан в семь, на должностных лиц — в пятьдесят базовых расчётных величин. Часть 1 этой статьи пока в редакции 2021 года и упоминает прежнее требование хранить данные граждан в Узбекистане (на 25.10.2026): перед переносом данных за рубеж обсудите это с юристом.

Один шаг: Проект Zarmed University: медицинский университет, шесть систем на одной основе