Персональные данные сотрудников в Узбекистане: что обязан обеспечить работодатель
Какие сведения о сотрудниках и кандидатах считаются персональными данными, на каком основании работодатель их обрабатывает и когда без письменного согласия не обойтись. Разбираем, кто вправе видеть кадровые данные, как хранить их на бумаге и в облаке и что изменили в 2026 году Закон № ЗРУ-1125 и постановление № 415 о трансграничной передаче. В конце — чек-лист для работодателя.
Содержание
- Что считается персональными данными сотрудника
- Особые категории: специальные и биометрические данные
- Обработка начинается раньше приёма на работу: данные соискателей
- Какие данные работодатель вправе собирать и зачем
- На каком основании обрабатываются данные: согласие — не единственный вариант
- Обязанности работодателя: от сбора до уничтожения
- Кто вправе видеть кадровые данные
- Как хранить бумажные документы, таблицы, сканы и резервные копии
- Передача данных: госорганы, третьи лица и подрядчики
- Внешний бухгалтер, кадровый аутсорсер и HR-платформа
- Локализация и трансграничная передача: что изменилось в 2026 году
- Пять понятий, которые нельзя смешивать
- Что обязательно хранить в Узбекистане
- При каких условиях кадровые данные можно хранить за рубежом
- Биометрический учёт рабочего времени
- Облачные HR-сервисы, корпоративная почта и зарубежные платформы
- Что грозит работодателю за нарушения
- Что проверить после изменений 2026 года
- Чек-лист для работодателя
- Итог
Паспорт сотрудника, его ПИНФЛ, телефон, номер пенсионного счёта, медицинское заключение, зарплата — всё это персональные данные. В небольшой компании они обычно разбросаны по разным местам: часть лежит в папке у кадровика, часть у бухгалтера, сканы паспортов — в рабочем чате, резюме кандидатов — в личной почте руководителя. Пока ничего не случилось, это кажется удобным. Проблемы начинаются, когда данные уходят не туда, сотрудник просит показать, что о нём хранится, или компания переходит на зарубежный облачный сервис.
В 2026 году правила изменились. С 27 марта действует новая редакция статьи о хранении персональных данных: обязательной локализации теперь подлежат только отдельные категории данных. С 3 августа действует перечень стран, в которые данные можно передавать без дополнительных условий. Ниже разбираем, что работодатель обязан обеспечить по Трудовому кодексу и Закону «О персональных данных», где нужно согласие работника, а где нет, и что проверить в компании, если кадровые данные хранятся в облаке.
Что считается персональными данными сотрудника
Персональные данные — это зафиксированная на бумаге, в электронном виде или на другом носителе информация, которая относится к определённому человеку или позволяет его идентифицировать (Закон «О персональных данных», далее — Закон, ст. 4). Человек, к которому относятся данные, называется субъектом. Компания, которая их обрабатывает, — оператором. Работодатель в отношении своих сотрудников всегда выступает оператором.
Трудовой кодекс уточняет понятие для трудовых отношений. Персональные данные работника — это сведения о фактах, событиях и обстоятельствах жизни работника и членов его семьи, которые он предоставил работодателю в связи с работой. Кодекс прямо называет: ФИО, дату и место рождения, ПИНФЛ, образование, трудовую деятельность, адрес, паспортные данные, личный телефон и e-mail, сведения воинского учёта, ИНН, номер индивидуального накопительного пенсионного счёта, результаты обязательного медосмотра, основания увольнения, семейное положение и данные близких родственников. Эти сведения — конфиденциальная информация (ТК, ст. 175).
Где такие данные встречаются в обычной компании:
Источник | Какие данные содержит |
Резюме и анкета кандидата | ФИО, контакты, фото, опыт работы, образование, иногда возраст и семейное положение |
Копии документов при приёме | Паспорт или ID-карта, диплом, военный билет, ПИНФЛ |
Трудовой договор и приказы | Реквизиты работника: ФИО, документ, адрес, контакты, ПИНФЛ, номер пенсионного счёта (ТК, ст. 107) |
Зарплатные ведомости и табели | Оклад, начисления, удержания, отработанное время, банковские реквизиты |
Медицинские документы | Заключения обязательных медосмотров, больничные листы |
Таблицы Excel, кадровая программа, 1С | Сводные сведения обо всех сотрудниках |
Пропускная система и учёт времени | Фото, а при биометрическом доступе — отпечатки пальцев или изображение лица |
Почта и мессенджеры | Пересланные сканы, переписка о сотруднике |
Особые категории: специальные и биометрические данные
Закон выделяет две группы данных с усиленным режимом. Специальные данные — это сведения о расовом или социальном происхождении, политических и религиозных убеждениях, членстве в партиях и профсоюзах, о физическом и психическом здоровье, частной жизни и судимости. Обрабатывать их по общему правилу запрещено, кроме случаев, перечисленных в законе. Одно из исключений — осуществление прав и выполнение обязанностей в сфере трудовых отношений (Закон, ст. 25). Биометрические данные характеризуют анатомические и физиологические особенности человека: отпечатки пальцев, изображение лица, голос (Закон, ст. 26).
Для работодателя из этого следуют два ограничения. Сведения о здоровье можно запрашивать только в той части, которая касается возможности выполнять трудовую функцию (ТК, ст. 178). Данные о членстве в общественных объединениях и профсоюзной деятельности работодатель получать и обрабатывать не вправе, если иное не предусмотрено кодексом или законом (ТК, ст. 176).
Обработка начинается раньше приёма на работу: данные соискателей
Правила Трудового кодекса о персональных данных говорят о работнике. Но человек, который прислал резюме, ещё не работник — к его данным применяется Закон «О персональных данных». Основанием здесь служат меры, которые оператор принимает по запросу субъекта до заключения договора (Закон, ст. 18): кандидат сам откликнулся на вакансию и передал сведения, чтобы его рассмотрели.
Из этого основания следуют и его границы:
- Собирайте только то, что нужно для оценки. Объём данных должен соответствовать целям обработки (Закон, ст. 19). Если для должности не важны семейное положение или фото, анкета не должна их требовать. Документы, не предусмотренные законодательством, не требуют и при самом приёме на работу (ТК, ст. 124).
- Не храните резюме бессрочно. Срок хранения определяется достижением цели (Закон, ст. 10). Если кандидату отказали и вакансия закрыта, цель достигнута. Оставить резюме в кадровом резерве разумно с отдельного согласия кандидата, где указан срок.
- Отзывы с прежнего места работы — это сведения от третьего лица. Специальное правило ТК о письменном согласии на получение данных у третьих лиц сформулировано для работника (ТК, ст. 176), но и в отношении кандидата мы рекомендуем заранее получить его согласие на такой запрос.
- Отбор с помощью программ. Человек вправе не подвергаться решению, принятому исключительно на основе автоматизированной обработки его данных, если это решение порождает юридические последствия. Исключения — письменное согласие, исполнение договора или случаи, установленные законодательством (Закон, ст. 24). Если резюме отсеивает система, итоговое решение лучше оставлять за человеком.
- Если подбор ведёт агентство, данные кандидатов обрабатывает третье лицо. Основание такой обработки, конфиденциальность и судьбу резюме после завершения поиска стоит закрепить в договоре с агентством, а кандидатов — проинформировать об этом.
Защита данных кандидатов во многом зависит от того, как устроен сам найм: где хранятся отклики, кто их видит, что происходит с резюме после закрытия вакансии. Если резюме приходят на личные почты и пересылаются в чатах, начинать стоит с процесса подбора в целом. Подбором персонала и построением системы рекрутинга занимаются наши коллеги из SPECTRE HR Consulting.
Какие данные работодатель вправе собирать и зачем
Закон требует, чтобы оператор утвердил состав персональных данных, необходимый и достаточный для выполнения его задач (Закон, ст. 31). База данных формируется из сведений, необходимых и достаточных для этих задач (Закон, ст. 10). Проще говоря, каждая графа в анкете должна иметь понятную цель.
Трудовой кодекс добавляет правила сбора (ТК, ст. 176):
- все данные работодатель получает у самого работника;
- если сведения можно получить только у третьих лиц, работника заранее уведомляют об этом письменно и получают его письменное согласие. Исключение — данные от лиц, к которым работодатель направил работника по закону: заключение медосмотра, результаты квалификационных оценок и т. п.;
- работнику сообщают цели, предполагаемые источники и способы получения данных, их характер и последствия отказа дать письменное согласие.
Минимальный набор задаёт перечень документов при приёме (ТК, ст. 124) и реквизиты трудового договора (ТК, ст. 107). Как оформить приём шаг за шагом, мы разобрали в статье про порядок приёма на работу.
Если данные понадобились для новой цели, которую не заявляли при сборе, нужно согласие работника на обработку в соответствии с изменённой целью (Закон, ст. 19). Например, телефон, полученный для связи по работе, нельзя без согласия передать партнёру для рекламной рассылки — к тому же ТК прямо запрещает сообщать данные работника в коммерческих целях без его письменного согласия (ТК, ст. 178).
На каком основании обрабатываются данные: согласие — не единственный вариант
Частая ошибка — считать, что без подписанного согласия работодатель ничего не может делать с данными, или наоборот, что одно согласие при приёме разрешает всё. Закон перечисляет несколько равноправных оснований обработки (Закон, ст. 18). Для работодателя основные из них:
Основание | Пример из практики | Норма |
Исполнение договора, стороной которого является работник, или меры по его запросу до заключения договора | Расчёт зарплаты, предоставление отпуска, рассмотрение резюме | Закон, ст. 18 |
Исполнение обязанностей оператора, установленных законодательством | Регистрация договора в ЕНСТ, удержание налогов, постановка на учёт в накопительной пенсионной системе | Закон, ст. 18; ТК, ст. 124, 125 |
Защита законных интересов работника или другого лица | Сообщение врачам данных работника, которому стало плохо на работе | Закон, ст. 18; ТК, ст. 178 |
Права и законные интересы оператора, если не нарушаются права субъекта | Хранение документов для защиты в трудовом споре | Закон, ст. 18 |
Согласие работника | Публикация фото на сайте, кадровый резерв, корпоративная программа лояльности | Закон, ст. 18, 21 |
При этом в ряде ситуаций согласие нужно независимо от того, что основная обработка законна:
Ситуация | Что требуется | Норма |
Получение данных работника у третьих лиц | Предварительное письменное уведомление и письменное согласие (кроме направлений на медосмотр и оценку) | ТК, ст. 176 |
Сообщение данных работника третьему лицу | Письменное согласие, кроме угрозы жизни и здоровью работника и случаев, предусмотренных ТК и законами | ТК, ст. 178 |
Поручение обработки подрядчику: внешнему бухгалтеру, кадровому аутсорсеру, HR-платформе | Одно из оснований ст. 31 Закона: письменное согласие, исполнение договора с работником или случаи, предусмотренные законодательством. Для данных работника учитывайте и ст. 178 ТК — подробнее в разделе о передаче данных | Закон, ст. 31; ТК, ст. 178 |
Использование данных в коммерческих целях | Письменное согласие | ТК, ст. 178 |
Биометрия для установления личности: доступ по отпечатку или лицу | Согласие работника, кроме случаев, предусмотренных законодательством | Закон, ст. 26 |
Специальные данные | Письменное согласие либо другое основание из ст. 25, в том числе выполнение обязанностей в сфере трудовых отношений | Закон, ст. 21, 25 |
Распространение данных за пределами заявленных целей, например на сайте | Согласие | Закон, ст. 14 |
Изменение цели обработки | Согласие на новую цель | Закон, ст. 19 |
Хранение и обработка данных за рубежом, трансграничная передача | Одно из условий ст. 27¹ (для данных вне перечня локализуемых) с учётом правил ст. 15. Согласие упомянуто только в ст. 15 и не заменяет условия ст. 27¹ — подробнее в разделе о локализации | Закон, ст. 15, 27¹ |
Если согласие всё же нужно, Типовой порядок обработки персональных данных, утверждённый приказом министра юстиции (рег. № 3478 от 15.11.2023), перечисляет, что в нём указать: наименование и ИНН оператора, ФИО и данные документа субъекта, цели обработки, перечень данных, срок действия согласия, согласие на передачу третьим лицам и трансграничную передачу, согласие на распространение в общедоступных источниках (Типовой порядок, п. 11). Согласие на обработку специальных данных оформляется письменно или в виде электронного документа (Закон, ст. 21).
Обязанности работодателя: от сбора до уничтожения
Обязанности по защите данных возникают с момента сбора и действуют до их уничтожения или обезличивания (Закон, ст. 31). Основные из них сведены в таблицу.
Обязанность | Что сделать на практике | Норма |
Определить состав данных | Утвердить перечень собираемых сведений по целям | Закон, ст. 31 |
Уведомить работника | При включении данных в базу письменно сообщить цели обработки и права работника | Закон, ст. 23; ТК, ст. 176 |
Установить порядок и ознакомить с ним | Принять локальный акт о хранении, использовании и передаче данных, ознакомить работников под роспись | ТК, ст. 176, 178 |
Назначить ответственного | Определить подразделение или должностное лицо, ответственное за обработку и защиту данных | Закон, ст. 31; Типовой порядок, п. 27, 30 |
Защищать данные | Принимать правовые, организационные и технические меры за счёт работодателя | Закон, ст. 27; ТК, ст. 176 |
Исправлять данные | По обращению работника — не позднее трёх дней; недостоверные — сразу после выявления | Закон, ст. 11 |
Предоставлять информацию | Дать работнику сведения о его данных и обработке, выдать копии записей | Закон, ст. 22, 30; ТК, ст. 179 |
Сообщать об отказе | Отказ в предоставлении информации направить письменно в течение десяти дней | Закон, ст. 22 |
Уведомлять о передаче | При передаче данных третьему лицу письменно уведомить работника в течение трёх дней, кроме случаев, когда закон уведомления не требует | Закон, ст. 23, 31 |
Уничтожать данные | При достижении цели обработки, отзыве согласия, истечении срока согласия, по решению суда | Закон, ст. 17 |
Работников, которые по должности имеют доступ к данным коллег, закон обязывает использовать их только в соответствии с трудовыми обязанностями и не допускать разглашения (Закон, ст. 12; ТК, ст. 176). Эту обязанность полезно отразить в должностных инструкциях.
Кто вправе видеть кадровые данные
Трудовой кодекс разрешает доступ к данным работников только специально уполномоченным лицам и только к тем сведениям, которые нужны им для конкретных трудовых функций. Передача данных внутри организации идёт по локальному акту, с которым работник ознакомлен под роспись. Представителям работников передаётся лишь то, что нужно для выполнения их функций (ТК, ст. 178).
Как распределить доступ, закон не детализирует, поэтому ниже — наша рекомендация для небольшой компании:
Кто | Какой доступ разумен |
Кадровик или HR | Полный набор кадровых данных |
Бухгалтер | Данные для расчёта зарплаты и налогов: ФИО, ПИНФЛ, ИНН, пенсионный счёт, оклад, табель, банковские реквизиты |
Руководитель подразделения | ФИО, должность, контакты, график, отпуска; без паспортных данных и медицинских сведений |
IT-администратор | Технический доступ к системам; по возможности без права просматривать содержание |
Типовой порядок обработки персональных данных требует определить лиц с правом обработки и доступа, вести журнал событий системы управления базой данных и фиксировать действия пользователей, у которых есть доступ к закрытым данным (Типовой порядок, п. 30).
Как хранить бумажные документы, таблицы, сканы и резервные копии
Срок хранения персональных данных определяется датой достижения целей сбора и обработки (Закон, ст. 10). Если срок не установлен законодательством или договором, данные хранят не дольше, чем этого требуют цели обработки (Типовой порядок, п. 5).
Типовой порядок перечисляет технические меры для данных, не являющихся общедоступными: средства информационной безопасности и обновление программного обеспечения, журнал событий, контроль целостности данных, передачу по защищённым каналам или с шифрованием, криптографическую защиту при хранении, идентификацию и аутентификацию пользователей (Типовой порядок, п. 30). Необходимый уровень защищённости оператор определяет по Положению, утверждённому постановлением Кабинета Министров № 570 от 05.10.2022 (Типовой порядок, п. 32). На практике это выглядит так:
Где хранятся данные | Типичный риск | Что сделать |
Бумажные личные дела | Папки в открытом шкафу, доступ у всех сотрудников офиса | Запирающийся шкаф или сейф, журнал выдачи дел |
Таблицы Excel | Файл с паспортными данными и зарплатами пересылается по почте | Хранить в одном месте с ограниченным доступом, не рассылать, защищать паролем |
Сканы в мессенджерах | Копии паспортов годами лежат в общем чате | Не использовать чаты для документов, удалить старые сканы |
Кадровая программа, 1С | Общий логин на всех, бывшие сотрудники сохраняют доступ | Персональные учётные записи, роли, отключение доступа при увольнении |
Резервные копии | Копия базы на личной флешке или в зарубежном облаке без проверки | Шифровать копии, знать, где они физически находятся |
Ноутбуки и личные устройства | Потеря устройства с выгрузками | Шифрование дисков, запрет хранить выгрузки локально |
Резервная копия — это тоже хранение данных. Если она лежит на сервере за рубежом, к ней применяются правила о хранении и обработке за пределами Узбекистана, о которых речь ниже.
Передача данных: госорганы, третьи лица и подрядчики
Закон и Трудовой кодекс различают несколько ситуаций, и для каждой действуют свои правила. Их стоит разграничить до того, как данные куда-либо уйдут.
Ситуация | Что происходит | Какие нормы применяются |
Исполнение обязанностей работодателя | Работодатель сам передаёт сведения, которые обязан передать по закону: регистрация договора в ЕНСТ, налоговая отчётность, сведения в пенсионную систему | Закон, ст. 18, 23; ТК, ст. 124, 125, 178 |
Передача данных третьему лицу | Данные работника получает другая организация или человек для собственных целей: банк по зарплатному проекту, страховая компания, партнёр | ТК, ст. 178; Закон, ст. 23, 28 |
Поручение обработки | Подрядчик обрабатывает данные по заданию работодателя и в его интересах: внешний бухгалтер, кадровый аутсорсер, HR-платформа, облачный сервис | Закон, ст. 31; для данных работника — также ТК, ст. 178 |
Государственные органы. Сведения, которые работодатель обязан передавать по закону, он передаёт на основании своих обязанностей (Закон, ст. 18). Требование письменного согласия на передачу третьим лицам не распространяется на случаи, предусмотренные Трудовым кодексом и иными законами (ТК, ст. 178). Письменное уведомление работника не производится, когда государственные органы осуществляют свои полномочия (Закон, ст. 23). Типовой порядок при этом предусматривает уведомление субъекта, когда государственный орган запрашивает его данные, кроме сведений с ограниченным доступом (Типовой порядок, п. 18). Нормы сформулированы по-разному, поэтому порядок уведомления при запросах госорганов стоит закрепить в локальном акте после консультации с юристом.
Третьи лица. Сообщать данные работника третьему лицу можно только с его письменного согласия. Исключения — угроза жизни и здоровью работника и другие случаи, предусмотренные ТК и законами. Получателя нужно предупредить, что данные можно использовать лишь в тех целях, для которых они сообщены, и потребовать подтверждения, что это правило соблюдается (ТК, ст. 178). О передаче работника уведомляют письменно в течение трёх дней, если закон не освобождает от уведомления (Закон, ст. 23).
Внешний бухгалтер, кадровый аутсорсер и HR-платформа
Закон «О персональных данных» разрешает оператору поручить обработку третьему лицу в трёх случаях: при письменном согласии субъекта, в том числе в виде электронного документа; если решение принимается во исполнение договора между собственником и субъектом или выполнения условий ранее заключённого договора; в случаях, предусмотренных законодательством (Закон, ст. 31).
Трудовой кодекс отдельного правила о поручении обработки подрядчику не содержит. Он говорит о сообщении данных работника третьему лицу и требует для этого письменного согласия, если нет исключения, предусмотренного законом (ТК, ст. 178). Подрядчик, который ведёт расчёт зарплаты, по смыслу Закона является третьим лицом: это лицо, которое не является ни работником, ни работодателем-оператором, но связано с ними отношениями по обработке данных (Закон, ст. 4).
Как передавать дела, базы и доступы при смене исполнителя, мы подробно разобрали в статье о том, как передать дела и доступы при смене бухгалтера.
Локализация и трансграничная передача: что изменилось в 2026 году
Это самый запутанный вопрос. Многие до сих пор считают, что все данные сотрудников обязательно должны храниться только на серверах в Узбекистане. После изменений 2026 года это уже не так, но и «храните где угодно» тоже неверно. Начнём с понятий.
Пять понятий, которые нельзя смешивать
Понятие | Что означает | Норма |
Обработка | Любое действие с данными: сбор, систематизация, хранение, изменение, использование, передача, обезличивание, уничтожение | Закон, ст. 4 |
Хранение | Часть обработки: данные находятся на носителе или сервере в форме, позволяющей идентифицировать человека в той мере, в какой требует цель | Закон, ст. 10 |
Передача третьему лицу | Раскрытие данных конкретному лицу, которое не является ни работником, ни работодателем-оператором | Закон, ст. 4, 13, 23 |
Трансграничная передача | Передача данных оператором за пределы территории Узбекистана | Закон, ст. 15 |
Локализация | Обязанность хранить определённые данные только на территории Узбекистана | Закон, ст. 27¹ |
Например, загрузка таблицы сотрудников в облачное хранилище с серверами в Германии — это хранение и обработка за рубежом и одновременно трансграничная передача. Если облако принадлежит иностранной компании, оно, как правило, ещё и обрабатывает данные по вашему поручению. К одному действию применяются сразу несколько правил: общие обязанности по защите данных действуют всегда, требование о локализации — только для отдельных категорий, а условия хранения за рубежом и правила трансграничной передачи — когда данные фактически оказываются за пределами Узбекистана.
Что обязательно хранить в Узбекистане
Законом № ЗРУ-1125 от 26.03.2026, который вступил в силу 27 марта 2026 года, статья 27¹ изложена в новой редакции. Теперь обязательному хранению на территории Узбекистана подлежат только:
- биометрические данные физических лиц;
- генетические данные физических лиц;
- данные физических лиц — пользователей услуг операторов телекоммуникаций, работающих в Узбекистане.
Третья категория касается абонентов операторов связи и к обычному работодателю отношения не имеет. Генетические данные в кадровой работе практически не встречаются. А вот биометрия встречается часто: турникеты и терминалы учёта рабочего времени по отпечатку пальца или лицу.
Вопрос | До 27 марта 2026 года | С 27 марта 2026 года |
Какие данные обязательно хранить в Узбекистане | Статья 27¹ в прежней редакции требовала обрабатывать персональные данные граждан, собираемые с помощью информационных технологий, на технических средствах в Узбекистане и в зарегистрированных базах | Только биометрические, генетические данные и данные абонентов операторов связи |
Можно ли хранить обычные кадровые данные за рубежом | Фактически нет | Да, при одном из трёх условий ст. 27¹ |
Какие базы регистрировать в Госреестре | Широкий круг баз | Только базы с данными, подлежащими локализации |
При каких условиях кадровые данные можно хранить за рубежом
Данные, не входящие в три перечисленные категории, могут храниться и обрабатываться за пределами Узбекистана при выполнении одного из условий (Закон, ст. 27¹):
- иностранное государство признано обеспечивающим адекватную защиту персональных данных;
- оператор принял и соблюдает стандартные договорные условия или обязательные корпоративные правила, отвечающие требованиям уполномоченного государственного органа;
- оператор соблюдает международные стандарты управления и хранения персональных данных из перечня, утверждённого уполномоченным органом.
Перечень государств с адекватной защитой утверждён постановлением Кабинета Министров № 415 от 29.07.2026, оно вступило в силу 3 августа 2026 года. В перечень вошли 49 государств и территорий, среди них страны ЕС, Великобритания, Швейцария, Норвегия, Россия, Сингапур, Республика Корея, Япония, Канада, Израиль. США включены с оговоркой: только для компаний, работающих в рамках EU-US Data Privacy Framework. Например, Казахстана, Турции, ОАЭ и материкового Китая в перечне нет; Гонконг включён отдельно.
Постановление также устанавливает: если при трансграничной передаче выявлена утечка, оператор базы обязан сообщить об этом уполномоченному органу в течение 24 часов, а в течение 72 часов — направить подробную информацию о причинах и принятых мерах (постановление № 415, п. 4). Уполномоченным органом постановление называет Департамент миграции и персонализации при МВД.
Биометрический учёт рабочего времени
Если компания пускает сотрудников в офис или отмечает рабочее время по отпечатку пальца или лицу, она обрабатывает биометрию. Для этого нужно:
- согласие работника — биометрические данные, используемые для установления личности, обрабатываются только с согласием субъекта, кроме случаев, предусмотренных законодательством (Закон, ст. 26);
- хранение этих данных на территории Узбекистана — включая сервер поставщика системы и резервные копии (Закон, ст. 27¹);
- при хранении в электронном виде вне информационных систем — только носители, исключающие несанкционированный доступ (Закон, ст. 26).
Работнику, который не согласен на биометрию, разумно предложить другой способ учёта, например карту доступа.
Облачные HR-сервисы, корпоративная почта и зарубежные платформы
Зарубежная корпоративная почта, облачный диск со сканами документов, иностранная HR-платформа, онлайн-сервис расчёта зарплаты — во всех этих случаях данные, скорее всего, хранятся и обрабатываются за рубежом. Перед подключением такого сервиса или при проверке уже используемого ответьте на вопросы:
- Где физически находится основная база данных и где хранятся резервные копии? Это должно быть указано в договоре или документации провайдера.
- Входят ли эти страны в перечень постановления № 415? Если это США — участвует ли провайдер в EU-US Data Privacy Framework? Проверить можно в официальном списке участников программы.
- Есть ли у сотрудников провайдера доступ к данным из других стран — например, у службы поддержки? Привлекает ли провайдер субподрядчиков и где они находятся?
- Передаются ли данные в другие системы — интеграции с зарубежными сервисами, выгрузки, аналитика?
- Попадает ли в сервис биометрия? Если да, её нужно хранить в Узбекистане.
- Что предусматривает договор с провайдером: конфиденциальность, меры защиты, уведомление об инцидентах, удаление данных после расторжения?
- Кто из сотрудников компании имеет доступ к сервису и отключаются ли учётные записи при увольнении?
- Знают ли работники, где хранятся их данные? О предполагаемой трансграничной передаче работник вправе получить информацию по запросу (Закон, ст. 22).
Если основная база сервиса находится в Узбекистане, это существенно снижает риски, но само по себе не исключает трансграничной передачи. Данные могут оказаться за рубежом через резервные копии, зарубежных субподрядчиков или обмен с информационными системами в других странах. Трансграничной передачей закон называет передачу данных за пределы территории Узбекистана (Закон, ст. 15). Как квалифицировать удалённый доступ иностранного персонала к базе, которая физически остаётся в Узбекистане, закон прямо не разъясняет. Ответ зависит от того, копируются ли данные и где, поэтому оценивайте договор и фактическую архитектуру сервиса.
Общие обязанности сохраняются при любой схеме: основание обработки, ограничение доступа, меры защиты, договор с провайдером.
Что грозит работодателю за нарушения
Ответственность может быть разной:
- Перед работником. Если нарушение порядка обработки и защиты данных незаконно лишило работника возможности трудиться или снизило его заработок, работодатель возмещает утраченный заработок. Если работодатель распространил порочащие и недостоверные сведения, он обязан их опровергнуть (ТК, ст. 180). Работник вправе обжаловать неправомерные действия работодателя, в том числе в суде (ТК, ст. 179).
- Административная. За нарушение законодательства о персональных данных статья 46² Кодекса об административной ответственности предусматривает штраф для граждан и должностных лиц.
- Уголовная. Те же действия, совершённые после применения административного взыскания, влекут ответственность по статье 141² Уголовного кодекса.
- Предписания. Уполномоченный орган вправе выносить обязательные для исполнения предписания об устранении нарушений (Закон, ст. 8).
Что проверить после изменений 2026 года
- Составьте карту данных. Какие системы, таблицы и сервисы содержат сведения о сотрудниках и кандидатах и где физически находятся их серверы и резервные копии.
- Найдите биометрию. Если она есть, убедитесь, что данные, включая резервные копии, хранятся в Узбекистане и получены согласия работников (Закон, ст. 26, 27¹).
- Проверьте страны. Для каждого сервиса выясните, где находятся основная база, резервные копии и субподрядчики, сверьте страны с перечнем постановления № 415.
- Пересмотрите договоры с провайдерами и подрядчиками и основания передачи им данных: согласия работников с учётом ст. 178 ТК, конфиденциальность, меры защиты, порядок удаления данных, сообщение об инцидентах.
- Обновите локальный акт и уведомления. Укажите, где и как хранятся данные и кому передаются. Ознакомьте работников под роспись.
- Проверьте регистрацию. Базу, зарегистрированную в Госреестре по прежним правилам, оцените заново: требование регистрации теперь касается только баз с данными, подлежащими локализации.
- Включите персональные данные в регулярную проверку кадровых процессов. Как проводить её в целом, мы описали в статье о проведении кадрового аудита.
Чек-лист для работодателя
Ответ «нет» — повод разобраться глубже. Он не означает, что нарушение установлено.
Сбор и основания
Организация
Доступ и хранение
Передача и зарубежные сервисы
Права работников
Итог
Защита персональных данных сотрудников — это не отдельная бумага в личном деле, а несколько связанных вопросов: зачем вы собираете сведения, на каком основании, кто их видит, где они хранятся и кому передаются. Изменения 2026 года сняли требование хранить все данные граждан в Узбекистане, но добавили задачу: знать, в какой стране находятся ваши сервисы, и подтверждать законность хранения данных за рубежом. Биометрию по-прежнему нужно хранить в Узбекистане.
Начните с карты данных и чек-листа. Если в компании есть зарубежные сервисы, биометрия или работа с подрядчиками, обсудите их с юристом.
