Персональные данные: защита и локализация в Узбекистане

Компания, обрабатывающая данные клиентов или работников, отвечает за законное основание, защиту и место хранения. Обязательная локализация зависит от категории данных (ст. 27-1 Закона). Регистрация базы занимает пять рабочих дней (п. 10 Регламента). Правила устанавливают Закон «О персональных данных», правительственные регламенты и типовые порядки; ответственность — административный и уголовный кодексы.

Коротко:

• Оператором становится лицо, которое обрабатывает персональные данные, независимо от названия его бизнеса.
• Обязательное местное хранение распространяется на биометрические, генетические данные и данные пользователей местных операторов телекоммуникаций.
• Государственная регистрация базы бесплатна (п. 9 Регламента); предусмотрены исключения из регистрации.
• Согласие — одно из оснований обработки; оно не отменяет требования к локализации и трансграничной передаче.
• Для бизнеса основание обработки, место хранения и доступ к данным — отдельные условия работы с каждой базой.

Обновлено: 16 сентября 2026 года

Кто является оператором персональных данных

Оператор — государственный орган, физическое или юридическое лицо, которое обрабатывает персональные данные (ст. 4 Закона). Собственник обладает правом владения, пользования и распоряжения базой. Субъект — человек, к которому относятся данные. Третье лицо связано с ними отношениями обработки, но не является субъектом, собственником или оператором в соответствующих отношениях.

Персональными являются сведения, позволяющие определить человека, в том числе записанные на бумаге. Обработка включает сбор, систематизацию, хранение, изменение, дополнение, использование, предоставление, распространение, передачу, обезличивание и уничтожение. Поэтому интернет-магазин, ведущий клиентскую базу, и работодатель, хранящий сведения о сотрудниках, рассматривают свою роль по фактическим действиям. Привлечение подрядчика не устраняет собственные обязанности компании.

Закон действует независимо от средств обработки (ст. 3 Закона). Из его сферы исключены личная и бытовая обработка физлицом; формирование, хранение и использование архивных документов; данные, составляющие государственные секреты или касающиеся обороны и национальной безопасности; данные оперативно-розыскной, разведывательной, контрразведывательной деятельности, борьбы с преступностью, охраны правопорядка и противодействия легализации преступных доходов. Обычная клиентская база коммерческой организации не становится бытовой только из-за небольшого объема.

Какие базы нужно регистрировать и как подать заявление

Регистрируется база, а заявителем выступает ее собственник или оператор. Требование закона относится к базам с данными, подлежащими обязательному хранению в Узбекистане (ст. 20 Закона). Эта же статья освобождает от регистрации базы, содержащие данные:

• членов общественного объединения или религиозной организации, обрабатываемые такой организацией без распространения и раскрытия третьим лицам;
• сделанные субъектом общедоступными;
• включающие только фамилию, имя и отчество;
• необходимые для однократного пропуска на территорию собственника или оператора либо аналогичных целей;
• включенные в системы со статусом государственных автоматизированных информационных систем;
• обрабатываемые без средств автоматизации;
• обрабатываемые в соответствии с законодательством о труде.

Освобождение от регистрации не означает освобождения от защиты данных. Для смешанной базы с кадровыми и клиентскими сведениями нельзя распространять кадровое исключение на все ее содержимое. Отдельное правило прямо предусматривает раздельные базы работников и других субъектов (п. 6 Положения о защищенности).

Действующий регламент называет органом услуги Департамент миграции и персонализации при Министерстве внутренних дел Республики Узбекистан (п. 4 Регламента). Обращение подают лично через Центр государственных услуг или ЕПИГУ — Единый портал интерактивных государственных услуг (п. 7 Регламента). Электронная подача доступна круглосуточно; для заявления, поступившего вне рабочего времени, днем принятия считается следующий рабочий день.

Заявитель заполняет анкету, а при личном обращении это делает работник центра. Представитель прилагает доверенность. Анкету проверяют и подтверждают предусмотренным способом идентификации; при подаче через ЕПИГУ электронная цифровая подпись не требуется (п. 8 Регламента).

В анкете о базе (приложение № 2 к Регламенту) указываются следующие группы сведений:

• о физлице: фамилия, имя, отчество, персональный идентификационный номер физического лица (ПИНФЛ), телефон, электронная почта при наличии, адрес;
• о юридическом лице: полное наименование, местонахождение, телефон, электронная почта при наличии, идентификационный номер налогоплательщика (ИНН);
• о базе: название, начало обработки, срок или условие прекращения, страна и адрес размещения, цель обработки;
• об управлении: дистанционный доступ, принадлежность базы, права на нее, возможность трансграничной передачи, фамилия, имя, отчество и должность ответственного;
• о составе данных: предусмотренные формой категории, биометрические и генетические сведения. Например, форма содержит поля о фотографии, телефоне, трудовой деятельности и здоровье; это неполный перечень ее отметок.

Для изменений одновременно учитываются оба срока: семь рабочих дней не всегда укладываются в десять календарных. Подача до истечения более раннего срока позволяет соблюсти оба требования. Регламент сохраняет регистрационный номер (п. 16 Регламента).

Отказ допускается из-за неполных или недостоверных сведений (п. 11 Регламента). Другие основания, включая нецелесообразность регистрации, запрещены. Решение или бездействие можно обжаловать вышестоящему органу или суду (п. 22 Регламента).

Базу исключают из реестра по трем основаниям (п. 17 Регламента): заявление собственника или оператора, прекращение их деятельности, решение суда о прекращении обработки. После исключения свидетельство становится недействительным (п. 18 Регламента), а номер повторно не используется.

Какие данные должны храниться в Узбекистане

Действующая локализация различает категории персональных данных (ст. 27-1 Закона). В Узбекистане обязательно хранятся биометрические данные физических лиц, генетические данные физических лиц и данные физических лиц — пользователей услуг операторов телекоммуникаций, работающих в стране. Для остальных данных закон предусматривает условия зарубежного размещения.

Для иных данных достаточно одной из следующих альтернатив, но ее фактическое выполнение должно быть подтверждено: государство признано обеспечивающим адекватную защиту; оператор принял и соблюдает стандартные договорные условия или обязательные корпоративные правила, соответствующие утвержденным требованиям; оператор соблюдает международные стандарты управления и хранения данных из утвержденного перечня.

Договор с облачным сервисом сам по себе не доказывает выполнение второй альтернативы. Постановление правительства поручает утвердить требования к договорным механизмам (п. 7 постановления № 415). Такое поручение нельзя подменять утверждением, что любой договор или любой международный сертификат уже подходит. Для конкретного размещения устанавливают категорию данных, страну, получателя и применимый защитный механизм.

Специальные, биометрические и генетические данные

Специальными являются данные о расовом или социальном происхождении, политических, религиозных и мировоззренческих убеждениях, членстве в партиях и профсоюзах, физическом и психическом здоровье, частной жизни и судимости. Их обработка по общему правилу запрещена; закон устанавливает исключения из запрета (ст. 25 Закона):

• обеспечение государственной безопасности от внешних и внутренних угроз уполномоченным государственным органом;
• письменное согласие субъекта, включая электронный документ;
• публикация специальных данных самим субъектом в общедоступных источниках;
• защита прав и законных интересов субъекта или других лиц;
• деятельность судов и соответствующих правоохранительных органов в уголовном деле или исполнительном производстве;
• меры прокуратуры против легализации преступных доходов и финансирования терроризма;
• государственная статистика и статистическое использование другими госорганами с обязательным обезличиванием;
• медико-социальные услуги, диагностика и лечение при обработке медицинским работником либо обязанным защищать данные лицом учреждения здравоохранения;
• осуществление прав и обязанностей в трудовых отношениях;
• защита законных интересов субъекта или третьего лица при недееспособности либо ограниченной дееспособности субъекта;
• обнародование данных, включая данные кандидатов на выборные государственные должности;
• деятельность негосударственной некоммерческой, религиозной организации, партии или профсоюза исключительно в отношении членов или работников, без передачи третьим лицам без согласия;
• устройство детей без попечения родителей в семьи и другие меры опеки и попечительства;
• обработка в целях государственной безопасности;
• обработка сведений о судимости госорганами и другими лицами в пределах полномочий.

Биометрические данные характеризуют анатомические и физиологические особенности человека. Генетические относятся к унаследованным или приобретенным характеристикам, полученным из анализа биологического образца либо эквивалентного анализа. Их использование для установления личности допускается с согласия субъекта (ст. 26 Закона), кроме реализации международных договоров, правосудия, исполнительного производства и иных предусмотренных законодательством случаев. Это основание обработки проверяется отдельно от обязательного местного хранения.

Трансграничная передача и зарубежные облачные сервисы

Передача собственником или оператором за пределы Узбекистана является трансграничной передачей (ст. 15 Закона). Общее направление — государства, обеспечивающие адекватную защиту прав субъектов. В государства без такой защиты передача возможна при согласии субъекта на трансграничную передачу; необходимости защиты конституционного строя, общественного порядка, прав и свобод, здоровья и нравственности; либо в случаях международного договора. Передача может запрещаться или ограничиваться для защиты перечисленных публичных интересов, прав граждан, обороны и безопасности.

Правительственный перечень содержит 49 государств и территорий (приложение к постановлению № 415). Неполный перечень примеров: Австрийская Республика, Федеративная Республика Германия, Республика Корея, Российская Федерация, Республика Сингапур, Швейцарская Конфедерация, Япония. Для США действует оговорка: только компании, работающие в рамках EU-US Data Privacy Framework (сноска к перечню). Самого американского адреса сервера недостаточно для применения этой позиции.

Для стран вне перечня постановление требует выполнения установленных органом правовых, организационных и технических условий (п. 4). Поэтому согласие на передачу сопоставляют и с этими требованиями, и с условиями зарубежного хранения. Исключение из местной регистрации само по себе не разрешает передачу в любую страну.

Отдельное правило допускает автоматическую передачу в страны перечня через информационные системы, созданные по международным соглашениям, без дополнительных разрешений и уведомления (п. 4). Оно охватывает персональные и обезличенные данные и требует мер против утечек. Это специальный режим таких систем, а не общая льгота для любого облачного сервиса.

При обнаружении утечки в процессе трансграничной передачи оператор уведомляет уполномоченный орган в течение 24 часов (п. 4) с момента обнаружения и в течение 72 часов представляет подробную информацию о причинах и принятых мерах. Этот срок относится именно к указанной ситуации; его нельзя автоматически переносить на любые инциденты.

Здесь рассматриваются условия работы с данными. Обязанности онлайн-площадки перед покупателями, договоры и расчеты разобраны в статье о маркетплейсах. Она нужна, когда обработка данных сопровождает продажу через платформу.

Как оформить согласие на обработку

Для обычных данных согласие возможно в подтверждаемой форме (ст. 21 Закона). Для специальных данных нужна письменная форма, включая электронный документ. За несовершеннолетнего согласие дают родители, опекуны или попечители, при их отсутствии — органы опеки и попечительства. За недееспособного или ограниченно дееспособного субъекта действует законный представитель. После смерти согласие дают наследники, если оно не было дано при жизни; для объявленного умершим или безвестно отсутствующего закон также предусматривает письменное согласие наследников.

Типовой порядок устанавливает содержание согласия (п. 11): наименование и ИНН оператора либо данные физлица и ПИНФЛ; данные субъекта и его удостоверения личности; цели; перечень обрабатываемых данных; срок или период согласия; согласие на предоставление третьим лицам и/или трансграничную передачу; согласие на распространение в общедоступных источниках; иные сведения. Поэтому запись о согласии должна показывать, какие действия и цели принял человек.

Принятие оферты может выражать согласие, если цели обработки определены в оферте (п. 9 Типового порядка). Практический способ доказательства — сохранить текст принятой редакции, дату и действие пользователя. Это пример организации учета согласий, а не отдельная установленная законом форма документа.

При изменении цели оператор получает новое согласие (ст. 19 Закона). Например, использование сведений, собранных для заказа, для иной цели требует самостоятельной проверки основания. Распространение за пределами первоначально заявленных целей также требует согласия субъекта (ст. 14 Закона).

Отозвать согласие можно в исходной либо письменной форме, включая электронный документ. Типовой порядок требует уничтожения данных не позднее следующего рабочего дня (п. 10) после получения заявления о прекращении обработки. При наличии самостоятельной обязанности хранения по закону отдельно определяется, какие данные и для какой обязательной цели продолжают обрабатываться; отзыв не следует трактовать как разрешение уничтожить обязательные документы.

Когда допускается обработка без согласия

Согласие входит в перечень законных оснований (ст. 18 Закона), но не исчерпывает его. Помимо согласия, обработка допускается:

• для выполнения договора с субъектом либо мер по его запросу до заключения договора;
• для исполнения установленных законодательством обязанностей собственника или оператора;
• для защиты законных интересов субъекта или другого лица;
• для осуществления прав и законных интересов собственника, оператора или третьего лица либо общественно значимых целей, если права и законные интересы субъектов не нарушаются;
• для статистики и иных исследований при обязательном обезличивании;
• если данные получены из общедоступных источников.

Когда обработка необходима для защиты прав и законных интересов самого субъекта, она возможна без согласия до момента, когда согласие можно получить. Договорное основание относится к необходимой для договора обработке, а не к любому дальнейшему использованию клиентской базы.

Общедоступность предполагает согласие на свободный доступ (ст. 29 Закона) либо отсутствие законного требования конфиденциальности. Размещение сведений в общедоступном справочнике требует письменного согласия; субъект может потребовать их исключения, также это возможно по решению органа или суда. Обнаруженный в интернете файл не доказывает законность его публикации. Для исторических, статистических, социологических и научных исследований обезличивание обязательно (ст. 16 Закона).

Как организовать защиту и уничтожение данных

Собственник, оператор и третье лицо принимают правовые, организационные и технические меры (ст. 27 Закона): защищают частную жизнь, целостность и сохранность данных, конфиденциальность и предотвращают незаконную обработку. Использование данных работниками ограничено служебными и трудовыми обязанностями (ст. 12 Закона).

Компания назначает ответственное подразделение или должностное лицо (ст. 31 Закона), утверждает необходимый состав данных, сохраняет доказательства согласий, обеспечивает электронную подачу требований о приостановлении и уничтожении. Поручение обработки третьему лицу допускается при письменном, в том числе электронном согласии; для исполнения договора собственника с субъектом; либо в предусмотренных законодательством случаях. Защита действует с момента сбора до уничтожения или обезличивания.

Типовой порядок предусматривает следующие обязательные организационные и технические действия (п. 30):

• разделить общедоступные и необщедоступные сведения, установить порядок обработки и круг допущенных лиц;
• установить средства защиты и обновлять программное обеспечение технических средств обработки необщедоступных данных;
• вести журнал событий системы управления базой и учет действий пользователей необщедоступных данных;
• применять контроль целостности, безопасные каналы и/или шифрование при передаче необщедоступных данных с согласием, кроме законных исключений;
• применять криптографическую защиту хранения и идентификацию или аутентификацию пользователей необщедоступных данных;
• для юридического лица назначить уполномоченного либо подразделение, утвердить внутреннюю политику, порядок блокирования и уничтожения по обращениям.

Необходимый уровень защищенности определяется по правительственному положению (п. 32 Типового порядка). Для ответственных сотрудников при переводе или прекращении трудового договора доступ отменяют не позднее последнего рабочего дня (п. 5 Типового порядка деятельности ответственного).

Хранение связано с целью сбора и обработки (ст. 10 Закона). Типовой порядок отдельно учитывает сроки, установленные законом или договором (п. 5). Закон называет четыре основания уничтожения: достижение цели, отзыв согласия, истечение срока обработки по согласию, вступившее в силу решение суда. Уничтожение означает невозможность восстановления данных (ст. 17 Закона).

Общий срок уничтожения по этим основаниям — три дня (п. 23 Типового порядка). Для отзыва действует более короткое правило следующего рабочего дня, приведенное выше. При незаконной обработке по требованию субъекта, представителя, суда или иного уполномоченного органа предусмотрен один рабочий день (п. 24).

Что учитывать работодателю

Кадровая база освобождена от регистрации в предусмотренном законом случае, но работодатель обязан защищать данные. Он получает их у работника; если получить их можно только у третьих лиц, нужны предварительное уведомление и письменное согласие (ст. 176 Трудового кодекса). Исключение касается третьих лиц, к которым сам работодатель направил сотрудника в соответствии с законодательством, например для медицинского осмотра. Работодатель сообщает цели, источники, способы, характер сведений и последствия отказа, оплачивает защиту, знакомит с документами под подпись и вырабатывает меры совместно с представителями работников.

При передаче данных работников (ст. 178 Трудового кодекса) действуют следующие требования:

• третьему лицу — письменное согласие, кроме предупреждения угрозы жизни и здоровью и иных законных случаев;
• для коммерческих целей — письменное согласие;
• получателя предупреждают о цели и требуют подтверждения ее соблюдения; он сохраняет конфиденциальность, с оговоркой об установленном законом обмене;
• внутри организации передают по локальному акту, с которым работник ознакомлен под подпись;
• доступ получают специально уполномоченные лица в пределах необходимых трудовых функций;
• сведения о здоровье запрашивают только в части возможности выполнять трудовую функцию;
• представителям работников передают только данные, необходимые для их функций, в законном порядке.

Условие трудового договора об отказе от защиты данных недействительно (ст. 177 Трудового кодекса). Работник имеет бесплатный доступ к своим данным (ст. 179), включая копии, кроме установленных законом исключений, и может требовать исправлений и уведомления прежних получателей об исправленных сведениях.

Проверки, предписания и ограничение доступа

Закон предусматривает государственный контроль и обязательные предписания об устранении нарушений (ст. 8 Закона). Действующий регламент регистрации и постановление о зарубежной передаче используют наименование Департамента миграции и персонализации при МВД; именно оно указано для соответствующей услуги и уведомлений. При этом текст статьи закона сохраняет прежнее наименование органа, поэтому адресата определяют с учетом действующего специального акта.

Для интернет-обработки существует отдельная процедура контроля особых условий, включающая полномочия «Узкомназората» (приложение № 3 к постановлению № 707). Ее меры включают изучение, мониторинг, проверку, предписание и направление протокола об административном правонарушении в суд. Проверяемый предмет должен соответствовать нынешним категориям обязательного хранения, а не прежнему правилу о всех данных.

Схема предусматривает заключение о нарушении, предписание с конкретным сроком исправления, а при неустранении — реестр нарушителей и ограничение доступа (схема к приложению № 3). После подтвержденного устранения нарушения ресурс исключают из реестра и ограничение снимают. Это отдельное последствие, которое нельзя смешивать с денежным штрафом.

Суд также может обязать прекратить незаконную обработку, удалить или блокировать сведения, а при полном удалении — уничтожить резервные копии (п. 13 постановления Пленума № 21). Поэтому внутренний порядок удаления должен охватывать восстановительные копии, когда этого требует решение.

Общие правила назначения и регистрации проверки, допуска инспектора и обжалования ее результатов раскрыты в статье о проверках бизнеса. Она нужна при получении уведомления или визите контролирующего органа. Здесь описаны специальные последствия нарушений при обработке персональных данных.

Какие штрафы и уголовная ответственность установлены

Кодекс об административной ответственности (КоАО) устанавливает за перечисленные незаконные действия с данными и нарушение соответствующих требований локализации штрафы 7 и 50 БРВ (ст. 46-2 КоАО). БРВ — базовая расчетная величина. Гражданин платит 7 БРВ, должностное лицо — 50 БРВ. Эти размеры применяются с 31 января 2022 года. Отдельная часть статьи об незаконной обработке с использованием искусственного интеллекта и распространении данных предусматривает 50–100 БРВ с конфискацией предметов правонарушения.

Уголовный основной состав связан с совершением указанных действий после административного взыскания (ст. 141-2 Уголовного кодекса). Квалифицирующие признаки перечислены отдельно: предварительный сговор группы лиц; повторность или опасный рецидив; корыстные либо иные низменные побуждения; использование служебного положения; тяжкие последствия. Санкции в таблице альтернативны; штраф не складывается автоматически со всеми остальными наказаниями. Статья уголовного кодекса в действующей части о локализации применяется с 31 января 2022 года.

Пример. Если назначен предусмотренный основным административным составом штраф должностному лицу, расчет составляет: 440.000 сум × 50 = 22.000.000 сум. Для гражданина по тому же составу: 440.000 сум × 7 = 3.080.000 сум. Это расчет установленных санкций, а не два штрафа одному лицу.

Что изменилось в 2025–2026 годах

• С 25 декабря 2025 года действует новая редакция регламента по постановлению № 821 от 24.12.2025: обращение через ЦГУ или ЕПИГУ, бесплатность, решение за пять рабочих дней. Старый срок рассмотрения нельзя переносить в действующий порядок.
• Закон № ЗРУ-1115 от 21.01.2026 ввел отдельный административный состав для незаконной обработки данных с использованием искусственного интеллекта и их распространения. Дата действия этой нормы — 21 января 2026 года.
• С 27 марта 2026 года Закон № ЗРУ-1125 от 26.03.2026 изменил регистрацию и локализацию. С 25 июля 2026 года особый территориальный режим (ст. 3 Закона) допускает иные правила обработки и защиты на территории, для которой он установлен Конституционным законом.
• С 3 августа 2026 года действует постановление № 415 от 29.07.2026: утвержден перечень направлений передачи и введены обязанности при утечке в процессе трансграничной передачи.

Правила специальной территории не раскрываются в этом общем порядке. Статья о Ташкентском международном финансовом центре объясняет его правовой режим. Она нужна, если компания действует в рамках центра.

Как отвечать на обращения субъектов

Оператор организует доступ, исправление и прекращение обработки как отдельные процедуры. По запросу субъект вправе получить информацию об обработке (ст. 22 Закона): подтверждение обработки; основания и цели; способы; наименование и адрес собственника или оператора и сведения о допущенных получателях; состав и источник данных; сроки обработки и хранения; порядок реализации прав; сведения о состоявшейся или предполагаемой трансграничной передаче.

Эта статья допускает ограничения для защиты прав других лиц. От обязанности предоставления информации освобождают предыдущее уведомление субъекта, общедоступность данных самим субъектом или источником, а также нарушение прав и законных интересов физических и юридических лиц при предоставлении. Отказ направляют письменно в течение десяти дней; его можно обжаловать органу или суду.

По обращению данные изменяют или дополняют не позднее трех дней (ст. 11 Закона), а выявленные недостоверные сведения исправляют безотлагательно. Субъект может требовать временного приостановления обработки (ст. 30 Закона), если данные неполные, устаревшие, неточные, незаконно полученные либо ненужные для цели.

При включении в базу субъекту письменно сообщают цели и права. После передачи третьему лицу оператор направляет уведомление в течение трех дней (ст. 23 Закона). Письменное уведомление не производится при осуществлении госорганами полномочий, передаче для исторических, статистических, социологических или научных целей и сборе из общедоступных источников.

Решение с юридическими последствиями, основанное исключительно на автоматизированной обработке, возможно в предусмотренных законом случаях (ст. 24 Закона): письменное, в том числе электронное согласие; исполнение договора собственника с субъектом или ранее заключенного договора; иные случаи законодательства. Оператор разъясняет порядок и последствия решения, предоставляет возможность возразить и объясняет способы защиты. Возражение рассматривают и письменно сообщают результат в течение десяти дней.

Для решений с применением искусственного интеллекта действует дополнительное ограничение: при юридически значимых решениях, затрагивающих права и свободы человека, нельзя опираться только на выводы ИИ (ст. 7-1 Закона об информатизации в редакции ЗРУ-1115). Поэтому наличие основания автоматизированной обработки не отменяет эту специальную защиту.

Частые вопросы

Нужно ли регистрировать обычную клиентскую базу?

Решение зависит от состава данных и исключений. Действующая норма о регистрации (ст. 20 Закона) связывает регистрацию с обязательным хранением соответствующих категорий в Узбекистане. Поэтому сначала определяется, есть ли в базе биометрические, генетические данные или данные пользователей местных операторов телекоммуникаций в смысле специальной нормы. Отдельно проверяется каждое исключение. Отсутствие регистрации по законному исключению не освобождает от основания обработки, конфиденциальности и защиты.

Можно ли хранить данные в иностранной CRM?

CRM — система управления взаимоотношениями с клиентами. Ее иностранное размещение оценивают по категориям данных и условиям хранения (ст. 27-1 Закона). Для иных, не подлежащих обязательному местному хранению данных предусмотрены альтернативные защитные механизмы. При этом отдельно проверяются правила трансграничной передачи, реальная страна размещения и получатель. Для американской компании недостаточно указать США: правительственный перечень содержит специальную оговорку о Data Privacy Framework.

Достаточно ли галочки о согласии на сайте?

Для обычных данных закон допускает подтверждаемую форму согласия (ст. 21 Закона). Но оператору нужно доказать, что пользователь принял определенные цели, состав данных и условия обработки. Одной записи без текста условий может быть недостаточно для такого доказательства. Специальные данные требуют письменного согласия, включая электронный документ. Ни отметка в форме, ни текст оферты не отменяют требований к месту хранения и передаче за рубеж.

Надо ли удалять все данные после отзыва согласия?

Отзыв влечет прекращение обработки на соответствующем основании; типовой порядок устанавливает срок следующего рабочего дня (п. 10). Одновременно необходимо определить, существует ли самостоятельная законная обязанность сохранять конкретные сведения. Правило о сроках хранения учитывает закон и договор, поэтому нельзя механически уничтожать обязательные документы. Продолжающееся хранение должно иметь собственную цель и основание, а не прежнее отозванное согласие.

Что делать при утечке во время передачи за рубеж?

Оператор уведомляет уполномоченный орган за 24 часа от обнаружения (п. 4 постановления № 415), а за 72 часа представляет подробные сведения о причинах и выполненных мерах по устранению. Во внутреннем порядке полезно закрепить, кто фиксирует время обнаружения, готовит уведомление и собирает материалы. Это практическая организация исполнения обязанности; установленный срок не зависит от того, успел ли подрядчик закончить собственное расследование.