Узбекистан утвердил перечень стран с эквивалентной защитой персональных данных

Что изменилось?

Впервые на нормативном уровне определен перечень государств, в которые персональные данные могут передаваться по упрощенной процедуре. В перечень включены 49 государств и территорий, включая страны Европейского союза, Великобританию, Канаду, Швейцарию, Японию, Республику Корея, Сингапур, Израиль, Бразилию, Аргентину и Новую Зеландию.

Отдельные правила предусмотрены для Соединенных Штатов Америки. Упрощенный порядок передачи данных применяется только в отношении организаций, участвующих в EU–US Data Privacy Framework.

Передача персональных данных в государства, включенные в перечень, допускается без получения дополнительных разрешений и без уведомления уполномоченного государственного органа, при условии соблюдения требований по обеспечению безопасности данных.

Что делать, если страна не включена в перечень?

Передача персональных данных в страны, не вошедшие в утвержденный перечень, также допускается, однако операторы и собственники баз персональных данных должны соблюдать дополнительные правовые, организационные и технические требования, которые будут определены уполномоченным государственным органом. Кроме того, Правительству поручено разработать требования к стандартным договорным условиям и обязательным корпоративным правилам, которые будут использоваться при трансграничной передаче данных в такие государства.

Локализация и уведомление об утечках

Постановление не отменяет требования о локализации отдельных категорий данных. На территории Республики Узбекистан по-прежнему подлежат хранению биометрические данные, генетические данные, а также данные пользователей услуг операторов телекоммуникаций, осуществляющих деятельность в Узбекистане.

Одновременно документ впервые закрепляет обязанность операторов уведомлять уполномоченный государственный орган о нарушениях безопасности персональных данных при их трансграничной передаче. Об инциденте необходимо сообщить в течение 24 часов с момента его обнаружения, а подробную информацию о причинах утечки и принятых мерах представить в течение 72 часов.

Практическое значение

Принятое Постановление существенно упрощает использование зарубежной цифровой инфраструктуры, включая облачные сервисы, CRM-системы и корпоративные платформы, если персональные данные передаются в государства, включенные в утвержденный перечень. Вместе с тем компаниям рекомендуется проверить географию хранения персональных данных, оценить применимость новых правил к своим трансграничным потокам данных и обеспечить соблюдение требований законодательства о локализации и защите отдельных категорий персональных данных.