Утечка персональных данных — это неправомерное раскрытие сведений о человеке или доступ к ним посторонних: копирование базы, пересылка файла, публикация в сети. Для бизнеса в Узбекистане у неё две цены: расходы на восстановление и ответственность по закону. Если утечка выявлена при передаче данных за рубеж, оператор базы обязан сообщить об этом уполномоченному государственному органу в течение 24 часов.
Коротко
Утечка — это нарушение конфиденциальности: данные получил тот, кто не имел на это права. Самого слова «утечка» в законе «О персональных данных» нет, состав нарушения описан через незаконные действия с данными в статье 46-2 Кодекса об административной ответственности.
Незаконное изменение или уничтожение данных — тоже нарушение, но другое: оно бьёт по целостности и доступности, а не по конфиденциальности. Разделять их полезно хотя бы потому, что действия после инцидента будут разными.
Персональные данные — любые сведения, позволяющие идентифицировать человека: фамилия и имя, номер телефона, адрес, паспортные и банковские данные, медицинская информация, фотография. IP-адрес и история покупок становятся персональными данными тогда, когда связаны с конкретным человеком.
Базовые обязанности собраны в Законе «О персональных данных» № ЗРУ-547. Статья 27 обязывает собственника и оператора принимать правовые, организационные и технические меры защиты. Статья 31 требует определить структурное подразделение или должностное лицо, ответственное за обработку и защиту персональных данных, — то есть у задачи должен быть конкретный хозяин.
Статья 27-1 в редакции закона ЗРУ-1125 от 26 марта 2026 года требует хранить в Узбекистане биометрические и генетические данные, а также данные пользователей услуг операторов телекоммуникаций. Базы с такими данными регистрируют в Государственном реестре баз персональных данных (статья 20). Остальные персональные данные можно хранить и обрабатывать за рубежом, если выполнено одно из условий части третьей статьи 27-1: государство признано обеспечивающим адекватную защиту, оператор принял и соблюдает стандартные договорные условия или обязательные корпоративные правила, либо соблюдает международные стандарты из утверждённого перечня.
Важно Прежняя формулировка «все персональные данные граждан Узбекистана хранятся только внутри страны» устарела. С 27 марта 2026 года обязательная локализация распространяется на три категории, а для остального работают условия части третьей статьи 27-1.
Отдельный срок уведомления установлен для одного случая: утечки, выявленной в процессе трансграничной передачи. По постановлению Кабинета Министров № 415 от 29 июля 2026 года, действующему с 3 августа 2026 года, оператор базы персональных данных обязан сообщить об этом уполномоченному государственному органу в течение 24 часов с момента выявления и в течение 72 часов представить подробную информацию о причинах утечки и о проделанной работе по их устранению. Уполномоченным органом этим же постановлением определён Департамент миграции и персонализации при Министерстве внутренних дел.
| Что произошло | Кого уведомляют | Срок | Что сообщают |
|---|---|---|---|
| Утечка выявлена при трансграничной передаче данных | Уполномоченный государственный орган | 24 часа с момента выявления | Сам факт утечки |
| Та же утечка, второй шаг | Тот же орган | 72 часа | Причины утечки и работы, проведённые для их устранения |
| Изменение, уничтожение данных или ограничение доступа к ним | Субъект данных и другие участники обработки | Срок в законе не указан | Письменное уведомление о том, что произошло с данными |
| Передача персональных данных третьему лицу | Субъект данных | Три дня | Письменное уведомление о факте передачи |
Обязанности отдельно уведомлять каждого человека именно об утечке закон не устанавливает. Но статья 31 требует при наличии информации о нарушении условий обработки временно приостановить обработку или уничтожить данные, а статья 23 — письменно сообщить субъекту о передаче его данных третьему лицу в течение трёх дней. На практике предупреждение затронутых клиентов и партнёров снижает ущерб: человек, который знает об утечке, не попадётся на звонок «из банка» по своим же данным.
Постановление № 415 заодно определило, куда данные можно передавать: в перечень вошли 49 государств и территорий, среди них страны Евросоюза, Великобритания, Канада, Россия, Сингапур, Южная Корея и Япония. США указаны со сноской — только для компаний, работающих в рамках EU-US Data Privacy Framework. В государства вне перечня передача допускается при выполнении правовых, организационных и технических условий, которые устанавливает уполномоченный орган.
Штрафы налагают на граждан и должностных лиц, а не на компанию как таковую. Размеры привязаны к базовой расчётной величине: с 1 сентября 2026 года БРВ составляет 440 000 сум.
| Норма | За что | Кто отвечает | Санкция |
|---|---|---|---|
| КоАО, статья 46-2, часть первая | Незаконные сбор, хранение, использование, передача, распространение или уничтожение персональных данных; несоблюдение требований к их хранению и регистрации базы | Граждане | Штраф 7 БРВ — 3 080 000 сум |
| КоАО, статья 46-2, часть первая | То же нарушение | Должностные лица | Штраф 50 БРВ — 22 000 000 сум |
| КоАО, статья 46-2, часть вторая | Незаконная обработка персональных данных с использованием технологий ИИ и их распространение в СМИ, сетях связи или интернете | Нарушитель | Штраф от 50 до 100 БРВ — от 22 000 000 до 44 000 000 сум с конфискацией орудий правонарушения |
| УК, статья 141-2, часть первая | Те же действия, совершённые после применения административного взыскания | Физическое лицо | Штраф от 100 до 150 БРВ — от 44 000 000 до 66 000 000 сум, либо лишение определённого права до 3 лет, либо исправительные работы до 2 лет |
| УК, статья 141-2, часть вторая | Те же действия группой лиц по сговору, повторно, из корыстных побуждений, с использованием служебного положения или с тяжкими последствиями | Физическое лицо | Штраф от 150 до 200 БРВ — от 66 000 000 до 88 000 000 сум, либо исправительные работы от 2 до 3 лет, либо ограничение свободы от 1 года до 3 лет, либо лишение свободы до 3 лет |
Часть вторая статьи 46-2 КоАО добавлена законом ЗРУ-1115 от 21 января 2026 года и прямо касается обработки персональных данных с использованием технологий искусственного интеллекта. Уголовная ответственность по статье 141-2 Уголовного кодекса наступает не с первого раза: сначала административное взыскание, и только повторное нарушение после него становится преступлением.
Порядок простой: сначала остановить, потом зафиксировать, потом оценить и только затем сообщать и чинить. Импровизация на первом шаге стоит дороже самой утечки.
Ошибка Первое желание — стереть журналы и «переустановить всё начисто». Так исчезают следы, по которым можно понять, что именно утекло и через какой вход. Без этого не получится ни оценить объём, ни отчитаться перед органом, ни закрыть причину.
Большинство утечек замечают не сразу и не сами: о них сообщают клиенты, партнёры или мошенники, которые уже пользуются данными. Регулярная проверка нескольких признаков сокращает эту задержку.
Причина редко бывает изощрённой. Чаще всего это известная незакрытая уязвимость, украденный пароль или лишний доступ — в том числе у подрядчика.
Список причин, с которого стоит начинать проверку:
Подрядчик — отдельная строка в реестре рисков. С ним нужны письменный порядок обработки данных, персональные учётные записи вместо общей, доступ только к нужному участку и отзыв прав в день окончания работ. Как оценивать такие риски и расставлять приоритеты, разобрано в статье о рисках информационной безопасности.
Работают базовые меры, а не редкие дорогие системы. Порядок внедрения обычно один и тот же: сначала доступы, потом копии и шифрование, затем наблюдение за событиями.
Отдельно стоит развести инструменты и услугу. SIEM, EDR и XDR — программы: они собирают события и ищут в них подозрительные цепочки, но работать с ними должны люди. MDR — услуга внешней команды, которая разбирает тревоги и реагирует на подтверждённые инциденты. Разница и критерии выбора — в статье о мониторинге и реагировании на инциденты.
Технику дополняет работа с людьми: больше половины утечек проходит через человека, и здесь помогают короткие регулярные занятия и разбор реальных писем. Об этом — в материале об обучении сотрудников кибербезопасности, а о настройке ролей и журнала в клиентской базе — в статье о правах доступа в CRM.
Цена зависит от числа систем, сотрудников и площадок и от того, что уже сделано. Разумный порядок — сначала понять, где вы уязвимы, и только потом покупать средства защиты.
Мы в Syntra Systems начинаем с аудита информационной безопасности — от 1 200 $. Составляем карту того, что нужно защищать, проверяем серверы, сети, почту, сайты и рабочие места на известные уязвимости, смотрим, у кого какие доступы и что происходит при увольнении, оцениваем соответствие требованиям законодательства по персональным данным и собираем отчёт с приоритетами.
Дальше выстраиваем защиту данных и доступов — от 4 000 $: роли и двухфакторная аутентификация, шифрование, защита почты от подделки и фишинга, резервное копирование с проверкой восстановления, регламенты на случай инцидента и обучение сотрудников. Наблюдение за событиями и реагирование по согласованному регламенту — от 800 $ в месяц. Состав работ — на странице кибербезопасности для бизнеса.
Обсудим вашу задачу
Расскажите, что нужно сделать, — оценим сроки и стоимость и предложим решение.
Жёсткие сроки — 24 часа на сообщение и 72 часа на подробный отчёт в Департамент миграции и персонализации МВД — установлены только для утечек при передаче данных за рубеж. В остальных случаях закон требует сразу приостановить обработку или уничтожить данные, а клиентов лучше предупредить сразу: так они не попадутся на звонок «из банка» по своим же данным.
Штраф по статье 46-2 КоАО налагают не на компанию, а на людей: 7 БРВ для гражданина и 50 БРВ для должностного лица — 3 080 000 и 22 000 000 сум при БРВ 440 000 сум. Повторное нарушение после административного взыскания уже преступление по статье 141-2 УК.
Постановление № 415 утвердило перечень из 49 государств и территорий, среди них страны Евросоюза, Великобритания, Канада, Россия, Сингапур, Южная Корея и Япония. США в перечне со сноской — только для компаний в рамках соглашения EU-US Data Privacy Framework, а в другие страны передача возможна при условиях, которые устанавливает уполномоченный орган.
Подрядчику дают персональную учётную запись вместо общей, доступ только к нужному участку и письменный порядок обработки данных, а права отзывают в день окончания работ. По Verizon DBIR 2026, 48 % утечек связаны с третьими сторонами — поставщиками, партнёрами, внешними системами.
С аудита информационной безопасности: он показывает, где лежат персональные данные, у кого к ним доступ, какие уязвимости открыты и что требует закон именно в вашем случае. В Syntra Systems такой аудит стоит от 1 200 $ и заканчивается отчётом с приоритетами.
Закон о персональных данных требует назначить подразделение или конкретного сотрудника, отвечающего за обработку и защиту данных, — у задачи должен быть хозяин. При утечке именно он по той же норме приостанавливает обработку или уничтожает данные и организует предупреждение клиентов.
Источники
