Центральный банк Узбекистана расширил требования к информационной безопасности для организаций, занимающихся гарантированием и факторингом, а также ввел обязательство хранить биометрические персональные данные клиентов на территории страны. Это было сделано согласно постановлению Центрального банка от 22 июля, которое было зарегистрировано Министерством юстиции 5 августа.
Данный документ внес изменения в Положение о минимальных требованиях информационной безопасности для микрофинансовых организаций, ломбардов и организаций по рефинансированию ипотеки. Постановление вступило в силу 6 августа.
В результате поправок Положение теперь распространяется не только на микрофинансовые организации, ломбарды и организации по рефинансированию ипотеки, но и на организации по гарантированию и факторингу. Все эти структуры в документе именуются «небанковскими кредитными организациями».
Положение было дополнено пунктом 4-1, который устанавливает правила хранения биометрических персональных данных граждан. Такие данные, которые используются небанковскими кредитными организациями для идентификации и аутентификации клиентов, должны храниться исключительно в пределах Узбекистана.
Другие персональные данные клиентов, не являющиеся биометрическими, могут обрабатываться и храниться за пределами страны при условии соблюдения требований Части Третьей Статьи 27-1 Закона о персональных данных.
Кроме того, постановление унифицировало терминологию, использованную в Положении, приведя ее в соответствие с действующим законодательством. В частности, термин «секретный» был заменен на «конфиденциальный» во всем тексте документа.
Согласно Закону о персональных данных, генетические данные людей, а также данные лиц, пользующихся услугами операторов телекоммуникаций, работающих в Узбекистане, также должны храниться на территории страны.
В Узбекистане начали действовать новые правила, касающиеся хранения биометрических данных клиентов, работающих в финансовом секторе. Постановление правления Центрального банка было официально зарегистрировано Министерством юстиции 1 августа и стало обязательным к исполнению с момента его публикации.
Новые требования обязывают операторов платежных систем, поставщиков платежных услуг, электронные платформы факторинга и кредитные бюро сохранять биометрические сведения физических лиц, которые используются для подтверждения личности и аутентификации клиентов, строго на территории Узбекистана.
При этом законодательство допускает хранение и обработку других типов персональных данных, которые не являются биометрическими, за пределами страны, при условии соблюдения положений третьей части статьи 27¹ Закона «О персональных данных».
Целью введения этих норм является создание унифицированного правового подхода к управлению биометрической информацией на финансовом рынке, гарантирование реального выполнения мер по защите персональных данных, а также усиление кибербезопасности и информационной защиты.
Совет Центрального банка Узбекистана внес изменения и дополнения в нормативный акт, устанавливающий минимальные требования к деятельности коммерческих банков при взаимодействии с потребителями банковских услуг. Соответствующее постановление от 15 июля 2026 года, номер 19/16, было зарегистрировано Министерством юстиции 1 августа 2026 года под номером 3030-12 и вступит в силу через месяц после официальной публикации.
В документе впервые вводится юридическое определение понятия «системный дефект». Он определяется как недостаток в конкретном финансовом продукте, бизнес-процессе, сети филиалов банковского обслуживания, информационной системе или внутренней системе контроля, а также в контрактах, операциях, процессах обслуживания или деятельности структурных подразделений аналогичного содержания, который не ограничивается единичным случаем и приводит к нарушению прав потребителей.
Согласно принятой поправке, при рассмотрении обращений клиентов банки теперь обязаны устранять не только нарушения и негативные ситуации, описанные в самих обращениях, но и коренные причины, которые привели к нарушению прав и законных интересов потребителей.
Банки должны проводить обобщение и анализ полученных обращений в конце каждого квартала и года. На основе этого анализа необходимо составлять отчеты, отражающие общие показатели работы с обращениями, их типы, количество, выявленные коренные причины, часто возникающие проблемы, а также распределение обращений по регионам и типам банковских услуг.
Эти отчеты также должны содержать аналитическую информацию о соответствии банковских услуг требованиям потребителей и о том, был ли установлен справедливый контакт с клиентами, а также детали о ключевых выявленных недочетах, нарушениях и мерах, предпринятых для устранения их причин.
Квартальные отчеты должны публиковаться на официальном веб-сайте банка до 20-го числа месяца, следующего за отчетным кварталом, тогда как годовые отчеты должны быть опубликованы до 15 февраля.
Совет директоров банка обязан на своих заседаниях в конце квартала и в конце года рассматривать статус обработки обращений, включая результаты синтеза и анализа, выявленные системные дефекты и характерные риски, а также утверждать планы действий по устранению системных дефектов, ведущих к нарушению прав потребителей.
Эти решения совета директоров и аналитические отчеты передаются во внутреннюю службу аудита, которая использует их при составлении планов аудита и мониторинге деятельности банка.
Нормативный акт также перечисляет обстоятельства, при которых меры по устранению системных дефектов считаются не принятыми. К ним относятся, в частности, отсутствие утвержденного плана действий, несоблюдение сроков исполнения установленных в плане, сохранение дефектов, несмотря на предпринятые меры, а также неспособность внутренней службы аудита своевременно предоставлять оценки выполнения задач и годовую оценку эффективности системы обработки обращений от граждан и юридических лиц.
Банк должен направлять копии решений совета директоров относительно обращений в Центральный банк в течение трех рабочих дней с момента их утверждения, а информацию об устранении каждого системного дефекта — в течение пяти рабочих дней после его ликвидации.
Кроме того, сведения о работе банка с обращениями клиентов должны быть отражены в годовом отчете, утвержденном на общем собрании акционеров.
Регулирование было дополнено новым приложением, содержащим стандартную форму плана действий по устранению системных дефектов, приводящих к нарушению прав потребителей.
Кабинет министров Узбекистана принял решение об утверждении перечня зарубежных государств, которые гарантируют уровень защиты персональных данных, сопоставимый с тем, что установлен в Узбекистане. В этот список вошло 49 стран и территорий, среди которых Россия, США, Германия, Великобритания, Япония, Сингапур и Южная Корея.
Принятое постановление направлено на создание унифицированного порядка для осуществления трансграничной передачи персональных данных. Теперь персональная и обезличенная информация может автоматически передаваться в государства, входящие в утвержденный перечень, используя информационные системы, основанные на международных договоренностях. При этом оператору не требуется получать дополнительные разрешения или уведомлять уполномоченный орган, однако он обязан гарантировать защиту данных от любых утечек.
Для передачи данных в юрисдикции, не попавшие в этот список, будут применяться более строгие требования. Такая передача допустима лишь при условии выполнения правовых, организационных и технических условий, которые устанавливает уполномоченный орган.
В случае возникновения утечки персональных данных в ходе трансграничной передачи, оператор базы данных обязан уведомить уполномоченный орган в течение суток с момента обнаружения инцидента. Кроме того, в течение следующих 72 часов необходимо предоставить подробную информацию о причинах происшествия и о предпринятых мерах.
Помимо этого, Министерство внутренних дел совместно с другими ведомствами должно разработать требования к стандартным договорным условиям и корпоративным правилам защиты данных при их отправке в страны, не включенные в перечень. Параллельно Министерство иностранных дел получило поручение подготовить предложения о вступлении Узбекистана в Конвенцию Совета Европы о защите физических лиц при автоматизированной обработке персональных данных, а также о включении страны в соответствующие международные реестры.
В утвержденный перечень вошли такие государства, как Австрия, Андорра, Аргентина, Бельгия, Болгария, Бразилия, Венгрия, Гонконг, Греция, Дания, Испания, Исландия, Италия, Канада, Кипр, Латвия, Литва, Лихтенштейн, Люксембург, Мальта, Нидерланды, Норвегия, Польша, Португалия, Словакия, Словения, Уругвай, Фарерские острова, Финляндия, Франция, Хорватия, Чехия, Швейцария, Швеция, Эстония, Новая Зеландия, а также перечисленные ранее страны.
Важно отметить, что для США данное решение распространяется исключительно на компании, участвующие в рамках программы защиты данных между Европейским союзом и США (EU–US Data Privacy Framework). Ранее, в феврале, Сенат Олий Мажлиса одобрил изменения в законе «О персональных данных», которые устранили основные препятствия для функционирования PayPal и других глобальных цифровых платежных систем в Узбекистане, заложив основу для легального получения дохода фрилансерами и интеграции страны в мировую цифровую экономику.
