Через несколько месяцев житель Ташкента сможет расплатиться в кафе одним касанием телефона, фрилансер из Самарканда — получить гонорар на PayPal без серых схем, а турист из Европы — забыть про обмен валюты. 26 марта 2026 года президент Шавкат Мирзиёев подписал закон ЗРУ-1125, который вносит существенные правки в действующее законодательство о персональных данных, и тем самым убрал главный юридический барьер, пять лет державший страну в стороне от глобальных цифровых сервисов.
Суть реформы можно сформулировать одной мыслью — государство отказывается от тотальной локализации данных и разрешает их обработку за рубежом при четко прописанных условиях. Раньше, после поправок 2021 года, действовало универсальное правило, по которому компании были обязаны хранить персональные данные граждан на серверах внутри страны. На практике это означало, что любой международный сервис — от платёжной системы до облачного приложения — должен был либо строить инфраструктуру в Узбекистане, либо вообще не приходить на рынок. Большинство выбирало второе, и причина чисто экономическая. Для глобальной компании переезд серверов в отдельную страну — не строчка в бюджете, а стратегическое решение, требующее дата-центров, юристов, аудита и постоянных операционных расходов. Для рынка в 38 миллионов человек большинство мировых игроков такие инвестиции просто не считали оправданными, и Узбекистан несколько лет оставался белым пятном на картах сервисов, привычных в соседних странах.
Новая редакция вводит двухуровневую модель регулирования. Внутри страны по-прежнему обязательно должны храниться биометрические и генетические данные физических лиц, а также данные пользователей услуг операторов телекоммуникаций, работающих в Узбекистане. Логика такого выбора прозрачна. Отпечатки пальцев, данные распознавания лица, ДНК-информация и записи о звонках и трафике относятся к категории, утечка которой создает необратимые последствия — пароль можно сменить, биометрию нельзя. Эти данные государство сознательно сохраняет под национальной юрисдикцией, чтобы доступ к ним регулировался узбекским законом и узбекским судом.
Все остальные категории — имя, email, история покупок, платёжная информация, поведенческая аналитика — теперь могут обрабатываться и храниться за рубежом, но не автоматически. Закон устанавливает три альтернативных условия, и оператор должен соответствовать хотя бы одному из них. Допускается передача данных, если иностранное государство обеспечивает надлежащий уровень защиты данных, если оператор применяет стандартные договорные условия или корпоративные правила, одобренные уполномоченным органом, либо если соблюдаются международные стандарты обработки и хранения персональных данных. Параллельно Кабинет министров получит право утверждать список стран, где обеспечивается надлежащая защита персональных данных. Архитектурно это узбекский аналог европейского механизма adequacy decisions — списка доверенных юрисдикций, в которые данные можно передавать без дополнительных согласований. Такой выбор показателен. Узбекистан копирует не самую либеральную модель в мире, а модель, признанную глобальным стандартом, что упрощает диалог с теми же европейскими и американскими регуляторами.
Самое заметное и публично обсуждаемое последствие реформы сводится к тому, ради чего её, по сути, и проводили — создание правовой базы для работы международных платёжных систем, включая PayPal, Apple Pay и Google Pay. За простой формулой «теперь можно платить телефоном» стоит несколько разных эффектов. Розничный потребитель получает удобство и привычный мировой стандарт. Турист — возможность тратить деньги без обмена валюты и поиска банкоматов, а это прямой эффект на доходы гостиничного и ресторанного сектора. Узбекский фрилансер или малый онлайн-предприниматель — легальный канал получения и отправки денег через PayPal вместо посредников, на которых уходила часть дохода и которые создавали юридические риски.
Спрос на эти изменения формировался не последний год. Еще в октябре 2024 года правительство утвердило меры для «эффективного использования туристического потенциала Узбекистана». Комитет по туризму, Центробанк и Минцифры должны были провести переговоры с Alipay, Apple Pay, Google Pay, Paypal, Unipay об их подключении к платежным системам и сервисам Узбекистана. Тогда переговоры упирались именно в локализацию данных — и вернулись на повестку только после того, как был расчищен юридический фундамент.
Для бизнеса реформа значительнее, чем кажется по новостным заголовкам про оплату телефоном. Требование 2021 года толковалось настолько широко, что под него подпадал почти любой сервис, работающий с пользовательскими аккаунтами. Автор Telegram-канала Kurbanoff.net Шухратбек Курбанов отмечал, что статья 27−1 закона «О персональных данных», введенная в январе 2021 года, обязывает собирать, систематизировать и хранить персональные данные на технических средствах, физически размещенных на территории Узбекистана. Представители бизнеса неоднократно отмечали проблему с исполнением закона о хранении персональных данных. На практике это блокировало целые классы решений. IT-компании, работающие на экспорт, не могли использовать стандартные облачные инструменты SaaS без юридических рисков. Финтех-стартапы упирались в потолок, потому что не могли интегрироваться с международными платёжными провайдерами. Электронная коммерция теряла конверсию, потому что иностранный покупатель, привыкший к Apple Pay, отваливался на этапе оплаты.
И всё это происходило на фоне взрывного роста сектора, для которого устаревшее регулирование становилось всё более очевидным тормозом. По данным отраслевой статистики, за последние пять лет количество телекоммуникационных и IT-компаний увеличилось в 1,8 раза. На начало 2023 года в республике работают более 12 тысяч предприятий ИКТ. В отрасли занято свыше 100 тыс. человек. У отрасли был чёткий запрос на интеграцию в глобальный рынок, а законодательство тянуло в противоположную сторону, и противоречие нарастало с каждым годом.
Новый закон выглядит изолированной нормой только на первый взгляд. По сути это финальный аккорд процесса, который шёл несколько лет. Всемирный банк ещё несколько лет назад указывал, что более гибкие правила работы с данными способствовали бы развитию цифровой экономики. Эксперты на отраслевых площадках в 2024 году настаивали на пересмотре подхода к локализации, чтобы избежать избыточного регулирования. Финальную точку поставила геополитика. «Есть вопросы хранения персональных данных и регулирования цифровых платформ. Мы совместно с американскими партнерами завершаем работы по обновлению законодательства. Это создаст возможности для запуска глобальных международных систем Apple Pay и Google Pay, а также создания цифровой академии и сети стартап-хабов», — рассказал президент на встрече с американскими компаниями в Вашингтоне в ноябре 2025 года. Реформа была публично обещана за океаном, и через четыре месяца исполнена — что само по себе говорит о её приоритете для верхнего эшелона власти.
Но закон — это лишь рамка, и аналитически важно зафиксировать несколько уязвимых точек, от которых зависит реальный эффект. Первая связана с подзаконным регулированием. Какие страны Кабмин признает адекватными, какие международные стандарты войдут в утверждённый перечень, как именно будут выглядеть стандартные договорные условия — все эти вопросы остаются открытыми, и от ответов на них зависит, придут ли на рынок Apple, Google и PayPal в течение полугода или процедуры окажутся настолько громоздкими, что на практике сохранят прежние барьеры. Здесь возможен сценарий, когда либеральная норма закона нейтрализуется консервативной практикой её применения.
Вторая уязвимость касается защиты пользователей. Когда данные узбекистанца обрабатываются на сервере в другой стране, формально применяется уже не узбекское право, и эффективность защиты зависит от того, насколько серьёзно регулятор будет проверять адекватность иностранных юрисдикций и насколько прозрачны окажутся механизмы рассмотрения жалоб граждан. Без отлаженного межведомственного взаимодействия и без понятных пользователю процедур обжалования теоретическая защита может остаться теоретической.
Третья задача — цифровая грамотность населения. Чем больше сервисов работают с данными жителей, тем выше цена ошибки самого пользователя. Открытие рынка без параллельной работы с грамотностью означает рост рисков фишинга, мошенничества и утечек. И это не абстрактный риск, а закономерный побочный эффект быстрого расширения цифровой инфраструктуры, который наблюдался во всех странах, проходивших через аналогичные реформы.
Поправки 2026 года — это не просто техническая правка одного закона, а смена философии. Узбекистан переходит от закрытого периметра к управляемой открытости, от логики «всё своё» к логике доверия с проверкой. Государство официально заявило, что хочет быть частью глобальной цифровой инфраструктуры, а не её обочиной, и сделало это в формате, понятном и инвесторам, и международным регуляторам. Сработает ли реформа, покажут не пресс-релизы, а первая транзакция Apple Pay в ташкентском кафе, первый узбекский фрилансер, получивший гонорар через PayPal без обходных схем, и первая компания, которая решит зайти на рынок именно из-за обновленного регулирования. Юридическая дверь открыта. Дальше — вопрос исполнения.
Суть реформы можно сформулировать одной мыслью — государство отказывается от тотальной локализации данных и разрешает их обработку за рубежом при четко прописанных условиях. Раньше, после поправок 2021 года, действовало универсальное правило, по которому компании были обязаны хранить персональные данные граждан на серверах внутри страны. На практике это означало, что любой международный сервис — от платёжной системы до облачного приложения — должен был либо строить инфраструктуру в Узбекистане, либо вообще не приходить на рынок. Большинство выбирало второе, и причина чисто экономическая. Для глобальной компании переезд серверов в отдельную страну — не строчка в бюджете, а стратегическое решение, требующее дата-центров, юристов, аудита и постоянных операционных расходов. Для рынка в 38 миллионов человек большинство мировых игроков такие инвестиции просто не считали оправданными, и Узбекистан несколько лет оставался белым пятном на картах сервисов, привычных в соседних странах.
Новая редакция вводит двухуровневую модель регулирования. Внутри страны по-прежнему обязательно должны храниться биометрические и генетические данные физических лиц, а также данные пользователей услуг операторов телекоммуникаций, работающих в Узбекистане. Логика такого выбора прозрачна. Отпечатки пальцев, данные распознавания лица, ДНК-информация и записи о звонках и трафике относятся к категории, утечка которой создает необратимые последствия — пароль можно сменить, биометрию нельзя. Эти данные государство сознательно сохраняет под национальной юрисдикцией, чтобы доступ к ним регулировался узбекским законом и узбекским судом.
Все остальные категории — имя, email, история покупок, платёжная информация, поведенческая аналитика — теперь могут обрабатываться и храниться за рубежом, но не автоматически. Закон устанавливает три альтернативных условия, и оператор должен соответствовать хотя бы одному из них. Допускается передача данных, если иностранное государство обеспечивает надлежащий уровень защиты данных, если оператор применяет стандартные договорные условия или корпоративные правила, одобренные уполномоченным органом, либо если соблюдаются международные стандарты обработки и хранения персональных данных. Параллельно Кабинет министров получит право утверждать список стран, где обеспечивается надлежащая защита персональных данных. Архитектурно это узбекский аналог европейского механизма adequacy decisions — списка доверенных юрисдикций, в которые данные можно передавать без дополнительных согласований. Такой выбор показателен. Узбекистан копирует не самую либеральную модель в мире, а модель, признанную глобальным стандартом, что упрощает диалог с теми же европейскими и американскими регуляторами.
Самое заметное и публично обсуждаемое последствие реформы сводится к тому, ради чего её, по сути, и проводили — создание правовой базы для работы международных платёжных систем, включая PayPal, Apple Pay и Google Pay. За простой формулой «теперь можно платить телефоном» стоит несколько разных эффектов. Розничный потребитель получает удобство и привычный мировой стандарт. Турист — возможность тратить деньги без обмена валюты и поиска банкоматов, а это прямой эффект на доходы гостиничного и ресторанного сектора. Узбекский фрилансер или малый онлайн-предприниматель — легальный канал получения и отправки денег через PayPal вместо посредников, на которых уходила часть дохода и которые создавали юридические риски.
Спрос на эти изменения формировался не последний год. Еще в октябре 2024 года правительство утвердило меры для «эффективного использования туристического потенциала Узбекистана». Комитет по туризму, Центробанк и Минцифры должны были провести переговоры с Alipay, Apple Pay, Google Pay, Paypal, Unipay об их подключении к платежным системам и сервисам Узбекистана. Тогда переговоры упирались именно в локализацию данных — и вернулись на повестку только после того, как был расчищен юридический фундамент.
Для бизнеса реформа значительнее, чем кажется по новостным заголовкам про оплату телефоном. Требование 2021 года толковалось настолько широко, что под него подпадал почти любой сервис, работающий с пользовательскими аккаунтами. Автор Telegram-канала Kurbanoff.net Шухратбек Курбанов отмечал, что статья 27−1 закона «О персональных данных», введенная в январе 2021 года, обязывает собирать, систематизировать и хранить персональные данные на технических средствах, физически размещенных на территории Узбекистана. Представители бизнеса неоднократно отмечали проблему с исполнением закона о хранении персональных данных. На практике это блокировало целые классы решений. IT-компании, работающие на экспорт, не могли использовать стандартные облачные инструменты SaaS без юридических рисков. Финтех-стартапы упирались в потолок, потому что не могли интегрироваться с международными платёжными провайдерами. Электронная коммерция теряла конверсию, потому что иностранный покупатель, привыкший к Apple Pay, отваливался на этапе оплаты.
И всё это происходило на фоне взрывного роста сектора, для которого устаревшее регулирование становилось всё более очевидным тормозом. По данным отраслевой статистики, за последние пять лет количество телекоммуникационных и IT-компаний увеличилось в 1,8 раза. На начало 2023 года в республике работают более 12 тысяч предприятий ИКТ. В отрасли занято свыше 100 тыс. человек. У отрасли был чёткий запрос на интеграцию в глобальный рынок, а законодательство тянуло в противоположную сторону, и противоречие нарастало с каждым годом.
Новый закон выглядит изолированной нормой только на первый взгляд. По сути это финальный аккорд процесса, который шёл несколько лет. Всемирный банк ещё несколько лет назад указывал, что более гибкие правила работы с данными способствовали бы развитию цифровой экономики. Эксперты на отраслевых площадках в 2024 году настаивали на пересмотре подхода к локализации, чтобы избежать избыточного регулирования. Финальную точку поставила геополитика. «Есть вопросы хранения персональных данных и регулирования цифровых платформ. Мы совместно с американскими партнерами завершаем работы по обновлению законодательства. Это создаст возможности для запуска глобальных международных систем Apple Pay и Google Pay, а также создания цифровой академии и сети стартап-хабов», — рассказал президент на встрече с американскими компаниями в Вашингтоне в ноябре 2025 года. Реформа была публично обещана за океаном, и через четыре месяца исполнена — что само по себе говорит о её приоритете для верхнего эшелона власти.
Но закон — это лишь рамка, и аналитически важно зафиксировать несколько уязвимых точек, от которых зависит реальный эффект. Первая связана с подзаконным регулированием. Какие страны Кабмин признает адекватными, какие международные стандарты войдут в утверждённый перечень, как именно будут выглядеть стандартные договорные условия — все эти вопросы остаются открытыми, и от ответов на них зависит, придут ли на рынок Apple, Google и PayPal в течение полугода или процедуры окажутся настолько громоздкими, что на практике сохранят прежние барьеры. Здесь возможен сценарий, когда либеральная норма закона нейтрализуется консервативной практикой её применения.
Вторая уязвимость касается защиты пользователей. Когда данные узбекистанца обрабатываются на сервере в другой стране, формально применяется уже не узбекское право, и эффективность защиты зависит от того, насколько серьёзно регулятор будет проверять адекватность иностранных юрисдикций и насколько прозрачны окажутся механизмы рассмотрения жалоб граждан. Без отлаженного межведомственного взаимодействия и без понятных пользователю процедур обжалования теоретическая защита может остаться теоретической.
Третья задача — цифровая грамотность населения. Чем больше сервисов работают с данными жителей, тем выше цена ошибки самого пользователя. Открытие рынка без параллельной работы с грамотностью означает рост рисков фишинга, мошенничества и утечек. И это не абстрактный риск, а закономерный побочный эффект быстрого расширения цифровой инфраструктуры, который наблюдался во всех странах, проходивших через аналогичные реформы.
Поправки 2026 года — это не просто техническая правка одного закона, а смена философии. Узбекистан переходит от закрытого периметра к управляемой открытости, от логики «всё своё» к логике доверия с проверкой. Государство официально заявило, что хочет быть частью глобальной цифровой инфраструктуры, а не её обочиной, и сделало это в формате, понятном и инвесторам, и международным регуляторам. Сработает ли реформа, покажут не пресс-релизы, а первая транзакция Apple Pay в ташкентском кафе, первый узбекский фрилансер, получивший гонорар через PayPal без обходных схем, и первая компания, которая решит зайти на рынок именно из-за обновленного регулирования. Юридическая дверь открыта. Дальше — вопрос исполнения.