O'zbekiston 213-sonli Qonun:
Bulut Infratuzilmangiz Uchun Bu Nimani Anglatadi
O'zbekistonning 2019 yilda qabul qilingan va o'shandan beri bir necha marta o'zgartirilgan 213-II-sonli «Shaxsiy ma'lumotlar to'g'risida»gi Qonuni nazariy muvofiqlik xavfi emas. O'zbekiston fuqarolarining shaxsiy ma'lumotlarini to'playdigan kompaniyalar — kompaniya qayerda ro'yxatdan o'tishidan qat'iy nazar — bu ma'lumotlarni O'zbekiston ichida jismoniy joylashgan ma'lumotlar bazalarida qayta ishlash va saqlash majburiyatiga ega. Demak, muvofiqlik holatingizni ma'lumotlar bazasi serveri joylashuvi belgilaydi, ilova mantiqi emas.
Qonun aslida nimani qamrab oladi
213-II-sonli Qonun «shaxsiy ma'lumotlar»ni keng ta'riflaydi: ism, pasport raqami, telefon raqami, elektron pochta manzili, biometrik ma'lumotlar, geolokatsiya ma'lumotlari va ma'lum bir shaxsni aniqlash imkonini beruvchi har qanday ma'lumot. Agar ilovangiz o'zbek foydalanuvchilardan bularning birini to'plasa — bu deyarli har qanday iste'molchi ilova va ko'pchilik B2B SaaS vositalari — siz qonun ostiga tushadi.
Ijro etuvchi organ — Shaxsiy ma'lumotlar bo'yicha agentlik. Muvofiqsizlik uchun jarimalar tartibga soluvchi auditlar, ma'lumotlarni qayta ishlash faoliyatini majburiy to'xtatish va o'zbek bozorida faoliyatga potentsial cheklashlarni o'z ichiga oladi.
Eng keng tarqalgan muvofiq bo'lmagan naqsh
-
Asosiy ma'lumotlar bazasi sifatida AWS Frankfurt — Ko'plab o'zbek kompaniyalar AWS eu-central-1 da PostgreSQL yoki MySQL ni ishlatadi va foydalanuvchilari va ilova serverlari O'zbekistonda bo'lganligi sababli ular muvofiq deb hisoblaydi. Yo'q. Muvofiqlik nuqtasi saqlash joyi — va Frankfurt Germaniyada.
-
«Biz shunchaki O'zbekistondan o'qiymiz» — Ma'lumotlarga kirish yo'nalishi qonun uchun ahamiyatsiz. Qonun so'rovlar qayerdan kelib chiqishini emas, ma'lumotlar qaerda saqlanishi va qayta ishlanishini ko'rib chiqadi. Toshkent ilova serveridan Frankfurt ma'lumotlar bazasiga so'rov jo'natish lokallash talabini qondirmaydi.
-
Xorijiy saqlash bilan boshqariladigan SaaS vositalari — Sukut bo'yicha xorijiy jurisdiktsiyalarda shaxsiy ma'lumotlarni saqlaydigan CRM tizimlari, tahlil platformalari va marketing vositalari. AQSh serverlaridagi Salesforce ga o'zbek foydalanuvchi ma'lumotlarini to'g'ri ma'lumotlarni qayta ishlash kelishuvisisz yuborayotgan bo'lsangiz, bu ham 213-sonli Qonun masalasidir.
Muvofiq arxitektura qanday ko'rinadi
Qoida oddiy: O'zbekiston fuqarolarining shaxsiy ma'lumotlarini o'z ichiga olgan asosiy ma'lumotlar bazasi O'zbekiston ichida jismoniy joylashgan serverlarda bo'lishi kerak. Yaxshi xabar: bu qolgan hamma narsa uchun xorijiy infratuzilmadan foydalanishga to'sqinlik qilmaydi. CDN, tahlil quvurlari (anonimlashtirish yoki agregirlashtirilgan ma'lumotlarni qayta ishlash), anonimlashtirish ma'lumotlar to'plamlari bo'yicha ML o'qitish va ilova serverlari shaxsiy ma'lumotlarning kanonik do'koni mamlakatda bo'lsa, qonuniy ravishda O'zbekistondan tashqarida ishlashi mumkin.
Muvofiq arxitektura namunasi
-
O'zbekistonda asosiy ma'lumotlar bazasi — Mamlakatda jismoniy joylashgan serverlarda PostgreSQL yoki MySQL (masalan, Hyper App Toshkent mintaqasi). Shaxsiy ma'lumotlar shu yerda yoziladi va saqlanadi.
-
Anonimlashtirish ma'lumotlari bo'yicha tahlil — Agregirlashtirilgan, identifikatsiya bo'lmagan tahlil xorijiy tahlil platformalariga oqishi mumkin. Asosiy shart: hech qanday shaxsni aniqlash imkonini beruvchi ma'lumotlar mamlakatdan chiqmasligi.
-
Statik aktivlar uchun CDN — Rasmlar, skriptlar va statik fayllar global CDN tugunlaridan tarqatilishi mumkin. Ular shaxsiy ma'lumotlarni o'z ichiga olmaydi.
-
Mamlakatda audit jurnallari — Foydalanuvchi identifikatorlarini o'z ichiga olgan kirish jurnallari ham potentsial tartibga soluvchi auditlarni qo'llab-quvvatlash uchun O'zbekistonda qolishi kerak.
GDPR analogiyasi — va farqlari
Agar siz YEFI fuqarolari uchun GDPR ma'lumotlar rezidentsiyasi talablari bilan tanish bo'lsangiz, 213-sonli Qonun o'xshash kontseptual modelga amal qiladi: ma'lum bir jurisdiktsiyaning fuqarolarining shaxsiy ma'lumotlari o'sha jurisdiktsiyaning qoidalari ostida qayta ishlanishi kerak. Asosiy farq — ko'lam. GDPR butun YeIni qamrab oladi va chegara ortidagi ma'lumotlar uzatish mexanizmlarining keng doirasi bilan kengaytirilgan tizimni o'z ichiga oladi. 213-sonli Qonun torroq — u hozirda asosan lokallash talabiga e'tibor beradi. Muvofiqlikning eng oddiy yo'li ham foydalanuvchilar uchun eng yaxshi ishlash yo'lidir: asosiy ma'lumotlar bazasini O'zbekistonda jismoniy joylashgan serverga ko'chirish. Hyper App infratuzilmasida Toshkentdan TTFB 150–250 ms (Frankfurt) dan 8–25 ms ga tushadi.
«Yuridik tekshiruv AWS Frankfurt ma'lumotlar bazamizni ko'rsatguniga qadar muvofiq emasligimizni tushunmadik. Toshkentdagi ma'lumotlar bazasiga ko'chish AWS da qolish uchun tayyorlashimiz kerak bo'lgan yuridik hujjatlardan tezroq bo'ldi.»
— CTO, o'zbek FinTex platformasi