База клиентов и персональные данные: что знать предпринимателю

Каждая заявка, номер телефона на кассе и имя в Telegram-боте — это персональные данные. Правила работы с базой клиентов и персональными данными касаются не только банков: мебельный магазин, клиника и учебный центр подпадают под них точно так же. Разберём простыми словами, что написано в законе, что изменилось в марте 2026 года и как навести порядок в базе за один день.

Эта статья — не юридическая консультация. Мы пересказываем закон языком предпринимателя. В сложных ситуациях посоветуйтесь с юристом.

Какой закон и кого он касается

Основной документ — Закон «О персональных данных» № ЗРУ-547 от 2 июля 2019 года (lex.uz). В нём три ключевые роли:

Роль	Кто это	Простыми словами
Собственник базы	Лицо или компания, которая владеет базой и пользуется ею	Чей список клиентов — тот и собственник
Оператор	Лицо или компания, которая собирает, хранит и обрабатывает данные	Чаще всего сам бизнес; иногда CRM-сервис или колл-центр
Субъект	Тот, о ком данные	Ваш клиент

Персональные данные — любая информация, по которой можно определить человека: имя, телефон, адрес, дата рождения, история покупок. Значит, 500 номеров в Excel, карточки клиентов в CRM и заявки в боте — это база персональных данных.

Кого это касается особенно:

Магазины, которые собирают номера на кассе и рассылают акции.
Клиники и стоматологии — здесь есть медицинские данные, а они в законе относятся к специальной категории.
Учебные центры и автошколы — часто работают с данными несовершеннолетних.
Застройщики и автосалоны — заключают договоры с паспортными данными.

Согласие: как получить и как доказать

По статье 21 закона согласие может быть дано в любой форме, позволяющей доказать факт его получения. Для специальных данных (например, о здоровье) нужно письменное согласие, в том числе в форме электронного документа. За несовершеннолетнего согласие дают родители или опекуны.

Ключевое слово — доказать. Фраза «клиент устно согласился» при проверке не поможет. На практике:

В лид-форме — отдельная, не отмеченная заранее галочка: «Согласен на использование моих данных для связи по заявке». Рядом — ссылка на политику конфиденциальности.
В Telegram-боте — в конце заявки вопрос о согласии и кнопка «Да», ответ сохраняется со временем. Как собрать такого бота — в статье Сбор заявок через Telegram-бота.
На кассе и ресепшене — короткая бумажная анкета или подпись на планшете.
В клинике — отдельное письменное согласие на обработку медицинских данных.

Согласие привязано к цели. Если клиент согласился, чтобы ему «перезвонили по заявке», это ещё не согласие на рекламные SMS. С 1 ноября 2026 года для рекламных SMS нужно отдельное согласие — подробно об этом в статье Рекламные SMS: новые правила.

Клиент может и отозвать согласие: по закону — в той же форме, в которой давал, или письменно. Поэтому просьбу «больше мне не пишите» сразу отмечайте в CRM.

Госреестр: регистрация базы

По статье 20 закона базы персональных данных регистрируются в Государственном реестре путём уведомления уполномоченного органа. Если данные регистрации изменились, собственник и оператор сообщают об этом в течение 10 календарных дней. В законе есть исключения (например, данные, которые используются только для разового входа на сайт).

По открытым источникам, заявление подают через портал pd.gov.uz с входом через систему идентификации электронного правительства (id.gov.uz); на портале госуслуг тоже есть услуга «Регистрация базы персональных данных в Государственном реестре». Перед подачей опишите свою базу:

Какие данные собираете (имя, телефон, адрес, паспорт, медицинские данные).
С какой целью (заявка, договор, доставка, реклама).
Где хранятся (CRM, Google Sheets, свой сервер).
У кого есть доступ и кому данные передаются.
Сколько они хранятся.

Этот список нужен не только для реестра — он же станет вашим внутренним регламентом.

Март 2026: где теперь можно хранить данные

С 2021 года в законе было требование хранить персональные данные граждан Узбекистана на серверах внутри страны (статья 27¹). Для бизнеса с зарубежной CRM и облачными сервисами это было вопросом.

26 марта 2026 года подписаны поправки, они вступили в силу 27 марта (Kun.uz). Теперь обязательно хранить в Узбекистане только:

биометрические данные;
генетические данные;
данные пользователей услуг телеком-операторов, работающих в Узбекистане.

Остальные персональные данные можно хранить и обрабатывать за рубежом при выполнении одного из условий: страна признана обеспечивающей равнозначную защиту (перечень утверждает Кабинет министров); оператор принял стандартные договорные условия или обязательные корпоративные правила, утверждённые уполномоченным органом; оператор соблюдает международные стандарты управления данными.

Что это значит для магазина или клиники: перед тем как пользоваться зарубежной CRM или облачной таблицей, проверьте, в какой стране сервис хранит данные и каким стандартам следует. А биометрия — вход по лицу, учёт посещений по отпечатку пальца — хранится только в Узбекистане.

Хранение, удаление и права клиента

Закон не разрешает хранить данные вечно «на всякий случай». Они хранятся столько, сколько нужно для цели сбора. Когда цель достигнута, согласие отозвано или истёк срок согласия, данные должны быть уничтожены (статьи 17 и 31).

Основные права клиента и ваши сроки:

Запрос клиента	Что говорит закон	Что делать вам
«Какие данные обо мне у вас есть?»	Субъект вправе знать о своих данных и целях их обработки	Заранее назначьте, кто отвечает
«У меня новый номер, исправьте»	Изменения вносятся в течение 3 дней после запроса	Быстрое редактирование в CRM
«Удалите мои данные»	Можно требовать удаления, если данные неточны, устарели или больше не нужны	Порядок удаления и ответственный сотрудник
Передача третьим лицам	Субъекта уведомляют письменно в течение 3 дней	Подумайте, прежде чем отдавать базу партнёру

Последняя строка для многих неожиданна. «Давайте отдадим нашу базу партнёрскому магазину» — это не просто маркетинговая идея, а действие с юридическими требованиями.

5 самых частых ошибок в маркетинге

Купленная база. Кто-то продаёт «10 тысяч номеров». Эти люди не давали вам согласия — писать им рискованно и с точки зрения закона, и для репутации.
Полный доступ у всех сотрудников. Уволившийся менеджер уносит базу с собой. Давайте доступ по ролям и сразу закрывайте старые аккаунты.
База в открытой Google-таблице. Настройка «Просматривать может любой, у кого есть ссылка» — самый простой путь к утечке. Давайте доступ только именным аккаунтам.
Согласие спрятано в форме. Заранее отмеченная галочка или мелкий текст на третьей странице — слабое доказательство согласия.
Загрузка базы в рекламный кабинет без раздумий. Сделать в Meta lookalike-аудиторию по списку клиентов полезно, но это тоже передача данных третьей стороне. Укажите рекламные цели в тексте согласия и при необходимости проверьте его с юристом.

Ответственность: чем вы рискуете

За нарушение законодательства о персональных данных предусмотрен штраф по статье 46² Кодекса об административной ответственности. По данным Kun.uz, с 30 января 2022 года штраф для граждан — 7 БРВ, для должностных лиц — 50 БРВ (Kun.uz). Если после административного наказания нарушение повторяется, возможна и уголовная ответственность по статье 141² Уголовного кодекса. Действующую редакцию статей проверьте на lex.uz.

Кроме штрафа есть ещё один риск — доверие. Одна новость об утечке базы быстро расходится по соцсетям, а восстановление репутации в интернете занимает месяцы.

Чек-лист на один день

Собрал все базы (CRM, Excel, бот, касса) в один список
Для каждой базы записал цель, место хранения и срок
Поставил отдельную галочку согласия в лид-форме, боте и анкете
Сохраняю, когда и где дано согласие
Отделил согласие на рекламу от согласия на обработку заявки
Пересмотрел права доступа по ролям, удалил уволившихся
Закрыл таблицы с доступом по ссылке
Проверил, где хранит данные зарубежная CRM или облако
Обсудил с юристом регистрацию базы в реестре
Определил, кто и как отвечает на просьбу «удалите мои данные»

Вопросы и ответы

У меня небольшой магазин и 300 номеров. Меня это тоже касается? Да. Закон не делит базы по размеру. Но и работы для малого бизнеса немного: собирать согласие, ограничить доступ и удалить лишнее — дело одного дня.

Можно ли пользоваться зарубежной CRM? С 27 марта 2026 года все данные, кроме биометрических, генетических и данных пользователей телеком-операторов, можно хранить за рубежом при соблюдении условий из закона. Проверьте, в какой стране сервис хранит данные и каким стандартам следует.

Клиент просит удалить его данные. Что делать? Удалите данные из CRM, таблиц и рекламных аудиторий, затем ответьте клиенту. Если данные нужно хранить по закону (например, договоры или бухгалтерские документы), объясните это клиенту.

Номер телефона сам по себе — персональные данные? Если по нему можно определить человека — да. Особенно когда номер хранится вместе с именем, историей покупок или адресом.

Что писать в форме, когда собираем заявки с рекламы? Короткий и понятный текст: кто получит данные, зачем и как клиент может отказаться. О выборе между лид-формой и сообщениями — в статье Лид-форма или сообщения в Direct.

Вывод

База клиентов — один из самых ценных активов бизнеса, и закон определяет, как ею пользоваться: собирать с согласием, использовать по назначению, защищать и удалять, когда она больше не нужна. Мартовские поправки 2026 года упростили работу с зарубежными сервисами, но требования о согласии и реестре остались. Выделите один день, пройдите чек-лист — и база станет и законной, и полезной для маркетинга.

В Level Marketing, настраивая рекламные кампании, мы заранее продумываем, куда попадают заявки и как собирается согласие, — так базой потом можно пользоваться безопасно.