Биометрические данные должны храниться в Узбекистане: что проверить финтех-компаниям

Биометрические данные клиентов, используемые небанковскими кредитными организациями для идентификации и аутентификации, теперь должны храниться на территории Узбекистана. Требования информационной безопасности также распространены на организации, предоставляющие гарантии, и факторинговые компании.

Изменения затрагивают не только место расположения базы. Финтех-компаниям придётся проверить всю цепочку обработки: мобильное приложение, SDK распознавания, облако, резервные копии, журналы и работу подрядчиков.

Кого касается изменение

Поправки внесены в минимальные требования к информационной безопасности небанковских кредитных организаций. Помимо микрофинансовых организаций, ломбардов и ипотечных рефинансирующих организаций, положение теперь применяется к гарантийным и факторинговым организациям.

Постановление Центрального банка было принято 22 июля 2026 года, зарегистрировано Министерством юстиции 5 августа и вступило в силу на следующий день.

Что считать биометрией

В реальной системе биометрия — это не только фотография лица. В контуре могут находиться видеозапись проверки, шаблон признаков, результат проверки «живости», служебные метаданные и журналы решений. Юридическую классификацию каждого элемента необходимо подтвердить с профильным специалистом, но техническая инвентаризация должна охватывать всё.

Чек-лист для компании

1. Постройте карту потоков данных. От момента съёмки в приложении до хранения, резервирования и удаления.
2. Проверьте поставщиков. Узнайте, отправляет ли SDK кадры, шаблоны или телеметрию на зарубежные серверы.
3. Разделите типы данных. Биометрия должна храниться в Узбекистане; для остальных персональных данных действуют отдельные условия трансграничной обработки.
4. Проверьте копии. Локализация касается не только основной базы, но и бэкапов, логов, тестовых наборов и систем аналитики.
5. Ограничьте доступ. Введите минимальные привилегии, MFA, журналирование и регулярный пересмотр прав.
6. Уточните сроки хранения. Не сохраняйте исходные изображения бессрочно только потому, что это технически удобно.

Облако остаётся возможным

Локализация не обязательно означает собственный сервер в офисе. Возможна облачная инфраструктура, если фактическое хранение и обработка соответствующих данных происходят в Узбекистане, а договор и техническая архитектура позволяют это доказать.

Особое внимание нужно уделить системам мониторинга: даже если основная база локальна, фрагменты данных могут попадать в иностранные сервисы через логи ошибок, аналитику сессий или техническую поддержку.

Почему это важно для интеграторов ИИ

Биометрические решения всё чаще используют модели компьютерного зрения. Интегратор должен документировать версию модели, пороги принятия решения, качество на разных устройствах и защиту от подделок. Нужен также резервный сценарий для клиента, которого система распознаёт ошибочно.

Практический следующий шаг

Начать стоит с совместной сессии юриста, архитектора, специалиста по ИБ и владельца продукта. Результатом должны стать актуальная схема данных, перечень несоответствий, план миграции и доказательства выполнения требований. Это полезнее, чем формальная галочка в политике конфиденциальности.

Источники: Spot и нормативные документы, на которые ссылается публикация. Материал не является юридической консультацией.