Shaxsga doir maʼlumotlar: tizim sozlamalariga qonun talablari

Gipotetik holat. Direktor texnik mutaxassisdan soʻraydi: bizning tizim qonunga mosmi? Savol oddiy. Mutaxassis qonunni ochadi va bu savolga bevosita javob topa olmaydi, chunki qonun tizim emas, harakatlar haqida yozadi. Qonunning 4-moddasida ishlov berish shunday sanaladi: yigʻish, tizimlashtirish, saqlash, oʻzgartirish, toʻldirish, foydalanish, berish, tarqatish, uzatish, egasizlantirish va yoʻq qilish. Har bir soʻz tizimda bitta imkoniyatga aylanadi, shu yoʻldan boramiz.

Asosiy hujjat 2019 yil 2 iyuldagi OʻRQ-547 qonuni. lex.uz dagi eng yangi tahrir 2026 yil 12 sentyabrga tegishli, 2026 yilda qonunga uchta oʻzgartirish kiritilgan. Texnik tafsilotlar qonunning oʻzida emas, ikki pastki hujjatda. Birinchisi Adliya vazirining 2023 yil 15 noyabrdagi 20-mh-son buyrugʻi bilan tasdiqlangan namunaviy tartib, ikkinchisi Vazirlar Mahkamasining 2022 yil 5 oktyabrdagi 570-son qarori. Rozilik va marketing masalalari boshqa maqolalarda koʻrilgan, bu yerda faqat tizimga tegishli talablar olinadi.

Yigʻish: faqat zarur va yetarli

Qonunga koʻra, maʼlumotlar bazasi egasi yoki operatorining vazifalari uchun zarur va yetarli maʼlumotni yigʻish yoʻli bilan shakllantiriladi. Amalda bu forma yoki kartochkadagi har bir maydon uchun savol: bu maʼlumot qaysi vazifa uchun kerak. Maqsadlar yigʻish paytida oldindan bildiriladi, maqsad oʻzgarsa, subyektning yangi roziligi talab qilinadi. Namunaviy tartib yana bir qoida qoʻshadi: maqsadlari bir-biriga mos kelmaydigan bazalarni birlashtirishga yoʻl qoʻyilmaydi.

Bu qoida ERP kabi tizimlarda sezilarli boʻladi. Sotuv, kadrlar va marketing maʼlumotlari bitta bazada tursa, ularni qaysi maqsad bilan bogʻlash va qaysi maydonlarni ikkinchi maqsadga ishlatmaslik tizim sozlamalarida ajratilishi kerak. Bu tahririyat xulosasi: normaning aynan ERP bazalariga qanday qoʻllanishi matnda aytilmagan.

Xodimlar va boshqa shaxslar: alohida bazami

570-son qarorining nizomi bir qoidani beradi, uni tizim arxitekturasi uchun oʻqish kerak. Gap bazalarni boʻlish haqida. Egasi yoki operator xodimlarining shaxsga doir maʼlumotlar bazasida faqat xodimlarning maʼlumoti ishlov beriladi, xodim boʻlmagan subyektlarning maʼlumoti esa alohida bazada. Matn bitta bazada ham xodim, ham mijoz turadigan tizimlarga bu qoida qanday tatbiq etilishini aytmaydi, shuning uchun savolni mutaxassis va yurist birga hal qiladi.

Kim koʻradi: huquqlar roʻyxati

Qonunga koʻra, xodimlar maʼlumotdan faqat oʻz kasbiy, xizmat yoki mehnat majburiyatlariga muvofiq foydalanadi va oshkor etmaslik majburiyatiga ega. Namunaviy tartib texnik choralarni sanaydi: ishlov berish yoki kirish huquqiga ega shaxslarni belgilash, foydalanuvchilarni aniqlash va tasdiqlash vositalaridan foydalanish. 570-son qarori bundan aniqroq: kirish huquqiga ega shaxslar roʻyxatini belgilaydigan hujjat rahbar tomonidan tasdiqlanadi.

Bu rol matritsasiga va umumiy loginsiz ishlashga olib keladi. Kirish huquqi lavozimga bogʻlanmagan va foydalanuvchi aniq odam boʻlmagan tizimda roʻyxatdagi shaxs degan tushunchaning oʻzi yoʻq. Bu tahririyat xulosasi, rol modeli va audit jurnali esa boshqa maqolalarda alohida koʻrilgan.

Jurnal va yaxlitlik nazorati

Namunaviy tartib maʼlumotlar bazasini boshqarish tizimining hodisalar jurnalini yuritishni, ochiq boʻlmagan maʼlumotga kirish huquqi bor foydalanuvchilar harakatlarini qayd etishni va yaxlitlik nazorati vositalarini qoʻllashni sanaydi. Yana ikki band: ochiq boʻlmagan maʼlumotni xavfsiz aloqa kanallari va shifrlash orqali berish hamda ishonchli saqlash uchun kriptografik himoya vositalaridan foydalanish.

Qaror bu darajani bosqichma-bosqich oshiradi. Ikkinchi darajada jurnaldagi maʼlumotga faqat ish vazifasi bilan bogʻliq xodimlar kira oladi, birinchi darajada esa xodim vakolatlarining oʻzgarishi elektron xavfsizlik jurnaliga avtomatik yoziladi. Demak, jurnal faqat harakatlarni emas, huquqlarning oʻzgarishini ham qayd etadi.

Himoya darajalari: toʻrt pogʻona

570-son qarori maʼlumotlar bazasi uchun toʻrtta himoya darajasi belgilaydi. Daraja ikki narsaga bogʻliq: tahdid turi va maʼlumot turi. Tahdid turlari tizimli yoki amaliy dasturiy taʼminotda eʼlon qilinmagan imkoniyatlar bor-yoʻqligi bilan farqlanadi, turini egasi yoki operatorning oʻzi belgilaydi. Maʼlumotlar esa maxsus, biometrik, genetik va hamma foydalana oladigan maʼlumotlarga ajratiladi. Kichik kompaniya ham, katta tashkilot ham bir xil jadvaldan boshlaydi, farq esa tahdid turida, maʼlumot turida va subyektlar sonida chiqadi.

Birinchi darajaning shartlaridan biri: birinchi tur tahdid mavjud va bazada maxsus, biometrik yoki genetik maʼlumot ishlanadi. Ikkinchi tur tahdidda xodim boʻlmagan 50 000 dan ortiq subyektning maxsus maʼlumoti ishlansa ham birinchi daraja belgilanadi. Eng past, toʻrtinchi daraja uchinchi tur tahdid va faqat hamma foydalana oladigan maʼlumot bilan bogʻliq.

Saqlash, oʻchirish va zaxira nusxalar

Saqlash muddati maʼlumotni yigʻish va unga ishlov berish maqsadiga erishilgan sana bilan belgilanadi. Qonunga koʻra, maʼlumot maqsadga erishilganda, rozilik chaqirib olinganda, rozilikdagi muddat oʻtganda yoki sud qarori kuchga kirganda yoʻq qilinadi. Yoʻq qilish deganda tiklash imkoni qolmaydigan harakat tushuniladi. Namunaviy tartib muddatni uch kun deb belgilaydi, qonunga xilof ishlov berilgan boʻlsa esa talab asosida bir ish kuni ichida.

Bu yerda tizim uchun savol tugʻiladi: oʻchirilgan maʼlumot zaxira nusxada qoladimi? Oddiy savol, ammo javobi muhim. Matn nusxalar haqida gapirmaydi, lekin yoʻq qilishning taʼrifi tiklash imkoni boʻlmasligini talab qiladi. Tahririyat xulosasi shunday: zaxiradan tiklash jarayoni oʻchirishlarni qayta qoʻllashi kerak, aks holda eski maʼlumot tizimga qaytib keladi. Bu talqinni yurist tasdiqlashi kerak, zaxira nusxa mavzusi esa boshqa maqolada.

Subyekt soʻrovi va rozilik isboti

Subyekt oʻz maʼlumotiga ishlov berilishi haqida axborot olishga haqli. Qonun roʻyxatni aniq sanaydi: ishlov berilganligi tasdigʻi, asoslar va maqsadlar, usullar, maʼlumot ochilishi mumkin boʻlgan shaxslar, maʼlumot tarkibi va manbasi, ishlov berish va saqlash muddatlari, transchegaraviy uzatish haqidagi axborot. Axborot berishni rad etish haqidagi xabarnoma oʻn kun ichida yoziladi. Demak, tizim bu javobni qaysi maydon va jurnallardan yigʻishini oldindan bilishi kerak.

Rozilik bilan bogʻliq tizimli talab ham bor: qonunda nazarda tutilgan hollarda egasi yoki operator rozilik olinganligi dalilini taqdim etishi shart. Oddiy qilib aytganda, rozilikning ostida sana, matn va maqsad saqlanishi kerak. Bu tahririyat izohi. Rozilik olingan boʻlsa-yu, uni kim, qachon va qaysi matn asosida bergani koʻrsatilmasa, dalil taqdim etish talabi bajarilmay qoladi, shuning uchun bu yozuvni oddiy qoʻshimcha emas, majburiy maydon deb koʻrish kerak.

Uzatish: kimga va qayerga ketdi

Maʼlumot uchinchi shaxsga berilsa, egasi yoki operator subyektni uch kun ichida yozma xabardor qiladi. Tizim buning uchun beruvchi tomonning izini, yaʼni kimga, qachon va nima berilganini saqlashi kerak. Chet elga uzatish alohida modda: bir xil himoya taʼminlaydigan davlatlarga uzatiladi, boshqalarga esa subyektning roziligi va yana ikki holatda.

Qonunning 27-1-moddasi hozirgi tahriri 2026 yil 26 martdagi OʻRQ-1125 qonuni bilan kiritilgan. Unga koʻra biometrik va genetik maʼlumot hamda telekommunikatsiya operatorlaridagi foydalanuvchilar maʼlumoti Oʻzbekistonda saqlanishi shart. Qolganlari uchun uchta shartdan biri bajarilishi kerak, bu mavzu boshqa maqolada batafsil koʻrilgan. Vazirlar Mahkamasining 2026 yil 29 iyuldagi 415-son qarori yana bir tizimli talab qoʻygan. Uzatish paytida maʼlumot tarqalib ketsa, operator vakolatli organga 24 soat ichida xabar beradi va 72 soat ichida sabablar haqida axborot yuboradi.

Tizim nuqtai nazaridan ikki amaliy savol qoladi: har bir tizimning serveri qaysi davlatda turibdi va unda qanday toifadagi maʼlumot saqlanadi. Bu ikki javobsiz talabni tekshirib boʻlmaydi. Javoblar esa hujjatda, ayniqsa xorijiy bulut xizmatlari ishlatilgan joyda, har doim ham tayyor turmaydi, shuning uchun ularni xizmat koʻrsatuvchining shartnomasi va sozlamalaridan topish kerak boʻladi.

Avtomatik qaror va biometrik maʼlumot

Agar tizim faqat avtomatik ishlov berish asosida odam uchun huquqiy oqibat keltiradigan qaror chiqarsa, qonun alohida qoida qoʻyadi. Odam bunday qarorga duchor etilmaslik huquqiga ega, istisnolar esa yozma rozilik, shartnomani ijro etish yoki qonunda nazarda tutilgan hollar. Egasi qaror tartibini va ehtimoliy oqibatini tushuntirishi, eʼtiroz imkonini berishi va eʼtirozni koʻrib chiqish natijasini oʻn kun ichida yozma bildirishi kerak. Oddiy reklama segmentlari bu tavsifga tushadimi, matn aytmaydi.

Biometrik va genetik maʼlumotga alohida qoida bor: ularni elektron shaklda axborot tizimlaridan tashqarida saqlash faqat ruxsatsiz foydalanishni istisno etadigan moddiy tashuvchilarda mumkin. 570-son qarorining ikkinchi nizomi elektron shakldagi bunday maʼlumot shifrlangan va kriptografik yoki boshqa usullarda himoyalangan boʻlishini talab qiladi.

Amalda nima qilish mumkin

Bu qadamlar qonun va qarorlar matnidan chiqarilgan tahririyat xulosasi, yuridik maslahat emas.

1. Har tizim uchun maʼlumot toifalari va server joylashuvi roʻyxatini tuzing: oddiy, maxsus, biometrik va genetik maʼlumot, xodim va boshqa subyektlar.
2. Har maydonga maqsad va saqlash muddatini yozing, keraksiz maydonlarni olib tashlang.
3. Kirish huquqi roʻyxati hujjatini rahbarga tasdiqlating va tizimdagi rollar bilan solishtiring.
4. Jurnalni yoqing: kirish, oʻzgartirish, eksport va huquqlar oʻzgarishi yozilsin, jurnalga kirish esa cheklansin.
5. Oʻchirish tartibini yozing va uni zaxira nusxalarga qanday qoʻllashni oldindan aniqlang.
6. Bitta odam boʻyicha axborot soʻrovini amalda tuzib chiqing: tizim hamma maʼlumotni qancha vaqtda yigʻa olishini oʻlchang.
7. Maʼlumotga ishlov berish va uni himoya qilish uchun masʼul boʻlinma yoki shaxsni tayinlang va uni yozma hujjatda belgilang.