Giriş

Fərdi məlumatlar şəxsin kimliyini birbaşa və ya dolayısı ilə müəyyənləşdirməyə imkan verən məlumatlardır və onların Azərbaycan Respublikasının dövlət sərhədindən beynəlxalq təşkilatlara, başqa ölkələrin dövlət və ya yerli özünüidarə orqanlarına, hüquqi və ya fiziki şəxslərinə verilməsi fərdi məlumatların transsərhəd ötürülməsidir.¹ Transsərhəd ötürülmənin tənzimlənməsinin əsas səbəbi məlumatın sərhədi keçdikdən sonra onun üzərində milli hüquqi nəzarətin itməsidir. Azərbaycan qanunvericiliyində bu sahəyə dair ümumi prinsiplər təsbit edilsə də, praktikada necə həyata keçirilməli olmasına dair mexanizmlər tam şəkildə konkretləşdirilməmişdir, bu isə qanunvericilikdə boşluqlara yol açır. Özbəkistan Respublikasının bu yaxınlarda müvafiq sahədəqəbul etdiyi yeni qanunvericilik aktları isə ölkə ərazisində saxlanılması məcburi olan məlumatları və transsərhəd ötürülmənin mexanizmini konkret olaraq müəyyən edir və bu yeni qaydalar Azərbaycan üçün müqayisəli nümunə kimi diqqət çəkir.

I. Özbəkistan nəyi və necə dəyişdi?

Əvvəlcə, Özbəkistanın fərdi məlumatların ölkə daxilində saxlanılması və transsərhəd ötürülməsi ilə bağlı məhdudlaşdırıcı yanaşmasının icazəverici formaya dəyişiklik keçirməsinə baxaq. Daha sonra isə, diqqətimizi sözügedən dəyişikliklərin Azərbaycan qanunvericiliyi ilə müqayisəsinə yönəldək.

A. Özbəkistan Respublikasının 26 mart 2026-cı il tarixli ÖRQ-1125 saylı Qanunu²

Əsas dəyişikliklərin aparıldığı qanunvericilik aktı olan “Fərdi məlumatlar haqqında" Özbəkistan Respublikası Qanununun həm əvvəlki, həm də dəyişiklikləri nəzərdə tutan yeni redaksiyanın mətnlərinə nəzər yetirək. Əvvəlki redaksiyasında 27-1-ci maddə fərdi məlumatların ölkə ərazisində saxlanılması və işlənilməsini nəzərdə tutan vahid bir öhdəlik müəyyən edirdi. Yeni redaksiyada isə maddənin həm adı, həm də məzmunu dəyişdirilərək daha fərqli yanaşma tətbiq edilmişdir. Belə ki, məlumatların ölkə daxilində məcburi saxlanılması yalnız müəyyən kateqoriyadan olan fərdi məlumatlara şamil edilir, digər məlumatların isə müəyyən şərtlərlə xaricdə saxlanılmasına və işlənilməsinə imkan verilir.

Aşağıdakı cədvəl redaksiyalar arasındakı fərqləri nümayiş etdirir:

İki mətnin müqayisəsi göstərir ki, yeni redaksiya fərdi məlumatların mühafizəsini tamam başqa məntiq üzərində qurur və fərqlər üç istiqamətdə aydın görünür:

Birincisi, meyar vətəndaşlıqdan məlumatın növünə keçmişdir. Əvvəl Özbəkistan vətəndaşına aid istənilən məlumat, növündən və həssaslıq dərəcəsindən asılı olmayaraq, ölkə daxilində saxlanmalı idi. Yeni redaksiyada isə tələb yalnız üç kateqoriyaya şamil olunur: biometrik məlumatlar, genetik məlumatlar və Özbəkistanda fəaliyyət göstərən telekommunikasiya operatorlarının istifadəçilərinə aid məlumatlar.

İkincisi, məhdudlaşdırıcı formada olan norma icazəvericisi ilə əvəzlənmişdir. Əvvəlki mətn bir qayda olaraq fərdi məlumatların ölkə daxilində saxlanılmasını müəyyən edir, ona alternativ mexanizm və ya istisna nəzərdə tutmurdu. İndi isə yuxarıdakı üç kateqoriyaya daxil olmayan məlumatlar aşağıda göstərilən hər hansı şərtdən biri yerinə yetirildikdə ölkədən kənarda saxlanıla və işlənilə bilər:

1) xarici dövlətin eyni səviyyədə mühafizəni təmin edən dövlət kimi tanınması (müvafiq dövlətlərin siyahısı “Xarici dövlətlərin fərdi məlumatların adekvat mühafizəsini təmin edən dövlətlər siyahısının təsdiq edilməsi haqqında” Özbəkistan Respublikası Nazirlər Kabinetinin 29 iyul 2026-cı il tarixli 415 saylı Qərarı ilə müəyyən edilir);

2) operator tərəfindən standart müqavilə şərtlərinin və ya məcburi korporativ qaydaların qəbul edilməsi və onlara riayət olunması;

3) səlahiyyətli orqanın təsdiqlədiyi beynəlxalq standartlara əməl olunması.

Üçüncüsü, fərdi məlumat bazalarının dövlət reyestrində qeydiyyatı öhdəliyi daraldılmışdır. Əvvəl sözügedən öhdəlik məlumatların ölkə daxilində saxlanılması tələbinin ayrılmaz hissəsi idi və vətəndaşların fərdi məlumatlarını işləyən bütün bazaları əhatə edirdi. Lakin, artıq dövlət reyestrində yalnız 27-1-ci maddənin ikinci hissəsinə əsasən, ölkədə saxlanılması məcburi olan fərdi məlumat bazaları qeydiyyatdan keçməlidir.

Aşağıdakı cədvəl dəyişiklikdən sonrakı vəziyyəti ümumiləşdirir:

Nəticədə, Özbəkistan postsovet məkanında Rusiyanın yanaşması kimi tanınan fərdi məlumatların ölkə daxilində saxlanılması modelindən uzaqlaşaraq “Məlumatların Mühafizəsinə dair Ümumi Qaydalar”-ın (GDPR) məntiqinə yaxınlaşır.³ Fərdi məlumatların ölkə daxilində saxlanılması tələbi tamamilə ləğv olunmasa da, həssas məlumatlarla və müvafiq strateji sektorla məhdudlaşdırılmışdır.

B. Özbəkistan Respublikasının Nazirlər Kabinetinin 29 iyul 2026-cı il tarixli 415 saylı Qərarı⁴

415 saylı Nazirlər Kabinetinin Qərarı isə transsərhəd ötürülməyə icazə verilən xarici dövlətlərin müəyyən edilməsi mexanizmini konkretləşdirir. Belə ki, xarici dövlətin fərdi məlumatların eyni səviyyədə mühafizəsini təmin edən dövlətlərin siyahısına 49 dövlət və ərazi daxil edilmişdir. Fərdi məlumatların ABŞ-yə ötürülməsi üçün icazə yalnız “Aİ-ABŞ Məlumatların Məxfiliyi Çərçivəsi" (DPF) çərçivəsində fəaliyyət göstərən şirkətlər üçün tanınır. Siyahıdakı ölkələrə ötürülmə əlavə icazəsiz, bildirişsiz və avtomatik həyata keçirilir.

Əlavə olaraq, müvafiq Qərara əsasən, məlumat sızması aşkarlandıqda operator 24 saat ərzində xəbər verməli, 72 saat ərzində isə ətraflı hesabat təqdim etməlidir. Səlahiyyətli orqan kimi Özbəkistan Respublikasının Daxili İşlər Nazirliyi yanında Miqrasiya və fərdiləşdirmə departamenti müəyyən edilmişdir.

Diqqətçəkən məqam odur ki, Qərar Özbəkistan Respublikasının Xarici İşlər Nazirliyinə üç ay müddətində “Fərdi məlumatların avtomatlaşdırılmış qaydada işlənməsi ilə əlaqədar şəxslərin qorunması haqqında” 108 saylı Konvensiyaya qoşulma üzrə təklif hazırlamağı tapşırır. Yəni Özbəkistan həm daxili mexanizmi qurur, həm də başqa dövlətlərin adekvatlıq siyahılarına düşmək üçün beynəlxalq əsas yaratmağa çalışır. (Qeyd etmək lazımdır ki, Qərarın mətnində Konvensiya səhvən Avropa İttifaqının sənədi kimi göstərilmişdir. Sözügedən akt 1981-ci il Strasburq Konvensiyasıdır və Avropa Şurasının aktıdır.)

II. Azərbaycan Respublikasının müvafiq qanunvericiliyindəki vəziyyət

“Fərdi məlumatlar haqqında” Azərbaycan Respublikasının Qanununa əsasən, fərdi məlumatların ölkə daxilində saxlanılmasına dair mütləq tələb nəzərdə tutulmur. Transsərhəd ötürülmə məsələsində isə sözügedən Qanunun 14-cü maddəsi bunu iki halda qadağan edir: 1) milli təhlükəsizliyə təhdid yarandıqda; 2) qəbul edən ölkənin qanunvericiliyi Azərbaycan qanunvericiliyi ilə müəyyən edilmiş səviyyədə mühafizəni təmin etmədikdə. Subyektin razılığı və ya onun həyat və sağlamlığının qorunması zərurəti olduqda isə ötürülmə mühafizə səviyyəsindən asılı olmayaraq mümkündür.

Prinsip etibarilə Özbəkistanla oxşar yanaşmadan çıxış etsə də, Azərbaycan qanunvericiliyində tətbiq edilmə mexanizmi təmin edilməmişdir. Birincisi, qiymətləndirmənin subyekti və meyarı müəyyən edilməmişdir. Qanun mühafizə səviyyəsinin “eyni” olmasını tələb edir, lakin bunu kimin, hansı meyarlarla və hansı prosedurla qiymətləndirəcəyini göstərmir. Nəticədə hər bir mülkiyyətçi və operator xarici ölkənin bütöv hüquq sistemini özü qiymətləndirmək məcburiyyətində qalır və eyni ölkə barədə fərqli qənaətlərə gəlinməsi qaçılmaz olur. Özbəkistan isə bu problemi Nazirlər Kabinetinin təsdiqlədiyi siyahı ilə həll edir.

İkincisi, mühafizə səviyyəsi kifayət etmədikdə istifadə oluna biləcək alternativ alət nəzərdə tutulmamışdır. Azərbaycan qanunvericiliyində standart müqavilə şərtləri və məcburi korporativ qaydalar mövcud deyil. Bu isə o deməkdir ki, ötürülmə ya tamamilə mümkündür, ya da tamamilə qadağandır. Aralıq həlli yoxdur. Halbuki fərdi məlumatların mühafizəsinə dair boşluqlar məhz bu aralıq həll vasitəsilə, yəni müqavilə öhdəlikləri, texniki tədbirlər və audit imkanı ilə doldurulur. Özbəkistanın yeni redaksiyası operatora bu imkanı verir və bu şərtlərin məzmununun səlahiyyətli orqan tərəfindən təsdiqlənməsini nəzərdə tutmaqla həm biznesə müəyyənlik, həm də dövlətə nəzarət imkanı yaradır.

Üçüncüsü, alternativ alət olmadığı üçün praktikada yeganə çıxış yolu kimi subyektin razılığı qalır. Razılığın bu cür həlledici rol oynaması isə formal və oxunmadan qəbul edilən razılıq mətnlərinə gətirib çıxarır. Bu da faktiki mühafizə deyil, sadəcə onun görüntüsünü yaratmaqdır.

Qeyd edilməlidir ki, Azərbaycan qanunvericiliyində fərdi məlumatların ötürülməsi zamanı baş verən məlumat sızması ilə bağlı bildiriş öhdəliyi müəyyən edilməmişdir. Bu isə tənzimləməni bütövlükdə ötürülmədən əvvəlki mərhələ ilə məhdudlaşdırır. Məlumat sərhədi keçdikdən sonra baş verənlər hüquqi müstəvidən kənarda qalır. Özbəkistan qanunvericiliyindəki 24 və 72 saatlıq bildiriş qaydaları isə nəzarəti ötürülmədən sonrakı mərhələyə də şamil edir və pozuntunun nəticələrinin vaxtında məhdudlaşdırılmasına imkan verir.

Nəticə

Özbəkistan təcrübəsi göstərir ki, transsərhəd ötürülmənin effektiv tənzimlənməsi mümkündür. Azərbaycanda hazırda yalnız prinsip mövcuddur, mexanizm isə müəyyən edilməmişdir. Müvafiq qanunvericilikdə mövcud olan qeyri-müəyyənlik vəziyyəti həm dövlət, həm də biznes üçün əlverişsizdir. Bulud xidmətləri, xarici ödəniş sistemləri və xarici rezidentlərə verilən autsorsinq xidmətləri gündəlik olaraq həyata keçirilir və bu əməliyyatların hər biri hüquqi qeyri-müəyyənlik şəraitində aparılır. Qanuna əməl etmək istəyən şirkət nə edəcəyini bilmir, digər tərəfdən ona məhəl qoymayan şirkətə münasibətdə isə heç bir sanksiya tətbiq oluna bilmir. Ölkələrin konkret siyahısı, standart müqavilə şərtləri və bildiriş qaydalarının təsbit edilməsi həm hüquqi müəyyənliyə töhfə verə bilər, həm də subyektin hüquqlarının müdafiəsini gücləndirə bilər.