Закон о персональных данных в РБ: что обязана компания

• 18.09.2026
• ·
• Автор: Вишнякова Надежда
• ·
• Персональные данные

Актуально на 2026 год.

Закон о персональных данных в Беларуси (Закон № 99-З «О защите персональных данных» от 7 мая 2021 года) обязывает каждую компанию и ИП, которые собирают данные клиентов или сотрудников, выполнить пять базовых требований: назначить ответственного за защиту данных, опубликовать политику обработки, брать согласие там, где оно нужно, уведомлять НЦЗПД об обработке специальных данных и об утечках, а также нести ответственность за нарушения — от штрафа до уголовной. Ниже — что именно стоит за каждым пунктом и с чего начать; если нужен готовый пакет документов и аудит — это отдельная услуга.

Кто такой оператор персональных данных

Оператором ПД признается любая компания, ИП или госорган, которые обрабатывают чужую личную информацию. Главным критерием автоматического получения этого статуса является сбор имен, телефонов, email, фотографий клиентов или ведение кадрового учета. При этом закон четко разграничивает роли в бизнес-цепочках:

Оператор — это вы. Вы определяете цели сбора данных и ключевые параметры работы с ними.

Уполномоченное лицо — это ваш сторонний подрядчик (например, хостинг-провайдер, облачная CRM-система или внешняя бухгалтерия).

Даже если утечка или нарушение произошли по вине привлеченного подрядчика, конечную ответственность перед гражданами и регулятором все равно несет сам оператор.

Основные обязанности оператора персональных данных

Требования по персональным данным для бизнеса в Беларуси сводятся к комплексу организационных, технических и правовых мер. Практическое построение такого защитного каркаса — это пошаговое укрепление наиболее уязвимых бизнес-процессов:

1. Опубликовать Политику обработки персональных данных. Это главный открытый документ компании, где четко прописано, зачем вы собираете данные, какие именно и сколько будете их хранить. Ссылка на него должна быть на видном месте на сайте и доступна любому пользователю (как разрабатывается политика).
2. Утвердить внутренние правила игры. Нужны работающие инструкции, положения о конфиденциальности и четкий перечень сотрудников, которые вообще имеют право открывать базы данных.
3. Ознакомить команду под роспись. Каждый сотрудник, работающий с клиентами или базами, должен под подпись изучить внутренние инструкции и требования закона.
4. Вовремя отправить ответственных на учебу. По закону те, кто отвечает в компании за контроль данных, обязаны раз в 5 лет проходить официальные курсы (в НЦЗПД или уполномоченных центрах). Стоит заранее внести это в график и бюджет.
5. Быстро реагировать на утечки. Если произошел технический сбой или данные «утекли», у компании есть всего 3 рабочих дня, чтобы официально сообщить об инциденте в НЦЗПД. Промедление приведет к жестким санкциям.
6. Вовремя удалять лишнее. Хранить базы «на всякий случай» годами нельзя. Как только цель (например, договор или рекламная акция) завершена, данные клиентов нужно безвозвратно удалить.

Согласие субъекта: правила и исключения

Вы не имеете права прикасаться к чужим данным, пока человек не дал на это осознанное согласие. Закон предъявляет к этой процедуре конкретные и жесткие требования.

Каким должно быть законное согласие

Осознанным и добровольным. Человек должен дать согласие без какого-либо давления или скрытых уловок. Нельзя ставить условие: «Не дашь доступ к контактам — не продадим товар», если для самой покупки эти контакты не нужны.

Прозрачным по содержанию. В форме согласия должно быть четко прописано: зачем вы берете данные, что именно будете с ними делать, какая организация их обрабатывает и в какой день документ теряет силу.

Активным. Согласие — это всегда действие со стороны человека: подпись на бумаге, цифровой ключ или клик по кнопке на сайте.

Важнейшее правило для ИТ-систем: галочку в чек-боксе на сайте должен поставить лично пользователь.

Когда запрашивать согласие НЕ нужно

Закон избавляет бизнес от лишней бюрократии в трех главных сценариях, когда сбор данных необходим по самой логике процесса:

Оформление и работа с сотрудниками. При заключении и исполнении стандартного трудового договора собирать отдельные согласия на обработку данных штатного персонала не требуется.

Исполнение коммерческих договоров. Если клиент подписал с вами обычный гражданско-правовой договор (например, купил товар в интернет-магазине), его данные можно использовать для выполнения обязательств (скажем, для доставки курьером) без дополнительных расписок.

Выполнение требований государства. Если закон обязывает вас передать сведения о человеке в налоговую инспекцию, ФСЗН или другие госорганы, спрашивать разрешения у гражданина не нужно.

Ответственное лицо или подразделение

Закон требует, чтобы в компании был назначен конкретный человек или целое подразделение, которое будет контролировать все, что происходит с персональными данными.

Это должен быть не рядовой исполнитель, а сотрудник с реальными рычагами контроля, подчиняющийся напрямую руководителю компании. Вместо абстрактных функций на него ложится вполне конкретный фронт работ: он следит за соблюдением закона, координирует обновление внутренних правил, организует учебу для коллег, принимает заявления от граждан (например, об удалении данных) и официально представляет компанию при контактах с НЦЗПД.

Уведомление и реестр операторов

В стране действует Государственный информационный ресурс «Реестр операторов персональных данных». Это единая цифровая база, куда бизнес обязан подать электронное уведомление, если его процессы выходят за рамки стандартного минимума. Обязательной регистрации в системе НЦЗПД подлежат компании, которые работают по трем ключевым направлениям (подготовка уведомления):

Используют специальные данные. Если вы собираете сведения о здоровье клиентов или сотрудников, используете биометрию (например, сканеры отпечатков пальцев на входе), запрашиваете информацию о судимости или политических взглядах.

Передают данные за рубеж (трансграничный перенос). Это касается компаний, которые отправляют информацию в страны, где уровень защиты данных признан недостаточным (например, используют зарубежные облачные серверы или иностранные ИТ-платформы).

Используют данные для рекламы, маркетинга и программ лояльности. Рассылки, накопительные карты, персональные предложения — обработка данных ради продвижения выходит за рамки исполнения договора и требует уведомления.

Направлять уведомление в госреестр не нужно, если вы используете данные исключительно для ведения кадрового учета (внутри трудовых отношений) или только для исполнения разовых коммерческих договоров с клиентами. Однако, чтобы избежать путаницы при проверках, бизнесу все равно рекомендуется вести собственный внутренний реестр всех ИТ-процессов, где задействована личная информация.

Ответственность за нарушения

Игнорирование требований Закона № 99-З влечет за собой риски по четырем направлениям:

Вывод

Время компромиссов в работе с ПД прошло, поскольку надзорные органы наглядно продемонстрировали готовность применять жесткие санкции. Для белорусского бизнеса это означает, что только грамотный аудит информационных потоков и приведение их в соответствие с законом о персональных данных РБ позволят сохранить операционную стабильность, защитить репутацию и превратить визит инспекторов в безболезненную процедуру. Проведите аудит ПД прямо сейчас, не дожидаясь жалоб клиентов.

Материал носит информационный характер и не заменяет консультацию юриста по вашей ситуации.

Вишнякова Надежда

«Гравис»

Надежда Вишнякова.

Профиль автора