Персональные данные и реестр операторов в Беларуси

Автор: Табала Наталия Николаевна, юрист юридической компании «Экономические споры», специализация — интеллектуальная собственность (товарные знаки, патенты, авторские права), персональные данные, реклама, маркетплейсы, антимонопольное законодательство, аренда и недвижимость, проектирование, налоги, трудовое право. Соавтор: Дзанагова Валерия, помощник юриста юридической компании «Экономические споры».

Статья актуализирована: 10 сентября 2026 года.

Компания хранит отдел кадров с личными делами сотрудников, CRM с телефонами клиентов и форму обратной связи на сайте — и уже на этом основании становится оператором персональных данных, даже если никогда не задумывалась об этом термине. Разбираемся, что из этого статуса реально следует: когда нужен бланк согласия, кому обязательна регистрация в реестре операторов и чем компании рискуют, если этим пренебречь.

Кто такой оператор персональных данных

Оператором персональных данных признается юридическое или физическое лицо, включая индивидуального предпринимателя, которое самостоятельно либо совместно с другими лицами определяет цели и содержание обработки персональных данных — так понятие закреплено Законом Республики Беларусь от 7 мая 2021 г. № 99-З «О защите персональных данных». Формулировка сознательно широкая: под нее подпадает практически любая компания, которая ведет кадровый учет, работает с клиентской базой или собирает контакты через сайт.

Отсюда практический вывод: статус оператора не требует специального решения или уведомления — компания приобретает его автоматически, как только начинает собирать и использовать чьи-либо персональные данные. Дальнейшие обязанности — от корректного согласия до возможной регистрации в реестре — зависят не от желания компании считаться оператором, а от конкретных характеристик того, как именно она обрабатывает данные.

Когда нужно получать согласие на обработку ПД и как оно должно выглядеть

По общему правилу обработка персональных данных допускается только с согласия субъекта, за исключением случаев, прямо перечисленных в законодательстве. Прежде чем получить согласие, оператор обязан предоставить субъекту персональных данных информацию в письменной или электронной форме — по сути, это и есть содержание бланка согласия на обработку персональных данных. В него должны входить: наименование и место нахождения оператора, цели обработки, перечень персональных данных, на обработку которых дается согласие, срок действия согласия, сведения об уполномоченных лицах, если обработку будут вести они, перечень действий с данными и общее описание способов обработки.

Типичная ошибка компаний — брать «универсальное» согласие на всё сразу, вместо того чтобы указывать перечень данных, соответствующий конкретной цели. Если для подписки на рассылку достаточно имени и адреса электронной почты, требовать в том же бланке дату рождения или идентификационный номер избыточно и создает лишний риск претензии со стороны субъекта или проверяющего органа. Разумный подход — отдельный, лаконичный бланк согласия под каждую самостоятельную цель обработки: рассылка, личный кабинет, видеонаблюдение в офисе.

В каких случаях согласие не требуется, но риски остаются

Закон № 99-З называет двадцать самостоятельных правовых оснований для обработки персональных данных без согласия субъекта, и для бизнеса чаще всего актуальны несколько из них. Обработка не требует согласия, если она необходима для заключения или исполнения договора, стороной которого выступает субъект персональных данных, либо для выполнения обязанностей, прямо возложенных на оператора законодательством, — например, ведение кадрового учета работников или подготовка налоговой отчетности. Также согласие не нужно для целей правосудия, для статистических и исследовательских задач при условии обязательного обезличивания данных.

Отсутствие обязанности получать согласие не означает отсутствия рисков: оператор все равно обязан соблюдать принципы законности, соразмерности обработки заявленной цели и обеспечивать сохранность данных. На практике компании чаще всего ошибаются именно здесь — считая, что раз согласие не требуется, можно обрабатывать данные без каких-либо ограничений, хотя проверяющий орган в первую очередь оценивает именно соразмерность и цель обработки, а не факт наличия согласия.

Реестр операторов персональных данных

Кто обязан в нём регистрироваться

Реестр операторов, осуществляющих обработку персональных данных, ведет Национальный центр защиты персональных данных Республики Беларусь (НЦЗПД), но обязанность подавать в него сведения возникает не у каждого оператора, а только при наличии одного из установленных критериев. В реестр операторов ПД нужно включаться, если компания осуществляет трансграничную передачу персональных данных на территорию иностранных государств, не обеспечивающих надлежащий уровень защиты прав субъектов, обрабатывает биометрические или генетические персональные данные — например, через систему распознавания лиц на проходной.

Как подать сведения

Сведения в реестр операторов, осуществляющих обработку персональных данных, подаются в НЦЗПД по форме и в порядке, установленным центром, и включают заявленные цели и правовые основания обработки, срок хранения персональных данных, а при трансграничной передаче — перечень иностранных государств, на территорию которых она осуществляется. Важная деталь: сама по себе регистрация информационного ресурса или системы в иных государственных регистрах для цели включения в реестр операторов значения не имеет — это отдельная, самостоятельная процедура именно через НЦЗПД.

Что обновлять при изменениях

Если после включения в реестр у компании меняются цели обработки, перечень стран трансграничной передачи или иные внесенные сведения, оператор обязан актуализировать данные в реестре, а не оставлять устаревшую информацию до следующей проверки. На практике именно расхождение между фактической обработкой и данными в реестре чаще всего становится поводом для дополнительных вопросов при проверке — актуализировать сведения проще заранее, чем объяснять задним числом, почему реестр не отражает реальность.

Контроль и санкции за нарушения правил обработки ПД

НЦЗПД выполняет функции уполномоченного государственного органа: осуществляет контроль за соблюдением законодательства о защите персональных данных, рассматривает жалобы субъектов персональных данных и вправе выдавать операторам предписания об устранении выявленных нарушений. Отдельный состав нарушения — непредоставление либо несвоевременное предоставление сведений в реестр операторов, за что предусмотрена административная ответственность в виде штрафа до 20 базовых величин в соответствии со ст. 24.11 КоАП.

Помимо административной ответственности за сам факт нарушения работы с реестром, компания несет более широкие репутационные и договорные риски: жалоба субъекта персональных данных, чьи данные обрабатывались с нарушением закона, может обернуться проверкой всей практики компании по работе с данными, а не только конкретного эпизода. Разумнее выстроить процессы заранее, чем разбираться с последствиями после обращения недовольного клиента или сотрудника в НЦЗПД.

Базовый план по внедрению ПД-комплаенса в малой/средней компании

Первый шаг — провести инвентаризацию: какие персональные данные компания собирает, у кого, для каких целей и где хранит. Второй шаг — привести бланки согласия в соответствие требованиям статьи 5 Закона № 99-З и разделить их по конкретным целям обработки вместо одного универсального документа. Третий шаг — проверить, подпадает ли компания под критерии обязательной регистрации в реестре операторов, и при необходимости подать сведения в установленный срок.

Четвертый шаг — закрепить внутренним документом ответственного за работу с персональными данными и порядок реагирования на обращения субъектов ПД. Пятый шаг — предусмотреть регулярный, а не разовый пересмотр практики: цели обработки, подрядчики и объемы данных у растущей компании меняются, и комплаенс, актуальный на момент внедрения, без пересмотра быстро расходится с реальностью.

Чеклист по персональным данным для собственника и маркетолога

Бланки согласия на сайте и в офлайн-процессах содержат все обязательные сведения и соответствуют конкретной цели обработки, а не собраны «на все случаи». Компания проверила, подпадает ли она под критерии обязательной регистрации в реестре операторов, и при необходимости подала актуальные сведения в НЦЗПД. Передача данных подрядчикам и зарубежным сервисам учтена с точки зрения трансграничной передачи. Назначен ответственный за работу с персональными данными внутри компании. Процессы обработки данных пересматриваются не реже раза в год или при существенном изменении бизнес-процессов.

Если хотя бы один пункт вызывает сомнение, разумнее провести аудит практики работы с персональными данными заранее, а не после жалобы клиента или проверки НЦЗПД.

Если хотите убедиться, что бланки согласия, реестр операторов и внутренние процессы компании соответствуют требованиям закона, оставьте заявку — проведем аудит практики работы с персональными данными и предложим реалистичный план решения.

О компании

Юридическая компания «Экономические споры» сопровождает бизнес в Беларуси с 2019 года, и сегодня в команде — более 15 юристов и специалистов с опытом от 15 до 25 лет. Директор компании Сергей Белявский 20 лет проработал в экономических судах, из них 10 лет — в должности судьи, входит в число рекомендованных арбитров МАС при БелТПП, выступает арбитром и в других третейских судах, а также написал пять книг и свыше 2000 публикаций по юридической тематике. Внесудебное урегулирование споров в компании обеспечивают четыре медиатора и собственный третейский суд «Экономические споры».

За время работы компания провела более 2000 дел клиентов, помогла вернуть или сэкономить около 1,95 млрд рублей, а средний рейтинг по более чем 100 отзывам составляет 4,95 из 5. Юристы компании работают на русском, польском и английском языках, партнерская сеть охватывает свыше 160 стран, а с июня 2025 года компания входит в AEA — Ассоциацию европейских юридических компаний. Офисы расположены в Минске на улице Кульман, 11, и в Гродно на улице Калючинской, 23, счет открыт в PKO Bank Polski, а на каналы компании в YouTube, Instagram, Telegram и LinkedIn подписано около 30000 человек.

Если вашему бизнесу нужна юридическая поддержка по приведению практики работы с персональными данными в соответствие закону, подготовке бланков согласия или регистрации в реестре операторов, оставьте заявку — предложим реалистичный план решения.