Персональные данные в Беларуси: обязанности бизнеса и ответственность

Автор — Наталия Табала, юрист юридической компании «Экономические споры», 22 года практики. Специализируется на защите интеллектуальной собственности, персональных данных, антимонопольном праве и налоговых вопросах. Судья Третейского суда «Экономические споры», спикер Белорусского форума корпоративных юристов.

Статья актуализирована: 15 июня 2026 года.

Персональные данные — это любые сведения, относящиеся к идентифицированному физическому лицу или физическому лицу, которое может быть идентифицировано (ст. 1 Закона Республики Беларусь от 07.05.2021 № 99-З «О защите персональных данных», далее — Закон). Под это определение подпадают имя и фамилия клиента, адрес электронной почты, номер телефона, адрес доставки, фотография, IP-адрес и любые иные данные, позволяющие установить личность конкретного человека. Для белорусского бизнеса это означает одно: любая компания, которая собирает, хранит или иным образом обрабатывает сведения о физических лицах — клиентах, сотрудниках, пользователях сайта — является оператором персональных данных и несёт полный объём обязанностей, установленных Законом. Несоблюдение этих обязанностей влечёт административную ответственность и репутационные риски, которые всё чаще становятся предметом внимания Национального центра защиты персональных данных (НЦЗПД).

Кто является оператором персональных данных

Оператор персональных данных — это организация или индивидуальный предприниматель, самостоятельно или совместно с иными лицами организующие и (или) осуществляющие обработку персональных данных (ст. 1 Закона). Закон распространяется на всех операторов, зарегистрированных на территории Республики Беларусь, вне зависимости от сферы деятельности и масштаба бизнеса. Интернет-магазин, кадровое агентство, медицинский центр, транспортная компания и производственное предприятие — все они являются операторами и обязаны выполнять требования Закона в отношении персональных данных своих клиентов, сотрудников и контрагентов.

Особого внимания заслуживает понятие уполномоченного лица — организации или индивидуального предпринимателя, которые обрабатывают персональные данные по поручению оператора (ст. 1 Закона). Это типичная ситуация для аутсорсинга бухгалтерии, call-центров, облачных платформ и маркетинговых агентств: если компания передаёт обработку данных внешнему исполнителю, она обязана закрепить условия обработки в договоре и сохраняет ответственность за правомерность передачи.

Какие обязанности возникают у бизнеса при обработке персональных данных

Центральная обязанность оператора — обеспечить законное основание для обработки персональных данных. Закон допускает обработку по нескольким основаниям: согласие субъекта, исполнение договора, выполнение законодательно возложенных обязанностей и ряд иных оснований. На практике для большинства коммерческих ситуаций — регистрация на сайте, подписка на рассылку, участие в программе лояльности — основным основанием служит согласие субъекта персональных данных. Согласие должно быть конкретным, информированным и однозначным; получение его «по умолчанию» требованиям Закона не отвечает.

Помимо правового основания, оператор обязан выполнить ряд организационных требований. Статья 17 Закона предписывает назначить лицо, ответственное за осуществление внутреннего контроля за обработкой персональных данных. Организация также обязана разработать и опубликовать политику в отношении обработки персональных данных, содержащую сведения о целях, правовых основаниях, сроках хранения и правах субъектов. Актуальные методические рекомендации по составлению политики конфиденциальности размещены на официальном сайте Национального центра защиты персональных данных.

Что такое специальные категории персональных данных и почему они требуют особого внимания

Специальные категории персональных данных — это сведения, обработка которых несёт повышенный риск нарушения прав субъекта: данные о расовом или национальном происхождении, политических взглядах, религиозных убеждениях, состоянии здоровья, половой жизни, судимостях, а также биометрические данные (ст. 8 Закона). Обработка таких данных допускается только при наличии одного из прямо поименованных в Законе оснований — в частности, явного согласия субъекта или выполнения обязательств в области трудового права. Медицинские организации, кадровые службы и системы контроля доступа по биометрии должны уделять соблюдению этих требований особое внимание.

На практике встречается ситуация, когда компания устанавливает систему распознавания лиц для контроля рабочего времени сотрудников, не оформив надлежащего согласия на обработку биометрических данных и не внеся соответствующих изменений в трудовые договоры. При проверке НЦЗПД это квалифицируется как незаконная обработка специальной категории данных — с применением мер административной ответственности. Правовое оформление любой системы, собирающей специальные категории данных, необходимо проводить до её внедрения, а не после.

Как организовать трансграничную передачу персональных данных законно

Трансграничная передача персональных данных — это передача данных на территорию иностранного государства иностранной организации или физическому лицу. Согласно ст. 9 Закона, до начала трансграничной передачи оператор обязан убедиться в том, что иностранное государство обеспечивает релевантный уровень защиты персональных данных, либо получить согласие субъекта на такую передачу, либо заключить договор, содержащий условия, обеспечивающие защиту прав субъекта. Это требование актуально для любого белорусского бизнеса, использующего иностранные облачные платформы (хранение данных на серверах за рубежом), зарубежные CRM-системы или передающего данные клиентов иностранным партнёрам.

Перечень государств, обеспечивающих адекватный уровень защиты, определяется НЦЗПД. Для государств, не включённых в этот перечень, передача возможна только при наличии одного из допустимых Законом оснований. Компаниям, активно использующим зарубежные IT-инструменты, рекомендуется провести аудит всех каналов передачи данных и привести договорную базу с иностранными поставщиками в соответствие с требованиями Закона.

Какова ответственность за нарушение законодательства о персональных данных

Административная ответственность за нарушение законодательства о персональных данных установлена ст. 23.7 Кодекса Республики Беларусь об административных правонарушениях (КоАП). Санкции предусмотрены как для должностных лиц, так и для юридических лиц; их размер зависит от характера нарушения. Широкий круг нарушений охватывает: незаконную обработку персональных данных, нарушение требований к защите данных, непредставление субъекту информации о его правах, несоблюдение обязанности по уведомлению об инциденте.

Права субъектов персональных данных, нарушение которых чаще всего становится основанием для жалоб в НЦЗПД, включают: право на получение информации об обработке (ст. 11 Закона), право на прекращение обработки и удаление данных (ст. 13 Закона), а также право на обжалование действий оператора (ст. 15 Закона). Организация обязана рассматривать обращения субъектов в установленные Законом сроки; необоснованный отказ или игнорирование обращения создают прямой риск административного производства.

Как провести аудит соответствия требованиям законодательства о персональных данных

Аудит соответствия — это системная проверка того, как организация обрабатывает персональные данные: какие данные собираются, на каком основании, где хранятся, кому передаются и насколько применяемые меры защиты соответствуют требованиям Закона. Результатом аудита является перечень несоответствий с конкретным планом их устранения — от корректировки форм согласий и политики конфиденциальности до пересмотра договоров с подрядчиками, обрабатывающими данные по поручению.

На практике встречается ситуация, когда компания принимает сотрудников с 2021 года и убеждена, что ранее подписанные трудовые договоры уже содержат все необходимые согласия. При аудите выясняется, что формулировка согласия в типовом договоре не соответствует требованиям Закона к его конкретности и информированности, а перечень целей обработки не актуализировался с момента вступления Закона в силу. Устранение таких несоответствий требует системной работы с документацией, а не точечных правок.

В нестандартных ситуациях — при работе с биометрией, международной передаче данных или при получении запроса от НЦЗПД — привлечение юриста, специализирующегося на персональных данных, позволяет избежать ошибок, которые влекут административную ответственность.

Часто задаваемые вопросы

Юридическая компания «Экономические споры»: комплаенс в сфере персональных данных

Наша практика в области персональных данных — часть широкой B2B-специализации компании, которая работает исключительно с субъектами хозяйствования с 2019 года. Команда из 15 юристов и специалистов с опытом от 15 до 25 лет ведёт дела в узких направлениях: это позволяет давать клиентам не общие ответы, а конкретные решения с готовым планом действий.

Наталия Табала, ведущий юрист по персональным данным и интеллектуальной собственности, специализируется на комплаенсе в цифровой среде, защите данных и антимонопольном праве — и регулярно выступает спикером на профессиональных форумах корпоративных юристов. Директор компании Сергей Белявский провёл 20 лет в системе экономических судов, является рекомендованным арбитром МАС при БелТПП и автором более 2 000 публикаций по экономическому праву; в составе компании — 4 медиатора и собственный Третейский суд «Экономические споры».

За время работы мы обслужили более 2 000 клиентов; финансовый эффект в их пользу превысил 1,95 млрд рублей. Средняя оценка по более чем 100 отзывам — 4,95 из 5. Компания работает на русском, польском и английском языках, имеет партнёрскую сеть в более чем 160 странах и с июня 2025 года является членом Ассоциации европейских юридических компаний (AEA). Расчётный счёт открыт в PKO Bank Polski; офисы расположены в Минске (ул. Кульман, 11) и Гродно (ул. Калючинская, 23).

Если вашему бизнесу нужна юридическая поддержка по вопросам защиты персональных данных, разработки политики конфиденциальности, аудита соответствия требованиям Закона или реагирования на запросы НЦЗПД — оставьте заявку — предложим реалистичный план решения с учётом специфики вашей отрасли.