Бизнесу станет чуть проще? Разбираем, как предлагают изменить Закон о защите персональных данных

В Беларуси готовятся обновить правила работы с персональными данными: в частности, разрешить нанимателям рассматривать резюме без отдельного согласия соискателя, упростить обработку данных из подписанных электронных документов и урегулировать публикацию фото и видео с мероприятий. Все это прописано в проекте закона «Об изменении законов по вопросам защиты персональных данных». Но одновременно бизнесу, вероятно, придется пересмотреть подходы к видеонаблюдению, аудиозаписи, договорам с подрядчиками и внутреннему контролю.

Какие изменения заложены в проект закона и за счет чего бизнесу должно стать немного проще обращаться с данными, разбирает Наталия Табала, юрист компании «Экономические споры».

— В ноябре 2026 года исполнится пять лет с момента вступления в силу Закона Республики Беларусь № 99-З «О защите персональных данных» (далее — Закон, Закон № 99-З). И, кажется, возникла необходимость изменить и упростить отдельные нормы.

Работа по новым правилам с персональными данными после вступления в силу Закона № 99-З большинству операторов давалась довольно нелегко. Многие в принципе отрицали необходимость наличия такого законодательного регулирования.

Часть организаций приняла решение соблюдать нормы Закона только формально, без детального понимания и практического применения его требований.Конечно же, это неверные подходы. И об этом может свидетельствовать статистика утечек данных, которые все чаще происходят не из-за внешних атак, а из-за незнания или нарушения законодательства о защите данных.

Национальный центр по защите персональных данных за истекшие пять лет провел колоссальную работу по разъяснению норм законодательства. А сам законодатель в свою очередь принял решения об изменении отдельных положений Закона.

Что планируется изменить и сделает ли это работу с данными проще?

13 июля 2026 года на общественное обсуждение был вынесен проект Закона Республики Беларусь «Об изменении законов по вопросам защиты персональных данных» (Проекта Закона). Как указано в обосновании, изменения в Закон № 99-З направлены на:

• снижение административной нагрузки при обработке персональных данных;
• повышение защиты граждан при обработке данных с помощью технических средств;
• закрепление сложившейся практики применения отдельных норм Закона № 99-З;
• уточнение функций Национального центра защиты персональных данных в части просвещения граждан и взаимодействия с профессиональным сообществом.

При детальном рассмотрении Проекта Закона можно выделить основные изменения, наиболее актуальные как для операторов, так и для субъектов персональных данных.

1. Согласие на обработку персональных данных

Проект Закона содержит целый ряд изменений, которые касаются получения согласия на обработку персональных данных, а также обработки персональных данных без согласия субъекта.

Так, пункт 1 статьи 5 Закона № 99-З дополнен нормой, разъясняющей какое согласие на обработку персональных данных считается свободным, однозначным и информированным.

Согласие субъекта персональных данных является:

• свободным, если субъект персональных данных выражает свою волю в отношении обработки персональных данных самостоятельно, и (или) исполнение договора, включая предоставление услуги, не зависит от согласия субъекта персональных данных;
• однозначным, если дается посредством совершения намеренного активного действия субъекта персональных данных;
• информированным — при соблюдении требований части первой пункта 5 статьи 5 Закона.

Ранее Закон № 99-З такого уточнения не содержал. Из-за этого у многих операторов возникали вопросы с определением указанных понятий. Это в свою очередь порождало определенные нарушения при получении согласия на обработку персональных данных.

Так, например, многие операторы считают правильным включать согласие на обработку данных в договор, заключаемый между субъектом и оператором, и при этом не предоставляют субъекту возможность однозначно и свободно выразить свою волю.Наличие разъяснений понятий «свободное, однозначное, информированное» поможет операторам четко понимать, какое именно согласие должно быть получено на обработку персональных данных субъекта.

Статья 5 Закона № 99-З дополнена нормами об определении срока, на который дается согласие. Он может быть определен календарной датой либо периодом времени (годы, месяцы, дни), либо указанием на событие, которое должно неизбежно наступить.

Срок может быть привязан только к событию, которое неизбежно должно наступить. Это значит, например, что указать, что срок согласия на обработку персональных данных дается до принятия оператором решения о прекращении обработки будет неверным. Поскольку момент принятия такого решения достоверно определить невозможно и точно не известно будет ли вообще такое решение принято.

Проект Закона по-прежнему не содержит определения максимального срока, на который может быть получено согласие субъекта на обработку его данных.На практике же у операторов довольно часто возникает такой вопрос. Многие стремятся получить согласие на очень длительный срок, чтобы свободно использовать персональные данные субъекта. При этом зачастую необходимость в их использовании давно отпала, но данные хранятся «на всякий случай». В Реестре обработки персональных данных мы видим срок хранения «постоянно». Норма статьи 4 Закона № 99-З «обработка персональных данных должна ограничиваться достижением конкретных, заранее заявленных законных целей» на практике не всегда воспринимается операторами как ограничение срока хранения данных.

Наличие в Законе указаний на максимальный срок хранения персональных данных позволило бы избежать хранения данных длительное время и, как следствие, предотвратило бы их попадание третьим лицам при утечках данных.

Пункт 6 статьи 5 Закона № 99-З дополнен следующей нормой:

Согласие субъекта персональных данных в письменной форме или в виде электронного документа должно содержать дату дачи согласия субъекта персональных данных и его личную подпись (электронную цифровую подпись). Согласие субъекта персональных данных в иной электронной форме должно позволять установить дату дачи согласия субъекта персональных данных.

Закон № 99-З и в действующей редакции содержит возможность получения согласия в иной электронной форме.

Однако Проект Закона устанавливает дополнительное требование для такого согласия: должна быть возможность установить дату получения такого согласия. Таким образом, операторам необходимо обеспечить возможность хранить в электронном ресурсе дату дачи согласия и следить за истечением срока обработки данных. Возможно, это потребует корректировки работы электронных ресурсов в определенных случаях.

Одно из самых ожидаемых изменений — это расширение перечня случаев, когда согласие субъекта на обработку его персональных данных не требуется — также нашло отражение в Проекте Закона.

Статья 6 Закона № 99-З дополнена в части получения согласия в процессе трудовой деятельности. Так, в Проекте Закона указано:

Согласие не требуется для целей трудоустройства (поступления (приема) на службу) к оператору в отношении персональных данных, полученных им от субъекта персональных данных, при оформлении трудовых (служебных) отношений, а также в процессе трудовой (служебной) деятельности субъекта персональных данных в случаях, предусмотренных законодательством.

Указанная норма значительно упрощает процесс работы нанимателей с резюме соискателей. Как мы знаем, на сегодняшний день согласие не требуется при оформлении трудовых отношений, а также в процессе трудовой деятельности. Следовательно, все, что происходит между потенциальным работником и нанимателем до оформления трудовых отношений не попадает под действующую редакцию Закона и обработка данных субъекта в процессе рассмотрения резюме требует получения согласия субъекта.

Исключение могут составлять случаи, когда субъект персональных данных лично принес резюме с собственноручной подписью — в таком случае можно говорить об обработке персональных данных без согласия на основании абзаца 16 статьи 6 Закона, когда соискатель предоставляет персональных данных оператору в документе, адресованному оператору.

Дополненная норма позволит нанимателям не обращаться к субъекту с просьбой предоставить согласие на рассмотрение его резюме.При этом абзац 16 статьи 6 Закона также расширен:

Согласие не требуется при обработке персональных данных, когда они указаны в документе, адресованном оператору и подписанном субъектом персональных данных, в том числе в документе в электронном виде, в соответствии с содержанием такого документа.

В действующей редакции Закона № 99-З документы в электронном виде, то есть документы, создание, обработка, хранение и передача которых осуществляется с помощью технических, программных и программно-аппаратных средств, не упоминались.

Проект Закона дает оператору значительную свободу с части работы с документами в электронном виде, содержащими персональные данные и направляемыми субъектами оператору. На практике реализовать получение согласия через электронную переписку либо обязать субъекта предоставить документы только на бумаге с собственноручной подписью крайне сложно. Поэтому многие операторы просто игнорировали нормы о получении согласия в случае работы с документами в электронном виде, тем самым нарушая действующий Закон. При принятии предлагаемых изменений таких нарушений удастся избежать.

Также одним из важных изменений в части получения согласия является норма Проекта Закона об обработке персональных данных без согласия субъекта «при распространении оператором новостных материалов с фото-и (или) видеоизображениями граждан, полученных при проведении мероприятий в рамках распространения информации о таких мероприятиях».

Многие операторы размещают на своих информационных ресурсах новостной контент, освещают проводимые мероприятия. Логично, что в таких материалах содержатся фото и видеоизображения людей. На сегодняшний день оператору необходимо получить согласие субъекта на обработку его фото или видеоизображения. Может сложиться ситуация, когда один из граждан, изображенных в фото-, видеоматериале откажется дать свое согласие и это создаст невозможность размещения всего контента. Полагаем, что именно для избежания таких ситуаций Проект Закона и содержит норму об отмене получения согласия в таких случаях.

2. Обработка персональных данных уполномоченным лицом

Проект Закона вносит изменения в части обработки персональных данных уполномоченными лицами, накладывая дополнительные обязанности.

Так, при прекращении договора между оператором и уполномоченным лицом, уполномоченное лицо должно прекратить обработку персональных данных и передать их оператору либо удалить их. Исключение — наличие оснований для продолжения обработки.

Кроме того уполномоченное лицо должно будет не только обеспечивать меры по защите персональных данных, но и предоставлять оператору подтверждение принятия таких мер.Уполномоченное лицо-нерезидент должно принимать меры по защите персональных данных, установленные его национальным законодательством, эквивалентные требованиям по законодательству Республики Беларусь.

Договор между оператором и уполномоченным лицом должен содержать условия привлечения субуполномоченных лиц, обязанность уполномоченного лица оказывать содействие оператору по контролю за обработкой, обязанность уполномоченного лица уведомлять оператора и уполномоченный орган по защите прав субъектов персональных данных о нарушениях систем защиты персональных данных.

Все указанные дополнения направлены на повышение ответственности уполномоченных лиц при обработке персональных данных по поручению оператора.

3. Сооператорство

В настоящее время Закон № 99-З не содержит понятия «сооператорства». Обработка персональных данных совместно несколькими операторами уже имеет место.

Изменения Закона в данной части продиктованы именно сложившейся практикой обработки персональных данных несколькими операторами, которая в настоящее время не урегулирована на законодательном уровне. На практике, если обработка персональных данных осуществляется несколькими операторами совместно, ими может издаваться одна Политика в отношении обработки персональных данных, которая и определяет как осуществляется обработка данных (цели, сроки, правовые основания, круг субъектов и т.д.).

Согласно Проекту Закона:

Обработка персональных данных несколькими операторами совместно (сооператорство) будет осуществляться на основании договора, в котором должны быть определены цели, основания обработки персональных данных, персональные данные, которые подлежат обработке, права и обязанности операторов, порядок реализации прав субъектов персональных данных, круг лиц, которым передаются персональные данным — то есть все те условия, которые должна содержать Политика в отношении обработки персональных данных.

При обработке персональных данных на основании согласия субъекта — такое согласие может быть получено одним оператором для всех сооператоров для какой-либо определенной цели. При этом, если субъект отказывает в даче согласия на обработку — то такой отказ касается всех сооператоров. Прекращение обработки персональных данных всеми сооператорами также влечет прекращение обработки данных каждым отдельным оператором, за исключением случаев, когда имеются основания для обработки данных конкретным оператором. Обратиться за реализацией своих прав субъект персональных данных может также к любому из сооператоров.

При этом каждый из сооператоров несет персональную ответственность за соблюдение требований законодательства.

4. Трансграничная передача персональных данных

Одним из основных требований при обработке персональных данных является прозрачность обработки: оператор обязан предоставлять субъекту информацию, касающуюся обработки его данных. Именно поэтому в процессе обработки персональных данных особое внимание уделяется передаче персональных данных оператором иным лицам. Повышенное внимание уделяется передаче персональных данных на территорию иностранных государств (трансграничная передача).

Закон № 99-З содержит запрет на трансграничную передачу персональных данных, если на территории иностранного государства не обеспечивается надлежащий уровень защиты прав субъектов персональных данных, за исключением определенных Законом случаев. Проект Закона содержит дополнительные случаи, при которых разрешается трансграничная передача персональных данных.

Трансграничная передача данных будет разрешена:

• при оформлении трудовых (служебных) отношений, а также в процессе трудовой (служебной) деятельности субъекта персональных данных в случаях, предусмотренных законодательством;
• в случаях, когда обработка персональных данных является необходимой для выполнения обязанностей (полномочий), предусмотренных законодательными актами и (или) принятыми (изданными) в их развитие иными актами законодательства, а также международно-правовых актов, содержащих обязательства Республики Беларусь.

Проектом закона корректируется норма о трансграничной передаче на основании заключенного (заключаемого) договора: трансграничная передача данных допускается и для заключения договора, то есть еще до заключения договора. При этом допускается передача данных не только субъекта персональных данных, который является стороной по договору, но и данных лица, в пользу которого должно быть произведено исполнение по договору, и (или) лица, на которого возложено исполнение договора.

5. Особенности обработки персональных данных

Действующая редакция Закона № 99-З не содержит норм об обработке персональных данных посредством технических средств. Однако на практике возникает довольно много проблемных моментов при обработке данных при аудио и видеозаписи.

Не смотря на многочисленные разъяснения НЦЗПД у операторов нет четкого понимания, как правильно осуществлять такую обработку. Это влечет за собой довольно много нарушений.Проект Закона кардинально решает данную проблему, поскольку четко определяет порядок обработки данных с помощью технических средств.

Прежде всего определено, что не допускается видео-, аудиозапись в местах, предназначенных для удовлетворения личных нужд субъекта персональных данных (переодевания, приема пищи, гигиены и других подобных местах).

Оператор не вправе устанавливать технические средства, осуществляющие видеозапись, с целью избирательного наблюдения и контроля за действиями конкретных работников, учета рабочего времени, контроля трудовой и исполнительской дисциплины или для оценки эффективности труда работников. Субъект должен быть проинформирован об осуществлении видео-, аудиозаписи.

Определены случаи, когда можно осуществлять аудиозапись разговора без согласия субъекта персональных данных: при его обращении в экстренные (диспетчерские) службы (за исключением служб экстренной психологической помощи (телефонов доверия) и в иных случаях, предусмотренных законодательством.

Если обработка персональных данных с помощью технических средств осуществляется на основании согласия субъекта и такое согласие не получено, оператор обязан предоставить возможность субъекту персональных данных получить услугу и без аудио-, видеозаписи.

Проект Закона также устанавливает срок хранения записей — он не должен превышать тридцати календарных дней со дня ее осуществления, если иное не предусмотрено законодательством или не вытекает из цели обработки персональных данных.

На практике злоупотребления со стороны операторов при ведении аудио-, видеозаписи допускаются довольно часто. Самое распространенное — это не предупреждение о ведении аудиозаписи разговора либо сообщение о невозможности оказать услугу без ведения аудиозаписи, а также установка камер для контроля рабочего времени, наблюдения за отдельными работниками.

6. Структурное подразделение или лицо, осуществляющее внутренний контроль за обработкой персональных данных

Сегодня практически повсеместно лицо, осуществляющее внутренний контроль за обработкой персональных данных, одновременно осуществляет обработку персональных данных. В Законе № 99-З не содержится нормы, устанавливающий такой запрет. Поэтому операторы и допускают совпадение таких функций в одном лице. Более того, в небольших компаниях в большинстве случаев невозможно разделить функции контроля и обработки между несколькими лицами — попросту нет столько работников. Проект Закона решает эти проблемы.

• Во-первых, устанавливается возможность привлечения оператором для осуществления внутреннего контроля за обработкой персональных данных лиц, оказывающих соответствующие услуги (юридическое лицо или индивидуального предпринимателя).
• Во-вторых, устанавливает обязанность оператора по обеспечению независимости структурного подразделения или лица, ответственного за осуществление внутреннего контроля за обработкой персональных данных, при осуществлении данного контроля, а также создать необходимые условия для осуществления данной функции.

Кроме того, Проект Закона определяет в каких случаях создается структурное подразделение, ответственное за осуществление внутреннего контроля за обработкой персональных данных, в каких случаях вводится должность специалиста по внутреннему контролю за обработкой персональных, а в каких случаях можно привлекать для осуществления внутреннего контроля за обработкой персональных данных сторонних лиц. В частности, привлекать сторонних лиц для осуществления функций внутреннего контроля смогут операторы, которые осуществляют обработку менее одной тысячи физических лиц и является юридическим лицом Республики Беларусь, отнесенным к субъектам малого предпринимательства, а также в иных случаях, предусмотренных законодательными актами.

Все вышеуказанные изменения действительно продиктованы требованием времени и практикой обработки персональных данных. Принятие предлагаемых Проектом Закона изменений не только поможет избежать нарушений законодательства, но и снимет определенную нагрузку с операторов при обработке данных, что однозначно повысит доверие субъектов хозяйствования к принятию мер по защите персональных данных субъектов.