Персональные данные в Беларуси: как настроить сайт, чтобы не нарушать закон?
Что относится к персональным данным в Республике Беларусь?
Персональные данные — это любые сведения, позволяющие идентифицировать человека. Закон трактует это максимально широко. К ПДн относятся:
- ФИО;
- email и номер телефона;
- IP-адрес, cookies, данные геолокации;
- паспортные данные;
- биометрия (фото, видео, изображение лица, отпечатки);
- генетические сведения;
- сведения о здоровье;
- любая информация, размещённая человеком в открытых источниках, если она позволяет его идентифицировать.
Заберите краткий чек-лист
Кто обязан соблюдать закон?
Закон обязателен для всех — как только сайт начинает работать с персональными данными. А это происходит всегда, когда сайт:
- принимает заявки через формы;
- собирает e-mail/телефоны;
- принимает резюме;
- использует аналитики (Яндекс, Google, TikTok, Meta, Hotjar, любые пиксели);
- использует куки, которые могут идентифицировать поведение пользователя;
- передаёт данные в CRM, мессенджеры, почтовые сервисы.
Проще говоря: если сайт не просто показывает текст, а как-то взаимодействует с пользователем — закон уже действует.
Важные нюансы
-
Обработка считается обработкой даже если
• сайт сразу удаляет данные — это всё равно сбор → хранение → удаление; • данные не сохраняются в базе, но проходят через сервер; • используется только аналитика (cookie → уже ПДн); • используется только IP-адрес — это персональные данные.
-
Вы не можете «просто поставить аналитику без согласия»
Если система (Google/Yandex/Meta/TikTok/Pixel) получает данные до того, как пользователь дал согласие, — это нарушение ст. 4 и 5 Закона 99-З и требований о трансграничной передаче. -
Трансграничная передача возникает автоматически, если:
• у вас установлен Google Analytics, • у вас стоят пиксели Meta, TikTok, • данные передаются в зарубежные облачные сервисы.
Как настроить сайт, чтобы не нарушать Закон РБ “О персональных данных”
- Политика обработки персональных данных
- Политика обработки cookie (как отдельная или как часть политики ПДн)
- Политика согласия на фото- и видеосъёмку, если сайт собирает такие данные.
- доступна в один клик из футера на всех страницах;
- открыта любому пользователю до начала любой обработки данных;
- написана понятным языком;
- развернутой и содержать: цели, сроки хранения, категории данных, передачу третьим лицам, трансграничную передачу, права пользователя и механизм их реализации.
- отдельные страницы /privacy или /cookie;
- PDF-файл, размещённый на сервере;
- встроенная HTML-страница.
- свободным (пользователь ставит галочку сам),
- однозначным (одна цель — один чекбокс),
- информированным (перед согласием видна политика).
В каждой форме на сайте должно быть обеспечено наличие законного основания обработки персональных данных: при необходимости — получение согласия пользователя (чек-бокс), либо информирование об обработке в целях ответа на обращение/заключения договора (без отдельного согласия)
Реализация получения согласия
- Чекбокс на получение рассылки стоит по умолчанию;
- Нет чекбокса как такового;
- Используется один чекбокс для разных целей (например: «обработка заявки» и «подписка на рассылку»);
- Нет ссылки на политику обработки ПД рядом с чекбоксом.
Использование cookie, сторонней аналитики и рекламных пикселей — одно из самых частых нарушений. Если сайт применяет такие технологии, необходимо:
- разместить cookie-политику (чаще в виде отдельного документа или страницы на сайте);
- установить баннер, который позволяет пользователю управлять категориями cookie.
Важно не только показать баннер, но и корректно реализовать весь механизм обработки согласий. Ниже — алгоритм работы баннера Cookies на сайте в РБ.
Алгоритм работы баннера Cookies на сайте в Беларуси
1. Пользователь зашел на сайт
- Сбор аналитики сторонними сервисами не начинается, пока пользователь не даст согласие.
- Для получения обезличенной статистики можно использовать решения с серверной анонимизацией, работающие без cookie и идентификаторов пользователя — например, Matomo в server-side режиме.
2. Проверяем есть ли сохраненное согласие по Cookies?
1) Показываем баннер выбора Cookies.
2) Пользователь выбирает один из вариантов:
- Принять все;
- Отказаться от всех, кроме обязательных;
- Выбрать категории Cookies.
Категории Cookies:
- Технические (обязательные, разрешены без согласия),
- Функциональные,
- Аналитические,
- Рекламные.
Какие категории в конкретном проекте требуют согласия определяют юристы.
3) Фиксируем выбор пользователя в логах: ID / время / выбранные категории.
4) Активируем только те скрипты и Cookies, на которые дано разрешение. Если выбран отказ от всех (кроме технических) — никакие дополнительные скрипты не запускаются.
5) Даём возможность изменить решение — ссылка «Настройки Cookies» в футере сайта повторно открывает баннер с уже сохранённым выбором.
- наличие SSL-сертификата;
- защита форм от XSS, CSRF и других атак на ввод;
- защита от DDoS (по критичности проекта);
- регулярные бэкапы и аудиты безопасности;
- разграничение прав доступа к админке, фиксирование истории доступа к данным;
- безопасность CMS, обновлений и модулей (особенно внутри CMS, CRM и плагинов).
Настройка защиты персональных данных
Дополнительные требования законодательства
-
Регистрация в Реестре операторов персональных данных (НЦЗПД)
Если система обрабатывает специальные, биометрические данные или крупные объёмы ПДн, оператор обязан внести её в реестр ОАЦ. В реестр включаются системы, которые:
- обрабатывают > 100 000 персональных данных;
- обрабатывают > 10 000 ПДн детей до 16 лет;
- обрабатывают биометрические или генетические данные;
- осуществляют трансграничную передачу специальных ПДн (если страна-получатель не гарантирует достаточный уровень защиты).
-
Регистрация в БелГИЭ
Обязательна для всех юридических лиц и ИП Беларуси, которые используют сайт для продажи товаров, оказания услуг или выполнения работ на территории страны.
Отсутствие регистрации и (или) размещение сайта за пределами РБ наказывается штрафами от 10 до 25 БВ.
-
Усиленные меры защиты
Существуют системы, для которых базовых мер недостаточно — им требуется усиленная защита и дополнительные меры безопасности.
Это касается тех случаев, когда система- работает с финансами, образованием, медициной;
- обрабатывает чувствительные категории данных (здоровье, убеждения, биометрию, генетическую информацию и др.)
- содержит личные кабинеты, заказы, историю обращений;
- интегрирована с внутренними системами (CRM/ERP/база данных);
- обрабатывает большие объёмы данных (в т.ч. детей).
Дополнительные технические и криптографические меры, установленные ОАЦ-
проектируется и внедряется защищённый контур (данные не выходят в Интернет);
-
используются сертифицированные криптосредства для каналов и хранилищ;
-
ведётся учёт действий персонала и централизованный аудит безопасности;
-
проводится аттестация системы защиты информации по классу ИС (ОАЦ).
Если инфраструктура полностью изолирована от Интернета (например, медучреждения, банки, госзаказчики), защищённый контур обязателен. -
Реагирование на инциденты
Если произошла утечка, атака или сбой, влияющий на безопасность данных, оператор обязан:
- зафиксировать событие и его причину,
- устранить нарушения, ограничить распространение данных,
- уведомить пострадавших, если есть риск ущерба,
- уведомить НЦЗПД не позднее 3 рабочих дней с момента обнаружения нарушения.
Сообщать не требуется, если инцидент не привёл к:
- незаконному предоставлению или распространению персональных данных;
- изменению, блокированию или удалению данных без возможности их восстановления.
Почему это важно именно сейчас
-
Штрафы и удар по бюджетуВы оплатите не только штраф, но и работы по исправлению ошибок на сайте. В худшем случае доступ к нему временно заблокируют, а выручка просядет.
-
Легкий способ начать проверкуДостаточно одной жалобы, чтобы началась проверка. Это может быть недовольный клиент… или конкурент, который решил подпортить вам жизнь.
-
Только сайтом могут не ограничитьсяПроверка, начавшаяся с жалобы на сайт, может стать проверкой всей компании: внутренних процессов, документооборота, доступа к данным — того, что вы возможно не хотели бы подвергать проверке.
-
Люди стали осторожнее и осознаннееПользователи закрывают подозрительные формы, читают, какие данные вы собираете и зачем. Им надоели непрошеные письма и звонки — и они всё чаще жалуются, если что-то не нравится.
Заключение
Персональные данные — это не только формы с телефонами и письма из CRM.
Даже куки, IP и веб-аналитика уже подпадают под закон. Поэтому любой сайт обязан работать по правилам: корректные согласия, понятные политики и реальная защита данных — не на бумаге, а технически.
Проблема в том, что ошибки встречаются почти у всех: баннер «только принять», сторонние скрипты до согласия, формы без шифрования. Такие мелочи быстро превращаются в серьёзные риски: штраф, блокировка сайта, падение продаж и жалобы клиентов.
Приведённый в порядок сайт — это спокойствие и предсказуемость. А мы поможем сделать так так, чтобы ваш сайт был в порядке.
Почему мы?
Хотите пообщаться о задаче?
Наши услуги
Мы компания, умеющая не только разрабатывать сайты, но и хорошо выполняем роль субподрядчика на средних и больших проектах. Разрабатываем и внедряем решения на базе 1С-Битрикс / Битрикс24. Всегда боремся за успешное доведение проекта до финала, гибко планируя производственный график.
Наши новости и публикации
Разбираем, чем сложный веб-проект отличается от обычного сайта и почему такие системы требуют продуманной архитектуры.
Узнайте результаты исследования MASMI и возможности внедрения и доработки CRM для бизнеса
Рассказываем, что такое BANT, почему он не работает как навык и как встроить его в CRM так, чтобы система сама расставляла приоритеты
