Защита персональных данных на сайте: требования закона РБ

Защита персональных данных на сайте в Беларуси регулируется законом № 99-З, который действует с 15 ноября 2021 года. Если на сайте есть хотя бы форма обратной связи, счётчик аналитики или cookie, вы уже обрабатываете персональные данные и считаетесь оператором. Закон требует от владельца сайта: законное основание обработки (чаще всего согласие), опубликованную политику, меры защиты данных, назначенного ответственного и реакцию на обращения людей. За нарушения - требования НЦЗПД и штрафы по статье 23.7 КоАП.

Какие данные на сайте считаются персональными

Персональные данные - любая информация, по которой человека можно идентифицировать прямо или косвенно. На обычном корпоративном сайте их больше, чем кажется:

Имя и телефон из формы заявки - классика, есть почти на каждом сайте
Email в подписке и комментариях - тоже идентификатор
Данные заказа - ФИО, адрес доставки, состав покупки
Аккаунты в личном кабинете - логины, история действий
IP-адреса и cookie-идентификаторы - в связке с другими данными позволяют выделить конкретного посетителя
Резюме соискателей - раздел вакансий собирает целые досье
Записи чатов и обратных звонков - виджеты тоже собирают данные, причём часто на чужие серверы

Cookie - это тоже персональные данные. Регулятор рассматривает cookie-идентификаторы как данные, требующие согласия посетителя. Именно поэтому сайтам нужен корректный баннер с возможностью отказа, а не «продолжая пользоваться сайтом, вы соглашаетесь». Подробный разбор - в статье про cookie-баннер для сайтов в Беларуси.

Что обязан сделать владелец сайта по закону № 99-З

Обязанность	Что это значит на практике
Законное основание обработки	Согласие в формах отдельным чекбоксом либо иное основание, например исполнение договора при заказе
Политика обработки данных	Опубликованный на сайте документ: какие данные, зачем, сколько храните, кому передаёте
Cookie-баннер	Информирование и выбор посетителя до начала работы счётчиков и рекламных скриптов
Ответственный за внутренний контроль	Назначенный приказом человек, который отвечает за работу с данными в компании
Меры защиты	HTTPS, ограничение доступа к базе, обновления, бэкапы, разграничение прав сотрудников
Ответы на обращения субъектов	Человек вправе узнать, что вы храните о нём, потребовать исправить или удалить - в установленные законом сроки
Уведомление об утечках	При инциденте с системой защиты - незамедлительное уведомление НЦЗПД
Трансграничная передача	Передача данных в страны без надлежащего уровня защиты требует отдельных оснований

Как НЦЗПД проверяет сайты и что грозит нарушителям

Национальный центр защиты персональных данных мониторит сайты дистанционно: специалист открывает страницы, смотрит формы, ищет политику и баннер, проверяет, спрашивает ли сайт согласие. В 2025 году центр вынес операторам 556 требований об устранении нарушений, из них 259 - именно по итогам мониторинга сайтов. Приезжать к вам в офис для этого не нужно - всё видно из браузера.

Цена вопроса. Статья 23.7 КоАП предусматривает штрафы до 50 базовых величин, а при профессиональной обработке данных - до 100 БВ. В 2026 году базовая величина - 45 BYN, то есть до 2250-4500 BYN. За умышленные нарушения с серьёзными последствиями возможна и уголовная ответственность. Плюс репутационные потери: требования регулятора публичны.

Приведём сайт в соответствие закону № 99-З

Аудит форм и счётчиков, политика под ваши реальные процессы, согласия в формах, корректный cookie-баннер. Под ключ за несколько дней, с учётом практики НЦЗПД.

Привести сайт в порядок

С чего начать: план приведения сайта в порядок

Инвентаризация точек сбораВыпишите все формы, счётчики, виджеты и интеграции: какие данные собирают, куда передают, где хранятся.
Политика обработкиСоставьте документ под реальные процессы вашего сайта, а не скачанный шаблон, и опубликуйте в футере.
Согласия в формахДобавьте неотмеченные чекбоксы со ссылкой на политику в каждую форму, где собираете данные.
Cookie-баннерНастройте баннер с реальным выбором: счётчики и реклама стартуют только после согласия посетителя.
Ответственный и порядокНазначьте приказом ответственного за внутренний контроль, пропишите, кто и как отвечает на обращения людей.
Технические мерыHTTPS, свежие обновления, ограниченный доступ к админке и базе, бэкапы - без этого остальное не работает.

Не забудьте про техническую часть. Политика и баннер не спасут, если сайт ломается за вечер из-за старых уязвимостей: утечка базы перечёркивает все бумаги. Регулярные обновления и контроль доступов - зона технической поддержки сайта, и для закона это такие же «меры защиты», как документы.

Частые вопросы о защите персональных данных на сайте

У меня сайт-визитка без форм. Закон № 99-З меня касается?

Если стоит счётчик аналитики, рекламные пиксели или cookie - да, касается: идентификаторы посетителей тоже персональные данные. Полностью статический сайт без счётчиков и форм - редкое исключение, но и там обычно есть хотя бы метрика.

Нужно ли регистрировать сайт или базу в НЦЗПД?

Общей обязательной регистрации операторов в Беларуси нет. Уведомлять центр нужно в конкретных случаях - прежде всего при инцидентах с защитой данных, а для трансграничной передачи в отдельные страны - получать разрешение.

Можно ли взять политику с российского сайта?

Нет: российские шаблоны написаны под закон 152-ФЗ, а в Беларуси действует № 99-З - другие термины, основания и регулятор. Ссылка на чужой закон в политике - маркер формального подхода, который проверяющий видит первым.

Что будет, если ничего не делать?

Возможные сценарии: требование НЦЗПД с коротким сроком на устранение, штраф по статье 23.7 КоАП, а при утечке - разбирательство и репутационные потери. Мониторинг работает потоково, и «маленьких не трогают» давно не действует: в практике центра полно небольших компаний.

Закон № 99-З - это не разовая бумажка, а порядок в данных: понимать, что собираете, зачем и как защищаете. Настроить всё с первого раза проще, чем переделывать после требования регулятора. Команда Alavir делает комплект для сайта: баннер, политику и согласия под практику НЦЗПД - консультация бесплатная, смета за 1 день.