В июле 2026 года в Беларуси опубликовали проект изменений в Закон № 99-З «О защите персональных данных». Поправки затрагивают довольно широкий круг вопросов: от работы с резюме кандидатов и видеонаблюдения до договоров с подрядчиками, внутреннего контроля и решений, которые принимаются автоматически. При этом проект не сводится к появлению новых обязанностей. По отдельным вопросам требования, наоборот, хотят упростить. В частности, предлагается расширить случаи, когда персональные данные можно обрабатывать без согласия человека.
Пока это только проект. После публичного обсуждения отдельные положения решено доработать, поэтому окончательный текст закона еще может измениться. Тем не менее проект уже показывает основные направления, в которых может измениться регулирование обработки и защиты персональных данных в Беларуси.
Резюме кандидатов: отдельное согласие потребуется не всегда
Одно из наиболее заметных изменений касается найма сотрудников. Предлагается разрешить работодателю без отдельного согласия обрабатывать персональные данные, которые кандидат сам предоставил для трудоустройства. На практике это может существенно упростить работу HR. Если человек направил резюме, заполнил анкету или сообщил сведения во время собеседования, работодателю не придется дополнительно получать согласие только для рассмотрения его кандидатуры.
Но это правило не дает работодателю права собирать о кандидате любую информацию. Проект говорит о данных, полученных от самого человека. Если организация дополнительно запрашивает сведения у третьих лиц, проводит проверки или собирает информацию из других источников, для такой обработки по-прежнему нужно будет определить самостоятельное правовое основание.
Таким образом, обработка данных, предоставленных самим кандидатом, и дополнительный сбор информации о нем регулируются по-разному.
Для видеонаблюдения хотят установить отдельные правила
Сейчас видеонаблюдение широко используется в офисах, магазинах, на складах и производственных объектах, однако отдельной детальной статьи о нем в Законе № 99-З нет. Проект предлагает этот пробел устранить.
Главная идея состоит в том, что запись должна соответствовать конкретной цели и не охватывать больше информации, чем действительно необходимо. Если камеры установлены для безопасности, их использование должно быть связано именно с этой задачей. Само наличие системы видеонаблюдения не должно автоматически давать возможность использовать записи для любых других целей.
Отдельно предлагается запретить видео- и аудиозапись в местах, предназначенных для личных нужд. К ним относятся, например, помещения для переодевания, приема пищи и проведения гигиенических процедур.
Отдельный вопрос касается камер на рабочих местах. В первоначальном проекте предусматривались ограничения на использование видеонаблюдения для наблюдения за конкретными работниками, контроля рабочего времени, дисциплины и эффективности труда. По итогам публичного обсуждения эти положения решено дополнительно уточнить.
Поэтому говорить об окончательном запрете пока рано. Однако общий подход проекта заключается в том, что использование видеонаблюдения должно быть связано с конкретной и обоснованной целью.
Срок хранения записей предлагают ограничить
По общему правилу видео- и аудиозаписи предлагается хранить не более 30 календарных дней. Более длительный срок будет возможен, если он установлен законодательством либо действительно необходим с учетом цели обработки.
На практике этот вопрос может оказаться более чувствительным, чем кажется. Во многих организациях сроки хранения определены не внутренними правилами, а техническими настройками системы. Например, архив с камер может храниться три месяца просто потому, что так была настроена система при ее установке.
То же самое относится к телефонным разговорам, резервным копиям и данным, которые сохраняются в облачных сервисах. Если изменения будут приняты, срок хранения таких данных придется связывать не только с техническими возможностями системы, но и с конкретной целью их обработки.
Запись разговоров в колл-центрах: что следует из проекта
Здесь важно не толковать проект слишком широко. Из его положений не следует, что любая компания сможет без согласия записывать разговоры с клиентами только потому, что записи нужны для контроля качества обслуживания.
Вопрос колл-центров и справочных служб отдельно обсуждался в ходе публичного обсуждения проекта. Возможность такой записи для целей оценки качества обслуживания предполагается дополнительно прорабатывать в рамках законодательства о защите прав потребителей.
Таким образом, регулирование записи клиентских звонков может зависеть не только от изменений в Закон № 99-З, но и от дальнейших изменений в законодательстве о защите прав потребителей.
Проект уточняет требования к внутренним документам
Поправки затрагивают и локальные документы организаций. Политики обработки персональных данных, перечни лиц, имеющих доступ к данным, положения и инструкции у большинства компаний уже есть. Вопрос в том, насколько они отражают реальные процессы.
Проект предлагает более подробно описывать обработку по каждой цели: какие данные используются, чьи это данные, на каком основании они обрабатываются и сколько времени хранятся.
Это означает, что общих формулировок об обработке персональных данных работников, клиентов и иных лиц может оказаться недостаточно. Документы должны позволять определить особенности обработки данных в рамках конкретных процессов организации.
Появится понятие системы защиты персональных данных
Еще одна новация проекта заключается в закреплении понятия системы защиты персональных данных. Речь идет о совокупности правовых, организационных и технических мер. Такой подход показывает, что защита данных не может быть исключительно задачей IT-службы.
Пароли, антивирусное программное обеспечение и разграничение доступа важны, но этого недостаточно. Значение имеют не только технические средства защиты, но и организационные и правовые меры.
Иными словами, проект закрепляет комплексный подход к защите персональных данных, который не ограничивается только техническими мерами или наличием внутренних документов.
Сооператорство хотят закрепить в законе
Проект предлагает урегулировать совместную обработку персональных данных несколькими операторами. Такая модель получила название «сооператорство». Она может возникнуть, когда несколько организаций совместно определяют цели обработки, состав данных, сроки и круг лиц, которым данные будут предоставляться.
Для бизнеса это актуально, например, при совместных сервисах, партнерских программах, некоторых проектах внутри группы компаний.
Проект также предусматривает договорное оформление таких отношений с определением основных условий совместной обработки персональных данных. В нем нужно будет распределить обязанности участников, определить цели и основания обработки, состав данных, сроки, получателей и порядок реализации прав физических лиц.
На практике новая конструкция может помочь решить давнюю проблему квалификации отношений. Если две компании работают с одной базой персональных данных, это еще не говорит о том, что одна из них обязательно является уполномоченным лицом другой.
В некоторых случаях обе компании самостоятельно определяют, зачем и как используются данные. Именно для таких ситуаций и предлагается отдельное регулирование.
Договоры с уполномоченными лицами станут подробнее
Изменения коснутся и подрядчиков, которым компания поручает обработку персональных данных. Это могут быть IT-компании, облачные сервисы, CRM, кадровые платформы, колл-центры и другие поставщики. Проект предлагает подробнее определить, что должно быть урегулировано в отношениях с такими лицами.
В частности, придется учитывать возможность привлечения субподрядчиков. Если подрядчик собирается передать часть обработки еще одной организации, этот вопрос уже нельзя будет оставлять исключительно на его усмотрение.
Также предусматриваются обязанности уполномоченного лица помогать оператору при осуществлении контроля и информировать о нарушениях в сфере защиты данных.
После прекращения договора данные должны быть возвращены оператору, переданы указанному им лицу, удалены либо заблокированы, если технически удалить их невозможно.
Отдельные требования предусматриваются для работы с иностранными подрядчиками. Если изменения будут приняты, новые требования затронут и уже действующие отношения с подрядчиками, которые получают доступ к персональным данным. Особенно те, в рамках которых подрядчики получают доступ к большим массивам клиентских или кадровых данных.
Требования к внутреннему контролю будут зависеть от масштаба обработки
Проект подробнее описывает, как должен быть организован внутренний контроль. Сама модель может зависеть от количества обрабатываемых данных, численности работников, информационных систем, трансграничной передачи и других обстоятельств.
Для крупных организаций предлагается установить отдельное требование. Если компания одновременно обрабатывает персональные данные более 100 тысяч физических лиц и имеет более 100 работников, потребуется отдельное подразделение либо специальная штатная должность для осуществления внутреннего контроля. Оба условия должны выполняться одновременно.
Для малого бизнеса, напротив, предусмотрена возможность упростить эту функцию. Белорусское юридическое лицо, которое является субъектом малого предпринимательства и обрабатывает данные менее 1 тысячи физических лиц, сможет передать внутренний контроль внешней организации или индивидуальному предпринимателю.
Формального назначения ответственного может быть недостаточно
Проект затрагивает еще один практический вопрос: независимость внутреннего контроля. Сейчас в организации может быть сотрудник, который приказом назначен ответственным за персональные данные, но одновременно сам организует большую часть процессов обработки. В результате он фактически проверяет собственную работу.
Проект исходит из того, что ответственному за контроль должны быть созданы условия для нормального и независимого выполнения его функций. Поэтому значение будет иметь не только формальное назначение ответственного, но и фактическая организация внутреннего контроля.
Автоматические решения и AI тоже попали в проект
Отдельное внимание уделено решениям, которые принимаются исключительно в результате автоматизированной обработки персональных данных. Этот вопрос становится особенно актуальным с развитием искусственного интеллекта, скоринговых систем и автоматизации HR.
Само по себе использование алгоритмов не запрещается. Значение имеет то, кто в итоге принимает решение.
Например, система может проанализировать резюме и предложить HR наиболее подходящих кандидатов. Если итоговое решение остается за сотрудником, это одна ситуация. Если программа автоматически отклоняет кандидата без участия человека, ситуация уже другая.
Аналогичный подход может применяться к автоматическому скорингу клиентов, отказу в услуге, изменению условий договора и другим решениям, которые способны повлечь юридически значимые последствия для клиента.
Проект также предусматривает информирование человека об использовании автоматизированного принятия решений. При этом соответствующие положения после публичного обсуждения еще планируют дорабатывать.
Какие процессы могут затронуть изменения
Поскольку окончательного закона пока нет, срочно переписывать документы под проект не нужно. При этом проект затрагивает сразу несколько процессов, связанных с обработкой персональных данных.
К таким процессам относятся работа с резюме и дополнительной информацией о кандидатах, видеонаблюдение, сроки хранения записей, запись телефонных разговоров и информирование физических лиц.
Изменения также затрагивают отношения с подрядчиками, которые получают доступ к персональным данным, возможность передачи обработки другим лицам и совместную обработку данных несколькими операторами.
Отдельное значение приобретает организация внутреннего контроля и независимость лица, которое его осуществляет.
Изменения могут затронуть и процессы, в которых решения о физических лицах принимаются автоматически, в том числе с использованием скоринговых систем, AI-инструментов или автоматизации подбора персонала.
Юридические услуги
для бизнеса
Получить консультацию```