Проект изменений законодательства о персональных данных: к чему готовиться бизнесу?

14.07.2026

Совет Министров Республики Беларусь вынес на публичное обсуждение проект Закона Республики Беларусь «Об изменении законов по вопросам защиты персональных данных» (далее — Законопроект).

Законопроект предусматривает внесение изменений в Закон Республики Беларусь от 7 мая 2021 г. № 99-З «О защите персональных данных» (далее — Закон), а также в отдельные нормы иных законов.

Основные цели изменений:

• снижение административной нагрузки на организации при обработке персональных данных;
• повышение уровня защиты персональных данных граждан при их обработке с использованием современных технологий;
• уточнение отдельных функций Национального центра защиты персональных данных (НЦЗПД).

В случае принятия Законопроекта организациям потребуется пересмотреть договоры с уполномоченными лицами, порядок получения согласий, правила аудио- и видеозаписи, процедуры автоматизированной обработки данных и подход к организации внутреннего контроля.

Какие изменения предлагается внести в Закон?

Операторы и уполномоченные лица

• Вводится понятие «сооператорство».

 

Что это значит для бизнеса?

• Операторы смогут совместно организовывать и (или) осуществлять обработку персональных данных.

Для этого им потребуется совместно определить:

1. общие цели обработки;
2. сроки обработки;
3. объем обрабатываемых данных;
4. круг лиц, которым могут предоставляться данные.

• Сооператорская деятельность сможет осуществляться только на основании договора между операторами.

В отношениях с субъектами персональных данных будут действовать следующие правила:

1. обязанность доказать получение согласия субъекта на обработку данных возлагается на каждого оператора в отношении себя;
2. отказ субъекта предоставить согласие одному оператору означает отказ в предоставлении согласия всем операторам;
3. субъект персональных данных вправе обратиться за реализацией своих прав к любому из сооператоров.

 

• Дополняется перечень обязательных условий договора между оператором и уполномоченным лицом.

Что это значит для бизнеса?

После принятия Законопроекта операторам и уполномоченным лицам потребуется пересмотреть заключенные между ними договоры и включить в них следующие условия:

1. условия привлечения иных лиц — субуполномоченных лиц — для обработки персональных данных, если такая возможность предусмотрена;
2. обязанность уполномоченного лица содействовать оператору в осуществлении контроля за выполнением поручения по обработке персональных данных;
3. обязанность уполномоченного лица уведомлять оператора и уполномоченный орган о нарушениях систем защиты персональных данных незамедлительно, но не позднее трех рабочих дней с момента, когда ему стало известно о таких нарушениях.

Основания обработки персональных данных

Законопроект предусматривает следующие изменения:

1. определяется, какое согласие является свободным, однозначным и информированным;
2. срок, на который дается согласие, может определяться конкретной датой, периодом времени либо событием, которое должно неизбежно наступить;
3. согласие субъекта в письменной или электронной форме должно содержать дату его предоставления и собственноручную подпись либо электронную цифровую подпись субъекта персональных данных;
4. расширяется перечень случаев, при которых согласие субъекта не требуется.

В частности, планируется, что согласие не потребуется при распространении оператором в составе новостных материалов фото- или видеоизображений граждан, сделанных при проведении мероприятий, если это осуществляется в целях информирования о таких мероприятиях.

Автоматизированная обработка персональных данных, аудио- и видеозапись

• Устанавливается запрет на принятие решений, основанных исключительно на автоматизированной обработке данных.

 

Что это значит для бизнеса?

Если решение способно затронуть права субъекта персональных данных, то есть повлечь для него юридически значимые последствия, оно не может быть основано исключительно на автоматизированной обработке данных.

*Исключения предусмотрены, если субъект персональных данных дал согласие либо такая обработка допускается законодательством.

В любом случае оператор обязан проинформировать субъекта персональных данных до начала такой обработки.

 

• Устанавливается требование принимать меры по исключению или минимизации случаев аудио- и видеозаписи информации, не связанной с целью обработки.

 

Что это значит для бизнеса?

Предлагается установить:

1. запрет аудио- и видеозаписи в местах, предназначенных для удовлетворения личных потребностей, включая прием пищи, переодевание и осуществление гигиенических процедур;
2. запрет видеозаписи для избирательного наблюдения и контроля за действиями отдельных работников, учета рабочего времени, контроля дисциплины и оценки эффективности;
3. обязательное информирование об аудио- и видеозаписи с помощью специальных знаков; при телефонном разговоре такое информирование должно осуществляться до начала разговора.

Аудио- и видеозапись без согласия субъекта персональных данных допускается при обращении в экстренные диспетчерские службы.

*Исключение составляют службы экстренной психологической помощи.

Срок хранения аудио- и видеозаписей не должен превышать 30 календарных дней.

Лицо, ответственное за внутренний контроль

Для выполнения требования о наличии в организации лица, ответственного за осуществление внутреннего контроля за обработкой персональных данных, допускается:

1. создать структурное подразделение;
2. ввести в штат отдельную должность специалиста по внутреннему контролю;
3. возложить обязанности ответственного лица на уполномоченное структурное подразделение или должностное лицо;
4. привлечь юридическое лицо или индивидуального предпринимателя, оказывающих соответствующие услуги.

При этом не каждый из указанных вариантов будет доступен всем организациям:

• Крупные и средние организации с численностью работников более 100 человек, обрабатывающие персональные данные более 100 тыс. субъектов, должны будут создать структурное подразделение либо ввести в штат отдельную должность.
• Для малого бизнеса, обрабатывающего персональные данные менее 1 тыс. субъектов, допускается привлечение юридического лица или индивидуального предпринимателя на основании договора оказания услуг.

Что может потребовать пересмотра после принятия Законопроекта?

Организациям следует обратить внимание на:

1. договоры с уполномоченными лицами;
2. порядок совместной обработки персональных данных;
3. формы и сроки действия согласий;
4. процессы принятия автоматизированных решений;
5. правила аудио- и видеозаписи;
6. модель организации внутреннего контроля.

---

Команда REVERA готова оценить, какие положения Законопроекта затрагивают процессы обработки персональных данных в вашей организации, и определить, какие договоры и процедуры потребуется пересмотреть после принятия изменений.