С вступлением в силу Закона Республики Беларусь от № 99-З «О защите персональных данных» (далее — Закон) и соответствующими подзаконными актами, порядок получения, оформления и хранения согласий на обработку персональных данных (ПД) претерпел существенные изменения. На актуальными являются требования, установленные данным Законом, а также Постановлением Совета Министров РБ от № 81 «Об утверждении Положения о порядке и условиях обработки персональных данных».

Данная статья представляет подробный разбор требований к согласию, типичные ошибки, актуальный образец документа и ответы на частые вопросы, релевантные для операторов персональных данных (ОПД), действующих на территории Беларуси.

Правовая база: когда согласие обязательно, а когда нет?

Согласно ст. 14 Закона № 99-З, обработка персональных данных допускается только при наличии оснований, перечисленных в ч. 1 ст. 14. Согласие субъекта ПД — это лишь одно из оснований (п. 1 ч. 1 ст. 14). Оператор обязан определить правовое основание до начала обработки.

Основные основания для обработки БЕЗ согласия (ч. 1 ст. 14 Закона):

• Исполнение договора, стороной которого является субъект ПД (п. 2).
• Исполнение законодательства (налоговое, трудовое, бухгалтерское учет) (п. 3).
• Защита жизни, здоровья или иных жизненно важных интересов субъекта (п. 4).
• Реализация прав и законных интересов оператора или третьих лиц (в т.ч. для прямого маркетинга по почте/телефону с соблюдением ст. 20 Закона о рекламе) (п. 5).
• Обработка данных, сделанных общедоступными самим субъектом (п. 6).
• Статистические или научные цели (с обезличиванием) (п. 7).

Требования к форме и содержанию согласия (ст. 15, 16 Закона № 99-З)

Согласие должно быть конкретным, информированным, сознательным и свободным. Общие фразы вроде «соглашаюсь на обработку всех моих данных для любых целей» — недопустимы и могут быть признаны недействительными судом или Оперативным аналитическим центром (ОАЦ) при проверке.

Обязательные реквизиты согласия (ч. 2 ст. 15 Закона):

1. Сведения об операторе: Наименование (ФИО для ИП), УНП, адрес места нахождения/регистрации.
2. Цель(и) обработки: Четко сформулированные, конкретные цели (не «для улучшения сервиса», а «для рассылки новостей о скидках на email»).
3. Перечень обрабатываемых ПД: Конкретные категории (ФИО, контактный телефон, email, адрес доставки, IP-адрес, cookie, фото и т.д.).
4. Способы обработки: Перечисление действий: сбор, запись, систематизация, накопление, хранение, уточнение (обновление), извлечение, использование, передача (раскрытие), обезличивание, блокирование, удаление, уничтожение.
5. Срок действия согласия / условие прекращения: Конкретная дата (например, «до ») или событие («до отзыва согласия», «до достижения цели обработки»). Бессрочные согласия не рекомендуются.
6. Сведения о передаче третьим лицам (если планируется): Категории получателей, цели передачи, меры защиты (договоры с получателями).
7. Право на отзыв: Уведомление о праве субъекта отозвать согласие в любой момент (ч. 3 ст. 15 Закона).
8. Последствия отзыва/отказа: Информация о том, к чему приведет отказ (например, «невозможность получения рассылки», «отказ в оформлении лояльности»), но не отказ в исполнении основного договора, если обработка для договора не требует согласия.
9. Подпись субъекта ПД (или ЭЦП/простой ЭП): Дата составления.

Особые требования для специальных категорий ПД (ст. 17 Закона):

Для обработки данных о расовой/национальной принадлежности, политических взглядах, религиозных убеждениях, состоянии здоровья, интимной жизни, биометрии, судимостях — требуется письменное согласие (на бумаге с «живой» подписью или с использованием квалифицированной ЭЦП). Простая электронная подпись (чек-бокс на сайте) для таких данных недостаточна.

Актуальный образец согласия (универсальный, для адаптации)

Внимание: Ниже приведен ориентировочный образец. Перед использованием обязательно адаптируйте его под конкретные бизнес-процессы, удалите лишнее и добавьте специфичные для вашей деятельности пункты. Юридическая ответственность за соответствие Закона лежит на Операторе.

Особенности оформления в цифровой среде (Сайты, Приложения, Чат-боты)

На 2026 год практика ОАЦ и судов требует строгого соблюдения принципа Privacy by Design.

Чек-лист для веб-форм и мобильных приложений:

• Гранулярность: Отдельные чек-боксы для разных целей (один — на рассылку, другой, на профилирование, третий — на передачу партнерам). Запрещены «комбо-чекбоксы» («Соглашаюсь на всё»).
• Отсутствие предзаполненных галочек: Чек-боксы должны быть неактивны (unchecked) по умолчанию. Пользователь должен совершить активное действие.
• Ссылка на полный текст: Рядом с чек-боксом должна быть гиперссылка «Текст согласия на обработку ПД» или «Политика конфиденциальности», открывающая полный документ (образец выше) в новом окне/вкладке.
• Фиксация факта согласия (Логирование): Оператор обязан хранить доказательство: дата/время (UTC+3), IP-адрес, User-Agent, версия текста согласия (хэш или номер версии), значение чек-бокса (true), ID сессии/пользователя. Хранить минимум 3 года после прекращения обработки.
• Простая электронная подпись (ПЭП): Нажатие кнопки «Отправить» / «Зарегистрироваться» после установки галочки эквивалентно ПЭП (п. 19 Положения № 81). Убедитесь, что в тексте оферты/пользовательского соглашения есть фраза: «Нажимая кнопку [Название], Вы подтверждаете, что ознакомились с текстом Согласия и даете его, используя простую электронную подпись».
• Возможность легкого отзыва: В каждом письме/СМС/пуш — ссылка «Отписаться» / «Отозвать согласие», ведущая на страницу подтверждения без необходимости ввода пароля (one-click unsubscribe). В личном кабинете — раздел «Настройки конфиденциальности» с тумблерами.

Работа с детьми (несовершеннолетними)

Согласно ст. 16 Закона и ст. 22 ГК РБ:

• До 14 лет: Согласие дает законный представитель (родитель, усыновитель, опекун) от своего имени с указанием данных ребенка. Требуется проверка полномочий представителя (свидетельство о рождении, паспорт родителя, решение органа опеки).
• 14–18 лет: Несовершеннолетний дает согласие самостоятельно с письменного согласия законных представителей (подпись родителя на бумажном образце или отдельная галочка/ЭЦП родителя в цифре).

Для онлайн-сервисов, ориентированных на детей, необходимо внедрять механизм верификации возраста (Age Gate) и получения родительского согласия (например, через банковскую карту родителя, Госуслуги/ЕРИП, видеовездеходку).

Передача данных третьим лицам и трансграничная передача

Передача внутри РБ:

Допускается только на основании договора с получателем (п. 2 ст. 20 Закона). Договор должен содержать обязательства получателя: обрабатывать данные только по инструкции оператора, обеспечивать конфиденциальность, принимать меры защиты № 81, не передавать дальше без согласия оператора. В тексте согласия субъекта нужно указывать категории получателей и цели (см. п. 5 образца).

Трансграничная передача (за пределы РБ):

Регламентируется ст. 21 Закона и Положением о порядке трансграничной передачи (утв. ОАЦ). Разрешена, если:

1. Страна-получатель входит в Перечень стран, обеспечивающих адекватную защиту (утвержден ОАЦ, актуализируется ежегодно).
2. Заключены стандартные договорные условия (СДУ) в форме, утвержденной ОАЦ (модельный договор).
3. Есть письменное согласие субъекта специального содержания (с указанием страны, получателя, рисков).
4. Передача необходима для исполнения договора с субъектом или в его интересах (исключительно).

Важно: Использование облачных сервисов (Google Analytics, Meta Pixel, Amplitude, AWS, Azure, 1С в облаке и т.д.) с серверами за рубежом, это трансграничная передача. Требуется аудит поставщиков и оформление СДУ.

Хранение, уничтожение и журнал учет согласий

Оператор обязан вести учет полученных согласий (п. 23 Положения № 81). Рекомендуемая структура журнала (электронная БД/таблица):

Уничтожение: После отзыва согласия или истечения срока/достижения цели — уничтожение в течение 30 календарных дней (ч. 4 ст. 15 Закона). Составляется Акт уничтожения (комиссия минимум 3 лица, приказ об утверждении комиссии). Для электронных носителей — безвозвратное удаление (перезапись) по методикам ГОСТ/СТБ.

Типичные ошибки и риски (Практика 2024–2026 гг.)

1. «Вечное» согласие без срока или условия прекращения. Риск: предписание ОАЦ, штраф до 200 БВ (базовых величин) за нарушение ст. 15 Закона.
2. Сбор согласия там, где есть другое основание (договор/закон). Создает ложную видимость легальности, но не снимает обязанность защищать данные по общим правилам. Лучше указать в Политике конфиденциальности основание «исполнение договора».
3. Отсутствие версии текста согласия. Пользователь согласился на v1.0, оператор поменял текст на v2.0 (добавил передачу партнерам) и продолжает обрабатывать. Необходимо запрашивать повторное согласие на новую версию.
4. Использование чек-бокса для биометрии/здоровья. Грубое нарушение ст. 17 Закона. Только бумага + «живая» подпись или КЭП.
5. Передача в Meta/Google/TikTok без СДУ и согласия. Активная тема проверок ОАЦ. Пиксель/CAPI передает хеши email/телефона/IP — это ПД. Нужен пункт в согласии, СДУ с irlandскими сущностями, указание в реестре ОАЦ (если оператор вносится в реестр).
6. Игнорирование права на отзыв. Сложная процедура отписки (нужно зайти в ЛК, найти настройки, ввести пароль) — нарушение принципа «легкости отзыва».

Ответственность за нарушения (2026 год)

• Административная (КоАП РБ ст. 10.31): Нарушение требований законодательства о ПД — штраф на должностных лиц до 20 БВ, на юрлиц/ИП — до 200 БВ (с конфискацией дохода или без). За повторное — выше.
• Гражданско-правовая (ГК РБ ст. 151, 1004): Возмещение морального вреда (суды все чаще взыскивают 500–5000 БР за утечки/спам).
• Блокировка ресурса: ОАЦ вправе обратиться в суд с иском о ограничении доступа к информационному ресурсу (сайту/приложению) при грубых нарушениях (ст. 24 Закона).

Практический чек-лист для аудита ваших согласий (Self-Check)

Пройдитесь по пунктам. Если хоть один пункт — «Нет», требуется доработка.

• [ ] Определены все цели обработки для каждого бизнес-процесса?
• [ ] Для каждой цели выбрано правильное правовое основание (согласие / договор / закон)?
• [ ] Текст согласия содержит все 9 обязательных реквизитов (ст. 15)?
• [ ] Текст согласия версионируется (v1.0, v1.1…), история изменений хранится?
• [ ] На сайте/в приложении: чек-боксы неактивны по умолчанию, есть гранулярность, ссылка на полный текст?
• [ ] Ведется журнал учета с фиксацией IP, времени, версии текста, способа получения?
• [ ] Для спец. категорий ПД и биометрии — только письменная форма / КЭП?
• [ ] С подписанными получателями (подрядчиками маркетинга, доставки, облаками) заключены договоры с обязательствами по ст. 20 Закона?
• [ ] При трансграничной передаче: проверен Перечень стран ОАЦ, заключены СДУ?
• [ ] Реализован простой и быстрый отзыв (one-click в письмах, раздел в ЛК)?
• [ ] Есть регламент уничтожения данных по истечении срока/отзыву (30 дней, Акт, Комиссия)?
• [ ] Персонал, имеющий доступ к ПД, подписан на допуске/NDA, пройдет обучение за последний год?
• [ ] Опубликована актуальная Политика конфиденциальности на сайте (ссылка в футере, в приложении, в договорах)?

Оформление согласия на обработку персональных данных в Беларуси в 2026 году — это не разовая акция «скачал шаблон и забыл», а непрерывный процесс управления данными (Data Governance). Ключевые принципы: прозрачность, целевое ограничение, минимизация данных, точность, ограничение сроков хранения, целостность и конфиденциальность, подотчетность (принципы ст. 5 Закона № 99-З).

Используйте приведенный выше образец как конструктор: берите только те блоки, которые соответствуют вашим реальным процессам. Регулярно (раз в квартал/полгода) проводите аудит по чек-листу из раздела 10. В случае сомнений — обратитесь к профильным юристам по IT/IP/Privacy Law для экспертизы ваших документов и процессов.