ПРАВОВОЙ РЕЖИМ ПЕРСОНАЛЬНЫХ ДАННЫХ В РЕСПУБЛИКЕ БЕЛАРУСЬ: АКТУАЛЬНЫЕ ПРОБЛЕМЫ И НАПРАВЛЕНИЯ СОВЕРШЕНСТВОВАНИЯ

АННОТАЦИЯ

В статье анализируется правовой режим персональных данных в Республике Беларусь, выявляются его внутренние противоречия и обосновываются направления совершенствования. Рассматриваются трёхчастная субъектная модель, механизм согласия и его отзыва, режим специальных данных, полномочия Национального центра защиты персональных данных, а также требования Реестра операторов. Выявлены проблемы оценочности исключений, отсутствия автоматического приостановления обработки на период спора и недифференцированности обязанностей. Предложены точечные изменения законодательства.

Формирование в Республике Беларусь самостоятельного правового института защиты персональных данных завершилось принятием Закона от 7 мая 2021 г. № 99-З «О защите персональных данных», вступившего в силу 15 ноября 2021 года (далее – Закон № 99-З) [1]. До этого момента регулирование носило фрагментарный характер и осуществлялось преимущественно подзаконными актами, что не соответствовало ни масштабам цифровизации публичного управления, ни международным стандартам [2, с. 285–288]. Настоящая работа посвящена анализу сложившегося правового режима, выявлению его внутренних противоречий и обоснованию направлений совершенствования. Как отмечается в доктрине, увеличение трансграничных потоков персональных данных наряду с быстрым развитием технологий и глобализацией создали новые проблемы для обеспечения их безопасности. Обладание большим объемом данных становится ценнейшим активом, позволяющим не только извлекать гигантские прибыли, но и манипулировать поведением граждан. Эффективность традиционных подходов, гарантирующих защиту данных, в настоящее время существенно снижается. Это вынуждает многие страны и международные организации пересматривать нормативные правовые акты, искать новые варианты обеспечения безопасности личности, общества и государства [3, с. 52-59].

Закон № 99-З построен на трёхчастной субъектной модели: субъект персональных данных, оператор и уполномоченное лицо [1]. Такое разделение позволяет распределить ответственность между лицом, определяющим цели обработки, и лицом, осуществляющим техническую обработку по поручению. Принципиально, что оператор отвечает перед субъектом за действия уполномоченного лица, тогда как последнее несёт ответственность только перед оператором. Согласно пункту 3 статьи 7 Закона № 99-З, ответственность перед субъектами персональных данных в случае нарушения их прав при обработке персональных данных несёт оператор, в том числе если обработка поручена уполномоченному лицу; уполномоченное лицо, в свою очередь, несёт ответственность перед оператором. Эта конструкция заимствована из европейской традиции, однако её имплементация в белорусском контексте порождает вопрос: насколько эффективно она работает при отсутствии развитого рынка аутсорсинговых услуг по обработке данных [4, с. 108].

Центральным элементом режима является согласие субъекта. Закон определяет его как свободное, однозначное и информированное волеизъявление. Согласие может быть получено в письменной форме, в виде электронного документа или в электронной форме. Обязанность доказывания наличия согласия возложена на оператора. Это создаёт существенный дисбаланс: оператор вынужден документировать каждое действие по получению согласия, что при массовой обработке данных становится технически обременительным [5, с. 479–484].

Аналогичная проблема возникает с исключением для журналистской деятельности. Обработка специальных данных допускается для защиты общественного интереса, представляющего собой потребность общества в обнаружении и раскрытии информации об угрозах национальной безопасности, общественному порядку, здоровью населения и окружающей среде. Формулировка «общественный интерес» не имеет легального определения, что позволяет операторам, действующим в медиасфере, обосновывать обработку данных без согласия практически любым редакционным заданием [6, с. 156–159].

Указом Президента от 28 октября 2021 г. № 422 функции уполномоченного органа возложены на Национальный центр защиты персональных данных [7]. Центр вправе рассматривать жалобы субъектов, обязывать операторов изменять, блокировать или удалять недействительные либо незаконно полученные данные, а также требовать устранения иных нарушений [8]. Анализ полномочий Центра показывает, что надзор осуществляется не только в реактивной форме по жалобам, но и в форме плановых, внеплановых и камеральных проверок. Так, согласно официальному отчёту о деятельности Национального центра защиты персональных данных за 2025 год, Центром проведено 46 плановых, внеплановых и камеральных проверок, по результатам которых направлены требования (предписания), рекомендации об устранении выявленных нарушений [9].

Приказом Оперативно-аналитического центра при Президенте Республики Беларусь от 1 июня 2022 г. № 94 создан государственный информационный ресурс «Реестр операторов персональных данных» [10]. Согласно приказу, в Реестр подлежат включению сведения об информационных ресурсах (системах), посредством которых осуществляется: трансграничная передача специальных персональных данных (если на территории иностранного государства не обеспечивается надлежащий уровень защиты); обработка биометрических и (или) генетических персональных данных; обработка персональных данных более 100 тыс. физических лиц; обработка персональных данных более 10 тыс. физических лиц, не достигших возраста шестнадцати лет. Реестр формируется на основании сведений, представляемых операторами, и обеспечивает централизацию информации об операторах, хотя и не является аналогом обязательной регистрации в европейском смысле.

Статья 16 Закона № 99-З обязывает оператора уведомлять уполномоченный орган о нарушениях систем защиты данных незамедлительно, но не позднее трёх рабочих дней с момента, когда оператору стало известно о таком нарушении. Данная формулировка является принципиальной: она устанавливает не просто предельный срок, а обязанность действовать без промедления, что подтверждается и в приказе Национального центра защиты персональных данных Республики Беларусь от 15 ноября 2021 г. № 13 «Об уведомлении о нарушениях систем защиты персональных данных» [11].

Первое направление — уточнение исключений из согласительного режима. Действующая редакция Закона № 99-З оперирует оценочными категориями («общественный интерес», «жизненно важные интересы»), не раскрывая их содержания [1]. Это создаёт риск расширительного толкования и обхода согласительных процедур. Представляется целесообразным не ограничиваться введением легальных дефиниций, а сформировать публичный реестр общественно значимых целей обработки, при которой допускается отступление от согласительного режима. Оператор, полагающий, что его деятельность подпадает под исключение, мог бы подать заявку на включение соответствующей цели в реестр; Национальный центр проверял бы обоснованность такой заявки и публиковал решение. Подобный механизм, с одной стороны, снизил бы риски произвольного толкования, с другой — не создал бы избыточной административной нагрузки, поскольку не требовал бы согласования каждого конкретного случая. Альтернативой может служить процедура предварительного согласования оператором применения исключения с Национальным центром, однако реестровая модель представляется более гибкой и предсказуемой [11].

Второе направление — введение права на ограничение обработки. Отсутствие в Законе № 99-З автоматического механизма приостановления обработки на период рассмотрения жалобы субъекта является существенным пробелом. Европейское регулирование (ст. 18 GDPR) предусматривает право на ограничение обработки, допуская хранение данных, но не иные операции с ними. Представляется обоснованным имплементировать аналогичную конструкцию в белорусское законодательство: обязать оператора применять технические меры блокировки оспариваемых данных до вынесения решения Национальным центром, за исключением случаев, когда продолжение обработки необходимо для защиты жизни или здоровья субъекта. При этом важно предусмотреть обязанность оператора уведомлять субъекта о снятии ограничения и о наличии иного законного основания для продолжения обработки. Это соответствовало бы расширенным полномочиям Национального центра по Указу № 422 и позволило бы субъекту эффективно защищать свои права в период спора, не прибегая к экстренным мерам [7].

Третье направление — развитие института представительства субъектов. Учитывая, что большинство субъектов не обладают юридическими знаниями, необходимыми для составления заявлений в соответствии со ст. 14 Закона [1], целесообразно предусмотреть возможность подачи заявлений через общественные объединения потребителей или иные некоммерческие организации, действующие в интересах субъектов данных. Это соответствует практике, сложившейся в ряде европейских юрисдикций [4, с. 108].

Четвёртое направление — дифференциация обязанностей операторов. Закон № 99-З не предусматривает дифференциации требований в зависимости от масштаба обработки или категории данных [1]. Это создаёт неоправданную нагрузку для малых предприятий и индивидуальных предпринимателей и одновременно недостаточно жёсткие требования для операторов, обрабатывающих значительные объёмы специальных категорий данных. Представляется целесообразным ввести категории обработки (высокорисковая, средняя, низкая) в зависимости от объёма данных, категорий субъектов (в особенности несовершеннолетних) и типов обрабатываемых данных. Для высокорисковых операторов следует предусмотреть обязательную оценку воздействия на защиту данных (DPIA), уже знакомую европейским компаниям. Для малых предприятий разумно сохранить упрощённые требования, в частности увеличить срок уведомления об инцидентах, поскольку установленный ст. 16 Закона трёхдневный срок для них практически невыполним [1].

Пятое направление — детализация процедуры отзыва согласия. Действующая процедура недостаточно детализирована: Закон не устанавливает порядок проверки оператором наличия иных оснований для обработки после получения отзыва, что на практике порождает споры [4, с. 108]. Представляется обоснованным обязать оператора в течение пяти рабочих дней после получения отзыва уведомлять субъекта о наличии или отсутствии иного законного основания для продолжения обработки. Если такое основание отсутствует, данные подлежат удалению в установленный срок. Подобная мера повысила бы прозрачность отношений между субъектом и оператором и снизила бы количество конфликтных ситуаций.

Шестое направление — усиление ответственности за нарушения прав субъектов. Наряду с совершенствованием процедурных механизмов целесообразно ввести административную ответственность за необоснованный отказ в предоставлении информации субъекту или за нарушение сроков ответа на его заявление. Это повысило бы дисциплину операторов и сделало бы механизм защиты прав субъектов более эффективным, не требуя при этом создания новых институтов.

Таким образом, по нашему мнению, Закон № 99-З создал необходимую правовую основу для защиты персональных данных в Беларуси, однако его конструкция несёт следы компромисса между стремлением соответствовать международным стандартам и сохранением административной гибкости [1]. Основные проблемы — оценочность исключений из согласительного режима, процедурная сложность реализации прав субъекта, отсутствие автоматического механизма приостановления обработки на период спора (при наличии у регулятора полномочия выносить соответствующее предписание по результатам проверки), а также недифференцированность обязанностей операторов [1].

Предлагаемые направления носят точечный характер и не предполагают смены парадигмы регулирования. Их реализация позволила бы повысить эффективность режима защиты персональных данных в Республике Беларусь, снизить риски расширительного толкования исключений, укрепить процессуальные гарантии прав субъектов и одновременно создать более предсказуемые условия для операторов, что в конечном счёте способствовало бы развитию цифровой экономики без ущерба для прав и законных интересов граждан.

Список литературы:

1. О защите персональных данных: Закон Респ. Беларусь от 7 мая № 99-З // Национальный правовой Интернет-портал Республики Беларусь. – 2021. – URL: https://pravo.by/document/?guid=12551&p0=H12100099 (дата обращения: 17.09.2026).
2. Булава, А.А. Правовое регулирование персональных данных в Республике Беларусь / А.А. Булава, И.А. Луньков // Проблемы социально ориентированного инновационного развития белорусского общества и профсоюзы: материалы XXVII Междунар. науч.-практ. конф., посвящ. 30-летию Гомел. фил. Междунар. ун-та «МИТСО», Гомель, 3 марта 2023 г. / Междунар. ун-т «МИТСО», Гомел. фил.; редкол.: С.Д. Колесников [и др.]. – Гомель, 2023. – С. 285⁠–⁠288.
3. Арчаков, В.Ю. Защита персональных данных за рубежом и меры ответственности за их распространение / В.Ю. Арчаков, А.Л. Баньковский, А.Ф. Мательский // Право.by. – 2021. – № 5 (73). – С. 52⁠–⁠59.
4. Бычков, А.И. Проблемы защиты персональных данных / А.И. Бычков. – Москва: Инфотропик Медиа, 2020. – 108 с.
5. Абламейко, М.С. Персонификация и защита персональных данных в информационных системах учета населения / М.С. Абламейко // Конституционно-правовые основы развития Республики Беларусь как социального государства в современных условиях: материалы Междунар. науч.-практ. конф., Минск, 3⁠–⁠4 окт. 2019 г. / Бел. гос. ун-т, Юрид. фак. [и др.]; редкол.: Г.А. Василевич (отв. ред.) [и др.]. – Минск, 2019. – С. 479⁠–⁠484.
6. Ипатов, В.Д. Проблемы применения законодательства о персональных данных в свете развития информационных технологий / В.Д. Ипатов // Информационные технологии и право: правовая информатизация – 2021: сб. материалов VII Междунар. науч.-практ. конф., Минск, 28 окт. 2021 г. / Нац. центр правовой информ. Респ. Беларусь; под общ. ред. А.Ф. Мательского. – Минск, 2021. – С. 156⁠–⁠159.
7. О мерах по совершенствованию защиты персональных данных: Указ Президента Респ. Беларусь от 28 окт. № 422 // Национальный правовой Интернет-портал Республики Беларусь. – 2021. – URL: https://pravo.by/document/?guid=12551&p0=P32100422 (дата обращения: 17.09.2026).
8. Национальный центр защиты персональных данных Республики Беларусь: офиц. сайт. – Минск [Электронный ресурс]. – URL: https://cpd.by/ (дата обращения: 17.09.2026).
9. Отчет о деятельности Национального центра защиты персональных данных Республики Беларусь за 2025 год [Электронный ресурс]. – Минск. – 2026. – URL: https://cpd.by/o-centre/otchety-o-dejatelnosti/otchet-o-dejatelnosti-za-2025-god/ (дата обращения: 22.09.2026).
10. О государственном информационном ресурсе «Реестр операторов персональных данных»: приказ Оперативно-аналитического центра при Президенте Респ. Беларусь от 1 июня № 94 // Национальный правовой Интернет-портал Республики Беларусь. – 2022. – URL: https://pravo.by/document/?guid=12551&p0=T62205021 (дата обращения: 17.09.2026).
11. Приказ Национального центра защиты персональных данных Республики Беларусь от 15 ноября 2021 г. № 13 «Об уведомлении о нарушениях систем защиты персональных данных» // ЭТАЛОН-ONLINE: информационно-поисковая система / Нац. центр законодательства и правовой информации Респ. Беларусь. – URL: https://etalonline.by/document/?regnum=u621e3029&q_id=6863831 (дата обращения: 22.09.2026).