Записали телефон клиента в блокнот, чтобы напомнить о заказе, — уже обработали персональные данные. Поставили камеру у кассы — тоже. По закону не важно, ведёте вы гигантскую CRM или храните пять контактов в заметках телефона: если это данные живого человека, к вам применяются те же правила, что и к банку. Разница только в масштабе, не в наличии обязанностей.

За январь–август 2026 года белорусы подали в Национальный центр защиты персональных данных около 700 жалоб — вдвое больше, чем годом раньше. Каждая четвёртая касается именно торговли и услуг: камеры в примерочных и туалетах, передача данных клиентов третьим лицам без спроса, разговоры не по делу. Это не абстрактная тема для юристов из крупных компаний — с ней сталкивается любой, кто держит магазин, салон или принимает заказы через мессенджер.

Кто такой оператор персональных данных — и почему это, скорее всего, вы

Закон Республики Беларусь от 7 мая 2021 г. № 99-З «О защите персональных данных» действует с 15 ноября 2021 года и распространяется на всех: юрлица, ИП, госорганы. Персональные данные в нём определены широко — это любая информация об идентифицированном или идентифицируемом человеке. Не только паспортные данные, но и телефон, e-mail, адрес доставки, а по сути и видеозапись, на которой узнаваемо чьё-то лицо.

Оператором персональных данных закон называет того, кто самостоятельно организует или осуществляет их обработку — то есть определяет, зачем и как эти данные собирать. Обработкой при этом считается почти любое действие: сбор, хранение, изменение, передача, даже само наличие данных на диске без активного использования. Собрали резюме кандидатов по почте, ведёте список клиентов для доставки, установили камеру в торговом зале — вы оператор, и это не зависит от размера бизнеса.

Пример: когда согласие не нужно

ИП шьёт шторы на заказ и записывает в блокнот имя, телефон и адрес клиента для доставки. Отдельное согласие на обработку этих данных не требуется: они получены в рамках договора и используются строго для его исполнения — доставить готовый заказ. А вот включить тот же телефон в рассылку с акциями по шторам без отдельного согласия уже нельзя — это другая цель обработки.

На каком основании вообще можно обрабатывать чужие данные

Самое частое заблуждение — что без подписанной бумажки с галочкой «согласен» вообще нельзя ничего делать с данными клиента. Это не так: в статье 6 закона перечислено двадцать оснований для обработки, и согласие — только одно из них, хоть и самое известное.

На практике малому бизнесу чаще всего хватает трёх оснований:

  • Согласие субъекта. Нужно, когда вы хотите использовать данные шире, чем требует прямое исполнение обязательств — например, отправлять рекламные рассылки или передавать данные партнёру.
  • Исполнение договора. Если человек — сторона договора с вами (купил товар, заказал услугу), вы вправе обрабатывать те данные, что нужны для исполнения этого договора, без отдельного согласия. Но только те и только для этого.
  • Трудовые отношения. Данные сотрудников, которые нужны для оформления и ведения кадрового учёта, обрабатываются в силу законодательства — тоже без отдельного согласия.

Важная деталь: если вы получили данные для одной цели (доставить заказ), использовать их для другой (прислать рекламу того же магазина) без отдельного согласия уже нельзя. Национальный центр защиты персональных данных прямо разбирал этот случай в своих разъяснениях: цель и объём данных должны совпадать с тем, что реально нужно, — избыточный сбор считается нарушением.

Что делать, если согласие всё-таки нужно

Если основание для обработки — согласие, оно должно быть свободным, однозначным и информированным: человек понимает, на что соглашается, и может отказаться без последствий для себя. НЦЗПД разработал рекомендуемую форму согласия — с ней проще не упустить обязательные пункты: кто оператор, для какой цели собираются данные, какой их объём, кому они могут передаваться и на какой срок действует согласие.

Три вещи, которые чаще всего делают неправильно:

  1. Просят общее согласие на всё сразу. Нельзя одной галочкой получить согласие и на обработку заказа, и на рекламную рассылку, и на передачу данных партнёрам — под каждую отдельную цель нужно отдельное согласие, а человек должен иметь возможность согласиться с одним пунктом и отказаться от другого.
  2. Собирают данные с запасом «на будущее». Если для рассылки достаточно имени и e-mail, требовать ещё и дату рождения с адресом — уже нарушение: обрабатывать можно только то, что реально нужно для заявленной цели.
  3. Не указывают срок действия согласия. Формулировки вроде «до отзыва согласия» или «пока действует законодательство» не подходят — нужна конкретная дата, период или понятное условие.

Отозвать согласие человек может в любой момент, и по закону это не должно быть сложнее, чем его дать.

Какие меры защиты обязательны

Отдельная группа обязанностей — не про согласие, а про то, как данные хранятся и кто до них дотягивается. Статья 17 закона требует от оператора принимать правовые, организационные и технические меры, необходимые и достаточные для защиты персональных данных. Конкретного списка «сделайте вот это пять пунктов» в законе нет — вместо этого действует риск-ориентированный подход: мера защиты должна быть соразмерна тому, что вы обрабатываете и чем рискуете при утечке.

На практике для небольшого бизнеса это чаще всего сводится к простым вещам:

  • ограничить круг сотрудников, у которых есть доступ к базе клиентов или личным делам работников;
  • не хранить пароли и доступы к CRM или почте в общем доступе;
  • если данные передаются подрядчику (бухгалтеру на аутсорсе, службе доставки) — оформить с ним соглашение, где прописаны цели обработки и обязанность соблюдать конфиденциальность;
  • не оставлять бумажные документы с личными данными клиентов и сотрудников там, где их может увидеть кто угодно.

Если персональные данные обрабатывает не сам оператор, а кто-то по его поручению — например, аутсорс-бухгалтерия — по закону это уполномоченное лицо, и с ним обязателен договор, где закреплены цели обработки, перечень действий и меры защиты.

Что грозит за нарушения

Административная ответственность прописана в статье 23.7 КоАП. Штрафы разные — в зависимости от того, что именно нарушено:

  • незаконные сбор, обработка, хранение или предоставление данных — до 50 базовых величин (сейчас это 2 250 рублей);
  • то же самое, но данные стали известны в связи с профессиональной деятельностью, — от 4 до 100 базовых величин;
  • незаконное распространение данных — до 200 базовых величин (9 000 рублей);
  • несоблюдение мер защиты — для ИП от 10 до 25 базовых величин, для юрлица от 20 до 50.

Есть и более серьёзная планка: если незаконный сбор или распространение данных повлекли существенный вред правам человека, наступает уже уголовная ответственность по статье 203-1 Уголовного кодекса. НЦЗПД, в свою очередь, вправе выносить предписания об устранении нарушений и приостанавливать обработку данных в конкретной системе на срок до полугода — то есть буквально заблокировать вам работу с базой клиентов до исправления.

С чего начать, если раньше об этом не думали

Если до сих пор персональные данные клиентов и сотрудников обрабатывались «как получится» — это нормальная стартовая точка, важно с неё сдвинуться:

  1. Составьте список: какие данные вы вообще собираете и зачем (клиенты, сотрудники, кандидаты на работу, подписчики рассылки).
  2. Для каждого пункта определите основание обработки — договор, согласие, трудовые отношения. Если единственное основание, которое приходит в голову, — «ну мы же всегда так делали», это повод оформить согласие.
  3. Уберите лишнее: если данные собираются, но нигде не используются, — это риск без выгоды.
  4. Ограничьте доступ к базам данными только тем, кому это действительно нужно по работе.

Отдельная и частая тема — видеонаблюдение в магазине, кафе или офисе: у него своя специфика согласия и размещения камер — разбираем в материале «Видеонаблюдение в бизнесе: что можно снимать, а за что оштрафуют». Туда же — как оформить персональные данные сотрудников и что можно требовать от кандидата на собеседовании.

Источники: