С момента вступления в силу Закона Республики Беларусь от 7 мая 2021 г. № 99-З «О защите персональных данных» требования к работе интернет-ресурсов в Байнете кардинально изменились. Регулятор — Национальный центр защиты персональных данных Республики Беларусь (НЦЗПД) — на регулярной основе проводит мониторинг сайтов, выносит предписания об устранении нарушений и инициирует привлечение к административной ответственности.
Для владельца сайта (интернет-магазина, корпоративного портала, сервиса услуг) соблюдение Закона № 99-З — это не просто размещение стандартного текста политики конфиденциальности в подвале сайта. Закон напрямую регулирует выбор хостинга, физическое размещение серверов, условия договоров с провайдерами и техническую архитектуру хранения баз данных. В этом подробном руководстве мы разберем, как закон о персональных данных влияет на инфраструктуру сайта, почему хостинг выступает «уполномоченным лицом», какие требования предъявляются к формам и куки, и как избежать штрафов в 2026 году.
1. Что на сайте считается персональными данными?
Согласно Закону № 99-З, персональные данные (ПДн) — это любая информация, относящаяся к идентифицированному физическому лицу или физическому лицу, которое может быть идентифицировано. На любом современном сайте обработка данных начинается в момент, когда пользователь взаимодействует с интерактивными элементами:
- Прямые идентификаторы в формах: фамилия, имя, отчество, номер мобильного телефона, адрес электронной почты (email), почтовый адрес доставки товара, паспортные данные (для договоров и рассрочек).
- Цифровые идентификаторы: IP-адрес посетителя, данные файлов cookie (куки), уникальные ID клиентских устройств, сведения о браузере и геолокации. Если в связке с другими данными они позволяют индивидуализировать действия конкретного пользователя, НЦЗПД классифицирует их как персональные данные.
- Данные учетных записей: логины, зашифрованные пароли в базах данных, история заказов, переписка со службой поддержки и онлайн-чатом.
- Специальные персональные данные: биометрические данные, сведения о здоровье (например, в формах онлайн-записи медицинских центров), членстве в профсоюзах и судимости. Для таких категорий действуют особо строгие регламенты технической защиты.
💡 Заблуждение: «Если у нас нет интернет-магазина, а только форма обратной связи "Оставьте имя и телефон для консультации", закон на нас не распространяется».
Реальность: Наличие даже одного поля «Номер телефона» в форме обратного звонка делает вашу компанию оператором персональных данных со всеми вытекающими обязанностями.
2. Требования Закона к хостингу и серверам
В вопросе выбора хостинга для белорусского сайта Закон № 99-З действует в неразрывной связке с нормами Указа Президента РБ № 60 о регулировании Байнета и требованиями Оперативно-аналитического центра (ОАЦ).
Физическое расположение серверов и баз данных
Ключевой аспект безопасности персональных данных — их территориальное хранение. Статьи 8 и 9 Закона № 99-З устанавливают строгий порядок трансграничной передачи персональных данных:
- Передача данных допускается без специальных согласований только на территорию государств с надлежащим уровнем защиты прав субъектов персональных данных (перечень утвержден НЦЗПД и включает страны ЕАЭС и государства-участники Конвенции Совета Европы № 108).
- В страны с ненадлежащим уровнем защиты (включая США, где размещены многие глобальные облачные провайдеры) передача данных возможна только в исключительных случаях: при наличии отдельного специального согласия пользователя с разъяснением рисков либо по индивидуальному разрешению НЦЗПД.
- Для субъектов хозяйствования Республики Беларусь (юрлиц и ИП) требование Указа № 60 носит императивный характер: серверы коммерческих ресурсов и базы данных обязаны быть размещены в дата-центрах на территории Республики Беларусь.
Попытка развернуть базу данных с анкетами белорусских покупателей на дешевом сервере в Германии, Нидерландах или США нарушает одновременно и Указ № 60, и правила трансграничной передачи данных НЦЗПД.
Хостинг-провайдер как «Уполномоченное лицо» (Статья 7)
В терминологии Закона № 99-З:
- Оператор — это владелец сайта (ваша организация или ИП), который определяет цели сбора данных и несет за них генеральную ответственность.
- Уполномоченное лицо — любая третья сторона, которая обрабатывает данные от имени оператора или в его интересах.
Поскольку файлы сайта и база данных физически размещаются на дисковых накопителях провайдера, хостинг-провайдер юридически является уполномоченным лицом. Согласно статье 7 Закона, передача обработки данных уполномоченному лицу требует соблюдения строгих условий:
- В договоре с хостингом (или в публичном договоре-оферте) должен быть прямо зафиксирован статус провайдера, перечень разрешенных действий с данными, обязанность соблюдать строгую конфиденциальность и применять технические меры защиты.
- Если в оферте зарубежного хостера таких пунктов нет, владелец сайта не имеет законного права поручать ему хранение персональных данных граждан РБ.
🔒 Практика лидеров Байнета: Ведущие белорусские провайдеры из нашего каталога хостингов Беларуси (Hoster.by, Hostfly.by, ActiveCloud) заранее включили в свои публичные договоры и регламенты необходимые положения об обработке персональных данных в соответствии с требованиями НЦЗПД и предоставляют клиентам типовые формы допсоглашений.
Обычный хостинг против аттестованного (СЗИ ОАЦ)
Далеко не каждому сайту требуется сложная государственная аттестация, но важно четко понимать границу между типами проектов:
| Категория проекта | Какие данные обрабатываются | Требуемый уровень хостинга |
|---|---|---|
| Сайты-визитки, блоги, лендинги | ФИО, телефон, email, базовые куки | Стандартный виртуальный хостинг в РБ с изоляцией аккаунтов и SSL |
| Интернет-магазины, сервисы доставки | Адреса, номера телефонов, история заказов, корзина | Надежный виртуальный хостинг или изолированный облачный VPS/VDS в РБ с резервным копированием |
| Медицинские центры, лаборатории | Специальные ПДн (истории болезней, анализы, диагнозы) | Аттестованный хостинг/облако с действующим аттестатом соответствия СЗИ (Приказ ОАЦ № 66) |
| Банки, финтех, государственные ИС | Финансовые сведения, критически важные реестры | Выделенный аттестованный сегмент ЦОД уровня Tier III с аппаратным шифрованием |
3. Чек-лист соответствия сайта требованиям НЦЗПД в 2026 году
Большинство штрафов и предписаний регулятора связаны не со взломами серверов, а с типичными ошибками при проектировании веб-интерфейсов и сборе данных. Проверьте ваш сайт по контрольному списку:
1. Политика в отношении обработки персональных данных
- Политика должна представлять собой отдельный документ, написанный понятным и доступным языком (а не скопированный сухой юридический шаблон).
- Прямая ссылка на Политику должна быть размещена в подвале (footer) на абсолютно всех страницах сайта, а также непосредственно под каждой формой ввода данных.
- В документе должны быть четко разделены конкретные цели обработки (например: отдельно «обработка заказов», отдельно «ответ на вопросы через форму связи», отдельно «отправка рекламной рассылки») с указанием сроков хранения данных для каждой цели.
2. Формы сбора данных (заявки, корзина, регистрация)
- Запрет предзаполненных галочек: чекбокс согласия должен быть пустым! Автоматически проставленная галочка трактуется НЦЗПД как недействительное согласие, поскольку оно не является активным действием пользователя.
- Запрет «пакетного согласия»: недопустимо объединять в одном пункте согласие на обработку данных для покупки товара и согласие на получение рекламных SMS/рассылок. Реклама и рассылки — это исключительно добровольное согласие, оформленное отдельным независимым чекбоксом.
- Принцип соразмерности (минимизации): запрашивайте только те поля, которые действительно необходимы для оказания услуги. Если для консультации достаточно имени и телефона, запрещено делать обязательными поля «Дата рождения», «Должность» или «Паспортные данные».
3. Баннер согласия на Cookies (файлы куки)
В соответствии с официальными разъяснениями НЦЗПД, уведомление о cookie не может быть формальной плашкой с единственной кнопкой «Понятно» или «ОК»:
- Пользователю должен быть предоставлен выбор категорий: технические/необходимые (обеспечивают работу сайта и сессий), функциональные, аналитические (веб-аналитика) и маркетинговые/рекламные (ретаргетинг).
- В баннере обязательно должны присутствовать равнозначные кнопки: «Принять все», «Отклонить все» (отключает все куки, кроме строго необходимых для работы движка) и «Настроить».
- До момента клика на кнопку аналитические и рекламные трекеры не должны загружаться и собирать сведения.
4. Технические меры безопасности на стороне сервера
- Обязательный HTTPS и SSL-шифрование: передача данных пользователей по открытому HTTP-протоколу категорически недопустима. О выпуске защищенных сертификатов читайте в нашем материале про SSL-сертификаты.
- Регулярные резервные копии (бэкапы): в случае сбоя или вирусного заражения сайта оператор обязан обеспечить быстрое восстановление целостности баз данных без потерь информации пользователей.
- Защита от перебора паролей и двухфакторная аутентификация: доступ к панели управления хостингом и административной части CMS должен быть защищен в соответствии с правилами двухфакторной аутентификации (2FA).
4. Ответственность и штрафы (Статья 23.7 КоАП РБ)
За нарушение законодательства о защите персональных данных в Кодексе об административных правонарушениях Республики Беларусь предусмотрены ощутимые санкции:
| Состав правонарушения | Статья КоАП РБ | Размер штрафа (в базовых величинах) |
|---|---|---|
| Умышленный незаконный сбор, обработка или предоставление персональных данных | ст. 23.7 ч. 1 | до 50 базовых величин |
| Нарушение установленных требований к обработке персональных данных | ст. 23.7 ч. 2 | до 100 базовых величин (на юрлицо) |
| Несоблюдение мер обеспечения защиты персональных данных | ст. 23.7 ч. 4 | от 20 до 50 базовых величин |
Помимо денежных штрафов, НЦЗПД наделен правом направлять операторам обязательные к исполнению требования о приостановлении или прекращении обработки персональных данных. Если компания игнорирует предписание, деятельность сайта может быть заблокирована регулятором через уполномоченные государственные органы.
5. Пошаговый план: как привести хостинг и сайт в порядок
- Проверьте геолокацию текущего сервера: убедитесь, что IP-адрес вашего хостинга принадлежит белорусскому пулу адресов, а серверы физически размещены в дата-центре на территории Республики Беларусь.
- Проверьте договор с хостинг-провайдером: убедитесь, что в действующем договоре или принятой оферте присутствуют обязательства провайдера по защите данных в статусе уполномоченного лица. При необходимости запросите в поддержке хостинга дополнительное соглашение.
- Обновите политику конфиденциальности: приведите текст документа в соответствие с рекомендациями НЦЗПД, исключите расплывчатые формулировки и добавьте информацию обо всех сторонних сервисах, получающих данные (хостинг, эквайринг, курьерские службы).
- Переработайте формы обратной связи: снимите предзаполненные галочки, разделите согласие на обработку заказа и согласие на получение маркетинговой рассылки.
- Установите интерактивный cookie-баннер: внедрите виджет, позволяющий посетителям осознанно соглашаться или отказываться от аналитических и маркетинговых файлов куки.
Часто задаваемые вопросы (FAQ)
Считается ли IP-адрес персональными данными по мнению НЦЗПД?
Да. В совокупности с датой, временем обращения к сайту и идентификаторами браузера динамический или статический IP-адрес признается данными, позволяющими идентифицировать пользователя. Поэтому сбор серверных логов веб-сервера (Nginx/Apache) подпадает под регламент защиты информации.
Можно ли использовать Google Analytics и Яндекс.Метрику?
Использовать системы веб-аналитики можно, однако их сбор должен быть отражен в Политике конфиденциальности, а в cookie-баннере у пользователя должна быть возможность отказаться от аналитических скриптов. Сбор данных через Яндекс.Метрику предпочтительнее с точки зрения трансграничной передачи, так как Россия входит в утвержденный НЦЗПД перечень стран с надлежащим уровнем защиты.
Что делать, если сайт уже размещен на зарубежном VPS?
Если на сайте принимаются заказы от жителей Беларуси или собираются их контактные данные, оптимальным и безопасным решением является плановый перенос проекта на белорусский VPS-сервер. Это снимет претензии со стороны как БелГИЭ (по Указу № 60), так и НЦЗПД по статье о трансграничной передаче.
Заключение
Закон о защите персональных данных — это не разовая бюрократическая формальность, а постоянный стандарт цифровой гигиены. Грамотный выбор надежного белорусского хостинга решает львиную долю инфраструктурных задач: обеспечивает физическое нахождение серверов в РБ, защищает от утечек на аппаратном уровне и юридически закрепляет статус провайдера как добросовестного уполномоченного лица.
Сравните параметры безопасности, скорость дисков и расположение серверов ведущих белорусских провайдеров в нашем каталоге хостингов Беларуси или выберите производительный VPS/VDS сервер для гарантированной изоляции ваших баз данных.