Оформление политики конфиденциальности для интернет-магазина в Республике Беларусь

Правовая основа

Главным нормативным правовым актом, регулирующим обработку персональных данных в Республике Беларусь, является Закон Республики Беларусь от 7 мая 2021 г. № 99-З «О защите персональных данных» (далее — Закон № 99-З). Данный Закон заменил ранее действовавший Закон от 10 июля 2000 г. № 426-З и вступил в силу 15 ноября 2021 года.

Политика конфиденциальности интернет-магазина — это внутренний документ оператора (владельца интернет-магазина), который определяет порядок обработки и защиты персональных данных пользователей сайта. Оформление такого документа является обязательным требованием законодательства Республики Беларусь о защите персональных данных.

Что обязательно должна содержать политика конфиденциальности

1. Сведения об операторе персональных данных

В политике конфиденциальности должны быть указаны полные реквизиты лица, осуществляющего обработку персональных данных (оператора):

• наименование юридического лица (или ФИО индивидуального предпринимателя);
• юридический адрес;
• регистрационный номер (УНП);
• контактные данные (телефон, email, почтовый адрес).

2. Цели обработки персональных данных

Согласно принципам обработки персональных данных (статья 6 Закона № 99-З), обработка должна осуществляться на законной и справедливой основе, с конкретных, заранее определенных и законных целей. В политике необходимо чётко указать, для чего собираются данные, например:

• регистрация и авторизация пользователя;
• оформление и обработка заказов;
• доставка товаров;
• осуществление расчётов;
• оказание сервисных услуг;
• информирование о статусе заказа;
• рассылка рекламных и информационных материалов (при наличии отдельного согласия);
• аналитика и статистика посещаемости сайта.

3. Перечень обрабатываемых персональных данных

Необходимо указать, какие именно персональные данные собираются и обрабатываются, например:

• фамилия, имя, отчество;
• контактный телефон;
• адрес электронной почты;
• адрес доставки;
• данные, собираемые автоматически (IP-адрес, cookie-файлы, данные браузера, история посещений).

4. Правовое основание обработки

Согласно Закону № 99-З, обработка персональных данных может осуществляться на основании:

• согласия субъекта персональных данных;
• необходимости исполнения договора, стороной которого является субъект;
• необходимости соблюдения требований законодательства;
• иных законных оснований.

Для интернет-магазина основным основанием, как правило, является согласие пользователя и необходимость исполнения договора (оформление заказа).

5. Порядок получения согласия

Согласие субъекта персональных данных должно быть:

• осознанным — пользователь должен понимать, на что он соглашается;
• конкретным — должно относиться к конкретным целям обработки;
• свободным — дано без принуждения.

Практически это реализуется через:

• проставление галочки (чекбокса) напротив текста согласия при регистрации или оформлении заказа;
• нажатие кнопки «Оформить заказ» / «Зарегистрироваться», что приравнивается к согласию с условиями политики конфиденциальности (при условии, что пользователь был ознакомлен с текстом политики до совершения действия).

Важно: согласие на обработку персональных данных и согласие на получение рекламных рассылок — это разные согласия. Их нельзя объединять в один чекбокс.

6. Сроки обработки и хранения персональных данных

В политике необходимо указать:

• срок, в течение которого хранятся персональные данные;
• критерии определения этого срока (например, до достижения целей обработки или до отзыва согласия);
• порядок уничтожения данных по истечении срока.

7. Права субъекта персональных данных

В политике конфиденциальности должны быть описаны права пользователя, предусмотренные Законом № 99-З, в том числе право:

• на получение информации об обработке своих персональных данных;
• на доступ к своим персональным данным;
• на требование уточнения, блокирования или уничтожения своих персональных данных;
• на отзыв согласия на обработку;
• на обжалование действий оператора в уполномоченный государственный орган или в суд.

8. Меры по обеспечению безопасности персональных данных

Оператор обязан принимать правовые, организационные и технические меры для защиты персональных данных от неправомерного доступа, уничтожения, изменения, блокирования, копирования и предоставления (статья 12 Закона № 99-З). В политике следует указать:

• использование протокола HTTPS (SSL-шифрование);
• ограничение доступа к персональным данным сотрудников;
• применение антивирусных и иных средств защиты;
• хранение данных на защищённых серверах.

9. Передача персональных данных третьим лицам

Если персональные данные передаются третьим лицам (например, службам доставки, платёжным системам, курьерским службам), это должно быть прямо указано в политике с перечислением:

• категорий третьих лиц;
• целей передачи данных;
• объёма передаваемых данных.

Передача данных третьим лицам без согласия пользователя допускается только в случаях, предусмотренных законодательством.

10. Использование cookie-файлов

Если сайт использует cookie-файлы (что характерно для интернет-магазинов), в политике необходимо:

• указать, какие cookie используются (аналитические, функциональные, рекламные);
• объяснить их назначение;
• предоставить возможность отказаться от использования cookie (баннер согласия).

Ответственность за нарушение законодательства о защите персональных данных

Административная ответственность

Согласно статье 23.7 Кодекса Республики Беларусь об административных правонарушениях (от 6 января 2021 г. № 91-З):

«Нарушение законодательства о защите персональных данных»

1. Умышленные незаконные сбор, обработка, хранение или предоставление персональных данных физического лица либо нарушение его прав, связанных с обработкой персональных данных, — влекут наложение штрафа в размере до пятидесяти базовых величин.

2. Деяния, предусмотренные частью 1 настоящей статьи, совершенные повторно в течение одного года после наложения административного взыскания за такие же нарушения, — влекут наложение штрафа в размере от пятидесяти до ста базовых величин.

Источник: КоАП РБ, ст. 23.7

Уголовная ответственность

Согласно статье 203² Уголовного кодекса Республики Беларусь (от 9 июля 1999 г. № 275-З):

«Несоблюдение мер обеспечения защиты персональных данных»

Несоблюдение мер обеспечения защиты персональных данных лицом, осуществляющим обработку персональных данных, повлекшее по неосторожности их распространение и причинение тяжких последствий, — наказывается штрафом, или лишением права занимать определенные должности или заниматься определенной деятельностью, или арестом, или ограничением свободы на срок до трех лет, или лишением свободы на тот же срок.

Источник: УК РБ, ст. 203²

Практические рекомендации по оформлению

1. Разместите политику конфиденциальности в открытом доступе — на видном месте сайта (обычно в «подвале» сайта — footer), а также на страницах регистрации и оформления заказа.

2. Используйте понятный язык — избегайте излишне сложных юридических формулировок, чтобы пользователь мог реально понять, что он соглашается с условиями.

3. Предусмотрите механизм отзыва согласия — пользователь должен иметь возможность отозвать согласие в любой момент (например, направив письмо на указанный email).

4. Обеспечьте отдельное согласие на рекламные рассылки — согласие на обработку данных и согласие на получение рекламы не должны объединяться.

5. Регулярно обновляйте политику — при изменении законодательства или порядка обработки данных политика должна актуализироваться, а пользователи должны быть уведомлены об изменениях.

6. Укажите контактные данные для обращений — пользователь должен знать, куда обращаться по вопросам обработки своих персональных данных.

Структура типовой политики конфиденциальности

Резюме

Политика конфиденциальности интернет-магазина в Республике Беларусь должна соответствовать требованиям Закона Республики Беларусь от 7 мая 2021 г. № 99-З «О защите персональных данных» и обеспечивать реализацию прав субъектов персональных данных. Нарушение требований законодательства о защите персональных данных влечёт административную ответственность по ст. 23.7 КоАП РБ (штраф до 50 базовых величин), а при наступлении тяжких последствий — уголовную ответственность по ст. 203² УК РБ (вплоть до лишения свободы на срок до трёх лет).

⚠️ Данный ответ носит информационно-справочный характер. Для разработки конкретного документа, соответствующего всем требованиям законодательства, рекомендуется обратиться к квалифицированному юристу.