Политика обработки персональных данных для сайта: что это и зачем бизнесу в Беларуси

Если на сайте есть форма обратной связи, корзина, подписка на рассылку или форма заявки - вы уже собираете персональные данные посетителей: имя, телефон, email, иногда адрес. По закону Беларуси это обязывает вас иметь политику обработки персональных данных и правильно оформленное согласие на сайте. Мы в eweb.by регулярно делаем аудит сайтов для клиентов и видим одну и ту же картину: форма есть, а документа, который объясняет, что происходит с введёнными данными, нет. Разберём, что это за документ, зачем он нужен и как его сделать без лишней бумажной волокиты.

Что такое политика обработки персональных данных и зачем она сайту

Политика обработки персональных данных - это документ, в котором компания объясняет посетителям сайта: какие данные собирает, зачем, как хранит, кому передаёт и как долго держит. В Беларуси это требование не рекомендация, а норма закона № 99-З «О защите персональных данных», который действует с 1 ноября 2021 года.

Закон распространяется на любую компанию, которая собирает данные физических лиц через сайт, соцсети, мессенджеры или офлайн-анкеты. Не важно, ИП у вас или ООО, пять человек в штате или пятьдесят - если на сайте есть форма «Оставить заявку», вы уже оператор персональных данных.

Без политики обработки персональных данных на сайте вы рискуете не только штрафом при проверке, но и доверием клиентов. Люди всё чаще смотрят, куда уходят их данные, особенно если речь о телефоне или адресе доставки.

Что обязательно должно быть в документе

Политика обработки персональных данных пишется не для галочки, а как реальный рабочий документ. В нём должны быть:

1. Кто оператор - полное название компании, УНП, юридический адрес, контакты.

2. Какие данные собираются - имя, телефон, email, иногда IP-адрес и данные файлов cookie.

3. Цель сбора - обработка заявки, доставка товара, рассылка, аналитика сайта. Цель должна быть конкретной, а не общей фразой «для улучшения сервиса».

4. Срок хранения - сколько времени данные хранятся после последнего обращения клиента.

5. Кому передаются данные - например, курьерской службе, платёжному агрегатору, CRM-системе. Если данные уходят за границу (на сервер зарубежного хостинга или в зарубежный сервис рассылок), это отдельно оговаривается.

6. Права пользователя - право отозвать согласие, запросить удаление данных, узнать, что о нём хранится.

7. Способ отзыва согласия - email или телефон, на который можно написать «удалите мои данные».

Мы в eweb.by при разработке сайта всегда сверяем этот список с тем, что сайт реально делает с данными. Часто оказывается, что в форме указан один email для обратной связи, а письма с заявками на самом деле уходят через стороннюю CRM - это тоже нужно отразить в политике.

Согласие на обработку: чекбокс, а не просто ссылка внизу страницы

Одна из частых ошибок на сайтах белорусских компаний - ссылка на политику обработки персональных данных есть в подвале сайта, но форма отправляется без явного согласия пользователя. По закону согласие должно быть осознанным и подтверждённым действием: пользователь ставит галочку рядом с текстом «Согласен на обработку персональных данных» и ссылкой на документ, прежде чем нажать «Отправить».

Галочка не должна стоять по умолчанию - это частая техническая ошибка, которую мы находим при аудите. Предзаполненный чекбокс юридически не считается согласием, потому что пользователь не совершил активного действия.

Для сайтов, где собираются более чувствительные данные - например, паспортные данные при оформлении рассрочки или медицинская информация - требования к согласию строже, и мы рекомендуем отдельную консультацию с юристом, а не типовой шаблон.

Cookie и аналитика: тоже персональные данные

Многие владельцы бизнеса в Беларуси считают, что раз счётчики Яндекс.Метрики или Google Analytics не собирают имя и телефон, то и политика обработки персональных данных тут ни при чём. Это не так. IP-адрес, данные о посещённых страницах, идентификаторы cookie-файлов закон тоже относит к персональным данным, если по ним можно прямо или косвенно идентифицировать человека.

Поэтому на сайте, где стоит аналитика или рекламные пиксели (ВКонтакте, myTarget, Google Ads), нужен не только пункт про cookie в политике, но и отдельное уведомление - баннер с текстом вроде «Сайт использует файлы cookie для аналитики. Продолжая пользоваться сайтом, вы соглашаетесь с политикой обработки персональных данных». Это несложный баннер, который мы ставим на все новые сайты по умолчанию.

Трансграничная передача данных: отдельный риск для бизнеса

Если сайт собран на зарубежном хостинге, рассылки идут через Mailchimp или SendPulse с серверами за рубежом, а CRM - облачный зарубежный сервис, это считается трансграничной передачей персональных данных. Закон требует, чтобы в политике это было прямо указано, а в ряде случаев - уведомление уполномоченного органа.

На практике для малого бизнеса это чаще всего решается просто: выбором сервисов с серверами в Беларуси или России (там, где позволяет интеграция), либо прямым указанием в политике, какие именно сервисы используются и зачем. Мы в eweb.by при выборе технологий для нового сайта клиента всегда учитываем, где физически стоят серверы тех инструментов, которые подключаем - от форм обратной связи до CRM.

Штрафы и ответственность: что бывает, если документа нет

Отсутствие политики обработки персональных данных или нарушение порядка сбора данных подпадает под административную ответственность по Кодексу об административных правонарушениях Беларуси. На практике проверки чаще начинаются не «по графику», а по жалобе пользователя - например, человек написал жалобу, что ему звонят с рекламой, хотя согласия он не давал, или данные с его формы заявки где-то «утекли».

Для бизнеса куда дороже штрафа обычно обходится репутационный удар: один скриншот с жалобой в соцсетях «эта компания слила мой номер» расходится по сарафанному радио быстрее, чем любая реклама. Поэтому мы советуем клиентам относиться к политике обработки персональных данных не как к формальности для проверяющих, а как к элементу доверия - наравне с отзывами и гарантией на товар.

Как внедрить политику обработки персональных данных на сайт: пошагово

Если у вас есть сайт, но документа нет, порядок действий такой:

1. Составьте перечень форм на сайте, где собираются данные: контактная форма, корзина, форма подписки, онлайн-чат, callback-виджет.

2. Опишите, что происходит с данными после отправки формы - куда уходит письмо, подключена ли CRM, кто из сотрудников видит заявки.

3. Напишите документ по структуре из раздела выше - своими словами, без копирования чужого текста с другого сайта (это частая ошибка: документ копируют у конкурента вместе с их названием компании).

4. Разместите документ отдельной страницей - обычно /privacy-policy или /politika-konfidencialnosti, ссылка в подвале сайта.

5. Добавьте чекбокс согласия на все формы, без предзаполненной галочки.

6. Добавьте cookie-баннер, если на сайте есть аналитика или реклама.

7. Укажите контакт для отзыва согласия - email, на который можно обратиться с требованием удалить данные.

Для сайта на 5-10 страниц это занимает один-два дня работы, если делать осознанно, а не копипастом. Для интернет-магазина с оплатой, доставкой и личным кабинетом документ сложнее - там добавляются пункты про платёжные данные и передачу курьерской службе.

Частые ошибки, которые мы видим на сайтах клиентов

• Политика обработки персональных данных скопирована с чужого сайта вместе с названием другой компании - это сразу видно при проверке и выглядит как подделка документа.
• Чекбокс согласия стоит, но ведёт на страницу 404 - документ переименовали или удалили при редизайне сайта, ссылку не поправили.
• В политике написано «мы не передаём данные третьим лицам», при этом на сайте подключена рассылка через зарубежный сервис - это прямое противоречие.
• Документ один на весь сайт, хотя формы разные: подписка на рассылку и оформление заказа предполагают разные цели обработки, и это стоит отразить.
• Нет даты последнего обновления документа - непонятно, актуален ли он после последних изменений на сайте.

Каждую из этих ошибок мы находим в среднем на каждом третьем сайте, который приходит к нам на аудит.

Заключение

Политика обработки персональных данных - это не формальность для галочки, а рабочий документ, который защищает и бизнес, и клиентов. Закон Беларуси требует её для любого сайта со сбором данных, а грамотное оформление согласия и cookie-баннера снижает риск штрафа и жалоб. Главное - документ должен отражать реальность: что сайт на самом деле делает с данными, а не общие фразы из чужого шаблона.

Нужна помощь? Мы в eweb.by делаем это каждый день - напишите.