Организация обработки и защиты персональных данных согласно закону №99-3

Документ устанавливает правила сбора, обработки, хранения и передачи личной информации граждан Беларуси. Закон вступил в силу 15 ноября 2021 года и обязателен для любой организации, работающей с данными физлиц — от интернет-магазина до банка. Содержит требования к согласию, технической защите, уведомлению в случае утечки.

Любой компании, обрабатывающей данные физлиц — ФИО, адреса, телефоны, e-mail, паспорт, биометрию, данные о здоровье. Это интернет-магазины, медучреждения, банки, страховщики, HR-системы, операторы связи, CRM-системы. Размер бизнеса не имеет значения — закон распространяется и на ИП с одним сотрудником.

Политика обработки персональных данных, локальные акты о доступе, согласия субъектов на обработку, журнал учёта операций, перечень обрабатываемых категорий, реестр взаимодействий с третьими лицами, регламент реагирования на инциденты. Документация хранится в актуальном виде и предъявляется по запросу контролирующих органов.

За нарушение порядка обработки — до 200 базовых величин для должностных лиц. За незаконные действия с биометрией или специальными категориями — до 200 базовых величин и приостановка деятельности. Помимо штрафа компания обязана уведомить субъекта и Национальный центр защиты персональных данных об утечке в течение 72 часов.

Шифрование баз данных, ограничение прав доступа по принципу минимума, журналирование действий с записями, антивирусная защита серверов и рабочих станций, резервное копирование с проверкой восстановления, межсетевые экраны, защита от внешних атак. Уровень мер определяется категорией обрабатываемых данных и возможным риском.

Аудит текущего состояния, разработка пакета документов, внедрение технических мер, обучение сотрудников, регистрация компании в реестре операторов при необходимости. Аккредитованный центр сопровождает на каждом этапе и помогает пройти первичную проверку контролирующих органов без замечаний и штрафных санкций.