Вопрос
В каких конкретно случаях оператор освобождается от обязанности направлять уведомление о нарушении системы защиты персональных данных в Национальный центр защиты персональных данных?
Краткий ответ
Уведомление направляется не позднее трёх рабочих дней, если нарушение привело к незаконному распространению, предоставлению, изменению, блокированию или удалению данных без возможности восстановления.
16–17 апреля 2026 г. в рамках Юридического конгресса LAWSPRING-2026 одна из дискуссий развернулась вокруг утечек персональных данных и обязанностей операторов перед регулятором. Участники обсуждали реальные кейсы, когда компании не успели уложиться в трехдневный срок уведомления НЦЗПД или сомневались, нужно ли вообще сообщать о конкретном инциденте. По просьбам читателей журнала «Юрист» Владимир Лосев, основатель и директор ООО «Доктор права», отвечает на самые частые вопросы о том, в каких случаях уведомление обязательно, как считать срок и какие риски несет оператор при сокрытии факта утечки. Вопрос: В каких конкретно случаях оператор освобождается от обязанности направлять уведомление о нарушении системы защиты персональных данных в Национальный центр защиты персональных данных?
Ответ: Уведомление не направляется в случае, если нарушение системы защиты не привело к незаконному распространению или предоставлению персональных данных, а также к их изменению, блокированию либо удалению без возможности восстановления. В п. 1 ст. 16 Закона Республики Беларусь от 07.05.2021 № 99-З «О защите персональных данных» (далее – Закон о защите персональных данных) одной из обязанностей оператора названо: «уведомлять уполномоченный орган по защите прав субъектов персональных данных о нарушениях систем защиты персональных данных незамедлительно, но не позднее трех рабочих дней после того, как оператору стало известно о таких нарушениях, за исключением случаев, предусмотренных уполномоченным органом по защите прав субъектов персональных данных». Вместе с тем в соответствии с п. 1 приказа Национального центра защиты персональных данных (далее – НЦЗПД) от 15.11.2021 № 13 «Об уведомлении о нарушениях систем защиты персональных данных» (далее – Приказ) уведомление не направляется, если нарушение систем защиты не привело к: – незаконному распространению, предоставлению персональных данных; – изменению, блокированию либо удалению персональных данных без возможности восстановления доступа к ним. В Постатейном комментарии НЦЗПД к Закону о защите персональных данных (к ст. 16) сказано: «с учетом данного пункта обязанность направления такого уведомления не зависит от количества лиц, затронутых данным нарушением». Определения терминов в соответствии со ст. 1 Закона о защите персональных данных: распространение персональных данных – действия, направленные на ознакомление с персональными данными неопределенного круга лиц; предоставление персональных данных – действия, направленные на ознакомление с персональными данными определенных лица или круга лиц; удаление персональных данных – действия, в результате которых становится невозможным восстановить персональные данные в информационных ресурсах (системах), содержащих персональные данные, и (или) в результате которых уничтожаются материальные носители персональных данных; блокирование персональных данных – прекращение доступа к персональным данным без их удаления.
Вопрос: Как правильно исчислять установленный срок три рабочих дня для уведомления регулятора об утечке персональных данных и других нарушениях системы их защиты?
Ответ: Три рабочих дня нужно считать со следующего рабочего дня после того, как оператор узнал о нарушении. В п. 1 ст. 16 Закона о защите персональных данных одной из обязанностей оператора названо: «уведомлять уполномоченный орган по защите прав субъектов персональных данных о нарушениях систем защиты персональных данных незамедлительно, но не позднее трех рабочих дней после того, как оператору стало известно о таких нарушениях, за исключением случаев, предусмотренных уполномоченным органом по защите прав субъектов персональных данных». В соответствии с подп. 2.1 п. 2 Приказа уведомление о нарушениях систем защиты персональных данных направляется оператором в НЦЗПД незамедлительно, но не позднее трех рабочих дней после того, как оператору стало известно о таких нарушениях, в письменной форме или в виде электронного документа. В Постатейном комментарии НЦЗПД к Закону о защите персональных данных (к ст. 16) сказано: «срок направления уведомления составляет три рабочих дня и начинает течь на следующий рабочий день после того, как оператору стало известно о нарушении систем защиты персональных данных).
Вопрос: Как корректно заполнить уведомление для НЦЗПД, если в первые дни точное количество затронутых субъектов и масштаб последствий еще не установлены?
Ответ: Следует указывать примерное количество субъектов и вероятные последствия, а затем при необходимости досылать уточнения. В соответствии с подп. 2.1 п. 2 Приказа уведомление должно содержать: примерное количество субъектов персональных данных, затронутых нарушением; вероятные неблагоприятные последствия нарушения системы защиты персональных данных (потеря контроля над персональными данными, их хищение, нарушение прав и свобод субъектов персональных данных, чести, достоинства или деловой репутации, наступление убытков, разглашение охраняемой законом тайны, наступление иного существенного имущественного или иного вреда у субъектов персональных данных). Тем самым если на момент подачи уведомления в срок не позднее трех рабочих дней после того, как оператору стало известно о таких нарушениях, оператором точное количество затронутых субъектов и масштаб последствий еще не установлены, эти данные могут быть указаны ориентировочно с учетом того, что в действительности установлено в первые дни.
Вопрос: В каком локальном акте должен быть закреплен алгоритм проведения внутренней проверки по факту утечки персональных данных?
Ответ: Алгоритм проведения внутренней проверки по факту утечки персональных данных, так же как и иных проверок в рамках осуществления внутреннего контроля за обработкой персональных данных, целесообразно определить в Положении о порядке осуществления внутреннего контроля за обработкой персональных данных. Форма названного Положения (примерный образец) размещена на сайте НЦЗПД: https://cpd.by/porjadok-osushhestvlenija-vnutrennego-kontrolja-za-obrabotkoj-personalnyh-dannyh/
Вопрос: Какие риски несет компания в случае неуведомления НЦЗПД или сокрытия факта утечки данных?
Ответ: Штраф до 20 базовых величин и риск внеплановой проверки. В п. 1 ст. 16 Закона о защите персональных данных одной из обязанностей оператора названо: «уведомлять уполномоченный орган по защите прав субъектов персональных данных о нарушениях систем защиты персональных данных незамедлительно, но не позднее трех рабочих дней после того, как оператору стало известно о таких нарушениях, за исключением случаев, предусмотренных уполномоченным органом по защите прав субъектов персональных данных». В Постатейном комментарии НЦЗПД к Закону о защите персональных данных (к ст. 16) сказано: «срок направления уведомления составляет три рабочих дня и начинает течь на следующий рабочий день после того, как оператору стало известно о нарушении систем защиты персональных данных. Ненаправление уведомления в указанный срок содержит признаки административного правонарушения, предусмотренного ст. 24.11 «Непредставление документов, отчетов и иных материалов» КоАП. Вышеуказанная статья КоАП предусматривает ответственность за «непредставление должностным или иным уполномоченным лицом или индивидуальным предпринимателем в установленные сроки … сведений … в случаях, когда обязанность их представления предусмотрена законодательными актами, либо представление таких … сведений …, содержащих заведомо недостоверные сведения», что влечет наложение штрафа в размере до 20 базовых величин. В примечании к ст. 24.11 КоАП сказано: «не является административным правонарушением, предусмотренным настоящей статьей, непредставление в установленный срок указанных … сведений …, если просрочка представления составила не более трех рабочих дней». В HYPERLINK "https://cpd.by/pravovaya-osnova/metodologicheskiye-dokumenty-rekomendatsii/postatejnyj-kommentarij-k-zakonu-respubliki-belarus-o-zashhite-personalnyh-dannyh/"Постатейном комментарии НЦЗПД к Закону о защите персональных данных (к ст. 16) также сказано: «с развитием информационных технологий оператору крайне сложно скрыть “утечку” персональных данных, поскольку, как правило, информация о такой утечке незамедлительно публикуется на различных интернет-ресурсах (а нередко и сама база данных). При этом ненаправление уведомления в адрес Центра рассматривается как безусловное основание для назначения внеплановой проверки деятельности оператора».
Вывод
Ответ: Штраф до 20 базовых величин и риск внеплановой проверки. В п. 1 ст. 16 Закона о защите персональных данных одной из обязанностей оператора названо: «уведомлять уполномоченный орган по защите прав субъектов персональных данных о нарушениях систем защиты персональных данных незамедлительно, но не позднее трех рабочих дней после того, как оператору стало известно о таких нарушениях, за исключением случаев, предусмотренных уполномоченным органом по защите прав субъектов персональных данных». В Постатейном комментарии НЦЗПД к Закону о защите персональных данных (к ст. 16) сказано: «срок направления уведомления составляет три рабочих дня и начинает течь на следующий рабочий день после того, как оператору стало известно о нарушении систем защиты персональных данных. Ненаправление уведомления в указанный срок содержит признаки административного правонарушения, предусмотренного ст. 24.11 «Непредставление документов, отчетов и иных материалов» КоАП. Вышеуказанная статья КоАП предусматривает ответственность за «непредставление должностным или иным уполномоченным лицом или индивидуальным предпринимателем в установленные сроки … сведений … в случаях, когда обязанность их представления предусмотрена законодательными актами, либо представление таких … сведений …, содержащих заведомо недостоверные сведения», что влечет наложение штрафа в размере до 20 базовых величин. В примечании к ст. 24.11 КоАП сказано: «не является административным правонарушением, предусмотренным настоящей статьей, непредставление в установленный срок указанных … сведений …, если просрочка представления составила не более трех рабочих дней». В HYPERLINK "https://cpd.by/pravovaya-osnova/metodologicheskiye-dokumenty-rekomendatsii/postatejnyj-kommentarij-k-zakonu-respubliki-belarus-o-zashhite-personalnyh-dannyh/"Постатейном комментарии НЦЗПД к Закону о защите персональных данных (к ст. 16) также сказано: «с развитием информационных технологий оператору крайне сложно скрыть “утечку” персональных данных, поскольку, как правило, информация о такой утечке незамедлительно публикуется на различных интернет-ресурсах (а нередко и сама база данных). При этом ненаправление уведомления в адрес Центра рассматривается как безусловное основание для назначения внеплановой проверки деятельности оператора».