Защита персональных данных сотрудников в Беларуси: обязанности иностранного работодателя

При найме сотрудников в Беларуси работодатель с самого начала работает с их персональными данными: оформляет договор, рассчитывает зарплату, хранит идентификационные сведения и банковские реквизиты. Для иностранной компании всё это обычно становится частью уже существующей системы работы с персональными данными.

Проблемы возникают, когда эти данные нужно передать за пределы Беларуси. Здесь недостаточно просто перенести привычные правила компании на новую страну. В Беларуси действуют собственные требования к обработке персональных данных, в том числе к получению согласия сотрудника и трансграничной передаче информации. Для иностранного работодателя это особенно важно, поскольку данные белорусских сотрудников часто приходится передавать в головной офис или другие подразделения компании за рубежом.

Ниже разберём, какие требования распространяются на иностранного работодателя, где чаще всего возникают проблемы с обработкой и передачей данных и как меняется распределение обязанностей, если сотрудников оформляют через Employer of Record.

Закон за одну минуту

Основной документ — Закон № 99-З «О защите персональных данных», он действует с ноября 2021 года, а надзор ведёт Национальный центр защиты персональных данных. Закон вдохновлён GDPR, но оснований для обработки в нём меньше, а требования к тому, что должно быть написано в согласии, — заметно строже. Рядом Трудовой кодекс, который регулирует сами трудовые отношения.

Важны две роли. «Оператор» — тот, кто определяет, как и зачем обрабатываются данные (в терминах GDPR — контролёр). «Уполномоченное лицо» обрабатывает данные по поручению оператора (обработчик). Держите их в голове: когда дойдём до Employer of Record, именно ваша роль здесь всё и меняет.

Что считается данными сотрудника — и что «специальными»

В трудовых отношениях вы работаете с обычным набором — имя, адрес, идентификационный номер, зарплата, банковские реквизиты, сам договор, — и всё это персональные данные под защитой закона. Обрабатывать их — нормально и законно; нужно лишь делать это на надлежащем основании и держать в безопасности.

Часть данных относится к «специальным» и идёт со строгими правилами: сведения о здоровье, биометрия, генетические данные. Собираете что-то из этого — медсправку, отпечаток пальцев для доступа в офис — обращайтесь с ним особенно аккуратно и на отдельном, чётком основании.

Ваши базовые обязанности как оператора

Как только вы обрабатываете данные сотрудников, включается набор обязанностей. Ничего необычного, но несколько из них нужно делать осознанно, а не по умолчанию, — и здесь локальная поддержка по кадрам и комплаенсу себя оправдывает. Главное:

• Законное основание. По умолчанию это согласие, если не подходит другое основание; закон перечисляет исключения, а часть кадровой обработки опирается на Трудовой кодекс, а не на согласие.
• Правильное согласие. Это не галочка: в действительном согласии должно быть указано, кто вы и где находитесь, цели, конкретный перечень данных, срок действия, все обработчики, состав действий и способы, а также права субъекта и последствия согласия или отказа.
• Безопасность и ответственность. Нужны правовые, организационные и технические меры, назначенное лицо или подразделение, ответственное за защиту данных, обучение персонала, контроль доступа и опубликованная Политика обработки.
• Права субъектов. Люди могут запросить свои данные, исправить их или отозвать согласие — нужен порядок работы с такими обращениями.
• Уведомление об инцидентах. При нарушении вы уведомляете регулятора в течение трёх рабочих дней.

Если это читается как GDPR с более острыми углами — интуиция верная, но комплаенс живёт в деталях, а разъяснения регулятора для операторов отличаются достаточно, чтобы простой перенос домашней системы не сработал.

Ловушка для иностранных работодателей: трансграничная передача

А теперь то, что подводит почти всех. Как только данные сотрудников покидают Беларусь — уходят в ваш глобальный HR, в головной офис, в размещённый за рубежом сервис расчёта зарплаты или мониторинга, — это трансграничная передача, и закон регулирует её через тест на «надлежащий уровень защиты».

Куда уходят данные	Надлежащий уровень?	Что нужно
Государства ЕАЭС	Да	Стандартное основание — передача разрешена
Стороны Конвенции Совета Европы № 108 (значительная часть Европы)	Да	Стандартное основание — передача разрешена
США, Великобритания и большинство стран вне ЕС	Не автоматически	Отдельное основание — как правило, конкретное информированное согласие с указанием страны и цели

Загвоздка — в нижней строке. США, Великобритания и большинство стран вне ЕС не считаются «надлежащими» автоматически. Поэтому если ваша HR-система крутится на американском SaaS или серверы стоят в британском дата-центре, опираться на обычную глобальную политику приватности не выйдет. Нужно отдельное, «под Беларусь», основание — как правило, явное согласие с указанием страны и цели, с описанием рисков для сотрудника.

Исправить это обычно посильно. Для большинства рутинных передач рабочее основание — правильно составленное информированное согласие на передачу: в нём называют каждую страну-получателя, цель и конкретные риски. Где согласие не годится или потоки крупные и постоянные, закон допускает и путь с разрешением регулятора. В любом случае задача — выявить каждый поток и дать ему названное основание, а не прекратить передачу: вы фиксируете реальность, а не блокируете её.

Пропустить это легко именно потому, что незаметно: никто не «решает» вывозить данные — они сами утекают туда, где живут ваши инструменты.

Если расчёт зарплаты или HR-системы у вас размещены вне Беларуси, именно этому потоку и нужно надлежащее основание.

Мониторинг сотрудников — где ломается быстрее всего

Мониторинг заслуживает отдельной пометки. Следить за почтой, корпоративными устройствами, видео или геолокацией в Беларуси можно, но только с письменной политикой, понятным уведомлением и согласием — правила мониторинга сотрудников конкретны, и нарушить их легко.

И вот что усугубляет: система мониторинга почти всегда отправляет собранное на дашборд или сервер за рубежом. То есть мониторингу нужно не только собственное согласие — поверх него снова срабатывает правило трансграничной передачи. Это самый частый способ, которым иностранный работодатель незаметно переходит черту.

На ком ответственность, если вы работаете через EOR

Вот где различие «оператор — уполномоченное лицо» и играет роль. Когда вы нанимаете через Employer of Record, EOR — это местный юридический работодатель, а значит, и оператор для тех кадровых данных, которые он обрабатывает в Беларуси. Сбор согласий, ответственное лицо, Политика обработки, локальные меры безопасности — всё это ложится на того, кто занимается этим каждый день.

Полностью «отключиться» не выйдет: за данные, которые вы получаете и обрабатываете за рубежом, и за сам трансграничный поток к вам вы по-прежнему отвечаете. Но локальная, «под Беларусь» часть комплаенса — та, которую сложнее всего вести из другой страны, — уходит с вашей нагрузки.

Для компании, которой нужно нанять в Беларуси всего нескольких человек, в этом и состоит немалая часть привлекательности найма без собственного юрлица: вы получаете специалистов, не выстраивая локальную систему защиты данных с нуля собственными силами.

Во что обходится несоблюдение

К этому стоит отнестись серьёзно. Ответственность за нарушения в сфере персональных данных в Беларуси — от административных штрафов до, в тяжёлых случаях, уголовной, с лишением свободы на несколько лет за самые серьёзные эпизоды.

Большинство компаний до этого и близко не дойдут. Но есть и цена — внимание регулятора, сорвавшаяся сделка, жалоба сотрудника, — из-за которой «разберёмся потом» оказывается плохим планом. Навести базовый порядок заранее куда дешевле, чем чинить последствия утечки постфактум.

Типичные ошибки иностранных работодателей

Чаще всего проблемы здесь не фатальны — это одни и те же несколько упущений, повторяющихся из раза в раз:

• Считать, что программа под GDPR или CCPA переносится целиком. Это хорошая база, но не готовое соответствие белорусскому закону.
• Использовать глобальную политику приватности без правок — без отдельного раздела про Беларусь со странами-получателями и основаниями передачи.
• Относиться к согласию как к галочке, когда закон требует подробных раскрытий по каждой цели.
• Вовсе упускать правило трансграничной передачи — ведь данные «просто» лежат в привычном зарубежном HR- или зарплатном SaaS.
• Запускать инструменты мониторинга без письменной политики, уведомления и согласия — и не замечать, что они тоже вывозят данные.
• Так и не назначить ответственного за защиту данных и не опубликовать Политику обработки.

Ни одну из этих ошибок несложно обойти, если знать, куда смотреть. Беда в том, что каждая кажется пустяком — ровно до момента, когда жалоба, проверка или аудит по сделке превращают её в проблему.

Чек-лист по соответствию

Если нужна практичная отправная точка, пройдитесь по списку:

• Составьте карту: какие данные сотрудников вы обрабатываете и зачем.
• Определите законное основание для каждой цели.
• Там, где основание — согласие, оформите его правильно и подробно.
• Опубликуйте Политику обработки и назначьте ответственного за защиту данных.
• Наладьте меры безопасности и контроль доступа.
• Проверьте каждый поток данных, покидающий Беларусь, на адекватность и подведите под него надлежащее основание, если его нет.
• Держите наготове план на случай инцидента — с расчётом на правило трёх рабочих дней.
• Локализуйте политику приватности под Беларусь, а не переиспользуйте европейскую как есть.

По отдельности ничего тяжёлого. Риск возникает, когда не делают ничего из этого — потому что решили, будто система переносится сама собой.

Частые вопросы

Мы уже соответствуем GDPR. Разве это не покрывает Беларусь?

Нет. У Беларуси свой закон (№ 99-З): он вдохновлён GDPR, но не идентичен ему — требования к согласию подробнее, а правила трансграничной передачи иные. Программа под GDPR — хорошая отправная точка, но нужен отдельный «белорусский» слой, особенно по согласию и передаче данных.

Можно ли хранить данные белорусских сотрудников в нашей HR-системе в США или Великобритании?

Только при надлежащем основании для передачи. США и Великобритания не считаются автоматически обеспечивающими «надлежащий» уровень защиты, поэтому передача туда обычно требует явного, узко очерченного согласия с указанием страны и цели (и описанием рисков) либо иного основания, допускаемого законом. Обычной глобальной политики для этого недостаточно.

Нужно ли согласие сотрудника или всё покрывает трудовой договор?

Зависит от цели. По умолчанию основание — согласие, но часть кадровой обработки может опираться на Трудовой кодекс или иные законные основания. Безопаснее сопоставить каждую цель со своим основанием, а не считать, что договор покрывает всё; а там, где вы опираетесь на согласие, следите, чтобы оно отвечало подробным требованиям к содержанию.

Кто «оператор», если мы работаем через EOR?

По кадровым данным, которые EOR обрабатывает как местный юридический работодатель, оператор — это EOR, и обязанности на нём. За данные, которые вы получаете и обрабатываете в своих системах за рубежом, включая трансграничную передачу к вам, отвечаете вы.

Нужен ли нам ответственный за защиту данных в Беларуси?

Да — закон предполагает назначенное лицо или подразделение, ответственное за защиту данных, наряду с мерами безопасности и опубликованной Политикой обработки. Если вы нанимаете через EOR, эта ответственность по локальным кадровым данным лежит на EOR.

Что делать при утечке данных?

Уведомить регулятора в течение трёх рабочих дней — то есть план на случай инцидента нужен заранее, а не на ходу. Важна скорость, и важно заранее решить, кто и что делает.

Можно ли вести мониторинг сотрудников в Беларуси?

Да, в определённых рамках — мониторинг допустим при письменной политике, понятном уведомлении и согласии. Помните, что большинство инструментов мониторинга отправляют данные за рубеж, а значит, включается и правило трансграничной передачи; рассматривайте мониторинг и передачу данных вместе.

Действует ли закон на нас, если у нас нет юрлица в Беларуси?

Если вы обрабатываете персональные данные людей в Беларуси, правила в игре независимо от того, где находится ваша компания, — отчасти поэтому вопрос трансграничной передачи так важен для иностранного работодателя. Наём через EOR — один из чистых способов оставить локальную обработку в руках белорусского оператора.

Чем это на практике отличается от GDPR?

Форма знакомая, но детали работают иначе: согласие должно нести гораздо больше обязательной информации, законных оснований меньше, а тест на трансграничную передачу считает «надлежащими» меньше стран — в частности, не США и не Великобританию. Считайте GDPR фундаментом и добавляйте сверху белорусский закон.

Чем помогает eor.by

Как местный работодатель в модели EOR, eor.by берёт на себя обязанности оператора по кадровым данным вашей белорусской команды — законные согласия, ответственное лицо, Политику обработки, локальную безопасность и работу с инцидентами — и подскажет, как выстроить трансграничные потоки в ваши собственные системы.

Напишите нам — проведём проверку на соответствие: скажем, что относится к вашему случаю и где, если что, ваша нынешняя работа с данными белорусских сотрудников недотягивает.