En la sociedad actual, se entiende por datos personales cualquier información que identifique directa o indirectamente a una persona física. En Bielorrusia, la normativa legal clasifica dentro de los datos personales no solo los identificadores estándar como el nombre completo, la fecha de nacimiento y la dirección, sino también la información biométrica (por ejemplo, huellas dactilares, escaneo del iris) y los datos genéticos.
Hasta noviembre de 2021, la regulación de los datos personales en Bielorrusia era fragmentaria. La nueva ley promulgada entonces introdujo un marco integral: estableció a los participantes clave en la cadena de tratamiento de datos —interesados, operadores y personas autorizadas— y fijó los principios de tratamiento, los requisitos de seguridad y los mecanismos de protección de los derechos de los ciudadanos.
Hoy en día, los operadores de datos personales (empresas y empresarios individuales que tratan datos personales) aplican un enfoque basado en el riesgo al tratamiento de datos. Determinan de forma autónoma el nivel de protección adecuado e implementan medidas legales, técnicas y organizativas proporcionales a la naturaleza y escala del tratamiento de datos. Asimismo, están obligados a designar delegados de protección de datos, elaborar políticas internas, formar a los empleados e implantar salvaguardas criptográficas u otras medidas técnicas.
El Centro Nacional de Protección de Datos Personales (CNPDP) supervisa el cumplimiento de la legislación sobre datos personales. Conforme a su plan para 2025, al menos nueve operadores serán objeto de auditorías planificadas, incluidas grandes empresas tecnológicas, bancos e instituciones educativas, contemplándose asimismo inspecciones presenciales no programadas.
Los principales derechos de los interesados (es decir, las personas cuyos datos son objeto de tratamiento) comprenden el acceso a sus datos, su rectificación, su supresión, su bloqueo, así como el derecho a presentar reclamaciones y a recurrir las actuaciones del operador. En muchos aspectos, la legislación bielorrusa refleja el RGPD europeo al promover la transparencia, la minimización de riesgos y la supervisión en el tratamiento de datos personales.
Comprender la terminología fundamental resulta indispensable para un tratamiento correcto de los datos. A continuación, se detallan los roles principales y los tipos de datos sujetos a protección legal.
Sujeto de los datos
El interesado o sujeto de los datos es la persona física cuyos datos personales son objeto de tratamiento. Ello abarca a cualquier persona cuyos datos se recojan, almacenen, utilicen o gestionen de otro modo, tales como un cliente, un empleado, un contratista, un suscriptor de boletines o un usuario de un sitio web. El criterio determinante es la presencia de información identificativa: nombre, dirección, número de teléfono, datos de pasaporte, etc.
Operador de datos
El operador de datos es la persona jurídica o empresario individual que determina los fines y los medios del tratamiento de datos personales. Los operadores son responsables de garantizar que el tratamiento se ajuste a los requisitos legales y que se respeten los derechos de los interesados. Ejemplos habituales son los empleadores, los comercios en línea, los bancos, las entidades aseguradoras y las instituciones educativas.
Los operadores pueden delegar el tratamiento en terceros, pero continúan siendo plenamente responsables de su cumplimiento.
Persona autorizada
Una persona autorizada es un tercero contratado por el operador para tratar datos personales. Actúa en virtud de un contrato o mandato y debe aplicar las mismas salvaguardas que el operador. Por ejemplo, una gestoría con acceso a los datos de los empleados o un proveedor informático que gestione un sistema CRM tendrían la consideración de personas autorizadas.
En qué consiste el tratamiento de datos personales
El tratamiento abarca todo el ciclo de vida de los datos, lo que incluye:
Incluso el almacenamiento de datos personales en el correo electrónico corporativo o en una hoja de cálculo de Excel tiene la consideración de tratamiento.
Los datos personales se clasifican en varias categorías atendiendo a su sensibilidad:
Una comprensión clara de quién interviene en la cadena de tratamiento de datos y de qué tipos de datos se manejan permite a las organizaciones configurar sistemas eficaces de protección de datos personales y eludir riesgos legales.
Un tratamiento eficaz y lícito de los datos personales solo es viable cuando se respetan los principios básicos de tratamiento. Estos principios reflejan el enfoque universalmente aceptado sobre la protección de la información y constituyen los cimientos de la política interna de datos de cualquier organización.
Licitud y equidad
Los datos personales deben ser tratados sobre bases lícitas, equitativas y transparentes. Ello significa que la organización debe disponer de un fin legítimo y de una base jurídica para recabar la información personal de una persona. Los datos no deben recopilarse «por si acaso» ni sin notificar al interesado. La equidad implica el respeto a los intereses del individuo y excluye cualquier manipulación o práctica encubierta.
Limitación de la finalidad y minimización de datos
Las organizaciones deben recopilar exclusivamente los datos estrictamente necesarios para un fin determinado. Si la finalidad puede alcanzarse prescindiendo de ciertas categorías de datos, estas no deben recogerse ni almacenarse. Por ejemplo, la entrega de un producto no requiere datos de pasaporte ni información sobre el estado civil. El principio de minimización contribuye a mitigar los riesgos de brechas de seguridad, agilizar los procesos internos y consolidar la confianza de los clientes.
Exactitud y actualidad
Los datos personales deben ser exactos y mantenerse actualizados. El responsable del tratamiento está obligado a adoptar medidas razonables para rectificar la información inexacta o desactualizada. Por ejemplo, si un empleado cambia de domicilio o de número de teléfono, los datos deben actualizarse con prontitud. La información inexacta puede acarrear perjuicios económicos, errores en las entregas, cálculos erróneos y otros resultados negativos.
Limitación del almacenamiento y supresión
Los datos no deben conservarse de forma indefinida. El periodo de retención debe limitarse a lo necesario para la finalidad del tratamiento. Una vez cumplido el propósito, los datos deben suprimirse o anonimizarse. A título ilustrativo, tras la baja de un empleado, sus datos personales solo deben conservarse durante los plazos legalmente exigidos en materia de archivo, nóminas o auditorías, transcurridos los cuales deben eliminarse de forma segura.
Seguridad y confidencialidad
El tratamiento de datos debe incorporar medidas para proteger la información frente al acceso no autorizado, la pérdida, la alteración o la divulgación. Esto se aplica tanto a las medidas técnicas (cifrado, control de accesos, copias de seguridad) como a los enfoques organizativos (formación del personal, reglamentos internos, supervisión de contratistas). Únicamente debe concederse acceso a los datos personales a aquellos empleados cuyas funciones lo requieran.
El responsable del tratamiento de datos es la figura central en el ciclo de vida de los datos. Él asume la responsabilidad de garantizar el cumplimiento de los principios y requisitos legales. Con independencia del tamaño de la organización, el responsable debe instaurar un sistema de protección de datos, supervisar su funcionamiento y facilitar el ejercicio de los derechos de los interesados.
Nombramiento de un Delegado de Protección de Datos (DPD)
El primer paso en la organización del tratamiento de datos personales consiste en designar a un empleado autorizado o departamento encargado de gestionar la protección y seguridad de los datos. Esta persona coordina las políticas internas, se relaciona con las autoridades de supervisión y asesora a la dirección en materia de protección de datos. Este rol adquiere especial relevancia en organizaciones que tratan grandes volúmenes de datos u operan en sectores como la sanidad, la educación o los servicios en línea.
Elaboración de documentación interna
Las operaciones con datos personales deben regirse por políticas y procedimientos internos. El responsable está obligado a redactar e implantar documentos normativos internos que definan:
Estos documentos deben reflejar los procesos de negocio reales y actualizarse periódicamente cuando se produzcan cambios.
Formación del personal
Los empleados que dispongan de acceso a datos personales deben conocer las normas aplicables a su tratamiento. Dichos empleados están obligados a observar las medidas de protección. La formación puede incluir sesiones informativas iniciales, controles periódicos de conocimientos, talleres y distribución de actualizaciones. La falta de concienciación del personal constituye una de las principales causas de incidentes relacionados con fugas de datos o divulgación no autorizada.
Medidas técnicas y organizativas
El responsable del tratamiento está obligado a garantizar la seguridad de los datos personales mediante la implantación de medidas tanto técnicas como organizativas. Ello incluye:
Las medidas organizativas comprenden asimismo la supervisión de contratistas, auditorías de seguridad de la información y la introducción de normas para la gestión de documentos físicos (en papel).
Registro y llevanza de historiales
El responsable debe llevar un registro de las operaciones que involucren datos personales. Esto comprende:
Tal documentación ayuda a acreditar el cumplimiento de la legislación, reconstruir el tratamiento de datos en caso de controversias o inspecciones, y garantiza la transparencia de los procesos.
Un enfoque integral en el cumplimiento de los deberes como responsable del tratamiento no solo mitiga los riesgos jurídicos, sino que evidencia la madurez de la organización en términos de responsabilidad digital y cultura de gobernanza de la información.
Uno de los objetivos primordiales de la legislación sobre protección de datos personales es otorgar a los ciudadanos el control sobre la información que les concierne. Todo interesado detenta una serie de derechos que le facultan para comprender, influir y gestionar el uso que se hace de sus datos. El responsable debe no solo respetar estos derechos, sino también facilitar mecanismos accesibles para su ejercicio.
Derecho a obtener información sobre los datos personales
Las personas tienen derecho a saber quién trata sus datos, con qué fines, sobre qué base jurídica, qué categorías de datos se emplean y a quién se comunican. Previa solicitud, el interesado debe recibir información exhaustiva y clara, incluidos los detalles sobre los plazos de conservación y las medidas de seguridad.
Es fundamental que el responsable no oculte información bajo el pretexto de «política interna» y responda en un plazo razonable. No podrá percibirse tasa alguna por tales solicitudes cuando se trate de una consulta inicial u ordinaria.
Derecho de acceso, rectificación, bloqueo o supresión de datos
El titular puede dirigirse al responsable para:
A título ilustrativo, si un cliente ya no desea que su número de teléfono se emplee con fines comerciales, puede solicitar su supresión de la base de datos del responsable. El operador deberá atender la solicitud o aportar una justificación legal para su denegación (por ejemplo, si los datos son necesarios para cumplir obligaciones contractuales o exigencias legales).
Derecho a retirar el consentimiento
Si el tratamiento de datos personales se fundamenta en el consentimiento del interesado, este podrá retirar dicho consentimiento en cualquier momento sin necesidad de esgrimir motivo alguno. Una vez retirado el consentimiento, el operador deberá cesar en el tratamiento de los datos, salvo que concurra otra base jurídica (como las exigencias del derecho laboral o fiscal).
El responsable debe habilitar un método sencillo y claro para revocar el consentimiento a través de un formulario en línea, el área de usuario, una solicitud por escrito, etc. Dificultar el proceso de retirada o ignorar tales solicitudes vulnera los derechos del interesado.
Presentación de reclamaciones e impugnación de las actuaciones del responsable
Si un interesado considera que se han vulnerado sus derechos —por ejemplo, si sus datos se compartieron sin consentimiento o el responsable se negó a suprimirlos—, podrá interponer una reclamación. Esta puede presentarse directamente ante la empresa (responsable) o ante el organismo público competente en materia de protección de datos. En Bielorrusia, se trata del Centro Nacional de Protección de Datos Personales (CNPDP).
Asimismo, el afectado podrá emprender acciones legales, incluida la reclamación de una indemnización por daños morales.
La efectividad de los derechos de los interesados no es una mera formalidad, sino un aspecto crítico de la seguridad jurídica y la confianza pública. Para los responsables, el respeto a estos derechos constituye tanto un requisito legal como una muestra de madurez corporativa, orientación al cliente y transparencia operativa.
El sistema de protección de datos personales en Bielorrusia se sustenta en el principio de supervisión estatal. La autoridad de control principal en este ámbito es el Centro Nacional de Protección de Datos Personales (CNPDP). Además de velar por el cumplimiento de la ley, el Centro desempeña un importante cometido consultivo y preventivo.
Competencias del CNPDP
El CNPDP está dotado de amplias atribuciones orientadas a garantizar un tratamiento lícito y seguro de los datos personales. En particular, el Centro:
El Centro tiene la potestad de recabar documentos, analizar sistemas de información y entrevistar al personal de las organizaciones. Sus resoluciones son de obligado cumplimiento.
Inspecciones planificadas y no programadas
El CNPDP realiza tanto inspecciones programadas como no programadas:
Durante una inspección, el Centro puede analizar documentos, entrevistar al personal responsable, examinar los sistemas informáticos y revisar las políticas internas. Las organizaciones están obligadas a cooperar con los representantes del Centro.
Consecuencias de las infracciones detectadas
Si en el transcurso de una inspección se detectan infracciones, el CNPDP puede:
Las infracciones involuntarias suelen acarrear una advertencia y la orden de cumplimiento. Sin embargo, las infracciones reiteradas o graves, especialmente aquellas que impliquen brechas de seguridad o el desprecio de los derechos de los interesados, pueden acarrear consecuencias más severas, tales como multas, suspensión temporal de actividades y daños reputacionales.
Guías y aclaraciones del CNPDP
El CNPDP publica activamente materiales de orientación, respuestas a preguntas frecuentes, plantillas, formularios de consentimiento e instrucciones sobre el tratamiento seguro de datos. Estos recursos son valiosos para profesionales del derecho, directivos de empresas, especialistas en TI y empleados que tratan datos personales.
Las organizaciones pueden dirigirse al CNPDP para realizar consultas, presentar solicitudes sobre cumplimiento normativo y recabar apoyo en la implantación de medidas de protección de datos. Este diálogo con el regulador contribuye a mitigar riesgos y fomenta una cultura de gestión responsable de la información.
Los datos personales no son mera información sobre una persona. Constituyen un activo sensible que debe gestionarse con la máxima responsabilidad. Las empresas que actúan como responsables del tratamiento no solo deben comprender las normas de tratamiento de datos, sino también erigir un sistema de protección resiliente que defienda los principios de legalidad, transparencia y respeto a los derechos de los interesados.
Los requisitos gubernamentales en el ámbito de la protección de datos personales continúan evolucionando. Descuidar estas cuestiones puede acarrear consecuencias tanto jurídicas como reputacionales. Al mismo tiempo, un enfoque estructurado en el tratamiento de datos personales fomenta la confianza entre clientes, socios y empleados, y reduce los riesgos empresariales.
Si su organización precisa una auditoría de los procesos actuales, asistencia en la redacción de políticas internas, formación para el personal o asesoramiento jurídico en sus relaciones con el CNPDP, los expertos de AMBY Legal están preparados para ofrecerle soluciones prácticas y un acompañamiento integral en cada fase.
Si tiene alguna pregunta relacionada con los datos personales en Bielorrusia, estaremos encantados de ayudarle. Nuestra dilatada experiencia le ayudará a elegir un abogado para representar sus intereses.
Cualquier empresa que trate datos personales de ciudadanos de la Unión Europea (UE) debe conocer las complejidades del Reglamento General de Protección de Datos (RGPD) en el sector de las TI en Bielorrusia. Mantener los estándares legales y éticos en la gestión de datos requiere comprender y cumplir los principios del RGPD para evitar multas […]
En la actualidad, la confidencialidad y la protección de la información personal se han convertido en aspectos clave de la actividad empresarial. Habida cuenta de las estrictas exigencias normativas en materia de tratamiento de datos personales, las empresas deben asumir una alta responsabilidad y atención en esta materia. Este artículo analiza la relevancia del consentimiento […]
La protección de datos personales se ha convertido en uno de los temas clave en el mundo moderno, especialmente en el espacio digital en rápida evolución. En los últimos años, la atención de los gobiernos y organizaciones de todo el mundo se ha centrado cada vez más en el tratamiento seguro de la información personal. […]
