Protección de datos personales en Bielorrusia: aspectos clave para empresas
La protección de datos personales constituye un ámbito de relevancia crítica para las empresas que operan en Bielorrusia. Toda entidad que recopile, almacene o trate información relativa a personas físicas —clientes, empleados, usuarios web— ostenta la condición legal de responsable o encargado del tratamiento de datos personales y queda sujeta a la ley bielorrusa.
Los conflictos en esta materia se originan fundamentalmente por brechas de seguridad, recopilación desproporcionada de información que excede la finalidad declarada e inobservancia de las exigencias del consentimiento. Las entidades que vulneran sus deberes legales afrontan investigaciones por parte del Centro Nacional de Protección de Datos Personales (NCPD), sanciones administrativas pecuniarias e indemnizaciones civiles ante los tribunales.
AMBY Legal asesora a compañías en la implantación y estructuración de tratamientos de datos conformes a derecho en Bielorrusia, audita la documentación interna de privacidad y asume la defensa letrada de clientes ante el NCPD y los órganos jurisdiccionales.
Es dato personal toda información concerniente a una persona física identificada o identificable. La normativa distingue varias categorías:
Datos de carácter general: nombre y apellidos, fecha de nacimiento, número de teléfono, puesto de trabajo y datos de contacto; datos destinados a verificar la identidad que requieren un nivel de protección estándar.
Categorías especiales: historial clínico y datos de salud, convicciones políticas, creencias religiosas, origen racial o étnico, antecedentes penales; información sensible sujeta a un régimen de protección reforzado y que exige, por regla general, consentimiento explícito previo.
Datos biométricos: identificadores biológicos unívocos como huellas dactilares o datos de reconocimiento facial empleados para la identificación de la persona. Una fotografía estándar no constituye dato biométrico salvo que se someta a un tratamiento específico de autenticación biométrica.
Identificadores en línea: direcciones IP, cookies e identificadores de dispositivos, catalogados como datos personales en Bielorrusia cuando permiten rastrear o determinar la identidad de una persona física.
Obtenga asesoramiento jurídico integral para su negocio tecnológico en Bielorrusia en todas sus etapas de desarrollo.
Toda persona jurídica o empresario individual bielorruso que efectúe operaciones de tratamiento sobre datos personales —recogida, registro, almacenamiento, modificación, cesión o supresión— ostenta la condición de operador y asume plena responsabilidad jurídica por su cumplimiento.
Los operadores tienen el deber legal de designar a una persona responsable o constituir una unidad interna encargada de la supervisión del tratamiento. Asimismo, deben garantizar que el tratamiento se efectúe en sistemas de información dotados de herramientas de seguridad técnica certificadas conforme a los estándares fijados por el Centro Operativo y Analítico (OAC).
El órgano estatal regulador encargado de fiscalizar la observancia de la normativa es el Centro Nacional de Protección de Datos Personales (NCPD). El NCPD efectúa inspecciones, resuelve reclamaciones de particulares y dicta requerimientos vinculantes a los operadores. Las reclamaciones ante el NCPD deben formularse en el plazo de tres meses desde que el afectado tuvo conocimiento de la vulneración.
Desde el 1 de enero de 2024, el NCPD gestiona el Registro Estatal de Operadores de Datos Personales. Los operadores están obligados a inscribir sus sistemas de tratamiento si en ellos se tratan datos de más de 100.000 personas adultas, de más de 10.000 menores de 16 años, o bien datos biométricos o genéticos.
Omitir la inscripción preceptiva de los sistemas en el Registro constituye una infracción legal. AMBY Legal asiste a los operadores en la determinación del deber de registro y en la tramitación del expediente de inscripción.
El motivo más común de litigio radica en la recogida excesiva de datos: supuestos en los que los operadores exigen más información de la estrictamente indispensable para la finalidad del servicio. Por ejemplo, para la entrega postal de una compra electrónica no resulta justificado exigir el número de identificación fiscal ni el lugar de trabajo del comprador.
El interesado que considere que sus datos se tratan con exceso está facultado para exigir directamente la supresión de los datos sobrantes al operador o interponer una reclamación ante el NCPD, lo que puede desencadenar una inspección de oficio y multas sancionadoras.
AMBY Legal asesora a las empresas en la auditoría y adecuación de formularios de captación y cláusulas de consentimiento para neutralizar reclamaciones y riesgos sancionadores.
Los procedimientos incoados por el NCPD contra operadores traen causa habitualmente de: brechas de seguridad ocasionadas por medidas técnicas deficientes, divulgación indebida de datos sin consentimiento y empleo de sistemas informáticos desprovistos de certificación de seguridad oficial.
AMBY Legal audita la documentación interna de seguridad de la información, identifica deficiencias de cumplimiento y redacta los protocolos exigidos. Si la investigación del NCPD ya se encuentra en curso, asumimos la representación jurídica del operador en el procedimiento.
La legislación bielorrusa de protección de datos otorga a los particulares un control efectivo sobre su información personal. Entre sus derechos destacan:
Derecho a revocar el consentimiento en cualquier momento: el operador debe cesar el tratamiento en un plazo máximo de 15 días tras recibir la solicitud.
Derecho de acceso a la información sobre las finalidades y modalidades del tratamiento.
Derecho a rectificar datos personales inexactos o incompletos.
Derecho a conocer los cesionarios o terceros receptores de sus datos.
Derecho a exigir la supresión o el bloqueo del tratamiento de sus datos personales.
Los operadores deben contestar a las peticiones de información en el plazo de 5 días hábiles y facilitar la respuesta íntegra en un máximo de 15 días hábiles. El incumplimiento de estos plazos faculta la intervención del NCPD y la reclamación judicial.
La transferencia de datos personales a terceros —contratistas, gestorías, proveedores de marketing o servicios informáticos— resulta admisible en Bielorrusia únicamente bajo estrictas exigencias legales.
Debe otorgarse un contrato formal de encargo de tratamiento con cada tercero que trate datos por cuenta del operador. El contrato debe estipular: las categorías de datos cedidos, los fines específicos del tratamiento, los deberes de confidencialidad y las medidas de seguridad técnicas implantadas para evitar accesos indebidos.
La cesión de datos sin la debida cobertura contractual o al margen de las finalidades pactadas constituye una infracción legal de la normativa de protección de datos en Bielorrusia.
El tratamiento de datos personales solo resulta lícito si concurre una base legitimadora expresa conforme a la legislación bielorrusa:
Consentimiento del interesado: la base más extendida, aunque no la única. El consentimiento debe ser libre, específico, informado e inequívoco, manifestado mediante una acción positiva clara (nunca casillas premarcadas).
Ejecución de un contrato: tratamiento necesario para el cumplimiento de un contrato suscrito con el interesado, como la contratación de un servicio bancario o el envío de un pedido.
Cumplimiento de una obligación legal: tratamiento impuesto directamente por la normativa aplicable al operador.
Interés público o estatal: tratamientos exigidos por razones de seguridad nacional, prevención del blanqueo de capitales o lucha contra la corrupción.
Múltiples órganos y entidades públicas tratan datos sin recabar consentimiento al amparo de las potestades expresamente conferidas por ley.
Toda entidad que trate datos personales en Bielorrusia debe disponer formalmente de los siguientes instrumentos jurídicos:
Reglamento interno sobre tratamiento de datos personales: fija las directrices internas de la empresa, delimitando finalidades, categorías de datos, plazos de conservación, régimen de accesos y medidas de seguridad.
Política de privacidad: documento público accesible en el sitio web o aplicación, que informa a los usuarios sobre qué datos se recogen, para qué fines, durante cuánto tiempo y qué derechos les asisten.
Formularios de consentimiento: cuando el tratamiento se base en el consentimiento, deben articularse fórmulas diferenciadas e individualizadas antes de iniciar el tratamiento; remitirse a la política de privacidad genérica resulta insuficiente.
Inventario de sistemas de información: relación detallada de todos los sistemas tecnológicos en los que se alojan datos, detallando denominación, finalidades y medidas de salvaguarda.
Registro de empleados autorizados: catálogo del personal con acceso a datos personales, con especificación de niveles de autorización y deberes de confidencialidad.
Dos documentos vertebran estos procesos. El Reglamento interno sobre tratamiento de datos personales fija las normas operativas dentro de la empresa, mientras que la Política de privacidad, accesible en el sitio web o en la aplicación móvil, informa con transparencia a clientes y usuarios. Dicha política detalla la identidad del responsable, la naturaleza de los datos tratados, las finalidades perseguidas y el catálogo de derechos de los interesados, así como las vías para su ejercicio.
Cuando el tratamiento se funda en el consentimiento, la organización tiene la obligación de suministrar información previa, clara e independiente sobre dicho extremo. Remitir de forma genérica a la política de privacidad resulta jurídicamente insuficiente: los interesados precisan información expresa y separada para prestar un consentimiento plenamente informado.
Los datos personales únicamente pueden conservarse durante el tiempo estrictamente necesario para cumplir los fines para los que fueron recabados. Con frecuencia los plazos vienen fijados por disposiciones legales, como las normas del Ministerio de Justicia relativas a documentos contables y laborales. A falta de plazo legal, el operador debe estipularlo expresamente en su normativa interna.
Los datos deben ser tratados exclusivamente en sistemas que cuenten con herramientas de seguridad técnica homologadas por el Centro Operativo y Analítico (OAC). Tratar datos en plataformas sin certificar vulnera la legislación bielorrusa. Bielorrusia no impone la localización forzosa de servidores en su territorio —los datos pueden alojarse en el extranjero—, pero las exigencias técnicas de protección siguen siendo de obligado cumplimiento.
Los operadores deben llevar un registro exhaustivo de las actividades de tratamiento, que consigne categorías de datos, vías de tratamiento, plazos de custodia, bases legales y permisos de acceso.
En caso de producirse un incidente de seguridad que comprometa la protección de los datos personales, el operador tiene la obligación de notificarlo al NCPD con la máxima celeridad y, en todo caso, dentro de los tres días hábiles siguientes al descubrimiento de la brecha.
Si bien no existe una obligación legal taxativa de comunicación individualizada a todos los afectados, constituye una buena práctica corporativa publicar un aviso informativo en el portal web de la empresa.
No se exige la notificación al NCPD cuando la brecha no haya conllevado la divulgación ilícita de datos a terceros, ni su alteración, bloqueo o supresión irreversible. Ello focaliza la fiscalización administrativa en sucesos que generan un perjuicio real y efectivo para los interesados.
El artículo 28 de la Constitución de la República de Bielorrusia garantiza a toda persona la protección frente a intromisiones ilegítimas en su intimidad. Con la evolución tecnológica, este postulado se proyecta a los datos personales, salvaguardándolos de usos comerciales o lesivos no consentidos.
El ordenamiento bielorrusa reconoce el derecho de supresión («derecho al olvido»), que confiere a los interesados la potestad legal de exigir el borrado o la rectificación de su información en ficheros, conocer el destino conferido a sus datos y oponerse a tratamientos impropios. AMBY Legal asiste tanto a ciudadanos que ejercitan este derecho como a operadores requeridos de supresión.
El tratamiento de datos personales de menores de 16 años exige con carácter preceptivo el consentimiento expreso de sus progenitores o representantes legales. Esta regla vincula a cualquier clase de datos, tanto de naturaleza común como especialmente protegidos.
El tratamiento de datos de personas fallecidas solo resulta admisible si el causante prestó consentimiento fehaciente en vida o mediando autorización expresa de sus parientes próximos o herederos legítimos. Los operadores que traten datos en estos colectivos deben adaptar rigurosamente sus procedimientos de captación de consentimiento.
El derecho bielorruso castiga con severidad la difusión ilícita de datos personales. El NCPD está facultado para ordenar al infractor la subsanación, rectificación o destrucción de los datos indebidamente tratados y la restitución del orden legal infringido.
Conforme al artículo 22.13 del Código de Infracciones Administrativas, la divulgación intencionada de datos personales conocidos por razón de la actividad profesional conlleva multas de 4 a 20 unidades básicas (de 180 a 900 rublos bielorrusos). Infracciones de mayor entidad —como el incumplimiento grave de las medidas de seguridad— pueden acarrear sanciones de entre 740 y 1.850 euros aproximadamente.
Requisitos para la recogida, tratamiento y protección de datos personales
La legislación bielorrusa consagra principios rectores que deben presidir todo tratamiento lícito de datos personales:
Definir la finalidad: los datos solo pueden recopilarse para fines determinados, legítimos y explícitos —ya sea la gestión de personal, prospección comercial o ejecución contractual—. Dicha finalidad debe concretarse antes de iniciar el tratamiento.
Limitar el alcance: únicamente pueden recabarse los datos estrictamente indispensables y adecuados para la finalidad declarada. Recopilar el correo electrónico so pretexto de la entrega física es ilícito si su destino real es el marketing; en tal caso, este fin debe declararse de forma separada y consentirse expresamente.
Obtener el consentimiento adecuadamente: cuando el consentimiento legitime el tratamiento, debe ser libre, informado, específico e inequívoco, manifestado mediante un acto positivo indiscutible, sin recurrir a casillas premarcadas ni a alusiones genéricas a la política de privacidad.
Informar a los interesados: con carácter previo a la prestación del consentimiento, el interesado debe ser informado con nitidez de quién trata sus datos, qué información se recoge, con qué fin, durante cuánto tiempo y mediante qué medidas de seguridad. Esta información debe figurar en una Política de Privacidad accesible antes de formalizar el consentimiento.
Garantice la protección experta de los activos de propiedad industrial e intelectual de su empresa en Bielorrusia.
Para ser plenamente válido, el consentimiento debe prestarse libremente, ser específico, informado e inequívoco, exteriorizado a través de una acción afirmativa clara del interesado —como la marcación de una casilla independiente inicialmente vacía—. Debe detallar las finalidades del tratamiento, las categorías de datos, el periodo de conservación y el derecho de revocación. Las casillas premarcadas, las cláusulas oscuras o el consentimiento tácito contravienen frontalmente la ley bielorrusa.
Un formulario de consentimiento puede devenir nulo si carece de menciones esenciales, tales como la especificación clara de las finalidades, el elenco de datos recabados, los plazos de conservación o el régimen de revocación. Asimismo, redactar cláusulas ambiguas o genéricas que no correspondan con las operaciones reales de tratamiento acarrea su invalidez jurídica.
Entre las infracciones más usuales destacan: el uso de casillas preseleccionadas (no constituyen un acto afirmativo válido), la imposibilidad de descargar o consultar el texto íntegro del consentimiento, asimilar la aceptación genérica de la Política de Privacidad a un consentimiento expreso y no registrar la evidencia de la aceptación (dirección IP, sello de tiempo y versión del texto aceptado).
Las repercusiones abarcan: multas pecuniarias administrativas, resoluciones del NCPD que ordenan el cese fulminante del tratamiento ilícito, bloqueo cautelar o definitivo de los sistemas de datos, reclamaciones de indemnización de daños interpuestas por los perjudicados y graves perjuicios de imagen corporativa.
Debe entregarse al interesado un documento específico que desglose con absoluta nitidez las finalidades, los datos requeridos, los plazos de conservación y las vías para revocar la autorización antes de estampar la firma. Es preceptivo custodiar el documento original firmado y, como estándar de buena praxis, remitir una copia digitalizada al correo del firmante como prueba del acto.
Deben incorporarse casillas de verificación separadas y desmarcadas para cada finalidad de tratamiento independiente. Es obligatorio registrar telemáticamente la dirección IP, fecha, hora exacta y la redacción literal de la cláusula aceptada. En ningún caso debe fusionarse el consentimiento de datos con los Términos y Condiciones generales del servicio.
La ley bielorrusa reconoce el derecho del interesado a retirar su consentimiento en cualquier momento. El responsable debe suspender y cesar las operaciones de tratamiento de esos datos en el plazo improrrogable de 15 días desde la recepción de la solicitud. Carecer de un registro fidedigno de revocaciones expone a la sociedad a imputaciones por tratamiento ilegítimo continuado, conllevando sanciones públicas y demandas indemnizatorias civiles.
Para un acreedor extranjero, ver las palabras «en quiebra» junto al nombre de un deudor bielorruso es un golpe duro. La reacción natural es pensar que el dinero se ha perdido y que se ha cerrado la puerta a cobrar lo que se le debe. Esa reacción es completamente errónea y es precisamente así como […]
Hay una dura realidad en los litigios por deudas que los demandantes suelen descubrir demasiado tarde: ganar un juicio solo sirve si aún quedan bienes contra los que ejecutar la sentencia. Quien pasa un año y gasta una pequeña fortuna para obtener una sentencia, pero descubre que entretanto el deudor ha vaciado discretamente sus cuentas […]
Es una de las suposiciones más naturales que una persona puede hacer sobre su testamento: lo firmé correctamente en mi país, indica quién recibe cada bien y, por tanto, eso es lo que ocurrirá en todas partes y con todo lo que poseo. Para la mayor parte de una herencia y en la mayoría de […]
