Qui doit s’inscrire au registre des opérateurs de données personnelles ?

Au plus tard le 15 janvier 2024, les opérateurs de données personnelles doivent transmettre les informations au Registre des opérateurs de données personnelles. Et lorsqu’une ressource (un système) d’information est créée après le 1er janvier 2024, les informations aux fins d’inscription au Registre des opérateurs doivent être transmises dans un délai de 10 jours suivant la mise en exploitation de la ressource (du système) d’information. Toutefois, tous les opérateurs ne sont pas tenus de s’inscrire au Registre des opérateurs de données personnelles.

Une entreprise est-elle tenue de soumettre des informations au registre des opérateurs de données personnelles ?

Un opérateur de données personnelles s’entend de toute entreprise (ainsi que de toute personne physique) qui traite des données à caractère personnel de personnes physiques. Sont considérées comme données personnelles toutes informations permettant d’identifier une personne physique, telles que ses nom, prénom, adresse de résidence, coordonnées de passeport, etc.

Tous les opérateurs ne traitent pas des données personnelles dans des volumes ou selon des modalités justifiant une inscription au registre des opérateurs de données personnelles. Les particuliers, y compris les entrepreneurs individuels qui agissent en qualité d’opérateurs de données personnelles, ne sont pas tenus d’inscrire d’informations au registre des opérateurs de données personnelles.

Pour déterminer s’il est nécessaire de consigner des informations dans le registre des opérateurs de données personnelles, il convient d’analyser les processus de traitement des données au sein de l’entreprise au regard des critères énumérés ci-dessous.

L’inscription des informations au registre des opérateurs de données personnelles est obligatoire lorsque :

1. L’entreprise est propriétaire d’un système (ou d’une ressource) d’information contenant des données personnelles. Un système d’information s’entend d’un ensemble de banques de données, de technologies de l’information et d’un complexe de logiciels et de matériels ; une ressource d’information désigne un ensemble structuré d’informations documentées, incluant des bases de données et d’autres ensembles d’informations interconnectées au sein de systèmes d’information.
2. L’entreprise procède à un transfert transfrontalier de données personnelles, sous réserve qu’un niveau adéquat de protection des droits des personnes concernées ne soit pas garanti dans le pays étranger de destination. Pour apprécier ce critère, il convient de se référer à la liste des États assurant un niveau de protection approprié des droits des personnes concernées. Cette liste comporte 57 pays, parmi lesquels figurent la Géorgie, la Lituanie, la Lettonie, l’Ukraine, la Bulgarie, la Belgique, l’Allemagne, la Pologne, etc.
3. L’entreprise traite des données personnelles biométriques et génétiques. Les données biométriques englobent notamment les empreintes digitales, la géométrie des mains, l’iris, les traits du visage et son image, etc. Les données génétiques recouvrent les caractéristiques génétiques héritées ou acquises d’une personne. Il s’agit d’informations physiologiques et sanitaires uniques, recueillies notamment lors de l’analyse d’échantillons biologiques.
4. L’entreprise traite les données personnelles de plus de 100 000 personnes physiques.
5. L’entreprise traite les données personnelles de plus de 10 000 personnes physiques qui n’ont pas atteint l’âge de 16 ans.

Lorsqu’une entreprise détient ou exploite une ressource (ou un système) d’information et que le traitement des données personnelles satisfait à un ou plusieurs critères de cette liste, elle est tenue de soumettre les informations requises aux fins de leur inscription au registre des opérateurs de données personnelles. Le nombre de personnes physiques dont les données sont traitées est apprécié à la date de l’inscription au registre.

Quelles informations doivent être soumises pour inscription au registre des opérateurs de données personnelles ?

Dès lors que l’entreprise a établi qu’elle remplit les critères de soumission d’informations au registre des opérateurs de données personnelles, les éléments suivants doivent être préparés :

• Concernant la ressource (ou le système) d’information : la dénomination de la ressource (ou du système) d’information, le lieu d’implantation des systèmes de stockage des données et des équipements informatiques. Le cas échéant, la désignation du système d’information englobant cette ressource.
• Les finalités et les fondements juridiques du traitement des données personnelles, ainsi que leurs durées de conservation.
• La liste des États vers lesquels des données personnelles sensibles sont transférées sans qu’un niveau de protection adéquat n’y soit assuré.
• Des données statistiques : le volume des données personnelles traitées à la date de l’enregistrement au registre des opérateurs de données personnelles.
• Les informations relatives aux personnes autorisées lorsque celles-ci traitent des données personnelles pour le compte de l’opérateur ou dans son intérêt : nom, prénom, patronyme, adresse, ainsi que le numéro d’immatriculation au Registre national unique (EGR), le cas échéant.
• Les coordonnées du responsable de la structure interne ou du salarié chargé du contrôle interne du traitement des données personnelles au sein de l’entreprise : nom, prénom, patronyme, fonction et contacts.

Ces informations devront être consignées dans la lettre de demande d’inscription au registre des opérateurs de données personnelles. Cette démarche peut être accomplie non seulement par l’entreprise opératrice, mais également par un mandataire autorisé agissant pour son compte.

Modalités de transmission des informations en vue de l’inscription au registre des opérateurs de données personnelles

Les informations destinées au registre des opérateurs de données personnelles peuvent être transmises selon l’une des modalités suivantes :

• Par voie électronique. À cette fin, il est nécessaire d’ouvrir un espace personnel utilisateur et de procéder à l’authentification via le Système public de gestion des clés pour la vérification de la signature électronique de la République de Biélorussie, ou via le Système unifié d’identification des personnes physiques et morales au moyen d’une signature numérique certifiée.
• Par écrit, par voie postale.
• Par le biais du système interministériel de gestion électronique des documents.

Quand est-il nécessaire de soumettre des informations actualisées au registre des opérateurs de données personnelles ?

Lorsque les informations que l’entreprise a indiquées dans la lettre de demande d’inscription au Registre des opérateurs de données personnelles sont modifiées, il est nécessaire de mettre à jour les informations dans le Registre. Pour ce faire, dans un délai de 10 jours suivant la modification, vous devez transmettre les informations actualisées pour inscription au Registre des opérateurs de données personnelles. Par exemple, cela doit être fait lorsque le salarié responsable du contrôle interne du traitement des données personnelles ou son poste et ses coordonnées changent.

Comment pouvons-nous vous assister pour déterminer l’obligation d’inscription au registre des opérateurs de données personnelles et pour accomplir les démarches afférentes ?

Nos avocats sont des spécialistes chevronnés en matière de protection des données personnelles. Nous pouvons :

• Vous conseiller sur l’obligation d’inscrire vos informations au registre des opérateurs de données personnelles ;
• Réaliser un audit de vos processus de traitement de données personnelles afin de déterminer la nécessité de procéder à cette inscription ;
• Représenter vos intérêts lors de vos interactions avec le registre des opérateurs de données personnelles.

Contactez-nous

Pour toute question relative à l’inscription au registre des opérateurs de données personnelles, nous serons ravis de vous aider ! Notre expérience reconnue vous permettra de surmonter toute difficulté.
Pour votre commodité, vous pouvez nous joindre par téléphone ou par e-mail :

• +375 29 505 10 51 (WhatsApp/Telegram/Viber);
• info@ambylegal.by.