Dans la société moderne, les données personnelles désignent toute information permettant d’identifier directement ou indirectement une personne physique. En Biélorussie, la législation qualifie de données personnelles non seulement les identifiants classiques tels que le nom complet, la date de naissance et l’adresse, mais aussi les données biométriques (empreintes digitales, scan de l’iris) et génétiques.
Jusqu’en novembre 2021, la réglementation des données personnelles en Biélorussie était fragmentée. La nouvelle loi entrée en vigueur à cette date a instauré un cadre global : elle a défini les principaux acteurs de la chaîne de traitement (personnes concernées, opérateurs et personnes habilitées) et a posé les principes de traitement, les exigences de sécurité ainsi que les mécanismes de protection des droits des individus.
Aujourd’hui, les opérateurs de données personnelles (entreprises et entrepreneurs individuels qui traitent des données) appliquent une approche fondée sur les risques. Ils déterminent de manière autonome le niveau de protection adéquat et mettent en œuvre des mesures juridiques, techniques et organisationnelles proportionnées à la nature et à l’échelle du traitement. Ils sont également tenus de désigner des délégués à la protection des données, de rédiger des politiques internes, de former leur personnel et d’appliquer des garanties cryptographiques ou autres mesures de sécurité techniques.
Le Centre national de protection des données personnelles (CNPDP) supervise le respect de la législation en la matière. Selon son programme pour 2025, au moins neuf opérateurs feront l’objet de contrôles planifiés, notamment de grandes entreprises technologiques, des banques et des établissements d’enseignement, sans préjudice d’inspections inopinées sur place.
Les principaux droits des personnes concernées (c’est-à-dire les individus dont les données font l’objet d’un traitement) comprennent le droit d’accès à leurs données, de rectification, d’effacement, de limitation, ainsi que le droit de porter réclamation et de contester les décisions de l’opérateur. À bien des égards, la législation biélorusse s’inspire du RGPD européen en favorisant la transparence, la minimisation des risques et le contrôle du traitement des données personnelles.
La maîtrise de la terminologie fondamentale est indispensable pour assurer un traitement conforme des données. Vous trouverez ci-dessous les principaux rôles et catégories de données soumis à la protection légale.
Personne concernée
Une personne concernée est une personne physique dont les données personnelles sont traitées. Il s’agit de toute personne dont les données sont collectées, stockées, utilisées ou manipulées d’une quelconque manière, qu’il s’agisse d’un client, d’un employé, d’un prestataire, d’un abonné à une newsletter ou d’un utilisateur de site Internet. Le critère déterminant réside dans la présence d’informations identifiables : nom, adresse, numéro de téléphone, données de passeport, etc.
Opérateur de données
Un opérateur de données est une personne morale ou un entrepreneur individuel qui détermine les finalités et les moyens du traitement des données personnelles. Les opérateurs veillent à ce que le traitement soit conforme aux exigences légales et à ce que les droits des personnes concernées soient respectés. Parmi les exemples courants figurent les employeurs, les sites de e-commerce, les banques, les compagnies d’assurance et les établissements d’enseignement.
Les opérateurs peuvent confier le traitement à des tiers tout en conservant l’entière responsabilité de la conformité.
Personne habilitée
Une personne habilitée est un tiers mandaté par l’opérateur pour traiter des données personnelles. Elle agit sur la base d’un contrat ou d’un mandat et est tenue d’appliquer les mêmes mesures de sécurité que l’opérateur. Par exemple, un cabinet d’expertise comptable ayant accès aux données des salariés ou un prestataire informatique gérant un système CRM sera considéré comme une personne habilitée.
Ce qui constitue un traitement de données personnelles
Le traitement englobe l’ensemble du cycle de vie des données, notamment :
Le simple stockage de données personnelles dans une messagerie professionnelle ou un tableau Excel constitue déjà un traitement.
Les données personnelles sont classées en plusieurs catégories selon leur degré de sensibilité :
Une compréhension claire des acteurs de la chaîne de traitement et des types de données manipulées permet aux organisations de mettre en place des systèmes de protection efficaces et d’éviter les risques juridiques.
Un traitement efficace et licite des données personnelles n’est possible que dans le respect des principes fondamentaux. Ces derniers reflètent l’approche universellement admise de la protection des informations et constituent le socle de la politique interne de l’organisation en matière de données.
Licéité et loyauté
Les données personnelles doivent être traitées sur des bases claires, loyales et transparentes. Cela implique que l’organisation dispose d’une finalité légitime et d’un fondement juridique pour collecter les informations personnelles d’un individu. Les données ne doivent pas être collectées « au cas où » ou à l’insu de la personne concernée. La loyauté suppose le respect des intérêts de l’individu et proscrit toute manipulation ou pratique trompeuse.
Limitation des finalités et minimisation des données
Les organisations ne doivent collecter que les données strictement nécessaires à une finalité déterminée. Si cet objectif peut être atteint sans certaines catégories de données, celles-ci ne doivent ni être collectées ni stockées. Par exemple, la livraison d’un produit ne requiert ni numéro de passeport ni informations sur la situation de famille. Le principe de minimisation contribue à réduire les risques de fuite de données, à rationaliser les processus internes et à renforcer la confiance des clients.
Exactitude et pertinence
Les données personnelles doivent être exactes et tenues à jour. Le responsable du traitement est tenu de prendre toutes les mesures raisonnables pour rectifier les informations inexactes ou obsolètes. Ainsi, si un salarié modifie son adresse personnelle ou son numéro de téléphone, ces données doivent être actualisées dans les plus brefs délais. Des informations erronées peuvent entraîner des préjudices financiers, des erreurs de livraison, des erreurs de calcul et d’autres conséquences dommageables.
Limitation de la conservation et suppression
Les données ne doivent pas être conservées indéfiniment. La durée de conservation doit être limitée à ce qui est nécessaire au regard des finalités du traitement. Une fois l’objectif atteint, les données doivent être supprimées ou anonymisées. Par exemple, après le départ d’un salarié, ses données personnelles ne doivent être conservées que pendant les délais légaux requis en matière d’archivage, de paie ou de contrôle fiscal, après quoi elles doivent être détruites de manière sécurisée.
Sécurité et confidentialité
Le traitement des données doit s’accompagner de mesures visant à protéger les informations contre l’accès non autorisé, la perte, la modification ou la divulgation. Cela concerne tant les aspects techniques (chiffrement, contrôle d’accès, sauvegardes) que les mesures organisationnelles (formation du personnel, règlements internes, supervision des sous-traitants). Seuls les collaborateurs dont les fonctions l’exigent doivent avoir accès aux données personnelles.
Le responsable du traitement des données est l’acteur central du cycle de vie des données. Il veille à garantir la conformité avec les principes et exigences légaux. Quelle que soit la taille de l’organisation, le responsable doit mettre en place un système de protection des données, en surveiller l’efficacité et faciliter l’exercice des droits des personnes concernées.
Désignation d’un délégué à la protection des données (DPO)
La première étape dans l’organisation du traitement des données personnelles consiste à nommer un salarié ou un département habilité à piloter la protection et la sécurité des données. Cette personne coordonne les politiques internes, assure la liaison avec les autorités de contrôle et conseille la direction sur les questions de protection des données. Ce rôle revêt une importance capitale pour les structures traitant d’importants volumes de données ou opérant dans des secteurs tels que la santé, l’éducation ou les services en ligne.
Élaboration de la documentation interne
Les opérations sur les données personnelles doivent être encadrées par des politiques et procédures internes. Le responsable est tenu de concevoir et de déployer des documents réglementaires internes précisant :
Ces documents doivent refléter les processus opérationnels réels et être régulièrement actualisés en cas de changement.
Formation du personnel
Les collaborateurs ayant accès aux données personnelles doivent connaître les règles applicables à leur traitement et sont tenus de respecter les mesures de protection. La formation peut inclure des sessions d’accueil, des contrôles de connaissances périodiques, des ateliers et la diffusion de notes d’information. Le manque de sensibilisation du personnel demeure l’une des principales causes d’incidents liés à des fuites de données ou à des divulgations non autorisées.
Mesures techniques et organisationnelles
Le responsable du traitement est tenu d’assurer la sécurité des données personnelles par la mise en œuvre de mesures techniques et organisationnelles, parmi lesquelles :
Les mesures organisationnelles englobent également la supervision des prestataires, les audits de sécurité de l’information et l’établissement de règles pour la manipulation des documents physiques (papier).
Tenue des registres et journalisation
Le responsable doit consigner les opérations impliquant des données personnelles, ce qui inclut :
Cette documentation permet de démontrer la conformité avec la législation, de reconstituer le traitement des données en cas de litige ou de contrôle, et garantit la transparence des processus.
Une démarche globale dans l’exercice des obligations de responsable du traitement permet non seulement de réduire les risques juridiques, mais témoigne également de la maturité de l’organisation en matière de responsabilité numérique et de culture de gouvernance des données.
L’un des objectifs majeurs de la législation sur la protection des données personnelles est de conférer aux individus la maîtrise des informations les concernant. Chaque personne concernée dispose d’un ensemble de droits lui permettant de comprendre, d’influencer et de gérer l’utilisation de ses données. Le responsable doit non seulement respecter ces droits, mais aussi offrir des modalités pratiques pour les exercer.
Droit à l’information sur les données personnelles
Les individus ont le droit de savoir qui traite leurs données, à quelles fins, sur quel fondement juridique, quelles catégories de données sont utilisées et à qui elles sont communiquées. Sur demande, la personne doit recevoir des informations claires et complètes, incluant des précisions sur les durées de conservation et les mesures de sécurité.
Il importe que le responsable ne dissimule pas d’informations sous le prétexte d’une « politique interne » et réponde dans un délai raisonnable. Aucun frais ne peut être exigé pour de telles demandes lorsqu’il s’agit d’une première consultation ou d’une demande standard.
Droit d’accès, de rectification, de blocage ou d’effacement des données
Une personne concernée peut s’adresser au responsable pour :
Par exemple, si un client ne souhaite plus que son numéro de téléphone soit utilisé à des fins publicitaires, il peut demander sa suppression de la base de données de l’opérateur. Ce dernier est tenu d’y donner suite ou de fournir une justification légitime de son refus (par exemple, si les données sont nécessaires pour exécuter des obligations contractuelles ou légales).
Droit de retirer son consentement
Lorsque le traitement des données personnelles repose sur le consentement de la personne, celle-ci peut le retirer à tout moment, sans avoir à se justifier. Dès lors que le consentement est retiré, l’opérateur doit cesser le traitement, sauf si un autre fondement juridique s’applique (tel que des obligations découlant du droit du travail ou de la fiscalité).
Le responsable doit mettre à disposition un moyen simple et clair pour retirer son consentement (formulaire en ligne, espace personnel, demande écrite, etc.). Rendre la démarche complexe ou ignorer ces demandes constitue une violation des droits de la personne concernée.
Dépôt de réclamations et contestation des agissements du responsable
Si une personne concernée estime que ses droits ont été enfreints — par exemple si ses données ont été partagées sans son consentement ou si le responsable a refusé de les effacer —, elle peut introduire une réclamation. Celle-ci peut être adressée directement à l’entreprise (responsable du traitement) ou à l’autorité publique habilitée en matière de protection des données. En Biélorussie, il s’agit du Centre national de protection des données personnelles (CNPDP).
En outre, la personne concernée peut intenter une action en justice, incluant une demande d’indemnisation pour préjudice moral.
La mise en œuvre des droits des personnes concernées ne relève pas de la simple formalité, mais constitue un volet essentiel de la sécurité juridique et de la confiance publique. Pour les responsables, le respect de ces droits témoigne non seulement d’une obligation légale, mais aussi de leur maturité d’entreprise, de leur orientation client et de leur transparence opérationnelle.
Le système de protection des données personnelles en Biélorussie repose sur le principe du contrôle étatique. L’autorité de tutelle en la matière est le Centre national de protection des données personnelles (CNPDP). Outre sa mission de contrôle du respect de la loi, le Centre exerce un rôle consultatif et préventif primordial.
Pouvoirs du CNPDP
Le CNPDP dispose de prérogatives étendues destinées à garantir un traitement licite et sécurisé des données personnelles. En particulier, le Centre :
Le Centre a le pouvoir de solliciter des documents, d’analyser les systèmes d’information et d’entendre les salariés des organisations. Ses injonctions ont force exécutoire.
Contrôles planifiés et inopinés
Le CNPDP mène des inspections tant planifiées qu’inopinées :
Au cours d’une inspection, le Centre peut analyser des documents, interroger le personnel habilité, examiner les systèmes informatiques et passer en revue les politiques internes. Les organisations sont tenues de coopérer avec les représentants du Centre.
Conséquences des infractions constatées
Si des manquements sont mis en évidence lors d’un contrôle, le CNPDP peut :
Les infractions non intentionnelles donnent généralement lieu à un avertissement et à une mise en demeure de se mettre en conformité. Toutefois, des violations répétées ou graves, en particulier lorsqu’elles impliquent des fuites de données ou le mépris des droits des personnes concernées, peuvent entraîner des sanctions plus lourdes telles que des amendes, une suspension temporaire d’activité et un préjudice réputationnel.
Recommandations et éclaircissements du CNPDP
Le CNPDP publie activement des guides pratiques, des réponses aux questions fréquentes, des modèles, des formulaires de consentement et des instructions sur le traitement sécurisé des données. Ces ressources sont précieuses pour les professionnels du droit, les dirigeants d’entreprise, les spécialistes IT et les collaborateurs qui traitent des données personnelles.
Les organisations peuvent solliciter le CNPDP pour obtenir des consultations, poser des questions sur la conformité réglementaire et demander un accompagnement dans la mise en œuvre de mesures de protection. Ce dialogue avec le régulateur contribue à atténuer les risques et favorise l’ancrage d’une culture de gouvernance responsable des données.
Les données personnelles ne se réduisent pas à de simples informations. Il s’agit d’un actif sensible qui exige la plus grande rigueur. Les entreprises agissant en qualité de responsables du traitement doivent non seulement maîtriser les règles applicables, mais aussi bâtir un système de protection résilient qui consacre les principes de légalité, de transparence et de respect des droits des personnes concernées.
Les exigences des pouvoirs publics en matière de protection des données personnelles continuent d’évoluer. Négliger ces aspects expose l’entreprise à des risques juridiques et réputationnels. À l’inverse, une structuration rigoureuse du traitement des données favorise la confiance des clients, partenaires et collaborateurs tout en limitant les risques opérationnels.
Si votre organisation a besoin d’un audit de ses processus actuels, d’une assistance pour la rédaction de politiques internes, de formations pour ses équipes ou d’un accompagnement juridique dans ses relations avec le CNPDP, les experts d’AMBY Legal sont à votre disposition pour vous apporter des solutions pragmatiques et un soutien complet à chaque étape.
Si vous avez des questions relatives aux données personnelles en Biélorussie, nous serons ravis de vous aider ! Notre longue expérience vous permettra de choisir un avocat pour représenter vos intérêts.
Au plus tard le 15 janvier 2024, les opérateurs de données personnelles doivent transmettre les informations au Registre des opérateurs de données personnelles. Et lorsqu’une ressource (un système) d’information est créée après le 1er janvier 2024, les informations aux fins d’inscription au Registre des opérateurs doivent être transmises dans un délai de 10 jours suivant […]
Toute entreprise traitant des données personnelles de citoyens de l’Union européenne (UE) doit tenir compte des complexités du Règlement général sur la protection des données (RGPD) dans le secteur informatique en Biélorussie. Le maintien de normes juridiques et éthiques dans la gestion des données exige la compréhension et le respect des principes du RGPD afin […]
La protection des données personnelles est devenue l’un des sujets majeurs de notre époque, en particulier dans un espace numérique en constante expansion. Ces dernières années, les gouvernements et les organisations du monde entier accordent une attention accrue au traitement sécurisé des informations nominatives. L’une des étapes les plus significatives à cet égard a été […]
