Protection des données personnelles en Biélorussie : enjeux majeurs pour les entreprises
La protection des données à caractère personnel constitue un enjeu juridique croissant pour les entreprises exerçant en Biélorussie. Toute entité qui collecte, stocke ou traite des informations relatives à des personnes physiques — clients, collaborateurs ou utilisateurs de sites web — a la qualité d’opérateur de données et est soumise à la législation biélorusse relative à la protection des données.
Les litiges dans ce domaine résultent le plus souvent de violations de données, de collectes excessives sans lien de proportionnalité avec la finalité annoncée, et du non-respect des règles encadrant le consentement. Les opérateurs défaillants s’exposent à des contrôles du Centre national de protection des données personnelles (CNPDP / NCPD), à des amendes administratives et à des actions en réparation engagées par les personnes concernées.
AMBY Legal accompagne les entreprises dans la structuration de leurs traitements de données en conformité avec le droit biélorusse, audite leurs documents juridiques internes et assure leur défense face au CNPDP et devant les tribunaux.
Une donnée personnelle s’entend de toute information se rapportant à une personne physique identifiée ou identifiable. La législation distingue plusieurs catégories :
Les données générales : nom, prénom, date de naissance, numéro de téléphone, lieu de travail, coordonnées professionnelles — éléments d’identification courante soumis au régime de protection de base.
Les catégories particulières (données sensibles) : données de santé, opinions politiques, convictions religieuses, appartenance raciale ou ethnique, casier judiciaire — données sensibles requérant une protection renforcée et, dans la plupart des cas, un consentement explicite et exprès avant tout traitement.
Les données biométriques : caractéristiques biologiques uniques telles que les empreintes digitales ou la reconnaissance faciale utilisées à des fins d’authentification. Une simple photographie ne constitue pas une donnée biométrique, sauf si elle fait l’objet d’un traitement technique d’identification biométrique spécifique.
Les identifiants en ligne : adresses IP, traceurs cookies et identifiants de terminaux — qualifiés de données personnelles en droit biélorusse lorsqu’ils permettent de remonter à l’identité d’un individu.
Bénéficiez d’une assistance juridique experte pour votre entreprise IT en Biélorussie à chaque étape.
Toute organisation biélorusse ou entrepreneur individuel procédant au traitement de données personnelles — qu’il s’agisse de collecte, de stockage, de modification, de transmission ou d’effacement — est qualifié d’opérateur de données et assume la responsabilité légale de leur conformité.
Les opérateurs ont l’obligation légale de désigner un délégué ou un service interne dédié chargé de superviser les traitements de données au sein de l’organisation. Ils doivent également s’assurer que les données ne sont traitées que dans des systèmes informatiques dotés de moyens de sécurité certifiés conformes aux normes édictées par le Centre opérationnel et d’analyse (OAC).
L’autorité publique de contrôle en matière de données personnelles est le Centre national de protection des données personnelles (CNPDP / NCPD). Le CNPDP diligente des inspections, instruit les réclamations des particuliers et rend des injonctions obligatoires à l’encontre des opérateurs. Toute plainte devant le régulateur doit être déposée dans un délai de trois mois à compter de la découverte du manquement.
Depuis le 1er janvier 2024, le NCPD gère une base de données d’État — le Registre des opérateurs de données personnelles. Les opérateurs sont tenus d’enregistrer des informations sur leurs systèmes informatiques si ces derniers traitent les données personnelles de plus de 100 000 personnes majeures, de plus de 10 000 personnes de moins de 16 ans, ou des données personnelles biométriques ou génétiques.
L’omission d’inscription au Registre constitue une infraction réglementaire passible de poursuites. AMBY Legal assiste les opérateurs pour déterminer leurs obligations déclaratives et formaliser le dossier d’enregistrement requis.
Le contentieux le plus fréquent concerne la collecte disproportionnée ou excessive de données — lorsque les opérateurs exigent des personnes concernées des données sans rapport direct et nécessaire avec la finalité du service. Par exemple, la livraison d’un achat sur une boutique en ligne ne justifie en aucun cas la collecte du numéro d’identification fiscale ou de l’employeur du client.
Toute personne constatant un traitement excessif de ses données personnelles est en droit : soit d’exiger directement de l’opérateur l’effacement immédiat des données litigieuses, soit de saisir d’une plainte le CNPDP. Dans ce second cas, l’opérateur s’expose à un contrôle sur place et à des amendes administratives.
AMBY Legal accompagne les opérateurs dans l’audit et la refonte de leurs formulaires de consentement et grilles de collecte pour neutraliser tout risque de réclamation et de sanction administrative.
Les litiges entre le NCPD et les opérateurs résultent le plus souvent de : violations de données personnelles dues à des mesures de sécurité insuffisantes, divulgation intentionnelle ou par négligence de données personnelles sans le consentement des personnes concernées, et utilisation de systèmes informatiques non conformes aux normes de sécurité certifiées.
AMBY Legal procède à l’audit complet des politiques internes de confidentialité des entreprises, identifie les vulnérabilités de conformité et élabore la documentation réglementaire obligatoire. En cas de contrôle ou d’enquête ouverte par le CNPDP, nous représentons l’opérateur à chaque étape de la procédure.
La législation biélorusse confère aux personnes physiques des prérogatives substantielles sur leurs données personnelles. Les droits essentiels incluent :
Le droit de retirer son consentement au traitement à tout moment — l’opérateur devant cesser tout traitement dans un délai maximum de 15 jours suivant la notification du retrait.
Le droit d’accès aux informations détaillant les modalités et les finalités du traitement.
Le droit de rectification des données inexactes ou incomplètes.
Le droit de connaître les tiers destinataires auxquels les données ont été communiquées.
Le droit d’exiger l’effacement de ses données ou le renforcement de leur sécurisation.
L’opérateur est tenu d’accuser réception de toute demande d’exercice de droits sous 5 jours ouvrés et de fournir une réponse exhaustive dans un délai de 15 jours ouvrés. Tout refus ou retard expose l’entreprise à des sanctions du CNPDP et à des recours judiciaires indemnitaires.
Le transfert de données personnelles à des prestataires tiers — sous-traitants techniques, cabinets comptables, agences marketing ou fournisseurs de services — est encadré par des règles rigoureuses en droit biélorusse.
Une convention de sous-traitance de données conforme doit obligatoirement être conclue avec chaque prestataire traitant des données pour le compte de l’opérateur. L’accord doit définir précisément : la nature des données transmises, les finalités exclusives du traitement, les obligations respectives des parties et les mesures de sécurité techniques garantissant l’inviolabilité des données contre tout accès indu.
Toute communication de données personnelles sans contrat de traitement formel ou en dehors du périmètre convenu constitue une violation directe de la législation biélorusse.
Tout traitement de données personnelles doit obligatoirement reposer sur un fondement juridique licite. Les principales bases prévues par le droit biélorusse sont :
Le consentement individuel — base la plus fréquente, mais non exclusive. Le consentement doit être libre, spécifique, éclairé et manifesté par un acte positif univoque (sans case précochée).
L’exécution d’un contrat — traitement strictement nécessaire à la conclusion ou à l’exécution d’un contrat conclu avec la personne (ouverture d’un compte bancaire, expédition d’une commande).
Le respect d’une obligation légale — traitement requis pour se conformer à une prescription légale imposée à l’opérateur.
L’intérêt public de l’État — traitement indispensable à la sécurité nationale, à la lutte contre la corruption ou à la prévention du blanchiment de capitaux.
De nombreux organismes publics et institutions étatiques traitent des données sans consentement en vertu d’habilitations législatives expresses.
Toute organisation procédant au traitement de données doit impérativement établir et tenir à jour un corpus documentaire comprenant :
Le Règlement intérieur sur le traitement des données personnelles — fixe la politique interne de gestion des données au sein de l’entreprise : finalités, catégories de données, délais de conservation, règles d’accès et mesures de sécurité organisationnelles.
La Politique de confidentialité — publiée de manière accessible sur le site web ou l’application mobile, informant en toute transparence les usagers sur les données collectées, les finalités poursuivies, les durées d’archivage et l’exercice de leurs droits.
Les formulaires de consentement — lorsque le traitement est subordonné au consentement, un formulaire distinct, précis et autonome doit être soumis à la personne avant tout traitement. Un simple renvoi général aux conditions d’utilisation est dépourvu de valeur légale.
Le registre des systèmes d’information — inventaire de l’ensemble des logiciels et serveurs traitant des données, mentionnant leur dénomination, les catégories de données hébergées et les protocoles de chiffrement appliqués.
La liste des salariés autorisés — tableau nominatif des membres du personnel disposant d’un droit d’accès aux données personnelles avec l’étendue de leurs habilitations.
Deux documents fondamentaux régissent ces procédures : le Règlement intérieur relatif au traitement des données personnelles, qui fixe les obligations au sein de l’entreprise, et la Politique de confidentialité, publiée sur le site web ou l’application, qui informe les clients et usagers. Cette politique détaille l’identité de l’opérateur, la nature des données traitées, les finalités poursuivies, ainsi que les droits des personnes et leurs voies de recours.
Lorsque le traitement repose sur le consentement, l’organisation doit délivrer des informations claires et distinctes préalablement à la collecte. Se contenter d’un renvoi passif à une politique de confidentialité globale ne satisfait pas aux exigences légales : la personne doit bénéficier d’une information autonome et explicite pour exercer un choix véritablement éclairé.
Les données personnelles ne doivent être conservées que pendant la durée strictement requise pour l’accomplissement des finalités pour lesquelles elles ont été collectées. Ces durées de conservation sont souvent fixées par la loi — par exemple par les arrêtés du ministère de la Justice pour les pièces comptables et financières. À défaut de délai légal impératif, l’opérateur doit fixer et justifier une durée précise dans ses actes internes.
Les données personnelles doivent obligatoirement être traitées dans des systèmes informatiques dotés de moyens de sécurité certifiés selon les prescriptions de l’OAC. L’emploi d’architectures techniques dépourvues de cette certification constitue une infraction directe à la législation biélorusse. Si la Biélorussie n’impose pas de localisation exclusive des serveurs sur son territoire — autorisant l’hébergement à l’étranger —, les exigences techniques de protection demeurent pleinement applicables.
Les opérateurs ont l’obligation de maintenir un registre interne exhaustif consignant chaque opération de traitement, les types de données, les durées de détention et les mesures de restriction d’accès.
En cas d’incident de sécurité ou de compromission du système d’information de l’opérateur, ce dernier est tenu d’en informer le CNPDP sans délai, et au plus tard dans les trois jours ouvrés suivant la découverte de la violation.
Bien que la loi n’impose pas d’injonction directe de notification individuelle à chaque usager, il est d’usage recommandé de publier un communiqué transparent sur le site de l’entreprise.
La notification au régulateur n’est pas requise si l’incident n’a entraîné ni divulgation non autorisée de données à des tiers, ni altération, verrouillage ou suppression irréversible de données personnelles. Cette disposition évite la mobilisation des services pour des incidents purement matériels sans conséquence pour les personnes.
L’article 28 de la Constitution de la République de Biélorussie garantit à toute personne la protection contre toute immixtion illicite dans sa vie privée. Avec l’essor des technologies numériques, ce principe constitutionnel a été étendu aux données personnelles afin d’interdire leur exploitation non autorisée à des fins commerciales ou autres.
La législation biélorusse consacre un droit à l’effacement (« droit à l’oubli »), conférant aux personnes physiques la faculté d’exiger la suppression ou la rectification de leurs données des bases de données, d’être informées de leur utilisation et de s’opposer à certains traitements. AMBY Legal assiste tant les particuliers souhaitant faire valoir ce droit que les opérateurs confrontés à des demandes d’effacement.
Le traitement des données personnelles de mineurs de moins de 16 ans exige le consentement exprès d’un parent ou d’un tuteur légal. Cette exigence s’applique à l’ensemble des données, qu’elles soient générales ou sensibles.
Le traitement des données personnelles de personnes décédées n’est licite que si le défunt y avait expressément consenti de son vivant ou avec l’autorisation de ses proches parents ou ayants droit. Les opérateurs traitant ces catégories de données doivent adapter rigoureusement leurs protocoles de recueil d’autorisation.
Le droit biélorusse sanctionne sévèrement la divulgation illicite de données personnelles. Le CNPDP a le pouvoir d’ordonner la rectification, l’effacement ou le gel immédiat des données traitées de manière irrégulière et d’exiger la mise en conformité des processus.
En vertu de l’article 22.13 du Code des infractions administratives, la divulgation intentionnelle de données personnelles obtenues dans le cadre d’activités professionnelles est passible d’amendes de 4 à 20 unités de base (180 à 900 roubles biélorusses). Les infractions plus graves — telles que le défaut de protection des données personnelles — peuvent entraîner des amendes allant d’environ 740 € à 1 850 €.
Exigences de collecte, de traitement et de protection des données
Le droit biélorusse consacre des principes impératifs garantissant la licéité du traitement des données :
Définir la finalité : les données ne peuvent être recueillies que pour des finalités licites, explicites et déterminées — gestion du personnel, prospection commerciale ou exécution contractuelle. Cette finalité doit être arrêtée avant l’ouverture de tout traitement.
Respecter le principe de minimisation : seules les données strictement adéquates et pertinentes au regard de la finalité peuvent être traitées. Collecter un courriel pour livrer une marchandise ne saurait autoriser son emploi ultérieur à des fins publicitaires sans consentement spécifique distinct.
Recueillir valablement le consentement : lorsque le consentement sert de base légale, il doit être donné de façon libre, expresse, spécifique et matérialisé par une action univoque — proscrivant les cases précochées et les mentions imprécises.
Informer préalablement les personnes : préalablement au recueil du consentement, l’intéressé doit être clairement avisé de l’identité du responsable de traitement, de la liste des données collectées, des buts poursuivis, de la durée de conservation et des protocoles de protection. Ces mentions doivent figurer dans la Politique de confidentialité mise à disposition en amont.
Bénéficiez d’une protection experte de la propriété intellectuelle pour votre entreprise en Biélorussie.
Un consentement juridiquement valable doit être libre, spécifique, éclairé et résulter d’une action univoque et positive de la personne — telle qu’une case vierge cochée activement. Il doit détailler les finalités poursuivies, les données collectées, la durée de détention et la faculté de retrait. Les cases précochées, les acceptations globales implicites ou les simples mentions de politique générale sont privées de validité.
Un consentement est frappé de nullité s’il omet des mentions obligatoires substantielles : finalités clairement déterminées, inventaire des données ciblées, durée de conservation ou information relative au droit de révocation. L’emploi de formules vagues, imprécises ou trompeuses ne reflétant pas les traitements réels entraîne également sa nullité.
Les manquements les plus courants sont : l’usage de cases précochées (qui ne valent pas manifestation active), l’impossibilité de consulter ou télécharger le texte d’engagement, la substitution abusive d’une Politique de confidentialité générale à un consentement exprès, et l’absence de traçabilité technique de l’acceptation (horodatage, adresse IP, libellé exact consenti). Chacun de ces manquements constitue une infraction.
Les conséquences comportent : le prononcé d’amendes administratives par le CNPDP, des injonctions de cessation immédiate du traitement, le blocage éventuel des bases de données de l’entreprise, des actions en dommages-intérêts engagées par les usagers et une grave atteinte à l’image commerciale. Les autorités biélorusses font preuve d’une grande sévérité face à ces manquements.
Remettez à l’intéressé un document écrit distinct exposant les finalités, la typologie des données, les délais de détention et ses droits de rétractation avant qu’il ne signe. Conservez un exemplaire original paraphé dans vos archives et, selon les bonnes pratiques, adressez-lui un double numérisé par courrier électronique en guise de preuve documentaire.
Prévoyez des cases à cocher distinctes et vierges pour chaque finalité autonome. Enregistrez dans vos journaux de connexion l’adresse IP, la date, l’heure exacte et la version du texte accepté. Ne noyez jamais le consentement dans les conditions générales d’utilisation. Le consentement doit se rattacher précisément à l’action initiée (inscription, souscription ou achat) et renvoyer à une Politique de confidentialité accessible.
En droit biélorusse, tout individu dispose du droit imprescriptible de retirer son consentement à tout moment. L’opérateur a l’obligation légale de suspendre le traitement des données visées dans un délai impératif de 15 jours. L’absence d’enregistrement rigoureux de ces retraits expose l’opérateur à l’accusation de poursuite illicite de traitement sans base légale, ouvrant la voie à des sanctions administratives et à des condamnations civiles indemnitaires.
Pour un créancier étranger, le mot « faillite » associé au nom d’un débiteur biélorusse est un coup dur. Le premier réflexe est souvent de considérer que l’argent est perdu et que la porte s’est définitivement refermée sur les sommes dues. Cette réaction est totalement erronée et c’est précisément ainsi que les créanciers perdent ce […]
Au cœur du contentieux du recouvrement de créances réside une dure vérité que les créanciers découvrent souvent trop tard : obtenir gain de cause n’a d’intérêt que s’il reste des actifs sur lesquels exécuter la décision. Un demandeur qui consacre un an et des sommes considérables à obtenir un jugement, pour s’apercevoir que le débiteur […]
C’est l’une des idées les plus naturelles qu’un testateur puisse se faire au sujet de son testament : je l’ai signé en bonne et due forme chez moi, il indique qui reçoit quoi, donc c’est ce qui se passera partout et pour tout ce que je possède. Pour l’essentiel d’une succession, dans la plupart des […]
