Chapitre 2 - Des conditions de traitement des données à caractère personnel
Art. 5
Un traitement de données à caractère personnel ne peut porter que sur des données remplissant les conditions ci-après :
- a) être collectées et traitées de manière loyale et licite ;
- b) être collectées pour des finalités bien déterminées, explicites, légitimes et non frauduleuses ;
- c) ne pas être traitées ultérieurement de manière incompatible avec les finalités ainsi déterminées ;
- d) être adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs ;
- e) être exactes, complètes et, si nécessaire, mises à jour. Des mesures appropriées doivent être prises pour que les données inexactes ou incomplètes au regard des finalités pour lesquelles elles sont collectées ou traitées soient effacées ou rectifiées ;
- f) être conservées sous une forme permettant l’identification des personnes concernées pendant un délai n’excédant pas la durée nécessaire à l’atteinte des finalités pour lesquelles elles sont collectées ou traitées.
La collecte ou le traitement des données opéré(e) par tout moyen frauduleux, déloyal, illicite est interdit(e).
Art. 6
Il est interdit, sauf consentement exprès de la personne concernée, de collecter ou de traiter des données à caractère personnel qui font apparaître, directement ou indirectement, les opinions politiques, philosophiques ou religieuses, l’appartenance syndicale des personnes ou des données relatives à la santé et à la vie sexuelle de ces personnes.
Toutefois, les groupements à caractère religieux, philosophique, politique ou syndical peuvent tenir registre de leurs membres ou de leurs correspondants sous forme automatisée. Aucun contrôle ne peut être exercé, de ce chef, à leur encontre.
Pour des motifs d’intérêt public, il peut aussi être fait exception à l’interdiction ci-dessus sur proposition ou avis conforme de la Commission nationale de l’informatique et des libertés (CNIL) prévue à l’article 19 de la présente loi.
Art. 7
Dans la mesure où la finalité du traitement l’exige pour certaines catégories de données, ne sont pas soumis à l’interdiction prévue à l’article précédent :
- a) les traitements pour lesquels la personne concernée a donné son consentement exprès, sauf lorsque la loi prévoit que l’interdiction visée à l’article 6 de la présente loi ne peut être levée même par le consentement de la personne concernée ;
- b) les traitements nécessaires à la sauvegarde de la vie humaine, mais auxquels la personne concernée ne peut donner son consentement par suite d’une incapacité juridique ou d’une impossibilité matérielle ;
- c) les traitements mis en œuvre par une association ou tout autre organisme à but non lucratif ou à caractère religieux, philosophique ou syndical et dont la finalité est relative à la gestion de leurs membres ou celle des personnes qui entretiennent avec eux des contacts réguliers dans le cadre de leurs activités ;
- d) les traitements nécessaires à la constatation, à l’exercice ou à la défense d’un droit en justice ;
- e) les traitements ayant pour fin, le suivi thérapeutique ou médical individuel des patients ;
- f) les traitements ayant pour fin, la recherche dans le domaine de la santé.
Art. 8
Les traitements de données à caractère personnel relatives aux infractions, aux condamnations et aux mesures de sûreté ne peuvent être mis en œuvre que par :
- a) les juridictions, les autorités publiques et les personnes morales gérant un service public dans le cadre de leurs attributions légales ;
- b) les auxiliaires de justice, pour les stricts besoins de l’exercice des missions qui leur sont confiées par la loi ;
- c) les autres personnes morales, pour les stricts besoins de la gestion des contentieux relatifs aux infractions dont elles ont été victimes.
Art. 9
Le responsable d’un traitement de données à caractère personnel ne peut transférer des données vers un Etat étranger que si ledit Etat assure un niveau de protection suffisant de la vie privée et des libertés et droits fondamentaux des personnes concernées par ces données.
Le caractère suffisant de niveau de protection assuré par un Etat s’apprécie en fonction notamment des dispositions de protection en vigueur dans cet Etat, des mesures de sécurité qui y sont appliquées, des caractères propres du traitement tels que sa fin et sa durée, ainsi que la nature, l’origine et la destination des données traitées.
