Loi n° 14-029/AU du 26 juin 2014 portant protection des données à caractère personnel

Il est institué, en Union des Comores, un organisme de protection des données à caractère personnel et de contrôle de leur traitement, dénommé « Commission nationale de l’informatique et des libertés » (CNIL) ci-après désignée Commission.

La Commission veille à l’application des dispositions de la présente loi.

La Commission est une structure administrative indépendante. Elle exerce une mission de service public.

Elle est dotée de la personnalité juridique, de l’autonomie administrative et de gestion.

Elle ne reçoit d’instruction d’aucune autorité administrative et politique.

La Commission veille à ce que les traitements des données à caractère personnel soient mis en œuvre conformément aux dispositions de la présente loi. A ce titre, elle :

• a) informe et conseille toutes les personnes concernées et les responsables de traitement de leurs droits et obligations ;
• b) contrôle la création et la mise en œuvre des traitements ;
• c) reçoit les réclamations, pétitions et plaintes relatives à la mise en œuvre des traitements de données à caractère personnel et informe leurs auteurs des suites données à celles-ci ;
• d) informe, sans délai, le procureur de la République, conformément aux dispositions du Code de procédure pénale, des violations des dispositions de la présente loi, constitutives d’infractions pénales ;
• e) veille aux évolutions des technologies de l’information et de la communication et rend publique son appréciation des conséquences de ces évolutions sur la protection des libertés et de la vie privée ;
• f) transmet aux pouvoirs publics, les propositions de modifications législatives ou réglementaires qui lui semblent susceptibles d’améliorer la protection des personnes à l’encontre de l’utilisation des technologies de l’information et de la communication. La Commission est associée aux négociations internationales ayant une incidence sur le traitement des données à caractère personnel et coopère avec les autorités en charge de la protection des données à caractère personnel d’autres Etats.

Un commissaire du Gouvernement, désigné par le Président de l’Union des Comores, siège auprès de la Commission. Il peut, dans les dix jours d’une délibération, provoquer une seconde délibération.

La Commission est composée de neuf membres ainsi qu’il suit :

• trois députés désignés par les 2/3 des membres de la Conférence des Présidents de l’Assemblée de l’Union en tenant compte de sa configuration politique ;
• trois personnes qualifiées pour leur connaissance des applications informatiques ayant au moins le niveau de la maîtrise et totalisant au moins dix ans d’expérience désignées par le Président de l’Union des Comores en raison de une par Ile ;
• deux magistrats de la Cour Suprême ayant au moins quinze ans d’expérience, élus par leurs pairs ;
• un avocat ayant au moins dix ans d’expérience, élu par ses pairs.

La Commission est dirigée par un Bureau de trois membres. Elle élit en son sein un président, un vice-président et un secrétaire.

Les membres de la Commission, une fois désignés ou élus sont nommés par décret pris en Conseil des Ministres. Avant leur entrée en fonction, ils prêtent serment devant la cour d’appel de Moroni siégeant en audience solennelle, le serment dont la teneur suit : « Je jure solennellement de bien et fidèlement remplir ma fonction de membre de la Commission en charge de la protection des données à caractère personnel, en toute indépendance et impartialité de façon digne et loyale et de garder le secret des délibérations ».

Les agents recrutés par la Commission nationale de l’informatique et des libertés prêtent serment devant le tribunal de première instance de Moroni en ces termes : « Je jure de bien et loyalement remplir mes fonctions d’agents de la Commission en charge de la protection des données à caractère personnel en toute indépendance et impartialité et de garder le secret des délibérations ».

La durée du mandat des membres de la Commission est de cinq ans renouvelable une fois.

Le mode de fonctionnement de la Commission est fixé par son règlement intérieur.

La qualité de membre de la Commission est incompatible avec celle de membre du Gouvernement. Aucun membre de la Commission ne peut :

• participer à une délibération ou procéder à des vérifications relatives à un organisme au sein duquel il détient un intérêt, direct ou indirect, exerce des fonctions ou détient un mandat ;
• participer à une délibération ou procéder à des vérifications relatives à un organisme au sein duquel il a, au cours de trois ans précédant la délibération ou les vérifications, détenu un intérêt direct ou indirect, exercé des fonctions ou détenu un mandat.

Les membres de la Commission sont inamovibles pendant la durée de leur mandat.

Toutefois, en cas de faute grave dûment constatée, de l’un des membres de la Commission ou de la perte de la qualité au titre de laquelle il a été élu ou désigné, il est mis fin à ses fonctions et procédé à son remplacement conformément aux dispositions de la présente loi et du règlement intérieur de la Commission.

Le mandat du successeur ainsi désigné est limité à la période restant à courir. Ce dernier peut être désigné pour un seul mandat.

Les membres et les agents de la Commission sont tenus au secret professionnel pour les informations dont ils ont connaissance dans le cadre ou à l’occasion de leur fonction.

Les informaticiens appelés, soit à donner les renseignements à la Commission, soit à témoigner devant elle, sont déliés en tant que de besoin de leur obligation de discrétion.

Il est alloué annuellement à la Commission des crédits nécessaires à son bon fonctionnement. Ces crédits sont inscrits au budget de l’Etat, Union des Comores. La Commission peut recevoir des subventions de la part des organisations internationales dont l’Etat est membre et de tous autres organismes légalement constitués. Elle peut également bénéficier de ressources propres issues de l’exercice de ses activités.

La Commission reçoit les déclarations de création des traitements informatiques et donne son avis dans les cas prévus par la présente loi.

La Commission tient à la disposition du public la liste des traitements qui ont fait l’objet d’une autorisation.

La Commission reçoit et instruit les plaintes conformément à sa mission.

Chaque année, elle présente au Président de l’Union et au Président de l’Assemblée de l’Union, un rapport rendant compte de l’exécution de sa mission.

La commission peut demander aux premiers présidents des cours d’appel ou aux présidents des juridictions de déléguer un magistrat de leur ressort, éventuellement assisté d’experts, pour des missions d’investigation et de contrôle effectuées sous sa direction.

Pour exercer les missions qui lui sont confiées par la loi, la Commission dispose d’un pouvoir réglementaire lui permettant d’autoriser certains traitements, d’adapter des mesures de simplification ou de dispense de déclaration et de définir les modalités d’exercice des droits des personnes, en particulier en matière d’information.

La Commission peut enjoindre aux responsables de fichiers de lui communiquer toutes informations utiles sur les fichiers informatiques qu’ils utilisent.

La Commission informe par tous moyens appropriés, les autorités publiques, les organismes privés et les représentants de la société civile, des décisions, et avis qu’elle rend en matière de protection des libertés.

Les Ministres, autorités publiques, dirigeants d’entreprises publiques ou privées, responsables de groupements divers et plus généralement les détenteurs et utilisateurs de traitements ou de fichiers de données à caractère personnel ne peuvent s’opposer à l’action de la Commission. Ils doivent prendre toutes mesures utiles afin de lui faciliter sa mission.

Les décisions de la Commission qui portent atteinte aux intérêts du citoyen sont susceptibles de recours devant la juridiction administrative compétente.

Les traitements automatisés exécutés par des organismes publics ou privés et comportant des données à caractère personnel, doivent préalablement à leur mise en œuvre, faire l’objet d’une déclaration auprès de la Commission ou être inscrits dans un registre tenu par la personne désignée à cet effet par le responsable du traitement.

Ne sont pas soumis à l’obligation de déclaration :

• a) les traitements des données à caractère personnel mis en œuvre par les organismes publics ou privés pour la tenue de leur comptabilité générale ;
• b) les traitements des données à caractère personnel mis en œuvre par les organismes publics ou privés relatifs à la gestion des rémunérations de leurs personnels ;
• c) les traitements des données à caractère personnel mis en œuvre par les organismes publics ou privés pour la gestion de leurs fournisseurs ;
• d) les traitements des données à caractère personnel mis en œuvre par les associations et les organismes à but non lucratif portant exclusivement sur les données correspondant à leur objet et concernant leurs membres et les personnes avec lesquelles ils entretiennent des contacts réguliers dans le cadre de leurs activités.

Les traitements ci-après indiqués ne peuvent être mis en œuvre qu’après l’autorisation et le contrôle préalable de la Commission en raison des risques particuliers pour les droits et libertés ou lorsque leur contenu et leurs finalités sont susceptibles de porter atteinte à la vie privée de la personne concernée par un traitement de données à caractère personnel :

• a) les traitements comportant un numéro national d’identification ainsi que tous traitements de portée nationale recensant tout ou partie de la population ;
• b) les traitements comportant des données biométriques nécessaires au contrôle de l’identité des personnes ;
• c) les traitements comportant des données relatives à la santé des personnes ou à leur situation ;
• d) les traitements comportant des données relatives aux infractions et condamnations ;
• e) les traitements intéressant la sûreté de l’Etat, la défense ou la sécurité publique et ceux qui ont pour objet la prévention, la recherche, la constatation ou la poursuite des infractions pénales ou l’exécution des condamnations pénales ;
• f) les traitements ayant pour objet l’interconnexion des fichiers correspondant à des intérêts différents ;
• g) des traitements pouvant exclure des personnes du bénéfice d’un droit, d’une prestation ou d’un contrat ;
• h) des traitements prévoyant des transferts des données personnelles à destination d’autres Etats lorsque le traitement garantit un niveau de protection suffisant de la vie privée ainsi que des libertés et droits fondamentaux des personnes, notamment en raison des clauses contractuelles ou règles internes dont il fait l’objet.

La Commission saisie, tel que prévu à l’article 43 de la présente loi, doit se prononcer dans un délai de deux mois à compter de la date de la réception de la demande d’autorisation, sauf dans les cas prévus à l’article 17. L’avis demandé à la Commission qui n’est pas rendu à l’expiration du délai prévu à l’alinéa précédent est réputé favorable.

La déclaration doit contenir :

• a) l’identité et l’adresse du responsable en charge du traitement des données à caractère personnel ;
• b) la ou le (s) finalités du traitement ;
• c) les données à caractère personnel enregistrées, leur origine et leur durée de conservation ;
• d) les personnes habilitées à accéder aux données ou pouvant en obtenir communication ;
• e) le service auprès duquel les personnes concernées peuvent exercer leur droit d’accès ;
• f) les transferts des données personnelles à destination d’autres Etats le cas échéant ;
• g) les mesures de sécurité ;
• h) l’engagement que les traitements sont conformes aux dispositions de la présente loi.

Les modalités et le contenu de la déclaration visée à l’article 32 de la présente loi sont précisés par la Commission.