Loi n° 14-029/AU du 26 juin 2014 portant protection des données à caractère personnel

Les membres de la Commission ainsi que les agents de ses services assurent le contrôle de la mise en œuvre du traitement.

A cet effet, ils ont accès, dans l’exercice de leurs missions, aux lieux, locaux, enceintes, installations ou établissements servant à la mise en œuvre d’un traitement de données à caractère personnel.

En cas d’opposition du responsable des lieux ou du responsable du traitement, la visite ne peut se dérouler qu’avec l’autorisation du président du tribunal de première instance compétent ou du juge délégué par lui. A l’issue de la visite, il est dressé contradictoirement procès-verbal des vérifications et visites menées. Le procès-verbal est adressé, pour observations, à la Commission.

Tout responsable de traitement ou son représentant doit informer de manière claire et complète toute personne utilisatrice du réseau de communication électronique :

• de la finalité de toute action tendant à accéder, par voie de transmission électronique, à des informations stockées dans son équipement terminal de connexion, ou à inscrire, par la même voie, des informations dans son équipement terminal de connexion ;
• des moyens dont elle dispose pour s’y opposer.

Ces dispositions ne sont pas applicables si l’accès aux informations stockées dans l’équipement terminal de l’utilisateur ou l’inscription d’informations dans l’équipement terminal de l’utilisateur :

• soit, a pour finalité exclusive de permettre ou faciliter la communication par voie électronique ;
• soit, est strictement nécessaire à la fourniture d’un service de communication en ligne à la demande expresse de l’utilisateur.

Lorsque les données à caractère personnel n’ont pas été recueillies auprès de la personne concernée, le responsable du traitement ou son représentant doit fournir à cette dernière les informations énumérées à l’article 14 de la présente loi dès l’enregistrement des données ou, si une communication des données à des tiers est envisagée au plus tard lors de la première communication des données.

Lorsque des données à caractère personnel ont été initialement recueillies pour un autre objet, les dispositions de l’alinéa précédent ne s’appliquent pas aux traitements nécessaires à la conservation de ces données à des fins historiques, statistiques ou scientifiques. Ces dispositions ne s’appliquent pas non plus lorsque la personne concernée est déjà informée ou quand son information se révèle impossible ou exige des efforts disproportionnés par rapport à l’intérêt de la démarche.

Sauf consentement exprès de la personne concernée, les données à caractère personnel recueillies par les prestataires de service de certification électronique pour les besoins de la délivrance et de la conservation des certificats liées aux signatures électroniques doivent l’être directement auprès de la personne concernée et ne peuvent être traitées que pour les fins en vue desquelles elles ont été recueillies.

Le responsable du traitement est tenu de prendre toutes précautions utiles au regard de la nature des données et des risques présentés par le traitement pour préserver la sécurité des données et, notamment empêcher qu’elles soient déformées, endommagées ou que des tiers non autorisés y aient accès.

Les données à caractère personnel ne peuvent faire l’objet d’une opération de traitement de la part d’un sous-traitant, d’une personne agissant sous l’autorité du responsable du traitement ou de celle du sous-traitant, que sur instruction du responsable du traitement.

Toute personne traitant des données à caractère personnel pour le compte du responsable du traitement est considérée comme un sous-traitant au sens de la présente loi.

Le sous-traitant doit présenter des garanties suffisantes pour assurer la mise en œuvre des mesures de sécurité et de confidentialité mentionnée au dernier alinéa du présent article. Cette exigence ne décharge pas le responsable du traitement de son obligation de veiller au respect de ces mesures.

Le contrat liant le sous-traitant au responsable du traitement comporte l’indication des obligations incombant au sous-traitant en matière de protection de la sécurité et de la confidentialité des données et prévoit que le sous-traitant ne peut agir que sur instruction du responsable du traitement.

Le responsable en charge du traitement des données à caractère personnel doit notifier sans délai toutes modifications intervenues dans les informations communiquées à la Commission ainsi que la suppression du traitement.

Les données à caractère personnel ne peuvent être conservées au-delà de la durée prévue à l’article 5 qu’en vue d’être traitées à des fins historiques, statistiques ou scientifiques. Les traitements dont la finalité se limite à assurer la conservation à long terme de documents d’archives sont dispensés des formalités préalables à la mise en oeuvre des traitements prévus par la présente loi.

Il peut être procédé à un traitement ayant des finalités autres que celles mentionnées au premier alinéa :

• soit, avec l’accord exprès de la personne concernée ;
• soit, avec l’autorisation de la Commission nationale de l’informatique et des libertés.