Loi n° 14-029/AU du 26 juin 2014 portant protection des données à caractère personnel

La Commission peut prononcer un avertissement à l’encontre du responsable de traitement qui ne respecte pas les obligations découlant de la présente loi. Elle peut également mettre en demeure le responsable de traitement de faire cesser le manquement constaté dans un délai fixé qui ne peut excéder huit jours.

Lorsque le responsable du traitement ne se conforme pas à la mise en demeure, la Commission peut prononcer à son encontre, dans le respect du principe du contradictoire, les sanctions suivantes :

• a) une sanction pécuniaire, à l’exception des cas où les traitements sont mis en œuvre par l’Etat ;
• b) une injonction de cesser le traitement des données à caractère personnel ;
• c) un retrait de l’autorisation accordée en application des dispositions de la présente loi ;
• d) un verrouillage de certaines données à caractère personnel.

Toute sanction prononcée par la Commission peut être assortie d’une injonction de procéder, dans un délai qui ne peut excéder huit jours, à toute modification ou suppression utile dans le fonctionnement des traitements de données à caractère personnel, objet de la sanction.

Les sanctions prévues dans la présente loi sont prononcées sur la base d’un rapport établi par la Commission. Ce rapport est notifié au responsable du traitement, qui peut faire des observations écrites ou orales et qui peut assister ou se faire représenter aux séances à l’issue desquelles la Commission statue. Les décisions prises par la Commission sont motivées et notifiées au responsable du traitement.

Les décisions prononçant une sanction peuvent faire l’objet d’un recours devant la juridiction administrative compétente.

Le montant de la sanction pécuniaire est proportionnel à la gravité des manquements commis et aux avantages tirés de ces manquements.

Constituent des manquements graves, le fait de :

• a) procéder à une collecte déloyale des données personnelles ;
• b) communiquer à un tiers non autorisé des données personnelles ;
• c) procéder à la collecte des données sensibles, des données relatives à des infractions ou à un numéro national d’identification sans respecter les conditions légales ;
• d) procéder à la collecte ou à l’utilisation des données personnelles ayant pour conséquence de provoquer une atteinte grave aux droits fondamentaux ou à l’intimité de la vie privée physique concernée ;
• e) empêcher les services de la Commission d’effectuer une mission de contrôle sur place ou faire preuve d’obstruction lors de la réalisation d’une telle mission.

Les sanctions prononcées peuvent être rendues publiques par la Commission.

En cas d’atteintes graves ou immédiates aux droits et libertés mentionnés à l’article 2 de la présente loi, la Commission ou la personne dont les droits et les libertés ont été violés, peut demander par voie de référé, à la juridiction compétente, d’ordonner le cas échéant, sous astreinte, toute mesure de sécurité nécessaire à la sauvegarde de ses droits et libertés.

La personne lésée peut saisir la juridiction compétente aux fins de dédommagement.

Constituent des infractions au sens de la présente loi, sans préjudice de celles prévues au Code pénal en matière informatique :

• a) le fait d’entraver l’action de la Commission :
• en s’opposant à l’exercice des missions confiées à ses membres ou aux agents habilités ;
• en refusant de communiquer à ses membres ou aux agents habilités les renseignements et documents utiles à leur mission, ou en dissimulant lesdits documents ou renseignements, ou en les faisant disparaître ;
• en communiquant des informations qui ne sont pas conformes au contenu des enregistrements tel qu’il était au moment où la demande a été formulée ou qui ne présentent pas ce contenu sous une forme directement accessible ;
• b) le fait, y compris par négligence, de procéder à des traitements de données personnelles sans qu’aient été respectées les formalités préalables à leurs mises en œuvre prévues par la présente loi ;
• c) le fait, hors les cas où le traitement des données a été réalisé dans les conditions prévues par les dispositions de la présente loi, de procéder ou de faire procéder à un traitement des données personnelles incluant parmi les données sur lesquelles il porte, des données sensibles relatives à des infractions ou des données relatives au numéro d’identification national ;
• d) le fait de procéder ou de faire procéder à un traitement de données personnelles sans avoir mis en œuvre les mesures prescrites par les dispositions de la présente loi ;
• e) le fait de collecter des données personnelles par un moyen frauduleux, déloyal ou illicite ;
• f) le fait, par toute personne détentrice des données personnelles à l’occasion de leur enregistrement, de leur classement, de leur transmission ou de toute autre forme de traitement, de détourner et/ou de manipuler ces informations ;
• g) le fait de procéder à un traitement des données personnelles concernant une personne physique malgré la demande de rectification ou l’opposition de cette personne, lorsque cette demande de rectification ou cette opposition est fondée sur des motifs légitimes ;
• h) le fait de ne pas respecter les dispositions de la présente loi relatives à l’information des personnes ;
• i) le fait de ne pas respecter les dispositions de la présente loi relative aux droits d’accès ;
• j) le fait de conserver des données personnelles au-delà de la durée prévue par la déclaration préalable adressée à la Commission sauf si cette conservation est effectuée à des fins historiques, statistiques ou scientifiques dans les conditions prévues par la présente loi ;
• k) le fait, par toute personne qui a recueilli, à l’occasion de leur enregistrement, de leur classement, de leur transmission ou d’une autre forme de traitement, des données à caractère personnel dont la divulgation aurait pour effet, de porter atteinte à la considération de l’intéressé ou à l’intimité de sa vie privée, de porter sans autorisation de l’intéressé, ces données à la connaissance d’un tiers qui n’a pas qualité pour les recevoir ;
• l) le fait de participer à une association formée ou à une entente établie en vue de la commission d’une ou plusieurs infractions prévues par la présente loi.

Les infractions visées à l’article 64 de la présente loi sont punies d’une peine d’emprisonnement de cinq à dix ans et d’une amende de 10.000.000 à 35.000.000 de francs ou de l’une de ces deux peines seulement.

La complicité et la tentative sont punies des mêmes peines.

Le tribunal peut ordonner l’effacement de tout ou partie des données à caractère personnel faisant l’objet du traitement ayant donné lieu à l’infraction.

A titre transitoire, les traitements des données opérées pour le compte de l’Etat comorien, de l’île autonome, d’une collectivité territoriale ou d’une personne morale de droit privé gérant un service public et déjà crée ne sont soumis qu’à une déclaration auprès de la Commission Nationale de l’Informatique et des Libertés dans les conditions prévues par la présente loi.

À compter de la date d’entrée en vigueur de la présente loi, tous les traitements des données doivent répondre aux prescriptions de celle-ci dans les délais ci-après :

• un an pour le traitement des données opérées pour le compte de l’Etat comorien, de l’île autonome, d’une collectivité territoriale ou d’une personne morale de droit privé gérant un service public ;
• six mois pour le traitement à caractères personnels effectués pour le compte de personnes autres que celles soumises aux dispositions de l’alinéa précédent ;

Les modalités d’application de la présente loi seront prises par décret.

La présente loi qui abroge toutes dispositions antérieures contraires, sera exécutée comme loi de l’Union des Comores.