Décret n° 2025-66 du 11 mars 2025 relatif aux données à caractère personnel des passagers aériens

L’autorité de contrôle de protection des personnes physiques à l’égard du traitement des données à caractère personnel des passagers est compétente pour contrôler et vérifier le respect des dispositions du présent décret en ce qui concerne le traitement des données à caractère personnel.

L’UIP met à la disposition du public, par les moyens de communication appropriés, les informations suivantes :

• 1° ses coordonnées ;
• 2° les finalités du traitement auquel sont destinées les données PNR ;
• 3° le droit d’introduire une réclamation auprès de la commission chargée de la protection des données à caractère personnel et les coordonnées de cette autorité ;
• 4° le droit de demander au responsable de l’UIP l’accès aux données PNR, leur rectification ou leur effacement, et la limitation du traitement des données PNR relatives à une personne concernée.

Les personnes dont les données sont traitées en vertu du présent décret disposent des droits d’accès, de rectification ou de suppression prévus par la législation en vigueur.

L’UIP conserve, traite et analyse les données PNR en un ou des endroits sécurisés situés sur le territoire national.

Le responsable de l’UIP met en œuvre les mesures et les procédures techniques et organisationnelles appropriées afin de garantir un niveau élevé de sécurité adapté aux risques présentés par le traitement et la nature des données PNR.

En ce qui concerne le traitement automatisé, le responsable de l’UIP met en œuvre, à la suite d’une évaluation des risques, les mesures destinées à :

• 1° empêcher toute personne non autorisée d’accéder aux installations utilisées pour le traitement (contrôle de l’accès aux installations) ;
• 2° empêcher que des supports de données puissent être lus, copiés, modifiés ou supprimés de façon non autorisée (contrôle des supports de données) ;
• 3° empêcher l’introduction non autorisée de données à caractère personnel dans le fichier, ainsi que l’inspection, la modification ou l’effacement non autorisé de données à caractère personnel enregistrées (contrôle de la conservation) ;
• 4° empêcher que les systèmes de traitement automatisé puissent être utilisés par des personnes non autorisées à l’aide d’installations de transmission de données (contrôle des utilisateurs) ;
• 5° garantir que les personnes autorisées à utiliser un système de traitement automatisé ne puissent accéder qu’aux données à caractère personnel sur lesquelles porte leur autorisation (contrôle de l’accès aux données) ;
• 6° garantir qu’il puisse être vérifié et constaté à quelles instances des données à caractère personnel ont été ou peuvent être transmises ou mises à disposition par des installations de transmission de données (contrôle de la transmission) ;
• 7° garantir qu’il puisse être vérifié et constaté a posteriori quelles données à caractère personnel ont été introduites dans les systèmes de traitement automatisé, et à quel moment et par quelle personne elles y ont été introduites (contrôle de l’introduction) ;
• 8° empêcher que, lors de la transmission de données à caractère personnel ainsi que lors du transport de supports de données, les données puissent être lues, copiées, modifiées ou supprimées de façon non autorisée (contrôle du transport) ;
• 9° garantir que les systèmes installés puissent être rétablis en cas d’interruption (restauration) ;
• 10° garantir que les fonctions du système opèrent, que les erreurs de fonctionnement soient signalées (fiabilité) et que les données à caractère personnel conservées ne puissent pas être corrompues par un dysfonctionnement du système (intégrité).

L’UIP conserve une trace documentaire relative à tous les systèmes et procédures de traitement sous sa responsabilité. Cette documentation comprend :

• 1° le nom et les coordonnées du service et du personnel chargés du traitement des données PNR au sein de l’UIP et les différentes autorisations d’accès ;
• 2° les demandes formulées par les services compétents et les UIP des autres États membres des communautés dont fait partie la République du Congo ;
• 3° toutes les demandes et tous les transferts de données PNR vers un pays tiers.

L’UIP met toute la documentation à la disposition de l’autorité de contrôle, à la demande de celle-ci.

L’UIP tient des registres pour la collecte, la consultation, la communication et l’effacement des données PNR. Les registres des opérations de consultation et de communication indiquent la finalité, la date et l’heure de l’opération et l’identité de la personne qui a consulté ou communiqué les données PNR ainsi que l’identité des destinataires de ces données.

Les registres sont utilisés uniquement à des fins de vérification et d’autocontrôle, de garantie de l’intégrité et de la sécurité des données ou d’audit. L’UIP met les registres à la disposition de l’autorité de contrôle, à la demande de celle-ci. Les registres sont conservés pendant cinq ans.

Lorsqu’une atteinte aux données à caractère personnel est susceptible d’engendrer un risque élevé pour la protection des données à caractère personnel ou d’affecter négativement la vie privée de la personne concernée, l’UIP informe, de cette atteinte, sans retard injustifié, la personne concernée et la commission nationale pour la protection des données.