Loi n° 29-2019 du 10 octobre 2019 portant protection des données à caractère personnel

Lorsque des données à caractère personnel sont collectées directement auprès de la personne concernée, le responsable du traitement ou son représentant fournit à celle-ci, au plus tard, lors de la collecte, et quels que soient les moyens et supports employés, les informations suivantes :

• l’identité du responsable du traitement et, le cas échéant, celle de son représentant ;
• la ou les finalités déterminées du traitement auquel les données sont destinées ;
• les catégories de données concernées ;
• le ou les destinataires ou les catégories de destinataires auxquels les données sont susceptibles d’être communiquées ;
• le fait de savoir si la réponse aux questions est obligatoire ou facultative ainsi que les conséquences éventuelles d’un défaut de réponse ;
• le fait de pouvoir demander à ne plus figurer sur le fichier ;
• l’existence d’un droit d’accès aux données la concernant et de rectification de ces données ;
• la durée de conservation des données ;
• le cas échéant, les transferts de données à caractère personnel envisagés à destination d’un pays tiers.

Lorsque la collecte des données à caractère personnel ne s’effectue pas directement auprès de la personne concernée, les informations visées à l’article 46 ci-dessus sont transmises à ladite personne au moment de l’enregistrement des données ou, si leur communication est prévue, au plus tard lors de la première communication.

Le droit à l’information défini par les dispositions de l’article 46 de la présente loi ne s’applique pas :

• lorsque les données sont recueillies dans les conditions décrites à l’article 47 de la présente loi et utilisées lors d’un traitement mis en œuvre pour le compte de l’Etat et intéressant la sûreté de l’Etat, la défense, la sécurité publique ou ayant pour objet l’exécution de condamnations pénales ou de mesures de sûreté, dans la mesure où une telle limitation est nécessaire au respect des fins poursuivies par le traitement ;
• lorsque le traitement est nécessaire à la prévention, la recherche, la constatation et la poursuite de toute infraction ;
• lorsque le traitement est nécessaire à la prise en compte d’un intérêt économique ou financier important de l’Etat, y compris dans les domaines monétaire, budgétaire, douanier et fiscal.

Toute personne utilisatrice des réseaux de communications électroniques est informée de manière claire et complète par le responsable du traitement ou son représentant :

• de la finalité de toute action tendant à accéder, par voie de transmission électronique, à des informations stockées dans son équipement terminal de connexion, ou à inscrire, par la même voie, des informations dans son équipement terminal de connexion ;
• des moyens dont elle dispose pour s’y opposer.

Les dispositions de l’alinéa 1 précédent ne sont pas applicables si l’accès aux informations stockées dans l’équipement terminal de l’utilisateur ou l’inscription d’informations dans l’équipement de l’utilisateur :

• a pour finalité exclusive de permettre ou faciliter la communication par voie électronique ou ;
• est strictement nécessaire à la fourniture d’un service de communication en ligne, à la demande expresse de l’utilisateur.

Toute personne physique justifiant de son identité a le droit de demander, par écrit, quel que soit le support, au responsable d’un traitement des données à caractère personnel, de lui fournir :

• les informations permettant de connaître et de contester le traitement ;
• la confirmation que des données à caractère personnel la concernant font ou ne font pas l’objet de ce traitement sous une forme accessible, des données à caractère personnel qui la concernent ainsi que de toute information disponible quant à l’origine de celles-ci ;
• des informations relatives aux finalités du traitement, aux catégories de destinataires auxquels les données sont communiquées ;
• le cas échéant, des informations relatives aux transferts de données à caractère personnel envisagés à destination d’un pays tiers.

Si la personne concernée en fait la demande, une copie des données à caractère personnel la concernant lui est délivrée. Le responsable du traitement peut subordonner la délivrance de cette copie au paiement d’une somme n’excédant pas le coût de la reproduction.

En cas de risque de dissimulation ou de disparition des données à caractère personnel, la personne concernée peut en informer la commission qui prend toute mesure de nature à éviter cette dissimulation ou cette disparition.

Toute personne qui, dans l’exercice de son droit d’accès, a des raisons sérieuses d’admettre que les données qui lui ont été communiquées ne sont pas conformes aux données traitées, peut en informer la commission qui procède aux vérifications nécessaires.

Le droit d’accès d’un patient est exercé par le patient lui-même ou par l’intermédiaire d’un médecin qu’il désigne. En cas de décès du patient, son conjoint non séparé de corps et ses enfants, s’il s’agit d’un mineur, ses père et mère, peuvent exercer, par l’intermédiaire d’un médecin qu’ils désignent, le droit d’accès.

Le responsable du traitement peut s’opposer aux demandes manifestement abusives, notamment par leur nombre, leur caractère répétitif ou systématique. En cas de contestation, la charge de la preuve du caractère manifestement abusif des demandes incombe au responsable du traitement auprès duquel elles sont adressées.

Par dérogation aux articles 50 à 53 de la présente loi, lorsqu’un traitement intéresse la défense nationale et la sécurité publique, le droit d’accès s’exerce dans les conditions suivantes :

• la demande est adressée à la commission qui désigne l’un de ses membres appartenant ou ayant appartenu à la Cour suprême pour mener les investigations nécessaires. Celui-ci peut se faire assister d’un autre agent de la commission. Il est notifié au requérant qu’il a été procédé aux vérifications ;
• lorsque la commission constate, en accord avec le responsable du traitement, que la communication des données qui y sont contenues ne met pas en cause ses finalités, la sûreté de l’Etat, la défense ou la sécurité publique, ces données peuvent être communiquées au requérant ;
• lorsque le traitement est susceptible de comprendre des informations dont la communication ne met pas en cause les fins qui lui sont assignées, l’acte réglementaire portant création du fichier peut prévoir que ces informations peuvent être communiquées au requérant par le gestionnaire du fichier directement saisi.

Toute personne concernée a le droit de recevoir les données à caractère personnel le concernant qu’elle a fournies à un responsable du traitement, dans un format structuré, couramment utilisé et lisible par machine, et a le droit de transmettre ces données à un autre responsable du traitement sans que le responsable du traitement auquel les données à caractère personnel ont été communiquées y fasse obstacle, lorsque :

• le traitement est fondé sur le consentement en application de l’article 5 de la présente loi ;
• le traitement est effectué à l’aide de procédés automatisés.

Lorsque la personne concernée exerce son droit à la portabilité des données en application de l’article 56 ci-dessus, elle a le droit d’obtenir que les données à caractère personnel soient transmises directement d’un responsable du traitement à un autre, lorsque cela est techniquement possible.

L’exercice du droit, visé à l’article 56 ci-dessus, s’entend sans préjudice de l’article 60 de la présente loi. Ce droit ne s’applique pas au traitement nécessaire à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le responsable du traitement.

Le droit visé à l’article 56 de la présente loi ne porte pas atteinte aux droits et libertés de tiers.

Lorsque des motifs légitimes le justifient, toute personne concernée peut s’opposer à ce que ses données à caractère personnel fassent l’objet d’un traitement.

La personne concernée a le droit, d’une part, d’être informée avant que des données la concernant ne soient pour la première fois communiquées à des tiers ou utilisées pour le compte de tiers à des fins de prospection et, d’autre part, de se voir expressément offrir le droit de s’opposer, gratuitement, à ladite communication ou utilisation.

Les dispositions du premier alinéa du présent article ne s’appliquent pas lorsque le traitement répond à une obligation légale.

Toute personne concernée justifiant de son identité peut exiger du responsable d’un traitement que soient, selon les cas, rectifiées, complétées, mises à jour, verrouillées ou supprimées les données à caractère personnel la concernant, qui sont inexactes, incomplètes, équivoques, périmées, ou dont la collecte, l’utilisation, la communication ou la conservation est interdite.

Lorsque la personne concernée en fait la demande par écrit, quel que soit le support, le responsable du traitement justifie, sans frais pour le demandeur, qu’il a procédé aux opérations exigées en vertu de l’alinéa précédent dans un délai d’un mois après l’enregistrement de la demande.

En cas de contestation, la charge de la preuve incombe au responsable du traitement auprès duquel est exercé le droit d’accès.

Si une donnée a été transmise à un tiers, le responsable du traitement est tenu d’accomplir les diligences utiles afin de lui notifier les opérations qu’il a effectuées conformément au premier alinéa.

Les droits ouverts à la présente section s’éteignent au décès de leur titulaire. Toute personne peut définir des directives relatives à la conservation, à l’effacement et à la communication de ses données à caractère personnel après son décès et désigner un tiers de confiance numérique certifié auprès de la commission. La personne peut modifier ou révoquer ses directives à tout moment.

Les héritiers d’une personne décédée justifiant de leur identité peuvent, si des éléments portés à leur connaissance leur laissent présumer que les données à caractère personnel la concernant faisant l’objet d’un traitement n’ont pas été actualisées, exiger du responsable de ce traitement qu’il prenne en considération le décès et procède aux mises à jour qui doivent en être la conséquence.

Lorsque les héritiers en font la demande, le responsable du traitement justifie, sans frais pour le demandeur, qu’il a procédé aux opérations exigées en vertu de l’alinéa précédent.

Un mineur peut consentir seul à un traitement des données à caractère personnel en ce qui concerne l’offre de services de la société de l’information à compter de l’âge de seize ans.

Lorsque le mineur est âgé de moins de seize ans, le traitement n’est licite que si le consentement est donné conjointement par le mineur concerné et le ou les titulaires de l’autorité parentale à l’égard de ce mineur.

Le responsable de traitement rédige en des termes clairs et simples, aisément compréhensibles par le mineur, les informations et communications relatives au traitement qui le concerne.

Le responsable veille à ce que le traitement des données à caractère personnel se fasse en toute confidentialité. A cet effet, le traitement de ces données est exclusivement effectué par des personnes qui agissent sous l’autorité du responsable du traitement et seulement sur ses instructions.

Les personnes choisies par le responsable aux fins de la réalisation du traitement doivent toutes les garanties tant de connaissances techniques et juridiques que d’intégrité morale au regard de la préservation de la confidentialité des données. Elles s’engagent, par écrit, à respecter les dispositions de la présente loi.

Le contrat liant le sous-traitant au responsable du traitement comporte l’indication des obligations incombant au sous-traitant en matière de protection de la sécurité et de la confidentialité des données.

Le responsable du traitement prend toutes les précautions utiles ; tant au moment de la détermination des moyens du traitement qu’au moment du traitement lui -même, au regard de la nature des données et des risques présentés par le traitement, afin de préserver la sécurité des données et, notamment, d’empêcher qu’elles soient déformées, endommagées, ou que des tiers non autorisés y aient accès.

Il prend, en particulier, toute mesure visant à :

• garantir que, pour l’utilisation d’un système de traitement automatisé de données, les personnes autorisées ne puissent accéder qu’aux données à caractère personnel relevant de leur compétence ;
• garantir que puisse être vérifiée et constatée l’identité des tiers auxquels des données à caractère personnel peuvent être transmises ;
• garantir que puisse être vérifiée et constatée a posteriori l’identité des personnes ayant eu accès au système d’information et quelles données ont été lues ou introduites dans le système, à quel moment et par quelle personne ;
• empêcher toute personne non autorisée d’accéder aux locaux et aux équipements utilisés pour le traitement des données ;
• empêcher que des supports de données puissent être lus, copiés, modifiés, détruits ou déplacés par une personne non autorisée ;
• empêcher l’introduction non autorisée de toute donnée dans le système d’information ainsi que toute prise de connaissance, toute modification ou tout effacement non autorisés de données enregistrées ;
• empêcher que des systèmes de traitements de données puissent être utilisés par des personnes non autorisées à l’aide d’installations de transmission de données ;
• empêcher que, lors de la communication de données et du transport de supports de données, les données puissent être lues, copiées, modifiées ou effacées de façon non autorisée ;
• sauvegarder les données par la constitution de copies de sécurité ;
• rafraîchir et, si nécessaire, convertir les données pour un stockage durable.

Les données à caractère personnel ne peuvent être conservées au-delà de la durée nécessaire prévue à l’article 7 de la présente loi qu’en vue d’être traitées à des fins historiques, statistiques ou scientifiques.

Le responsable du traitement prend toutes les précautions utiles pour s’assurer que les données à caractère personnel traitées puissent être exploitées, quel que soit le support technique utilisé. Il s’assure particulièrement que l’évolution de la technologie ne sera pas un obstacle à cette exploitation.

Chaque responsable du traitement et, le cas échéant, le représentant du responsable du traitement tient un registre des activités de traitement effectuées sous leur responsabilité.

Ce registre comporte toutes les informations suivantes :

• le nom et les coordonnées du responsable du traitement et, le cas échéant, du responsable conjoint du traitement, du représentant du responsable du traitement et du délégué à la protection des données ;
• les finalités du traitement ;
• une description des catégories de personnes concernées et des catégories de données à caractère personnel ;
• les catégories de destinataires auxquels les données à caractère personnel ont été ou seront communiquées, y compris les destinataires dans des pays tiers ou des organisations internationales ;
• le cas échéant, les transferts de données à caractère personnel vers un pays tiers ou à une organisation internationale, y compris l’identification de ce pays tiers ou de cette organisation internationale et, dans le cas des transferts visés dans la présente loi ;
• dans la mesure du possible, les délais prévus pour l’effacement des différentes catégories de données ;
• dans la mesure du possible, une description générale des mesures de sécurité techniques et organisationnelles visées à l’article 71 de la présente loi.

Chaque sous-traitant et, le cas échéant, le représentant du sous-traitant tiennent un registre de toutes les catégories d’activités de traitement effectuées pour le compte du responsable du traitement, comprenant :

• le nom et les coordonnées du ou des sous-traitants et de chaque responsable du traitement pour le compte duquel le sous-traitant agit ainsi que, le cas échéant, les noms et les coordonnées du représentant du responsable du traitement ou du sous-traitant et celles du délégué à la protection des données ;
• les catégories de traitements effectués pour le compte de chaque responsable du traitement ;
• le cas échéant, les transferts de données à caractère personnel vers un pays tiers ou à une organisation internationale, y compris l’identification de ce pays tiers ou de cette organisation internationale et, dans le cas des transferts visés à l’article 5 de la présente loi, les documents attestant de l’existence de garanties appropriées ;
• dans la mesure du possible, une description générale des mesures de sécurité techniques et organisationnelles visées à l’article 71 de la présente loi.

Les registres visés aux articles 67 et 68 ci-dessous se présentent sous une forme écrite, y compris la forme électronique.

Le responsable du traitement ou le sous-traitant et, le cas échéant, leur représentant mettent le registre à la disposition de la commission chargée de la protection des données, sur demande.

Le responsable du traitement et le sous-traitant ainsi que, le cas échéant, leurs représentants coopèrent avec la commission, à la demande de celle-ci dans l’exécution de ses missions.

Compte tenu de l’état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques, dont le degré de responsabilité et de gravité varie, pour les droits et libertés des personnes physiques, le responsable du traitement et le sous-traitant mettent en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque, y compris entre autres, selon les besoins :

• la pseudonymisation et le chiffrement des données à caractère personnel ;
• des moyens permettant de garantir la confidentialité, l’intégrité, la disponibilité et la résilience des systèmes et des services de traitement ;
• des moyens permettant de rétablir la disponibilité des données à caractère personnel et l’accès à celles-ci dans des délais appropriés en cas d’incident physique ou technique ;
• une procédure visant à tester, à analyser et à évaluer régulièrement l’efficacité des mesures techniques et organisationnelles pour assurer la sécurité du traitement.

Lors de l’évaluation du niveau de sécurité approprié, il est tenu compte en particulier des risques que présente le traitement, résultant notamment de la destruction, de la perte, de l’altération, de la divulgation non autorisée de données à caractère personnel transmises, conservées ou traitées d’une autre manière, ou de l’accès non autorisé à de telles données, de manière accidentelle ou illicite.

Le responsable du traitement et le sous-traitant prennent des mesures afin de garantir que toute personne physique agissant sous l’autorité du responsable du traitement ou sous celle du sous-traitant, qui a accès à des données à caractère personnel, ne les traite pas, excepté sur instruction du responsable du traitement.

En cas de violation de données à caractère personnel, le responsable du traitement en notifie la violation en question à la commission, dans les meilleurs délais et, si possible, soixante-douze heures au plus tard après en avoir pris connaissance, à moins que la violation en question ne soit pas susceptible d’engendrer un risque pour les droits et libertés des personnes physiques. Lorsque la notification à la commission n’a pas lieu dans les soixante-douze heures, elle est accompagnée des motifs du retard.

Le sous-traitant notifie au responsable du traitement toute violation de données à caractère personnel dans les meilleurs délais après en avoir pris connaissance.

La notification visée au premier alinéa de l’article 74 ci-dessus doit, à tout le moins :

• décrire la nature de la violation de données à caractère personnel, y compris, si possible, les catégories et le nombre approximatif de personnes concernées par la violation et les catégories et le nombre approximatif d’enregistrements de données à caractère personnel concernés ;
• communiquer le nom et les coordonnées du délégué à la protection des données ou d’un autre point de contact auprès duquel des informations supplémentaires peuvent être obtenues ;
• décrire les conséquences probables de la violation de données à caractère personnel ;
• décrire les mesures prises ou que le responsable du traitement propose de prendre pour remédier à la violation de données à caractère personnel, y compris, le cas échéant, les mesures pour en atténuer les éventuelles conséquences négatives.

Si, et dans la mesure où il n’est pas possible de fournir toutes les informations en même temps, les informations peuvent être communiquées de manière échelonnée sans autre retard indu.

Le responsable du traitement documente toute violation de données à caractère personnel, en indiquant les faits concernant la violation des données à caractère personnel, ses effets et les mesures prises pour y remédier. La documentation ainsi constituée permet à la commission de vérifier le respect des dispositions de la présente loi.

Lorsqu’une violation de données à caractère personnel est susceptible d’engendrer un risque élevé pour les droits et libertés d’une personne physique, le responsable du traitement communique la violation de données à caractère personnel à la personne concernée dans les meilleurs délais.

La communication à la personne concernée visée au premier alinéa du présent article décrit, en des termes clairs et simples, la nature de la violation de données à caractère personnel et contient au moins les informations et mesures visées à l’article 75 de la présente loi.

La communication à la personne concernée visée au premier alinéa de l’article précédent n’est pas nécessaire si l’une ou l’autre des conditions suivantes est remplie :

• le responsable du traitement a mis en œuvre les mesures de protection techniques et organisationnelles appropriées et ces mesures ont été appliquées aux données à caractère personnel affectées par ladite violation, en particulier les mesures qui rendent les données à caractère personnel incompréhensibles pour toute personne qui n’est pas autorisée à y avoir accès, telles que le chiffrement ;
• le responsable du traitement a pris des mesures ultérieures qui garantissent que le risque élevé pour les droits et libertés des personnes concernées visé au premier alinéa n’est plus susceptible de se matérialiser ;
• elle exigerait des efforts disproportionnés. Dans ce cas, il est plutôt procédé à une communication publique ou à une mesure similaire permettant aux personnes concernées d’être informées de manière tout aussi efficace.

Si le responsable du traitement n’a pas déjà communiqué à la personne concernée la violation de données à caractère personnel la concernant, la commission peut, après avoir examiné si cette violation de données à caractère personnel est susceptible d’engendrer un risque élevé, exiger du responsable du traitement qu’il procède à cette communication ou décider que l’une ou l’autre des conditions visées au troisième alinéa est remplie.

Lorsqu’un type de traitement, en particulier par le recours à de nouvelles technologies, et compte tenu de la nature, de la portée, du contexte et des finalités du traitement, est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes physiques, le responsable du traitement effectue, avant le traitement, une analyse de l’impact des opérations de traitement envisagée sur la protection des données à caractère personnel. Une seule et même analyse peut porter sur un ensemble d’opérations de traitement similaires qui présentent des risques élevés similaires.

Lorsqu’il effectue une analyse d’impact relative à la protection des données, le responsable du traitement demande conseil au délégué à la protection des données, si un tel délégué a été désigné.

L’analyse d’impact relative à la protection des données visée au premier alinéa de l’article 79 ci-dessus est, en particulier, requise dans les cas suivants :

• l’évaluation systématique et approfondie d’aspects personnels concernant des personnes physiques, qui est fondée sur un traitement automatisé, y compris le profilage, et sur la base de laquelle sont prises des décisions produisant des effets juridiques à l’égard d’une personne physique ou l’affectant de manière significative de façon similaire ;
• le traitement à grande échelle de catégories particulières de données visées à l’article 14, ou de données à caractère personnel relatives à des condamnations pénales et à des infractions visées à l’article 16 de la présente loi ;
• ou la surveillance systématique à grande échelle d’une zone accessible au public.

La commission établit et publie une liste des types d’opérations de traitement pour lesquelles une analyse d’impact relative à la protection des données est requise conformément à l’article 79 de la présente loi.

La commission peut aussi établir et publier une liste des types d’opérations de traitement pour lesquelles aucune analyse d’impact relative à la protection des données n’est requise.

Le responsable du traitement consulte la commission préalablement au traitement lorsqu’une analyse d’impact relative à la protection des données effectuée au titre de l’article 79 de la présente loi indique que le traitement présenterait un risque élevé si le responsable du traitement ne prenait pas de mesures pour atténuer le risque.

Lorsque la commission est d’avis que le traitement envisagé visé au premier alinéa constituerait une violation de la présente loi, en particulier lorsque le responsable du traitement n’a pas suffisamment identifié ou atténué le risque, la commission fournit par écrit, dans un délai maximum de huit semaines à compter de la réception de la demande de consultation, un avis écrit au responsable du traitement et, le cas échéant, au sous-traitant, et peut faire usage de ses pouvoirs. Ce délai peut être prolongé de six semaines, en fonction de la complexité du traitement envisagé. La commission informe le responsable du traitement et, le cas échéant, le sous-traitant de la prolongation du délai ainsi que des motifs du retard, dans un délai d’un mois à compter de la réception de la demande de consultation. Ces délais peuvent être suspendus jusqu’à ce que la commission ait obtenu les informations qu’elle a demandées pour les besoins de la consultation.

Lorsque le responsable du traitement consulte la commission en application du premier alinéa, il lui communique :

• le cas échéant, les responsabilités respectives du responsable du traitement, des responsables conjoints et des sous-traitants participant au traitement en particulier pour le traitement au sein d’un groupe d’entreprises ;
• les finalités et les moyens du traitement envisagé ;
• les mesures et les garanties prévues afin de protéger les droits et libertés des personnes concernées en vertu de la présente loi ;
• le cas échéant, les coordonnées du délégué à la protection des données ;
• l’analyse d’impact relative à la protection des données prévue à l’article 62 de la présente loi ; et
• toute autre information que la commission demande.

Le responsable du traitement et le sous-traitant désignent en tout état de cause un délégué à la protection des données lorsque :

• le traitement est effectué par une autorité publique ou un organisme public, à l’exception des juridictions agissant dans l’exercice de leur fonction juridictionnelle ;
• les activités de base du responsable du traitement ou du sous-traitant consistent en des opérations de traitement qui, du fait de leur nature, de leur portée et/ou de leurs finalités, exigent un suivi régulier et systématique à grande échelle des personnes concernées ;
• ou les activités de base du responsable du traitement ou du sous-traitant consistent en un traitement à grande échelle de catégories particulières de données visées à l’article 14 et de données à caractère personnel relatives à des condamnations pénales et à des infractions visées à l’article 16 de la présente loi.

Un groupe d’entreprises peut désigner un seul délégué à la protection des données à condition qu’un délégué à la protection des données soit facilement joignable à partir de chaque lieu d’établissement.

Lorsque le responsable du traitement ou le sous-traitant est une autorité publique ou un organisme public, un seul délégué à la protection des données peut être désigné pour plusieurs autorités ou organismes de ce type, compte tenu de leur structure organisationnelle et de leur taille.

Dans les cas autres que ceux visés au premier alinéa de l’article 83, le responsable du traitement ou le sous-traitant ou les associations et autres organismes représentant des catégories de responsables du traitement ou de sous-traitants sont tenus de désigner un délégué à la protection des données. Le délégué à la protection des données peut agir pour ces associations et autres organismes représentant des responsables du traitement ou des sous-traitants.

Le délégué à la protection des données est désigné sur la base de ses qualités professionnelles et, en particulier, de ses connaissances spécialisées du droit et des pratiques en matière de protection des données, et de sa capacité à accomplir les missions visées à l’article 90 de la présente loi.

Le délégué à la protection des données peut être un membre du personnel du responsable du traitement ou du sous-traitant, ou exerce ses missions sur la base d’un contrat de service.

Le responsable du traitement et le sous-traitant publient les coordonnées du délégué à la protection des données et les communiquent à la commission.

Le responsable du traitement et le sous-traitant veillent à ce que le délégué à la protection des données soit associé, d’une manière appropriée et en temps utile, à toutes les questions relatives à la protection des données à caractère personnel.

Ils aident le délégué à la protection des données à exercer les missions visées à l’article 90 de la présente loi en fournissant les ressources nécessaires pour exercer ces missions, ainsi que l’accès aux données à caractère personnel et aux opérations de traitement, et lui permettant d’entretenir ses connaissances spécialisées.

Le responsable du traitement et le sous-traitant veillent à ce que le délégué à la protection des données ne reçoive aucune instruction dans l’exercice de ses missions.

Le délégué à la protection des données ne peut être relevé de ses fonctions ou pénalisé par le responsable du traitement ou le sous-traitant pour l’exercice de ses missions. Il fait directement rapport au niveau le plus élevé de la direction du responsable du traitement ou du sous-traitant.

Les personnes concernées peuvent prendre contact avec le délégué à la protection des données au sujet de toutes les questions relatives au traitement de leurs données à caractère personnel et à l’exercice des droits que leur confère la présente loi.

Le délégué à la protection des données est soumis au secret professionnel ou à une obligation de confidentialité en ce qui concerne l’exercice de ses missions.

Il peut exécuter d’autres missions et tâches. Le responsable du traitement ou le sous-traitant veillent à ce que ces missions et tâches n’entraînent pas de conflit d’intérêts.

Les missions du délégué à la protection des données sont au moins les suivantes :

• informer et conseiller le responsable du traitement ou le sous-traitant ainsi que les employés qui procèdent au traitement sur les obligations qui leur incombent en vertu de la présente loi ;
• veiller au respect de la présente loi et des règles internes du responsable du traitement ou du sous-traitant en matière de protection des données à caractère personnel, y compris en ce qui concerne la répartition des responsabilités, la sensibilisation et la formation du personnel participant aux opérations de traitement, et les audits s’y rapportant ;
• dispenser des conseils, sur demande, en ce qui concerne l’analyse d’impact relative à la protection des données et vérifier l’exécution de celle-ci en vertu de la présente loi ;
• coopérer avec la commission ;
• faire office de point de contact pour la commission sur les questions relatives au traitement, y compris la consultation préalable visée à l’article 82 de la présente loi, et mener des consultations, le cas échéant, sur tout autre sujet.

Le délégué à la protection des données tient dûment compte, dans l’accomplissement de ses missions, du risque associé aux opérations de traitement compte tenu de la nature, de la portée, du contexte et des finalités du traitement.