Loi n° 29-2019 du 10 octobre 2019 portant protection des données à caractère personnel

Le traitement de données à caractère personnel ne peut être effectué qu’après avoir reçu le consentement de la personne concernée.

Toutefois, l’exigence du consentement de la personne concernée n’est pas requise lorsque le traitement est nécessaire :

• au respect d’une obligation légale à laquelle le responsable du traitement est soumis ;
• à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le responsable du traitement ou le tiers auquel les données sont communiquées ;
• à l’exécution d’un contrat auquel la personne concernée est partie ou à l’exécution de mesures précontractuelles prises à sa demande ;
• à la sauvegarde de l’intérêt ou des droits et libertés fondamentaux de la personne concernée.

Le traitement des données à caractère personnel se fait de manière licite, loyale et transparente au regard de la personne concernée.

Les données à caractère personnel sont conservées pendant une durée qui n’excède pas la période nécessaire aux finalités pour lesquelles elles ont été collectées ou traitées. Au-delà de cette période requise, ces données ne peuvent faire l’objet d’une conservation qu’en vue de répondre spécifiquement à un traitement à des fins historiques, statistiques ou de recherche en vertu des dispositions légales.

Les données à caractère personnel collectées satisfont à l’exigence d’exactitude et elles sont, si nécessaire, mises à jour. Toute mesure raisonnable est prise pour que les données inexactes ou incomplètes, au regard des finalités pour lesquelles elles sont collectées et traitées ultérieurement, soient effacées ou rectifiées.

Le traitement des données à caractère personnel s’effectue conformément au principe de transparence qui implique une information obligatoire de la part du responsable du traitement portant sur les données à caractère personnel.

Les données à caractère personnel sont traitées de manière confidentielle et sont protégées conformément aux dispositions de l’article 64 de la présente loi, notamment lorsque le traitement comporte des transmissions de données dans un réseau.

Lorsque le traitement est mis en œuvre pour le compte du responsable du traitement, celui-ci choisit un sous-traitant qui apporte des garanties suffisantes au regard des mesures de sécurité technique et d’organisation relatives aux traitements à effectuer. Il incombe au responsable du traitement ainsi qu’au sous-traitant de veiller au respect des mesures de sécurité définies par les dispositions de l’article 64 de la présente loi.

Le traitement effectué pour le compte du responsable du traitement est régi par un contrat consigné par écrit qui lie le sous-traitant au responsable du traitement et qui prévoit notamment que le sous-traitant n’agit que sur la seule instruction du responsable du traitement et que les obligations visées au présent article incombent également à celui-ci.

Toute personne qui agit sous l’autorité du responsable du traitement ou sous celle du sous-traitant, ainsi que le sous-traitant lui-même, et qui accède à des données à caractère personnel ne peut les traiter que sur instruction du responsable du traitement.

Aucune décision de justice impliquant une appréciation sur le comportement d’une personne physique ne peut avoir pour fondement un traitement automatisé des données à caractère personnel destiné à évaluer certains aspects de sa personnalité.

Aucune décision produisant des effets juridiques à l’égard d’une personne physique ne peut être prise sur le seul fondement d’un traitement automatisé des données à caractère personnel destiné à définir le profil de l’intéressé ou à évaluer certains aspects de sa personnalité.

Ne sont pas considérées comme prises sur le seul fondement d’un traitement automatisé des données à caractère personnel, les décisions prises dans le cadre de la conclusion ou de l’exécution d’un contrat et pour lesquelles la personne concernée a été mise à même de présenter ses observations ni celles satisfaisant les demandes de la personne concernée.

La collecte et le traitement des données à caractère personnel qui révèlent l’origine ethnique ou régionale, la filiation, les opinions politiques, les convictions religieuses ou philosophiques, l’appartenance syndicale, la vie sexuelle, les données génétiques ou plus généralement celles relatives à l’état de santé de la personne concernée sont interdits.

Il est fait dérogation aux dispositions de l’article 14 ci-dessus pour les catégories de traitements suivants lorsque :

• les données à caractère personnel devant faire l’objet de traitement ont été manifestement rendues publiques par la personne concernée ;
• la personne concernée a donné son consentement par écrit, quel que soit le support, à un tel traitement et en conformité avec les textes en vigueur ;
• le traitement des données à caractère personnel est nécessaire à la sauvegarde des intérêts vitaux de la personne concernée ou d’une autre personne dans le cas où la personne concernée se trouve dans l’incapacité physique ou juridique de donner son consentement ;
• le traitement est nécessaire à la constatation, à l’exercice ou à la défense d’un droit en justice. Toutefois les données génétiques ne peuvent être traitées que pour vérifier l’existence d’un lien génétique dans le cadre de l’administration de la preuve en justice pour l’identification d’une personne, la prévention ou la répression d’une infraction pénale déterminée ;
• une procédure judiciaire ou une enquête pénale est ouverte ;
• le traitement des données à caractère personnel s’avère nécessaire pour un motif d’intérêt public notamment à des fins historiques, statistiques ou scientifiques ;
• le traitement est nécessaire à l’exécution d’un contrat auquel la personne concernée est partie ou à l’exécution de mesures précontractuelles prises à la demande de la personne concernée pendant la période précontractuelle ;
• le traitement est nécessaire au respect d’une obligation légale ou réglementaire à laquelle le responsable du traitement est soumis ;
• le traitement est nécessaire à l’exécution d’une mission d’intérêt public ou est effectué par une autorité publique ou est assigné par une autorité publique au responsable du traitement ou à un tiers auquel les données sont communiquées ;
• le traitement est effectué dans le cadre des activités légitimes d’une fondation, d’une association ou de tout autre organisme à but non lucratif et à finalité politique, philosophique, religieuse, mutualiste ou syndicale. Toutefois, le traitement se rapporte aux seuls membres de cet organisme ou aux personnes entretenant avec lui des contacts réguliers liés à sa finalité et que les données ne soient pas communiquées à des tiers sans le consentement des personnes concernées.

Lorsque les données à caractère personnel sont relatives aux infractions, aux condamnations pénales ou aux mesures de sûreté, leur traitement ne peut être mis en œuvre que par :

• les juridictions, les autorités publiques et les personnes morales gérant un service public, agissant dans le cadre de leurs attributions légales ;
• les auxiliaires de justice pour les stricts besoins de l’exercice des missions qui leur sont confiées par la loi.

Le traitement des données à caractère personnel à des fins de santé n’est autorisé que si :

• la personne concernée a donné son consentement ;
• il porte sur des données manifestement rendues publiques par la personne concernée ;
• il est nécessaire à la défense des intérêts vitaux de la personne concernée ou d’une autre personne dans le cas où celle-ci se trouve dans l’incapacité physique ou juridique de donner son consentement ;
• il est nécessaire à la réalisation d’une finalité fixée par ou en vertu de la loi ;
• il est nécessaire à la promotion et à la protection de la santé publique, y compris le dépistage ;
• il est nécessaire pour la prévention d’un danger concret ou la répression d’une infraction pénale déterminée ;
• il est nécessaire à la constatation, à l’exercice ou à la défense d’un droit en justice ;
• il est nécessaire aux fins de médecine préventive, de diagnostics médicaux, de l’administration de soins ou de traitements soit de la personne concernée, soit de son parent ou lorsque les services de santé agissent dans l’intérêt de la personne concernée. Les données sont traitées sous la surveillance d’un professionnel des soins de santé qui est soumis au secret professionnel.

La collecte des données à caractère personnel relatives à la santé s’opère uniquement auprès de la personne concernée. Ces données ne peuvent être collectées auprès d’autres sources qu’à condition que la collecte soit nécessaire aux fins du traitement ou que la personne concernée ne soit pas en mesure de fournir les données elle-même.

Le traitement des données à caractère personnel réalisé aux fins de journalisme, de recherche ou d’expression artistique ou littéraire est admis lorsqu’il est mis en œuvre aux seules fins d’expression littéraire et artistique ou d’exercice, à titre professionnel, de l’activité de journaliste ou de chercheur, dans le respect des règles déontologiques de ces professions.

Les dispositions de la présente loi ne font pas obstacle à l’application des dispositions législatives et réglementaires qui prévoient les conditions d’exercice du droit de réponse et qui préviennent, limitent, réparent et, le cas échéant, répriment les atteintes à la vie privée et à la réputation des personnes physiques.

La prospection directe effectuée à l’aide de tout moyen de communication utilisant, sous quelque forme que ce soit, des données à caractère personnel est interdite.

Elle n’est admise que lorsque la personne concernée a exprimé son consentement préalable à recevoir de telles prospections.

Sauf consentement exprès de la personne concernée, les données à caractère personnel recueillies par les prestataires de services de certification électronique pour les besoins de la délivrance et de la conservation des certificats liés aux signatures électroniques le sont directement auprès de la personne concernée et ne peuvent être traitées que pour les fins en vue desquelles elles ont été recueillies.

Le transfert transfrontalier de données à caractère personnel ne peut avoir lieu que si le pays tiers assure un niveau de protection suffisant de la vie privée, des libertés et droits fondamentaux des personnes à l’égard du traitement dont ces données font ou peuvent faire l’objet.

Le responsable du traitement informe préalablement la commission de tout transfert de données à caractère personnel vers un pays tiers.

Avant tout traitement de données à caractère personnel provenant de l’étranger, la commission vérifie préalablement que le responsable du traitement assure un niveau de protection suffisant de la vie privée, des libertés et droits fondamentaux des personnes à l’égard du traitement en vertu de la présente loi.

Le caractère suffisant du niveau de protection assuré par un responsable du traitement s’apprécie notamment en fonction des mesures de sécurité qui y sont appliquées conformément à la présente loi, des caractéristiques propres au traitement, telles que ses finalités, sa durée ainsi que de la nature, de l’origine et de la destination des données traitées.

Le responsable d’un traitement peut transférer des données à caractère personnel vers un pays tiers ne répondant pas aux conditions prévues à l’article 22 de la présente loi si le transfert est ponctuel, non massif et que la personne à laquelle se rapportent les données a consenti expressément à leur transfert ou si le transfert est nécessaire à la protection de la vie de cette personne, à la sauvegarde de l’intérêt public, au respect des obligations permettant d’assurer la contestation, l’exercice ou la défense d’un droit en justice et à l’exécution d’un contrat entre le responsable du traitement et l’intéressé.

Un transfert ou un ensemble de transferts de données vers un pays tiers n’assurant pas un niveau de protection suffisant peut être autorisé par la commission lorsque le responsable du traitement offre des garanties suffisantes au regard de la protection de la vie privée, des libertés et droits fondamentaux des personnes concernées ainsi qu’à l’exercice des droits correspondants. L’autorisation est délivrée sur la base d’une demande dûment motivée émanant du responsable du traitement.

L’interconnexion de fichiers visés à l’article 37.3 de la présente loi relevant d’une ou plusieurs personnes morales gérant un service public et dont les finalités correspondent à des intérêts publics différents est soumise au régime d’autorisation conformément aux dispositions des articles 37, 38 et 39 de la présente loi.

Il en est de même pour les interconnexions de fichiers mises en œuvre par l’Etat dans l’objet de mettre à la disposition des usagers de l’administration un ou plusieurs services à distance dans le cadre de l’administration électronique.

L’interconnexion de fichiers relevant de personnes privées et dont les finalités principales sont différentes est également soumise au régime d’autorisation.

L’interconnexion des fichiers ne peut avoir pour finalité que d’atteindre des objectifs légaux ou statutaires présentant un intérêt légitime pour les responsables des traitements.

L’interconnexion des fichiers n’est autorisée que si elle n’entraîne aucune discrimination ou réduction des droits, libertés et garanties pour les personnes concernées.

Elle est assortie de mesures de sécurité appropriées et tient compte du principe de pertinence des données faisant l’objet de l’interconnexion.

La demande d’autorisation d’interconnexion prévue à l’article 37.3 de la présente loi précise au minimum les informations suivantes :

• la nature des données à caractère personnel relative à l’interconnexion ;
• la finalité pour laquelle l’interconnexion est considérée nécessaire ;
• la durée pour laquelle l’interconnexion est permise ;
• le cas échéant, les conditions et les termes au regard de la protection la plus efficace des droits et des libertés et notamment du droit à la vie privée des personnes concernées ou des tiers.

La demande d’autorisation d’interconnexion ainsi que les autorisations d’interconnexion sont inscrites sur le répertoire des traitements tenu par la commission.

L’autorisation peut être renouvelée après une demande des responsables du traitement.

Les opérations suivantes sont dispensées des formalités préalables prévues par les dispositions de la présente loi :

• les traitements mentionnés à l’article 3 de la présente loi ;
• les traitements ayant pour seul objet la tenue d’un registre qui, en vertu de dispositions législatives ou réglementaires, est destiné exclusivement à l’information du public et est ouvert à la consultation de celui-ci ou de toute personne justifiant d’un intérêt légitime ;
• les traitements mis en œuvre par une association ou tout organisme à but non lucratif et à caractère religieux, philosophique, politique ou syndical dès lors que ces données correspondent à l’objet de cette association ou de cet organisme, qu’elles ne concernent que leurs membres et qu’elles ne sont pas destinées à être communiquées à des tiers.

Sous réserve des dispositions de l’article 3 de la présente loi, les dispenses prévues à l’article 31 ci-dessus sont sans préjudice des autres obligations incombant aux responsables du traitement des données à caractère personnel définies par les dispositions de la présente loi. Elles sont aussi sans préjudice des droits reconnus aux personnes concernées.

En dehors des cas prévus aux articles 31, 35 et 38 de la présente loi, les traitements de données à caractère personnel font l’objet d’une déclaration auprès de la commission.

La déclaration, conforme à un modèle établi par la commission, comporte l’engagement que le traitement satisfait aux exigences de la loi.

La commission atteste, par un accusé de réception, toute déclaration. Elle délivre, dans un délai d’un mois, un récépissé qui permet au demandeur de mettre en œuvre le traitement sans toutefois l’exonérer d’aucune de ses responsabilités.

Le délai d’un mois visé à l’alinéa 3 du présent article peut être prorogé une fois, sur décision motivée de la commission.

Toutefois, seule la réception du récépissé donne droit à la mise en œuvre d’un traitement.

Lorsque des traitements de données à caractère personnel relèvent d’un même organisme et ont des finalités identiques ou liées, ils peuvent faire l’objet d’une déclaration unique. Dans ce cas, les informations requises en application de l’article 44 de la présente loi ne sont fournies pour chacun des traitements que dans la mesure où elles lui sont propres.

Pour les catégories les plus courantes de traitement des données à caractère personnel dont la mise en œuvre n’est pas susceptible de porter atteinte à la vie privée ou aux libertés, la commission établit et publie des normes destinées à simplifier ou à exonérer l’obligation de déclaration.

Les normes relatives à la déclaration simplifiée précisent :

• les finalités des traitements faisant l’objet d’une déclaration simplifiée ;
• les données à caractère personnel ou catégories de données à caractère personnel traitées ;
• la ou les catégories de personnes concernées ;
• les destinataires ou catégories de destinataires auxquels les données à caractère personnel sont communiquées ;
• la durée de conservation des données à caractère personnel.

Ces normes peuvent prendre en compte les Codes de conduite homologués par la commission.

La commission peut définir, parmi les catégories de traitements visées à l’article 35 ci-dessus, celles qui sont dispensées de déclaration. Pour ce faire, la commission tient compte de leurs finalités, de leurs destinataires ou catégories de destinataires, des données à caractère personnel traitées, de la durée de conservation de celles-ci et des catégories de personnes concernées.

Dans les mêmes conditions, la commission peut autoriser les responsables de certaines catégories de traitements à procéder à une déclaration unique conformément aux dispositions de l’article 34 de la présente loi.

Sont mis en œuvre après autorisation de la commission :

• les traitements des données à caractère personnel portant sur des données génétiques et sur la recherche dans le domaine de la santé ;
• les traitements des données à caractère personnel portant sur des données relatives aux infractions, condamnations ou mesures de sûreté ;
• les traitements des données à caractère personnel ayant pour objet une interconnexion de fichiers, telle que définie à l’article 28 de la présente loi ;
• les traitements portant sur un numéro national d’identification ou tout autre identifiant de portée générale ;
• les traitements des données à caractère personnel comportant des données biométriques ;
• les traitements des données à caractère personnel ayant un motif d’intérêt public notamment à des fins historiques, statistiques ou scientifiques.

Les traitements qui répondent à une même finalité, portant sur des catégories de données identiques et ayant les mêmes destinataires ou catégories de destinataires peuvent être autorisés par une décision unique de la commission. Dans ce cas, le responsable de chaque traitement adresse à la commission un engagement de conformité de celui-ci à la description figurant dans l’autorisation.

La commission se prononce dans un délai de deux mois, à compter de la date de réception de la demande. Toutefois, ce délai peut être renouvelé une fois, sur décision motivée de son président. Lorsque la commission ne s’est pas prononcée dans ces délais, la demande d’autorisation est réputée rejetée.

Les traitements de données à caractère personnel opérés pour le compte de l’Etat, d’un établissement public, d’une entité administrative décentralisée ou d’une personne morale de droit privé gérant un service public sont décidés par acte réglementaire pris par le Président de la République, après avis motivé de la commission.

Ces traitements portent sur :

• la défense nationale et la sécurité publique ;
• la prévention, la recherche, la constatation ou la poursuite des infractions pénales ou l’exécution des condamnations pénales ou des mesures de sûreté ;
• le recensement de la population ;
• les données à caractère personnel faisant apparaître, directement ou indirectement, les origines ethniques ou régionales, la filiation, les opinions politiques, philosophiques ou religieuses ou l’appartenance syndicale des personnes, ou qui sont relatives à la santé ou la vie sexuelle de celles-ci lorsqu’elles ne relèvent pas de l’article 37.3 de la présente loi ;
• le traitement de salaires, pensions, impôts, taxes et autres liquidations.

La commission, saisie d’une demande d’avis, se prononce dans un délai de deux mois, à compter de la réception de la demande. Toutefois, ce délai peut être renouvelé une fois, sur décision motivée du président.

Si la commission saisie ne se prononce pas jusqu’à l’expiration du délai fixé à l’alinéa précédent, l’avis est réputé favorable.

L’acte réglementaire pris après avis de la commission et autorisant les traitements visés à l’article 40 de la présente loi précise :

• la dénomination et la finalité du traitement ;
• le service auprès duquel s’exerce le droit d’accès ;
• les catégories de données à caractère personnel enregistrées ;
• les destinataires ou catégories de destinataires habilités à recevoir communication de ces données ;
• les dérogations à l’obligation d’information prévues par les dispositions de l’article 49.1 de la présente loi, s’il y a lieu.

Les déclarations, les demandes d’autorisations et les demandes d’avis précisent :

• l’identité et l’adresse du responsable du traitement ou, si celui-ci n’est pas établi sur le territoire national, celles de son représentant dûment mandaté ;
• la ou les finalités du traitement ainsi que la description générale de ses fonctions ;
• les interconnexions envisagées ou toutes autres formes de mise en relation avec d’autres traitements ;
• les données à caractère personnel traitées, leur origine et les catégories de personnes concernées par le traitement ;
• la durée de conservation des informations traitées ;
• le ou les services chargés de mettre en œuvre le traitement ainsi que les catégories de personnes qui, en raison de leurs fonctions ou pour les besoins du service, ont directement accès aux données enregistrées ;
• les destinataires habilités à recevoir communication des données ;
• la fonction de la personne ou le service auprès duquel s’exerce le droit d’accès ;
• les dispositions prises pour assurer la sécurité des traitements et des données ;
• l’indication du recours à un sous-traitant ;
• les transferts de données à caractère personnel envisagés à destination d’un pays tiers, sous réserve de réciprocité.

Les demandes d’avis portant sur les traitements intéressant la sûreté de l’Etat, la défense ou la sécurité publique peuvent ne pas comporter tous les éléments d’information énumérés à l’alinéa 1 ci-dessus. La liste de ces traitements et des informations que les demandes d’avis portant sur ces traitements doivent comporter au minimum est fixée par voie réglementaire après avis de la commission.

Lorsqu’intervient un changement affectant les informations mentionnées à l’article 43 ci-dessus, le responsable du traitement des données à caractère personnel déjà déclaré ou autorisé introduit une nouvelle demande auprès de la commission.

En outre, en cas de suppression du traitement, le responsable du traitement visé à l’alinéa premier du présent article en informe la commission.

Les déclarations, les demandes d’autorisations et les demandes d’avis peuvent être adressées à la commission par voie électronique ou par voie postale. Ladite commission délivre le récépissé visé à l’alinéa 3 de l’article 33 de la présente loi, le cas échéant par voie électronique.