Loi n° 019/AN/23/9ème L du 06 juillet 2025 portant Code du Numérique

Un traitement de données à caractère personnel ne peut valablement être mis en œuvre que si les données à caractère personnel traitées satisfont aux conditions suivantes :

• 1° elles sont traitées de manière licite, loyale, transparente et non frauduleuse au regard de la personne concernée ;
• 2° elles sont collectées pour des finalités déterminées, explicites et légitimes, et ne sont pas traitées ultérieurement d’une manière incompatible avec ces finalités ; le traitement ultérieur à des fins de recherche scientifique ou historique ou à des fins statistiques est considéré comme compatible avec les finalités initiales de la collecte s’il est réalisé dans le respect des principes et des procédures prévus au Chapitre 2 et 3 du Titre 3 du présent livre et au Chapitre premier du Titre 2 du présent livre et si ce traitement ultérieur n’est pas utilisé pour prendre des décisions à l’égard des personnes concernées ;
• 3° elles sont adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées et de leurs traitements ultérieurs ;
• 4° elles sont exactes, complètes et, si nécessaire, tenues à jour, et toutes les mesures raisonnables sont prises pour que les données à caractère personnel qui sont inexactes ou incomplètes, au regard des finalités pour lesquelles elles sont traitées, soient effacées ou rectifiées sans tarder ;
• 5° elles sont conservées sous une forme permettant l’identification des personnes concernées pendant une durée n’excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées ; au-delà de cette période, elles ne peuvent être conservées qu’en vue d’être traitées exclusivement et spécifiquement à des fins de recherche scientifique ou historique ou à des fins statistiques et sous réserve que les mesures techniques et organisationnelles appropriées requises par le présent livre soient mises en œuvre afin de garantir les droits et libertés de la personne concernée ;
• 6° elles sont traitées de façon à garantir une sécurité appropriée des données à caractère personnel, y compris la protection contre le traitement non autorisé ou illicite et contre la destruction, la perte ou les dégâts d’origine accidentelle, à l’aide de mesures techniques ou organisationnelles appropriées.

Le traitement n’est licite que si, et dans la mesure où, au moins une des conditions suivantes est remplie :

• 1° la personne concernée a consenti au traitement de ses données à caractère personnel pour une ou plusieurs finalités spécifiques ;
• 2° le traitement est nécessaire à l’exécution d’un contrat auquel la personne concernée est partie ou à l’exécution de mesures précontractuelles prises à la demande de celle-ci ;
• 3° le traitement est nécessaire au respect d’une obligation légale à laquelle le responsable de traitement ou le destinataire auquel les données sont communiquées est soumis ;
• 4° le traitement est nécessaire à la sauvegarde des intérêts vitaux de la personne concernée ou d’une autre personne physique ;
• 5° le traitement est nécessaire à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le responsable de traitement ;
• 6° le traitement est nécessaire afin de répondre aux intérêts légitimes poursuivis par le responsable de traitement ou par le destinataire, à moins que ne prévalent les intérêts ou les libertés et droits fondamentaux de la personne concernée qui exigent une protection des données à caractère personnel, notamment lorsque la personne concernée est un enfant.

La condition mentionnée au 6° n’est pas susceptible de légitimer les traitements effectués par les autorités publiques dans l’exécution de leurs missions.

Lorsque le traitement à une fin autre que celle pour laquelle les données ont été collectées n’est pas fondé sur le consentement de la personne concernée ou sur une obligation légale, le responsable de traitement demande le consentement formel de la personne concernée et, afin de déterminer si le traitement à une autre fin est compatible avec la finalité pour laquelle les données à caractère personnel ont été initialement collectées, tient compte, entre autres :

• 1° de l’existence éventuelle d’un lien entre les finalités pour lesquelles les données à caractère personnel ont été collectées et les finalités du traitement ultérieur envisagé ;
• 2° du contexte dans lequel les données à caractère personnel ont été collectées, en particulier en ce qui concerne la relation entre les personnes concernées et le responsable de traitement ;
• 3° de la nature des données à caractère personnel, en particulier si le traitement porte sur des catégories particulières de données à caractère personnel visées à l’Article 62 ou si des données à caractère personnel relatives à des condamnations pénales et à des infractions sont traitées conformément à l’Article 63 ;
• 4° des conséquences possibles du traitement ultérieur envisagé pour les personnes concernées ;
• 5° de l’existence de garanties appropriées, qui peuvent comprendre le chiffrement ou la pseudonymisation.

Le consentement de la personne concernée, afin de valablement légitimer un traitement de données à caractère personnel, doit résulter d’une manifestation de volonté expresse, non équivoque, libre, spécifique et informée par laquelle la personne concernée ou son représentant légal, judiciaire ou conventionnel, accepte que les données à caractère personnel la concernant fassent l’objet d’un traitement manuel ou électronique.

Dans les cas où le traitement repose sur le consentement, le responsable de traitement doit être en mesure de démontrer que la personne concernée a donné son consentement au traitement de données à caractère personnel la concernant.

Si le consentement de la personne concernée est donné dans le cadre d’une déclaration écrite qui concerne également d’autres questions, la demande de consentement est présentée sous une forme qui la distingue clairement de ces autres questions, sous une forme compréhensible et aisément accessible, et formulée en des termes clairs et simples. Aucune partie de cette déclaration qui constitue une violation du présent livre n’est susceptible d’avoir un effet contraignant pour la personne concernée.

La personne concernée a le droit de retirer son consentement à tout moment. Le retrait du consentement ne compromet pas la licéité du traitement fondé sur le consentement effectué avant ce retrait mais le responsable doit cesser sans délai tout traitement fondé sur le consentement qui a été retiré. La personne concernée en est informée avant de donner son consentement. Le responsable de traitement est tenu de veiller à ce qu’il soit aussi simple de retirer que de donner son consentement.

Au moment de déterminer si le consentement est donné librement, il y a lieu de tenir le plus grand compte de la question de savoir, entre autres, si l’exécution d’un contrat, y compris la fourniture d’un service, est subordonnée au consentement à un traitement de données à caractère personnel qui n’est pas nécessaire à l’exécution dudit contrat.

Le traitement de données à caractère personnel relatives à un mineur en lien avec l’offre de services de la société de l’information ne peut être valablement fondé sur le consentement de la personne concernée tel que prévu au 1° de l’Article 55 que si le mineur ayant consenti au traitement est âgé d’au moins 16 ans, ou si, et dans la mesure où, le consentement est donné ou autorisé par la personne exerçant l’autorité parentale à l’égard du mineur.

Le cas échéant, le responsable de traitement s’efforce de vérifier que le consentement est donné ou autorisé par la personne exerçant la responsabilité parentale à l’égard du mineur compte tenu des moyens technologiques disponibles.

L’application de cet article au traitement de données à caractère personnel concerné est sans préjudice des règles applicables à la validité, à la formation et aux effets d’un contrat à l’égard d’un mineur.

Le traitement de données à caractère personnel donne lieu par le responsable de traitement à une information obligatoire des personnes concernées par les traitements qu’il met en œuvre, conformément au Titre 2 du présent livre.

Les données à caractère personnel sont traitées de manière confidentielle et protégées conformément aux Article 11, Article 12 et Article 13 notamment lorsque le traitement implique la transmission de données dans un réseau.

Le traitement de données à caractère personnel révélant, directement ou indirectement, les origines raciales ou ethniques, les opinions politiques ou philosophiques, les opinions religieuses ou les croyances ou l’appartenance syndicale d’une personne physique, ainsi que le traitement de données génétiques, de données biométriques aux fins d’identifier une personne physique de manière unique ou de données qui sont relatives à la santé ou à la vie d’une personne physique sont interdits.

L’interdiction prévue au premier alinéa ne s’applique pas dans les cas suivants :

• 1° la personne concernée a donné son consentement exprès et explicite au traitement pour une ou plusieurs finalités spécifiques, sauf dans le cas où la loi prévoit que l’interdiction visée au premier alinéa ne peut être levée par le consentement de la personne concernée ;
• 2° le traitement porte sur des données à caractère personnel manifestement rendues publiques par la personne concernée ;
• 3° le traitement est nécessaire à la sauvegarde des intérêts vitaux de la personne concernée ou d’une autre personne physique, dans le cas où la personne concernée est dans l’incapacité physique ou juridique de donner son consentement ;
• 4° le traitement est nécessaire pour des motifs d’intérêt public dans le domaine de la santé publique tels que la protection contre les menaces transfrontalières graves pesant sur la santé, ou aux fins de garantir des normes élevées de qualité et de sécurité des soins de santé et des médicaments ou de dispositifs médicaux sur la base du droit en vigueur dès lors que celui-ci prévoit des mesures appropriées et spécifiques pour la sauvegarde des droits et libertés de la personne concernée, notamment le secret professionnel ;
• 5° le traitement est nécessaire aux fins de la médecine préventive ou de la médecine du travail, de l’appréciation de la capacité de travail du travailleur, de diagnostics médicaux, de la prise en charge sanitaire ou sociale et de l’administration de soins ou de traitements soit à la personne concernée soit à un parent, ou de la gestion de services de santé et dès lors que le traitement est mis en œuvre par un professionnel de santé soumis au secret professionnel en vertu de la loi ou de règles déontologiques contraignantes et opposables ou sous sa responsabilité ou par une autre personne à laquelle s’impose en raison de ses fonctions une obligation légale ou déontologique contraignante et opposable de secret professionnel ;
• 6° le traitement est nécessaire à la constatation, à l’exercice ou à la défense d’un droit en justice ou lorsqu’une juridiction agit dans le cadre de ses fonctions juridictionnelles ;
• 7° le traitement est mis en œuvre par une association ou tout autre organisme à but non lucratif dont l’objet est de défendre et de promouvoir les libertés et droits fondamentaux dans le cadre de ses activités légitimes correspondant à son objet et avec les garanties appropriées conformément au présent livre, mais à condition que les données à caractère personnel ne soient pas communiquées à des tiers sans le consentement exprès des personnes concernées ;
• 8° le traitement est nécessaire aux fins de l’exécution des obligations et de l’exercice des droits du responsable de traitement ou de la personne concernée en matière de droit du travail, de sécurité sociale et de protection sociale, dans la mesure où ce traitement est autorisé par la loi ou par une convention collective qui prévoit des garanties appropriées pour les droits fondamentaux et les intérêts de la personne concernée ;
• 9° le traitement est mis en œuvre par une association ou tout autre organisme à but non lucratif et à caractère religieux, philosophique, politique ou syndical dans le cadre de ses activités légitimes correspondant à son objet et avec les garanties appropriées conformément au présent livre, mais à condition que :
• a) le traitement ne concerne que les membres ou anciens membres de cette association ou de cet organisme et, le cas échéant, les personnes qui entretiennent avec celui-ci des contacts réguliers dans le cadre de ses activités ; et que
• b) les données à caractère personnel ne soient pas communiquées à des tiers sans le consentement exprès des personnes concernées ;
• 10° le traitement est nécessaire à des fins de recherche scientifique ou historique ou à des fins statistiques.

L’interdiction prévue au premier alinéa ne s’applique pas non plus aux traitements de données à caractère personnel, automatisés ou non, justifiés par l’intérêt public et autorisés dans les conditions prévues à l’Article 69 et à ceux autorisés par décret dans les conditions prévues à l’Article 71.

Si les données à caractère personnel visées au premier alinéa sont amenées à faire l’objet à bref délai d’un procédé d’anonymisation préalablement reconnu conforme aux dispositions du présent livre par la Commission, celle-ci peut autoriser, compte tenu de leur finalité, certaines catégories de traitements selon les modalités prévues à l’Article 69. Les dispositions de la Section 1 - Traitements de données à caractère personnel réalisés aux fins de recherche, d’étude ou d’évaluation dans le domaine de la santé et du Chapitre 3 - Formalités particulières et droits spécifiques pour le traitement de certaines catégories de données du Titre 3 du présent livre ne sont alors pas applicables.

Le traitement de données à caractère personnel relatives aux infractions, condamnations pénales et mesures de sûreté ne peut être effectué que par :

• 1° les juridictions, les autorités publiques et les personnes morales gérant un service public, agissant dans le cadre de leurs attributions légales, notamment leurs missions de police judiciaire ou administrative ; ou
• 2° les auxiliaires de justice, pour les stricts besoins de l’exercice des missions qui leur sont confiées par la loi, y compris par des avocats ou autres conseils juridiques, pour autant que la défense de leurs clients l’exige.

Les données de santé à caractère personnel d’une personne physique sont collectées auprès de la personne concernée. Elles ne peuvent être collectées auprès d’autres personnes qu’à condition que la collecte soit strictement nécessaire aux fins du traitement et que la personne concernée ne soit pas en mesure de fournir les données elle-même.

Sauf consentement exprès de la personne concernée, les données à caractère personnel recueillies par les prestataires de services de certification électronique pour les besoins de la délivrance et de la conservation des certificats liés aux signatures électroniques doivent l’être directement auprès de la personne concernée et ne peuvent être traitées que pour les fins en vue desquelles elles ont été recueillies.

Décisions individuelles fondées sur un traitement automatisé de données à caractère personnel

Aucune décision de justice impliquant une appréciation sur le comportement d’une personne ne peut avoir pour fondement un traitement automatisé de données à caractère personnel destiné à évaluer certains aspects de la personnalité de cette personne.

Aucune décision produisant des effets juridiques à l’égard d’une personne ou l’affectant de manière significative ne peut être prise sur le seul fondement d’un traitement automatisé de données à caractère personnel, y compris sur le fondement d’un traitement destiné à définir le profil de cette personne ou à évaluer certains aspects de sa personnalité. Cette interdiction ne s’applique pas lorsque la décision :

• 1° est autorisée par la loi, sous réserve que celle-ci prévoie des mesures appropriées pour la sauvegarde des droits et libertés et des intérêts légitimes de la personne concernée ; ou
• 2° est fondée sur le consentement explicite de la personne concernée ou est nécessaire à la conclusion ou à l’exécution d’un contrat entre la personne concernée et le responsable de traitement, sous réserve que :
• a) le responsable de traitement ait mis en œuvre les mesures appropriées pour la sauvegarde des droits et libertés et des intérêts légitimes de la personne concernée, notamment du droit de la personne concernée d’obtenir une intervention humaine de la part du responsable de traitement, d’exprimer son point de vue et de contester la décision ; et que
• b) les règles définissant le traitement ainsi que les principales caractéristiques de sa mise en œuvre aient été communiquées, à l’exception des secrets protégés par la loi, par le responsable de traitement à la personne concernée si elle en a fait la demande.

Les décisions prévues par le deuxième alinéa ne peuvent être fondées sur les catégories particulières de données à caractère personnel visées à l’Article 62 sauf lorsque les cas 1° et 8° dudit article s’appliquent et sous réserve que des mesures appropriées pour la sauvegarde des droits et libertés et des intérêts légitimes de la personne concernée aient été mises en place.

Sauf disposition contraire prévue par le présent Chapitre 2 - Formalités préalables à la mise en œuvre de traitements de données à caractère personnel, les traitements automatisés de données à caractère personnel font l’objet d’une déclaration préalable auprès de la Commission.

La déclaration comporte l’engagement que le traitement de données à caractère personnel satisfait aux exigences du présent livre. La Commission délivre un récépissé, le cas échéant par voie électronique. Le demandeur peut mettre en œuvre le traitement dès réception de ce récépissé. La déclaration n’exonère le demandeur d’aucune de ses responsabilités au titre du présent livre.

Pour les catégories les plus courantes de traitements de données à caractère personnel, dont la mise en œuvre n’est pas susceptible de porter atteinte à la vie privée ou aux libertés et droits fondamentaux des personnes physiques, la Commission peut établir des normes destinées à simplifier l’obligation de déclaration préalable. La Commission peut soumettre ces normes à consultation publique préalablement à leur établissement. Les normes sont publiées par la Commission.

Ces normes précisent, pour les traitements de données à caractère personnel pouvant faire l’objet d’une déclaration simplifiée :

• 1° les finalités des traitements autorisées ;
• 2° les données à caractère personnel ou catégories de données à caractère personnel pouvant être traitées ;
• 3° la ou les catégories de personnes pouvant être concernées ;
• 4° les destinataires ou catégories de destinataires auxquels les données à caractère personnel peuvent être communiquées ;
• 5° la durée autorisée de conservation des données à caractère personnel.

Les traitements de données à caractère personnel qui correspondent à l’une de ces normes font l’objet d’une déclaration simplifiée de conformité transmise à la Commission.

Les traitements de données à caractère personnel pour lesquels le responsable de traitement a désigné un délégué à la protection des données à caractère personnel, conformément au Chapitre 2 - Délégué à la protection des données à caractère personnel du Titre 4du présent livre, sont dispensés de déclaration préalable, sauf lorsqu’un transfert de données à caractère personnel à destination d’un pays tiers, d’une société étrangère ou d’une organisation internationale est envisagé. En cas de non-respect des dispositions du présent livre, le responsable de traitement est tenu de procéder à la déclaration des traitements de données à caractère personnel qu’il effectue et peut y être enjoint par la Commission.

La Commission peut décider, parmi les catégories de traitements pour lesquelles elle a établi une norme destinée à simplifier l’obligation de déclaration préalable conformément à l’Article 67, d’en dispenser certaines de déclaration, compte tenu de leurs finalités, de leurs destinataires ou catégories de destinataires, des données à caractère personnel traitées, de la durée de conservation de celles-ci et des catégories de personnes concernées.

Les traitements de données à caractère personnel suivants sont soumis à autorisation préalable de la Commission, sauf s’ils relèvent des Article 70, Article 71 et Article 72 :

• 1° les traitements, automatisés ou non, effectués à des fins de recherche scientifique ou historique ou à des fins statistiques mentionnés au 10° de l’Article 62 ;
• 2° les traitements, automatisés ou non, pour lesquels les données à caractère personnel sont amenées à faire l’objet à bref délai d’un procédé d’anonymisation conformément au dernier alinéa de l’Article 62 ;
• 3° les traitements, automatisés ou non, justifiés par l’intérêt public conformément à l’avant-dernier alinéa de l’Article 62 ;
• 4° les traitements automatisés portant sur des données génétiques, à l’exception des traitements qui sont mis en œuvre par des médecins ou des biologistes et qui sont nécessaires aux fins de la médecine préventive, des diagnostics médicaux ou de l’administration de soins ou de traitements ;
• 5° les traitements, automatisés ou non, portant sur des données relatives aux infractions, condamnations ou mesures de sûreté, sauf ceux qui sont mis en œuvre par des auxiliaires de justice pour les besoins de leurs missions de défense des personnes concernées ;
• 6° les traitements automatisés susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d’exclure des personnes du bénéfice d’un droit, d’une prestation ou d’un contrat en l’absence de toute disposition législative ou réglementaire établissant cette exclusion ;
• 7° les traitements automatisés ayant pour objet :
• a) l’interconnexion de fichiers relevant d’une ou de plusieurs personnes morales gérant un service public et dont les finalités correspondent à des intérêts publics différents ; ou
• b) l’interconnexion de fichiers relevant d’autres personnes et dont les finalités principales sont différentes ;
• 8° les traitements portant sur des données à caractère personnel parmi lesquelles figure le numéro national d’identification de personnes physiques inscrit au registre national des personnes physiques conformément à la loi n° 39/AN/19/8ème L du 21 janvier 2019 portant identification des personnes physiques en République de Djibouti, création du numéro national d’identification et établissement d’un registre national, et ceux qui requièrent une consultation de ce registre sans inclure le numéro national d’identification de personnes physiques ;
• 9° les traitements automatisés de données à caractère personnel comportant des appréciations sur les difficultés sociales des personnes ;
• 10° les traitements automatisés comportant des données biométriques nécessaires au contrôle de l’identité des personnes.

Les traitements de données à caractère personnel mis en œuvre pour le compte de l’État, d’une personne morale de droit public ou d’une personne morale de droit privé gérant un service public sont mis en œuvre dans les conditions fixées par les Article 71 et Article 72selon que ces traitements entrent dans les catégories de traitements mentionnées dans chacun de ces articles.

En cas de conflit d’application entre ces articles pour déterminer l’acte réglementaire approprié pour autoriser un traitement, il est systématiquement recouru à l’acte réglementaire de valeur normative supérieure.

Les traitements de données à caractère personnel suivants mis en œuvre pour le compte de l’État sont autorisés par voie réglementaire :

• 1° les traitements qui intéressent la sûreté de l’État, la défense ou la sécurité publique, dans ce cas sur proposition du Ministre chargé de l’intérieur ; ou
• 2° les traitements qui ont pour objet la prévention, la recherche, la constatation ou la poursuite des infractions pénales ou l’exécution des condamnations pénales ou des mesures de sûreté.

Par exception à ce qui précède, lorsque ces traitements portent sur des catégories de données à caractère personnel mentionnées à l’Article 62, ils sont autorisés par décret pris après avis motivé de la Commission.

L’avis de la Commission est publié avec l’arrêté ou le décret autorisant le traitement.

Certains des traitements visés au présent article peuvent être dispensés de la publication de l’acte réglementaire qui les autorise par décret pris en Conseil des Ministres. Pour ces traitements, seul le sens de l’avis émis par la Commission est publié avec le décret autorisant la dispense de publication de l’acte réglementaire.

Les traitements de données à caractère personnel suivants mis en œuvre pour le compte de l’État sont autorisés par décret après avis motivé de la Commission :

• 1° les traitements d’une personne morale de droit public ou d’une personne morale de droit privé gérant un service public qui portent sur des données à caractère personnel parmi lesquelles figure le numéro national d’identification de personnes physiques inscrit au registre national des personnes physiques conformément à la loi n° 39/AN/19/8ème L du 21 janvier 2019 portant identification des personnes physiques en République de Djibouti, création du numéro national d’identification et établissement d’un registre national ;
• 2° les traitements qui portent sur des données biométriques nécessaires à l’authentification ou au contrôle de l’identité des personnes.

Par exception à ce qui précède, les traitements de données à caractère personnel suivants sont autorisés par arrêté ou, en cas de traitement mis en œuvre pour le compte d’un établissement public ou d’une personne morale de droit privé gérant un service public, par décision de l’organe délibérant chargé de leur direction, dans chaque cas, après avis motivé de la Commission :

• 1° les traitements mis en œuvre par l’État ou par une personne morale de droit public ou une personne morale de droit privé gérant un service public qui requièrent une consultation du registre national des personnes physiques sans inclure le numéro national d’identification inscrit à ce registre ;
• 2° les traitements mentionnés au premier alinéa qui :
• a) ne comportent aucune des données sensibles mentionnées à l’Article 62 ou relatives aux infractions mentionnées à l’Article 63 ; et
• b) ne donnent pas lieu à une interconnexion entre des traitements ou fichiers correspondant à des intérêts publics différents ; et
• c) sont mis en œuvre par une personne morale de droit public ou une personne morale de droit privé gérant un service public ayant pour mission, soit de déterminer les conditions d’ouverture ou l’étendue d’un droit des administrés, soit d’établir l’assiette, de contrôler ou de recouvrer des impositions ou taxes de toute nature, soit d’établir des statistiques ;
• 3° les traitements relatifs au recensement de la population ;
• 4° les traitements mis en œuvre par l’État ou par une personne morale de droit public ou une personne morale de droit privé gérant un service public aux fins de mettre à la disposition des administrés un ou plusieurs téléservices de l’administration électronique conformément au Titre 1 du Livre Septième, si ces traitements portent sur des données à caractère personnel parmi lesquelles figurent le numéro national d’identification de personne physiques ou tout autre identifiant des personnes physiques.

L’avis de la Commission est publié avec l’arrêté ou le décret autorisant le traitement.

Les traitements de données à caractère personnel suivants ne sont soumis à aucune des formalités préalables prévues au présent Chapitre 2 - Formalités préalables à la mise en œuvre de traitements de données à caractère personnel :

• 1° les traitements ayant pour seul objet la tenue d’un registre qui, en vertu de dispositions législatives ou réglementaires, est destiné exclusivement à l’information du public et est ouvert à la consultation de celui-ci ou de toute personne justifiant d’un intérêt légitime ;
• 2° les traitements mis en œuvre par une association ou tout organisme à but non lucratif et à caractère religieux, philosophique, politique ou syndical, dès lors que ces données correspondent à l’objet de cette association ou de cet organisme, qu’elles ne concernent que leurs membres et qu’elles ne sont pas communiquées à des tiers ; et
• 3° les traitements dont la finalité se limite à assurer la conservation à long terme de documents d’archives publiques.

Le responsable d’un traitement de données à caractère personnel qui n’est soumis à aucune des formalités prévues au présent chapitre communique à toute personne qui en fait la demande les informations relatives à ce traitement mentionnées aux 3° à 8° l’Article 126.

Les déclarations, déclarations simplifiées demandes d’autorisation et demandes d’avis adressées à la Commission en application des dispositions de la Section 1 comportent les informations précisées par voie réglementaire.

Les demandes d’avis portant sur les traitements intéressant la sûreté de l’État, la défense ou la sécurité publique peuvent ne pas comporter tous les éléments d’information énumérés ci-dessus. Un décret pris en Conseil des Ministres, pris après avis de la Commission, fixe la liste de ces traitements et des informations que les demandes d’avis portant sur ces traitements doivent comporter au minimum.

Les déclarations et les déclarations simplifiées et les demandes d’autorisation peuvent être adressées à la Commission par voie électronique.

Lorsque la déclaration comporte l’engagement prévu au deuxième alinéa de l’Article 66 et satisfait aux prescriptions de l’Article 74 ou lorsque le traitement déclaré répond aux normes établies par la Commission en vertu de l’Article 67, la Commission délivre sans délai le récépissé prévu par l’Article 66.

Dans les autres cas, la Commission se prononce dans les délais fixés par décret pris en Conseil des Ministres.

Les traitements de données à caractère personnel visés à l’Article 66 relevant d’un même organisme et ayant des finalités identiques ou liées entre elles peuvent faire l’objet d’une déclaration unique. Dans ce cas, les informations requises en application de l’Article 74 ne sont fournies pour chacun des traitements que dans la mesure où elles lui sont propres.

La Commission peut autoriser les responsables de certaines catégories de traitements visées à l’Article 67 à procéder à une déclaration simplifiée unique conformément au premier alinéa du présent article et au vu des conditions établies au dernier alinéa de l’Article 68.

Les traitements de données à caractère personnel visés à l’Article 69 qui répondent à une même finalité, portent sur des catégories de données identiques et ont les mêmes destinataires ou catégories de destinataires peuvent être autorisés par une décision unique de la Commission. Dans ce cas, le responsable de chaque traitement adresse à la Commission un engagement de conformité de celui-ci à la description figurant dans l’autorisation.

Les traitements de données à caractère personnel visés aux Article 70, Article 71 et Article 72 qui répondent à une même finalité, portent sur des catégories de données identiques et ont les mêmes destinataires ou catégories de destinataires peuvent être autorisés par un acte réglementaire unique. Dans ce cas, le responsable de chaque traitement adresse à la Commission un engagement de conformité de celui-ci à la description figurant dans l’acte réglementaire.

Modification des informations relatives à un traitement déclaré ou autorisé

Le responsable d’un traitement déjà déclaré ou autorisé informe dans un délai de dix jours la Commission de tout changement affectant les informations mentionnées à l’Article 74 ainsi que, le cas échéant, de la suppression du traitement.

Les actes autorisant la création d’un traitement en application des Article 69, Article 70, Article 71 et Article 72 indiquent :

• 1° la dénomination et la finalité du traitement ;
• 2° le service auprès duquel peuvent être exercés les droits de la personne concernée conformément au Chapitre 2 du Titre 2 du présent livre et ses coordonnées ;
• 3° les catégories de données à caractère personnel enregistrées ;
• 4° les destinataires ou catégories de destinataires habilités à recevoir communication de ces données ;
• 5° le cas échéant, les dérogations au droit à l’information prévues à l’Article 88 qui s’appliquent.

Application des dispositions du présent livre aux traitements aux fins de recherche dans le domaine de la santé ou de suivi

Les traitements automatisés de données à caractère personnel ayant pour finalité la recherche ou les études dans le domaine de la santé ainsi que l’évaluation ou l’analyse des pratiques ou des activités de soin ou de prévention sont soumis aux dispositions du présent livre, à l’exception des dispositions du Chapitre 2 du Titre 3 et des dispositions des Sections 1 et 3 du Chapitre 2 du Titre 2 du présent livre auxquelles la présente section déroge s’agissant de ces traitements.

La présente section n’est pas applicable aux traitements de données à caractère personnel suivants, qui restent régis par les autres dispositions du présent livre qui s’y appliquent le cas échéant :

• 1° les traitements ayant pour finalité le suivi thérapeutique ou médical individuel des patients ;
• 2° les traitements permettant d’effectuer des études à partir des données recueillies dans le cadre de traitements mentionnés au 1° lorsque ces études sont réalisées par les personnels assurant le suivi et destinées à leur usage exclusif ;
• 3° les traitements effectués à des fins de remboursement ou de contrôle par les organismes chargés de la gestion d’un régime de base d’assurance maladie obligatoire ainsi que la prise en charge des prestations par les organismes d’assurance maladie complémentaire ;
• 4° les traitements effectués au sein des établissements de santé par les médecins responsables de l’information dans le respect du secret médical et des droits des patients en vue d’améliorer la connaissance et l’évaluation de l’activité et des coûts et de favoriser l’optimisation de l’offre de soins ;
• 5° les traitements effectués par les agences de santé et par l’État ou toute personne publique désignée par lui ayant pour finalité d’élaborer le projet national de santé et de déterminer les ressources des établissements de santé, l’évaluation de la qualité des soins, la veille et la vigilance sanitaire ainsi que le contrôle de l’activité de soin et de la facturation des établissements de santé ;
• 6° les traitements ayant pour finalité de répondre à une alerte sanitaire et d’en gérer les suites effectuées par les organismes ou les services chargés d’une mission de service public figurant sur une liste fixée par arrêtés des Ministres en charge de la santé et de la sécurité sociale pris après avis de la Commission dans les conditions prévues au Chapitre 2 du Titre 3 du présent livre.

Vérifications opérées par la Commission et autorisation des traitements

Les traitements de données à caractère personnel mentionnés au premier alinéa de l’Article 80 ne peuvent être mis en œuvre qu’en considération de la finalité d’intérêt public la recherche, l’étude ou l’évaluation ou le suivi poursuit et sont soumis à autorisation préalable de la Commission dans le respect des principes définis par le présent livre et compte tenu de cet intérêt public. La garantie de normes élevées de qualité et de sécurité des soins de santé et des médicaments ou des dispositifs médicaux constitue une finalité d’intérêt public.

La Commission vérifie les garanties présentées par le demandeur pour l’application des dispositions du présent livre et en particulier de la présente section et la conformité de sa demande à ses missions ou à son objet social. Si le demandeur n’apporte pas d’éléments suffisants pour attester la nécessité de disposer de certaines informations parmi l’ensemble des données à caractère personnel dont le traitement est envisagé, la Commission peut interdire la communication de ces informations par l’organisme qui les détient et n’autoriser le traitement que pour ces données réduites.

La Commission statue sur la durée de conservation des données nécessaires au traitement et apprécie les dispositions prises pour assurer leur sécurité conformément aux dispositions du présent livre et la garantie des secrets protégés par la loi.

La Commission se prononce dans les conditions prévues à l’Article 76.

La Commission prend sa décision après avis d’un comité consultatif. Ce comité est composé de personnes choisies en raison de leur compétence dans une pluralité de disciplines, notamment en matière de recherche dans le domaine de la santé, d’épidémiologie, de génétique et de biostatistique. Le comité peut comprendre plusieurs Sections compétentes en fonction de la nature ou de la finalité des traitements. La composition du comité et ses règles de fonctionnement sont définies par décret pris en conseil des Ministres, après avis de la Commission. Ce décret fixe les règles relatives aux conflits d’intérêt auxquelles sont soumis les membres du comité.

Le comité consultatif émet un avis sur la méthodologie retenue pour la recherche, l’étude ou l’évaluation, sur le caractère d’intérêt public que représente la recherche, l’étude ou l’évaluation justifiant la demande de traitement, sur la nécessité du recours à des données à caractère personnel, sur la pertinence de celles-ci par rapport à la finalité du traitement, et, s’il y a lieu, sur la qualité scientifique du projet. Le cas échéant, le comité recommande aux demandeurs des modifications de leur projet afin de le mettre en conformité avec les obligations prévues par le présent livre.

Le comité rend son avis dans un délai d’un mois à compter de sa saisine. À défaut d’avis dans ce délai, l’avis est réputé favorable. En cas d’urgence, ce délai peut être ramené à quinze jours.

Les dossiers de demandes d’autorisation sont transmis à la Commission qui en transmet immédiatement une copie au comité consultatif pour avis. Le délai imparti au comité pour rendre son avis court à compter de la réception du dossier par celui-ci.

Pour les catégories les plus usuelles de traitements automatisés de données de santé à caractère personnel à des fins de recherche, d’étude ou d’évaluation ou de suivi dans le domaine de la santé, la Commission peut homologuer et publier des méthodologies de référence destinées à simplifier la procédure d’examen.

Ces méthodologies sont établies en concertation avec le comité consultatif et des organismes publics et privés représentatifs des acteurs concernés.

Lorsque le traitement est conforme à une méthodologie de référence, il peut être mis en œuvre sans autorisation, à la condition que le responsable de traitement adresse préalablement à la Commission une déclaration attestant de cette conformité dans les conditions prévues à l’Article 75.

Des jeux de données agrégées ou des échantillons, issus des traitements des données de santé à caractère personnel effectués pour des finalités et dans des conditions reconnues conformes au présent livre par la Commission, peuvent faire l’objet d’une mise à disposition, dans des conditions préalablement homologuées par la Commission, sans que l’autorisation prévue à l’Article 81 ne soit requise.

Les traitements de données à caractère personnel visés à l’Article 81 qui répondent à une même finalité, portent sur des catégories de données identiques et ont les mêmes destinataires ou catégories de destinataires peuvent être autorisés par une décision unique de la Commission délivrée à un même demandeur.

Conditions de transmission pour traitement des données détenues par les professionnels de santé

Nonobstant les règles relatives au secret professionnel, les professionnels de santé peuvent transmettre les données à caractère personnel qu’ils détiennent dans le cadre d’un traitement autorisé en application de l’Article 81.

Lorsque ces données permettent l’identification des personnes, leur transmission doit être effectuée dans des conditions de nature à garantir leur confidentialité. La Commission adopte des recommandations ou des référentiels sur les procédés techniques à mettre en œuvre.

La présentation des résultats du traitement ne peut en aucun cas permettre l’identification directe ou indirecte des personnes concernées.

Les données sont reçues par le responsable désigné à cet effet par la personne physique ou morale autorisée à mettre en œuvre le traitement. Ce responsable veille à la sécurité des données et de leur traitement, ainsi qu’au respect de la finalité de celui-ci.

Les personnes appelées à mettre en œuvre le traitement de données ainsi que celles qui ont accès aux données sur lesquelles il porte sont astreintes au secret professionnel dans les conditions prévues par la loi.

Les personnes auprès desquelles sont recueillies des données à caractère personnel ou à propos desquelles de telles données sont transmises sont, avant le début du traitement de ces données, individuellement informées :

• 1° de la nature des données transmises ;
• 2° la ou les finalités déterminées poursuivies par le traitement auquel les données à caractère personnel sont destinées ;
• 3° les destinataires des données à caractère personnel auxquels celles-ci sont communiquées ;
• 4° des droits d’accès, de rectification et d’effacement dont elles jouissent en qualité de personne concernée institués aux Sections 2, 4 et 5 du Chapitre 2 du Titre 2 du présent livre ;
• 5° de leur droit d’opposition institué aux deuxième et troisième alinéas de l’Article 89 ou, dans le cas prévu au premier alinéa de cet article, de l’obligation de recueillir leur consentement.

Ces informations peuvent ne pas être délivrées si, pour des raisons légitimes que le médecin traitant apprécie en conscience, le patient est laissé dans l’ignorance d’un diagnostic ou d’un pronostic grave.

Lorsque les données à caractère personnel ont été initialement recueillies pour une autre finalité que la recherche, l’étude ou l’évaluation ou le suivi, il peut être dérogé à l’obligation d’information établie par l’Article 87 :

• 1° pour les traitements nécessaires à la conservation de ces données à des fins historiques, statistiques ou scientifiques, dans les conditions prévues par la loi ;
• 2° lorsque l’information individuelle se heurte à la difficulté de retrouver les personnes concernées.

Les demandes de dérogation à l’obligation d’informer les personnes concernées de l’utilisation de données les concernant à des fins de recherche, d’étude ou d’évaluation sont justifiées dans le dossier de demande d’autorisation transmis à la Commission qui statue sur ce point.

Lorsque les recherches, les études, les évaluations ou les suivis recourent à des données de santé à caractère personnel non directement identifiantes recueillies à titre obligatoire et destinées aux services, aux établissements de l’État, des collectivités territoriales ou aux organismes de sécurité sociale, l’information des personnes concernées quant à la réutilisation possible de ces données, à des fins de recherche, d’étude, d’évaluation ou de suivi et aux modalités d’exercice de leurs droits est assurée selon des modalités définies par décret en Conseil des Ministres après avis de la Commission. Ces modalités peuvent inclure :

• 1° une information sur le site Internet des établissements de santé, des établissements médico-sociaux, des organismes de sécurité sociale, d’assurance maladie obligatoire ou d’assurance maladie complémentaire ;
• 2° d’affiches dans les locaux ouverts au public ;
• 3° de documents remis aux personnes concernées.

Dans le cas où la recherche nécessite le recueil de prélèvements biologiques identifiants ou l’examen de caractéristiques génétiques, le consentement éclairé et exprès des personnes concernées doit être obtenu sous forme écrite préalablement à la mise en œuvre du traitement.

Toute personne a le droit de s’opposer à ce que des données à caractère personnel la concernant fassent l’objet de la levée du secret professionnel rendue nécessaire par un traitement visé à l’Article 86. Cette opposition s’effectue par tout moyen après soit du responsable de traitement, soit de l’établissement ou du professionnel de santé détenteur de ces données.

Les informations concernant les personnes décédées, y compris celles qui figurent sur les certificats des causes de décès, peuvent faire l’objet d’un traitement, sauf si la personne concernée a, de son vivant, exprimé son refus par écrit.

Autres destinataires des informations et exerçants les droits de la personne concernée

S’agissant des mineurs et des personnes faisant l’objet d’une mesure de tutelle, les informations prévues à l’Article 87 sont communiquées respectivement aux titulaires de l’exercice de l’autorité parentale et au représentant légal, et les droits prévus à l’Article 89 sont exercés par ces derniers.

Par dérogation, pour les traitements de données à caractère personnel effectués dans le cadre d’études ou d’évaluations dans le domaine de la santé ayant une finalité d’intérêt public et incluant des personnes mineures, l’information préalable prévue à l’Article 87 peut être effectuée auprès d’un seul des titulaires de l’exercice de l’autorité parentale, s’il est impossible d’informer l’autre titulaire ou s’il ne peut être consulté dans des délais compatibles avec les exigences méthodologiques propres à la réalisation de l’étude ou de l’évaluation au regard de ses finalités. Le présent alinéa ne fait pas obstacle à l’exercice ultérieur, par chaque titulaire de l’exercice de l’autorité parentale, des droits d’accès, de rectification et d’opposition.

Une information relative aux dispositions de la présente section doit être assurée dans tout établissement ou centre de santé où s’exercent des activités de prévention, de diagnostic et de soins donnant lieu à la transmission de données à caractère personnel en vue d’un traitement visé à l’Article 80.

La mise en œuvre d’un traitement de données à caractère personnel en violation des conditions prévues par la présente section entraîne le retrait temporaire ou définitif par la Commission de l’autorisation délivrée en application de l’Article 81.

Il en est de même en cas de refus de se soumettre aux vérifications effectuées sur le traitement par la Commission conformément au présent livre.

La transmission vers un pays tiers de données à caractère personnel non codées faisant l’objet d’un traitement à des fins de recherche, d’étude ou d’évaluation dans le domaine de la santé est spécifiquement autorisée dans les conditions prévues aux Article 81 et Article 82 et sous réserve du respect des dispositions de la Section 2 du Chapitre 4 du Titre 3.

Application des dispositions de la loi aux traitements réalisés aux fins de journalisme et d’expression littéraire et artistique

À titre dérogatoire, le 5° de l’Article 54, les Article 62, Article 63 et Article 66 les 1°, 2°, 3° et 5° de l’Article 80, les Sections 1, 2 et 4 du Chapitre 2 du Titre 2, et la Section 2 du Chapitre 4 du Titre 3 du présent livre ne s’appliquent pas, lorsqu’une telle dérogation est nécessaire pour concilier le droit à la protection des données à caractère personnel et la liberté d’expression et d’information, aux traitements de données à caractère personnel mis en œuvre aux seules fins :

• 1° d’expression littéraire et artistique ;
• 2° d’exercice, à Titre professionnel, de l’activité de journaliste, dans le respect des règles déontologiques de cette profession.

Tenue d’un registre des traitements aux fins de journalisme par les responsables de traitement

Pour les traitements mentionnés au 2° de l’Article 80, la dispense de l’obligation de déclaration prévue par l’Article 66 est subordonnée à la désignation par le responsable de traitement d’un délégué à la protection des données appartenant à un organisme de la presse écrite ou audiovisuelle conformément aux dispositions du Chapitre 2 du Titre 4 du présent livre, et à la tenue par celui-ci d’un registre des traitements mis en œuvre par le responsable de traitement.

Les dispositions du Chapitre 2 du Titre 4 du présent livre s’appliquent.

Articulation avec les dispositions applicables en matière de presse, d’audiovisuel et en matière pénale

Les dispositions de la présente section ne font pas obstacle à l’application des dispositions légales qui prévoient les conditions d’exercice du droit de réponse et qui préviennent, limitent, réparent et, le cas échéant, répriment les atteintes à la vie privée et à la réputation des personnes.

Légitimité de l’interconnexion de fichiers comportant des données à caractère personnel

L’interconnexion de fichiers comportant des données à caractère personnel doit permettre d’atteindre des objectifs légaux ou statutaires présentant un intérêt légitime pour les responsables de traitement.

Elle ne peut pas entraîner de discrimination ou de réduction des droits, libertés et garanties pour les personnes concernées. Elle doit être assortie de mesures de sécurité appropriées et tenir compte du principe de pertinence des données faisant l’objet de l’interconnexion.

Autorisation préalable de l’interconnexion de fichiers comportant des données à caractère personnel

L’interconnexion de fichiers comportant des données à caractère personnel relevant d’une ou plusieurs personnes morales gérant un service public et dont les finalités correspondent à des intérêts publics différents et l’interconnexion de fichiers relevant d’autres personnes et dont les finalités principales sont différentes sont soumises à autorisation de la Commission délivrée dans les conditions prévues par le Chapitre 2 du Titre 3 du présent livre.

L’interconnexion de fichiers comportant des données à caractère personnel est inscrite au registre national des traitements de données à caractère personnel dans les conditions prévues par le Chapitre 3 du Titre 4 du présent livre.

Admissibilité des transferts vers un pays tiers ou une organisation internationale présentant un niveau de protection adéquat

Le responsable de traitement ou le sous-traitant le cas échéant ne peut transférer de données à caractère personnel vers un pays tiers ou une organisation internationale en vue d’un traitement après leur transfert que si le pays ou l’organisation en question assure un niveau de protection de la vie privée, des libertés et droits fondamentaux des personnes physiques équivalent et suffisant par rapport à celui mis en place par les dispositions du présent livre à l’égard du traitement dont ces données font l’objet ou peuvent faire l’objet.

Les transferts ultérieurs de données à caractère personnel au départ du pays tiers ou de l’organisation international vers un autre pays tiers ou une autre organisation internationale doivent satisfaire les mêmes exigences.

Le caractère équivalent et suffisant du niveau de protection s’apprécie au regard de toutes les circonstances relatives à un transfert de données ou à une catégorie de transferts de données, notamment des caractéristiques propres du traitement en cause telles que sa finalité et sa durée ainsi que la nature, l’origine et la destination des données traitées. Afin de déterminer ce caractère équivalent et suffisant, il est également tenu compte :

• 1° de l’état de droit, du respect des libertés et droits fondamentaux, de la législation pertinente, tant générale que sectorielle, notamment dans le domaine de la sécurité publique, de la défense, de la sécurité nationale et du droit pénal ainsi que l’accès des autorités publiques aux données à caractère personnel, de même que de la mise en œuvre de ladite législation, des règles en matière de protection des données à caractère personnel, des règles professionnelles et des mesures de sécurité, y compris des règles relatives au transfert ultérieur de données à caractère personnel vers un autre pays tiers ou à une autre organisation internationale qui sont respectées dans le pays tiers ou par l’organisation internationale en question, de la jurisprudence, ainsi que des droits effectifs et opposables dont bénéficient les personnes concernées et des recours administratifs et judiciaires que peuvent effectivement introduire les personnes concernées dont les données à caractère personnel sont transférées ;
• 2° de l’existence et du fonctionnement effectif d’une ou de plusieurs autorités de contrôle indépendantes dans le pays tiers, ou auxquelles une organisation internationale est soumise, chargées d’assurer le respect des règles en matière de protection des données à caractère personnel et de les faire appliquer, d’assister et de conseiller les personnes concernées dans l’exercice de leurs droits ; et
• 3° des engagements internationaux pris par le pays tiers ou l’organisation internationale en question, ou d’autres obligations découlant de conventions ou d’instruments juridiquement contraignants ainsi que de sa participation à des systèmes multilatéraux ou régionaux, en particulier en ce qui concerne la protection des données à caractère personnel.

La Commission apprécie le niveau de protection offert par les pays et les organisations internationales vers lesquels un transfert de données à caractère personnel est envisagé.

Elle publie la liste des pays et organisations internationales qu’elle a reconnues comme assurant un niveau de protection suffisant à l’égard d’un transfert ou d’une catégorie de transferts de données à caractère personnel.

La Commission réévalue son appréciation pour chaque pays et organisation internationale autant que de besoin en fonction des évolutions des conditions s’appliquant au transfert et au traitement des données à caractère personnel et au moins tous les trois ans.

Interdiction et cessation des transferts en l’absence d’un niveau de protection adéquat

Si la Commission estime qu’un pays ou une organisation internationale n’assure pas ou n’assure plus un niveau de protection suffisant à l’égard d’un transfert ou d’une catégorie de transferts de données à caractère personnel, la Commission :

• 1° retire ce pays ou cette organisation de la liste mentionnée à l’Article 100 ;
• 2° saisie d’une déclaration déposée en application des Article 66 et Article 67 faisant apparaître que des données à caractère personnel seront transférées vers ce pays ou cette organisation internationale, délivre le récépissé avec mention de l’interdiction de procéder au transfert des données ;
• 3° enjoint à tout responsable de traitement de cesser tout transfert de données à caractère personnel existant vers ce pays ou cette organisation internationale.

Autorisation des transferts vers un pays tiers ou une organisation internationale n’assurant pas un niveau de protection adéquat

Le responsable de traitement ou le sous-traitant peut procéder au transfert ou à une catégorie de transferts de données à caractère personnel vers un pays tiers non membre de l’Union Africaine ou une organisation internationale n’assurant pas un niveau de protection adéquat et suffisant dans les cas suivants :

• 1° la personne concernée a expressément donné son consentement au transfert envisagé ;
• 2° le transfert est nécessaire à l’exécution d’un contrat entre la personne concernée et le responsable de traitement ou à l’exécution de mesures précontractuelles prises à la demande de celle-ci ;
• 3° le transfert est nécessaire à la conclusion ou à l’exécution d’un contrat conclu ou à conclure dans l’intérêt de la personne concernée entre le responsable de traitement et un tiers ;
• 4° le transfert est nécessaire ou rendu juridiquement obligatoire pour la sauvegarde de l’intérêt public ;
• 5° le transfert est nécessaire pour la constatation, l’exercice ou la défense d’un droit en justice ;
• 6° le transfert est nécessaire à la sauvegarde des intérêts vitaux de la personne concernée ou d’autres personnes, lorsque la personne concernée se trouve dans l’incapacité physique ou juridique de donner son consentement ;
• 7° le transfert est nécessaire à la consultation, dans des consultations régulières, d’un registre public qui, en vertu de dispositions législatives ou réglementaires, est destiné à l’information du public et est ouvert à la consultation de celui-ci ou de toute personne justifiant d’un intérêt légitime, dans la mesure où les conditions légales pour la consultation sont remplies dans le cas particulier.

Hors les cas prévu par le présent article, la Commission peut autoriser un transfert ou un ensemble de transfert de données à caractère personnel vers un pays tiers ou une organisation n’assurant pas un niveau de protection adéquat et suffisant lorsque le responsable de traitement offre des garanties suffisantes au regard de la protection de la vie privée et des libertés et droits fondamentaux des personnes concernées ainsi qu’à l’égard de l’exercice par celles-ci des droits dont elles jouissent en cette qualité en vertu du présent livre. Pour les traitements mentionnés à l’Article 71, le transfert peut être autorisé par décret pris en Conseil des Ministres dans les conditions prévues par cet article lorsque le traitement présente les mêmes garanties.

Les transferts de données à caractère personnel vers des pays tiers ou une organisation internationale font l’objet d’un contrôle régulier de la Commission au regard de leur finalité.