Loi n° 019/AN/23/9ème L du 06 juillet 2025 portant Code du Numérique

Il est créé une autorité administrative indépendante chargée de veiller à ce que les traitements de données à caractère personnel soient mis en œuvre conformément aux dispositions du présent livre dénommée Commission Nationale de Protection des Données à Caractère Personnel.

Elle informe les personnes concernées et les responsables de traitement de leurs droits et obligations et s’assure que les TIC ne comportent pas de menace au regard des libertés publiques et de la vie privée.

La Commission est une personne morale de droit public indépendante, dotée de la personnalité juridique et jouissant de l’autonomie administrative, financière.

Le siège de la Commission est fixé à Djibouti. Il peut être transféré en cas de besoin en tout autre lieu du territoire national par décret.

La Commission Nationale de Protection des Données à Caractère Personnel garantit la préservation des libertés et droits fondamentaux des personnes physiques et en particulier leur vie privée et assure leur protection dans le cadre des traitements de données à caractère personnel les concernant.

À ce titre, elle exerce les missions qui lui sont conférées par le présent livre et est en particulier chargée, dans les conditions prévues par le présent livre :

• 1° d’informer les personnes concernées et les responsables de traitements et les sous-traitants de leurs droits et obligations ;
• 2° de sensibiliser le public aux risques liés au traitement de données à caractère personnel et aux meilleures pratiques en vue de leur protection ;
• 3° de promouvoir l’utilisation des technologies protectrices de la vie privée, notamment les technologies de chiffrement des données ;
• 4° de veiller à ce que les traitements de données à caractère personnel soient créés et effectués conformément aux dispositions du présent livre, et de contrôleur leur mise en œuvre ;
• 5° de recevoir les déclarations préalables, d’octroyer les autorisations et de répondre à toute demande d’avis pour la mise en œuvre de traitement de données à caractère personnel ;
• 6° d’autoriser, l’interconnexion de fichiers et les transferts de données à caractère personnel vers des pays tiers, des sociétés étrangères et des organisations internationales ;
• 7° de recevoir les réclamations, pétitions et plaintes relatives à la mise en œuvre des traitements de données à caractère personnel et d’informer leurs auteurs des suites données à celles-ci ;
• 8° de répondre aux demandes d’avis des autorités publiques et des juridictions ;
• 9° de conseiller les personnes et organismes qui procèdent à des traitements de données à caractère personnel ou qui souhaitent procéder à des essais ou expériences en la matière ;
• 10° de procéder, par le biais d’agents assermentés, à des vérifications portant sur tout traitement de données caractère personnel soumis aux dispositions du présent livre et relevant de ses prérogatives ;
• 11° d’informer, sans délai, le procureur de la République, conformément aux dispositions de l’article 37 du Code de procédure pénale, des violations des dispositions du présent livre dont elle a connaissance ;
• 12° d’établir, de tenir à jour et de mettre à disposition du public pour consultation le registre national des traitements de données à caractère personnel prévu par les Article 125 et Article 126.

La Commission est consultée sur tout projet de texte législatif ou réglementaire en rapport avec la protection des libertés et droits fondamentaux des personnes physiques en lien avec des traitements de données à caractère personnel. Ses avis peuvent être rendus publics.

La Commission peut, de sa propre initiative, faire des propositions susceptibles de simplifier et d’adapter le cadre législatif et règlementaire concernant le traitement des données à caractère personnel et la protection des libertés individuelles, notamment compte tenu de l’évolution des procédés et techniques informatiques.

La Commission met en place des mécanismes de coopération avec les autorités de contrôle des traitements de données à caractère personnel d’autres pays et peut, sur demande du gouvernement, participer à la préparation et à la définition de la position djiboutienne dans les négociations internationales en matière de protection des données à caractère personnel.

La Commission adopte des lignes directrices, recommandations et référentiels destinés à faciliter la mise en œuvre du présent livre par les responsables de traitement et les sous-traitants et l’exercice de leurs droits par les personnes concernées.

Les membres de la Commission sont choisis pour leur impartialité, leur probité et leur compétence dans les domaines technique, juridique, judiciaire et informatique ou en lien aux questions touchant aux libertés individuelles.

La Commission est composée de douze membres désignés comme suit :

• 1° trois personnalités qualifiées désignées par le Président de la République, dont au moins un expert en technologie de l’information et de la communication ;
• 2° trois députés désignés sur proposition du président de l’Assemblée Nationale ;
• 3° trois magistrats, dont au moins un ayant siégé en matière administrative, désignés sur proposition du premier président de la Cour Suprême ;
• 4° une personnalité qualifiée désignée par le Ministre chargé de l’économie numérique ;
• 5° une personnalité qualifiée désignée sur proposition du président de la Commission Nationale des Droits de l’Homme.
• 6° une personnalité qualifiée désignée par l’association des entreprises.

Pour être nommé membre de la Commission, il faut être de nationalité djiboutienne, jouir de ses droits civils et politiques, présenter les qualités exposées à l’Article 106 et ne pas relever des cas d’incompatibilité mentionnés à l’Article 108.

Les membres de la Commission sont désignés par décret pris en Conseil des Ministres. Le président de la Commission est désigné par le Président de la République. La Commission élit parmi ses membres deux vice-présidents dont un vice-président délégué.

Le président est chargé de la gestion quotidienne des affaires de la Commission et de l’exécution de ses décisions. La Commission peut charger le président ou l’un de ses vice-présidents d’exercer tout ou partie de ses attributions. Le président peut déléguer tout ou partie de ses attributions aux vice-présidents ou à tout autre agent de la Commission. En cas d’empêchement du président, le vice-président délégué exerce les attributions du président.

L’ordre du jour des séances de la Commission est public.

La qualité de membre de la Commission est incompatible avec celle de membre du gouvernement et la détention, directe ou indirecte, d’intérêts dans une entreprise du secteur des communications électroniques ou des technologies de l’information et de la communication ou de l’informatique.

À l’exception du président, les membres de la Commission n’exercent pas leurs fonctions à titre exclusif. Toutefois, les membres de la Commission s’abstiennent de tout acte incompatible avec leurs fonctions et, pendant la durée de leur mandat, n’exercent aucune activité professionnelle incompatible, rémunérée ou non.

Le président de la Commission exerce ses fonctions à plein temps. La fonction de président est incompatible avec toute autre activité professionnelle ou tout autre emploi public.

Aucun membre de la Commission ne peut :

• 1° participer à une délibération ou procéder à des vérifications relatives à un organisme au sein duquel il détient un intérêt, direct ou indirect, exerce des fonctions ou détient un mandat ;
• 2° participer à une délibération ou procéder à des vérifications relatives à un organisme au sein duquel il a, au cours des trente-six mois précédant la délibération ou les vérifications, détenu un intérêt direct ou indirect, exercé des fonctions ou détenu un mandat.

Tout membre de la Commission doit informer le président des intérêts directs ou indirects qu’il détient ou vient à détenir, des fonctions qu’il exerce ou vient à exercer et de tout mandat qu’il détient ou vient à détenir au sein d’une personne morale. Ces informations, ainsi que celles concernant le président, sont tenues à la disposition des membres de la Commission.

Le président de la Commission prend les mesures appropriées pour assurer le respect des obligations résultant du présent article.

Les membres de la Commission sont désignés pour un mandat de cinq ans, renouvelable une fois.

Les membres de la Commission sont inamovibles pendant la durée de leur mandat. Sauf démission, il ne peut être mis fin aux fonctions de membre de la Commission dans les conditions définies dans le règlement intérieur de la Commission qu’en cas d’empêchement constaté par le bureau de la Commission ou en cas de perte de la qualité au titre de laquelle le membre concerné a été désigné.

En cas de vacance, il est procédé au remplacement du membre de la Commission vacant conformément aux dispositions du présent chapitre pour la durée de son mandat qui reste à courir.

Les membres de la Commission ne reçoivent d’instruction d’aucune personne ou autorité.

Les membres de la Commission jouissent d’une immunité totale pour les opinions émises dans l’exercice ou à l’occasion de l’exercice de leurs fonctions.

Les membres de la Commission perçoivent un traitement et des indemnités pour l’exercice de leurs fonctions au sein de la Commission, fixés par décret pris en Conseil des Ministres.

Les frais engagés par les membres de la Commission pour assister aux réunions de la Commission et exécuter les attributions qui leur sont confiées sont remboursés.

Avant leur entrée en fonction, les membres et les agents de la Commission prêtent le serment sur le Coran devant la Cour d’appel : « Je jure solennellement de bien et fidèlement remplir mes fonctions au sein de la Commission Nationale de Protection des Données à Caractère Personnel, en toute indépendance, impartialité et équité et de façon digne et loyale, de respecter en toute circonstance les obligations que m’imposent ces fonctions et de garder le secret des délibérations ».

La Commission peut pourvoir au recrutement de personnels administratifs. Elle dispose de services, dirigés par le président et placés sous son autorité.

Les agents de la Commission sont nommés par le président.

Les membres et les agents de la Commission sont tenus au secret professionnel pour les faits, actes ou informations dont ils ont pu avoir connaissance dans le cadre ou à l’occasion de l’exercice de leurs fonctions, sous réserve de ce qui est nécessaire à l’établissement du rapport annuel de la Commission, y compris après la cessation de leurs fonctions.

Sauf dans les cas où elles sont astreintes au secret professionnel, les personnes interrogées dans le cadre des contrôles effectués par la Commission sont tenues de fournir les renseignements demandés par celle-ci pour l’exercice de ses missions.

Le règlement intérieur de la Commission est approuvé par voie réglementaire. Celui-ci fixe les règles particulières de son organisation et de son fonctionnement conformément au présent livre et notamment les modalités selon lesquelles les dossiers sont instruits et présentés à la Commission et les conditions dans lesquelles elle prend ses décisions et délibère.

La Commission jouit de l’autonomie de gestion. Le budget de la Commission est préparé le président et adopté par la Commission. Le budget de la Commission est rendu public.

Le président de la Commission est ordonnateur des recettes et des dépenses. Un agent comptable est placé auprès de la Commission par le Ministre chargé du budget.

La Commission dispose d’un budget autonome nécessaire à l’accomplissement de ses missions, constitué par les crédits inscrits au budget de l’Etat. La Commission ne reçoit de don ou de subvention autre que de l’Etat. La Commission peut bénéficier de ressources propres issues de l’exercice de ses activités.

Les comptes de la Commission sont vérifiés annuellement par la Cour des Comptes et soumis au contrôle des organes de contrôles de l’Etat.

La Commission tient à la disposition du public ses avis, décisions ou recommandations et en assure dans la mesure du possible la publication sur son site Internet.

La Commission présente chaque année au Président de la République, au président de l’Assemblée Nationale et au Président de la Commission Nationale des Droits de l’Homme (CNDH) un rapport public rendant compte de l’exécution de sa mission. Ce rapport est publié par la Commission sur son site Internet.

Le délégué à la protection des données à caractère personnel est une personne désignée afin d’assurer, d’une manière indépendante, le respect par le responsable de traitement et le sous-traitant des obligations mises à sa charge par le présent livre. Le délégué à la protection des données à caractère personnel peut exécuter d’autres missions et tâches. Le responsable de traitement et le sous-traitant veillent à ce que ces missions et tâches n’entraînent pas de conflit d’intérêts.

Le délégué à la protection des données à caractère personnel peut être un membre du personnel du responsable de traitement ou du sous-traitant, ou exercer ses missions sur la base d’un contrat de service.

Il est soumis au secret professionnel ou à une obligation de confidentialité selon son statut en ce qui concerne l’exercice de ses missions.

Le délégué à la protection des données à caractère personnel fait directement rapport au niveau le plus élevé de la direction du responsable de traitement ou du sous-traitant. Le responsable de traitement et le sous-traitant veillent à ce que le délégué à la protection des données à caractère personnel soit associé, d’une manière appropriée et en temps utile, à toutes les questions relatives à la protection des données à caractère personnel. Le responsable de traitement et le sous-traitant aident le délégué à la protection des données à caractère à exercer ses missions en fournissant les ressources nécessaires ainsi que l’accès aux données à caractère personnel et aux opérations de traitement, et en lui permettant d’entretenir ses connaissances.

Le délégué à la protection des données à caractère personnel ne peut faire l’objet d’aucune sanction ou être relevé de ses fonctions par le responsable de traitement ou le sous-traitant du fait de l’accomplissement de ses missions.

Il peut saisir la Commission des difficultés qu’il rencontre dans l’exercice de ses missions.

Les missions du délégué à la protection des données à caractère personnel sont les suivantes :

• 1° informer et conseiller le responsable de traitement ou le sous-traitant ainsi que leurs employés qui procèdent au traitement de données à caractère personnel sur les obligations qui leur incombent en vertu des dispositions du présent livre en matière de protection des données à caractère personnel ;
• 2° contrôler le respect par le responsable de traitement ou le sous-traitant des dispositions du présent livre en matière de protection des données à caractère personnel et des règles internes mises en place à cet effet, y compris s’agissant de la répartition des responsabilités, la sensibilisation et la formation du personnel participant aux opérations de traitement ainsi que des audits s’y rapportant ;
• 3° coopérer avec la Commission et notamment faire office de point focal pour la Commission sur les questions relatives au traitement de données à caractère personnel et mener des consultations sur tout autre sujet.

Le délégué à la protection des données à caractère personnel tient dûment compte, dans l’accomplissement de ses missions, du risque associé aux opérations de traitement compte tenu de la nature, de la portée, du contexte et des finalités du traitement.

Il tient une liste des traitements effectués immédiatement accessible à toute personne en faisant la demande.

Les personnes concernées peuvent prendre contact avec le délégué à la protection des données à caractère personnel au sujet de toutes les questions relatives au traitement des données les concernant et à l’exercice des droits que leur confèrent les dispositions du présent livre.

Le responsable de traitement et le sous-traitant désignent un délégué à la protection des données à caractère personnel lorsque :

• 1° le traitement est effectué par une autorité publique ou un organisme public, à l’exception des juridictions agissant dans l’exercice de leur fonction juridictionnelle ;
• 2° les activités principales du responsable de traitement ou du sous-traitant consistent en des opérations de traitement qui, du fait de leur nature, de leur portée et/ou de leurs finalités, exigent un suivi régulier et systématique à grande échelle des personnes concernées ; ou
• 3° les activités principales du responsable de traitement ou du sous-traitant consistent e un traitement à grande échelle de catégories particulières de données à caractère personnel visée à l’Article 62 ou relatives à des condamnations pénales et infractions visées à l’Article 63.

Dans les autres cas, le responsable de traitement ou le sous-traitant peuvent désigner un délégué à la protection des données à caractère personnel. Le délégué à la protection des données peut agir pour ces associations et autres organismes représentant des responsables du traitement ou des sous-traitants.

Le délégué à la protection des données à caractère personnel est désigné sur la base de ses qualités professionnelles et en particulier de ses connaissances spécifiques du droit et des pratiques en matière de protection des données à caractère personnel et doit bénéficier des qualifications requises pour exercer ses missions.

Un groupe d’entreprises peut désigner un seul délégué à la protection des données à caractère personnel à condition qu’un délégué soit facilement joignable à partir de chaque lieu d’établissement. Lorsque le responsable de traitement ou le sous-traitant est une autorité publique ou un organisme public, un seul délégué à la protection des données à caractère personnel peut être désigné pour plusieurs autorités ou organismes de ce type, compte tenu de leur structure organisationnelle et de leur taille.

La désignation du délégué à la protection des données à caractère personnel est notifiée à la Commission, avec ses coordonnées. Elle est portée, le cas échéant, à la connaissance des instances représentatives du personnel. Les coordonnées du délégué sont publiées par le responsable de traitement et le sous-traitant.

En cas de manquement constaté à ses devoirs, le délégué est déchargé de ses fonctions sur demande, ou après consultation, de la Commission.

La Commission tient et met à la disposition du public un registre national des traitements automatisés de données à caractère personnel ayant fait l’objet d’une des formalités prévues à la Section 1 du Chapitre 2 du Titre 3 du présent livre, à l’exception de ceux mentionnés au dernier alinéa de l’Article 71 qui ont été dispensés de la publication de l’acte réglementaire qui les autorise.

Le registre contient les informations suivantes sur chaque traitement :

• 1° l’acte autorisant la création
• 2° du traitement ou la date de la déclaration du traitement le cas échéant ;
• 3° la dénomination et la finalité du traitement ;
• 4° l’identité et l’adresse du responsable de traitement ou, si celui-ci n’est pas établi sur le territoire de la République de Djibouti, celles de son représentant ;
• 5° la fonction de la personne ou le service auprès duquel peuvent être exercés les droits de la personne concernée conformément au Chapitre 2 du Titre 2 du présent livre et ses coordonnées ;
• 6° les catégories de données à caractère personnel faisant l’objet du traitement ;
• 7° les destinataires et catégories de destinataires habilités à recevoir communication de ces données ;
• 8° le cas échéant, les transferts de données à caractère personnel envisagés à destination d’un pays tiers, société étrangère ou d’une organisation internationale.

La Commission peut, par décision particulière, charger un ou plusieurs de ses membres ou agents de ses services de procéder à des contrôles et des vérifications portant sur tout traitement de données à caractère personnel, et, le cas échéant, d’obtenir des copies de tout document ou support d’information utile à sa mission.

Ceux des agents de la Commission qui peuvent être appelés à participer à la mise en œuvre des missions de contrôle en application du présent chapitre doivent y être habilités par la Commission. Cette habilitation ne dispense pas de l’application des dispositions définissant les procédures autorisant l’accès aux secrets protégés par la loi et assurant la protection des libertés individuelles.

Les membres de la Commission ainsi que ses agents habilités ont accès, dans les conditions prévues par le Code de procédure pénale, pour l’exercice de leurs missions, aux lieux, locaux, enceintes, installations ou établissements servant à la mise en œuvre d’un traitement de données à caractère personnel et qui sont à usage professionnel, à l’exclusion des parties de ceux-ci affectées à un usage d’habitation.

Le procureur de la République en est préalablement informé.

En cas d’opposition du responsable des lieux, ou lorsqu’il s’agit de lieux mentionnés au premier alinéa affectés à un usage d’habitation, la visite ne peut se dérouler qu’avec l’autorisation du président du Tribunal de Première Instance ou du juge délégué par lui. Toutefois, lorsque l’urgence, la gravité des faits à l’origine du contrôle ou le risque de destruction ou de dissimulation de documents le justifie, la visite peut avoir lieu sans que le responsable des locaux en ait été informé, sur autorisation préalable du président du Tribunal de Première Instance. Dans ce cas, le responsable des lieux ne peut s’opposer à la visite. La visite s’effectue sous l’autorité et le contrôle du président du Tribunal de Première Instance ou du juge délégué par lui, en présence de l’occupant des lieux ou de son représentant qui peut se faire assister d’un conseil de son choix ou, à défaut, en présence de deux témoins qui ne sont pas placés sous l’autorité des personnes chargées de procéder au contrôle.

Le président du Tribunal de Première Instance est saisi à la requête du président de la Commission. Il statue par ordonnance motivée dans les conditions prévues par la loi. L’ordonnance est exécutoire au seul vu de la minute. Elle mentionne que le juge ayant autorisé la visite peut être saisi à tout moment d’une demande de suspension ou d’arrêt de cette visite et indique les voies et délais de recours.

Les membres de la Commission et ses agents habilités peuvent demander communication de tous documents nécessaires à l’accomplissement de leur mission, quel qu’en soit le support, et en prendre copie. Ils peuvent recueillir, sur place ou sur convocation, tout renseignement et toute justification utile. Ils peuvent accéder aux programmes informatiques et aux données, demander la transcription de tout traitement dans des documents appropriés directement utilisables pour les besoins du contrôle. Ils peuvent être assistés par des experts choisis par la Commission.

Le secret ne peut leur être opposé sauf concernant les informations couvertes par le secret professionnel applicable aux relations entre un avocat et son client et par le secret des sources des traitements à des fins de journalisme. Le secret médical est également opposable s’agissant des informations qui figurent dans un traitement nécessaire aux fins de la médecine préventive, de la recherche médicale, des diagnostics médicaux, de l’administration de soins ou de traitements, ou de la gestion de service de santé. Dans ce cas, la communication des données médicales individuelles incluses dans cette catégorie de traitement ne peut se faire que sous l’autorité et en présence d’un médecin.

En dehors des contrôles sur place et sur convocation, les membres de la Commission et ses agents habilités peuvent procéder à toute constatation utile. Ils peuvent notamment, à partir d’un service de communication au public en ligne, consulter les données librement accessibles ou rendues accessibles, y compris par imprudence, par négligence ou par le fait d’un tiers, le cas échéant en accédant et en se maintenant dans des systèmes de traitement automatise de données le temps nécessaire aux constatations. Ils peuvent retranscrire les données par tout traitement approprié dans des documents directement utilisables pour les besoins du contrôle.

Pour le contrôle de services de communication au public en ligne, les membres de la Commission et ses agents habilités peuvent réaliser toute opération en ligne nécessaire à leur mission sous une identité d’emprunt. À peine de nullité, leurs actes ne peuvent constituer une incitation à commettre une infraction. L’utilisation d’une identité d’emprunt est sans incidence sur la régularité des constatations effectuées.

Il est dressé contradictoirement procès-verbal des contrôles, vérifications et visites effectuées par les membres et agents habilités de la Commission conformément aux dispositions du présent chapitre.

Exception pour les traitements intéressant la sûreté de l’État, la défense ou la sécurité publique

Par dérogation, pour les traitements intéressant la sûreté de l’État, la défense ou la sécurité publique qu’un décret pris en Conseil des Ministres a dispensé de la publication de l’acte réglementaire qui les autorise conformément aux dispositions de l’Article 71, ce même décret peut également prévoir que le traitement n’est pas soumis aux dispositions du présent chapitre. Ce décret peut prévoir les conditions dérogatoires dans lesquelles la Commission peut procéder à des contrôles.

La Commission peut prononcer les mesures prévues par le présent chapitre à l’égard des traitements de données à caractère personnel dont les opérations sont mises en œuvre, en tout ou partie, sur le territoire national, y compris lorsque le responsable de traitement ou le sous-traitant n’est pas établi sur le territoire de la République de Djibouti.

La Commission peut, à la demande d’une autorité de contrôle exerçant des compétences analogues aux siennes dans un autre pays, procéder à des vérifications dans les mêmes conditions et selon les mêmes procédures que celles prévues au présent chapitre, sauf s’il s’agit d’un traitement de données à caractère personnel mentionné aux Article 70, Article 71 et Article 72.

La Commission est habilitée à communiquer les informations qu’elle recueille ou qu’elle détient, à leur demande, aux autorités de contrôle exerçant des compétences analogues aux siennes dans un autre pays.

La Commission peut adresser un avertissement au responsable de traitement concerné lorsqu’elle considère qu’un traitement de données à caractère personnel est susceptible de violer les dispositions du présent livre. Cet avertissement n’a pas le caractère d’une sanction.

Lorsqu’elle constate des manquements aux dispositions du présent livre, la Commission peut mettre en demeure le responsable de traitement de remédier aux manquements constatés dans le délai qu’elle fixe, notamment de satisfaire les demandes présentées par une personne concernée, y compris de rectifier ou d’effacer des données à caractère personnel et de notifier à la personne concernée les mesures prises pour satisfaire sa demande, de mettre un traitement en conformité avec les dispositions applicables, ou de communiquer une atteinte à la sécurité des données à caractère personnel. En cas d’urgence, ce délai peut être fixé à quarante-huit heures. Si le responsable de traitement se conforme à la mise en demeure qui lui est adressée, la Commission prononce la clôture de la procédure.

Lorsque le responsable de traitement concerné ne se conforme pas à la mise en demeure qui lui a été adressée, la Commission peut, dans le respect du principe du contradictoire, prononcer à son encontre une ou plusieurs des sanctions suivantes :

• 1° une injonction de mettre en conformité le traitement de données à caractère personnel avec les dispositions du présent livre ou de satisfaire les demandes présentées par la personne concernée en vue d’exercer ses droits, qui peut être assortie, sauf dans des cas où le traitement est mis en œuvre par l’État, d’une astreinte dont le montant ne peut excéder 35.000.000 DJF par jour de retard à compter de la date fixée par la Commission ;
• 2° une injonction de cesser le traitement de données à caractère personnel si celui-ci relève du régime de la déclaration préalable ou de la déclaration préalable simplifiée ou s’il est dispensé de formalités préalables, ou le retrait de l’autorisation accordée par la Commission ;
• 3° le verrouillage de certaines données à caractère personnel ;
• 4° sauf dans le cas où le traitement est mis en œuvre par l’État, une sanction pécuniaire dont le montant est proportionné à la gravité des manquements commis et aux avantages tirés de ce manquement et ne peut excéder 70.000.000 DJF ou, s’agissant d’une entreprise, à 5 % du chiffre d’affaires mondial hors taxe du dernier exercice clos, le montant le plus élevé étant retenu.

Toute sanction prononcée par la Commission peut être assortie d’une injonction de procéder dans un délai qu’elle fixe à toute modification ou suppression utile dans le fonctionnement des traitements de données à caractère personnel qui font l’objet de la sanction.

Les sanctions sont prononcées sur la base d’un rapport établi par la Commission. Ce rapport est notifié au responsable de traitement ou au sous-traitant concerné, qui peut présenter des observations et qui peut se faire représenter ou assister. La Commission peut entendre toute personne dont l’audition lui paraît susceptible de contribuer utilement à son information. Les personnes appelées soit à donner les renseignements à la Commission soit à témoigner devant elle sont déliées en tant que de besoin de leur obligation de discrétion.

L’astreinte est liquidée par la Commission, qui en fixe le montant définitif.

Lorsque la Commission a prononcé une sanction pécuniaire devenue définitive avant que le juge pénal ait statué définitivement sur les mêmes faits ou des faits connexes, celui-ci peut ordonner que le montant de la sanction pécuniaire s’impute sur celui de l’amende qu’il prononce.

Le montant des sanctions pécuniaires est recouvré selon les règles de recouvrement des créances de l’État.

Lorsqu’elle constate qu’un traitement de données à caractère personnel est mis en œuvre en l’absence de formalités préalables prescrites par le présent livre, la Commission peut prendre, sans préjudice des sanctions administratives et pénales prévues par le présent chapitre et le Chapitre 6 du Titre 4 du présent livre, les mesures nécessaires pour faire cesser le traitement, notamment :

• 1° faire apposer par un huissier de justice, aux frais du responsable de traitement, des scellés sur tout appareil, équipement ou local ayant servi ou contribué au traitement ;
• 2° faire procéder, en présence d’un huissier de justice, au démontage et à l’enlèvement de tels appareils et équipements et en assurer la garde ;
• 3° ordonner au responsable de traitement de rendre, à ses frais, inaccessible les moyens permettant le traitement.

En cas d’urgence, lorsque la mise en œuvre d’un traitement de données à caractère personnel ou l’exploitation des données à caractère personnel traitées entraîne une violation de libertés et droits fondamentaux des personnes physiques, de libertés individuelles ou de la vie privée, la Commission peut, après une procédure contradictoire, engager une procédure d’urgence et :

• 1° ordonner l’interruption de la mise en œuvre du traitement pour une durée maximale de trois mois ;
• 2° prononcer un avertissement ;
• 3° ordonner le verrouillage de certaines données à caractère personnel traitées pour une durée maximale de trois mois ;
• 4° ordonner la mise en conformité du traitement, assortie, sauf dans le cas où le traitement est mis en œuvre par l’État, d’une astreinte dont le montant ne peut excéder 14.000.000 DJF par jour.

L’astreinte est liquidée par la Commission, qui en fixe le montant définitif.

En cas d’atteinte grave et immédiate aux libertés et droits fondamentaux des personnes physiques, aux libertés individuelles ou à la vie privée, la président de la Commission peut demander à la juridiction compétente d’ordonner, le cas échéant sous astreinte, toute mesure de sécurité nécessaire à la sauvegarde de ces libertés et droits.

Les décisions prises par la Commission sont motivées et notifiées au responsable de traitement ou au sous-traitant concerné.

La Commission rend publics les avertissements, mises en demeures et sanctions qu’elle prononce. Elle peut également ordonner leur publication par le responsable de traitement à ses frais dans les journaux, publications et supports qu’elle désigne. La clôture d’une procédure fait l’objet de la même mesure de publicité, le cas échéant, que la mise en demeure.

Les décisions de la Commission ont le caractère d’actes administratifs et sont susceptibles de recours devant le Tribunal Administratif de Première Instance.

Les infractions établies par le présent chapitre sont réprimées dans les conditions prévues par le Code pénal, notamment s’agissant de la répression de la tentative, de la complicité, du recel et pour la condamnation des personnes morales, et pour les peines complémentaires pouvant être prononcées par le juge pénal.

Le fait, y compris par négligence, de procéder ou de faire procéder à un traitement de données à caractère personnel sans qu’aient été respectées les formalités préalables à sa mise en œuvre prévues par le Chapitre 2 du Titre 3 du présent livre est puni de 5 à 10 ans d’emprisonnement et de 7.000.000 DJF à 35.000.000 DJF d’amende, ou l’une de ces deux peines seulement.

Non-respect des injonctions, mesures conservatoires ou mesures d’urgence

Le fait, y compris par négligence, de procéder ou de faire procéder à un traitement de données à caractère personnel en violation d’une décision prise par la Commission en application des dispositions du Chapitre 5 du présent titre est puni de 5 à 10 ans d’emprisonnement et de 7.000.000 DJF à 35.000.000 DJF d’amende, ou l’une de ces deux peines seulement.

Est puni d’une peine de 6 mois à 10 ans d’emprisonnement et de 7.000.000 DJF à 35.000.000 DJF d’amende le fait d’entraver l’exercice par la Commission de ses prérogatives soit en :

• 1° s’opposant à l’exercice des missions confiées à ses membres ou à ses agents habilités ;
• 2° refusant de communiquer à ses membres ou à ses agents habilités les renseignements et documents utiles à leur mission, ou en dissimulant lesdits documents ou renseignements, ou en les faisant disparaître ;
• 3° communiquant des informations qui ne sont pas conformes au contenu des enregistrements tel qu’il était au moment où la demande a été formulée ou qui ne présentent pas ce contenu sous une forme directement accessible.

Le fait, hors les cas où le traitement a été autorisé dans les conditions prévues par le Chapitre 2 du Titre 3 du présent livre, de procéder ou faire procéder à un traitement de données à caractère personnel incluant parmi les données sur lesquelles il porte le numéro national d’identification de personnes physiques inscrit au registre national des personnes physiques est puni de 5 ans d’emprisonnement et de 4.000.000 DJF d’amende.

Traitement illicite de données sensibles et de données relatives aux infractions

Le fait, hors les cas prévus par la loi, de mettre ou de conserver en mémoire informatisée, sans le consentement exprès de l’intéressé, des données à caractère personnel qui, directement ou indirectement, font apparaître ses origines raciales ou ethniques, ses opinions politiques, philosophiques ou religieuses ou son appartenance syndicale ou qui sont relatives à sa santé, est puni de 5 à 10 ans d’emprisonnement et de 7.000.000 DJF à 35.000.000 DJF d’amende.

Est puni des mêmes peines le fait, hors les cas prévus par la loi, de mettre ou de conserver en mémoire informatisée des données à caractère personnel concernant des infractions, des condamnations ou des mesures de sûreté.

Les dispositions du présent article sont applicables aux traitements non automatisés de données à caractère personnel dont la mise en œuvre ne se limite pas à l’exercice d’activités exclusivement personnelles.

En cas de traitement de données à caractère personnel ayant pour fin la recherche dans le domaine de la santé, est puni de 5 à 10 ans d’emprisonnement et de 7.000.000 DJF à 35.000.000 DJF d’amende le fait de procéder à un traitement :

• 1° sans avoir préalablement informé individuellement les personnes concernées du fait que des données à caractère personnel les concernant sont recueillies ou transmises, de leur droit d’accès, de rectification et d’opposition, de la nature des données transmises et des destinataires de celles-ci ;
• 2° malgré l’opposition de la personne concernée ou, lorsqu’il est prévu par la loi, en l’absence du consentement éclairé et exprès de la personne concernée, ou s’il s’agit d’une personne décédée, malgré le refus exprimé par celle-ci de son vivant.

Le fait de collecter des données à caractère personnel par un moyen frauduleux, déloyal ou illicite est puni de maximum 10 ans d’emprisonnement et de 7.000.000 DJF à 35.000.000 DJF d’amende.

Le fait, par toute personne détentrice de données à caractère personnel à l’occasion de leur enregistrement, de leur classement, de leur transmission ou de toute autre forme de traitement, de détourner ces informations de leur finalité telle que définie par la disposition législative, l’acte réglementaire ou la décision de la Commission autorisant le traitement automatisé ou par la déclaration préalable à la mise en œuvre de ce traitement, est puni d’une peine de 5 à 10 ans d’emprisonnement et de 7.000.000 DJF à 35.000.000 DJF d’amende.

Le fait de procéder ou de faire procéder à un transfert de données à caractère personnel faisant l’objet ou destinées à faire l’objet d’un traitement vers un pays tiers ou une organisation internationale en violation des dispositions du Chapitre 4 du Titre 3 est puni de 5 à 10 ans d’emprisonnement et de 8.000.000 DJF d’amende.

Le fait de procéder à un traitement de données à caractère personnel concernant une personne physique malgré l’opposition de cette personne, lorsque ce traitement répond à des fins de prospection, notamment commerciale, ou lorsque cette opposition est fondée sur des motifs légitimes, est puni de 6 mois à 10 ans d’emprisonnement et de 7.000.000 DJF à 35.000.000 DJF d’amende.

Le fait de procéder ou de faire procéder à un traitement de données à caractère personnel sans mettre en œuvre les mesures prescrites par les Article 11, Article 12 et Article 13 est puni de 10 ans d’emprisonnement et de 8.000.000 DJF d’amende.

Absence de notification des atteintes à la sécurité des données à caractère personnel

Le fait pour un responsable de traitement de ne pas procéder à la notification d’une atteinte à la sécurité de données à caractère personnel à la Commission ou à la personne concernée ou pour un sous-traitant de ne pas notifier cette atteinte au responsable de traitement conformément à l’Article 14 est puni de 5 à 10 ans d’emprisonnement et de 7.000.000 DJF à 35.000.000 DJF d’amende.

Non-respect de la durée légale de conservation, traitement de données conservées au-delà de la durée légale de conservation

Le fait de conserver des données à caractère personnel au-delà de la durée prévue par la loi ou le règlement, par la demande d’autorisation ou d’avis, ou par la déclaration préalable adressée à la Commission, est puni de 5 à 10 ans d’emprisonnement et de 7.000.000 DJF à 35.000.000 DJF d’amende, sauf si cette conservation est effectuée à des fins historiques, statistiques ou scientifiques dans les conditions prévues par le présent livre.

Est puni des mêmes peines le fait, hors les cas prévus par le présent livre, de traiter à des fins autres qu’historiques, statistiques ou scientifiques des données à caractère personnel conservées au-delà de la durée mentionnée au premier alinéa.

Le fait, par toute personne qui a recueilli, à l’occasion de leur enregistrement, de leur classement, de leur transmission ou d’une autre forme de traitement, des données à caractère personnel dont la divulgation aurait pour effet de porter atteinte à la considération de la personne concernée ou à l’intimité de sa vie privée, de porter, sans autorisation de la personne concernée, ces données à la connaissance d’un tiers qui n’a pas qualité pour les recevoir est puni de 5 à 10 ans d’emprisonnement et de 7.000.000 DJF à 35.000.000 DJF d’amende.

La divulgation prévue à l’alinéa précédent est punie de 5 ans d’emprisonnement et de 7.000.000 DJF d’amende lorsqu’elle a été commise par imprudence ou négligence.

Dans les cas prévus aux deux alinéas précédents, la poursuite ne peut être exercée que sur plainte de la victime, de son représentant légal ou de ses ayants droit.

Dans les cas prévus au présent chapitre, l’effacement de tout ou partie des données à caractère personnel faisant l’objet du traitement ayant donné lieu à l’infraction peut être ordonné par le juge. Les membres et les agents de la Commission sont habilités à constater l’effacement de ces données.

Information par le procureur de la République et participation aux procédures

Le procureur de la République avise le président de la Commission des poursuites engagées relatives aux infractions au présent livre et des suites qui leur sont données.

Il l’informe de la date et de l’objet de l’audience de jugement par lettre recommandée adressée au moins dix jours avant cette date. La juridiction d’instruction ou de jugement peut appeler le président de la Commission ou son représentant à déposer ses observations ou à les développer oralement à l’audience.