Loi n° 019/AN/23/9ème L du 06 juillet 2025 portant Code du Numérique

Responsabilité du responsable de traitement pour les traitements effectués sous son autorité

Le responsable de traitement est responsable du respect de l’Article 54. À cet effet, il met en œuvre les mesures techniques et organisationnelles et politiques internes en matière de protection des données à caractère personnel requises pour s’assurer et être en mesure de démontrer que les traitements effectués sous son autorité sont effectués conformément aux dispositions du présent livre.

Le responsable de traitement informe les personnes agissant sous son autorité des dispositions du présent livre ainsi que de toute prescription pertinente relative à la protection de la vie privée et à la protection des données à caractère personnel.

Les données à caractère personnel ne peuvent faire l’objet d’une opération de traitement de la part d’un sous-traitant, d’une personne agissant sous l’autorité du responsable de traitement ou de celle du sous-traitant, que sur instruction du responsable de traitement, sauf en cas d’obligation légale contraire. Le responsable de traitement demeure responsable pour les opérations de traitement effectuées sur ses instructions.

Toute personne traitant des données à caractère personnel pour le compte du responsable de traitement est considérée comme un sous-traitant au sens du présent livre. Si un sous-traitant détermine les finalités et les moyens d’un traitement, il sera considéré comme un responsable de traitement pour ce qui concerne ce traitement.

Lorsque deux responsables de traitement ou plus déterminent conjointement les finalités et les moyens du traitement, ils sont les responsables conjoints du traitement. Les responsables conjoints d’un traitement définissent de manière transparente leurs obligations respectives aux fins d’assurer le respect des exigences du présent livre, notamment en ce qui concerne l’exercice des droits de la personne concernée et leurs obligations respectives quant à la communication aux personnes concernées des informations prévues par les Article 27, Article 29 et Article 30, par contrat, sauf si, et dans la mesure où, leurs obligations respectives sont définies par la loi à laquelle ils sont soumis.

Le contrat entre les responsables conjoints du traitement reflète dûment leurs rôles respectifs et leurs relations vis-à-vis des personnes concernées. Les principales dispositions du contrat sont mises à la disposition de la personne concernée. Le contrat désigne un point de contact pour les personnes concernées, mais, indépendamment des termes du contrat et de l’existence et de l’identité de ce point de contact, la personne concernée peut exercer indifféremment les droits que lui confère le présent livre à l’égard de chacun des responsables conjoints du traitement.

Lorsque le traitement est confié à un sous-traitant, le responsable de traitement doit choisir un sous-traitant présentant des garanties suffisantes au regard de la mise en œuvre des mesures techniques et organisationnelles requises pour assurer que le traitement réponde aux exigences du présent livre et garantisse la protection des droits des personnes concernées, en particulier s’agissant de la confidentialité et de la sécurité des données. Cette exigence ne décharge pas le responsable de traitement de son obligation de veiller au respect de ces mesures.

Le traitement de données à caractère personnel par un sous-traitant est régi par un contrat qui lie le sous-traitant à l’égard du responsable de traitement, définit l’objet et la durée du traitement, la nature et la finalité du traitement, le type de données à caractère personnel et les catégories de personnes concernées, et les obligations et les droits du responsable de traitement. Ce contrat prévoit, notamment, que le sous-traitant :

• 1° ne traite les données à caractère personnel que sur instruction documentée du responsable de traitement, y compris en ce qui concerne les transferts de données à caractère personnel vers un pays tiers, une société étrangère ou à une organisation internationale, à moins qu’il ne soit tenu d’y procéder en vertu de la loi, auquel cas le sous-traitant informe le responsable de traitement de cette obligation légale avant le traitement, sauf si la loi interdit une telle information pour des motifs d’intérêt public ;
• 2° veille à ce que les personnes autorisées à traiter les données à caractère personnel s’engagent à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité ;
• 3° prend toutes les mesures requises en matière de sécurité prévues par le présent chapitre ;
• 4° respecte les conditions prévues par le présent article et l’Article 9 pour recruter un autre sous-traitant ;
• 5° tient compte de la nature du traitement, aide le responsable de traitement, par des mesures techniques et organisationnelles appropriées, dans toute la mesure du possible, à s’acquitter de son obligation de donner suite aux demandes dont les personnes concernées le saisissent en vue d’exercer leurs droits prévus au Chapitre 2 - Droit des personnes concernées du Titre 2 du Livre Premier ;
• 6° aide le responsable de traitement à garantir le respect des obligations de confidentialité et de sécurité prévues par le présent chapitre, compte tenu de la nature du traitement et des informations à la disposition du sous-traitant ;
• 7° selon le choix du responsable de traitement, supprime toutes les données à caractère personnel ou les renvoie au responsable de traitement au terme de la prestation de services relatifs au traitement, et détruit les copies existantes, à moins que la loi n’exige la conservation des données à caractère personnel ; et
• 8° met à la disposition du responsable de traitement toutes les informations nécessaires pour démontrer le respect des obligations prévues au présent article et pour permettre la réalisation d’audits, y compris des inspections, par le responsable de traitement ou un autre auditeur qu’il a mandaté, et contribuer à ces audits.

Le contrat liant le sous-traitant au responsable de traitement se présente sous une forme écrite, y compris en format électronique.

Le sous-traitant ne recrute pas un autre sous-traitant sans l’autorisation écrite préalable, spécifique ou générale, du responsable de traitement.

Si une autorisation générale a été donnée au sous-traitant, celui-ci informe le responsable de traitement de tout changement prévu concernant l’ajout ou le remplacement d’autres sous-traitants, afin que le responsable de traitement puisse s’opposer à ces changements.

Lorsqu’un sous-traitant recrute un autre sous-traitant pour mener des activités de traitement spécifiques pour le compte du responsable de traitement, les mêmes obligations en matière de protection de données à caractère personnel que celles fixées dans le contrat entre le responsable de traitement et le sous-traitant sont imposées à cet autre sous-traitant par contrat, en particulier pour ce qui est de présenter des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles requises pour assurer que le traitement réponde aux exigences du présent livre et garantisse la protection des droits des personnes concernées, notamment s’agissant de la confidentialité et de la sécurité des données. Lorsque cet autre sous-traitant ne remplit pas ses obligations en matière de protection des données à caractère personnel, le sous-traitant initial demeure pleinement responsable devant le responsable de traitement de l’exécution par l’autre sous-traitant de ses obligations.

Lorsqu’un responsable de traitement ou un sous-traitant n’est pas établi sur le territoire de la République de Djibouti, le responsable de traitement ou le sous-traitant y désigne par écrit un représentant, sauf :

• 1° s’il s’agit d’un traitement qui est occasionnel, qui n’implique pas un traitement à grande échelle des catégories particulières de données visées à l’Article 62, ou un traitement de données à caractère personnel relatives aux infractions, condamnations pénales et mesures de sûreté visées à l’Article 63, et qui n’est pas susceptible d’engendrer un risque pour les droits et libertés des personnes concernées, compte tenu de la nature, du contexte, de la portée et des finalités du traitement ; ou
• 2° pour les traitements effectués par une autorité publique.

Le représentant est mandaté pour être la personne à qui la Commission et les personnes concernées doivent s’adresser, en plus ou à la place du responsable de traitement ou du sous-traitant, pour toutes les questions relatives au traitement, aux fins d’assurer le respect du présent livre.

La désignation d’un représentant ne fait pas obstacle l’initiation d’actions en justice qui pourraient être intentées contre le responsable de traitement ou le sous-traitant lui-même pour violation des dispositions du présent livre.

Protection des données à caractère personnel dès la conception et protection des données par défaut

Au regard de la nature des données à caractère personnel et des risques présentés par le traitement pour les droits et libertés des personnes concernées, le responsable de traitement met en œuvre, tant au moment de la détermination des moyens du traitement qu’au moment du traitement lui-même, des mesures techniques et organisationnelles appropriées, telles que la pseudonymisation, qui sont destinées à mettre en œuvre les principes relatifs à la protection des données rappelés à l’Article 54 de façon effective et à assortir le traitement des garanties nécessaires afin de répondre aux exigences du présent livre et de protéger les droits des personnes concernées.

Le responsable de traitement met en œuvre les mesures techniques et organisationnelles appropriées pour garantir que, par défaut, seules les données à caractère personnel qui sont nécessaires au regard de chaque finalité spécifique du traitement sont traitées. Cela s’applique à la quantité de données à caractère personnel collectées, à l’étendue de leur traitement, à la durée de leur conservation et à leur accessibilité. En particulier, ces mesures garantissent que, par défaut, les données à caractère personnel ne sont pas rendues accessibles à un nombre indéterminé de personnes physiques mais uniquement à celles dont les fonctions exigent qu’elles puissent y avoir accès sans l’intervention de la personne concernée.

Le traitement des données à caractère personnel est confidentiel. Il est effectué par des personnes qui agissent sous l’autorité du responsable de traitement et seulement sur ses instructions.

Pour la réalisation du traitement, le responsable de traitement doit choisir des personnes présentant, au regard de la préservation de la confidentialité des données, toutes les garanties tant de connaissances techniques et juridiques que d’intégrité personnelle.

Le responsable de traitement doit veiller à ce que les personnes ayant accès aux données soient tenues par une obligation légale, statutaire ou contractuelle au respect du caractère confidentiel des données à caractère personnel.

Le responsable de traitement et le sous-traitant prennent les mesures nécessaires afin de garantir que toute personne agissant sous l’autorité du responsable de traitement ou celle du sous-traitant, qui a accès à des données à caractère personnel, ne les traite que sur instruction du responsable de traitement.

Le responsable de traitement et le sous-traitant prennent toute précaution utile, au regard de la nature des données à caractère personnel et des risques présentés par le traitement pour les droits et libertés des personnes concernées, pour préserver la sécurité des données et les droits et libertés des personnes concernées, et, notamment, empêcher que les données soient altérées, endommagées, détruites, perdues ou que des tiers non autorisés y aient accès ou que celles-ci soient divulguées de manière non autorisée. Ils prennent, en particulier, toute mesure technique et organisationnelle visant à :

• 1° garantir que, pour l’utilisation d’un système de traitement automatisé des données, les personnes autorisées ne puissent accéder qu’aux données à caractère personnel relevant de leur compétence et de leur habilitation et que leur accès soit limité à ce dont elles ont besoin pour l’exercice de leurs fonctions ou ce qui est nécessaire pour les nécessités du service ;
• 2° garantir que puisse être vérifiée et constatée l’identité des tiers auxquels des données à caractère personnel peuvent être transmises ;
• 3° garantir que puisse être vérifiée et constatée a posteriori l’identité des personnes ayant eu accès au système de traitement automatisé des données et quelles données ont été lues ou introduites dans le système, à quel moment et par quelle personne ;
• 4° empêcher toute personne non autorisée d’accéder aux locaux et aux équipements utilisés pour le traitement des données à caractère personnel ;
• 5° empêcher que des supports de données à caractère personnel puissent être lus, copiés, modifiés, détruits ou déplacés par une personne non autorisée ;
• 6° empêcher l’introduction non autorisée de toute donnée dans le système de traitement automatisé des données ainsi que toute prise de connaissance, toute modification ou tout effacement non autorisés des données à caractère personnel enregistrées ;
• 7° empêcher que des systèmes de traitement automatisé des données puissent être utilisés par des personnes non autorisées à l’aide d’installations de transmission de données ;
• 8° empêcher que, lors de la communication des données à caractère personnel et du transport des supports de ces données, les données puissent être lues, copiées, modifiées ou effacées de façon non autorisée ;
• 9° sauvegarder les données à caractère personnel par la constitution de copies de sécurité ;
• 10° rafraîchir et si nécessaire, convertir les données à caractère personnel pour un stockage pérenne ;
• 11° rendre les données à caractère personnel inexploitables pour toute personne qui n’est pas autorisée à y avoir accès ;
• 12° rendre impossible la réidentification des personnes concernées.

Ces mesures peuvent notamment comprendre la pseudonymisation et le chiffrement des données à caractère personnel, ainsi que des procédures visant à tester, à analyser et à évaluer régulièrement l’efficacité des mesures techniques et organisationnelles mise en œuvre pour assurer la sécurité des traitements.

Les décrets portant création des traitements de certaines catégories de données à caractère personnel conformément à l’Article 70 peuvent fixer des prescriptions techniques additionnelles spécifiques auxquelles les traitements qu’ils instituent doivent être conformes.

Notification des atteintes à la sécurité de données à caractère personnel à la Commission

En cas d’atteinte à la sécurité de données à caractère personnel, le responsable de traitement notifie la Commission, dans les meilleurs délais et, au plus tard soixante-douze heures après en avoir pris connaissance. Lorsque la notification à la Commission n’a pas lieu dans les soixante-douze heures, elle est accompagnée des motifs du retard.

Est notamment considérée comme une atteinte à la sécurité de données à caractère personnel tout atteinte entraînant accidentellement ou de manière illicite la destruction, la perte, l’altération, la divulgation ou l’accès non autorisé à des données à caractère personnel faisant l’objet d’un traitement.

Le sous-traitant notifie au responsable de traitement toute atteinte à la sécurité de données à caractère personnel dans les meilleurs délais après en avoir pris connaissance.

Les notifications visées au premier et au troisième alinéa du présent article décrivent et indiquent :

• 1° la nature de l’atteinte à la sécurité des données à caractère personnel y compris les catégories et le nombre approximatif de personnes concernées par l’atteinte et les catégories et le nombre approximatif d’enregistrements de données à caractère personnel concernés ;
• 2° le nom et les coordonnées du délégué à la protection des données, du représentant du responsable de traitement ou du sous-traitant ou d’un autre point de contact auprès duquel des informations supplémentaires peuvent être obtenues ;
• 3° les conséquences probables de l’atteinte à la sécurité des données à caractère personnel ;
• 4° les mesures prises ou que le responsable de traitement ou le sous-traitant propose de prendre pour remédier à l’atteinte à la sécurité des données à caractère personnel, y compris, le cas échéant, les mesures pour en atténuer les éventuelles conséquences négatives.

Si, et dans la mesure où, il n’est pas possible de fournir toutes les informations en même temps, les informations peuvent être communiquées de manière échelonnée sans autre retard indu.

Le responsable de traitement documente dans un registre toute atteinte à la sécurité de données à caractère personnel, en indiquant les faits concernant les atteintes, leurs effets et les mesures prises pour y remédier. La documentation ainsi constituée est communiquée sur demande à la Commission pour lui permettre de vérifier le respect du présent article.

Notification des atteintes à la sécurité de données à caractère personnel à la personne concernée

Lorsqu’une atteinte à la sécurité de données à caractère personnel visée à l’Article 14 est susceptible d’engendrer un risque élevé pour les droits et libertés d’une personne concernée, le responsable de traitement informe la personne concernée de cette atteinte dans les meilleurs délais.

L’information à la personne concernée décrit, en des termes clairs et simples, la nature de l’atteinte à la sécurité de données à caractère personnel et inclut les informations prévues au 2°, 3° et 4° de l’Article 14.

L’information à la personne concernée n’est pas nécessaire si l’une ou l’autre des conditions suivantes est remplie :

• 1° le responsable de traitement a mis en œuvre les mesures de protection techniques et organisationnelles appropriées et ces mesures ont été appliquées aux données à caractère personnel affectées par l’atteinte, en particulier les mesures qui rendent les données à caractère personnel incompréhensibles pour toute personne qui n’est pas autorisée à y avoir accès, telles que le chiffrement ;
• 2° le responsable de traitement a pris des mesures ultérieures qui garantissent que le risque élevé pour les droits et libertés des personnes concernées n’est plus susceptible de se matérialiser ;
• 3° elle exigerait des efforts disproportionnés. Dans ce cas, il est plutôt procédé à une communication publique ou à une mesure similaire permettant aux personnes concernées d’être informées de manière tout aussi efficace.

Si le responsable de traitement n’a pas déjà informé la personne concernée de l’atteinte à la sécurité de données à caractère personnel la concernant, la Commission peut, après avoir examiné si cette atteinte est susceptible d’engendrer un risque élevé, exiger du responsable de traitement qu’il procède à cette information, sauf si elle considère que l’une ou l’autre des conditions rendant l’information non nécessaire est remplie.

Les données à caractère personnel ne peuvent être conservées au-delà de la durée prévue au 5° de l’Article 54 qu’en vue d’être traitées à des fins historiques, statistiques ou scientifiques et dans les conditions prévues par la loi.

Il peut être procédé à un traitement ayant des finalités autres que celles mentionnées au premier alinéa :

• 1° soit avec l’accord exprès de la personne concernée ;
• 2° soit avec l’autorisation de la Commission ;
• 3° soit dans les conditions prévues à l’avant-dernier alinéa de l’Article 62 de la Section 1 - Traitements de données à caractère personnel réalisés aux fins de recherche, d’étude ou d’évaluation dans le domaine de la santé du Chapitre 3 du Titre 3 du Livre Premier s’agissant des catégories de données concernées par ces articles.

Le responsable de traitement est tenu de prendre toute mesure utile pour assurer que les données à caractère personnel pourront être exploitées quel que soit le support technique utilisé. Il s’assure que l’évolution de la technologie ne sera pas un obstacle à cette exploitation.

Le responsable de traitement et le sous-traitant ainsi que, le cas échéant, leurs représentants coopèrent avec la Commission, à la demande de celle-ci, dans l’exécution de ses missions.

Les responsables de traitement et les sous-traitants ne peuvent s’opposer à l’action de la Commission ou de ses agents et doivent prendre toutes mesures utiles afin de faciliter sa tâche.

Les demandes présentées par les personnes concernées exerçant les droits qui leur sont conférés par les dispositions du présent chapitre sont transmise au responsable de traitement par écrit et quel que soit le support, y compris par voie électronique lorsque cela est possible.

Lorsque le responsable de traitement a des doutes raisonnables quant à l’identité de la personne présentant une demande en application des dispositions du présent chapitre, il peut demander que lui soient fournies des informations supplémentaires pour confirmer l’identité de la personne concernée.

Traitements ne nécessitant pas l’identification de la personne concernée

Si les finalités pour lesquelles des données à caractère personnel sont traitées n’imposent pas ou n’imposent plus au responsable de traitement d’identifier une personne concernée, celui-ci n’est pas tenu de conserver, d’obtenir ou de traiter des informations supplémentaires pour identifier la personne concernée à la seule fin de respecter les dispositions du présent livre.

Lorsque, dans ce cas, le responsable de traitement est à même de démontrer qu’il n’est pas en mesure d’identifier la personne concernée, il en informe la personne concernée, si possible, et les dispositions des Section 2 - Droit d’accès, Section 4 - Droit de rectification, Section 5 - Droit à l’effacement et Section 6 - Droit à la portabilité du présent chapitre ne sont pas applicables, sauf lorsque la personne concernée fournit, aux fins d’exercer les droits que lui confèrent ces dispositions, des informations complémentaires qui permettent de l’identifier.

Hors les cas prévus par les dispositions du présent chapitre, aucun paiement ne peut être exigé par le responsable de traitement pour fournir les informations, communiquer les documents requis, mettre en œuvre les droits des personnes concernées prévus par le présent chapitre et faire droit aux demandes présentées par les personnes concernées.

Lorsque les demandes d’une personne concernée sont manifestement infondées ou excessives, notamment en raison de leur caractère répétitif, le responsable de traitement peut exiger le paiement de frais raisonnables qui tiennent compte des coûts administratifs supportés pour fournir les informations, procéder aux communications ou prendre les mesures demandées, ou refuser de donner suite à ces demandes. La charge de la preuve du caractère manifestement infondé ou excessif de la demande incombe au responsable de traitement.

Le responsable de traitement prend les mesures appropriées pour fournir toute information et communiquer tout document requis par les dispositions du Chapitre 2 - Droit des personnes concernées du présent titre à la personne concernée d’une façon concise, transparente, compréhensible et aisément accessible et en des termes clairs et simples, en particulier pour toute information destinée spécifiquement à un mineur. Les informations sont fournies par écrit, y compris, lorsque c’est approprié et avec l’accord de la personne concernée, par voie électronique. Lorsque la personne concernée en fait la demande, les informations peuvent être fournies oralement, à condition qu’elle soit en mesure de démontrer son identité au responsable de traitement.

Facilitation de l’exercice de leurs droits par les personnes concernées et obligation de faire droit aux demandes

Le responsable de traitement prend les mesures nécessaires pour faciliter l’exercice par les personnes concernées des droits qui leur sont conférés par les dispositions du présent chapitre.

Le responsable de traitement est tenu de faire droit aux demandes présentées par les personnes concernées exerçant ces droits dans les limites prévues par les dispositions du Chapitre 2 - Droit des personnes concernées du présent titre. Le responsable de traitement doit notamment faire toute diligence pour tenir les données à caractère personnel à jour, pour rectifier ou supprimer les données inexactes, incomplètes, ou non pertinentes, ainsi que celles obtenues ou traitées en méconnaissance des dispositions du Chapitre Premier du Titre 3 du présent livre. Dans les cas visés à l’Article 21 le responsable de traitement ne peut refuser de donner suite à la demande de la personne concernée à moins qu’il ne démontre qu’il n’est pas en mesure d’identifier la personne concernée.

Le responsable de traitement informe la personne concernée des mesures prises à la suite d’une demande formulée en application des dispositions du Chapitre 2 du présent titre dans les meilleurs délais et en tout état de cause dans un délai d’un mois à compter de la réception de la demande. Au besoin, ce délai peut être prolongé de deux mois compte tenu de la complexité et du nombre de demandes reçues. Le responsable de traitement informe la personne concernée de cette prolongation et des motifs avant l’expiration du délai d’un mois précité. Lorsque la personne concernée présente sa demande sous une forme électronique, les informations sont fournies par voie électronique, à moins que la personne concernée ne demande qu’il en soit autrement.

Si le responsable de traitement n’entend pas donner pas suite à la demande formulée par la personne concernée, il informe celle-ci sans tarder et au plus tard dans le délai d’un mois précité des motifs de son inaction ou son refus et de la possibilité d’introduire une réclamation auprès de la Commission et de former un recours juridictionnel.

En cas de contestation des mesures prises par le responsable de traitement ou de refus du responsable de traitement de faire droit aux demandes présentées par une personne concernée ou de non-respect des délais prévus par les dispositions du présent chapitre, la personne concernée peut adresser une plainte à la Commission.

Sans préjudice de tout autre recours administratif ou juridictionnel, toute personne concernée a le droit d’introduire une réclamation auprès de la Commission si elle considère que le traitement de données à caractère personnel la concernant constitue une violation des dispositions du présent livre. La Commission informe la personne concernée de l’état d’avancement de la réclamation et des suites qui y sont données, y compris de la possibilité d’introduire un recours juridictionnel. À défaut d’information ou de suite donnée par la Commission dans un délai de deux mois à compter de la réclamation, la personne concernée peut saisir le Tribunal Administratif de Première Instance afin d’enjoindre la Commission à l’informer de l’état d’avancement de la réclamation.

Informations à communiquer par le responsable de traitement lors de la collecte

Lorsque des données à caractère personnel relatives à une personne concernée sont collectées auprès de cette personne, le responsable de traitement ou son représentant lui fournit, au plus tard lors de la collecte et quels que soient les moyens et supports employés, les informations suivantes :

• 1° son identité et ses coordonnées et, le cas échéant, celles de son représentant ;
• 2° le cas échéant, les coordonnées du délégué à la protection des données ;
• 3° la ou les finalités déterminées poursuivies par le traitement auquel les données à caractère personnel sont destinées ainsi que la base juridique établissant la licéité du traitement conformément à l’Article 55 ;
• 4° lorsque le traitement est fondé sur des intérêts légitimes poursuivis par le responsable de traitement ou par un destinataire/tiers conformément au 6° de l’Article 55, les intérêts légitimes dont il est question ;
• 5° les catégories de personnes ayant accès aux données à caractère personnel collectées ;
• 6° les destinataires ou les catégories de destinataires des données à caractère personnel auxquels celles-ci sont susceptibles d’être communiquées, s’ils existent ;
• 7° le cas échéant, le fait que le responsable de traitement a l’intention d’effectuer un transfert des données à caractère personnel vers un pays tiers, une société étrangère ou à une organisation internationale ;
• 8° la durée de conservation des données à caractère personnel ou, lorsque ce n’est pas possible, les critères utilisés pour déterminer cette durée ;
• 9° l’existence des autres droits dont jouit la personne concernée en cette qualité conformément au présent Chapitre : droit de demander au responsable de traitement l’accès aux données à caractère personnel, leur rectification ou effacement, droit de s’opposer au traitement et droit à la portabilité des données ;
• 10° lorsque le traitement est fondé sur le consentement de la personne concernée conformément au 1° de l’Article 55, l’existence du droit de retirer son consentement à tout moment, sans porter atteinte à la licéité du traitement fondé sur le consentement effectué avant le retrait de celui-ci ;
• 11° le droit d’introduire une réclamation auprès de la Commission et les coordonnées de la Commission ;
• 12° du caractère obligatoire ou facultatif des réponses, en particulier des informations sur la question de savoir si l’exigence de fourniture de données à caractère personnel a un caractère légal ou contractuel ou si elle conditionne la conclusion d’un contrat et si la personne concernée est tenue de fournir les données à caractère personnel, ainsi que sur les conséquences éventuelles de la non fourniture de ces données ;
• 13° l’existence d’une prise de décision automatisée conformément à l’Article 65 et, dans ce cas, des informations utiles concernant la logique sous-jacente, ainsi que l’importance et les conséquences prévues de ce traitement pour la personne concernée.

Lorsque des données à caractère personnel sont recueillies par voie de questionnaires écrits, ceux-ci doivent porter mention des prescriptions du présent article.

Lorsqu’il a l’intention d’effectuer un traitement ultérieur des données à caractère personnel pour une finalité autre que celle pour laquelle les données à caractère personnel ont été collectées, le responsable de traitement fournit au préalable à la personne concernée des informations au sujet de cette autre finalité et toute autre information pertinente visée au présent article.

Le présent article ne s’applique pas lorsque, et dans la mesure où, la personne concernée dispose déjà de ces informations.

Lorsque des données à caractère personnel sont recueillies par voie de questionnaires écrits, ceux-ci doivent comporter une mention spécifique demandant à la personne concernée si elle souhaite exercer son droit d’opposition.

Lorsque les données à caractère personnel sont collectées auprès de la personne concernée autrement que par écrit, le responsable de traitement demande à celle-ci si elle souhaite exercer le droit d’opposition, soit sur un document qu’il lui communique à cette fin au plus tard deux mois après la collecte des données à caractère personnel, soit par tout moyen technique qui permet de conserver la preuve que la personne concernée a eu la possibilité d’exercer son droit.

Informations spécifiques à communiquer aux utilisateurs de réseaux de communications électroniques

Toute personne utilisatrice d’un service de communications électroniques doit être informée de manière claire et complète, sauf si elle l’a été au préalable, par le responsable de traitement ou son représentant :

• 1° de la finalité de toute action tendant à accéder, par voie de transmission électronique, à des informations déjà stockées dans son équipement terminal, ou à inscrire des informations dans cet équipement ; et
• 2° des moyens dont elle dispose pour s’y opposer.

Ces accès ou inscriptions ne peuvent avoir lieu qu’à condition que la personne utilisatrice ait exprimé, après avoir reçu cette information, son accord qui peut résulter de paramètres appropriés de son dispositif de connexion ou de tout autre dispositif placé sous son contrôle.

Ces dispositions ne sont pas applicables si l’accès aux informations stockées dans l’équipement terminal de la personne utilisatrice ou l’inscription d’informations dans l’équipement terminal de la personne utilisatrice :

• 1° soit a pour finalité exclusive de permettre ou faciliter la communication par voie électronique ;
• 2° soit est strictement nécessaire à la fourniture d’un service de communication au public en ligne à la demande expresse de la personne utilisatrice.

Informations à communiquer par le responsable de traitement en cas de collecte indirecte

Lorsque les données à caractère personnel n’ont pas été collectées auprès de la personne concernée, le responsable de traitement ou son représentant fournit à cette dernière les informations énumérées à l’Article 27 ainsi que les informations suivantes :

• 1° les catégories de données à caractère personnel concernées ; et
• 2° la source d’où proviennent les données à caractère personnel et, le cas échéant, une mention indiquant qu’elles sont issues ou non de sources accessibles au public.

Ces informations sont communiquées :

• 1° dans un délai raisonnable ne dépassant pas un mois après avoir obtenu les données à caractère personnel, au regard des circonstances particulières dans lesquelles les données à caractère personnel sont traitées ;
• 2° si les données à caractère personnel doivent être utilisées aux fins de la communication avec la personne concernée, au plus tard au moment de la première communication à celle-ci ; ou
• 3° s’il est envisagé de communiquer les informations à un autre destinataire avant que les données à caractère personnel ne soient communiquées pour la première fois.

Lorsqu’il a l’intention d’effectuer un traitement ultérieur des données à caractère personnel pour une finalité autre que celle pour laquelle les données à caractère personnel ont été obtenues, le responsable de traitement fournit au préalable à la personne concernée des informations au sujet de cette autre finalité et toute autre information pertinente visée au présent article.

Le présent article ne s’applique pas lorsque, et dans la mesure où :

• 1° la personne concernée dispose déjà de ces informations ;
• 2° la fourniture de ces informations se révèle impossible ou exigerait des efforts disproportionnés par rapport aux objectifs du traitement, en particulier pour les traitements nécessaires à la conservation de ces données à des fins historiques, statistiques ou scientifiques ou à la réutilisation de ces données à des fins statistiques dans les conditions prévues par la loi ; ou
• 3° l’obtention ou la communication des données à caractère personnel sont effectués en application d’une disposition légale ou réglementaire s’imposant au responsable de traitement.

Si les données à caractère personnel collectées sont appelées à faire l’objet à bref délai d’un procédé d’anonymisation préalablement reconnu conforme aux dispositions du présent Livre par la Commission, les informations délivrées par le responsable de traitement à la personne concernée peuvent se limiter à celles mentionnées au 1°, 2° et 3° de l’Article 27.

Les dispositions de la présente section ne s’appliquent pas :

• 1° aux données à caractère personnel collectées dans les conditions prévues à l’Article 30 et utilisées dans le cadre d’un traitement mis en œuvre pour le compte de l’État et intéressant la sûreté de l’État, la défense, la sécurité publique ou ayant pour objet l’exécution de condamnations pénales ou de mesures de sûreté, dans la mesure où une telle limitation est nécessaire au respect des fins poursuivies par le traitement ; et
• 2° aux traitements de données à caractère personnel ayant pour objet la prévention, la recherche, la constatation ou la poursuite d’infractions pénales.

Toute personne physique justifiant de son identité a le droit d’interroger le responsable d’un traitement de données à caractère personnel en vue d’obtenir la confirmation que des données à caractère personnel la concernant font ou ne font pas l’objet de ce traitement, et, dans l’affirmative, les informations suivantes :

• 1° des informations relatives aux finalités du traitement, aux catégories de données à caractère personnel traitées et aux destinataires ou aux catégories de destinataires auxquels les données ont été ou seront communiquées ;
• 2° le cas échéant, des informations relatives aux transferts de données à caractère personnel envisagés à destination d’un pays tiers, d’une société étrangère ou d’une organisation internationale et des garanties mises en place par le responsable de traitement.
• 3° la durée de conservation des données à caractère personnel envisagée ou, lorsque ce n’est pas possible, les critères utilisés pour déterminer cette durée ;
• 4° l’existence des droits dont jouit la personne concernée en cette qualité conformément aux dispositions du présent Chapitre et les modalités selon lesquelles elle peut les exercer : droit de demander au responsable de traitement l’accès aux données à caractère personnel, leur rectification ou effacement, droit de s’opposer au traitement et droit à la portabilité des données et gestion de ces données à son décès ;
• 5° le droit d’introduire une réclamation auprès de la Commission et les coordonnées de la Commission ;
• 6° lorsque les données à caractère personnel ne sont pas collectées auprès de la personne concernée, toute information disponible quant à leur source ;
• 7° l’existence d’une prise de décision automatisée conformément à l’Article 65 et, dans ce cas, des informations utiles concernant la logique sous-jacente, ainsi que l’importance et les conséquences prévues de ce traitement pour la personne concernée.

Le responsable de traitement délivre une copie des données à caractère personnel à la personne concernée à sa demande, dans un format accessible et sous une forme intelligible. Lorsque la personne concernée présente sa demande par voie électronique, les informations sont fournies sous une forme électronique d’usage courant, à moins que la personne concernée ne demande qu’il en soit autrement.

Le responsable de traitement peut subordonner la délivrance de cette copie au paiement d’une somme qui ne peut excéder le coût de la reproduction.

Le responsable de traitement peut exiger le paiement de frais raisonnables basés sur les coûts administratifs pour toute copie supplémentaire demandée par la personne concernée.

Toute personne qui, dans l’exercice de son droit d’accès, a des raisons sérieuses de croire que les données qui lui ont été communiquées ne sont pas conformes aux données traitées, peut en informer la Commission qui procède aux vérifications nécessaires.

Lorsqu’il y a lieu de craindre la dissimulation ou la disparition des données à caractère personnel, la personne concernée ou la Commission peut saisir le juge compétent pour que soient ordonnées toutes mesures de nature à éviter cette dissimulation ou cette disparition.

Lorsque l’exercice du droit d’accès concerne des données de santé à caractère personnel, le droit d’accès est exercé par la personne concernée elle-même ou par l’intermédiaire d’un médecin de son choix. En cas de décès de la personne concernée, ses ayants droits peuvent exercer, par l’intermédiaire d’un médecin qu’ils désignent, ce droit d’accès.

Le responsable de traitement peut s’opposer aux demandes manifestement abusives, notamment par leur nombre, leur caractère répétitif ou systématique. En cas de contestation, la charge de la preuve du caractère manifestement abusif des demandes incombe au responsable de traitement auprès duquel elles sont adressées.

Les dispositions de la présente section ne s’appliquent pas lorsque les données à caractère personnel sont conservées sous une forme excluant manifestement tout risque d’atteinte à la vie privée des personnes concernées et pendant une durée n’excédant pas celle nécessaire aux seules finalités d’établissement de statistiques ou de recherche scientifique ou historique.

Les dispositions de la présente section sont applicables aux traitements mis en œuvre par les administrations publiques et les personnes privées chargées d’une mission de service public qui ont pour mission de prévenir, rechercher ou constater des infractions uniquement si un tel droit a été prévu par l’autorisation mentionnée aux Article 69, Article 70, Article 71 et Article 72.

Lorsque des données de santé à caractère personnel sont traitées aux fins de recherche, d’étude, d’évaluation ou de suivi dans le domaine de la santé conformément aux dispositions de la Section 1 du Chapitre 3 du Titre 3 du présent livre, qu’il est manifeste qu’il n’existe aucun risque qu’il soit porté atteinte à la vie privée de cette personne et que les données ne sont pas utilisées pour prendre des mesures à l’égard d’une personne concernée individuellement, la communication des données peut, dès lors qu’elle serait susceptible de nuire gravement à la recherche, l’étude, l’évaluation ou le suivi poursuivi, être différée au plus tard jusqu’à son achèvement. Dans ce cas, la personne concernée doit avoir préalablement consenti par écrit au traitement des données à caractère personnel la concernant pour ces fins et la communication de ces données peut être différée.

Toute personne physique a le droit de s’opposer à tout moment et sans frais, pour des raisons tenant à sa situation particulière, à un traitement de données à caractère personnel la concernant fondé sur le 5° ou 6° de l’Article 55, y compris à la prise de décision automatisée conformément à l’Article 65 sur ces fondements. En cas d’opposition au traitement, le responsable de traitement cesse de traiter les données à caractère personnel concernées à moins qu’il ne démontre qu’il existe des motifs légitimes et impérieux pour le traitement qui prévalent sur les intérêts et les droits et libertés de la personne concernée, ou pour la constatation, l’exercice ou la défense de droits en justice.

Lorsque les données à caractère personnel sont traitées à des fins de prospection, la personne concernée a le droit de s’opposer à tout moment et sans frais, à ce que les données la concernant soient utilisées à des fins de prospection, notamment commerciale, par le responsable de traitement actuel ou celui d’un traitement ultérieur, y compris pour la prise de décision automatisée conformément à l’Article 65 en lien avec une telle prospection. En cas d’opposition au traitement à des fins de prospection, le responsable de traitement cesse de traiter les données à caractère personnel concernées à ces fins.

Lorsque des données à caractère personnel sont traitées à des fins de recherche scientifique ou historique ou à des fins statistiques, la personne concernée a le droit de s’opposer, pour des raisons tenant à sa situation particulière, au traitement de données à caractère personnel la concernant, à moins que le traitement ne soit nécessaire à l’exécution d’une mission d’intérêt public.

Sous réserve des dispositions de l’Article 27, le droit d’opposition prévu par le présent article fait l’objet d’une information spécifique et explicite à l’attention de la personne concernée au plus tard lors de la première communication avec celle-ci. Cette information est présentée clairement et séparément de toute autre information.

Les dispositions du premier alinéa ne s’appliquent pas lorsque le traitement répond à une obligation légale ou lorsque l’application de ces dispositions a été écartée par une disposition expresse de l’acte réglementaire autorisant le traitement.

Toute personne physique justifiant de son identité peut exiger d’un responsable de traitement que soient, selon le cas, rectifiées, complétées ou mises à jour les données à caractère personnel la concernant, qui sont inexactes, incomplètes ou, équivoques.

En cas de contestation, la charge de la preuve incombe au responsable auprès duquel est exercé le droit de rectification sauf lorsqu’il est établi que les données à caractère personnel en cause ont été communiquées par l’intéressé ou avec son accord.

Lorsqu’elle obtient une modification de l’enregistrement, la personne concernée est en droit d’obtenir le remboursement des frais correspondant au coût d’accès à la copie des données à caractère personnel la concernant mentionné au deuxième alinéa de l’Article 33.

Le responsable de traitement notifie à chaque destinataire auquel les données à caractère personnel ont été communiquées toute rectification de données à caractère personnel effectuée conformément à la demande reçue. Le responsable de traitement fournit à la personne concernée des informations sur ces destinataires si celle-ci en fait la demande.

Les dispositions de la présente section sont applicables aux traitements mis en œuvre par les administrations publiques et les personnes privées chargées d’une mission de service public qui ont pour mission de prévenir, rechercher ou constater des infractions uniquement si un tel droit a été prévu par l’autorisation mentionnée aux Article 70, Article 71 et Article 72.

Sur avis favorable de la Commission, un fichier nominatif peut être complété ou corrigé même d’office lorsque l’organisme qui le tient acquiert connaissance de l’inexactitude ou du caractère incomplet d’une information nominative contenue dans ce fichier.

Si une information a été transmise à un tiers, sa rectification ou son annulation doit être notifiée à ce tiers, sauf dispense accordée par la Commission.

La personne concernée a le droit d’obtenir du responsable de traitement l’effacement, dans les meilleurs délais, de données à caractère personnel la concernant, lorsque l’un des motifs suivants s’applique :

• 1° les données à caractère personnel ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées ou traitées d’une autre manière ;
• 2° la personne concernée retire le consentement sur lequel est fondé le traitement conformément au 1° de l’Article 55 ou au 1° de l’Article 62 et il n’existe pas d’autre base juridique fondant le traitement ;
• 3° la personne concernée s’oppose au traitement en vertu du premier alinéa de l’Article 37 et il n’existe pas de motif légitime et impérieux justifiant le maintien du traitement ;
• 4° la personne concernée s’oppose au traitement en vertu du deuxième alinéa de l’Article 37 ;
• 5° la personne concernée s’oppose au traitement en vertu du troisième alinéa de l’Article 37 et le traitement n’est pas nécessaire à l’exécution d’une mission d’intérêt public justifiant son maintien ;
• 6° les données à caractère personnel font ou ont fait l’objet d’un traitement interdit ou illicite ;
• 7° les données à caractère personnel doivent être effacées pour respecter une obligation légale à laquelle le responsable de traitement est soumis ;
• 8° les données à caractère personnel ont été collectées conformément à l’Article 59 dans le cadre de l’offre de services de la société de l’information lorsque la personne était mineure au moment de la collecte.

Le responsable de traitement a l’obligation d’effacer les données à caractère personnel faisant l’objet de la demande d’effacement au plus tard dans un délai de trente jours. Lorsque l’effacement est effectué, le responsable de traitement ne procède à aucun autre traitement de ces données à caractère personnel.

L’effacement doit être effectué en procédant à une suppression totale des données à caractère personnelle faisant l’objet de la demande d’effacement, y compris toute copie de ces données. Le responsable de traitement ne peut conserver aucune copie des données à caractère personnel faisant l’objet de la demande d’effacement.

Le responsable de traitement notifie chaque destinataire auquel les données à caractère personnel ont été communiquées tout effacement de données à caractère personnel effectué, à moins qu’une telle communication se révèle impossible ou exige des efforts disproportionnés. Le responsable de traitement fournit à la personne concernée des informations sur ces destinataires.

Lorsque le responsable de traitement a rendu publiques les données à caractère personnel objet de la demande d’effacement et qu’il est tenu de les effacer, le responsable de traitement prend toutes les mesures raisonnables, y compris d’ordre technique, pour informer les tiers, les destinataires et les autres responsables de traitement qui traitent ces données à caractère personnel que la personne concernée a demandé leur effacement ainsi que l’effacement par ceux-ci de tout lien vers ces données à caractère personnel, ou de toute copie ou reproduction de celles-ci.

Lorsque le responsable de traitement a autorisé un tiers à publier des données à caractère personnel de la personne concernée, il est réputé responsable de cette publication et prend toutes les mesures appropriées pour mettre en œuvre le droit à l’effacement des données à caractère personnel.

Le responsable de traitement met en place des mécanismes appropriés assurant la mise en œuvre du respect du droit à l’effacement des données à caractère personnel et examine périodiquement la nécessité de conserver ces données, conformément aux dispositions du présent livre.

La Commission adopte des mesures ou des lignes directrices afin de préciser les conditions d’effacement des données à caractère personnel faisant l’objet d’une demande d’effacement, de suppression des liens vers ces données ainsi que des copies ou des reproductions de celles-ci existant dans les services de communications électroniques accessibles au public et dans les services de communication au public en ligne.

Les dispositions de la présente section ne s’appliquent pas dans la mesure où le traitement est nécessaire :

• 1° à l’exercice du droit à la liberté d’expression et d’information ;
• 2° pour respecter une obligation qui requiert le traitement prévu par la loi et à laquelle le responsable de traitement est soumis, ou pour exécuter une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le responsable de traitement ;
• 3° pour des motifs d’intérêt public dans le domaine de la santé publique conformément au 4° ou au 5° de l’Article 62 ;
• 4° à des fins de recherche scientifique ou historique ou à des fins statistiques dans la mesure où le droit à l’effacement est susceptible de rendre impossible ou de compromettre gravement la réalisation des objectifs dudit traitement ; ou
• 5° à la constatation, à l’exercice ou à la défense de droits en justice.

Droit d’obtenir une copie des données dans un format électronique structuré

Les personnes concernées ont le droit de recevoir les données à caractère personnel les concernant qu’elles ont fournies à un responsable de traitement, dans un format structuré, couramment utilisé et lisible par machine, et ont le droit de transmettre ces données à un autre responsable de traitement sans que le responsable de traitement auquel les données à caractère personnel ont été communiquées y fasse obstacle, lorsque :

• 1° le traitement est fondé sur le consentement conformément au 1° de l’Article 55 ou au 1° de l’Article 62 ou sur un contrat conformément au 2° de l’Article 55 ; et
• 2° le traitement est effectué à l’aide de procédés automatisés.

Lorsque la personne concernée exerce son droit à la portabilité, elle a le droit d’obtenir que les données à caractère personnel soient transmises directement d’un responsable de traitement à un autre, lorsque cela est techniquement possible.

L’exercice du droit à la portabilité ne fait pas obstacle à l’exercice simultané du droit à l’effacement auprès d’un ou plusieurs responsables de traitement.

Les dispositions de la présente section ne s’appliquent pas aux traitements nécessaires à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le responsable de traitement.

Modalités particulières d’accès et de rectification pour les traitements intéressant la sûreté de l’État, la défense ou la sécurité publique

Par dérogation aux dispositions du présent chapitre, lorsque le traitement intéresse la sûreté de l’État, la défense ou la sécurité publique, les droits d’accès et de rectification s’exercent dans les conditions suivantes :

• 1° la demande est adressée à la Commission qui désigne l’un de ses membres ayant la qualité de magistrat pour mener les investigations utiles et faire procéder aux modifications nécessaires, qui peut se faire assister d’un autre agent de la Commission ;
• 2° la Commission informe la personne concernée qu’il a été procédé aux vérifications ;
• 3° lorsque la Commission constate, en accord avec le responsable de traitement, que la communication des données à caractère personnel qui font l’objet du traitement ne met pas en cause ses finalités, la sûreté de l’État, la défense ou la sécurité publique, ces données peuvent être communiquées à la personne ayant fait la demande d’accès ;
• 4° lorsque le traitement est susceptible de contenir des informations dont la communication ne mettrait pas en cause ses finalités, l’acte réglementaire portant création du traitement peut prévoir que ces informations peuvent être communiquées à la personne ayant fait la demande d’accès par le responsable de traitement directement.

Modalités particulières d’accès et de rectification pour les traitements relatifs aux infractions

Les dispositions de l’Article 49 sont applicables aux traitements mis en œuvre par les administrations publiques et les personnes privées chargées d’une mission de service public qui ont pour mission de prévenir, rechercher ou constater des infractions uniquement lorsqu’un tel droit a été prévu par l’autorisation mentionnée aux Article 69, Article 70, Article 71 et Article 72.

Tout prestataire d’un service de communication au public en ligne mettant en œuvre un traitement de données à caractère personnel informe la personne concernée du sort des données qui la concernent à son décès et lui permet de choisir de communiquer ou non ses données à un tiers qu’elle désigne.

Gestion des données à caractère personnel suivant les directives de la personne concernée

La personne concernée peut indiquer au responsable de traitement dans des directives la manière dont elle souhaite que soient exercés les droits qui lui sont conférés par les dispositions du présent chapitre à son décès, et en particulier s’agissant de la conservation, de l’effacement ou de la communication des données à caractère personnel la concernant à des tiers.

Ces directives font l’objet d’un consentement spécifique de la personne concernée et ne peuvent résulter de la seule approbation par celle-ci de conditions générales d’utilisation. Toute clause contractuelle de conditions générales d’utilisation relatives à un traitement portant sur des données à caractère personnel limitant les prérogatives reconnues à la personne en vertu du présent article est réputée non écrite.

Lorsque ces directives prévoient la communication de données qui comportent également des données à caractère personnel relatives à des tiers, cette communication s’effectue dans le respect des dispositions du présent livre.

Le responsable de traitement accuse réception des directives qui lui sont transmises par tout moyen. La personne concernée peut modifier ou révoquer ses directives à tout moment.

Les directives peuvent désigner une personne chargée de leur exécution. Celle-ci a alors qualité, lorsque la personne concernée est décédée, pour prendre connaissance des directives et demander leur mise en œuvre aux responsables de traitement concernés. À défaut de désignation et, sauf directive contraire, ses ayants droit ont qualité pour prendre connaissance des directives au décès de la personne concernée et demander leur mise en œuvre aux responsables de traitement concernés.

Gestion des données à caractère personnel en l’absence de directives de la personne concernée

En l’absence de directives ou de mention contraire dans ces directives, les ayants droit de la personne concernée peuvent exercer, après son décès, les droits qui sont conférés à celle-ci par les dispositions du présent chapitre dans la mesure nécessaire :

• 1° à l’organisation et au règlement de la succession de la personne concernée ; à ce titre, les ayants droit peuvent accéder aux traitements de données à caractère personnel qui la concernent afin d’identifier et d’obtenir communication des informations utiles à la liquidation et au partage de la succession ; ils peuvent aussi recevoir communication des biens numériques ou des données s’apparentant à des souvenirs de famille, transmissibles aux ayants droit ;
• 2° à la prise en compte, par les responsables de traitement, du décès de la personne concernée ; à ce titre, les ayants droit peuvent faire procéder à la clôture des comptes utilisateurs de la personne concernée, s’opposer à la poursuite des traitements de données à caractère personnel la concernant ou faire procéder à leur mise à jour pour prendre en considération son décès.

Lorsque les ayants droit en font la demande, le responsable de traitement doit justifier, sans frais pour le demandeur, qu’il a procédé aux opérations exigées en application du présent article.

Les désaccords entre ayants droit sur l’exercice des droits prévus au présent article sont réglés conformément à la loi.