Loi n° 025/2023 du 9 juillet 2023 portant modification de la loi n° 001/2011 du 25 septembre 2011 relative à la protection des données à caractère personnel

Toute personne physique justifiant de son identité a le droit de demander gratuitement, par écrit, quel que soit le support, au responsable d’un traitement des données personnelles, de lui fournir :

• la finalité du traitement ;
• la catégorie de données personnelles concernées ;
• les destinataires ou catégories de destinataires auxquels les données personnelles ont été ou sont communiquées ;
• les informations permettant de connaître et de contester le traitement ;
• la confirmation que des données personnelles la concernant font ou ne font pas l’objet de ce traitement ;
• la durée de conservation des données personnelles envisagée et les critères utilisés pour déterminer cette durée, lorsque cela est possible ;
• l’existence des droits qu’elle détient en vertu des dispositions de la présente loi ;
• le droit d’introduire une réclamation auprès de l’Autorité Nationale chargée de la Protection des Données Personnelles ;
• les transferts éventuels des données personnelles envisagés à destination d’un pays tiers ;
• la communication, sous une forme accessible et intelligible, des données personnelles qui la concernent ainsi que de toute information disponible quant à l’origine de celles-ci ;
• lorsque les données personnelles ne sont pas collectées auprès de la personne concernée, toute information disponible quant à leur source ;
• l’existence d’une prise de décision automatisée, y compris un profilage et, au moins en pareils cas, des informations utiles concernant la logique sous-jacente, ainsi que l’importance et les conséquences prévues de ce traitement pour la personne concernée ;
• la personne concernée a le droit d’obtenir à sa demande connaissance du raisonnement qui sous-tend le traitement des données lorsque les résultats de ce traitement lui sont appliqués.

Lorsque les données personnelles sont transférées vers un pays tiers ou à une organisation internationale, la personne concernée a le droit d’être informée des garanties concernant ce transfert.

Le responsable du traitement fournit une copie des données personnelles faisant l’objet d’un traitement. Il peut exiger le paiement de frais raisonnables basés sur les coûts administratifs pour toute copie supplémentaire demandée par la personne concernée. Lorsque la personne concernée présente sa demande par voie électronique, les informations sont fournies sous une forme électronique d’usage courant, à moins que la personne concernée ne demande qu’il en soit autrement.

Le droit d’obtenir une copie ne porte pas atteinte aux droits et libertés d’autrui.

Une copie des données personnelles concernant l’intéressé est délivrée à sa demande. Le responsable du traitement peut subordonner la délivrance de cette copie au paiement d’une somme qui ne peut excéder le coût de la reproduction.

En cas de risque de dissimulation ou de disparition des données personnelles, la personne concernée peut en informer l’Autorité nationale chargée de la Protection des Données Personnelles ou le juge compétent qui prend toute mesure de nature à éviter cette dissimulation ou cette disparition.

Toute personne qui, dans l’exercice de son droit d’accès, a des raisons sérieuses de croire que les données qui lui ont été communiquées ne sont pas conformes aux données traitées, peut en informer l’Autorité nationale chargée de la Protection des Données Personnelles qui procède aux vérifications nécessaires.

Le droit d’accès d’un patient à ses données de santé est exercé par lui-même ou par l’intermédiaire d’un médecin de son choix. En cas de décès du patient, le conjoint survivant, ses enfants, le cas échéant ses ayants-droit et, s’il s’agit d’un mineur, ses père et mère peuvent exercer, par l’intermédiaire d’un médecin qu’ils désignent, ce droit d’accès.

Le responsable du traitement peut s’opposer aux demandes manifestement abusives, notamment par leur nombre, leur caractère répétitif ou systématique. En cas de contestation, la charge de la preuve du caractère manifestement abusif des demandes incombe au responsable du traitement auprès duquel elles sont adressées.

Par dérogation aux dispositions des articles 42 à 46 de la présente loi, lorsqu’un traitement intéresse la sûreté de l’Etat, la défense ou la sécurité publique, le droit d’accès s’exerce dans les conditions suivantes :

• la demande est adressée à l’Autorité pour la Protection des Données Personnelles et de la Vie Privée qui désigne l’un de ses membres appartenant ou ayant appartenu au Conseil d’Etat ou à la Cour de Cassation pour mener les investigations nécessaires. Celui-ci peut se faire assister d’un autre agent de l’Autorité nationale. Il est notifié au requérant qu’il a été procédé aux vérifications ;
• l’Autorité chargée de la Protection des Données Personnelles constate, en accord avec le responsable du traitement, que la communication des données qui y sont contenues ne met pas en cause ses finalités, la sûreté de l’Etat, la défense ou la sécurité publique, ces données peuvent être communiquées au requérant ;
• le traitement est susceptible de comprendre des informations dont la communication ne mettrait pas en cause les fins qui lui sont assignées, l’acte réglementaire portant création du fichier peut prévoir que ces informations peuvent être communiquées au requérant par le gestionnaire du fichier directement saisi.

Les dispositions de l’article 47 ci-dessus s’appliquent au traitement mis en œuvre par les administrations et les personnes privées chargées d’une mission de service public en matière de prévention, de recherche ou de constatation des infractions, de contrôle ou recouvrement des impositions.

Toute personne peut demander directement que les informations détenues sur elle soient :

• rectifiées si elles sont inexactes ;
• complétées ou clarifiées si elles sont incomplètes ou équivoques ;
• mises à jour si elles sont obsolètes ;
• effacées si elles n’ont pas été régulièrement collectées et conservées ou si la finalité est détournée.

La personne concernée a le droit d’obtenir du responsable du traitement, dans les meilleurs délais, la rectification des données personnelles la concernant qui sont inexactes.

La personne concernée a le droit d’obtenir que les données personnelles incomplètes ou obsolètes soient complétées notamment par une déclaration complémentaire ou mises à jour, compte tenu des finalités du traitement.

Toute personne justifiant de son identité a le droit d’obtenir du responsable du traitement l’effacement, dans les meilleurs délais, des données personnelles la concernant, notamment dans l’un des cas suivants :

• les données personnelles ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées ou traitées d’une autre manière ;
• la personne concernée retire le consentement sur lequel est fondé le traitement et qu’il n’existe pas d’autre fondement juridique au traitement ;
• les données personnelles ont fait l’objet d’un traitement illicite ;
• les données personnelles doivent être effacées pour respecter une obligation légale ;
• les données personnelles ont été collectées dans le cadre des services offerts par la société de l’information.

Lorsque les données personnelles ont été rendues publiques et que le responsable du traitement est tenu de les effacer en vertu de l’alinéa précédent, il prend des mesures raisonnables, y compris d’ordre technique, pour informer les tiers à l’égard desquels, la personne concernée a demandé l’effacement de tout lien vers ses données personnelles, ou toute copie ou reproduction de celles-ci.

Les dispositions de l’article 52 ci-dessus ne s’appliquent pas dans la mesure où le traitement est notamment nécessaire :

• à l’exercice du droit à la liberté d’expression et d’information ;
• au respect d’une obligation légale ou pour l’exercice d’une mission d’intérêt public dont est investi le responsable de traitement ;
• aux motifs d’intérêt public dans le domaine de la santé publique ;
• à des fins archivistiques dans l’intérêt public, de recherches scientifiques, historiques ou statistiques ;
• à une action en justice.

La personne concernée a le droit d’obtenir du responsable du traitement, la limitation du traitement de ses données personnelles lorsque l’un des éléments suivants s’applique :

• l’exactitude des données personnelles est contestée par la personne concernée ;
• le traitement est illicite et la personne concernée s’oppose à l’effacement de ses données personnelles et exige en contrepartie, la limitation de leur utilisation ;
• le responsable du traitement n’a plus besoin des données personnelles aux fins du traitement, mais celles-ci sont encore nécessaires à la personne concernée pour la constatation, l’exercice ou la défense de droits en justice ;
• la personne concernée s’est opposée au traitement des données personnelles la concernant dans l’attente de la vérification du motif légitime du responsable du traitement.

Les données personnelles d’un traitement qui a été limité ne peuvent, à l’exception de la conservation, être traitées qu’avec le consentement de la personne concernée, ou pour la constatation, l’exercice ou la défense de droits en justice, ou pour la protection des droits d’une autre personne physique ou morale, ou encore pour des motifs importants d’intérêt public.

La personne concernée qui a obtenu la limitation du traitement de ses données en vertu des dispositions de l’article 54 ci-dessus, est informée par le responsable du traitement, avant que la limitation du traitement ne soit levée.

La personne concernée a le droit de recevoir les données la concernant qu’elle a fournies à un responsable du traitement, dans un format structuré, couramment utilisé et lisible par machine.

Elle a le droit de transmettre ces données personnelles à un autre responsable du traitement sans que le responsable du traitement auquel les données personnelles ont été communiquées y fasse obstacle, lorsque :

• le traitement est fondé sur le consentement ou sur un contrat ;
• le traitement est effectué à l’aide de procédés automatisés.

Lorsque la personne concernée exerce son droit à la portabilité des données personnelles en application de l’article 57 ci-dessus, elle a le droit d’obtenir que les données personnelles soient transmises directement d’un responsable du traitement à un autre, lorsque cela est techniquement possible.

La personne concernée a le droit de s’opposer à tout moment, pour des raisons tenant à sa situation particulière, au traitement des données personnelles la concernant ayant pour fondement :

• l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité public dont est investi le responsable du traitement ;
• le traitement est nécessaire à l’exécution des intérêts légitimes poursuivis par le responsable du traitement ou par un tiers, y compris un profilage fondé sur ces dispositions.

Le responsable du traitement ne traite plus les données personnelles, à moins qu’il ne démontre qu’il existe des motifs légitimes et impérieux pour les traitements qui prévalent sur les intérêts, les droits et libertés de la personne concernée, ou pour la constatation, l’exercice ou la défense de droits en justice.

La personne concernée a le droit de s’opposer par tout moyen, gratuitement, à la communication ou à l’utilisation sur tout support de ses données personnelles, à des fins diverses si elle n’a pas préalablement consenti.

Le droit d’opposition ne s’applique pas lorsque le traitement est d’ordre public ou répond à une obligation légale ou contractuelle.

La personne concernée a le droit de s’opposer à tout moment au traitement des données personnelles la concernant, y compris au profilage dans la mesure où il est lié à une telle prospection, lorsque les données personnelles sont traitées à des fins de prospection.

Lorsque la personne concernée s’oppose au traitement à des fins de prospection, les données personnelles ne sont plus traitées à ces fins.

Le droit prévu par l’article 61 ci-dessus est explicitement porté à l’attention de la personne concernée et présenté clairement et séparément de toute autre information au plus tard, au moment de la première communication avec la personne concernée.

La personne concernée peut, dans le cadre de l’utilisation de services de la société de l’information, exercer son droit d’opposition à l’aide de procédés automatisés utilisant des spécifications techniques.

La personne concernée a le droit de s’opposer, pour des raisons tenant à sa situation particulière, au traitement de données personnelles la concernant, à moins que ce traitement ne soit nécessaire à l’exécution d’une mission d’intérêt public, lorsque des données personnelles sont traitées à des fins de recherche scientifique, historique ou statistiques.

La personne concernée a le droit de s’opposer à une décision fondée exclusivement sur un traitement automatisé, y compris le profilage, produisant des effets juridiques la concernant ou l’affectant de manière significative ou de façon similaire.

Les dispositions de l’article 65 ci-dessus ne s’appliquent que lorsque la décision est :

• nécessaire à la conclusion ou à l’exécution d’un contrat entre la personne concernée et un responsable de traitement ;
• fondée sur le consentement explicite de la personne concernée.

Dans les cas prévus par l’article 66 ci-dessus, le responsable du traitement met en œuvre des mesures appropriées pour la sauvegarde des droits et libertés et des intérêts légitimes de la personne concernée, dont au moins, le droit d’obtenir une intervention humaine de la part du responsable du traitement, d’exprimer son point de vue et de contester la décision.

Les décisions prévues par l’article 66 de la présente loi ne peuvent être fondées sur des catégories particulières des données à caractère personnel, prévues par les articles 74 et 65, à moins que les articles 74 et 66 ne s’appliquent et que des mesures appropriées pour la sauvegarde des droits et libertés et des intérêts légitimes de la personne concernée ne soient mis en place.

Le traitement porte sur des données qui remplissent les conditions suivantes :

• les données sont collectées et traitées de manière loyale et licite ;
• elles sont collectées pour des finalités déterminées, explicites, légitimes et non inhumaines et ne sont pas traitées ultérieurement de manière incompatible avec ces finalités ;
• elles sont adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs ;
• elles sont exactes, complètes et, si nécessaire, mises à jour ;
• les mesures appropriées doivent être prises pour que les données inexactes ou incomplètes au regard des finalités pour lesquelles elles sont collectées ou traitées soient effacées ou rectifiées ;
• elles sont conservées sous une forme permettant l’identification des personnes concernées pendant une durée qui n’excède pas la durée nécessaire aux finalités pour lesquelles elles sont collectées et traitées.

Toutefois, un traitement ultérieur des données à des fins statistiques, de recherche scientifique ou historique est considéré comme compatible avec les finalités initiales de la collecte des données, s’il est réalisé dans le respect des principes et des procédures prévues au présent chapitre ainsi qu’à la section I du chapitre V et s’il n’est pas utilisé pour prendre des décisions à l’égard des personnes concernées.

Un traitement des données doit avoir reçu le consentement de la personne concernée ou satisfaire à l’une des conditions suivantes :

• le respect d’une obligation légale incombant au responsable du traitement ;
• la sauvegarde de la vie privée de la personne concernée ;
• l’exécution d’une mission de service public dont est investi le responsable ou le destinataire du traitement ;
• l’exécution, soit d’un contrat auquel la personne concernée est partie, soit des mesures précontractuelles prises à la demande de celle-ci ;
• la réalisation de l’intérêt légitime poursuivi par le responsable du traitement ou par le destinataire, sous réserve de ne pas méconnaître l’intérêt ou les droits et libertés fondamentaux de la personne concernée.

Le responsable d’un traitement reposant sur le consentement de la personne concernée, doit être en mesure de démontrer que celle-ci a consenti au traitement de ses données.

Lorsque le consentement est donné dans le cadre d’une déclaration écrite qui concerne également d’autres questions, la demande de consentement est présentée sous une forme accessible, compréhensible et en des termes clairs et simples.

En matière de transaction électronique le consentement ne se présume pas et doit prendre la forme d’un acte de volonté univoque, par exemple au moyen d’une case à cocher.

L’acceptation des conditions générales d’utilisation ou de vente n’est pas considérée comme une modalité suffisante du recueil du consentement des personnes. Il est également recommandé au e-commerçant d’intégrer directement sur son site marchand un moyen simple de retirer, sans frais, le consentement ainsi donné.

La personne concernée a le droit de retirer son consentement à tout moment. Ce retrait ne compromet pas la licéité du traitement fondé sur le consentement donné avant celui-ci. La personne concernée est informée de ce droit avant de donner son consentement.

Le traitement des données relatives à un enfant est licite lorsque l’enfant est âgé d’au moins dix-huit ans.

Lorsque l’enfant est âgé de moins de dix-huit ans, le traitement des données est expressément autorisé par le titulaire de l’autorité parentale à l’égard de l’enfant.

Dans ce cas, le responsable du traitement s’assure, par tout moyen, que le consentement est donné par le titulaire de l’autorité parentale.

Il est interdit de collecter ou de traiter des données qui font apparaître, directement ou indirectement, les origines raciales ou ethniques, les opinions politiques, philosophiques, religieuses ou l’appartenance syndicale des personnes, les données biométriques et génétiques, ainsi que les données relatives à la santé et à la vie sexuelle.

Dans la mesure où la finalité du traitement l’exige, certaines catégories des données ne sont pas soumises à l’interdiction prévue par l’article 74 ci-dessus, notamment :

• le traitement pour lequel la personne concernée a donné son consentement express, sauf dans le cas où la loi prévoit que l’interdiction prévue par l’article 74 ci-dessus ne peut être levée par le consentement de la personne concernée ;
• le traitement nécessaire à la sauvegarde de la vie humaine auquel la personne concernée ne peut consentir par suite d’une incapacité juridique ou d’une impossibilité matérielle ;
• le traitement mis en œuvre par une association ou tout autre organisation à but non lucratif, à caractère religieux, philosophique, politique ou syndical pour les données sensibles correspondant à leur objet, sous réserve qu’ils ne concernent que leurs membres et, le cas échéant, les personnes qui entretiennent avec eux des contacts réguliers dans le cadre de leur activité, et qu’ils ne portent que sur des données non communiquées à des tiers, à moins que les personnes concernées n’y consentent expressément ;
• le traitement des données rendues publiques par la personne concernée ;
• le traitement des données nécessaire à la constatation, à l’exercice ou à la défense d’un droit en justice ;
• le traitement des données nécessaire aux fins de la médecine préventive, des diagnostics médicaux, de l’administration des soins, ou de la gestion de services de santé et mis en œuvre par un membre d’une profession de santé, ou par une autre personne à laquelle s’impose en raison de ses fonctions l’obligation de secret professionnel ;
• le traitement statistique réalisé à des fins économiques par les services statistiques des ministères compétents, dans le respect de la loi sur l’obligation, la coordination et le secret en matière de statistiques, après avis de l’administration compétente et dans les conditions prévues par l’article 78 de la présente loi ;
• le traitement nécessaire à la recherche dans le domaine de la santé selon les modalités prévues par la présente loi.

Lorsque les données sensibles sont appelées à faire l’objet à bref délai, d’un procédé d’anonymisation préalablement reconnu conforme aux dispositions de la présente loi par l’Autorité, celle-ci peut autoriser, compte tenu de leur finalité, certaines catégories de traitements selon les modalités prévues par la présente loi.

De même, ne sont pas soumis à l’interdiction prévue par l’article 77 les traitements, informatisés ou non, justifiés par l’intérêt public et autorisés dans les conditions prévues par les articles 82 et 83 de la présente loi.

Le traitement des données sensibles, notamment, les données génétiques, les données personnelles concernant les infractions, les procédures, les condamnations pénales et les mesures de sûretés connexes, les données biométriques identifiant un individu de façon unique, les données personnelles pour les informations qu’elles relèvent sur l’origine raciale ou ethnique, les opinions politiques, l’appartenance syndicale, les convictions religieuses, la santé ou la vie sexuelle, n’est autorisé que si la personne concernée a donné son consentement exprès, ce consentement doit être écrit et la personne doit avoir été informée au préalable de sorte que ce traitement ne présente aucun risque de discrimination.

Le traitement des données relatives aux infractions, condamnations et mesures de sûreté ne peut être mis en œuvre que par :

• les autorités publiques, judiciaires et les personnes morales gérant un service public, agissant dans le cadre de leurs attributions légales ;
• les auxiliaires de justice, pour les stricts besoins de l’exercice des missions qui leur sont confiées par la loi.

Aucune décision de justice impliquant une appréciation sur le comportement d’une personne ne peut avoir pour fondement un traitement informatisé de données destiné à évaluer certains aspects de sa personnalité.

Aucune autre décision produisant des effets juridiques à l’égard d’une personne ne peut être prise sur le seul fondement d’un traitement automatisé des données destiné à définir le profil de l’intéressé ou à évaluer certains aspects de sa personnalité.

Les décisions prises dans le cadre de la conclusion ou de l’exécution d’un contrat et pour lesquelles la personne concernée a été mise à même de présenter ses observations et celles satisfaisant aux demandes de la personne concernée ne sont pas considérées comme issues d’un traitement automatisé.

Les traitements automatisés des données font l’objet d’une déclaration auprès de l’APDPVP, à l’exception des traitements mentionnés aux articles 80, 81 et 82 ou à l’article 111 de la présente loi.

La déclaration des traitements automatisés des données comporte l’engagement que le traitement satisfait aux exigences de la loi.

Elle est adressée à l’APDPVP par tout moyen de communication laissant trace.

Le responsable du traitement est tenu de notifier sans délai excessif, à tout le moins à l’Autorité de contrôle compétente, les violations des données susceptibles de porter gravement atteintes aux droits et libertés fondamentaux des personnes concernées.

L’APDPVP délivre, sans délai et par tout moyen laissant trace, un récépissé.

Le demandeur peut mettre en œuvre le traitement dès réception de ce récépissé.

La demande de récépissé doit être renouvelée à l’expiration de sa validité suivant les dispositions du règlement intérieur.

Les traitements relevant d’un même responsable de traitement et ayant des finalités identiques ou liées entre elles peuvent faire l’objet d’une déclaration unique. Dans ce cas, les informations requises, en application de l’article 80 ci-dessous, ne sont fournies pour chacun des traitements que dans la mesure où elles lui sont propres.

Pour les catégories les plus courantes de traitements des données dont la mise en œuvre n’est pas susceptible de porter atteinte à la vie privée ou aux libertés, l’Autorité établit et publie des normes, après avoir reçu, le cas échéant, les propositions formulées par le responsable de traitement à simplifier l’obligation de déclaration, notamment, les organismes, associations religieuses, philosophiques, politiques ou syndicales à but non lucratif.

Ces normes précisent :

• les finalités des traitements faisant l’objet d’une déclaration simplifiée ;
• les données ou catégories des données traitées ;
• la ou les catégories des personnes concernées ;
• les destinataires ou catégories des destinataires auxquels les données sont communiquées ;
• la durée de conservation des données.

Les traitements qui correspondent à l’une de ces normes font l’objet d’une déclaration simplifiée de conformité obligatoire auprès de l’APDPVP.

L’APDPVP peut définir, parmi les catégories de traitements mentionnés à l’alinéa 1er, celles qui, compte tenu de leurs finalités, de leurs destinataires ou catégories de destinataires, des données traitées, de la durée de conservation de celles-ci et des catégories de personnes concernées, sont dispensées de déclaration.

Dans les mêmes conditions, l’Autorité peut autoriser les responsables de certaines catégories de traitements à procéder à une déclaration unique selon les dispositions du dernier alinéa de l’article 77 ci-dessus.

Sont mis en œuvre après autorisation de l’APDPVP, à l’exclusion de ceux qui sont mentionnés aux articles 81 et 82 de la présente loi :

• les traitements, automatisés ou non, mentionnés à l’article 74 de la présente loi ;
• les traitements automatisés portant sur des données génétiques, à l’exception de ceux d’entre eux qui sont mis en œuvre par des médecins ou des biologistes et qui sont nécessaires aux fins de la médecine préventive, des diagnostics médicaux ou de l’administration de soins ou de traitements ;
• les traitements, automatisés ou non, portant sur des données relatives aux infractions, condamnations ou mesures de sûreté, sauf ceux qui sont mis en œuvre par les auxiliaires de justice pour les besoins de leurs missions de défense des personnes concernées ;
• les traitements automatisés susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d’exclure des personnes du bénéfice d’un droit, d’une prestation ou d’un contrat en l’absence de toute disposition législative ou réglementaire ;
• l’interconnexion de fichier relevant d’une ou de plusieurs personnes morales gérant un service public et dont les finalités correspondent à des intérêts publics différents ;
• l’interconnexion de fichiers relevant d’autres personnes et dont les finalités principales sont différentes ;
• les traitements portant sur des données parmi lesquelles figure le numéro d’inscription des personnes dans un fichier national d’identification des personnes physiques et ceux qui requièrent une consultation de ce fichier sans inclure le numéro d’inscription des personnes à ce fichier ;
• les traitements automatisés des données comportant des appréciations sur les difficultés sociales des personnes ;
• les traitements automatisés comportant des données biométriques nécessaires au contrôle de l’identité des personnes.

Aux fins d’application du présent article, les traitements qui répondent à une même finalité, portent sur des catégories des données identiques et ont les mêmes destinataires ou catégories de destinataires peuvent être autorisés par une décision unique de l’APDPVP.

Dans ce cas, le responsable de chaque traitement adresse à l’APDPVP un engagement de conformité de celui-ci à la description figurant dans l’autorisation.

L’APDPVP se prononce dans un délai de deux mois à compter de la réception de la demande. Toutefois, ce délai peut être renouvelé une fois sur décision motivée de son Président. Lorsque l’APDPVP ne s’est pas prononcée dans ces délais, la demande d’autorisation est réputée rejetée.

Sont autorisés par arrêté du ou des Ministres compétents, pris après avis de l’APDPVP, les traitements des données mis en œuvre pour le compte de l’Etat et :

• qui intéressent la sûreté de l’Etat, la défense ou la sécurité publique ;
• qui ont pour objet la prévention, la recherche, la constatation ou la poursuite des infractions pénales ou l’exécution des condamnations pénales ou des mesures de sûreté.

L’avis de l’APDPVP est publié avec l’arrêté autorisant le traitement.

Certains traitements mentionnés au présent article peuvent être dispensés, par décret pris en Conseil des Ministres, de la publication de l’acte réglementaire qui les autorise ; pour ces traitements, est publié, en même temps que le décret autorisant la dispense de publication de l’acte, le sens de l’avis émis par l’APDPVP.

Pour l’application du présent article, les traitements qui répondent à une même finalité, portent sur des catégories des données identiques et ont les mêmes destinataires ou catégories de destinataires peuvent être autorisés par un acte réglementaire unique.

Dans ce cas, le responsable de chaque traitement adresse à l’APDPVP un engagement de conformité de celui-ci, à la description figurant dans l’autorisation.

Sont autorisés par décret pris en Conseil des Ministres, après avis de l’Autorité :

• le traitement des données mis en œuvre pour le compte de l’Etat, d’une personne morale de droit public ou d’une personne morale de droit privé gérant un service public, qui porte sur des données parmi lesquelles figure le numéro d’inscription des personnes dans un fichier national d’identification des personnes physiques ;
• le traitement des données mis en œuvre pour le compte de l’Etat, qui porte sur les données biométriques nécessaires à l’authentification ou au contrôle de l’identité des personnes.

Sont autorisés par arrêté ou, en cas de traitement opéré pour le compte d’un établissement public ou d’une personne morale de droit privé gérant un service public, par décision de l’organe délibérant chargé de leur organisation, pris après avis de l’APDPVP :

• le traitement mis en œuvre par l’Etat ou les personnes morales mentionnées au premier alinéa de l’article 80 ci-dessus, qui requiert une consultation dans un fichier national d’identification des personnes physiques sans inclure le numéro d’inscription à ce fichier ;
• ceux des traitements mentionnés au premier alinéa de l’article 80 qui :
• ne comportent aucune des données sensibles ni celles mentionnées à l’article 74 ci-dessus ;
• ne donnent pas lieu à une interconnexion entre des traitements ou fichiers correspondant à des intérêts publics différents ;
• sont mis en œuvre par des services ayant pour mission, soit de déterminer les conditions d’ouverture ou l’étendue d’un droit des administrés, soit d’établir l’assiette, de contrôler ou de recouvrer des impositions ou taxes de toute nature, soit d’établir des statistiques ;
• le traitement relatif au recensement de la population ;
• le traitement mis en œuvre par l’Etat ou les personnes morales mentionnées au premier alinéa de l’article 80 ci-dessus aux fins de mettre à la disposition des usagers de l’administration un ou plusieurs télé-services de l’administration électronique, si ce traitement comporte des données parmi lesquelles figure le numéro d’inscription des personnes dans un fichier national d’identification ou tout autre identifiant des personnes physiques.

Les dispositions du dernier alinéa de l’article 81 ci-dessus sont applicables aux traitements relevant du présent article.

L’APDPVP, saisie dans le cadre des articles 81 et 82 de la présente loi, se prononce dans un délai de deux mois à compter de la réception de la demande. Toutefois, ce délai peut être renouvelé une fois sur décision motivée du président de l’APDPVP.

L’avis motivé demandé à l’APDPVP par les pouvoirs publics sur un traitement, qui n’est pas rendu à l’expiration du délai prévu au 1er alinéa, est réputé favorable.

Pour les responsables de traitements et les personnes morales privées, l’APDPVP se prononce dans un délai de deux mois à compter de la réception de la demande.

Toutefois, ce délai peut être renouvelé une fois sur décision motivée de son Président. Passé ce délai, la demande est réputée rejetée.

Les actes autorisant la création d’un traitement en application des articles 81, 82 et 83 de la présente loi précisent :

• la dénomination et la finalité du traitement ;
• le service auprès duquel s’exerce le droit d’accès défini au chapitre II de la présente loi ;
• les catégories des données enregistrées ;
• les destinataires ou catégories de destinataires habilités à recevoir communication de ces données ;
• le cas échéant, les dérogations à l’obligation d’information.

En matière de transaction électronique, si la collecte de l’identité du titulaire de la carte n’est pas nécessaire à la transaction, elle ne doit pas être collectée.

Un e-commerçant ne peut demander la transmission d’une copie de la carte de paiement même si le cryptogramme visuel et une partie des numéros sont masqués.

Les déclarations, demandes d’autorisation et demandes d’avis adressées à l’Autorité en vertu des dispositions de la présente section précisent :

• l’identité et l’adresse du responsable du traitement ou, si celui-ci n’est pas établi sur le territoire national, celle de son représentant et, le cas échéant, celle de la personne qui présente la demande ;
• la ou les finalités du traitement, ainsi que, pour les traitements relevant des articles 81, 82 et 83 de la présente loi, la description générale de ses fonctions ;
• le cas échéant, les interconnexions, les rapprochements ou toutes autres formes de mise en relation avec d’autres traitements ;
• les données traitées, leur origine et les catégories de personnes concernées par le traitement ;
• la durée de conservation des informations traitées ;
• le ou les services chargés de mettre en œuvre le traitement ainsi que, pour les traitements relevant des articles 80, 81 et 82, les catégories de personnes qui, en raison de leurs fonctions ou pour les besoins du service, ont directement accès aux données enregistrées ;
• les destinataires ou catégories de destinataires habilités à recevoir communication des données ;
• la fonction de la personne ou le service auprès duquel s’exerce le droit d’accès prévu au chapitre III de la présente loi, ainsi que les mesures relatives à l’exercice de ce droit ;
• les dispositions prises pour assurer la sécurité des traitements et des données et la garantie des secrets protégés par la loi et, le cas échéant, l’indication du recours à un sous-traitant ;
• le cas échéant, les transferts de données envisagés à destination d’un Etat non membre d’une organisation sous-régionale et régionale n’assurant pas un niveau de protection suffisant, sous quelque forme que ce soit, à l’exclusion des traitements qui ne sont utilisés qu’à des fins de transit.

Les demandes d’avis portant sur les traitements intéressant la sûreté de l’Etat, la défense ou la sécurité publique peuvent ne pas comporter tous les éléments d’information énumérés ci-dessus.

Un décret, pris après avis de l’Autorité, fixe la liste des traitements et des informations que les demandes d’avis doivent comporter.

Le responsable d’un traitement déjà déclaré ou autorisé informe sans délai l’Autorité :

• de tout changement affectant les informations mentionnées au premier alinéa de l’article 78 de la présente loi ;
• de toute suppression du traitement.

L’APDPVP met à la disposition du public, dans un format ouvert et aisément réutilisable, la liste des traitements automatisés ayant fait l’objet d’une des formalités prévues à la présente section.

Cette liste précise pour chacun de ces traitements :

• l’acte décidant la création du traitement ou la date de la déclaration de ce traitement ;
• la dénomination et la finalité du traitement ;
• l’identité et l’adresse du responsable du traitement ou celles de son représentant ;
• la fonction de la personne ou le service auprès duquel s’exerce le droit d’accès prévu à la section 1ère du chapitre III de la présente loi ;
• les catégories de données faisant l’objet du traitement, ainsi que les destinataires et catégories de destinataires habilités à en recevoir communication ;
• le cas échéant, les transferts de données envisagés à destination d’un Etat non membre d’une organisation sous régionale et régionale n’assurant pas un niveau de protection suffisant.

Ne sont soumis à aucune des formalités préalables prévues au présent chapitre :

• les traitements ayant pour seul objet, la tenue d’un registre qui, en vertu de dispositions législatives ou réglementaires, est destiné exclusivement à l’information du public et est ouvert à la consultation de celui-ci ou de toute personne justifiant d’un intérêt légitime ;
• les traitements mentionnés au 3ème tiret de l’article 75 de la présente loi ;
• les traitements pour lesquels le responsable a désigné un délégué à la protection des données chargé d’assurer, d’une manière indépendante, le respect des obligations prévues dans la présente loi, sont dispensés des formalités prévues par les articles 78 et 79 de la présente loi, sauf lorsqu’un transfert des données à destination d’un autre Etat est envisagé.

En cas de non-respect des dispositions de la présente loi, le responsable du traitement est enjoint par l’Autorité de procéder aux formalités prévues à la présente loi. En cas de manquement constaté à ses devoirs, le délégué est déchargé de ses fonctions sur demande ou après consultation de l’Autorité.

Le responsable d’un traitement des données qui n’est soumis à aucune des formalités prévues au présent chapitre, communique à toute personne qui en fait la demande, les informations relatives à ce traitement.

Les avis, décisions et recommandations de l’Autorité sont publiés dans un journal d’annonces légales.

Le responsable du traitement prend des mesures appropriées pour fournir à la personne concernée les informations prévues par les articles 91 et 92 ci-dessous. Il procède à toute communication au titre des articles 42, 49 à 54 et 76.

L’information de la personne concernée doit être concise, transparente, compréhensible, aisément accessible et formulée en de termes clairs et simples, en particulier lorsqu’elle est destinée à un enfant.

Les informations sont fournies par écrit ou par d’autres moyens y compris, au besoin, par voie électronique. Lorsque la personne concernée en fait la demande, les informations peuvent être fournies oralement, à condition que son identité soit prouvée.

Le responsable du traitement facilite l’exercice des droits conférés à la personne concernée, au titre des articles 42 et 49 à 54.

Le responsable du traitement fournit à la personne concernée, des informations sur les mesures prises à la suite d’une demande formulée en application des articles 42 et 49 à 54 dans un délai qui ne peut être supérieur à un mois, à compter de la réception de la demande.

Toutefois, ce délai peut être prolongé de deux mois, compte tenu de la complexité des informations sollicitées et du nombre de demandes. Le responsable du traitement informe la personne concernée de cette prolongation et des motifs du report dans un délai d’un mois, à compter de la réception de la demande.

Lorsque la personne concernée présente sa demande sous une forme électronique, les informations sont fournies dans la même forme, à moins qu’elle ne demande qu’il en soit autrement.

Si le responsable du traitement ne donne pas suite à la demande formulée par la personne concernée, il informe celle-ci au plus tard dans un délai d’un mois, à compter de la réception de la demande, des motifs de son inaction et de la possibilité d’introduire une réclamation auprès de l’APDPVP et le cas échéant, de former un recours juridictionnel.

Aucun paiement n’est exigé pour fournir les informations au titre des articles 97 et 98 et pour procéder à toute communication et prendre toute mesure sur le fondement des articles 43 et 50 à 55.

Toutefois, lorsque les demandes d’une personne concernée sont manifestement infondées ou excessives, notamment en raison de leur caractère répétitif, le responsable du traitement peut :

• exiger le paiement de frais raisonnables qui tiennent compte des coûts administratifs supportés pour fournir les informations, procéder aux communications ou prendre les mesures demandées ;
• refuser de donner suite à ces demandes. Dans ce cas, il lui incombe de démontrer le caractère manifestement infondé ou excessif de la demande.

Lorsque le responsable du traitement a des doutes raisonnables quant à l’identité de la personne physique présentant la demande visée aux articles 42 et 49 à 65 il peut demander que lui soient fournies des informations supplémentaires nécessaires à l’authentification de l’intéressé.

Les informations communiquées aux personnes concernées, peuvent être, au besoin, assorties d’icônes normalisées.

La personne auprès de laquelle sont recueillies des données la concernant est informée par le responsable du traitement ou son représentant, au moment de la collecte des données :

• de l’identité et des coordonnées du responsable du traitement et, le cas échéant, celles de son représentant ;
• des coordonnées du délégué à la protection des données, le cas échéant ;
• des finalités et de la base juridique du traitement ;
• des intérêts légitimes poursuivis par le responsable du traitement ou par un tiers lorsque le traitement est fondé sur l’un des cas de licéité prévus par la présente loi ;
• des destinataires ou catégories de destinataires des données, s’ils existent ;
• des transferts des données envisagés à destination d’un autre Etat ou d’une organisation internationale ;
• de la durée de conservation des données ou, en cas d’impossibilité, des critères utilisés pour déterminer cette durée ;
• de l’existence des droits qu’elle tient des dispositions du chapitre III de la présente loi ;
• de la possibilité de retirer son consentement à tout moment, sans porter atteinte à la licéité du traitement fondé sur le consentement donné avant le retrait de celui-ci ;
• du droit d’introduire une réclamation auprès de l’APDPVP ;
• de l’existence d’une prise de décision automatisée, y compris un profilage et, au moins en pareils cas, des informations utiles concernant la logique sous-jacente, ainsi que l’importance et les conséquences prévues de ce traitement pour la personne concernée ;
• des informations permettant de savoir si l’exigence de fourniture de données a un caractère réglementaire ou contractuel ou si elle conditionne la conclusion d’un contrat et si la personne concernée est tenue de fournir ces données ;
• des conséquences éventuelles en cas de non-fourniture des données.

Le responsable du traitement qui a l’intention d’effectuer un traitement ultérieur des données pour une finalité autre que celle sur le fondement de laquelle ces données ont été collectées, fournit au préalable à la personne concernée, des informations relatives à cette autre finalité.

Les dispositions de l’article 97 ci-dessus ne s’appliquent pas lorsque la personne concernée a déjà été informée.

Lorsque les données n’ont pas été collectées auprès de la personne concernée, le responsable du traitement fournit à l’intéressé les informations suivantes :

• l’identité et les coordonnées du responsable du traitement et, le cas échéant, celles du représentant du responsable du traitement ;
• les coordonnées du délégué à la protection des données, le cas échéant ;
• la finalité et la base juridique du traitement ;
• les catégories de données ;
• les destinataires ou les catégories de destinataires des données ;
• le transfert de données envisagé à destination d’un pays tiers ou une organisation internationale, le cas échéant ;
• la durée de conservation des données ou, en cas d’impossibilité, les critères utilisés pour déterminer cette durée ;
• les intérêts légitimes poursuivis par le responsable du traitement ou par un tiers ; à moins que ne prévalent les intérêts ou les libertés et droits fondamentaux de la personne concernée, lorsque celle-ci est un enfant ;
• l’existence des droits reconnus à la personne concernée visés au chapitre II de la présente loi ;
• la possibilité de retirer le consentement à tout moment, sans porter atteinte à la licéité du traitement fondé sur le consentement effectué avant le retrait de celui-ci ;
• le droit d’introduire une réclamation auprès de l’APDPVP ;
• l’origine des données et, le cas échéant, une mention indiquant qu’elles sont issues ou non de sources accessibles au public ;
• l’existence d’une prise de décision automatisée, y compris un profilage et, au moins en pareil cas, des informations utiles concernant la logique sous-jacente, ainsi que l’importance et les conséquences prévues de ce traitement pour la personne concernée.

Le responsable du traitement fournit les informations prévues par l’article 100 ci-dessus :

• dans un délai ne dépassant pas un mois, eu égard aux circonstances particulières dans lesquelles les données sont traitées ;
• si les données doivent être utilisées aux fins de communication avec la personne concernée, au plus tard au moment de la première communication à ladite personne ;
• s’il est envisagé de communiquer les informations à un autre destinataire, au plus tard lorsque les données sont communiquées pour la première fois.

Lorsqu’il a l’intention d’effectuer un traitement ultérieur des données pour une finalité autre que celle sur le fondement de laquelle ces données ont été collectées, le responsable du traitement fournit au préalable à la personne concernée des informations relatives à cette autre finalité et toute autre information pertinente prévue par les articles 43 à 49 et 100.

Les dispositions des articles 54 à 99 ne s’appliquent pas lorsque :

• la personne concernée a déjà été informée ;
• la fourniture de telles informations se révèle impossible ou exigerait des efforts disproportionnés, en particulier pour le traitement à des fins archivistiques dans l’intérêt public, à des fins de recherche scientifique, historique ou statistiques, et dans la mesure où l’obligation visée à l’article 97 est susceptible de rendre impossible ou de compromettre gravement la réalisation des objectifs dudit traitement. En pareils cas, le responsable du traitement prend des mesures appropriées pour protéger les droits et libertés ainsi que les intérêts légitimes de la personne concernée.

Tout abonné ou utilisateur d’un service de communications électroniques doit être informé de manière claire et complète, par le responsable du traitement ou son représentant :

• de la finalité de toute action tendant à accéder, par voie de transmission électronique, à des informations déjà stockées dans son équipement terminal de communications électroniques, ou à inscrire des informations dans cet équipement ;
• des moyens dont il dispose pour s’y opposer.

Ces accès ou inscriptions ne peuvent avoir lieu qu’à condition que l’abonné ou la personne utilisatrice ait exprimé, après avoir reçu cette information, son accord qui peut résulter de paramètres appropriés de son dispositif de connexion ou de tout autre dispositif placé sous son contrôle.

Ces dispositions ne sont pas applicables si l’accès aux informations stockées dans l’équipement terminal de l’utilisateur a pour finalité exclusive de permettre ou faciliter la communication par voie électronique et, est strictement nécessaire à la fourniture d’un service de communication en ligne à la demande expresse de l’utilisateur.

Les données recueillies par les prestataires de services de certification électronique pour les besoins de délivrance et de conservation des certificats liés aux signatures électroniques, doivent l’être directement auprès de la personne concernée et ne peuvent être traitées que pour les fins en vue desquelles elles ont été recueillies, sauf consentement express de la personne concernée.

A titre de responsable de traitement ou de sous-traitant, un prestataire fournissant la signature électronique doit nécessairement garantir la confidentialité des données et la sécurisation de ses services informatiques ainsi que les droits d’accès, de modification et de suppression.

Lorsque peuvent être requis pour la mise en œuvre de la signature électronique, l’utilisation d’informations considérées comme données personnelles à savoir : les noms, prénoms ; adresses e-mail, numéros de téléphone, adresses postales. La mise en œuvre est subordonnée à l’adoption d’une norme simplifiée aux fins de signature électronique, de dépôt et de conservation des actes authentiques sur support électronique.

Lorsque les données recueillies sont appelées à faire l’objet, à bref délai, d’un procédé d’anonymisation préalablement reconnu conforme aux dispositions de la présente loi par l’APDPVP, les informations délivrées par le responsable du traitement à la personne concernée peuvent se limiter à celles mentionnées au 1er et au 2nd tirets de l’article 98 ci-dessus.

Les dispositions de l’article 98 de la présente loi ne s’appliquent pas aux données recueillies dans les conditions prévues par cet article et utilisées lors d’un traitement mis en œuvre pour le compte de l’Etat et intéressant la sûreté de l’Etat, la défense, la sécurité publique ou ayant pour objet l’exécution de condamnations pénales ou de mesures de sûreté, dans le cas où une telle limitation est nécessaire au respect des fins poursuivies par le traitement.

Les dispositions de la présente sous-section ne s’appliquent pas aux traitements des données ayant pour objet la prévention, la recherche, la constatation ou la poursuite d’infractions pénales.

Le traitement des données est confidentiel. Il est effectué par des personnes qui agissent sous l’autorité du responsable du traitement et seulement sur ses instructions.

Aux fins de réalisation du traitement, le responsable doit choisir des personnes présentant, au regard de la préservation de la confidentialité des données, toutes les garanties tant de connaissances techniques et juridiques que d’intégrité personnelle.

Un engagement écrit des personnes amenées à traiter de telles données à respecter la présente loi doit être signé.

Le non-respect de l’obligation de confidentialité dans le traitement des données constitue une violation du secret professionnel. A ce titre, il est passible des peines prévues par le Code Pénal.

Les données ne peuvent faire l’objet d’une opération de traitement de la part d’un sous-traitant, d’une personne agissant sous l’autorité du responsable du traitement ou de celle du sous-traitant, que sur instruction du responsable du traitement.

Le sous-traitant doit présenter des garanties suffisantes pour assurer la mise en œuvre des mesures de sécurité et de confidentialité mentionnées à l’article 111 ci-dessus.

Cette exigence ne décharge pas le responsable du traitement de son obligation de veiller au respect de ces mesures.

Le contrat liant le sous-traitant au responsable du traitement comporte l’indication des obligations incombant au sous-traitant en matière de protection, de sécurité et de confidentialité des données.

Le responsable du traitement et le sous-traitant mettent en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque, notamment :

• la pseudonymisation et le chiffrement des données ;
• les moyens permettant de garantir la confidentialité, l’intégrité, la disponibilité et la résilience constantes des systèmes et des services de traitement ;
• les moyens permettant de rétablir la disponibilité et l’accès aux données dans des délais appropriés, en cas d’incident physique ou technique ;
• la procédure visant à tester, à analyser et à évaluer régulièrement l’efficacité des mesures techniques et organisationnelles pour assurer la sécurité du traitement.

Le responsable du traitement et le sous-traitant prennent des mesures afin de garantir que toute personne physique, agissant sous leur autorité, qui a accès à des données, ne les traite pas, excepté sur instruction du responsable du traitement.

Lorsqu’un traitement doit être effectué pour le compte d’un responsable du traitement, celui-ci fait uniquement appel à des sous-traitants qui présentent les garanties suffisantes, aux plans technique et organisationnel, afin d’assurer la protection des droits de la personne concernée.

Le sous-traitant ne peut recruter un autre sous-traitant qu’après autorisation écrite, spécifique ou générale, du responsable du traitement.

La relation entre le sous-traitant et le responsable du traitement est régie par un contrat ou tout autre acte juridique qui précise l’objet, la durée, la nature, la finalité du traitement, le type de données, les catégories de personnes concernées, les obligations et les droits du responsable du traitement.

Le contrat ou tout autre acte juridique, prévoit notamment que le sous-traitant :

• ne traite les données que sur instruction documentée du responsable du traitement, y compris lorsqu’il envisage un transfert de données vers un pays tiers ou une organisation internationale ;
• veille à ce que les personnes autorisées à traiter les données s’engagent à respecter les obligations de confidentialité ;
• prend toutes les mesures requises en vertu de l’article 111 de la présente loi ;
• respecte les conditions prévues par l’article 117 de la présente loi pour le recrutement d’un autre sous-traitant ; tient compte de la nature du traitement et apporte son soutien au responsable du traitement à l’effet de s’acquitter de son obligation de donner suite aux demandes du droit d’accès prévu au chapitre II de la présente loi ;
• respecte les obligations concernant la sécurité du traitement, la notification à l’Autorité et la communication à la personne concernée d’une violation des données, l’analyse d’impact relative à la protection des données et la consultation préalable de l’APDPVP lorsque le traitement présente un risque élevé ;
• renvoie toutes les données au responsable du traitement ou les supprime au terme de la prestation de services ;
• met à la disposition du responsable du traitement toute information nécessaire attestant du respect des obligations prévues au présent article, en vue de la réalisation des audits et des inspections par le responsable du traitement ou d’un auditeur mandaté ;
• informe immédiatement, par tout moyen laissant trace, le responsable du traitement de la non-conformité d’une instruction à la présente loi.

Lorsqu’un sous-traitant recrute un autre sous-traitant pour mener des activités de traitement spécifiques pour le compte du responsable du traitement, les mêmes obligations en matière de protection des données que celles fixées dans le contrat ou dans un autre acte juridique entre le responsable du traitement et le sous-traitant s’appliquent à cet autre sous-traitant par contrat ou au moyen d’un autre acte juridique.

Lorsque cet autre sous-traitant ne remplit pas ses obligations en matière de protection des données, le sous-traitant initial demeure pleinement responsable de l’exécution par l’autre sous-traitant de ses obligations.

Le contrat ou l’autre acte juridique se présente sous forme écrite, y compris en format électronique.

Le responsable du traitement ainsi que le sous-traitant doivent prendre des mesures de sécurité appropriées contre l’accès accidentel ou non autorisé aux données à caractère personnelles, leur destruction, perte, utilisation, modification ou divulgation.

Il est tenu de notifier sans délai excessif, à tout le moins à l’APDPVP, les violations des données susceptibles de porter gravement atteintes aux droits et libertés fondamentaux des personnes concernées.

Le responsable du traitement est tenu de prendre toute mesure utile pour assurer la pérennité des données. Les données doivent être collectées pour des finalités déterminées, explicites et légitimes et ne peuvent pas être traitées ultérieurement de manière incompatible avec ses finalités.

Elles doivent être adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et traitées ultérieurement.

Elles doivent être conservées pendant une durée qui n’excède pas la période nécessaire aux finalités pour lesquelles elles ont été collectées ou traitées. Au-delà de cette période requise, les données ne peuvent faire l’objet d’une conservation qu’en vue de répondre spécifiquement à un traitement à des fins historiques, statistiques ou de recherches en vertu des dispositions légales.

Sauf consentement exprès de la personne concernée, les données à caractère personnel recueillies par les prestataires de service de certification électronique pour les besoins de la délivrance et de la conservation des certificats liés aux signatures électroniques doivent l’être directement auprès de la personne concernée et ne peuvent être traitées que pour les fins en vue desquelles elles ont été recueillies.

Le responsable du traitement ou, le cas échéant, son représentant, tient un registre des activités de traitement effectuées sous sa responsabilité.

Ce registre comporte notamment les informations suivantes :

• le nom et les coordonnées du responsable du traitement et, le cas échéant, ceux du responsable conjoint du traitement, du représentant du responsable du traitement et du délégué à la protection des données ;
• les finalités du traitement ;
• la description des catégories de personnes concernées et des catégories de données collectées et traitées ;
• les catégories de destinataires auxquels les données ont été ou sont communiquées, y compris les destinataires dans des pays tiers ou des organisations internationales ;
• les transferts de données vers un pays tiers ou une organisation internationale, le cas échéant ;
• les délais prévus pour l’effacement des données, dans la mesure du possible ;
• la description générale des mesures techniques et organisationnelles mises en place.

Le sous-traitant ou, le cas échéant, son représentant, tient un registre comportant les informations relatives aux catégories d’activités de traitement effectuées pour le compte du responsable du traitement.

Ce registre comprend notamment les informations suivantes :

• le nom et les coordonnées du ou des sous-traitants du responsable du traitement pour le compte duquel le sous-traitant agit ainsi que, le cas échéant, les noms et les coordonnées du représentant du responsable du traitement ou de son sous-traitant et ceux du délégué à la protection des données ;
• les catégories de traitement effectuées pour le compte du responsable du traitement ;
• les transferts de données vers un pays tiers ou une organisation internationale, le cas échéant ;
• la description générale des mesures techniques et organisationnelles mises en place.

Les registres prévus par les articles 119 et 120 se présentent sous une forme écrite, y compris le format électronique.

Le responsable du traitement ou le sous-traitant et, le cas échéant, leurs représentants mettent le registre à la disposition de l’Autorité.

Les dispositions prévues par les articles 119 et 120 ne s’appliquent pas à une entreprise ou à une organisation comptant moins de 10 employés, sauf si le traitement effectué :

• présente des risques pour les droits et libertés des personnes concernées ;
• n’est pas occasionnel ;
• porte notamment sur les données sensibles, ou les données relatives aux condamnations aux infractions pénales.

Un délégué à la protection des données peut être désigné au sein ou en dehors des organismes publics ou privés.

Il peut s’agir des personnes physiques ou morales.

En cas de désignation d’une personne morale, elle doit répondre aux conditions suivantes :

• être une personne morale de droit Gabonais ;
• être à jour avec les impôts et les cotisations sociales ;
• exercer au moins depuis trois ans les activités dans le domaine du droit, de l’informatique et des télécommunications ;
• produire une police d’assurance couvrant les risques professionnels liés à l’activité de protection des données personnelles ;
• disposer de personnels ayant au moins le profil d’un délégué à la protection des données personnelles.

La personne morale peut être désignée par un ou plusieurs responsables de traitement et peut exercer ses missions auprès de ces derniers sous le contrôle de l’Autorité de Protection.

Les délégués à la protection des données sont agréés par l’APDPVP sur la base d’un cahier des charges et inscrits sur une liste d’aptitude.

Le responsable du traitement et le sous-traitant désignent un délégué à la protection des données lorsque :

• le traitement est effectué par une autorité publique ou un organisme public, à l’exception des juridictions agissant dans le cadre de l’exercice de leur fonction juridictionnelle ;
• les activités de base du responsable du traitement ou du sous-traitant consistent en des opérations de traitement qui, du fait de leur nature, de leur portée et de leurs finalités, exigent un suivi régulier et systématique à grande échelle des personnes concernées ;
• les activités de base du responsable du traitement ou du sous-traitant consistent en un traitement à grande échelle de données sensibles et de données relatives aux condamnations liées aux infractions pénales.

Un groupe d’entreprises peut désigner un seul délégué à la protection des données, qui doit être facilement joignable à partir de chaque lieu d’établissement.

Lorsque le responsable du traitement ou le sous-traitant est une autorité publique ou un organisme public, un seul délégué à la protection des données peut être désigné pour plusieurs autorités ou organismes publics.

Le responsable du traitement ou le sous-traitant, les associations et les autres organismes représentant des catégories de responsables du traitement ou de sous-traitants différents de ceux prévus par l’article 125, peuvent désigner un délégué à la protection des données qui veille à la mise en œuvre de la présente loi.

Le délégué à la protection des données peut être un membre du personnel du responsable du traitement ou du sous-traitant, ou exercer ses missions sur la base d’un contrat de service.

Le délégué à la protection des données est désigné sur la base de ses qualités professionnelles et, en particulier, de ses connaissances spécialisées du droit et des pratiques en matière de protection des données, et de sa capacité à accomplir les missions prévues par l’article 138 ci-dessous.

Le responsable du traitement ou le sous-traitant notifie la désignation du délégué à la protection des données à l’APDPVP.

Le délégué à la protection des données est associé à toutes les questions relatives à la protection des données.

Le responsable du traitement et le sous-traitant mettent à la disposition du délégué à la protection des données personnelles les ressources nécessaires à la réalisation des missions prévues par l’article 138, permettant à ce dernier d’apprécier les conditions de mise en œuvre des traitements, en lui facilitant l’accès aux données et aux opérations de traitement.

Le responsable du traitement et le sous-traitant aident le délégué à exercer les missions prévues par l’article 140 ci-dessous en lui fournissant les ressources nécessaires à l’exercice de ses missions ainsi que l’accès aux données et aux opérations de traitement, tout en lui permettant d’entretenir ses connaissances spécialisées.

Le délégué à la protection des données dispose d’une liberté d’organisation de son champ d’action, sous l’autorité du responsable du traitement ou sous celle du sous-traitant. Il ne peut être relevé de ses fonctions ou pénalisé par le responsable du traitement ou par le sous-traitant pour l’exercice de ses missions qu’après avis de l’APDPVP.

Le délégué à la protection des données présente son rapport au niveau le plus élevé de la direction du responsable du traitement ou du sous-traitant.

Le délégué à la protection des données reçoit les requêtes des personnes concernées pour toutes les questions relatives au traitement de leurs données et à l’exercice des droits que leur confère la présente loi.

Le délégué à la protection des données est soumis au secret professionnel et à l’obligation de confidentialité dans le cadre de l’exercice de ses missions.

Le délégué à la protection des données peut se voir confier par le responsable du traitement ou le sous-traitant, des missions et des taches autres que celles relevant de son domaine de compétence. Dans ce cas, le responsable du traitement ou le sous-traitant veille à ce que ces autres missions et ces tâches n’entraînent pas de conflit d’intérêts.

Le délégué à la protection des données est responsable de la conformité du traitement des données. Ses missions couvrent l’ensemble des traitements mis en œuvre par l’organisme qui l’a désigné.

À ce titre, il est notamment chargé :

• d’informer et conseiller le responsable du traitement ou le sous-traitant, ainsi que les personnes de l’organisme qui procèdent au traitement des données sur les obligations qui leur incombent, en vertu de la présente loi ;
• de contrôler le respect de la présente loi et des règles internes mises en place par le responsable du traitement ou le sous-traitant en matière de protection de données y compris la répartition des responsabilités, la sensibilisation et la formation du personnel qui participent aux opérations de traitement et d’audits ;
• de rendre un avis sur les études d’analyse d’impact relative à la protection des données et de vérifier l’exécution de celle-ci ;
• de coopérer avec l’APDPVP, y compris en cas de consultation préalable par le responsable du traitement lorsqu’une analyse d’impact relative à la protection des données est effectuée et de mener des consultations, le cas échéant, sur tout autre sujet.

Le délégué à la protection des données est le point focal entre l’APDPVP et le responsable du traitement ou le sous-traitant qui l’a désigné.

À ce titre, il est notamment chargé d’organiser des formations concernant le traitement des données au sein de l’organe et de tenir un registre du traitement des données personnelles du responsable du traitement ou le sous-traitant.

Le délégué dispose, pour garantir l’effectivité de ses missions, d’un bureau, des moyens matériels, organisationnels et des ressources suffisantes lui permettant d’exercer ses missions.

Les missions du délégué à la protection des données prennent fins en cas de :

• manquement à ses missions constaté par le responsable de traitement et signalé à l’Autorité ;
• démission ;
• décision de remplacement prise par le responsable de traitement ;
• faillite, liquidation ou redressement judiciaire ;
• décès ou indisponibilité permanente ;
• rupture du lien contractuel avec le responsable de traitement.

Le délégué à la protection des données tient compte, dans l’accomplissement de ses missions, du risque associé aux opérations de traitement, en raison de la nature, de la portée, du contexte et des finalités du traitement.

Dans l’exercice de ses fonctions, le délégué à la protection des données personnelles jouit de la même protection que les représentants du personnel.

En cas de violation de données, le responsable du traitement informe, sans délai, l’APDPVP.

Cette information porte sur :

• la nature de la violation des données y compris, si possible, les catégories et le nombre approximatif de personnes concernées par la violation, les catégories et le nombre approximatif d’enregistrements de données concernées ;
• le nom et les coordonnées du délégué à la protection des données ou d’un autre point de contact auprès duquel des informations supplémentaires peuvent être obtenues ;
• les conséquences probables de la violation de données ;
• les mesures prises ou celles que le responsable du traitement se propose de prendre pour remédier à la violation des données, y compris, le cas échéant, les mesures pour en atténuer les éventuelles conséquences négatives.

Le responsable du traitement accompagne la note d’information de toute pièce probante justifiant de la violation des données.

Le sous-traitant notifie, sans délai, au responsable du traitement toute violation de données dès qu’il en a pris connaissance.

Lorsqu’une violation de données est susceptible d’engendrer un risque élevé pour les droits et libertés d’une personne physique, le responsable du traitement informe la personne concernée dans les meilleurs délais.

La communication à la personne concernée visée à l’article 145 ci-dessus décrit, en des termes clairs et simples, la nature de la violation de données et contient au moins les informations et mesures visées à l’article 142.

La communication à la personne concernée visée à l’article 145 n’est pas nécessaire si l’un des cas suivants se présente :

• le responsable du traitement a pris et mis en œuvre les mesures de protection des données affectées par la violation ;
• le responsable du traitement a pris des mesures préventives contre tout risque élevé pour les droits et libertés des personnes concernées ;
• le responsable du traitement constate que la communication exige des efforts disproportionnés. Il procède alors à une communication publique ou prend une mesure similaire permettant aux personnes concernées d’être informées de manière tout aussi efficace ;

Si le responsable du traitement n’a pas déjà communiqué aux personnes concernées la violation de leurs données la concernant, l’APDPVP peut, après avoir examiné la gravité de la violation, mettre en demeure le responsable du traitement d’informer également les intéressés.

Chaque responsable de traitement tient à jour un registre des violations de données, qui mentionne notamment leurs modalités, leur incidence et les mesures prises pour y remédier. Il le tient, à toutes fins utiles, à la disposition de l’APDPVP.