Loi n° 025/2023 du 9 juillet 2023 portant modification de la loi n° 001/2011 du 25 septembre 2011 relative à la protection des données à caractère personnel

L’interconnexion des systèmes d’information prévus par les tirets 5 et 6 de l’article 81 de la présente loi relevant d’une ou de plusieurs personnes morales gérant un service public et dont les finalités correspondent à des intérêts publics différents fait l’objet d’une autorisation de l’APDPVP.

Il en est de même pour le traitement mis en œuvre par l’Etat aux fins de mettre à la disposition des usagers du service public un ou plusieurs services à distance dans le cadre de la numérisation de l’administration.

L’interconnexion de fichiers ne relevant de personnes privées et dont les finalités principales sont différentes est également soumise à autorisation de l’APDPVP.

La demande d’autorisation d’interconnexion prévue à l’article 81, tirets 5 et 6 de la présente loi comporte notamment les informations suivantes :

• la nature des données relative à l’interconnexion ;
• la finalité pour laquelle l’interconnexion est considérée nécessaire ;
• la durée pour laquelle l’interconnexion est permise ;
• les conditions et les termes de l’interconnexion au regard de la protection des données et de la vie privée.

L’interconnexion des systèmes d’information doit permettre d’atteindre des objectifs légaux ou statutaires présentant un intérêt légitime pour les responsables de traitement. Elle ne peut pas entraîner de discrimination de réduction des droits, libertés et garanties pour les personnes concernées ni être assortie de mesures de sécurité appropriées et doit tenir compte du principe de pertinence des données faisant l’objet de l’interconnexion.

L’autorisation peut être renouvelée par une demande des responsables du traitement.

Les demandes et les autorisations d’interconnexion sont inscrites sur le répertoire des traitements des données mis à la disposition du public.

Un responsable de traitement ne peut transférer des données personnelles vers un autre Etat que sur autorisation de l’APDPVP.

L’APDPVP doit garantir que cet Etat assure un niveau de protection suffisant de la vie privée, des libertés et droits fondamentaux des personnes à l’égard du traitement dont ces données font l’objet ou peuvent faire l’objet.

Le caractère suffisant du niveau de protection assuré par un Etat s’apprécie en fonction notamment des dispositions en vigueur dans cet Etat, des mesures de sécurité qui y sont appliquées, des caractéristiques propres au traitement, telles que ses fins et sa durée, ainsi que de la nature, de l’origine et de la destination des données traitées.

L’APDPVP publie la liste des Etats qui garantissent un niveau de protection suffisant à l’égard de tout transfert de données personnelles.

L’APDPVP peut exercer les pouvoirs prévus au présent chapitre à l’égard des traitements dont les opérations sont mises en œuvre, en tout ou partie, sur le territoire national, y compris lorsque le responsable du traitement est établi sur le territoire d’un autre Etat.

Le responsable d’un traitement peut transférer des données personnelles vers un Etat ne répondant pas aux conditions prévues à l’article 171 ci-dessus si la personne à laquelle se rapportent les données a consenti expressément à leur transfert et le transfert est nécessaire à l’une des conditions suivantes :

• à la sauvegarde de la vie de cette personne ;
• à la sauvegarde de l’intérêt public ;
• au respect d’obligations permettant d’assurer la constatation, l’exercice ou la défense d’un droit en justice ;
• à la consultation, dans des conditions régulières, d’un registre public qui, en vertu des dispositions législatives ou réglementaires, est destiné à l’information du public et est ouvert à la consultation de celui-ci ou de toute personne justifiant d’un intérêt légitime ;
• à l’exécution d’un contrat entre le responsable du traitement et l’intéressé, ou de mesures précontractuelles prises à la demande de celui-ci ;
• à la conclusion ou à l’exécution d’un contrat conclu ou à conclure, dans l’intérêt de la personne concernée, entre le responsable du traitement et un tiers.

Il peut également être fait exception à l’interdiction prévue à l’article 172 ci-dessus, par décision de l’APDPVP ou, s’il s’agit d’un traitement mentionné à l’article 84 de la présente loi, par décret pris après avis motivé et publié de l’APDPVP, lorsque le traitement garantit un niveau de protection suffisant de la vie privée ainsi que des libertés et droits fondamentaux des personnes, notamment en raison des clauses contractuelles ou règles internes dont il fait l’objet.

L’APDPVP porte à la connaissance des autres Etats, les décisions d’autorisation de transfert des données qu’elle prend au titre de l’alinéa précédent.

L’APDPVP délivre un récépissé avec mention de l’interdiction de procéder au transfert des données personnelles, lorsqu’elle constate qu’un Etat n’assure pas un niveau de protection suffisant à l’égard d’un transfert des données.

À cet effet, elle en informe sans délai les autorités officielles et le public.

L’APDPVP délivre un récépissé et enjoint au responsable du traitement, selon les cas, de suspendre ou d’annuler le transfert des données, lorsqu’elle est saisie d’une déclaration déposée en application de l’article 79 de la présente loi, faisant apparaître que des données seront transférées vers cet Etat.

L’APDPVP notifie au responsable du traitement la cessation de la suspension du transfert des données personnelles, lorsqu’elle constate que l’Etat vers lequel le transfert est envisagé assure désormais un niveau de protection suffisant.

Les flux transfrontaliers des données à caractère personnel entre responsable de traitement de données approuvés par une clause contractuelle, doivent garantir le respect des exigences relatives au transfert des données personnelles vers un tiers partie d’une institution régionale ou sous régionale intégrant la libre circulation des biens et des personnes.

Dans ce cas, les clauses contractuelles contiennent les normes de protection des données sur la base de la loi nationale.