Loi n° 025/2023 du 9 juillet 2023 portant modification de la loi n° 001/2011 du 25 septembre 2011 relative à la protection des données à caractère personnel

L’Autorité de Protection veille au respect d’intérêt public, tel qu’un niveau élevé de la sécurité et des droits fondamentaux, assurant ainsi la protection des consommateurs, des droits des utilisateurs et de la vie privée.

À ce titre, la collecte, l’utilisation, la communication et le couplage des renseignements des personnes concernées, engendrés par le progrès technologique, notamment : les moteurs de recherche, les sites web, les plateformes, les applications en ligne, sont soumis à une mise en conformité définie par une norme.

Ils sont tenus au préalable de procéder aux formalités de déclaration auprès l’Autorité de Protection, avant toute exploitation de données personnelles et d’informations relatives à la vie privées en ligne.

Est considéré comme données personnelles ou données personnelles à l’ère numérique, toutes informations qui se rapportent à une personne adulte ou enfant. Il s’agit également de toutes les traces laissées par une personne sous une forme ou une autre, à chaque fois qu’elle entre en contact avec le monde numérique.

Les présentes dispositions visent à en cadrer l’Intelligence Artificielle de façon à la rendre digne de confiance, centré sur l’humain, l’éthique durable et inclusive.

Elles s’appliquent aux technologies d’Intelligence Artificielle conçues ou utilisés en République Gabonaise par tout opérateur traitant sur le marché.

Tous systèmes utilisant l’Intelligence Artificielle et qui inclus des données personnelles ou toutes informations relatives à la vie privée, doit faire l’objet d’un avis ou d’une déclaration et leurs modalités d’exploitation définies par une norme.

Lorsque des données personnelles ou des informations relatives à la vie privée constituent un ensemble de traces numériques qu’une personne ou une collectivité laisse sur internet, notamment : un pseudo, un nom, des images, des vidéos, des adresses IP, des favoris, des commentaires, constituent une identité numérique. Sa mise en exploitation est soumise à un avis ou à une autorisation délivrée par l’Autorité de Protection.

Toutes données personnelles ou informations relatives à la vie privée, incluses ou captées dans un système ou par un appareil notamment un drone, doit faire l’objet d’un avis ou d’une déclaration, leurs modalités d’exploitation définies par une norme.

Tout traitement de données personnelles ou d’informations relatives à la vie privée, contenu dans un système, une machine ou dans un objet connecté, est soumis à une déclaration et leurs modalités d’exploitation définies par une norme.

Tout traitement de données personnelles et ou d’informations relatives à la vie privée, inclus dans un système ou dans un environnement de reconnaissance faciale doit faire l’objet d’un avis ou d’une déclaration et leurs modalités d’exploitation définies par une norme.

Toute collecte, utilisation des données personnelles et ou toutes informations relatives à la vie privée dans un dispositif ou un système de vidéoprotection, vidéosurveillance, télévidéosurveillance ainsi que la télémédecine, doit faire l’objet d’une déclaration et leurs modalités d’exploitation définies par une norme.

Lorsque les données personnelles d’une personne physique par un dispositif permettent, de vérifier l’origine d’une information, de l’authentifier par signature électronique, leurs traitements font l’objet de déclaration et leurs modalités définies par une norme.

Tout traitement des données personnelles relatif à l’inscription dans un registre national à l’identification au sein d’un système d’information national, notamment un identifiant unique public, doit requérir l’avis préalable de l’APDPVP.

Les données personnelles inscrites au registre d’un secteur d’activité de traitement, contenu dans un numéro d’identification et attribué à une personne au sein d’un système d’information spécifique, est considéré comme identifiant sectoriel. Son traitement est soumis à une mise en conformité préalable auprès de l’Autorité de Protection des Données Personnelles et de la Vie Privée.

Les Plateformes web de gestion, utilisateurs de données personnelles et ou d’informations relatives à la vie privée doivent faire l’objet de mise en conformité auprès de l’Autorité.

Au sens de la présente loi, conformément aux dispositions de l’article 1er de la Convention Internationale relative aux Droits des Enfants, un enfant s’entend de tout être humain âgé de moins de dix-huit ans, sauf si la majorité est atteinte plus tôt en vertu de la législation qui lui est applicable.

Nul enfant ne fera l’objet d’immixtion arbitraire ou illégale dans sa vie privée y compris en ligne, sa famille, son domicile ou sa correspondance, ni d’atteinte illégale à son honneur ainsi qu’à sa réputation sur internet.

Toute collecte et traitement de données personnelles des enfants par des responsables de traitement notamment : les moteurs de recherches, les sites web, les plateformes, dans le cadre d’un service proposé sur internet, à travers des applications et services connectés téléchargés ainsi que la géolocalisation, n’est licite qu’à la condition d’avoir obtenue l’accord préalable de leurs parents ou de la personne qui exerce la responsabilité parentale.

Toute collecte de données personnelles et d’informations relatives à la vie privée des enfants recueillies de manière trompeuse et transmis à des tiers sans le consentement éclairé préalable de l’autorité parentale, est interdit et sanctionné conformément à la présente loi et sans préjudice des autres lois en vigueur.

Les informations destinées aux enfants doivent être rédigées en des termes qui soient facilement compréhensibles par eux et donc adaptées à leur niveau de compréhension et à leurs capacités.

Le profilage des enfants est interdit, sauf conditions exceptionnelles liées à l’intérêt supérieur de l’enfant ou à des motifs d’intérêt public, après avis motivé ou autorisation de l’APDPVP.

Sans préjudice d’autres dispositions en vigueur en la matière, tout contrat passé par un enfant dans le cadre d’un service proposé sur internet est déclaré comme nul, dès lors qu’il lui porte préjudice.

Une demande devant la justice compétente, évalue les conséquences pour l’enfant.

Tout responsable de traitement, fournisseurs de service en ligne, applications, sites web et plateformes destinés aux enfants est tenu d’inclure dans la conception de ses programmes, les mesures techniques nécessaires de protection et de confidentialité des données et des informations relatives à la vie privée telles que des systèmes de marquage et de filtrage.

Tout responsable de traitement, fournisseurs de service en ligne, doit établir une distinction claire entre la publicité, le divertissement et les jeux divers, ainsi que, lorsque l’utilisateur est susceptible de conclure une convention par le biais de l’Internet.

Tout responsable de traitement, fournisseurs de services en ligne doit établir une distinction claire entre le marketing visant les enfants et le marketing de biens et services uniquement destinés aux adultes.

Pour la sauvegarde de la vie privée des enfants, les annonces publicitaires ou la publicité visant les enfants sur internet par les fournisseurs de services en ligne, ne doit avoir d’effet dommageable pour ces derniers. À ce titre, les fournisseurs de services en ligne ne doivent exhorter les enfants à acheter des biens ou à conclure des conventions par le biais de l’Internet.

Les fournisseurs de services en ligne ne doivent inclure dans les sites web des lots, récompenses, conçus pour inciter les enfants à rester sur le site ou à prendre part à des activités. De même, il leur est interdit de ne pas inclure des liens vers d’autres sites web non conformes à leurs requêtes.