Loi n° 025/2023 du 9 juillet 2023 portant modification de la loi n° 001/2011 du 25 septembre 2011 relative à la protection des données à caractère personnel

Toute personne a le droit de disposer d’un recours non juridictionnel et juridictionnel en cas de violation ou d’atteinte à sa personnalité en matière de données personnelles, conformément aux textes en vigueur.

L’APDPVP n’est pas compétente pour accorder une indemnisation aux personnes concernées ayant subi un préjudice en cas de violation ou d’atteintes de ses données personnelles. Pour toutes indemnisations, la personne concernée doit saisir les tribunaux de droit commun qui statuent sur l’existence et l’évaluation du préjudice.

Les membres de l’APDPVP ainsi que les agents de service assermentés et habilités ont accès, pour l’exercice de leurs missions, aux lieux, locaux, enceintes, installations ou établissements servant à la mise en œuvre d’un traitement des données personnelles et qui sont à usage professionnel, à l’exclusion des parties de ceux-ci affectées au domicile privé.

Les agents cités à l’alinéa 1er ci-dessus sont accompagnés d’Officiers de Police Judiciaire lors des missions de contrôle.

Le Procureur de la République territorialement compétent en est préalablement informé.

En cas d’opposition du responsable des lieux, la visite ne peut se dérouler qu’avec l’autorisation du Président du tribunal dans le ressort duquel sont situés les locaux à visiter ou du juge délégué par lui.

Le Président du tribunal est saisi à la requête du Président de l’APDPVP. Il statut par une ordonnance motivée.

Les membres de l’APDPVP et les agents peuvent demander communication de tous documents nécessaires à l’accomplissement de leur mission, quel qu’en soit le support et en prendre copie.

Ils peuvent recueillir, sur place ou sur convocation, tout renseignement et toute justification utile, accéder aux programmes informatiques, aux données et demander la transcription de tout traitement dans des documents appropriés directement utilisables pour les besoins du contrôle.

Les commissaires et les agents assermentés et habilités peuvent être assistés, lors des missions de contrôle, par des experts choisis par l’APDPVP.

Il est dressé contradictoirement un procès-verbal des vérifications et visites menées en application des articles ci-dessus.

L’Autorité apprécie et prononce sans graduation, selon le manquement constaté à la présente loi, les mesures ou les sanctions suivantes :

• un avertissement à l’égard du responsable du traitement ne respectant pas les obligations découlant de la présente loi ;
• une mise en demeure de faire cesser les manquements constatés dans le délai qu’elle fixe ;
• une sanction pécuniaire.

Si le responsable du traitement ne se conforme pas à la mise en demeure qui lui a été adressée, il peut faire l’objet d’une convocation par audition. Après débat contradictoire, l’Autorité pour la Protection des Données Personnelles et de la Vie Privée peut prononcer à son encontre les sanctions suivantes :

• suspension provisoire de collecter et de traiter les données personnelles pour une durée de trois mois à l’expiration de laquelle, la suspension devient définitive ;
• amende de un million à cent millions de Francs CFA.

Le montant de la sanction pécuniaire prévue à l’alinéa ci-dessus est proportionné à la gravité des manquements commis et aux avantages tirés de ce manquement.

Lors du premier manquement, il ne peut excéder quatre-vingt-dix-huit millions quatre cent mille francs CFA. En cas de récidive, il ne peut excéder trois cents millions de francs CFA ou, s’agissant d’une entreprise, 5 % du chiffre d’affaires hors taxes du dernier exercice clos dans la limite de cent quatre-vingt-seize millions de francs CFA.

Lorsque l’APDPVP a prononcé une sanction pécuniaire devenue définitive avant que le juge pénal ait statué définitivement sur les mêmes faits ou des faits connexes, celui-ci peut ordonner que la sanction pécuniaire s’impute sur l’amende qu’il prononce.

Le recouvrement des pénalités se fait conformément à la législation relative au recouvrement des créances de l’Etat en matière d’impôts.

L’APDPVP peut rendre publics les avertissements qu’elle prononce. Elle peut également, en cas de mauvaise foi du responsable du traitement, ordonner l’insertion des sanctions qu’elle prononce dans une publication, journaux et supports qu’elle désigne. Les frais sont supportés par les personnes sanctionnées.

Un responsable de traitement qui dispose d’un récépissé de déclaration ou d’une autorisation et qui ne respecte pas les obligations découlant de la présente loi encourt, après mise en demeure, l’une des sanctions suivantes :

• la suspension du récépissé ou de l’autorisation pour une durée n’excédant pas deux mois ;
• le retrait définitif du récépissé ou de l’autorisation à l’expiration du délai de suspension ;
• une amende de un million à cent millions de francs CFA.

L’amende est proportionnelle à la gravité du manquement et aux avantages qui en sont tirés.

Un responsable de traitement qui ne dispose pas d’un récépissé de déclaration ou d’une autorisation est un responsable de traitement de fait.

Ce dernier encourt une amende d’un montant de un million à cent millions de francs CFA, assortie d’une mise en demeure portant régularisation dans un délai fixé par l’Autorité.

L’APDPVP peut, lorsqu’elle constate que la mise en œuvre d’un traitement ou l’exploitation des données entraînent une violation de droits et libertés, prononcer :

• l’interruption de la mise en œuvre du traitement pour une durée maximale de trois mois ;
• le verrouillage de certaines données traitées pour une durée maximale de trois mois ;
• l’interdiction temporaire du traitement pour une période n’excédant pas trois mois ;
• l’interdiction définitive d’un traitement contraire aux dispositions de la présente loi.

L’APDPVP peut, à la demande d’une autorité exerçant des compétences analogues, procéder à des vérifications dans les conditions prévues à la section I du présent chapitre, sauf s’il s’agit d’un traitement mentionné à l’article 83.

L’APDPVP est habilitée à communiquer les informations qu’elle recueille ou qu’elle détient, à leur demande, aux autorités exerçant des compétences analogues.

Les sanctions et les décisions prises par l’Autorité sont susceptibles de recours devant le Conseil d’Etat, conformément aux dispositions des textes en vigueur.

Toute personne concernée peut intenter une action devant les juridictions compétentes contre un responsable de traitement ou un sous-traitant après saisine de l’APDPVP.

Elle peut, aux fins de défendre ses intérêts, mandater ou se faire représenter par une organisation non gouvernementale ou une association œuvrant dans le domaine de la protection des données.

Les infractions pénales résultants de la violation des dispositions de la présente loi, sont réprimées conformément aux dispositions du Code pénal.

Est puni d’une peine d’emprisonnement de six mois à un an et d’une amende de un millions à dix millions de francs CFA, le fait d’entraver l’action de l’APDPVP soit en :

• s’opposant à l’exercice des missions confiées à ses membres ou aux agents habilités ;
• refusant de communiquer à ses membres ou aux agents habilités, les renseignements et documents utiles à leur mission, ou en dissimulant lesdits documents ou renseignements, ou en les faisant disparaître ;
• communiquant des informations qui ne sont pas conformes au contenu des enregistrements tel qu’il était au moment où la demande a été formulée ou qui ne présentent pas ce contenu sous une forme directement accessible.

En cas de récidive, les peines prévues à l’alinéa précédent sont portées au double.

En cas de saisine de l’APDPVP, le Procureur de la République informe le Président de l’APDPVP de toutes les poursuites relatives aux infractions au Code Pénal et des suites qui leurs sont données. Il lui indique la date et l’objet de l’audience de jugement par lettre recommandée adressée au moins dix jours avant cette date.

La juridiction d’instruction ou de jugement peut appeler le Président de l’Autorité ou son représentant à déposer ses observations ou à les développer oralement à l’audience.

L’APDPVP est de droit, expert près de la justice gabonaise en matière de données personnelles et de la vie privée.