Loi n° 1/2016 du 22 juillet 2016 relative à la protection des données personnelles (Ley n° 1/2016, de fecha 22 de julio, de protección de datos personales)

1. Le ministre des Télécommunications et des Nouvelles technologies, dans le cadre de ses fonctions, exerce le pouvoir de sanction prévu par la présente loi à l’encontre de tout contrevenant, après l’ouverture et l’instruction de la procédure de sanction par la Direction générale des nouvelles technologies, ou, le cas échéant, par l’Organe de régulation de la protection des données à caractère personnel, sur .

2. Les décisions rendues par le ministre des Télécommunications et des Nouvelles technologies dans le cadre de la procédure de sanction doivent être motivées et fondées ; elles sont susceptibles de recours hiérarchique devant le Conseil des ministres dans un délai de trente jours à compter de la date de leur notification.

3. L’Autorité de contrôle de la protection des données à caractère personnel exercera également le pouvoir de sanction dans le cadre de ses compétences.

4. Le ministère des Télécommunications et des Nouvelles Technologies et l’Autorité de contrôle de la protection des données à caractère personnel procèdent à l’inspection et au contrôle des fichiers destinés au traitement des données à caractère personnel, en recueillant toutes les informations nécessaires à l’accomplissement de leurs missions, en exigeant la présentation ou l’envoi de documents et de données et en les examinant sur le lieu où ils sont conservés, et en accédant aux locaux où sont installés les équipements physiques et logiques de traitement des données à caractère personnel à des fins d’inspection, de recoupement et de vérification.

5. Les fonctionnaires chargés de ladite inspection sont considérés comme des autorités publiques dans l’exercice de leurs fonctions et sont tenus de garder le secret sur les informations dont ils ont connaissance dans l’exercice de ces fonctions, même après avoir cessé d’exercer celles-ci.

1. Les autorités publiques, civiles et militaires, apporteront la protection et l’assistance nécessaires aux agents dans l’exercice de leurs fonctions d’inspection, lorsque cela s’avère nécessaire et est requis à cette fin.

2. Les responsables des fichiers de données à caractère personnel et de leur traitement sont tenus de répondre aux demandes des fonctionnaires chargés de l’inspection et de leur apporter toute la collaboration nécessaire à l’exercice de leurs fonctions, en se présentant, en personne ou par l’intermédiaire d’un représentant, au lieu, à la date et à l’heure fixés pour la conduite des opérations, en leur facilitant l’accès à leurs installations et à tout lieu qu’ils indiquent, et en fournissant ou en présentant les documents, livres, données, rapports, registres et autres pièces demandés et requis pour examen.

3. Nonobstant ce qui précède, pour pénétrer au domicile personnel des responsables des fichiers ou de leurs employés, aux fins d’une inspection ou d’une enquête sur une infraction, le consentement de ces derniers ou l’autorisation judiciaire appropriée sera requis.

1. Les responsables des fichiers et les sous-traitants chargés du traitement des données à caractère personnel sont responsables de l’activité de ces fichiers et sont soumis au régime de sanctions administratives prévu par la présente loi, sans préjudice des responsabilités qu’ils pourraient encourir en vertu des dispositions civiles, pénales, fiscales et sociales.

2. Les responsables des fichiers de données à caractère personnel dont ils dépendent sont solidairement responsables de l’activité de leurs fichiers et des infractions commises par les employés dans le cadre de l’exercice du pouvoir de direction et de commandement de l’entreprise.

Aux fins de la sanction, les infractions susceptibles d’être commises dans le cadre de la prestation de services de traitement des données à caractère personnel sont classées en infractions légères, graves et très graves.

Sont considérées comme des infractions légères :

• a) Le fait de ne pas demander l’enregistrement du fichier de données à caractère personnel au Registre général de la protection des données.
• b) Le retard dans la communication des informations, documents, données, rapports ou éléments d’information requis par l’autorité de contrôle compétente, lorsque ce retard ne revêt pas un caractère grave.
• c) Le non-respect de l’obligation d’information, de notification ou de mise en demeure de la personne concernée au sujet du traitement de ses données à caractère personnel, lorsque celles-ci sont obtenues auprès de la personne concernée elle-même.
• d) Le manque d’attention adéquate envers les personnes concernées et les personnes visées.
• e) La transmission de données à caractère personnel à un sous-traitant sans avoir conclu le contrat correspondant ni lui avoir donné les instructions nécessaires pour respecter l’obligation de ne pas les utiliser à d’autres fins et de ne pas les communiquer à des tiers.
• f) Tout autre manquement à la présente loi et à la législation en vigueur visant à garantir le traitement efficace des données à caractère personnel, lorsqu’il n’est pas considéré comme une infraction grave ou très grave.

Constituent des infractions graves :

• a) Le traitement de données à caractère personnel non spécialement protégées sans le consentement de la personne concernée, lorsque celui-ci est nécessaire, ou leur utilisation ultérieure, en violation des principes et garanties d’exactitude, de véracité, de pertinence et autres établis par la présente loi, sauf lorsque cela est qualifié d’infraction très grave.
• b) Le fait d’entraver, d’empêcher ou de faire obstacle à l’exercice des droits d’accès, de rectification, de suppression et d’opposition par la personne concernée.
• c) Le non-respect de l’obligation d’information, de notification ou de mise en demeure de la personne concernée concernant le traitement de ses données à caractère personnel lorsque celles-ci n’ont pas été obtenues auprès de la personne concernée elle-même.
• d) Le non-respect des mesures et conditions de sécurité requises pour la conservation des fichiers, locaux, programmes ou équipements contenant des données à caractère personnel.
• e) Le non-respect des demandes ou des avertissements de l’autorité compétente en matière de protection des données à caractère personnel ou le refus de lui fournir les documents, rapports, données et informations qu’elle sollicite.
• f) La communication, la cession ou le transfert de données à caractère personnel sans en avoir l’autorisation, sauf si cela constitue une infraction très grave.
• g) Ne pas donner suite aux demandes, plaintes et réclamations des personnes concernées ou affectées.
• h) La commission de l’une des infractions prévues à l’article suivant, lorsque les circonstances ne permettent pas de la qualifier de très grave.
• i) La commission de deux infractions légères ou plus sanctionnées au cours d’une période d’un an.

Sont considérées comme des infractions très graves :

• a) La création de fichiers ou la prestation de services de traitement de données à caractère personnel, ou le fait d’être titulaire d’un fichier de données à caractère personnel sans remplir les conditions requises par la présente loi, sans disposer de la décision, de l’autorisation ou de l’agrément administratif obligatoire, ou sans être inscrit au Registre général de la protection des données.
• b) L’obtention de données à caractère personnel par des moyens trompeurs ou frauduleux.
• c) Le non-respect des obligations découlant du secret, de la confidentialité et de l’inviolabilité de la protection des données à caractère personnel.
• d) Traiter ou céder des données à caractère personnel relatives à la liberté de conscience, à l’appartenance ou à l’idéologie politique, à la santé, à la vie sexuelle, à la race, à l’appartenance tribale ou ethnique, à la religion ou à tout autre élément impliquant une discrimination à l’égard des personnes, sans le consentement exprès et écrit de la personne concernée, ou créer des fichiers exclusivement destinés à contenir ce type de données.
• e) Le refus, l’entrave ou la résistance à se soumettre à un contrôle visant à clarifier des faits relatifs à la protection des données à caractère personnel.
• f) Ne pas mettre fin au traitement illicite de données à caractère personnel alors qu’une injonction préalable a été émise par l’autorité compétente à cet effet.
• g) La commission de deux infractions graves ou plus passibles de sanctions au cours d’une période d’un an.
• h) La communication, la cession ou le transfert international de données à caractère personnel vers des pays n’assurant pas un niveau de protection adéquat et sans l’autorisation requise.

1. Les sanctions applicables aux infractions prévues par la présente loi sont les suivantes :

a) En cas de commission d’infractions mineures :

• 1. un avertissement ;
• 2. un avertissement écrit ;
• 3. une amende comprise entre 200.000 et 500.000 FCFA.

b) En cas d’infractions graves :

• 1. amende comprise entre 500.001 et 5.000.000 FCFA ;
• 2. suspension de l’activité de fichier et de traitement des données à caractère personnel ;
• 3. la mise sous scellés des locaux ou des installations pour une durée n’excédant pas quinze jours ouvrables.

c) En cas d’infractions très graves, une ou plusieurs des sanctions suivantes seront infligées :

• 1. des amendes comprises entre 5.000.001 et 15.000.000 FCFA ;
• 2. la saisie des équipements et autres matériels ;
• 3. la fermeture définitive des locaux et des installations ;
• 4. l’interdiction faite au contrevenant d’exercer l’activité de création de fichiers et de traitement de données à caractère personnel pour une durée d’un an, ou à titre définitif, selon les cas ;
• 5. l’annulation et la révocation de la décision, de l’autorisation ou de la concession administrative relative à la création de fichiers et à leur inscription au Registre général de la protection des données.

2. En cas d’infraction grave ou très grave, lorsque le traitement des données à caractère personnel ou leur communication, leur cession ou leur transfert international est susceptible de porter atteinte aux droits fondamentaux des personnes concernées et à leur droit à la protection des données à caractère personnel, l’autorité de sanction peut exiger des responsables de fichiers de données à caractère personnel, tant publics que privés, qu’ils cessent l’utilisation, la communication, la cession ou le transfert illicite de ces données.

3. Si l’injonction visée au paragraphe précédent n’est pas respectée, l’autorité de sanction peut, par une décision motivée, bloquer lesdits fichiers afin de rétablir les droits portés atteinte des personnes concernées.

Pour l’imposition des sanctions prévues à l’article précédent et la détermination du type de sanction applicable, l’autorité compétente doit tenir compte des circonstances suivantes :

• a) la proportionnalité du préjudice causé et ses répercussions sociales ou économiques ;
• b) l’intentionnalité dans la commission de l’infraction ;
• c) le caractère continu de l’infraction ;
• d) le volume des traitements effectués ;
• e) le montant du bénéfice illicitement obtenu ;
• f) le degré de participation du contrevenant à l’infraction commise ;
• g) la récidive et la répétition des infractions ;
• h) la nature des préjudices causés aux personnes concernées et à des tiers.

1. La procédure applicable pour la constatation des infractions et l’imposition des sanctions se conforme aux principes, règles et normes de la procédure administrative, avec audition de la personne concernée et protection du plaignant.

2. Les opérations de l’Inspection peuvent se dérouler, au choix du greffier, dans tout bureau, local ou service de la personne ou de l’entité inspectée ou de son représentant, ou dans ceux de l’autorité chargée de l’inspection.

3. Les inspecteurs consigneront leurs actes dans des procès-verbaux, des actes de procédure et des rapports, qu’ils transmettront à l’autorité compétente.

4. Au cours de l’instruction de la procédure de sanction, il pourra être donné suite, à la demande des parties ou d’office, aux mesures conservatoires strictement nécessaires pour garantir l’efficacité de la décision susceptible d’être rendue, empêcher la persistance des effets de l’infraction et préserver l’intérêt général. Ces mesures auront un caractère provisoire et pourront consister en la mise sous scellés des locaux ou en le retrait du fichier ou des moyens et équipements utilisés.

1. Lorsque les infractions prévues par la présente loi sont commises dans des fichiers publics, quelle que soit leur nature, l’autorité sanctionnante rendra une décision d’ , établissant les mesures à adopter pour faire cesser ou corriger les effets de l’infraction, et proposant l’ouverture d’une procédure disciplinaire à l’encontre des responsables de l’infraction, le cas échéant. Cette décision est notifiée au responsable du fichier, à l’organe dont il relève hiérarchiquement et aux personnes concernées, le cas échéant.

2. Le responsable du fichier et l’organe dont il relève hiérarchiquement doivent communiquer à l’instance sanctionnante les décisions rendues concernant les mesures et les actions ordonnées dans sa décision.

1. La procédure relative à tout dossier ouvert prendra fin lorsque son instruction sera suspendue pendant quatre mois pour des motifs imputables à la personne concernée.

2. Le délai fixé au paragraphe précédent court à compter de la date de la dernière notification adressée à la personne concernée.

3. La procédure ne sera pas caduque lorsque la paralysie résulte d’un cas de force majeure ou d’une autre cause indépendante de la volonté des parties.

1. Les infractions prévues par la présente loi se prescrivent :

• a) pour les infractions mineures, au bout d’un an ;
• b) pour les infractions graves, au bout de deux ans ;
• c) pour les infractions très graves, au bout de trois ans.

2. Le délai de prescription des infractions commence à courir à compter du jour où l’infraction a été commise et est interrompu par l’ouverture, en connaissance de cause de l’intéressé, de la procédure disciplinaire ; le délai de prescription reprend son cours si la procédure disciplinaire est suspendue pendant plus de six mois pour une cause non imputable à l’auteur présumé.

3. Les sanctions infligées se prescrivent :

• a) au bout d’un an pour les infractions légères ;
• b) au bout de deux ans pour les infractions graves ;
• c) au bout de trois ans pour les infractions très graves.

4. Le délai de prescription des sanctions commence à courir à compter du jour suivant celui où la décision les imposant devient définitive et est interrompu pour une cause imputable à la personne sanctionnée.

Le gouvernement est habilité à prendre toutes les dispositions nécessaires à l’application et à l’exécution de la présente loi.

Les fichiers de données à caractère personnel existant à la date d’entrée en vigueur de la présente loi disposent d’un délai de six mois pour se conformer à ses dispositions, en s’inscrivant au Registre de la protection des données à caractère personnel. À l’expiration de ce délai, le ministère des Télécommunications et des Nouvelles technologies et l’Autorité de protection des données à caractère personnel procéderont à leur inspection et à leur contrôle, en adoptant les mesures qui s’imposent dans chaque cas.

Sont abrogées toutes les dispositions de rang égal ou inférieur qui s’opposent aux dispositions de la présente loi.

La présente loi entrera en vigueur vingt jours après sa publication au Journal officiel de l’État, sans préjudice de sa publication dans les autres médias nationaux.