Loi n° 1/2016 du 22 juillet 2016 relative à la protection des données personnelles (Ley n° 1/2016, de fecha 22 de julio, de protección de datos personales)

1. Les fichiers, en tant que mécanismes ou systèmes de stockage, d’archivage, de structuration et d’accès aux données à caractère personnel des citoyens, peuvent être créés par l’Administration générale de l’État par décret ; ou à l’initiative du secteur privé, moyennant l’obtention de la concession ou de l’autorisation administrative correspondante délivrée par l’organisme compétent, dans le respect des garanties prévues par la présente loi pour la protection des personnes.

2. Les fichiers créés par les forces armées et les forces de sécurité nationale, qui contiennent des données à caractère personnel à des fins administratives, sont soumis au régime général de la présente loi.

Limitation du traitement des données à caractère personnel à des fins policières

1. La collecte et le traitement de données à caractère personnel à des fins policières sans le consentement de la personne concernée sont limités et strictement circonscrits aux cas nécessaires à la prévention d’un danger réel pour la sécurité publique, à l’ e prévention et à la répression de la délinquance ou de toute autre infraction pénale, ou encore à des fins d’enquête ; ces données doivent être conservées dans des fichiers spécifiques créés à cet effet et classées par catégories en fonction de leur degré de fiabilité, sans préjudice du contrôle et du respect de la légalité de l’action administrative, ni de l’obligation des juridictions de statuer sur les recours formés par les personnes concernées et les parties intéressées à cet égard.

2. Les données à caractère personnel enregistrées à des fins policières, visées au paragraphe précédent, seront effacées lorsqu’elles ne seront plus nécessaires aux enquêtes et investigations qui ont motivé leur stockage, en tenant compte de l’âge de la personne concernée et de la nature des données stockées, de la nécessité de conserver les données jusqu’à la conclusion d’une enquête ou d’une procédure spécifique, d’un jugement d’acquittement définitif, d’une grâce, d’une réhabilitation et de la prescription de la responsabilité.

Les fichiers publics de données à caractère personnel relèvent de la compétence de l’Administration générale de l’État et sont créés par décret ; ils doivent obligatoirement comporter les informations suivantes :

• a) la finalité du fichier et les utilisations prévues de celui-ci ;
• b) les personnes ou groupes de personnes dont on entend obtenir des données à caractère personnel ou qui sont tenues de les fournir ;
• c) l’adresse et l’emplacement du fichier ;
• d) la structure de base et technique du fichier ainsi que la description des types de données à caractère personnel qu’il contient ;
• e) la procédure mise en place pour la collecte des données à caractère personnel ;
• f) les conditions de cession des données à caractère personnel et de leur transfert à des tiers ;
• g) les organismes ou personnes responsables du fichier ;
• h) les services auprès desquels les droits d’accès, de rectification, de suppression et d’opposition peuvent être exercés ;
• i) les mesures de sécurité, avec indication du niveau applicable (basique, moyen ou élevé).

1. Des fichiers privés contenant des données à caractère personnel peuvent être créés lorsque cela s’avère nécessaire à la réalisation de l’activité ou de l’objectif légitime de la personne, de l’entreprise ou de l’entité titulaire, et que les garanties prévues par la présente loi pour la protection des personnes sont respectées.

2. Toute personne ou entité souhaitant procéder à la création de fichiers de données à caractère personnel le fera dans le cadre d’une autorisation publique, dont le projet devra être préalablement notifié à l’Autorité de contrôle de la protection des données à caractère personnel et devra obligatoirement inclure, outre les informations visées à l’article précédent, les données relatives à son inscription au registre et celles relatives à sa notification.

1. Les données à caractère personnel obtenues ou élaborées au cours de leur traitement ne seront ni communiquées ni cédées par l’Administration générale de l’État, ses organes et ses institutions entre eux, pour l’exercice de compétences autres que celles qui ont été exercées pour cette fin, sauf si la communication ou la cession a pour objet le traitement ultérieur de ces données à des fins historiques, statistiques ou scientifiques.

2. Toutefois, les données à caractère personnel qu’une administration publique, un organe ou une institution traite pour le compte d’une autre administration, d’un autre organe ou d’une autre institution peuvent faire l’objet d’une communication.

3. Le responsable du fichier public doit, au moment où il procède à la première communication ou cession de données à caractère personnel, en informer les personnes concernées, en précisant la finalité, la nature des données communiquées ou cédées, ainsi que le nom et l’adresse du cessionnaire.

4. Les responsables des fichiers privés ne peuvent pas non plus communiquer ou céder les données à caractère personnel qu’ils ont traitées, sauf sur ordre de l’autorité judiciaire compétente, et sont tenus de se conformer aux dispositions du paragraphe précédent.

5. Dans le cadre des communications et transferts de données prévus au présent article, le consentement de la personne concernée n’est pas nécessaire, sauf si ces données ont été obtenues à partir de sources ou de services accessibles au public et qu’il est prévu de les communiquer ou de les transférer vers d’autres fichiers publics ou privés.

Données à caractère personnel dans les sources et services accessibles au public

1. Les données à caractère personnel figurant dans les listes de groupes professionnels et dans le cadre d’activités de promotion ou de publicité sont limitées à la finalité à laquelle chaque liste est destinée ; les responsables de ces sources ou services doivent obtenir le consentement de la personne concernée pour inclure d’autres données à caractère personnel supplémentaires. Le consentement ainsi donné peut être révoqué à tout moment par la personne concernée elle-même.

2. Les personnes concernées ont le droit de faire supprimer gratuitement leurs données à caractère personnel des sources ou services accessibles au public ou des activités publicitaires, ou d’obtenir que soit indiqué gratuitement dans ces services et sources que leurs données à caractère personnel ne peuvent être utilisées à des fins publicitaires, cette question devant être tranchée dans un délai de cinq jours à compter de la réception de la réclamation ou de la demande.

3. Les données à caractère personnel figurant dans les annuaires des services de télécommunications accessibles au public sont régies par leur réglementation spécifique.

Les sources ou services d’accès public, publiés sous forme de livre, de copie de la liste sur support électronique ou sur tout autre support physique, perdront leur caractère de source accessible dès la publication de la nouvelle édition ou l’obtention de la nouvelle copie.

Prestation de services de crédit, de publicité, de distribution de documents et de prospection commerciale

1. Toute personne, physique ou morale, qui se consacre à la prestation de services de collecte d’adresses, d’informations sur les crédits et le patrimoine, de distribution de documents, de publicité, de vente à distance, de prospection commerciale et d’autres activités analogues, ne pourra traiter que les données à caractère personnel issues des registres et sources accessibles au public ou provenant des informations fournies par les personnes concernées elles-mêmes ou obtenues avec leur consentement.

2. En ce qui concerne les informations relatives au crédit ou au patrimoine, les prestataires de ces services peuvent également traiter des données à caractère personnel relatives au respect ou au non-respect d’obligations pécuniaires, fournies par le créancier ou son représentant, en notifiant à la personne concernée, dans un délai de quinze jours, les données qui ont été incluses dans les fichiers et en l’informant de son droit d’accéder à l’intégralité de ces données.

3. Aux fins du point précédent, seules peuvent être enregistrées et transmises les données à caractère personnel qui sont déterminantes et véridiques pour évaluer la solvabilité fiscale, économique et patrimoniale de la personne concernée et qui ne portent pas sur une période supérieure à six ans.

4. Lorsque les données proviennent de sources accessibles au public, chaque communication adressée à la personne concernée mentionnera l’origine des données et l’identité du responsable du traitement, ainsi que les droits dont elle dispose.

5. Dans le cadre de l’exercice de leur droit d’accès, les personnes concernées ont le droit de connaître l’origine de leurs données à caractère personnel, les évaluations ou appréciations qui ont été communiquées à leur sujet pendant la période qu’elles indiquent, ainsi que les noms et adresses des personnes ou entités auxquelles ces données ont été communiquées.

6. Les personnes concernées ont également le droit de s’opposer au traitement des données à caractère personnel les concernant ; celles-ci doivent alors être effacées et retirées du traitement sur simple demande ou déclaration libre de leur part.

1. Les responsables du traitement des données à caractère personnel, qu’ils soient publics ou privés, ainsi que leurs groupements, par le biais d’accords et de conventions administratives ou collectives, ou de décisions de leurs institutions, peuvent élaborer des codes types établissant les conditions d’organisation, le mode de fonctionnement, les normes de sécurité de l’entité ou des locaux, des équipements ou des logiciels, les règles opérationnelles de chaque système particulier et les normes techniques des applications et procédures applicables, ainsi que les garanties relatives à l’exercice des droits et libertés des personnes et les obligations des acteurs impliqués dans le traitement et l’utilisation des informations à caractère personnel.

2. Les codes types auront le caractère de codes déontologiques et devront être inscrits au Registre général de la protection des données ; leur inscription pourra être refusée lorsque leur contenu ne sera pas conforme aux principes directeurs de la protection des données à caractère personnel et aux dispositions légales en vigueur en la matière, les demandeurs étant alors tenus de procéder aux corrections et adaptations nécessaires.

1. La modification ou la suppression des fichiers de données à caractère personnel s’effectue par le même type de décision s’il s’agit de fichiers publics, ou par une décision administrative s’il s’agit de fichiers privés.

2. Lors de la suppression d’un fichier de données à caractère personnel, il est obligatoire de déterminer la destination de ce fichier et des données qu’il contient, et d’ordonner la mise en œuvre des mesures et dispositions nécessaires à leur destruction.

1. Les données à caractère personnel qui ont fait l’objet d’un traitement ou qui ont été obtenues en vue d’un traitement ne peuvent être communiquées, cédées ou transférées vers d’autres pays n’assurant pas un niveau de protection juridique équivalent à celui établi par la présente loi, sauf autorisation préalable de l’Autorité de contrôle de la protection des données à caractère personnel.

2. Le niveau de protection offert par le pays de destination sera évalué en tenant compte de l’ensemble des circonstances propres à la communication, à la cession ou au transfert, ainsi que de la catégorie des données à caractère personnel demandées. Il sera notamment pris en considération la nature des données, la finalité et la durée de leur traitement, le pays d’origine et le pays de destination finale, les dispositions légales en vigueur et les mesures de sécurité applicables dans ces pays.

Exceptions à la communication internationale de données à caractère personnel

Les dispositions de l’article précédent ne s’appliquent pas :

• a) Lorsque la communication, la cession ou le transfert international de données à caractère personnel résulte de l’application de traités ou de conventions internationaux auxquels la République de Guinée Équatoriale est partie ;
• b) Lorsque la personne concernée a donné son consentement sans équivoque à la communication, à la cession ou au transfert demandé.
• c) Lorsque la communication, la cession ou le transfert est effectué aux fins de fournir ou de solliciter une entraide judiciaire internationale, ou pour la reconnaissance, l’exercice ou la défense d’un droit dans le cadre d’une procédure judiciaire, ou encore à des fins de prévention, de traitement ou de diagnostic médicaux, de prestation d’assistance ou de services de santé.
• d) Lorsque la communication, la cession ou le transfert est nécessaire ou légalement requis pour la sauvegarde d’un intérêt public, notamment dans le cadre de l’exercice des compétences fiscales et douanières.
• e) Lorsque cela concerne des virements financiers, conformément à la législation spécifique en vigueur en la matière.
• f) Lorsque la communication, la cession ou le transfert est effectué à la demande d’une personne ayant un intérêt légitime à partir d’un registre public et qu’il est conforme à la finalité de ce dernier.
• g) Lorsque la communication, la cession ou le transfert est nécessaire à l’exécution d’un contrat entre la personne concernée et le responsable du fichier, ou à la mise en œuvre de mesures précontractuelles prises à la demande de la personne concernée, ou à l’exécution d’un contrat conclu ou à conclure entre le responsable du fichier et un tiers dans l’intérêt de la personne concernée.