Loi n° 2016-37 du 28 juil. 2016

Chapitre 1 - Terminologie

Art. 1

Au sens de la présente loi, les termes ci-dessous sont entendus de la manière suivante :

Activité de cryptologie : toute activité ayant pour but, la production, l’utilisation, l’importation, l’exportation, ou la commercialisation des moyens de cryptologie.

Agrément : la reconnaissance formelle par un organisme agréé, que le produit ou le système évalué peut protéger jusqu’à un niveau déterminé.

Archivage électronique sécurisé : l’ensemble des modalités de conservation et de gestion des archives électroniques, destinées à garantir leur valeur juridique pendant toute la durée nécessaire.

Atteinte à la dignité humaine : toute atteinte, hors les cas d’attentat à la vie, d’atteinte à l’intégrité ou à la liberté, qui a pour effet essentiel de traiter la personne comme une chose, comme un animal, ou comme un être auquel serait dénié tout droit.

Autorité de Protection : l’Autorité Administrative chargée de veiller à ce que les traitements de données à caractère personnel soient mis en œuvre conformément aux dispositions de la présente loi.

Chiffrement : toute technique qui consiste à transformer des données numériques en un format inintelligible en employant des moyens de cryptologie.

Code de conduite la charte d’utilisation élaborée par le responsable du traitement des données à caractère personnel, afin d’instaurer un usage et régulier des ressources informatiques, de l’internet et des communications électroniques de la structure concernée, et qui est préalablement homologuée par l’Autorité de protection.

Commerce électronique : l’activité économique par laquelle, une personne propose ou assure, à distance et par voie électronique, la fourniture de biens et la prestation de services. Entrent également dans le champ du commerce électronique, les activités de fourniture de services telles que celles consistant à fournir des informations en ligne, des communications commerciales, des outils de recherches, d’accès et de récupération de données, d’accès à un réseau de communication ou d’hébergement d’informations, même s’ils ne sont pas rémunérés par ceux qui les reçoivent.

Communications électroniques : toute émission, transmission, ou réception de signes, de signaux, d’écrits, d’images, de sons ou de vidéos, par voie électromagnétique, optique ou par tout autre moyen.

Consentement de la personne concernée : toute manifestation de volonté expresse, non équivoque, libre, spécifique et informée, par laquelle la personne concernée ou son représentant légal, judiciaire ou conventionnel, accepte que ses données à caractère personnel fassent l’objet d’un traitement manuel ou électronique.

Conventions secrètes : toutes clés non publiées, nécessaires à la mise en œuvre d’un moyen ou d’une prestation de cryptologie pour des opérations de chiffrement ou de déchiffrement.

Courrier électronique : tout message, sous forme de texte, de voix, de son ou d’image, envoyé à travers un réseau public de communication, stocké sur un serveur du réseau ou dans l’équipement terminal du destinataire, jusqu’à ce que ce dernier le récupère.

Cryptologie : la science relative à la protection et à la sécurité des informations, notamment pour la confidentialité, l’authentification l’intégrité et la non-répudiation.

Cybercriminalité : ensemble des infractions pénales qui se commettent au moyen ou sur un réseau de télécommunications ou un système d’information.

Destinataire d’un traitement de données à caractère personnel : toute personne habilitée à recevoir une communication de ce type de données, autre que la personne concernée, le responsable du traitement, le sous-traitant et les personnes qui, en raison de leurs fonctions, sont chargées de traiter ces données.

Document : le résultat d’une série de lettres, de caractères, de chiffres, de figures ou de tous autres signes ou symboles, qui a une signification intelligible, quel que soient leur média et leurs modalités de transmission.

Données à Caractère Personnel : toute information de quelque nature qu’elle soit et indépendamment de son support, y compris le son et l’image, relative à une personne physique identifiée ou identifiable directement ou indirectement, par référence à un numéro d’identification ou à un ou plusieurs éléments spécifiques, propres à son identité physique, physiologique, génétique, psychique, culturelle, sociale ou économique.

Données informatiques ou données (tout court) : toute représentation de faits, d’informations ou de concepts, sous une forme assimilable à un traitement informatique, y compris un programme de nature à faire exécuter une fonction par un système d’information.

Données relatives aux abonnés toute information sous forme de données informatiques ou sous toute autre forme, détenue par un fournisseur de services notamment de communications électroniques/tics, et se rapportant aux abonnés de ses services, autres que des données relatives au trafic ou au contenu, et permettant d’établir sur la base d’un contrat ou d’un arrangement de services.

Le type de services de communication : les dispositions techniques prises à cet effet, et la durée du service.

L’identité : l’adresse postale ou géographique, le numéro de téléphone ou tout autre numéro d’accès, l’adresse email, les informations relatives à la localisation, la facturation et à l’endroit où se trouvent les équipements de communication.

Données relatives au trafic : toutes données relatives à une communication passant par un système d’information, produites par ce dernier en tant qu’élément de la chaîne de communication, indiquant l’origine, la destination, l’itinéraire, l’heure, la date, la taille, et la durée de la communication ou le type service sous-jacent.

Données sensibles : toutes données à caractère personnel, relatives aux opinions ou activités religieuses, philosophiques, politique, syndicale, à la vie sexuelle ou raciale, à la santé, aux mesures d’ordre social, aux poursuites, aux sanctions pénales ou administratives.

Echange de Données Informatisées (EDO : tout transfert électronique d’une information d’un système électronique, à un autre mettant en œuvre une norme convenue pour structurer l’information.

Ecrit : toute suite de lettres, de caractères, de chiffres ou de tous autres signes ou symboles, ayant une signification intelligible, quelque soient leurs supports et leurs modalités de transmission.

Fichier de Données à Caractère Personnel : tout ensemble structuré de données accessibles selon des critères définis, que cet ensemble soit centralisé, décentralisé, ou réparti de manière fonctionnelle ou géographique, afin de permettre l’identification d’une personne déterminée.

Fournisseur de Services : Toute personne morale qui fournit au public des services de communications électroniques notamment internet ou des prestations informatiques.

Information tout élément de connaissance, susceptible d’être représenté à l’aide de conventions afin d’être utilisé, conservé, traité ou communiqué. L’information peut être exprimée sous forme écrite, visuelle, sonore, numérique, etc.

Infrastructures critiques : les installations physiques et des technologies de l’information et de communications notamment électroniques, les réseaux, les services et les actifs, qui en cas d’arrêt ou de destruction, peuvent avoir de graves incidences sur la santé, la sécurité ou le bien-être social ou économique des citoyens, et/ou le fonctionnement correct ou continu des services de l’Etat.

Interconnexion des Données à Caractère Personnel : tout mécanisme de connexion consistant en la mise en relation de données traitées pour une finalité déterminée avec d’autres données traitées pour des finalités identiques ou non, ou liées par un ou plusieurs responsables du traitement desdites données.

Message Electronique : Toute information créée, envoyée, reçue ou conservée à travers des moyens électroniques ou optiques ou des moyens analogues, notamment, mais non exclusivement, l’échange de données informatisées (EDI), la messagerie électronique, le télégraphe, le télex, et la télécopie.

Mineur : toute personne âgée de moins de 18 ans au sens du Code Pénal guinéen.

Moyens de Cryptologie : l’ensemble des outils scientifiques et techniques (matériel ou logiciel) qui permettent de chiffrer et/ou de déchiffrer. On entend également par moyens de Cryptologie, tout matériel ou logiciel conçu ou modifié pour transformer des données, qu’il s’agisse d’écrits ou de signaux, à l’aide de conventions secrètes, ou pour réaliser l’opération inverse avec ou sans convention secrète.

Pays tiers : tout Etat non membre de la CEDEAO.

Personne concernée : toute Personne physique, qui fait l’objet d’un traitement de données à caractère personnel.

Prestation de Cryptologie : toute prestation ou opération, visant à la mise en œuvre, pour le compte de soi-même ou pour autrui, des moyens de cryptologie.

Prestataire de Services de Cryptologie : toute Personne, physique ou morale, qui fournit une prestation de cryptologie.

Pornographie infantile : toute donnée quelle qu’en soit la nature ou la forme, représentant de manière visuelle un mineur de moins de dix-huit ans qui se livre à un agissement sexuellement explicite ou des images représentant un enfant de moins de quinze ans qui se livre à un comportement sexuellement explicite.

Prospection directe : tout envoi de message, quel qu’en soit le support ou la nature, notamment commercial, politique ou caritative, destiné à promouvoir, directement ou indirectement, des biens, des services, ou l’image d’une personne vendant des biens ou fournissant des services.

Racisme et xénophobie en matière de technologies de l’information et de la communication (TICS) : tout écrit, toute image ou toute autre représentation d’idées ou de théories, qui préconise ou encourage la haine, la discrimination ou la violence contre une personne ou un groupe de personnes, en raison de la race, de la couleur, de l’ascendance ou de l’origine nationale ou ethnique ou de la religion, dans la mesure où cette dernière sert de prétexte à l’un ou à l’autre de ces éléments ou qui incite à de tels actes.

Responsable du traitement : la personne physique ou morale, publique ou privée, ou tout autre organisme ou association qui, seul ou conjointement avec d’autres, prend la décision de collecter et de traiter des données à caractère personnel, et en détermine les finalités.

Signature Electronique : toute donnée qui résulte de l’usage d’un procédé fiable d’identification, et de nature à garantir son lien avec l’acte auquel elle s’attache.

SMS : Sigle anglo-saxon, signifiant « Short Message Service » (en Français : Service de messagerie court).

Sous-traitant : toute personne physique ou morale, publique ou privée, ou tout autre organisme ou association, qui traite des données à caractère personnel pour le compte du responsable du traitement desdites données.

Surveillance : toute activité faisant appel à des moyens techniques ou électroniques, en vue de détecter, d’observer, de copier ou d’enregistrer les mouvements, images, paroles, écrits, ou l’état d’un objet ou d’une personne fixe ou mobile.

Système d’Information ou Système informatique : tout dispositif isolé ou non, tout ensemble de dispositifs interconnectés assurant en tout ou partie, un traitement automatisé de données en exécution d’un programme.

Tiers : toute personne physique ou morale, publique ou privée, ou tout autre organisme ou association, autre que la personne concernée, le responsable du traitement, et les personne qui, placés sous l’autorité directe du responsable du traitement ou du sous-traitant, sont habilités à traiter les données caractère personnel.

Traitement des données à caractère personnel : toute opération ou ensemble d’opérations effectuées ou non à l’aide de procédés automatisés ou non, et appliquées à des données à caractère personnel, telles que la collecte, l’exploitation, l’enregistrement, l’organisation, la conservation, l’adaptation, la modification, l’extraction, la sauvegarde, la copie, la consultation, l’utilisation, la communication par la transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, ainsi que le verrouillage, le cryptage, l’effacement ou la destruction desdites données.

Copies temporaires : données copiées temporairement dans un espace dédié, pour une durée limitée dans le temps, pour les besoins du fonctionnement du logiciel de traitement.

Donnée génétique : toute donnée concernant les caractères héréditaires d’un individu ou d’un groupe d’individus apparentés.

Service à distance : toute prestation de service à valeur ajoutée, s’appuyant sur les télécommunications et/ou sur l’informatique, visant à permettre, de manière interactive et à distance, à une personne physique ou morale, publique ou privée, la possibilité d’effectuer des activités, démarches ou formalités, etc.

Pour les termes non définis par la présente loi, les définitions données par les instruments juridiques de la CEDEAO, de l’Union Africaine ou de l’Union Internationale des Télécommunications, prévalent sur toutes autres définitions.

Chapitre 2 - Objet et champ d’application

Art. 2

La présente loi a pour objet, de garantir la protection des données à caractère personnel en République de Guinée, en définissant notamment les règles, mécanismes et outils de protection et de gestion desdites données, ainsi que les sanctions aux violations desdites règles, en sus des sanctions prévues par la loi relative à la cybercriminalité.

Art. 3

Sont soumises aux dispositions de la présente loi :

Toute collecte, tout traitement, toute transmission, tout stockage et toute utilisation des données à caractère personnel par une personne physique, l’Etat, les collectivités locales ou décentralisées, les établissements et Institutions publics, ou par les personnes morales de droit privé ;

Tout traitement automatisé ou non de données contenues ou appelées à figurer dans un fichier ;

Tout traitement de données mis en œuvre sur le territoire de la République de Guinée ;

Tout traitement de données qui concerne la sécurité publique ou nationale, la défense, la recherche et la poursuite d’infractions pénales ou liées à la sûreté de l’Etat, sous réserve des dérogations expressément prévues par des dispositions particulières fixées par d’autres textes de lois en vigueur, en matière de traitement desdites données.

Chapitre 3 - Accès et maintien non autorisés dans les systèmes informatiques

Art. 4

Sont exclus du champ d’application de la présente loi :

Les traitements de données à caractère personnel mis en œuvre par une personne physique dans le cadre exclusif de ses activités personnelles ou domestiques, à condition toutefois que lesdites données ne soient pas destinées à une communication systématique à des tiers ou à la diffusion ;

Les copies temporaires faites dans le cadre des activités techniques de transmission et de fourniture d’accès à un réseau numérique, en vue du stockage automatique, intermédiaire et transitoire des données à caractère personnel, et à la seule fin de permettre à d’autres destinataires du service, le meilleur accès possible aux informations transmises.

Art. 5

Le traitement des données à caractère personnel est soumis à une déclaration préalable auprès de l’Autorité compétente désignée par voie réglementaire.

La déclaration doit comporter l’engagement selon lequel, la protection satisfait aux exigences de la présente loi et de tous autres réglementaires ou lois en vigueur en République de Guinée en matière de protection de données à Caractère Personnel.

A l’issue de cette déclaration, l’Autorité compétente délivre un récépissé et le cas échéant, par voie électronique.

Le demandeur peut ensuite mettre en œuvre le traitement dès réception du récépissé. Il n’est toutefois exonéré d’aucune de ses responsabilités.

Les traitements relevant d’un même organisme et ayant des finalités identiques ou liées entre elles, peuvent faire l’objet d’une déclaration unique. Les informations requises au titre de la déclaration, ne sont fournies pour chacun des traitements, que dans la mesure où elles sont propres à ladite déclaration.

Art. 6

Sont dispensés des formalités de déclaration préalable pour le traitement des données à caractère personnel :

Le traitement de données utilisées par une personne physique dans le cadre exclusif de ses activités personnelles, domestiques, ou familiales ;

Le traitement de données concernant une personne physique, et dont la publication est prescrite par une disposition légale ou réglementaire ;

Le traitement de données, ayant pour seul objet, la tenue d’un registre qui est destiné à un usage exclusivement privé ;

Le traitement pour lequel le responsable du traitement a désigné un correspondant à la protection des données à caractère personnel chargé d’assurer de manière indépendante, le respect des obligations prévues dans la présente loi ainsi que tous autres lois ou règlements en vigueur en République de Guinée en matière de protection de données à caractère personnel, à l’exception des cas où un transfert de données à caractère personnel à destination d’un pays tiers serait envisagé.

Chapitre 4 - Entrave au fonctionnement des systèmes informatiques et introduction frauduleuse de données dans les systèmes informatiques

Art. 7

Sont soumis à l’Autorisation préalable de l’Autorité compétente avant toute mise en œuvre :

Le traitement des données à caractère personnel portant sur des données génétiques, médicales et sur la recherche scientifique dans ces domaines ;

Le traitement des données à caractère personnel portant sur des données relatives aux infractions, aux condamnations, ou aux mesures de sûreté prononcées par les juridictions compétentes ;

Le traitement des données à caractère personnel portant sur un numéro national d’identification ou tout autre identifiant de la même nature, notamment les numéros de téléphone ;

Le traitement des données à caractère personnel comportant des données biométriques ;

Le traitement des données à caractère personnel ayant un motif d’intérêt public, notamment à des fins historiques, statistiques ou scientifiques ;

Le transfert de données à caractère personnel envisagé à destination d’un pays tiers.

Les demandes de traitement sont présentées par le responsable du traitement ou son représentant légal. Toutefois, l’autorisation n’exonère pas son titulaire (Responsable du traitement) ou le mandataire de celui-ci, de leur responsabilité à l’égard des tiers.

Art. 8

Pour les catégories les plus courantes de traitement des données à caractère personnel, notamment celles dont la mise en œuvre n’est pas susceptible de porter atteinte à la vie privée ou aux libertés, l’Autorité compétente peut établir des normes et procédures destinées à simplifier ou à exonérer le responsable du traitement des données à caractère personnel de l’obligation de déclaration préalable.

Art. 9

La demande d’avis, la déclaration, et la demande d’autorisation, doivent être adressées à l’Autorité compétente, et contenir au minimum les mentions suivantes :

L’identité, le domicile, l’adresse géographique et l’adresse postale, le numéro de téléphone, et l’adresse électronique (email, site web) du responsable du traitement des données à caractère personnel ou au cas où celui-ci ne serait pas établi sur le territoire guinéen, celles de son représentant dûment mandaté à cet effet ; et s’il s’agit d’une personne morale, sa dénomination sociale, son siège social, ses coordonnées téléphoniques et adresses électroniques (email, site web), l’identité du dirigeant social, ainsi que celle des associés ou actionnaires, le numéro d’inscription au Registre du commerce et du Crédit Mobilier, son numéro de déclaration ou d’immatriculation fiscale, son numéro d’immatriculation ou de déclaration à la Caisse Nationale de Sécurité Sociale ;

La ou les finalités du traitement, ainsi que la description détaillée de ses fonctions ;

Les interconnexions envisagées ou toutes autres formes de mise en relation avec d’autres traitements ;

Les données à caractère personnel traitées, leur origine, ainsi que les catégories de personnes concernées par le traitement ;

La durée de conservation des données à caractère personnel traitées ;

Le ou les service(s) chargé(s) de mettre en œuvre le traitement ainsi que les catégories de personnes qui, en raison de leurs fonctions ou pour les besoins du service, ont directement accès aux données collectées ;

Les destinataires habilités à recevoir la communication des données à caractère personnel traitées ;

La fonction de la personne ou le service auprès duquel, s’exerce le droit d’accès ;

Les dispositions prises pour assurer la sécurité des traitements des données à caractère personnel, la protection et la confidentialité desdites données ;

L’indication du recours ou non à un sous-traitant ou du transfert ou non des données à caractère personnel à destination d’un pays tiers.

En cas de changement intervenu dans les mentions précitées à renseigner par le demandeur, que ce soit au cours de l’instruction de la demande ou après la délivrance du récépissé ou de l’autorisation notamment lors de la mise en œuvre du traitement, le responsable du traitement est tenu d’informer immédiatement l’Autorité compétente.

Chapitre 5 - Interception frauduleuse, modification et falsification de données informatiques

Art. 10

Les conditions de la présentation de la demande d’autorisation et les procédures d’octroi des autorisations seront fixées par voie réglementaire.

L’Autorité en charge de la Protection des données à caractère personnel pourra toutefois, par décision, exiger des conditions complémentaires relatives à la présentation de la demande d’autorisation ou de déclaration et aux procédures d’octroi des autorisations.

Art. 11

La déclaration ou la demande d’autorisation peut être adressée à l’Autorité en charge de la Protection des Données à Caractère Personnel, par voie Postale, en mains propres dans les locaux de ladite Autorité ou par tout autre moyen contre la remise d’un accusé de réception en bonne et due forme.

Art. 12

L’Autorité en charge de la Protection des Données à Caractère Personnel dispose d’un délai de deux mois pour se prononcer (accord ou refus) sur toute Déclaration ou demande d’Autorisation, qui lui est soumise ou adressée.

Ce délai court à compter de la date de réception de la Déclaration et du dépôt de la demande d’Autorisation, ainsi que de la fourniture des pièces, documents, informations exigés pour tout demandeur en vertu des dispositions de la présente loi.

Il peut toutefois être prorogé de deux mois supplémentaires, à condition que l’Autorité en charge de la Protection des Données à Caractère Personnel puisse motiver sa décision ou justifier cette prorogation.

Tout motif ne pouvant être considéré comme valable ou recevable, qu’au regard de manquements ou insuffisances avérés pour la protection des données à caractère personnel de la personne concernée par le traitement, au vu du dossier fourni.

Au-delà de ces délais, toute absence de réponse expresse de la part de l’Autorité en charge de la Protection des Données à Caractère Personnel, équivaut à une acceptation implicite de la déclaration ou à une autorisation tacite accordée au demandeur par ladite Autorité de protection.

En cas de refus par l’Autorité en charge de la Protection des Données à Caractère Personnel à la déclaration ou à la demande d’autorisation présentée par le demandeur (le responsable du traitement des données à caractère personnel), celui-ci peut exercer un recours administratif ou devant la juridiction compétente.

Ce recours n’est toutefois pas suspensif.

Art. 13

Les modalités de dépôt des déclarations ou d’octroi des autorisations pour le traitement des données à caractère personnel en conformité avec les dispositions de la présente de la loi, seront fixées par Décret du Président de la République.

Chapitre 6 - Fraude informatique, traitement frauduleux de données à caractère personnel, usage de données falsifiées

Art. 14

Le correspondant à la Protection des Données à Caractère Personnel, doit être une personne bénéficiant des qualifications requises pour exercer de telles missions. Il doit tenir une liste des traitements effectués immédiatement accessible à toute personne qui en fait la demande, et ne peut faire l’objet d’aucune sanction de la part de son employeur, du fait de l’accomplissement de ses missions.

A défaut, il peut saisir l’Autorité en charge de la Protection des Données à Caractère Personnel en raison des difficultés qu’il rencontre dans l’exercice de ses missions.’

Art. 15

La désignation du correspondant à la Protection des Données à Caractère Personnel par le responsable du traitement desdites données, doit être notifiée à l’Autorité en charge de la Protection des Données à Caractère Personnel.

Cette désignation doit également être portée à la connaissance des instances représentatives du personnel de l’Employeur.

Art. 16

Le profil et les conditions de rémunération du correspondant à la Protection des Données à Caractère Personnel seront fixés par Arrêté du Ministre en charge des Postes, des Télécommunications et de l’Economie Numérique.

En cas de manquement(s) constaté(s) à ses devoirs, correspondant à la Protection des Données à Caractère Personnel, les conditions seront fixées par Arrêté du Ministre en charge des Postes, Télécommunications et de l’Economie Numérique.

Chapitre 7 - Détention d’un équipement pour commettre des infractions cybercriminelles et commission des infractions informatiques à travers des associations spécifiquement formées à cet effet ou par entente préalable

Art. 17

Les traitements de données à caractère personnel opérés pour le compte de l’Etat, d’une personne morale de droit public ou de droit privé gérant un service public, peuvent être autorisés par voie réglementaire, après avis motivé de l’Autorité en charge de la Protection des Données à Caractère Personnel.

Ces traitements portent notamment sur :

la sûreté de l’Etat, la défense nationale ou la sécurité publique ;
la prévention, la recherche, la constatation, ou la poursuite des infractions pénales ou l’exécution des condamnations pénales ou des mesures de sûreté ;
le recensement de la population ;
le traitement de salaires, pensions, impôts, taxes, et autres liquidations.

Art. 18

Le traitement des données à caractère personnel est considéré comme légitime, si la personne concernée donne expressément son consentement préalable.

Toutefois, il peut être dérogé à cette exigence du consentement préalable, lorsque le responsable du traitement est dûment autorisé et que le traitement est nécessaire :

soit au respect d’une obligation légale, à laquelle le responsable du traitement est soumis ;
soit à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique, dont est investi le responsable du traitement ou le tiers auquel les données sont communiquées ;
soit à l’exécution d’un contrat auquel la personne concernée est partie ou à l’exécution de mesures précontractuelles prises à sa demande ;
soit à la sauvegarde de l’intérêt ou des droits et libertés fondamentaux de la personne concernée.

Art. 19

La collecte, l’enregistrement, le traitement, le stockage, la transmission et l’interconnexion des fichiers de données à caractère personnel, doivent se faire de manière licite et loyale.

Art. 20

Les données à caractère personnel doivent être collectées pour des finalités déterminées, explicites et légitimes, et ne peuvent être traitées ultérieurement de manière incompatible avec ces finalités.

Elles doivent être adéquates, pertinentes, et non excessives, au regard des finalités pour lesquelles elles sont collectées et traitées ultérieurement.

Elles doivent aussi être conservées pendant une durée qui n’excède pas la période nécessaire aux finalités pour lesquelles, elles ont été collectées ou traitées.

Au-delà de cette période requise, les données ne peuvent faire l’objet de conservation, qu’en vue de répondre spécifiquement à un traitement desdites données à des fins historiques, statistiques ou de recherches, en vertu des dispositions de la présente loi ou de toutes autres lois ou réglementations en vigueur en matière de protection de données à caractère personnel.

Chapitre 8 - Production, importation ou exportation, possession, et facilitation d’accès à des images ou des représentations à caractère pornographique infantile

Art. 21

Les données collectées doivent être exactes, et si nécessaire, mises à jour.

Toute mesure ou solution raisonnable doit être mise en œuvre, afin que les données inexactes ou incomplètes, au regard des finalités pour lesquelles elles sont collectées et traitées ultérieurement, soient effacées ou rectifiées.

Art. 22

Le principe de transparence implique une information obligatoire et claire de la part du responsable du traitement des données à caractère personnel.

Art. 23

Les données à caractère personnel doivent être traitées de manière confidentielle et être protégées, notamment lorsque le traitement de ces données comporte des transmissions de données dans un réseau.

Art. 24

Lorsque le traitement des données à caractère personnel est mis en œuvre pour le compte du responsable du traitement desdites données, celui-ci doit choisir un sous-traitant qui soit en mesure d’apporter des garanties pour la protection et la confidentialité des données.

Il incombe au responsable du traitement des données à caractère personnel ainsi qu’au sous-traitant, de veiller au respect des dispositions de la présente loi.

Art. 25

Le traitement des données à caractère personnel réalisé aux fins de journalisme, de recherche, d’expression artistique ou littéraire est admis lorsqu’il est mis en œuvre aux seules fins d’expression littéraire et artistique ou d’exercice, à titre professionnel, de l’activité de journaliste ou de chercheur, dans le respect des règles déontologiques de ces professions.

Chapitre 9 - Disposition d’images ou d’écrits de nature raciste ou xénophobe par le biais d’un système informatique, injures, menaces, et négationnisme à travers le système informatique

Art. 26

Les dispositions de la présente loi, ne font pas obstacle à l’application des dispositions des lois relatives à la presse écrite ou au secteur de l’audiovisuel et du Code Pénal en vigueur en République de Guinée, qui auraient prévu les conditions d’exercice du droit de réponse et qui préviennent, limitent, réparent et, le cas échéant, répriment les atteintes à la vie privée et à la réputation des personnes physiques.

Art. 27

Aucune décision de justice impliquant une appréciation sur le comportement d’une personne physique ne peut avoir pour fondement, un traitement automatisé des données à caractère personnel destiné à évaluer certains aspects de sa personnalité.

Aucune décision administrative ou privée impliquant une appréciation sur un comportement humain ne peut avoir pour seul fondement, un traitement automatisé des données à caractère personnel donnant une définition du profil ou de la personnalité de l’intéressé.

Art. 28

Le responsable d’un traitement des données à caractère personnel ne peut être autorisé à transférer lesdites données vers un pays tiers, que si l’Etat assure un niveau de protection supérieur ou équivalent de la vie privée, des libertés et droits fondamentaux des personnes à l’égard du traitement dont ces données font ou peuvent faire l’objet

Avant tout transfert effectif des données à caractère personnel vers ce pays tiers, le responsable du traitement desdites données doit obtenir au préalable l’autorisation de l’Autorité de Protection des Données à Caractère Personnel.

Tout transfert de données à caractère personnel vers un pays tiers fait l’objet d’un contrôle strict et régulier par l’Autorité de Protection des Données à Caractère Personnel, au regard de leur finalité.

Art. 29

L’interconnexion des fichiers n’est autorisée, que si elle permet d’atteindre les objectifs légaux ou statutaires présentant un intérêt légitime pour les responsables des traitements des données à caractère personnel.

Elle ne peut et ne doit pas entraîner de discrimination ou de réduction des droits, libertés et garanties Our les personnes concernées, ni être assortie de mesures de sécurité inappropriées.

Elle doit en outre tenir compte du principe ou de l’exigence de pertinence des données faisant l’objet de l’interconnexion.

Art. 30

Le responsable du traitement des données à caractère personnel est tenu de fournir à la personne dont les données font l’objet d’un traitement, au plus tard à l’occasion de la collecte et quels que soient les moyens et supports employés, les informations suivantes :

son identité et, le cas échéant, celle de son représentant dûment mandaté ;
la ou les finalité(s) déterminée(s) du traitement auquel les données sont destinées ;
les catégories de données concernées ;
le ou les destinataire(s) au(x) quel(s), les données sont susceptibles d’être communiquées ;
la possibilité de refuser de figurer sur le fichier en cause ;
l’existence d’un droit d’accès aux données qui concernent la personne, et d’un droit de rectification de ces données ;
la durée de conservation des données ;
l’éventualité de tout transfert des données, à destination d’un pays tiers.

Chapitre 10 - Atteintes et menaces à l’ordre et à la sécurité publics ; à la sécurité, l’intégrité et la dignité des individus par le biais d’un système informatique

Art. 31

Toute personne physique dont les données à caractère personnel font l’objet d’un traitement, peut demander sous forme de questions et obtenir du responsable de ce traitement :

les informations permettant de connaître et de contester le traitement ;
la confirmation que des données à caractère personnel qui la concernent, font ou ne font pas l’objet de ce traitement ;
la communication des données à caractère personnel qui la concernent ainsi que de toute information disponible quant à l’origine de celles-ci ;
des informations relatives aux finalités du traitement, aux catégories de données à caractère personnel traitées et aux destinataires ou aux catégories de destinataires, auxquels les données sont communiquées.

En cas d’impossibilité d’accès de la personne concernée, le droit d’accès peut être exercé par l’Autorité en charge de la Protection des Données à Caractère Personnel qui dispose d’un pouvoir d’investigation en la matière, et qui peut ordonner la rectification, l’effacement ou le verrouillage des données dont le traitement n’est pas conforme aux exigences de la présente loi

L’Autorité en charge de la Protection des Données à Caractère Personnel doit ensuite communiquer à la personne concernée, les résultats de ses investigations.

Le responsable du traitement des données à caractère personnel peut néanmoins, s’opposer aux demandes manifestement abusives émanant de la même personne concernée ; abus matérialisés par le nombre, le caractère répétitif ou systématique des demandes.

En cas de contestation, la charge de la preuve du « caractère manifestement abusif » des demandes, incombe au responsable du traitement des données, auprès duquel elles sont adressées.

Art. 32

Toute personne physique concernée par un traitement de ses données à caractère personnel a le droit :

de s’opposer, pour des motifs légitimes tenant à sa situation particulière, à ce que des données à caractère personnel qui la concernent fassent l’objet d’un traitement, sauf en cas de dispositions légales prévoyant expressément le traitement. En cas d’opposition légitime, le traitement mis en œuvre par le responsable du traitement des données, ne peut porter sur les données en cause ;
de s’opposer, sur sa demande et gratuitement, au traitement de données à caractère personnel qui la concernent, et destinées à des fins de prospection ;
d’être informée avant que des données à caractère personnel qui la concernent, ne soient pour la première fois, communiquées à des tiers ou utilisées pour le compte de tiers, à des fins de prospection, et de se voir accorder expressément le droit de s’opposer, gratuitement, à ladite communication ou utilisation.

Art. 33

Toute personne physique justifiant, de son identité, peut exiger du responsable d’un traitement de données à caractère personnel, que soient, selon les cas, rectifiées, complétées, mises à jour, verrouillées ou supprimées les données à caractère personnel qui la concernent, et qui sont inexactes, incomplètes, équivoques, périmées, ou dont la collecte, l’utilisation, la communication ou la conservation, est interdite.

Art. 34

Les ayant-droits d’une personne décédée justifiant de leur identité, peuvent, si des éléments portés à leur connaissance les laissent présumer que les données à caractère personnel qui la concernent et faisant l’objet d’un traitement, n’ont pas été actualisées, exiger du responsable du traitement desdites données, qu’il prenne en considération le décès et procède aux mises à jour qui doivent être conséquemment faites.

Lorsque les ayant-droits en font la demande, le responsable du traitement des données à caractère personnel doit justifier, sans frais pour le demandeur, qu’il a procédé aux opérations requises en vertu de l’Alinéa 1er du présent Article.

Art. 35

La personne concernée par le traitement des données à caractère personnel a le droit d’obtenir du responsable du traitement desdites données, l’effacement des données qui la concernent, et la cession de la diffusion de ces données, en particulier en ce qui concerne des données à caractère personnel, que la personne concernée avait rendues disponibles lorsqu’elle était mineure, ou pour l’un des motifs suivants :

les données ne sont plus nécessaires, au regard des finalités pour lesquelles elles ont été collectées ou traitées ;
la personne concernée par le traitement des données à caractère personnel a retiré le consentement sur lequel est fondé le traitement ou lorsque le délai de conservation autorisé a expiré, et qu’il n’existe pas d’autre motif légal au traitement des données ;
la personne concernée par le traitement des données à caractère personnel s’oppose au traitement desdites données qui la concernent, lorsqu’il n’existe pas de motif légal audit traitement ;
le traitement des données à caractère personnel n’est pas conforme aux dispositions de la présente loi ; ou
pour tout autre motif légitime.

Art. 36

Lorsque le responsable du traitement des données à caractère personnel a rendues publiques les données à caractère personnel de la personne concernée par le traitement, il doit prendre toutes les mesures raisonnables, y compris les mesures techniques, en ce qui concerne les données publiées sous sa responsabilité, en vue d’informer les tiers qui traitent lesdites données, qu’une personne concernée par leur traitement, leur demande d’effacer tous liens vers ces données à caractère personnel, ou toute copie ou reproduction de celles-ci.

Lorsque le responsable du traitement a autorisé un tiers à publier des données à caractère personnel de la personne concerne par le traitement, il est réputé responsable de cette publication, et doit à cet effet, prendre toutes les mesures appropriées, pour mettre en œuvre le droit à l’oubli numérique et à l’effacement des données à caractère personnel.

Art. 37

Le responsable du traitement des données à caractère personnel doit procéder, sans délai, à l’effacement, sauf lorsque la conservation des données à caractère personnel est nécessaire :

soit, à l’exercice du droit à la liberté d’expression ;
soit, pour des motifs d’intérêt général dans le domaine de la santé publique, conformément à la loi ;
soit, au respect d’une obligation légale de conserver les données à caractère personnel, prévue en vertu de la présente loi ou de toutes autres lois régissant les données à caractère personnel en République de Guinée, et à laquelle le responsable du traitement des dites données est soumis.

Art. 38

Le responsable du traitement des données à caractère personnel doit mettre en place des mécanismes appropriés, visant à assurer la mise en œuvre du respect du droit à l’oubli numérique et à l’effacement desdites données.

Il doit également examiner de manière périodique, la nécessité ou non de conserver les données à caractère personnel, conformément aux dispositions de la présente loi.

Lorsque l’effacement des données à caractère personnel est effectué, le responsable du traitement desdites données ne doit procéder à aucun autre traitement de ces données.

Chapitre 11 - Infractions classiques de droit commun commises sur ou par le biais des systèmes, logiciels et programmes informatiques

Art. 39

L’Autorité de Protection des données à caractère personnel doit adopter des mesures et des lignes directrices, aux fins de préciser :

les conditions de la suppression des liens vers ces données à caractère personnel, des copies ou des reproductions de celles-ci existant dans les services de communications électroniques accessibles au public ;
les conditions et critères applicables à la limitation du traitement des données à caractère personnel.

Art. 40

Lorsque les données à caractère personnel font l’objet d’un traitement automatisé dans un format structuré et couramment utilisé, la personne concernée par le traitement des données a le droit d’obtenir du responsable du traitement desdites données, une copie des données faisant l’objet du traitement automatisé, dans un format électronique structuré qui est couramment utilisé et qui permet la réutilisation de ces données par la personne concernée.

Lorsque la personne concernée par le traitement des données à caractère personnel a fourni lesdites données, et que le traitement est fondé sur son consentement préalable ou sur un contrat, elle a le droit de transmettre ces données à caractère personnel et toutes autres informations qu’elle a fournies et qui sont conservées par un système de traitement automatisé à un autre système dans un format électronique qui est couramment utilisé, sans que le responsable du traitement auquel les données à caractère personnel sont retirées, n’y fasse obstacle.

L’Autorité en charge de la Protection des Données à Caractère Personnel peut préciser le format électronique, ainsi que les normes techniques, les modalités et les procédures relatives à la transmission de données à caractère personnel.

Art. 41

Le traitement des données à caractère personnel est confidentiel. Il doit être effectué exclusivement par des personnes qui agissent sous l’autorité du responsable du traitement desdites données, et seulement sur ses instructions.

Chapitre 12 - Infractions en matière de données à caractère personnel commises sur ou par le biais des systèmes informatiques et en matière de cryptologie

Art. 42

Le responsable du traitement des données à caractère personnel est tenu de prendre toutes les précautions utiles, au regard de la nature des données, et notamment, pour empêcher qu’elles soient déformées, endommagées ou que des tiers non autorisés y aient accès.

Lorsque le traitement des données à caractère personnel est mis en œuvre pour le compte du responsable du traitement desdites données, celui-ci doit choisir un sous-traitant qui apporte ou satisfait à toutes les exigences de garantie, au regard des mesures de sécurité technique et d’organisation relatives au traitement à effectuer.

Il incombe au responsable du traitement des données, ainsi qu’au sous-traitant, de veiller au respect de ces mesures.

Art. 43

Le responsable du traitement des données à caractère personnel est tenu :

d’empêcher toute personne non autorisée, d’accéder aux installations utilisées pour le traitement des données ;
d’empêcher que des supports de données puissent être lus, copiés, modifiés ou déplacés par une personne non autorisée ;
d’empêcher l’introduction non autorisée de toute donnée dans le système d’information, ainsi que toute prise de connaissance, toute modification ou tout effacement non autorisés de données enregistrées ;
d’empêcher que des systèmes de traitement de données puissent être utilisés par des personnes non autorisées, à l’aide d’installations de transmission de données ;
d’empêcher que des systèmes de traitement de données soient utilisés à des fins de blanchiment de capitaux et de financement du terrorisme, ou d’infractions à la sûreté de l’Etat ou à l’ordre et à la sécurité publics ;
de garantir que, lors de l’utilisation d’un système de traitement automatisé de données, les personnes autorisées ne puissent accéder qu’aux données relevant ou couvertes par leur autorisation ;
de garantir que puisse être vérifiée et constatée, l’identité des tiers auxquels des données peuvent être transmises par des installations de transmission ;
de garantir que puisse être vérifiée et constatée à posteriori, l’identité des personnes ayant eu accès au système d’information contenant des données à caractère personnel, la nature des données qui ont été introduites, modifiées, altérées, copiées, effacées ou lues dans le système, le moment auquel ces données ont été manipulées ;
d’empêcher que lors de la communication de données et du transport de support de données, les données puissent être lues, copiées, modifiées, altérées ou effacées, sans autorisation préalable ;
de sauvegarder les données par la constitution de copies de sécurité protégées. Le responsable du traitement doit mettre en œuvre toutes les mesures techniques et l’organisation appropriées, afin d’assurer la protection des données à caractère personnel qu’il traite contre la destruction accidentelle ou illicite, la perte accidentelle, l’altération, la diffusion ou l’accès non autorisés des données, notamment lorsque le traitement des données comporte des transmissions de données dans un réseau, ainsi que contre toute autre forme de traitement illicite.

Art. 44

Le responsable du traitement des données à caractère personnel est tenu d’établir un rapport annuel à l’attention de l’Autorité en charge de la Protection des Données à Caractère Personnel sur le respect des dispositions énoncées pertinentes de la présente loi.

Art. 45

Les données à caractère personnel doivent être conservées pendant une durée fixée par l’Autorité en charge de la Protection des Données à Caractère Personnel en fonction des finalités de chaque type de traitement pour lesquelles elles ont été recueillies, conformément aux textes en vigueur.

Art. 46

Le responsable du traitement des données à caractère personnel est tenu de prendre toute mesure utile pour s’assurer que les données à caractère personnel traitées, peuvent être exploitées, quel que soit le support technique utilisé.

Art. 47

L’Autorité en charge de la protection des données à caractère personnel sera créée par voie réglementaire.

Art. 48

Cette Autorité en charge de la Protection des Données à Caractère Personnel devra veiller à ce que le traitement des données à caractère personnel soit mis en œuvre conformément aux dispositions de la présente loi ou de toutes autres législations et réglementations en vigueur en République de Guinée en matière de protection de données à caractère personnel.

Elle devra, en outre, s’assurer que l’usage des technologies de l’information et de la communication ne porte pas atteinte ou ne comporte pas de menaces pour les libertés et la vie privée pour l’ensemble des utilisateurs desdites technologies à l’échelle du territoire de la République de Guinée.

A ce titre, elle sera notamment chargée :

d’informer les personnes concernées par le traitement de leurs données à caractère personnel ainsi que les responsables du traitement desdites données de leurs droits et obligations ;
de répondre à toute demande d’avis portant sur un traitement de données à caractère personnel ;
d’établir un règlement intérieur qui précise, notamment les règles relatives aux délibérations, à l’instruction et à la présentation des dossiers ;
de recevoir les déclarations, et d’octroyer les autorisations pour la mise en œuvre des traitements de données à caractère personnel, ou de les retirer, selon les cas prévus par la présente loi ;
de recevoir les réclamations et les plaintes relatives à la mise en œuvre des traitements de données à caractère personnel, et d’informer les auteurs, de la suite accordée à ces plaintes ou réclamations ;
d’informer, sans délai, l’autorité judiciaire compétente des infractions dont elle a connaissance dans le cadre de ses missions ;
de déterminer les garanties indispensables et les mesures appropriées pour la protection des données à caractère personnel ;
de procéder, par le biais d’agents assermentés, à des vérifications relatives à tout traitement de données à caractère personnel ;
de prononcer des sanctions administratives et pécuniaires, à l’égard des responsables de traitement de données et/ou à leurs préposés, subordonnés ou sous-traitants qui ne se conforment pas aux dispositions de la présente loi ;
de mettre à jour et à la disposition du public pour consultation, un répertoire des traitements de données à caractère personnel ;
de conseiller les personnes et organismes qui font les traitements de données à caractère personnel ou qui procèdent à des essais ou expérimentations en la matière ;
de donner son avis sur tout projet de texte juridique, notamment de loi, de règlement, traité, convention, en rapport avec la protection des libertés et de la vie privée ;
d’élaborer des règles de conduites relatives au traitement et à la protection des données à caractère personnel ;
de participer aux activités de recherche scientifique, de formation et d’étude, en rapport avec la protection des données à caractère personnel, et de manière générale, les libertés et la vie privée ;
d’autoriser, à certaines conditions déterminées par Décret du Président de la République, les transferts transfrontaliers de données à caractère personnel ;
de faire des propositions susceptibles de simplifier et d’améliorer le cadre législatif et réglementaire régissant le traitement et la protection des données à caractère personnel ;
d’initier et mettre en œuvre tous les mécanismes nécessaires et utiles afin de renforcer la coopération avec les Autorités de la protection des données à caractère personnel d’autres pays et/ou les organisations sous-régionales, continentales ou internationales compétentes dans ce domaine ;
de participer aux réunions, séminaires, conférences et autres cadres de négociations internationales en matière de traitement et de protection des données à caractère personnel ;
d’établir et de remettre un rapport au Ministre des Postes, des Télécommunications et de l’Economie Numérique, au Ministre de la Justice, au Ministre de la Sécurité, à toute autre institution légitimement ou légalement intéressée, et éventuellement à la disposition du public.

Art. 49

Le Prestataire de services de cryptologie ne peut opposer à l’Autorité de la Protection des Données à Caractère Personnel, le secret professionnel auquel il est soumis en vertu des dispositions légales ou conventionnelles.

De même, le responsable du traitement de données à caractère personnel services ne peut opposer à l’Autorité de la Protection des Données à Caractère Personnel, le secret professionnel auquel il est assujetti.

Art. 50

L’Autorité en charge de la Protection des Données à Caractère Personnel peut prononcer à l’encontre du responsable du traitement de données à caractère personnel les mesures suivantes :

un avertissement à l’égard dudit responsable qui ne respecte pas les obligations résultant de la présente loi à laquelle il est assujetti ;
une mise en demeure ou sommation de cesser ou faire cesser les manquements constatés et ce, dans le délai que ladite Autorité de Protection aura fixé.

Art. 51

Lorsque la mise en œuvre d’un traitement de données à caractère personnel entraîne une violation des droits et libertés, l’Autorité en charge de la Protection des Données à Caractère Personnel peut, à l’issue d’une procédure contradictoire, décider :

de l’interruption de la mise en œuvre dudit traitement de données à caractère personnel ;
du verrouillage de certaines données à caractère personnel déjà traitées ;
de l’interdiction temporaire ou définitive d’un traitement contraire aux dispositions de la présente loi.

Art. 52

L’Autorité en charge de la Protection des Données à Caractère Personnel peut, après avoir entendu le responsable du traitement ou son sous-traitant qui ne se conforme pas aux dispositions prévues de la présente loi et à la mise en demeure qui lui a été adressée, prononcer à son encontre, les sanctions suivantes :

le retrait provisoire de l’autorisation accordée ;
le retrait définitif de l’autorisation accordée ;
une sanction pécuniaire (amende), dont le montant devra toutefois être proportionnel à la gravité des manquements commis et aux avantages tirés de ce manquement.

Art. 53

Les modalités de retrait de l’autorisation précitée, seront fixées par Décret du Président de la République.

Art. 54

Est interdit et puni d’une peine d’emprisonnement de un an à cinq ans et d’une amende de 30.000.000 à 200.000.000 Francs Guinéens, le fait de procéder ou tenter de procéder à la prospection directe à l’aide de tout moyen de communication utilisant, sous quelque forme que ce soit, les données à caractère personnel d’une personne physique qui n’a pas exprimé par écrit son consentement préalable à recevoir de telles prospections ou qui s’y est formellement opposée.

La tentative de commission de cette infraction et la complicité pour sa commission, sont punies des mêmes peines.

Art. 55

Est puni d’une peine d’emprisonnement de six mois à trois ans et d’une amende de 20.000.000 à 150.000.000 Francs Guinéens, quiconque entrave ou tente d’entraver l’action de l’Autorité en charge de la Protection des Données à Caractère Personnel, ou ne se conforme pas aux décisions et injonctions prises par ladite Autorité, notamment en :

s’opposant à l’exercice des missions confiées aux membres ou aux agents habilités de l’Autorité en charge de la Protection, en application des dispositions de la présente loi ;
en refusant de communiquer aux membres ou aux agents habilités de l’Autorité en charge de la Protection, les renseignements ou documents utiles à leur mission, ou en dissimulant lesdits documents ou renseignements, ou en les faisant disparaître ;
communiquant des informations qui ne sont pas conformes au contenu des enregistrements tel qu’il était au moment où la demande a été formulée ou qui ne présente pas ce contenu sous une forme directement accessible.

Tout complice de la commission ou de la tentative de commission de cette infraction sera puni des mêmes peines.

Le Procureur de la République ou le Juge compétent doit être informé, sans délai, des entraves aux actions notamment des décisions de l’Autorité en charge de la Protection des Données à Caractère Personnel, et celui-ci, dès que saisi, doit prendre toutes les mesures appropriées pour mettre fin à ces entraves, et de poursuivre l’auteur et tout complice.

Art. 56

Tout responsable de traitement de données ou son sous-traitant, subordonné ou préposé qui ne respecte pas les dispositions de la présente loi, sera puni d’une amende de 50.000.000 à 150.000.000 Francs Guinéens.

En cas de récidive dans les cinq années suivant la date à laquelle l’amende indiquée à l’alinéa ter du présent Article est devenue définitive, cette amende est portée à un montant qui ne peut excéder 1.500.000.000 Francs Guinéens ; et s’il s’agit d’une entreprise, cette amende est portée à un montant qui ne peut excéder 7 % du chiffre d’affaire hors taxes du dernier exercice clos de l’entreprise.

Art. 57

Les modalités de recouvrement des sanctions pécuniaires décidées par l’Autorité en charge de la Protection des Données à Caractère Personnel seront fixées par voie réglementaire.

Chapitre 13 - Infractions en matière de propriété intellectuelle dans et à travers les systèmes informatiques

Art. 58

En cas de récidive aux infractions prévues dans le cadre de la présente loi, les sanctions administratives et pénales prévues par ladite loi ou selon le cas par la loi sur la cybercriminalité pour les infractions liées aux données à caractère personnel, pourront être aggravées à la discrétion de l’Autorité en charge de la Protection des Données à Caractère Personnel ou de l’autorité judiciaire compétente.

Selon la nature de l’infraction, les peines d’emprisonnement et les amendes prévues par l’une des lois précitées, pourront être portées au double pour la peine de prison, et les amendes seront alourdies, au double si l’auteur de l’infraction ou tout complice est une personne physique, et du double au quintuple, s’il s’agit d’une personne morale.

Art. 59

Selon la gravité de l’infraction et l’ampleur du préjudice, des sanctions additionnelles de même nature ou du même ordre que celles prévues par la loi sur la cybercriminalité, pourront être prononcées par l’Autorité de Protection des Données à Caractère Personnel ou de l’autorité judiciaire compétente.

Art. 60

Les sanctions (pécuniaires, de prison, ou administratives) prononcées à l’encontre des auteurs (personnes morales ou physiques) d’infractions aux dispositions de la présente loi ou de leurs complices ou des dispositions de la loi sur la cybercriminalité relatives aux infractions en matière de données à caractère personnel devront être publiées au moins au journal officiel de la République, sur le site internet de l’Autorité de Protection des Données à Caractère Personnel, de la structure chargée de la lutte contre la cybercriminalité (CERT), dans un journal d’information ou d’annonces légales, au greffe de la juridiction compétente et sur tout autre support électronique ; et ce, aux frais de la personne condamnée (pour les deux derniers supports).

Art. 61

Outre les sanctions prévues par la présente loi, les infractions en matière de données à caractère personnel peuvent également être réprimées par les sanctions pertinentes prévues en la matière par la loi sur la cybercriminalité en vigueur en République de Guinée.

L’Autorité en charge de la Protection des Données à Caractère Personnel peut au-delà des sanctions prévues par la présente loi, et sans que cela ne constitue une atteinte aux prérogatives du Centre national de sécurité des systèmes d’information (CERT), également prononcer toutes sanctions pécuniaires ou administratives prévues par la loi sur la cybercriminalité en matière d’infractions aux données à caractère personnel, à l’encontre de tout auteur et complice de violation des règles prévues en cette matière par ladite loi, au seul cas où l’unité ou l’institution guinéenne en charge de la lutte contre la cybercriminalité (CERT) ou l’autorité judiciaire compétente, n’aurait pas encore prononcé les sanctions prévues pour l’infraction commise.

Chapitre 14 - Infractions en matière de jeux, transferts d’argent et autres agissements illicites sur les réseaux de communications électroniques

Art. 62

Les délais de prescription concernant les infractions ou atteintes en matière de données à caractère personnel, suivent le même régime que ceux prévus par les Codes Pénal et de Procédure Pénal en vigueur en République de Guinée. A défaut, ceux-ci seront déterminés par un Décret du Président de la République.

Art. 63

Les responsables du traitement des données à caractère personnel disposent d’un délai maximum d’un an, à compter de la date de promulgation de la présente loi, pour se mettre en conformité avec les dispositions de ladite loi.

Art. 64

Les modalités d’application non précisées pour les autres dispositions de la présente loi seront précisées par des textes d’application (Décrets, Arrêtés, Décisions....) pris par l’autorité compétente.

Art. 65

La présente loi qui abroge toutes dispositions antérieures contraires et entre en vigueur à compter de la date de sa promulgation, sera enregistrée et publiée au Journal Officiel de la République de Guinée, et exécutée comme loi de l’Etat.

Partie 2 - La protection des données à caractère personnel

Titre 1 - Dispositions générales