Chapitre 4 - Des traitements des données à caractère personnel
Section 1 - Des droits des personnes
Art. 56
Le droit d’opposition prévu à l’article 22 de la loi n° 2014-038 du 09 janvier 2015 sur la protection des données à caractère personnel, est justifié par des raisons tenant à la situation particulière de la personne concernée.
Le responsable de traitements conteste l’opposition en démontrant que le traitement répond à des motifs légitimes et impérieux.
Avant la saisine de la CMIL, la personne concernée doit exercer son droit d’opposition auprès du responsable de traitement. La demande, formulée verbalement, ou par écrit ou par courrier électronique, précise les données que la personne concernée souhaite supprimer et le motif légitime de son opposition.
Le responsable de traitements se prononce dans un délai de huit jours de la demande. Passé ce délai, le silence du responsable de traitements équivaut à un refus.
La CMIL est saisie verbalement ou par écrit ou par courrier électronique par la personne concernée après le refus de suppression.
Art. 57
En cas de risque de dissimulation ou de disparition des données suite à l’exercice du droit d’accès prévu à l’article 23 de la loi n° 2014-038 du 09 janvier 2015 sur la protection des données à caractère personnel, la personne concernée peut faire une demande auprès de la CMIL aux fins d’ordonner les mesures nécessaires pour éviter ce risque.
Les mesures ordonnées par la CMIL ainsi que leurs modalités d’exécution sont notifiées au responsable de traitement avec indication du délai d’exécution desdites mesures et de l’obligation d’en établir un rapport.
Art. 58
Conformément à l’article 26 de la loi n° 2014-038 du 09 janvier 2015 sur la protection des données à caractère personnel, la demande d’accès indirect ou de rectification indirecte au traitement des données intéressant la sureté de l’Etat, la défense et la sécurité publique est accompagnée de la copie d’une pièce d’identité du requérant et de tout document utile.
Le magistrat désigné pour mener les investigations entre en contact avec le responsable de traitements pour vérifier l’existence d’informations concernant le requérant et l’exactitude des données, demander la rectification si nécessaire, et pour communiquer les informations au requérant sous réserve de l’accord écrit du responsable de traitements.
Section 2 - De la mise en œuvre des traitements
Art. 59
Sont considérées comme des données sensibles, celles révélant l’origine raciale, les données biométriques, les données génétiques, les opinions politiques, les convictions religieuses ou autres convictions, l’appartenance syndicale et celles qui se rapportent à la santé ou à la vie sexuelle des personnes
En raison de risques de discrimination et d’atteinte aux libertés des personnes, Tout traitement portant sur les données sensibles est interdit.
Art. 60
Le traitement des données sensibles n’est possible que s’il répond à l’un des cas prévus par l’article 18 de la loi n° 2014-038 du 09 janvier 2015 sur la protection des données à caractère personnel.
Ces données doivent être adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées.
Le traitement doit être effectué de manière licite, loyale et transparente au regard de la personne concernée.
Les mesures de sécurité pour le traitement de ces données doivent être renforcées par le biais de la pseudonymisation ou du cryptage.
Art. 61
Le responsable de traitement doit préalablement adresser une demande d’autorisation de traitement de données sensibles à la CMIL, en présentant l’intérêt public poursuivi, le type de données sensibles et la personne concernée, outre les mentions de l’article 49 de la même loi.
Le traitement ne peut être entamé qu’après la notification de l’autorisation donnée par la CMIL.
Art. 62
Conformément à l’article 20 de la loi n° 2014-038 du 09 janvier 2015 sur la protection des données à caractère personnel, le responsable de traitement doit préalablement adresser une demande de transfert de données à l’étranger à la CMIL, en justifiant d’un niveau de protection des données suffisant et approprié, outre les mentions de l’article 49 de la même loi, et à la condition que la personne concernée dispose de droits opposables et de voies de droit effectives.
Le traitement ne peut être entamé qu’après la notification de l’autorisation donnée par la CMIL.
Les clauses contractuelles appropriées sont celles convenues entre le responsable du traitement dans le pays expéditeur et le responsable de traitement dans le pays destinataire.
L’adoption de règles internes consiste à l’intégration des dispositions dans des arrangements administratifs entre les autorités publiques qui prévoient des droits opposables et effectifs pour les personnes concernées.
Art. 63
Pour transférer à nouveau les données à l’étranger, une demande est adressée par le destinataire des données transférées à la CMIL. L’accord écrit du responsable du traitement d’origine doit être joint à la demande. La demande doit toujours être accompagnée des garanties appropriées prévues par l’article précédent.
Le transfert ne peut être entamé qu’après la notification de l’accord donné par la CMIL.
Art. 64
La mise à disposition au public, prévue par l’article 38 de la loi n° 2014-038 du 09 janvier 2015 sur la protection des données à caractère personnel, de la liste des traitements déclarés ou autorisés, des avis, autorisations, décisions, recommandations et dispenses de déclaration se fait par publication sur le site de la CMIL, par voie d’affichage et par tout moyen laissant trace écrite.
Art. 65
Conformément à l’article 43 de la même loi, la déclaration préalable des traitements informatisés des données personnelles par des organismes publics ou privés consiste à informer la CMIL de leur intention de procéder au traitement.
La mise en œuvre du traitement se fait après l’obtention d’un récépissé de déclaration.
Art. 66
Le registre des traitements informatisés se présente notamment sous une forme physique ou électronique.
Il comporte les informations suivantes :
- le nom et les coordonnées du responsable de traitement, du sous-traitant le cas échéant et du délégué de la protection des données ;
- les finalités du traitement ;
- les avis et/ou autorisations de la CMIL ;
- les catégories des personnes concernées ;
- les catégories de données à caractère personnel ;
- les catégories de destinataires du traitement ;
- les transferts à l’étranger, le cas échéant ;
- la durée de conservation ou les délais prévus pour l’effacement des données ;
- les mesures de sécurité apportées.
Art. 67
Pour les traitements du secteur public prévus à l’article 44 de la même loi, la demande d’avis conforme est adressée par le représentant légal de la personne morale de droit public à la CMIL.
Art. 68
Pour le traitement présentant des risques précisés par l’article 46 de la même loi, le responsable de traitement doit préalablement adresser à la CMIL une demande d’autorisation de traitements des données, outre les mentions de l’article 49 de la même loi.
Il est tenu de justifier que l’intérêt du traitement prévaut sur les droits et libertés fondamentaux de la personne concernée.
Le traitement ne peut être entamé qu’après la notification de l’autorisation donnée par la CMIL.
Art. 69
Pour les catégories prévues par l’article 47 de la même loi, le récépissé de déclaration simplifiée de conformité comporte le nom du déclarant et la norme déclarée suivant l’alinéa 2 du même article.
Art. 70
Dans le cadre des demandes d’avis et d’autorisation, la décision de renouvellement du délai de deux mois prévus par l’article 48 de la même loi intervient avant l’expiration dudit délai.
Art. 71
La notification des autorisations, avis et accords se fait par tout moyen laissant trace écrite.
Section 3 - Du délégué à la protection des données à caractère personnel
Art. 72
La désignation du délégué à la protection des données à caractère personnel se fait sur la base des qualités professionnelles en matière informatique et de protection des données.
Art. 73
La notification de la désignation à la CMIL ainsi que la liste des délégués désignés tenue par la CMIL comportent :
- l’identité et les coordonnées professionnelles du responsable du traitement ;
- l’identité et les coordonnées professionnelles du délégué à la protection des données ;
- la date de désignation du délégué.
La liste des délégués désignés est mise à jour après chaque désignation notifiée à la CMIL.
Art. 74
Le responsable de traitement qui envisage de révoquer le délégué à la protection des données doit informer préalablement la CMIL, dans un délai de huit jours avant la révocation, par tout moyen laissant trace écrite, et ce en invoquant le motif grave exigé par l’article 54 alinéa 1er de la loi n° 2014-038.
Conformément à l’article 54 in fine de la même loi, le délégué est informé par la CMIL du motif portant manquement aux devoirs de sa mission. Il dispose de huit jours à compter de la réception de l’information pour formuler ses observations et les envoyer à la CMIL par les mêmes formes.
