Loi n° 2014-038 du 9 janvier 2015 sur la protection des données à caractère personnel

Les données à caractère personnel doivent être :

• collectées et traitées, de manière loyale, licite et non frauduleuse pour des finalités déterminées, explicites et légitimes ; à cet effet, elles ne doivent pas être utilisées ultérieurement pour d’autres finalités sauf consentement de la personne concernée ou finalité prévue dans une disposition législative ;
• adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées ou utilisées ;
• exactes, complètes et si nécessaire mises à jour ; toutes les mesures nécessaires raisonnables doivent être prises pour que les données inexactes ou incomplètes, au regard des finalités pour lesquelles elles sont collectées ou pour lesquelles elles sont traitées ultérieurement, soient effacées ou rectifiées ;
• conservées sous une forme permettant l’identification des personnes concernées pendant une durée qui n’excède pas celle nécessaire aux finalités pour lesquelles elles sont collectées ou utilisées.

Les dispositions de l’alinéa précédent ne s’opposent pas à la conservation et à l’utilisation des données traitées à des fins de gestion des archives ou à des fins historiques, statistiques ou scientifiques selon les modalités et les garanties appropriées définies par la législation ou par la Commission Malagasy de l’Informatique et des Libertés, en l’absence de dispositions légales.

Le responsable du traitement prend toutes précautions utiles, au regard de la nature des données et des risques encourus, pour préserver la sécurité des données.

Il doit protéger les traitements et les données contre notamment la destruction accidentelle ou illicite, la perte accidentelle, l’altération, la diffusion ou l’accès non autorisé.

Les traitements de données à caractère personnel peuvent faire l’objet d’une sous-traitance.

Les données à caractère personnel ne peuvent faire l’objet d’une opération de traitement de la part d’un sous-traitant, que sur instruction du responsable du traitement.

Le sous-traitant doit présenter des garanties suffisantes pour assurer la mise en œuvre des mesures de sécurité et de confidentialité. Cette exigence n’exonère pas le responsable du traitement de son obligation de veiller au respect de ces mesures.

Le contrat liant le sous-traitant au responsable du traitement comporte l’indication des obligations incombant au sous-traitant en matière de protection de la sécurité et de la confidentialité des données et prévoit que le sous-traitant ne peut agir que sur instruction du responsable du traitement.

Un traitement des données à caractère personnel doit avoir reçu le consentement de la personne concernée ou satisfaire à l’une des conditions suivantes :

• 1. le respect d’une obligation légale incombant au responsable du traitement ;
• 2. la sauvegarde de la vie de la personne concernée ;
• 3. l’exécution d’une mission de service public dont est investi le responsable ou le destinataire du traitement ;
• 4. l’exécution, soit d’un contrat auquel la personne concernée est partie, soit de mesures précontractuelles prises à la demande de celui-ci ;
• 5. la réalisation de l’intérêt légitime poursuivi par le responsable du traitement ou par le destinataire, sous réserve de ne pas méconnaitre l’intérêt ou les droits et libertés fondamentaux de la personne concernée.

En raison de risques de discrimination et d’atteinte aux libertés des personnes. Tout traitement portant sur les données sensibles est interdit.

Sont considérées comme des données sensibles, celles révélant l’origine raciale, les données biométriques, les données génétiques, les opinions politiques, les convictions religieuses ou autres convictions, l’appartenance syndicale et celles qui se rapportent à la santé ou à la vie sexuelle des personnes.

Par dérogation, les données sensibles peuvent faire l’objet d’un traitement présentant des garanties appropriées telles que définies par la loi ou la Commission, dans les cas suivants :

• quand la personne concernée a donné son consentement exprès, sauf si la loi prévoit que l’interdiction de traitement ne peut être levée par le consentement de la personne ;
• le traitement est nécessaire à la sauvegarde de la vie de la personne concernée ou d’un tiers, lorsque la personne concernée ne peut donner son consentement par suite d’une incapacité juridique ou d’une impossibilité matérielle ;
• le traitement est mis en œuvre par une association ou tout autre organisme à but non lucratif et à caractère religieux, philosophique, politique ou syndical pour les données sensibles correspondant à l’objet de ladite association ou dudit organisme et sous réserve qu’ils ne concernent que les membres de cette association ou de cet organisme et, le cas échéant, les personnes qui entretiennent avec celui-ci des contacts réguliers dans le cadre de son activité. Ces traitements ne comportent pas de communication à des tiers à moins que les personnes concernées n’y consentent expressément ;
• le traitement est nécessaire à la constatation, à l’exercice ou à la défense d’un droit en justice ;
• le traitement est nécessaire aux fins de la médecine préventive, des diagnostics médicaux, de l’administration de soins ou de traitements ou de la gestion de services de santé et mis en œuvre par un membre d’une profession de santé, ou par une autre personne à laquelle s’impose en raison de ses fonctions l’obligation de secret professionnel prévue par le Code pénal  ;
• le traitement ultérieur des données d’un patient est nécessaire à une recherche d’intérêt public dans le domaine de la santé et la personne ne s’y est pas opposée ;
• le traitement porte sur des données rendues publiques par la personne concernée ;
• le traitement est nécessaire à la poursuite d’un intérêt public et autorisé par la loi ou par la Commission conformément à l’article 46 de la présente loi.

Traitement de données à caractère personnel relatives aux infractions et condamnations

Le traitement de données à caractère personnel relatives aux infractions et condamnations et mesures de sûretés peut exclusivement être mis en œuvre par :

• les juridictions, les autorités publiques gérant un service public, agissant dans le cadre de leurs attributions légales ;
• les auxiliaires de justice, pour les stricts besoins de l’exercice des missions qui leur sont confiées par la loi.

Le responsable d’un traitement ne peut transférer des données à caractère personnel vers un Etat étranger que si l’Etat destinataire dispose d’une législation assurant un niveau de protection des personnes similaire à celui assuré par la présente loi.

Le niveau de protection offert par un pays tiers s’apprécie au regard de toutes les circonstances relatives à un transfert ou à une catégorie de transferts de données ; en particulier, sont prises en considération la nature des données, la finalité et la durée du ou des traitements envisagés, les pays d’origine et de destination finale, les règles de droit, générales ou sectorielles, en vigueur dans le pays tiers en cause, ainsi que les règles professionnelles et les mesures de sécurité qui y sont respectées.

A défaut d’un niveau de protection similaire, la Commission Malagasy de l’Informatique et des Libertés peut autoriser le transfert de données à caractère personnel, lorsque le responsable du traitement offre des garanties suffisantes au regard de la protection de la vie privée et des libertés et droits fondamentaux des personnes ; ces garanties peuvent notamment résulter de clauses contractuelles appropriées ou de l’adoption de règles internes.

Par dérogation aux paragraphes précédents, le transfert de données à caractère personnel vers un tiers n’assurant pas un niveau de protection similaire peut être effectué de façon exceptionnelle, à condition que :

• a) la personne concernée ait indubitablement donné son consentement au transfert envisagé dûment informée de l’absence d’un niveau de protection similaire ou ;
• b) le transfert soit nécessaire à l’exécution d’un contrat entre la personne concernée et le responsable du traitement ou à l’exécution de mesures précontractuelles prises à la demande de la personne concernée ou ;
• c) le transfert soit nécessaire à la conclusion ou à l’exécution d’un contrat conclu ou à conclure, dans l’intérêt de la personne concernée, entre le responsable du traitement et un tiers ou ;
• d) le transfert soit nécessaire ou rendu juridiquement obligatoire pour la sauvegarde d’un intérêt public important, ou pour la constatation, l’exercice ou la défense d’un droit en justice ou ;
• e) le transfert soit nécessaire à la sauvegarde de l’intérêt vital de la personne concernée ou ;
• f) le transfert intervienne au départ d’un registre public qui, en vertu de dispositions législatives ou réglementaires, est destiné à l’information du public et est ouvert à la consultation publique ou de toute personne justifiant d’un intérêt légitime, dans la mesure où les conditions légales pour la consultation sont remplies dans le cas particulier.

Il est interdit au destinataire de transférer à nouveau les données à caractère personnel à l’étranger, sauf accord du responsable du traitement d’origine et de celui de la Commission Malagasy de l’Informatique et des Libertés.

Données recueillies par les prestataires de service de certification électronique

Sauf consentement exprès de la personne concernée, les données à caractère personnel recueillies par les prestataires de service de certification électronique pour les besoins de la délivrance et de la conservation des certificats liés aux signatures électroniques doivent l’être directement auprès de la personne concernée et ne peuvent être traitées que pour les fins en vue desquelles elles ont été recueillies.