Loi n° 2014-038 du 9 janvier 2015 sur la protection des données à caractère personnel

Toute personne justifiant d’un motif légitime a le droit de s’opposer, à tout moment et sans frais, à ce que des données à caractère personnel la concernant fassent l’objet d’un traitement. En cas de contestation, le caractère légitime du motif est apprécié par la Commission Malagasy de l’Informatique et des Libertés.

La personne concernée a le droit de s’opposer à ce que les données la concernant soient utilisées à des fins de prospection sans avoir à justifier d’un motif légitime.

Les dispositions du premier alinéa ne s’appliquent pas lorsque le traitement répond à une obligation légale ou lorsque l’application de ces dispositions a été écartée par une disposition expresse de l’acte autorisant le traitement.

Toute personne a le droit de savoir si elle est concernée par un traitement.

Toute personne, sous réserve de justifier de son identité, a le droit d’obtenir du responsable d’un traitement :

• des informations relatives aux finalités du traitement, aux catégories de données à caractère personnel traitées et aux destinataires ou aux catégories de destinataires auxquels les données sont communiquées ;
• la communication, sous une forme compréhensible, de l’ensemble des données qui la concerne ainsi que de toute information disponible quant à leur origine ;
• les informations permettant de connaître et de contester la logique qui sous-tend le traitement automatisé en cas de décision prise sur le fondement de celui-ci et produisant des effets juridiques à l’égard de l’intéressé.

Le demandeur exerce gratuitement son droit d’accès sur place ou à distance. Il est fait droit à sa demande sans délai.

Une copie des données le concernant, conforme au contenu du traitement, est délivrée à l’intéressé à sa demande.

Lorsque l’exercice du droit d’accès s’applique à des données de santé à caractère personnel, celles-ci peuvent être communiquées à la personne concernée, selon son choix, directement ou par l’intermédiaire du médecin qu’elle désigne à cet effet.

En cas de risque de dissimulation ou de disparition des données, la Commission Malagasy de l’Informatique et des Libertés peut ordonner toutes mesures de nature à les éviter.

Les dispositions du présent article ne sont pas applicables aux traitements concernant la sécurité publique, ainsi qu’à la collecte des informations nécessaires à la constatation des infractions et à la mise en œuvre des poursuites conséquentes. L’article 26 de la présente loi est alors applicable.

Le responsable du traitement peut s’opposer aux demandes manifestement abusives, notamment par leur nombre, leur caractère répétitif ou systématique. En cas de contestation, la charge de la preuve du caractère manifestement abusif des demandes incombe au responsable auprès duquel elles sont adressées.

Toute personne peut exiger, munie de toutes les justifications nécessaires, du responsable d’un traitement que soient, selon les cas, rectifiées, complétées, mises à jour, verrouillées ou effacées les données à caractère personnel la concernant, qui sont inexactes, incomplètes, équivoques, périmées, ou dont la collecte, l’utilisation, la communication ou la conservation est interdite.

Lorsque l’intéressé en fait la demande, le responsable du traitement doit justifier, sans frais pour le demandeur, qu’il a procédé aux opérations exigées.

En cas de contestation, la charge de la preuve incombe au responsable auprès duquel est exercé le droit d’accès sauf lorsqu’il est établi que les données contestées ont été communiquées par l’intéressé ou avec son accord.

Si le responsable du traitement a transmis des données à un tiers, il doit lui notifier sans délai les opérations effectuées sur ces données.

Par dérogation à l’article 23 sur le droit d’accès et à l’article 25 sur le droit de rectification, lorsqu’un traitement intéresse la sûreté de l’Etat, la défense ou la sécurité publique, les droits d’accès et de rectification aux données s’exercent de façon indirecte.

La demande est adressée à la Commission Malagasy de l’Informatique et des Libertés qui désigne un de ses membres relevant de la magistrature qu’elle a spécialement mandaté pour mener les investigations utiles et faire procéder aux modifications ; celui-ci peut se faire assister d’un agent de la commission.

Lorsque la Commission Malagasy de l’Informatique et des Libertés constate, en accord avec le responsable du traitement, que la communication des données qui y sont contenues ne met pas en cause la sûreté de l’Etat, la défense ou la sécurité publique, ces données sont communiquées au requérant. A défaut, il est notifié au requérant qu’il a été procédé aux vérifications et modifications éventuelles.

Le responsable du traitement s’assure que la personne auprès de laquelle sont recueillies des données à caractère personnel est informée :

• de l’identité du responsable du traitement et le cas échéant de celle de son représentant ;
• de la finalité poursuivie par le traitement ;
• du caractère obligatoire ou facultatif des informations qui lui sont demandées ;
• des catégories de données traitées ;
• des destinataires ou catégories de destinataires des données ;
• de ses droits d’opposition, d’accès et de rectification ainsi que des modalités d’exercice ;
• le cas échéant de transferts de données à caractère personnel et, dans ce cas, les garanties attachées à ces transferts selon les dispositions de l’article 20 de la présente loi.

Cette information est portée à la connaissance de la personne sous une forme compréhensible et adaptée en fonction du moyen utilisé pour la collecte des données. A sa demande, la personne concernée peut également obtenir à tout moment ces informations.

Toute personne utilisatrice des réseaux de communications électroniques doit être informée directement et de manière claire et complète par le responsable du traitement ou de son représentant :

• de la finalité de toute action tendant à accéder, par voie de transmission électronique des informations stockées dans son équipement terminal de connexion, ou à inscrire, par la même voie, des informations dans son équipement terminal de connexion ;
• des moyens dont elle dispose pour s’y opposer.

Ces dispositions ne sont pas applicables si l’accès aux informations stockées dans l’équipement terminal de l’utilisateur ou l’inscription d’information dans l’équipement terminal de l’utilisateur :

• soit a pour finalité exclusive de permettre ou faciliter la communication par voie électronique ;
• soit est strictement nécessaire à la fourniture d’un service de communication en ligne à la demande expresse de l’utilisateur.

Lorsque les données à caractère personnel n’ont pas été recueillies auprès de la personne concernée, le responsable du traitement ou son représentant doit fournir à cette dernière les informations énumérées ci-dessus dès l’enregistrement des données ou si une communication des données à des tiers est envisagée, au plus tard lors de la première communication des données.

Les dispositions du présent article ne sont pas applicables aux traitements concernant la sécurité publique, ainsi qu’à la collecte des informations nécessaires à la constatation des infractions et à la mise en œuvre des poursuites conséquentes.