Loi n° 2014-038 du 9 janvier 2015 sur la protection des données à caractère personnel

Il est institué une Autorité indépendante de protection des données à caractère personnel dénommée Commission Malagasy de l’Informatique et des Libertés (CMIL) ci-après désignée la Commission. Elle est chargée de veiller à ce que les traitements de données à caractère personnel soient mis en œuvre conformément aux dispositions de la présente loi.

A cet effet, elle dispose d’un pouvoir réglementaire et de sanction.

Composition, le mode de désignation, la durée des mandats et les avantages :

1) Composition

La Commission Malagasy de l’Informatique et des Libertés est composée de neuf membres :

• un député élu en séance plénière de l’Assemblée nationale ;
• un sénateur élu par le Bureau permanent du Sénat ;
• un magistrat de l’ordre judiciaire de la Cour de Cassation élu par ses pairs ;
• un magistrat de l’ordre administratif du Conseil d’Etat élu par ses pairs ;
• un magistrat de l’ordre financier de la Cour des Comptes élu par ses pairs ;
• un représentant du secteur privé, ayant une expérience en matière de technologies de l’information et de communication, désigné par la Fédération des Chambres du Commerce et de l’Industrie ;
• deux personnalités ayant une compétence en matière de technologies de l’information et de communication désignées par la Fédération Nationale de l’ordre des ingénieurs ;
• une personnalité ayant une compétence particulière en matière des Droits Humains désignée par le Commission Nationale Indépendante des Droits de l’Homme.

2) Mode de désignation

La désignation des membres est constatée par décret pris en Conseil des Ministres.

L’absence de désignation due au défaut de proposition par l’entité source ne saurait constituer un obstacle au fonctionnement normal et régulier de la Commission Malagasy de l’Informatique et des Libertés.

3) Durée du mandat

Les membres sont nommés pour un mandat de quatre ans renouvelable une seule fois ou pour la durée de leur mandat en cas de mandat électif.

Le membre qui cesse d’exercer ses fonctions en cours de mandat est remplacé, dans les mêmes conditions pour la durée du mandat restant à courir.

Sauf démission, il ne peut être mis fin au mandat d’un membre qu’en cas d’empêchement constaté par la Commission Malagasy de l’Informatique et des Libertés dans les conditions fixées par décret pris en Conseil des Ministres.

4) Avantages

Des indemnités sont allouées aux membres pour leur participation aux travaux de la Commission Malagasy de l’Informatique et des Libertés. A cet effet, ils perçoivent une indemnité de session, et en cas de mission d’information ou de contrôle sur place prévus à l’article 40 de la présente loi, une indemnité de déplacement et de séjour.

Ils perçoivent également une part des remises sur recouvrement, sur les sanctions pécuniaires prononcées par la Commission et sur les amendes pénales.

Les montants et taux des avantages prévus aux alinéas précédents revenant aux membres de la Commission sont fixés par décret pris en Conseil des Ministres.

Les membres du Bureau bénéficient d’une indemnité de fonction mensuelle dont le montant est fixé par un décret pris en Conseil des Ministres.

La Commission Malagasy de l’Informatique et des Libertés constitue une autorité administrative indépendante.

Elle comprend un organe délibérant collégial et un bureau.

1) Organe délibérant

Les membres de la Commission Malagasy de l’Informatique et des Libertés constituent l’organe délibérant.

La Commission se réunit en formation plénière. En cas de partage de voix, la voix du Président est prépondérante.

2) Bureau

La Commission Malagasy de l’Informatique et des Libertés élit en son sein un Président et deux vice-présidents. Ils composent le bureau.

Le Président et le Vice-président délégué peuvent être chargés par la Commission Malagasy de l’Informatique et des Libertés d’exercer certaines de ses attributions.

A l’exception des membres du bureau, les membres n’exercent pas de fonction à titre permanent.

3) Services

La Commission Malagasy de l’Informatique et des Libertés dispose des services dirigés dont l’organigramme est fixé par décret pris en Conseil du Gouvernement.

Les agents de la Commission Malagasy de l’Informatique et des Libertés sont nommés par le Président.

En tant que de besoin, elle peut instituer des bureaux décentralisés pour l’aider à s’acquitter de ses fonctions.

Les membres et les agents de la Commission Malagasy de l’Informatique et des Libertés sont tenus au secret professionnel pour les informations qu’ils ont à connaître dans l’exercice de leurs fonctions dans les conditions prévues à l’article 378 du Code pénal et, sous réserve de ce qui est nécessaire à l’établissement du rapport annuel.

Avant d’entrer en fonction, les membres prêtent devant la Cour Suprême siégeant en audience solennelle, le serment suivant : « Mianiana aho fa hanatanteraka antsakany sy andavany ary amim-pahamendrehana ny andraikitra amin’ny maha-mpikambana ahy ao amin’ny Vaomiera Malagasy miandraikitra ny Informatika sy ny Fahafahan’ny olona tsirairay, tsy hiandany na amin’iza na amin’iza ary hitandro mandrakariva sy tsy hamboraka na oviana na oviana ny tsiambaratelon’ny dinika ».

Aucun membre de la Commission Malagasy de l’Informatique et des Libertés ne peut être poursuivi, recherché, arrêté détenu ou jugé à l’occasion des opinions émises ou actes accomplis dans l’exercice de son mandat et liés à sa mission.

Dans le cadre de leurs missions ou l’exercice de leurs attributions, les membres de la Commission Malagasy de l’Informatique et des Libertés ne reçoivent d’instruction d’aucune autorité.

Les autorités publiques, dirigeants d’entreprises publiques ou privées, responsables de groupements divers et plus généralement les détenteurs ou utilisateurs de traitements et de fichiers de données à caractère personnel ne peuvent s’opposer à l’action de la commission ou de ses membres et doivent au contraire prendre toutes mesures utiles afin de faciliter sa tâche.

La Commission Malagasy de l’Informatique et des Libertés présente un rapport annuel de ses activités :

• au Président de la République ;
• au Premier Ministre, Chef du Gouvernement ;
• au Parlement ;
• au Ministre de la Justice.

Elle rend public son rapport d’activité par tout moyen qu’elle juge approprié.

La qualité de membre de la Commission Malagasy de l’Informatique et des Libertés est incompatible :

• avec la qualité de membre du Gouvernement ;
• avec toute fonction de direction dans une personne morale, publique ou privée, quand le cumul de ce statut et de cette fonction pourrait constituer un conflit d’intérêts.

Les incompatibilités sont appréciées par le Président de la Commission Malagasy de l’Informatique et des Libertés, avant la prise de fonction effective de chaque membre, puis une fois par an au cours de leur mandat.

En cas de changement de son statut, tout membre le déclare au Président ; ce dernier apprécie l’existence ou non d’incompatibilité.

Aucun membre ne peut participer à une délibération ou procéder à des vérifications relatives à un organisme au sein duquel il a, au cours des trente-six mois précédant la délibération ou les vérifications, détenu un intérêt direct, exercé des fonctions ou détenu un mandat.

La Commission Malagasy de l’Informatique et des Libertés peut faire appel à toute personne dont elle juge la compétence utile pour certaines matières ; dans ce cas, le Président veille à ce qu’il n’y ait pas un conflit d’intérêt.

La Commission Malagasy de l’Informatique et des Libertés :

• informe toutes les personnes concernées et les responsables de traitements de leurs droits et obligations ;
• reçoit les déclarations de création de traitement informatique, ou donne son avis écrit ou son autorisation écrite dans les cas prévus par la loi ;
• contrôle la création et la mise en œuvre des traitements ;
• établit et publie les normes simplifiées et les exonérations ;
• fait des recommandations ;
• édicte des règles types en vue d’assurer la sécurité des systèmes d’information ;
• reçoit les réclamations, pétitions et plaintes en rapport avec sa mission et informe leurs auteurs de suites données à celles-ci ;
• adresse aux intéressés des avertissements et dénonce à l’autorité judiciaire les infractions aux dispositions de la présente loi ;
• prononce les sanctions administratives prévues par la présente loi ;
• exerce une veille sur les évolutions des technologies de l’information et de communication et sur son environnement juridique ;
• rend publique son évaluation des conséquences de ces évolutions sur la protection des libertés et de la vie privée dans le cadre de son rapport annuel ;
• propose au Gouvernement des modifications législatives ou réglementaires qui lui semblent susceptibles d’améliorer la protection des personnes à l’encontre de l’utilisation des technologies de l’information et de communication ;
• rend un avis dans un délai deux mois renouvelable une fois en cas de nécessité sur tout projet de texte relatif à la protection de données à caractère personnel à l’égard des traitements informatisés ;
• répond aux demandes d’accès indirects ;
• peut délivrer des labels ;
• coopère avec les autorités de protection de données personnelles instituées dans d’autres Etats ;
• coopère avec le réseau des délégués à la protection des données personnelles.

Elle est associée à la négociation internationale ayant une incidence sur le traitement des données à caractère personnel.

Elle tient à la disposition du public la liste des traitements qui ont fait l’objet d’une déclaration ou d’une autorisation.

Cette liste précise pour chaque traitement :

• l’acte décidant la création du traitement ou la date de sa déclaration ;
• la dénomination ou la finalité du traitement ;
• l’identité et l’adresse du responsable du traitement ou, si celui-ci n’est établi sur le territoire national, celles de son représentant ;
• la personne ou le service auprès duquel s’exerce le droit d’accès ;
• les catégories de données personnelles faisant l’objet du traitement ainsi que les destinataires ou catégories des destinataires habilités à en recevoir communication ;
• le cas échéant, les transferts de données à caractère personnel à destination d’un autre Etat.

Elle tient également à la disposition du public ses avis, autorisations, décisions, recommandations, dispenses de déclaration.

Elle informe par tout moyen qu’elle juge approprié les autorités publiques, les organismes privés et les représentants de la société civile des avis, autorisations, décisions qu’elle rend au regard de la protection des libertés ainsi que de ses recommandations.

Les décisions de la Commission Malagasy de l’Informatique et des Libertés ayant une portée générale sont publiées dans le Journal Officiel.

Des décrets peuvent, sur avis conforme de la Commission Malagasy de l’Informatique et des Libertés, disposer que les actes réglementaires relatifs à certaines données intéressant la sûreté de l’Etat, la défense et la sécurité publique ne sont pas publiées.

Pour exercer les missions qui lui sont confiées par la loi, la Commission Malagasy de l’Informatique et des Libertés peut :

• procéder par voie de recommandations ;
• prendre des décisions individuelles ou réglementaires ;
• adopter des mesures de simplification ou des dispenses de déclaration ;
• définir des modalités d’exercice des droits des personnes, en particulier en matière d’information ;
• enjoindre les responsables de traitement des fichiers de lui communiquer toute information utile sur les fichiers informatiques qu’ils utilisent.

Elle peut décider de mener des missions d’information ou de contrôle sur place.

Sauf dans les cas où elles sont astreintes au secret professionnel, les personnes interrogées dans le cadre des vérifications faites par la Commission sont tenues de fournir les renseignements demandés par celle-ci pour l’exercice de ses missions.

Le Bureau établit le règlement intérieur qui est soumis à l’approbation de la Commission.

Il fixe notamment les règles relatives aux délibérations, à l’instruction des dossiers et à leur présentation devant l’organe délibérant.

Les décisions administratives de la Commission Malagasy de l’Informatique et des Libertés sont susceptibles de recours devant le Conseil d’Etat.

Les traitements informatisés en tout ou partie des organismes publics ou privés comportant des données personnelles doivent, préalablement à leur mise en œuvre, être déclarés à la Commission Malagasy de l’Informatique et des Libertés.

La déclaration peut être adressée par voie électronique.

Les traitements informatisés sont inscrits dans un registre tenu par le délégué à la protection des données à caractère personnel désigné par le responsable du traitement.

Hormis le cas où ils doivent être autorisés par la loi, les traitements automatisés de données à caractère personnel opérés pour le compte de l’Etat, d’un établissement public, d’une collectivité ou d’une personne morale de droit privé gérant un service public, sont décidés par acte réglementaire après avis conforme motivé de la Commission Malagasy de l’Informatique et des Libertés.

L’acte réglementaire précise notamment :

• la dénomination et la finalité du traitement de données ;
• le service auprès duquel s’exerce le droit d’accès ;
• les catégories d’informations nominatives enregistrées ainsi que les destinataires ou catégories de destinataires habilités à recevoir communication de ces informations ;
• la durée de conservation de données.

Les traitements des données à caractère personnel effectués pour le compte de personnes autres que celles soumises aux dispositions de l’article 46 doivent préalablement à leur mise en œuvre, faire l’objet d’une déclaration auprès de la Commission Malagasy de l’Informatique et des Libertés. Cette déclaration comporte l’engagement que le traitement satisfait aux exigences de la loi.

Le récépissé est délivré sans délai et les traitements informatisés peuvent être mis en œuvre. Toutefois, la déclaration n’exonère nullement le déclarant de sa responsabilité.

Autorisation à la mise en œuvre des traitements présentant des risques particuliers

Les traitements informatiques ou non, qui présentent des risques particuliers pour les droits et libertés ou qui sont susceptibles, de par leur contenu, leur structure ou leur finalité, de porter atteinte à la vie privée doivent faire l’objet d’une autorisation de la Commission Malagasy de l’Informatique et des Libertés préalablement à leur mise en œuvre.

Pour les catégories les plus courantes de traitement de données à caractère public ou privé, la Commission Malagasy de l’Informatique et des Libertés établit et publie des normes de simplification, ou d’exonération lorsque la mise en œuvre de ceux-ci n’est pas susceptible de porter atteinte à la vie privée ou aux libertés.

Ces normes précisent :

• 1° les finalités des traitements faisant l’objet d’une déclaration simplifiée,
• 2° les données à caractère personnel ou catégories de données à caractère personnel traitées,
• 3° la ou les catégories de personnes concernées,
• 4° les destinataires ou catégories de destinataires auxquels les données à caractère personnel sont communiquées,
• 5° la durée de conservation des données à caractère personnel.

Pour les traitements répondant aux normes de simplification, seule une déclaration simplifiée de conformité à l’une de ces normes est déposée auprès de la Commission Malagasy de l’Informatique et des Libertés.

Sauf décision particulière de celle-ci, le récépissé de déclaration est délivré sans délai. Dès réception de ce récépissé, le responsable du traitement peut mettre en œuvre le traitement. Il n’est exonéré d’aucune responsabilité.

La Commission Malagasy de l’Informatique et des Libertés saisie des demandes d’avis ou d’autorisations se prononce dans un délai de deux mois à compter de la réception de la demande. Toutefois, ce délai peut être renouvelé une seule fois sur décision motivée du président.

L’absence de réponse de l’autorité de contrôle dans le délai imparti est interprétée comme un refus de la demande, en conséquence la demande doit être reformulée.

Les déclarations et les demandes d’avis ou d’autorisation adressées à la Commission Malagasy de l’Informatique et des Libertés comportent :

• 1° L’identité et l’adresse du responsable du traitement et celle de la personne ou de l’entité pour le compte de laquelle le traitement est mis en œuvre et s’il y a lieu la dénomination du traitement,
• 2° La ou les finalités du traitement,
• 3° Le cas échéant, les interconnexions, les rapprochements ou toutes autres formes de mise en relation avec d’autres traitements,
• 4° Les données personnelles enregistrées, leur origine et les catégories des personnes concernées par le traitement et la durée de conservation des informations traitées,
• 5° Le ou les services chargés de mettre en œuvre le traitement, les personnes habilitées à accéder aux données ou pouvant en obtenir communication,
• 6° La fonction de la personne ou le service auprès duquel les personnes concernées peuvent exercer leur droit d’accès,
• 7° Le cas échéant, les transferts de données personnelles à destination d’autres Etats,
• 8° Les mesures envisagées pour assurer la sécurité du traitement,
• 9° La garantie des secrets protégés par la loi,
• 10° Le cas échéant, l’indication du recours à un sous-traitant.

Le responsable d’un traitement doit notifier toute modification intervenue dans les informations communiquées à la Commission Malagasy de l’Informatique et des Libertés, ainsi que la suppression du traitement.

Les membres et les agents de la Commission Malagasy de l’Informatique et des Libertés participant à des missions de contrôle sont habilités à cette fin par ordre de mission dûment signé par le président.

Ils peuvent :

• accéder de six heures à dix-neuf heures à tout type de local à usage professionnel, servant à la mise en œuvre du traitement des données à caractère personnel ;
• avoir accès sans restriction aux fichiers et traitements et aux matériels utilisés ;
• prendre copie de toute information, quel qu’en soit le support, et recueillir les déclarations du responsable du traitement, de son représentant ainsi que de toute personne placée sous son autorité ou travaillant pour son compte.

Ils peuvent à la demande du Président, être assistés par des experts désignés.

Il est dressé contradictoirement procès-verbal de la mission de contrôle ; le procès-verbal est adressé pour observation au responsable du traitement.

En cas d’opposition du responsable des lieux, la visite ne peut se dérouler qu’avec l’autorisation du Président du Tribunal dans le ressort duquel sont situés les locaux à visiter ou du juge délégué par lui.

Ce magistrat est saisi à la requête du Président de la commission, il statue par une ordonnance motivée.

La visite s’effectue sous l’autorité et le contrôle du magistrat qui l’a autorisée. Celui-ci peut se rendre dans les locaux durant l’intervention. A tout moment, il peut décider l’arrêt ou la suspension de la visite.