Loi n° 2014-038 du 9 janvier 2015 sur la protection des données à caractère personnel

La Commission Malagasy de l’Informatique et des Libertés peut prononcer à l’encontre d’un responsable de traitement, en cas de manquement à l’une ou plusieurs des dispositions de la présente loi, et après une procédure contradictoire, les sanctions suivantes :

• un avertissement ;
• une injonction de cesser le traitement ou retrait de l’autorisation accordée ;
• une sanction pécuniaire ;

En cas d’urgence, lorsque la mise en œuvre du traitement ou l’exploitation de données traitées entraine une violation des droits et libertés mentionnés à l’article 1 et 2, la Commission peut après une procédure contradictoire :

• 1° décider l’interruption de la mise en œuvre du traitement, pour une durée maximale de trois mois, si le traitement n’a pas été mis en œuvre par l’Etat et ne porte pas sur la sureté de l’Etat, la défense ou la sécurité publique, ou la prévention, la recherche, la constatation ou la poursuite des infractions pénales ou l’exécution des condamnations pénales ou des mesures de sûreté ;
• 2° décider le verrouillage de certaines des données à caractère personnel traitées, pour une durée maximale de trois mois, si le traitement n’est mis en œuvre pour des finalités qui intéressent la sûreté de l’Etat, la défense ou la sécurité publique, ou qui ont pour objet la prévention, la recherche, la constatation ou la poursuite des infractions pénales ou l’exécution des condamnations pénales ou des mesures de sûreté.

Toute sanction prononcée doit être consignée dans un registre.

En cas de récidive, les sanctions pécuniaires seront portées au double.

En cas d’atteinte grave et immédiate aux droits et libertés mentionnés à l’article 2, le Président, peut demander, par la voie du référé, à la juridiction compétente d’ordonner, le cas échéant sous astreinte, toute mesure de sécurité nécessaire à la sauvegarde de ces droits et libertés.

Toute décision de sanction prononcée peut être assortie d’une injonction de procéder, selon un délai qu’elle détermine, à toute modification ou suppression que celle-ci jugerait utile dans le fonctionnement du ou des traitements de données personnelles objet de la décision de sanction.

Les sanctions administratives prévues dans la présente loi sont prononcées sur la base d’un rapport établi par les services de la Commission Malagasy de l’Informatique et des Libertés ou par un membre désigné par le président. Le rapport est notifié au responsable du traitement qui peut déposer des observations écrites et orales et se faire représenter ou assister.

Le rapporteur peut présenter des observations orales mais ne prend pas part à la délibération.

La Commission Malagasy de l’Informatique et des Libertés peut entendre toute personne dont l’audition lui parait susceptible de contribuer utilement à son information.

Les décisions prises sont motivées et notifiées au responsable du traitement.

Les décisions prononçant une sanction peuvent faire l’objet d’un recours devant le Conseil d’Etat.

Le montant de la sanction pécuniaire prévue est proportionné à la gravité des manquements commis et aux avantages tirés de ce manquement. Il ne peut excéder 5 % du chiffre d’affaires hors taxes du dernier exercice clos.

Les sanctions pécuniaires sont recouvrées comme les créances de l’Etat.

Les décisions de sanction sont rendues publiques. L’identité des personnes physiques mentionnées dans les décisions de sanction peut être rendue anonyme.

La Commission Malagasy de l’Informatique et des Libertés peut également, ordonner l’insertion des décisions de sanctions qu’elle prononce dans des publications ou journaux qu’elle désigne. Les frais sont supportés par les personnes sanctionnées.

Est puni d’un emprisonnement de six mois à deux ans et d’une amende de 800.000 Ariary à 8.000.000 Ariary le fait d’entraver l’action de la Commission Malagasy de l’Informatique et des Libertés :

• 1°- soit en s’opposant à l’exercice des missions confiées à ses membres ou aux agents habilités en application de l’article 50 ;
• 2°- soit en refusant de communiquer à ses membres ou aux agents habilités en application de l’article 50 les renseignements et documents utiles à leur mission, ou en dissimulant lesdits documents ou renseignements ou en les faisant disparaître ;
• 3°- soit en communiquant des informations qui ne sont pas conformes au contenu des enregistrements tel qu’il était au moment où la demande a été formulée ou qui ne présentent pas ce contenu sous une forme directement accessible.

Est puni d’un emprisonnement de six mois à deux ans et d’une amende de 200.000 Ariary à 2.000.000 Ariary le fait y compris par négligence, de procéder ou de faire procéder à des traitements de données à caractère personnel sans qu’aient été respectées les formalités préalables à leur mise en œuvre prévues par la loi.

Utilisation de données sensibles, de fichiers d’infractions ou du numéro d’identification national en dehors du cadre légal

Est puni d’un emprisonnement de deux à cinq ans et d’une amende de 800.000 Ariary à 8.000.000 Ariary le fait de procéder ou de faire procéder de manière non-conforme aux conditions prévues par les articles 14 et 15, à un traitement de données à personnel incluant parmi les données sur lesquelles il porte, les données visées aux articles 17 et 18.

Est puni d’un emprisonnement de six mois à deux ans et d’une amende de 200.000 Ariary à 2.000.000 Ariary le fait de procéder ou de faire procéder à un traitement de données à caractère personnel sans mettre en œuvre les mesures prescrites à l’article 15.

Est puni d’un emprisonnement de deux à cinq ans et d’une amende de 1.000.000 Ariary à 10.000.000 Ariary le fait de collecter des données à caractère personnel par un moyen frauduleux, déloyal ou illicite.

Est puni d’un emprisonnement de deux à cinq ans et d’une amende de 800.000 Ariary à 8.000.000 Ariary le fait, par toute personne détentrice de données à caractère personnel de détourner la finalité initiale d’un fichier de données à caractère personnel notamment à l’occasion de leur enregistrement, de leur classement, de leur transmission ou de toute autre forme de traitement.

Est puni d’un emprisonnement de deux à cinq ans et d’une amende de 800.000 Ariary à 8.000.000 Ariary le fait de procéder à un traitement de données à caractère personnel concernant une personne physique malgré la demande de rectification ou l’opposition de cette personne, lorsque cette demande de rectification ou cette opposition est fondée sur des motifs légitimes.

Est puni d’un emprisonnement de deux à cinq ans et d’une amende de 800.000 Ariary à 8.000.000 Ariary le fait de ne pas respecter les dispositions visées à l’article 27 relatif à l’information des personnes.

Est puni d’un emprisonnement de deux à cinq ans et d’une amende de 800.000 Ariary à 8.000.000 Ariary le fait de ne pas respecter les dispositions visées à l’article 23 relatif au droit d’accès.

Est puni d’un emprisonnement de six mois à deux ans et d’une amende de 200.000 Ariary à 2.000.000 Ariary, sauf si cette conservation est effectuée à des fins historiques, statistiques ou scientifiques dans les conditions prévues par la loi, le fait de conserver des données à caractère personnel au-delà de la durée prévue par la déclaration préalable adressée à la Commission Malagasy de l’Informatique et des Libertés.

Est puni d’un emprisonnement de deux à cinq ans et d’une amende de 1.000.000 Ariary à 10.000.000 Ariary le fait, par toute personne qui a recueilli, à l’occasion de leur enregistrement, de leur classement, de leur transmission ou d’une autre forme de traitement, des données à caractère personnel dont la divulgation aurait pour effet de porter atteinte à la considération de l’intéressé ou à l’intimité de sa vie privée, de porter, sans autorisation de l’intéressé, ces données à la connaissance d’un tiers qui n’a pas qualité pour les recevoir.

Dans les cas prévus aux articles 61 à 71, l’effacement de tout ou partie des données à caractère personnel faisant l’objet du traitement ayant donné lieu à l’infraction peut être ordonné. Les membres et les agents de la Commission Malagasy de l’Informatique et des Libertés sont habilités à constater l’effacement de ces données.

Le Procureur de la République du Tribunal compétent avise le président de la Commission Malagasy de l’Informatique et des Libertés des poursuites relatives aux infractions aux dispositions de la présente loi.

La juridiction de jugement peut appeler le Président de la Commission ou son représentant à déposer ses observations ou les développer oralement à l’audience.