Loi n° 2013-015 du 21 mai 2013 portant protection des données à caractère personnel en République du Mali

Il est institué une autorité administrative indépendante dénommée Autorité de Protection des Données à Caractère Personnel, en abrégé (APDP).

L’Autorité comprend un organe délibérant collégial composé de quinze membres désignés pour un mandat de sept ans non renouvelable ainsi qu’il suit :

• deux personnalités qualifiées désignées par le Président de la République ;
• deux députés désignés par l’Assemblée Nationale à raison d’un député pour la majorité et un député pour l’opposition ;
• deux Conseillers nationaux désignés par le Haut Conseil des Collectivités territoriales ;
• une personnalité qualifiée désignée par le Ministre chargé de l’état civil ;
• une personnalité qualifiée désignée par le Ministre chargé de la Sécurité intérieure ;
• une personnalité qualifiée désignée par le Ministre chargé de l’Informatique ;
• deux magistrats dont un de l’Ordre judiciaire et un de l’Ordre administratif désignés par la Cour Suprême ;
• deux représentants qualifiés désignés par la Commission nationale des Droits de l’Homme ;
• une représentante désignée par la Coordination des Associations et ONG féminines ;
• un représentant qualifié désigné par le Conseil national de la Société civile.

Les membres de l’Autorité portent le titre de Commissaire.

La qualité de membre se perd en cas de décès, de démission ou d’empêchement constaté par l’Autorité.

Si en cours de mandat, un membre de l’Autorité démissionne, décède ou est révoqué, il est procédé à son remplacement dans un délai de quarante-cinq jours par l’autorité compétente qui l’a désigné pour le reste du mandat.

La qualité de membre de l’Autorité de Protection des Données à Caractère Personnel est incompatible avec celle de membre du Gouvernement ou de toute fonction de direction au sein d’une structure publique ou privée.

Si un membre de l’Autorité de Protection des Données à Caractère Personnel se trouve dans l’une des incompatibilités prévues à l’alinéa précédent, l’intéressé dispose d’un délai de trente jours pour opter entre son ancienne fonction et celle de membre de l’Autorité. A défaut de cette option, le Président de l’Autorité prend les mesures nécessaires en vue du respect des présentes dispositions.

Les modalités de désignation des membres de l’Autorité de Protection des Données à caractère Personnel sont celles fixées par le statut de la structure de provenance de chaque membre.

La liste nominative des membres de l’Autorité de Protection des Données à caractère Personnel est fixée par décret pris en Conseil des Ministres sur proposition du Premier ministre.

Les membres de l’Autorité de Protection des Données à Caractère Personnel, avant leur entrée en fonction, prêtent devant la Cour Suprême, le serment dont la teneur suit : « Je jure solennellement de bien et fidèlement remplir ma fonction au sein de l’Autorité de Protection des Données à Caractère personnel, en toute indépendance et impartialité, de façon digne et loyale et de garder le secret des délibérations ».

Le personnel ayant accès aux données personnelles prête serment devant le Tribunal de Grande instance du ressort du siège de l’Autorité en ces termes : « Je jure de bien et loyalement remplir mes fonctions d’agent de l’Autorité en toute indépendance et impartialité et de garder le secret des investigations ».

L’Autorité établit son règlement intérieur et peut déléguer certaines de ses attributions à son président.

Les matières soumises à cette délégation doivent se limiter aux strictes fonctions d’administration et de gestion nécessitées par les circonstances et ne jamais porter atteinte aux prérogatives essentielles de l’Autorité.

Dans le cadre de ses missions, l’Autorité ne reçoit ni d’injonction, ni d’instruction, directement ou par l’intermédiaire de ses membres, d’aucune autre autorité.

Il est alloué annuellement à l’Autorité des ressources nécessaires à son fonctionnement. Ces ressources sont inscrites au budget de l’État.

L’Autorité peut recevoir des subventions de la part d’organisations internationales dont l’Etat est membre.

Le Président de l’Autorité est ordonnateur du budget.

Un décret pris en Conseil des Ministres fixe le mode de rémunération des membres de l’Autorité, sur proposition du Premier ministre.

Les comptes de l’Autorité de Protection des Données à Caractère Personnel sont soumis aux contrôles administratifs et juridictionnels prévus par la réglementation en vigueur.

L’Autorité de Protection des Données à Caractère Personnel dépose au plus tard le 31 mars de chaque année ses comptes annuels de l’exercice précédent au niveau de la section des comptes de la Cour Suprême et le cas échéant, la juridiction qui la remplace.

L’Autorité de Protection des Données à caractère Personnel est dirigée par un bureau de cinq membres, élus en son sein, dont un Président.

Le président est assisté de deux Vice-présidents et de deux rapporteurs.

Le Président, les vice-présidents et les rapporteurs sont élus dans les mêmes conditions, au scrutin majoritaire à deux tours des membres de l’Autorité.

Si la majorité absolue n’est pas acquise au premier tour, la majorité simple suffit au second tour du scrutin.

Le vote est personnel et secret. Toutefois, en toutes matières, un membre de l’autorité absent ou empêché peut donner à un collègue une procuration dûment légalisée.

Les procurations données par les membres de l’Autorité de Protection des Données à caractère Personnel sont soumises au régime général des procurations. Nul membre de l’autorité ne peut être porteur de plus d’une procuration.

L’Autorité de Protection des Données à Caractère Personnel a pour mission d’assurer la protection des données à caractère personnel et de participer à la réglementation du Secteur.

A ce titre, elle est chargée de :

• fixer les normes et finalités de la collecte, du traitement ou de la conservation des données personnelles ;
• donner l’autorisation préalable sous forme d’agrément à toute interconnexion de données ;
• autoriser le transfert de données ;
• informer et conseiller les personnes concernées et les responsables du traitement de leurs droits et obligations ;
• s’assurer que les traitements ne puissent comporter de menaces à l’égard des données relatives à la vie privée ;
• recevoir les réclamations relatives à la mise en œuvre des traitements des données à caractère personnel ;
• procéder aux contrôles nécessaires du traitement régulier des données à caractère personnel ;
• infliger des sanctions administratives à l’égard de tout responsable de traitement en cas de manquement à ses obligations ;
• saisir sans délai le Procureur de la République compétent des infractions dont elle a connaissance sur la manipulation frauduleuse de données à caractère personnel ;
• tenir le répertoire des traitements des données à caractère personnel à la disposition du public ;
• donner son avis sur tout projet de loi ou de décret relatif à la protection des données à caractère personnel ;
• demander au Gouvernement de procéder à toute modification nécessaire des textes, ou de prendre, le cas échéant, tout nouveau texte nécessaire à la saine protection des données à caractère personnel.

L’Autorité de Protection des Données à Caractère Personnel est associée à la préparation et à la définition de la position malienne dans toute négociation internationale intéressant le domaine de la protection des données à caractère personnel. Elle participe à la représentation malienne dans les Organisations Internationales et Communautaires compétentes en ce domaine.

L’Autorité reçoit les déclarations de création des traitements informatiques, les autorise ou donne son avis dans les cas prévus par la présente loi et tient à la disposition du public la liste des traitements qui ont fait l’objet d’une déclaration ou d’une autorisation.

L’Autorité reçoit et instruit les plaintes en rapport avec sa mission.

Elle informe, par tout moyen qu’elle juge approprié les autorités publiques. Les organismes privés et les représentants de la société civile des décisions et avis qu’elle rend au regard de la protection des libertés.

Elle peut décider de missions d’information ou de contrôle sur place.

L’Autorité décide des mesures de publicité les plus appropriées s’agissant des décisions d’autorisation, des recommandations, des normes d’exonération, des sanctions et des dénonciations qu’elle adopte.

L’Autorité établit chaque année un rapport d’activités qu’elle remet au Président de la République, au Premier Ministre et au Président de l’Assemblée nationale.

Les Ministres, autorités publiques, dirigeants d’établissements ou d’entreprises publics ou privés, responsables de groupements divers et plus généralement les détenteurs ou utilisateurs de traitements ou de fichiers de données personnelles ne peuvent s’opposer à l’action de l’Autorité et doivent prendre toutes mesures utiles afin de faciliter sa tâche.

Aucun membre de l’Autorité de Protection des Données Personnelles ne peut être poursuivi, recherché ou jugé pour des opinions émises par lui lors des séances de l’Autorité.

Les membres de l’Autorité de Protection des Données Personnelles ont droit, conformément aux règles fixées par le Code Pénal et les Lois Spéciales, à une protection contre les menaces, outrages, injures, ou diffamations dont ils peuvent être l’objet dans l’exercice de leur fonction. Ils ont droit à la réparation, le cas échéant, des préjudices qu’ils subissent à cet effet.

L’Autorité de Protection des Données à Caractère Personnel se réunit de plein droit, en session ordinaire, deux fois par an.

Toutefois, elle peut se réunir en session extraordinaire à la demande de son Président ou de la moitié de ses membres.

Les séances ne sont pas publiques.

Les sessions sont convoquées par le Président de l’Autorité qui assure la police des séances.

Toutefois, la séance inaugurale est convoquée par le Premier Ministre et présidée par le doyen d’âge, jusqu’à l’élection du président de l’Autorité.

La durée des sessions ordinaires ne peut excéder dix jours.

La durée des sessions extraordinaires ne peut excéder cinq jours.

Les sessions sont convoquées pour un ordre du jour précis et limité. Elles sont préparées par le Président de l’Autorité qui dispose d’un Secrétariat à cet effet. Ce Secrétariat est celui de l’Autorité de Protection des Données à Caractère Personnel.

Les décisions de l’Autorité de Protection des Données à Caractère Personnel sont constatées par des délibérations ou des procès-verbaux.

Toutefois, les décisions à caractère règlementaire du collège sont constatées uniquement par délibération de l’Autorité qui dispose de toutes les prérogatives de puissance publique reconnues à l’administration.

Le Président de l’Autorité représente celle-ci dans la vie civile et en justice. Il dispose du pouvoir règlementaire. A ce titre, il prend des décisions et d’autres catégories d’actes règlementaires.

Le Président de l’Autorité délivre aux usagers un récépissé constatant toute demande ou réclamation formulée dont est saisie l’Autorité.

Ce récépissé mentionne l’objet de la demande ou de la réclamation et les engagements de l’usager.

L’Autorité de Protection des Données à Caractère Personnel prend ses décisions à la majorité des 2/3 de ses membres.

Les actes de l’Autorité sont des actes administratifs susceptibles de recours administratif et juridictionnel.

Le recours gracieux est exercé au niveau du Président de l’Autorité.

L’Autorité de Protection des Données à Caractère Personnel adopte son règlement intérieur dès sa séance inaugurale.

Le règlement intérieur définit les attributions des membres du bureau ainsi que l’organisation et les modalités de fonctionnement de l’Autorité.

Les membres de l’Autorité de Protection des Données à Caractère Personnel perçoivent des indemnités de session et des indemnités de déplacement, dans l’accomplissement de leur mission.

Une délibération de l’Autorité de Protection des Données à Caractère Personnel fixe, dans les limites des moyens financiers mis à sa disposition, le montant journalier des indemnités prévues à l’article 50 précédent. Ce montant tient compte des barèmes habituellement pratiqués au niveau des Institutions similaires.

L’Etat met à la disposition de l’Autorité de Protection des Données à Caractère Personnel les moyens matériels et humains nécessaires à l’accomplissement de sa mission.