Loi n° 2013-015 du 21 mai 2013 portant protection des données à caractère personnel en République du Mali

Les données à caractère personnel doivent :

• être collectées et traitées, de manière loyale, licite et non frauduleuse pour des finalités déterminées, explicites et légitimes ;
• ne pas être utilisées pour d’autres finalités ;
• être adéquates, proportionnées et pertinentes au regard des finalités pour lesquelles elles sont collectées ou utilisées ;
• être exactes, complètes et si nécessaire mises à jour ;
• être conservées sous une forme permettant l’identification des personnes concernées pendant une durée qui n’excède pas celle nécessaire aux finalités pour lesquelles elles sont collectées ou utilisées.

Ces dispositions ne s’opposent pas à la conservation et à l’utilisation des données traitées à des fins de gestion des archives ou à des fins historiques, statistiques ou scientifiques selon les modalités définies par la loi.

Le responsable du traitement prend toutes les précautions utiles pour préserver la sécurité des données.

Il doit empêcher notamment qu’elles soient déformées, endommagées ou que des tiers non autorisés y accèdent.

Les autorités légalement habilitées dans le cadre d’une mission particulière d’enquête, telles que l’autorité judiciaire, la police judiciaire ou de contrôle peuvent demander au responsable du traitement de leur communiquer des données personnelles.

Le sous-traitant doit présenter des garanties suffisantes pour assurer la mise en œuvre des mesures de sécurité et de confidentialité. Cette exigence n’exonère pas le responsable du traitement de son obligation de veiller au respect de ces mesures.

Tout traitement portant sur les données sensibles est interdit en raison des risques de discrimination et d’atteinte aux droits et libertés des personnes.

Par dérogation à l’alinéa précédent, les données sensibles peuvent faire l’objet d’un traitement présentant des garanties appropriées définies par l’Autorité en charge de la protection des données à caractère personnel, si le traitement :

• est nécessaire ou est mis en œuvre pour la sauvegarde de la vie de la personne concernée ou d’un tiers, lorsque la personne concernée ne peut donner son consentement, du fait d’une incapacité juridique ou d’une impossibilité matérielle ;
• est mis en œuvre par une association ou tout autre organisme à but non lucratif et à caractère religieux, philosophique, politique ou syndical qui ont pour seule finalité la gestion de leurs membres ;
• est nécessaire à la constatation, à l’exercice ou à la défense d’un droit en justice.

Les traitements de données à caractère personnel relatives aux infractions et condamnations peuvent exclusivement être mis en œuvre par :

• les juridictions et autorités publiques gérant un service public agissant dans le cadre de leurs attributions légales ;
• les auxiliaires de justice, pour le strict besoin de l’exercice des missions qui leur sont confiées par la loi ;
• les autres personnes morales, pour le strict besoin de la gestion des contentieux relatifs aux infractions dont elles ont été victimes.

Le responsable d’un traitement peut transférer des données personnelles vers un État étranger :

• lorsque l’État destinataire assure un niveau suffisant de protection des personnes, constaté par l’Autorité en charge de la protection des données à caractère personnel, en raison de sa législation interne ou des engagements pris au niveau international et que ces mesures sont effectivement appliquées ;
• par décision de l’Autorité en charge de la protection des données à caractère personnel, lorsque le transfert et le traitement par le destinataire de données personnelles garantissent un niveau de protection suffisant de la vie privée ainsi que des libertés et droits fondamentaux des personnes, notamment en raison des clauses contractuelles ou règles internes dont il fait l’objet.