Décret n° 2022-13 du 18 février 2022 relatif à la composition, l’organisation et le fonctionnement de l’Autorité de Protection des Données à caractère personnel

Conformément à l’article 64 de la loi n° 2017-020 du 22 juillet 2017 sur la protection des données à caractère personnel, ci-après la « Loi », il est créé une Autorité de protection des données à caractère personnel, ci-après l’« APD ». Son siège est fixé à Nouakchott.

Le présent décret fixe la composition, l’organisation et le fonctionnement de l’APD.

L’APD est composée de neuf membres dont son Président, choisis en raison de leur compétence juridique et/ou technique et nommés par le Président de la République comme suit :

• deux parlementaires sur proposition du Président de l’Assemblée nationale ;
• quatre personnalités qualifiées pour leur connaissance de l’informatique et/ou des nouvelles technologies de l’information ou les deux ensembles parmi lesquels :
• un membre sur proposition du Premier Ministre ;
• un membre sur proposition du Ministre chargé du numérique ;
• un membre sur proposition du Ministre chargé des finances ;
• un membre sur proposition du Ministre chargé du commerce et de l’industrie ;
• un magistrat membre de la Cour Suprême désigné sur proposition du Président de la Cour suprême ;
• un juge du Parquet Général sur proposition du Ministre de la Justice ;
• un avocat sur proposition du Bâtonnier de l’Ordre National des avocats ;

Le Président de l’APD est nommé par le Président de la République, parmi les neuf membres de l’APD pour un mandat ferme de quatre ans renouvelable une seule fois conformément à l’article 67 de la loi n° 2017-020 du 22 juillet 2017, sur la protection des données à caractère personnel. Ses fonctions sont incompatibles avec l’exercice de toutes autres fonctions et sont exercées à titre exclusif.

En sus d’un des membres de l’APD, le Premier Ministre désigne pour siéger auprès de l’APD, le Commissaire du gouvernement prévu à l’article 65 de la loi n° 2017-020 sur la protection des données à caractère personnel.

Le Commissaire du gouvernement est convoqué à toutes les séances de l’APD, dans les mêmes conditions que les membres de celle-ci. Il informe l’APD sur les orientations et les motivations du gouvernement concernant la mise en œuvre des traitements et sur les préoccupations d’intérêt général qu’il pourrait avoir dans ce domaine.

Le Commissaire du gouvernement représente le gouvernement auprès de l’APD dans le cadre des demandes d’avis motivé qui doivent être faites auprès de l’APD pour les traitements des données à caractère personnel opérés pour le compte de l’Etat, d’un établissement public ou d’une collectivité locale ou d’une personne morale de droit privé gérant un service public, conformément à l’article 40 et suivants de la Loi susmentionnée.

Le Commissaire du gouvernement ne prend pas part au vote.

Les membres de l’APD sont choisis en raison de leur expertise en matière juridique, informatique, de communications électroniques et/ou de libertés publiques parmi les personnalités notoirement connues pour leur impartialité et leur probité morale.

Conformément à l’article 67 de la loi n° 2017-020 du 22 juillet 2017, sur la protection des données à caractère personnel, le mandat des membres de l’APD, incluant le mandat de son Président, est de quatre ans, renouvelable une seule fois. Le Président et les membres de l’APD sont inamovibles pendant la durée de leur mandat, sauf en cas de faute grave.

Il peut être mis fin à la fonction du Président ou d’un membre de l’APD en cas de démission ou d’empêchement durable constaté par l’APD dans les conditions prévues à l’article 7.

L’empêchement durable d’un des membres de l’APD, y compris son Président, peut être constaté en séance plénière de l’APD dès lors que le membre concerné n’a pas assisté à trois réunions successives et régulièrement convoquées de l’APD. Dans cette hypothèse, la vacance est dûment constatée, par procès-verbal, au cours de la première réunion de l’APD suivant la période d’absence susmentionnée.

En cas de vacance d’un des sièges de membre de l’APD pour faire suite à la démission d’un membre ou sa révocation consécutive à une faute grave ou un empêchement constaté, ladite vacance est dûment constatée, par procès-verbal, au cours de la première réunion plénière de l’APD suivant l’occurrence des motifs susmentionnés.

En cas de vacance au cours du mandat du Président ou d’un membre de l’APD, pour quelque motif que ce soit, il est pourvu à son remplacement telles que prévues aux articles 2 et 3, dans les trente jours calendaires à compter de la date de réunion à laquelle la vacance est constatée conformément à l’article 7 précédent.

Le mandat du successeur ainsi désigné est limité à la période restant à courir. Ce dernier peut être désigné, le cas échéant, pour un seul et unique autre mandat.

Un arrêté conjoint du Ministre chargé des finances et du Ministre chargé du numérique définit les indemnités et avantages octroyés au Président et membres de l’APD.

L’APD se réunit sur convocation de son Président, agissant de sa propre initiative ou à la demande de la moitié des membres, selon une périodicité déterminée par le règlement intérieur, et, en tout état de cause, au minimum une fois par mois.

Son ordre du jour est déterminé par le Président, de sa propre initiative, ou sur proposition de la moitié de ses membres. L’APD ne peut délibérer que si au moins quatre de ses membres sont présents. En cas d’absence ou d’empêchement de son Président, les réunions de l’APD sont présidées par le membre le plus âgé.

L’APD délibère à la majorité des membres présents à ses réunions. En cas de partage des voix, celle du Président, est prépondérante.

Les affaires soumises au vote de l’APD sont présentées, selon les cas, par l’un de ses membres ou par tout autre agent de l’APD désigné par son Président.

Le Président est responsable de l’ensemble de l’activité de l’APD. Il convoque et préside les séances de l’APD. Il a qualité pour ester en justice. Il définit les modalités d’organisation du travail entre les membres.

Le Président signe les décisions de l’APD, assure leur diffusion et veille à leur mise en œuvre. Il peut déléguer tout ou partie de ses attributions, notamment au Secrétaire général.

L’APD établit un règlement intérieur qui précise, notamment, les règles relatives aux délibérations, à l’instruction et à la présentation des dossiers.

Le règlement intérieur est adopté par l’APD dans un délai d’un mois après la mise en place effective de l’Autorité et communiqué au Premier Ministre pour approbation et publication au Journal Officiel de la République Islamique de Mauritanie.

Il est alloué annuellement à l’APD des crédits nécessaires à son bon fonctionnement. Ces crédits sont inscrits au budget de l’Etat.

L’APD peut bénéficier de dons et legs d’organismes nationaux et internationaux publics ou privés. Elle peut également avoir des ressources propres.

Le Secrétaire général prépare le budget de l’APD, en respectant strictement le principe de l’équilibre entre les recettes et les dépenses. Avant son approbation par l’APD, il est soumis pour approbation au Premier Ministre et au Ministre chargé des finances par le Président de l’APD avant le 30 septembre de l’année précédant l’exercice concerné.

Suite à l’approbation du Ministre chargé des finances, l’APD approuve le budget, au plus tard lors de sa dernière réunion de l’année précédant l’exercice concerné.

Le Président de l’APD est l’ordonnateur de son budget. A ce titre, l’exécution du Budget de l’Autorité, tant en recettes qu’en dépenses, lui incombe. Le Président peut déléguer tout ou une partie de ses attributions.

La comptabilité de l’APD est tenue suivant les règles de la comptabilité publique. A ce titre, elle est soumise aux règles de contrôle en vigueur.

Le Président est assisté dans le cadre de l’exercice de ses fonctions par un Secrétaire général désigné, par le Gouvernement, parmi les hauts fonctionnaires de l’Etat connus pour leur compétence dans les domaines juridiques ou numériques, sur proposition du Président.

Le Secrétaire général dirige les services administratifs, financiers et techniques de l’APD et peut, à ce titre, outre les pouvoirs qu’il exerce par délégation du Président, signer tous les actes et décisions d’ordre administratif. Il prépare et soumet pour approbation du Président le projet de budget de l’APD.

Il est chargé de prendre toutes mesures nécessaires à la préparation et à l’organisation des travaux de l’APD. Il est responsable de la tenue et de la conservation des dossiers et archives de l’APD.

Afin d’assurer la gestion de l’APD, le Secrétaire général est assisté d’un personnel administratif, financier et technique composé d’agents publics, placés en position de détachement auprès de l’APD sur décision conjointe de l’autorité gouvernementale dont ils relèvent et du Président de l’ADP, et, le cas échéant, d’agents contractuels recrutés en fonction des besoins.

Les services administratifs, financiers et techniques de l’APD sont regroupés au sein des départements suivants :

• le département administratif et financier ;
• le département juridique ;
• le département technique ;
• le département de la communication ;
• le département des systèmes d’information.

La composition et les missions de chacun de ces départements sont précisées par le règlement intérieur prévu à l’article 13 du présent décret.

Les Chefs de départements sont nommés par le Président de l’APD après délibération de tous ses membres.

Les agents contractuels ayant le statut de cadre au sein de l’APD sont recrutés par appel à candidature public et transparent, sur la base de critères de qualification objectifs au regard notamment de leur expérience et de leur expertise technique en matière juridique, informatique, de communications électroniques et/ou de libertés publiques ou les deux.

Les contrats de travail de l’APD sont régis par les dispositions du Code du travail et soumis à l’approbation du Président de l’APD.

Tous les agents de l’APD exercent leurs fonctions à l’exclusion de toute autre fonction dans un organisme public ou privé durant toute la durée de leur détachement et/ou leur contrat et sont tenus au respect du secret professionnel le plus strict pour tout fait, acte et/ou renseignement dont ils peuvent avoir connaissance en raison de leurs fonctions.

Tout manquement aux obligations prévues ci-dessus constitue une faute lourde entraînant les sanctions prévues par les dispositions législatives et réglementaires applicables à chaque catégorie de fonctionnaires publics ou d’agents contractuels en vertu de la loi, sans préjudice d’éventuelles poursuites judiciaires.

Les agents assermentés, qui peuvent être appelés à participer à la mise en œuvre des missions de vérification mentionnées aux articles 74 et 76 de la loi n° 2017-020 du 22 juillet 2017, sur la protection des données à caractère personnel, doivent y être habilités par décision par l’APD. Une carte professionnelle attestant de cette habilitation signée par le Président leur est délivrée.

Cette habilitation ne dispense pas les agents concernés de l’application des dispositions législatives et réglementaires pertinentes en matière d’accès aux secrets protégés par la loi.

Pour l’accomplissement des pouvoirs d’investigation et d’enquête dont elle est investie, l’ADP charge ses agents régulièrement commissionnés par le Président et placés sous son autorité de rechercher et contrôler les infractions aux dispositions de la loi susvisée et des textes pris pour son application.

L’opération de contrôle, fait l’objet d’une décision de l’APD qui précise :

• 1° le nom et l’adresse du responsable du traitement concerné ;
• 2° le nom de l’agent commissionné ou des agents chargés de l’opération ;
• 3° l’objet et la durée de l’opération.

Aucun agent de l’APD ne peut être désigné pour effectuer un contrôle auprès d’un organisme au sein duquel il a, au cours des cinq années précédant le contrôle, détenu un intérêt direct ou indirect, exercé des fonctions, une activité professionnelle ou un mandat électif.

Le Procureur de la République territorialement compétent en est préalablement informé au plus tard vingt-quatre heures avant le contrôle sur place. L’avis d’information précise la date, l’heure, le lieu et l’objet du contrôle.

Les agents chargés du contrôle doivent présenter leur ordre de mission et le cas échéant, leur habilitation de procéder au dit contrôle.

En cas d’opposition du responsable des lieux, la visite ne peut se dérouler qu’avec l’autorisation de l’autorité judiciaire compétente dans le ressort de laquelle sont situés les locaux à visiter.

Chaque contrôle doit faire l’objet d’un procès-verbal qui indique l’objet de l’opération, les membres et/ou agents de l’ADP ayant participé à celle-ci, les personnes rencontrées, le cas échéant leurs déclarations, les demandes formulées par le contrôleur ainsi que les éventuelles difficultés rencontrées.

L’inventaire des pièces et documents dont les personnes chargées du contrôle ont pris copie est annexé au procès-verbal susmentionné signé par les personnes chargées du contrôle et par le responsable soit des lieux, soit des traitements, soit par toute personne désignée par celui-ci.

Les agents chargés du contrôle peuvent convoquer et entendre toute personne susceptible de leur fournir toute information ou justification utiles pour l’accomplissement de leur mission.

La convocation, adressée par lettre recommandée ou remise en main propre contre décharge, doit parvenir au moins trois jours ouvrables avant la date de l’audition.

La convocation rappelle à la personne convoquée qu’elle est en droit de se faire assister d’un conseil de son choix.

Le refus de répondre à une convocation des personnes chargées du contrôle doit être mentionné sur le procès-verbal.

A la demande du Procureur de la République, l’APD peut mettre à disposition ses agents pour :

• 1° Constater l’effacement des données à caractère personnel faisant l’objet du traitement ayant donné lieu à une infraction pénale en vertu de l’article 95 de la loi n° 2017-020 du 22 juillet 2017, sur la protection des données à caractère personnel ;
• 2° Participer à l’identification du matériel qui a servi ou était destiné à commettre une des infractions prévues aux articles 84 et suivants de la loi n° 2017-020 du 22 juillet 2017, sur la protection des données à caractère personnel, ou de la chose qui en est le produit aux fins de saisie et de confiscation conformément à la clause 6 de l’article 97 de la loi susmentionnée.

L’APD peut, soit d’office, soit à la demande d’une autorité administrative concernée, soit à la demande de la personne dont les données personnelles ont été traitées, sanctionner les manquements qu’elle constate aux dispositions de la loi n° 2017-020 du 22 juillet 2017, sur la protection des données à caractère personnel.

L’instruction de la procédure est confiée par le Président à un membre de l’APD, qui pourra présenter des observations mais ne participera pas aux délibérations de l’APD concernant les sanctions à appliquer.

L’APD prononce le cas échéant un avertissement ou une mise en demeure, dans les conditions déterminées à l’article 77 de la loi susmentionnée.

Lorsque le responsable du traitement ne se conforme pas au délai imparti à la mise en demeure, l’APD peut prononcer à son encontre une des sanctions prévues à l’article 78 de la loi susmentionnée.

Sauf cas d’urgence prévu à l’article 79 de la loi susmentionnée, les sanctions ne sont prononcées qu’après que l’intéressé ait reçu notification des griefs et ait été mis en mesure de consulter le dossier et de présenter ses observations écrites ou orales.

Les décisions de sanction sont motivées et susceptibles de recours devant la Chambre Administrative de la Cour Suprême qui statue en dernier ressort en matière administrative.

En cas d’infraction pénale, le Président de l’APD informe le Procureur de la République des faits qui sont susceptibles de recevoir une qualification pénale.

L’APD établit chaque année un rapport public qui rend compte de son activité et de l’application des dispositions législatives et réglementaires relatives à la protection des données à caractère personnel. Ce rapport rend notamment compte des plaintes reçues et des sanctions appliquées par l’APD. Il est adressé, conformément la clause 10 de l’article 73 de la loi n° 2017-20 du 22 juillet 2017, sur la protection des données à caractère personnel, au Premier Ministre, au Président de l’Assemblée nationale et au Ministre chargé du numérique avant d’être mis à la disposition du public via le site internet de l’APD.

L’APD peut suggérer dans son rapport annuel toutes les modifications législatives ou réglementaires qu’elle juge pertinentes, au regard, notamment, des problèmes constatés dans le cadre de son activité et de l’évolution des technologies. Elle peut en outre, émettre et rendre public, à tout moment, un avis motivé sur toute question relative à la protection des données à caractère personnel qu’elle juge pertinente.

Le Président de l’APD peut être appelé à rendre compte de l’activité de l’APD devant une commission de l’Assemblée nationale constituée à cet effet, à sa demande. L’Assemblée nationale peut consulter l’APD sur toute question relevant de sa compétence.