Décret n° 2022-13 du 18 février 2022 relatif à la composition, l’organisation et le fonctionnement de l’Autorité de Protection des Données à caractère personnel

Afin de faciliter l’accomplissement des formalités prévues aux articles 27, 28, 33, 37 et 40 de la loi n° 2017-020 du 22 juillet 2017 sur la protection des données à caractère personnel, l’APD définit des modèles de déclaration, de demande d’autorisation et de demande d’avis.

Ces modèles comportent la liste exhaustive des informations devant être fournies par le responsable du traitement et fixent la liste des annexes qui, le cas échéant, doivent être jointes.

En application des articles 35 et 36 de la loi n° 2017-020 du 22 juillet 2017 sur la protection des données à caractère personnel, l’APD publie :

• 1° Les normes sur la base desquelles certaines catégories de traitement de données à caractère personnel peuvent faire l’objet (i) d’une déclaration simplifiée ou (ii) d’une dispense de déclaration, sur la base des critères mentionnés aux articles 35 et 36 ;
• 2° Sur la base des normes sus définies, la liste (i) des catégories de traitements faisant l’objet d’une déclaration simplifiée, ainsi que le modèle de déclaration y afférent, et (ii) des catégories de traitements dispensées de déclaration.

L’APD actualise les listes susmentionnées chaque fois que, dans l’exercice de son activité, elle en constate le besoin et, au minimum, une fois par an.

Les demandes d’autorisation d’interconnexion de fichiers comportant des données à caractère personnel comportent au minimum les informations listées à l’article 30 de la loi n° 2017-020 du 22 juillet 2017, et sont soumises à la même procédure que les demandes d’autorisation de traitement. Toutefois, les formulaires y afférents peuvent être distincts.

Les demandes d’autorisation de transfert de données à caractère personnel vers les pays tiers comportent au minimum les informations listées à l’article 43 de la loi n° 2017-020 du 22 juillet 2017, sur la protection des données à caractère personnel et sont soumises à la même procédure que les demandes d’autorisation de traitement. Toutefois, les formulaires y afférents peuvent être distincts.

La demande d’avis, la déclaration ou la demande d’autorisation peuvent être adressées à l’APD par voie électronique, par voie de transmission classique sur support papier ou par voie postale.

1) Il est ici précisé que :

• la voie de transmission classique sur support papier consiste à la remise en mains propres au secrétariat de l’APD contre un reçu de réception ;
• la voie postale ne peut être utilisée que si elle permet de délivrer un avis de réception à l’émetteur de la demande ou de la déclaration ;
• la voie électronique ne peut être utilisée que si elle permet de générer un accusé de réception électronique fiable. Pour permettre la réalisation de cette condition, l’APD est responsable de la mise en place d’une ou plusieurs adresses électroniques pour recevoir 24 heures sur 24 les demandes d’avis, les déclarations ou les demandes d’autorisation, configurées pour générer un accusé de réception automatique.

2) La date du reçu, de l’avis de réception ou de l’accusé de réception électronique généré automatiquement fixe le point de départ du délai :

• de vingt-quatre heures - hors jours fériés ou chômés - dont dispose l’APD pour délivrer le récépissé de la déclaration en application de l’article 33 de la loi susmentionnée ;
• de deux mois fixé par l’article 39 de la loi susmentionnée pour accorder l’autorisation mentionnée dans les articles 37 et suivants de la même loi ;
• de deux mois fixé par l’article 41 de la loi susmentionnée pour se prononcer sur l’avis requis à l’article 40 de la même loi ;
• de quinze jours prévus par l’article ci-après pour notifier la décision de l’APD de soumettre le traitement au régime de l’autorisation.

Lorsqu’il apparait à l’APD, à l’examen de la déclaration qui lui est fournie, que le traitement envisagé concerne des données sensibles au sens de l’article 37 de la loi n° 2017-020 du 22 juillet 2017, sur la protection des données à caractère personnel ou présente des dangers manifestes pour le respect et la protection de la vie privée et des libertés et droits fondamentaux des personnes à l’égard du traitement dont ces données font l’objet ou peuvent faire l’objet, l’APD diffère l’envoi du récépissé de la déclaration prévu par l’article 33 de la loi susmentionnée et prend la décision de soumettre ledit traitement au régime d’autorisation prévu aux articles 37 et suivants de la même loi.

Sa décision, motivée, est notifiée au déclarant dans les sept jours suivants celui du dépôt de la déclaration.

L’APD publie et tient à jour la liste des Etats qu’elle considère comme offrant un niveau de protection suffisant de la vie privée, des libertés et droits fondamentaux des personnes à l’égard du traitement des données à caractère personnel.

Les Etats considérés comme offrant un niveau de protection suffisant de la vie privée, des libertés et droits fondamentaux des personnes à l’égard du traitement des données à caractère personnel sont dotés à minima d’une législation et d’une réglementation spécifique de la protection des données à caractère personnel et de la vie privée conformément aux standards internationaux et d’une autorité de protection des données personnelles.

L’Autorité établit et publie les conditions et règles de procédure qui encadrent le transfert des données à caractère personnel vers un pays ne figurant pas sur la liste prévue à l’article 21 de la loi n° 2017-020 du 22 juillet 2017, sur la protection des données à caractère personnel.

Ces mécanismes d’encadrement peuvent, à titre d’exemple, se fonder sur l’un ou plusieurs des outils juridiques suivants :

• des clauses contractuelles types encadrant les transferts entre deux responsables de traitement ou entre un responsable de traitement et un sous-traitant ;
• des règles internes d’entreprises ou « Binding Corporate Rules » (BCR) ;
• un Code de conduite approuvé (comportant l’engagement contraignant et exécutoire pris par les destinataires hors Mauritanie d’appliquer les garanties appropriées) ;
• un mécanisme de certification approuvé (comportant l’engagement contraignant et exécutoire pris par les destinataires hors Mauritanie d’appliquer les garanties appropriées) ;
• un arrangement administratif ou un texte juridiquement contraignant et exécutoire pris pour permettre la coopération entre autorités publiques (Mémorandum of Understanding dit MOU ou, convention internationale).

Lorsqu’un responsable de traitement envisage un transfert ou un ensemble de transferts de données à caractère personnel vers un pays ne figurant pas sur la liste prévue à l’article 21 de la loi n° 2017-020 du 22 juillet 2017 sur la protection des données à caractère personnel et demande l’autorisation de l’APD en vertu de l’article 25 de la même loi, sa demande doit contenir les indications suivantes :

• 1° les nom et adresse de la personne communiquant les données ;
• 2° les nom et adresse du destinataire des données ;
• 3° le nom et la description complète du fichier ;
• 4° les catégories de données personnelles transférées ;
• 5° les personnes concernées et leur nombre approximatif ;
• 6° le but du traitement des données effectuées par le destinataire ;
• 7° le mode et la fréquence des transferts envisagés ;
• 8° la date du premier transfert ;
• 9° les mesures ou dispositif nécessaires pour garantir un niveau de protection suffisant de la vie privée ainsi que des libertés et droits fondamentaux des personnes.

Concernant les autorisations de transfert de données à caractère personnel vers les pays tiers, l’ADP se prononce selon la procédure régissant les autorisations prévues à l’article 37 de la loi n° 2017-020 du 22 juillet 2017, sur la protection des données à caractère personnel et aux articles 36 et suivants du présent décret.

Les traitements des données personnelles portant sur des données génétiques et sur la recherche dans le domaine de la santé doivent faire l’objet d’une autorisation de l’ADP.

Les dossiers de demande d’autorisation de traitements adressés à l’ADP doivent comprendre :

• 1° l’identité, l’adresse, les titres, expériences, fonctions et déclarations d’intérêt en lien avec l’objet de la recherche du responsable du traitement et du responsable de la recherche, de l’étude ou de l’évaluation, ainsi que, le cas échéant, l’identité et l’adresse du commanditaire de la recherche, de l’étude ou de l’évaluation et de la personne publique qui en a fait la demande ;
• 2° les catégories de personnes qui seront appelées à mettre en œuvre le traitement ainsi que celles qui auront accès aux données collectées ;
• 3° le protocole de recherche ou ses éléments utiles indiquant notamment l’objectif de la recherche, les catégories de personnes intéressées, la méthode d’observation ou d’investigation retenue, l’origine et la nature des données à caractère personnel recueillies et la justification du recours à celles-ci, la durée et les modalités d’organisation de la recherche, la méthode d’analyse des données ;
• 4° le cas échéant les avis rendus antérieurement par des instances scientifiques ou éthiques ;
• 5° les caractéristiques du traitement envisagé ;
• 6° l’engagement du responsable du traitement de Coder les données permettant l’identification des personnes intéressées ;
• 7° le cas échéant la justification scientifique et technique de toute demande de dérogation à l’obligation de codage des données permettant l’identification des personnes intéressées, et la justification de toute demande de dérogation à l’interdiction de conservation desdites données au-delà de la durée nécessaire à la recherche.

Toute modification de ces éléments est portée à la connaissance de l’ADP.

En application de l’article 37 alinéa 6 de la loi n° 2017-020 du 22 juillet 2017, sur la protection des données à caractère personnel, les traitements des données personnelles ayant un motif d’intérêt public notamment à des fins historiques, statistiques ou scientifiques doivent faire l’objet d’une autorisation de l’ADP.

Lorsque le responsable d’un traitement communique les données personnelles dont il assure le traitement à un tiers, en vue d’un traitement ultérieur à des fins historiques, statistiques ou scientifiques, lesdites données sont, préalablement à leur communication, rendues anonymes ou codées par ledit responsable ou par tout organisme compétent.

Les résultats du traitement des données à caractère personnel à des fins historiques, statistiques ou scientifiques ne peuvent être rendus publics sous une forme qui permet l’identification de la personne concernée sauf si :

• la personne concernée a donné expressément son consentement ;
• la publication des données à caractère personnel non anonymes et non codées est limitée à des données manifestement rendues publiques par la personne concernée.

Les dossiers de demande d’autorisation de traitement des données à des fins historiques, statistiques ou scientifiques doivent comprendre l’ensemble des éléments permettant à cette dernière de s’assurer du respect des dispositions susmentionnées.

L’ADP est compétente pour se prononcer sur le caractère historique, statistique ou scientifique des données à caractère personnel.