Loi n° 2017-28 du 3 mai 2017, relative à la protection des données à caractère personnel

Il est créé une Haute Autorité de Protection des Données à caractère Personnel en abrégé « HAPDP ».

La HAPDP est une autorité administrative indépendante chargée de veiller à la conformité des traitements des données à caractère personnel aux dispositions des textes en vigueur et des conventions internationales auxquelles le Niger a adhéré.

Elle est dotée de la personnalité morale et de l’autonomie financière.

La HAPDP établit un règlement intérieur qui précise, notamment, les règles relatives aux délibérations, à l’instruction et à la présentation des dossiers.

Le siège de la HAPDP est fixé à Niamey.

La HAPDP veille à ce que le traitement et l’usage des données à caractère personnel ne portent pas atteinte aux libertés publiques ou ne comportent pas de menace à la vie privée des citoyens, en particulier dans l’utilisation des technologies de l’information et de la communication.

A ce titre elle est chargée, notamment :

• d’informer les personnes concernées et les responsables de traitement des données à caractère personnel de leurs droits et obligations ;
• de répondre à toute demande d’avis portant sur un traitement de données à caractère personnel ;
• d’élaborer un Code de bonne conduite relatif au traitement et à la protection des données à caractère personnel ;
• de recevoir les déclarations et d’octroyer les autorisations pour la mise en œuvre des traitements de données à caractère personnel, ou de les retirer dans les cas prévus par les textes en vigueur ;
• de recevoir les déclarations et les plaintes relatives à la mise en œuvre des traitements de données à caractère personnel et d’informer les auteurs de la suite accordée à celles-ci ;
• d’informer sans délais, l’autorité judiciaire compétente des infractions dont elle a connaissance dans le cadre de ses missions ;
• de déterminer les mesures appropriées et les garanties indispensables pour la protection des données à caractère personnel ;
• de procéder, au besoin par le biais d’agents assermentés, à des vérifications portant sur tout traitement de données à caractère personnel ;
• de prononcer des sanctions administratives et pécuniaires à l’encontre des responsables de traitement des données à caractère personnel qui ne se conforment pas aux dispositions des textes en vigueur ;
• de mettre à jour et à la disposition du public, pour consultation, un répertoire de traitement de données à caractère personnel ;
• de donner des conseils aux personnes et aux organismes qui exercent des activités de traitements de données à caractère personnel ou qui procèdent à des essais ou des expériences en la matière ;
• de donner son avis sur tout projet de texte en rapport avec la protection des données à caractère personnel ;
• de participer aux activités de recherche scientifique, de formation et d’étude en rapport avec la protection des données à caractère personnel et, d’une manière générale, avec les libertés publiques et la vie privée ;
• d’autoriser, dans les conditions fixées par décret pris en Conseil de Ministres, les transferts transfrontaliers des données à caractère personnel ;
• de faire toute proposition susceptible de simplifier et d’aménager le cadre législatif et réglementaire relatif au traitement des données à caractère personnel ;
• de mettre en place des mécanismes de coopération avec les autorités de traitement de données à caractère personnel d’autres pays ;
• de participer aux négociations internationales en matière de protection de données à caractère personnel ;
• d’établir et de remettre un rapport annuel d’activités au Président de la République, au Président de l’Assemblée Nationale et au Premier Ministre.

La HAPDP est composée de neuf membres choisis, en raison de leur compétence juridique et/ou technique, ainsi qu’il suit :

• 1. une personnalité désignée par le Président de la République ;
• 2. un député représentant l’Assemblée Nationale ;
• 3. un représentant du Premier Ministre ;
• 4. un magistrat membre de la Cour de Cassation désigné sur proposition du Premier Président de la Cour de Cassation ;
• 5. un magistrat membre du Conseil d’Etat désigné sur proposition du Premier Président du Conseil d’Etat ;
• 6. un avocat désigné par l’Ordre des avocats du Niger ;
• 7. un médecin désigné par l’ordre des médecins ;
• 8. un représentant des organisations de défense des droits de l’homme élu par les collectifs ;
• 9. un expert en Technologie de l’Information et de la Communication (TIC) désigné par l’Agence Nationale pour la Société de l’Information.

Les membres de la HAPDP sont nommés par décret pris en Conseil des Ministres pour un mandat de cinq ans renouvelable une fois, dans les mêmes conditions.

La qualité de membre de la HAPDP est incompatible avec la fonction de membre du Gouvernement, l’exercice des fonctions de dirigeants d’entreprises du secteur de l’informatique ou des télécommunications.

Les membres de la HAPDP sont inamovibles pendant la durée de leur mandat. Il ne peut être mis fin aux fonctions des membres de la HAPDP, qu’en cas de décès, de démission ou d’empêchement définitif constatés par ladite autorité.

La HAPDP est dirigée par un Président nommé parmi ses membres par décret pris en Conseil des Ministres.

Le Président de la HAPDP est secondé par un vice-président élu par ses pairs parmi les membres de la HAPDP.

Le Président est le chef de l’administration de la HAPDP. A ce titre, il dispose d’un cabinet composé de :

• un chef de cabinet ;
• un secrétaire particulier ;
• un agent de protocole ;
• deux ou trois conseillers techniques choisis en raison de leur compétence en matière juridique, administrative ou des TIC.

La HAPDP dispose d’un secrétariat général dirigé par un Secrétaire général.

Le Secrétaire général est nommé par décret pris en Conseil des Ministres sur proposition du Ministre de la Justice. Il est choisi parmi les personnalités reconnues pour leur compétence en matière juridique ou administrative de la catégorie A1 et justifiant d’une expérience professionnelle de dix ans au moins.

Le traitement de base et les indemnités alloués au Secrétaire Général de la HAPDP sont fixés par décret pris en Conseil des Ministres.

Le secrétariat général comprend des directions et des services dont l’organisation et les attributions sont déterminées par le décret d’application de la loi relative à la protection des données à caractère personnel.

La HAPDP recrute son personnel de direction, d’encadrement et de contrôle par appel à candidature sur la base des compétences et qualifications techniques.

Il peut être mis à sa disposition et à sa demande des fonctionnaires de l’Etat par voie de détachement ou de mise à disposition.

Le personnel de la HAPDP est soumis à un statut et un règlement intérieur adoptés par les membres de la HAPDP.

La grille de traitement de base, les primes, les indemnités et les autres avantages accordés au personnel administratif et technique sont fixés par décret pris en Conseil des Ministres, sur rapport du Ministre chargé de la Justice.

Le personnel technique chargé de la mission de contrôle de l’application de la loi de protection des données à caractère personnel prête serment devant la cour d’appel de Niamey.

Article abrogé.

A l’exception du Président, les membres de la HAPDP n’exercent pas leur fonction à titre permanent.

Les membres de la HAPDP se réunissent en session ordinaire tous les trois mois sur convocation du Président. Ils peuvent se réunir en session extraordinaire sur convocation du Président ou à la demande de la majorité des membres.

La HAPDP peut faire appel à toute personne dont elle juge les compétences nécessaires à la réalisation de ses missions.

Les modalités de délibérations de la HAPDP sont précisées par le règlement intérieur.

Les membres de la HAPDP sont soumis au secret professionnel conformément aux textes en vigueur.

Les membres de la HAPDP jouissent d’une immunité totale pour les opinions émises et ne reçoivent d’instruction d’aucune autorité dans l’exercice de leurs fonctions.

Tout membre de la HAPDP doit informer celle-ci des intérêts directs ou indirects qu’il détient ou vient à détenir, des fonctions qu’il exerce ou vient à exercer et de tout mandat qu’il détient ou vient à détenir au sein des entreprises du secteur de l’informatique ou des télécommunications.

Le cas échéant, la HAPDP prend toutes les dispositions utiles pour assurer l’indépendance et l’impartialité de ses membres. Un Code de conduite est élaboré par la HAPDP à cet effet.

Si en cours de mandat, le Président ou un membre de la HAPDP cesse d’exercer ses fonctions, il est procédé à son remplacement dans les conditions prévues par la présente loi. Le mandat du successeur ainsi désigné est limité au temps restant à courir.

Avant d’entrée en fonction les membres de la HAPDP prêtent devant la Cour de Cassation le serment dont la teneur suit : « je jure solennellement de bien et fidèlement remplir ma fonction de membre de la Haute Autorité de Protection des Données à caractère Personnel, en toute indépendance et impartialité de façon digne et loyale et de garder le secret des délibérations ».

Les agents qui exercent les missions de contrôle de l’application de la loi sur les données à caractère personnel prêtent serment devant la Cour d’Appel de Niamey en ces termes : « Je jure de bien et loyalement remplir mes fonctions d’agent de la Haute Autorité de Protection des Données à caractère Personnel en toute indépendance et impartialité, et de garder le secret des délibérations ».

Un commissaire du Gouvernement siège auprès de la HAPDP. Il est nommé par décret pris en Conseil des Ministres sur proposition du Ministre de la Justice.

Le commissaire du Gouvernement est convoqué à toutes les sessions de la HAPDP dans les mêmes conditions que les membres de celle-ci. Il informe la HAPDP sur les orientations du Gouvernement et sur les motivations de l’administration concernant la mise en œuvre des traitements des données à caractère personnel. Il ne prend pas part au vote.

Le commissaire du Gouvernement bénéficie des avantages prévus par décret pris en Conseil des Ministres.

Article abrogé.

Le prestataire de service de cryptologie ne peut opposer à la HAPDP, le secret professionnel auquel il est soumis conformément aux dispositions légales ou conventionnelles.

Le responsable du traitement des données à caractère personnel agissant dans le cadre de l’accomplissement de ses missions ne peut opposer à la HAPDP le secret professionnel auquel il est assujetti.

La HAPDP peut prononcer à l’égard des responsables de traitement les mesures suivantes :

• un avertissement à l’égard du responsable du traitement des données à caractère personnel qui ne respecte pas les obligations découlant des textes en vigueur ;
• une mise en demeure de cesser les manquements observés dans les délais qu’elle fixe.

Lorsque la mise en œuvre d’un traitement de données à caractère personnel entraine une violation des textes en vigueur, la HAPDP, après une procédure contradictoire, peut décider :

• de l’interruption de la mise en œuvre du traitement ;
• du verrouillage de certaines données à caractère personnel traitées ;
• de l’interdiction temporaire ou définitive d’un traitement contraire aux dispositions de la présente loi.

La HAPDP peut, après avoir entendu le responsable du traitement ou son sous-traitant qui ne se conforme pas aux dispositions prévues par la présente loi et à la mise en demeure qui lui a été adressée, prononcer à son encontre, les sanctions suivantes :

• le retrait provisoire de l’autorisation accordée ;
• le retrait définitif de l’autorisation ;
• les sanctions pécuniaires.

Le montant de la sanction pécuniaire est proportionnel à la gravité des manquements commis et aux avantages tirés de ce manquement.

Le montant de cette sanction ne peut excéder la somme de 100.000.000 FCFA.

En cas de manquement réitéré la sanction pécuniaire ne peut excéder 200.000.000 FCFA ou, s’agissant d’une entreprise, elle ne peut excéder 5 % du chiffre d’affaires hors taxes du dernier exercice clos dans la limite de 500.000.000 FCFA.

Ces sanctions administratives et pécuniaires sont appliquées sans préjudice de sanctions pénales.

Les modalités de retrait de l’autorisation et de recouvrement des montants de la sanction pécuniaire sont fixées par décret pris en Conseil des Ministres.