Chapitre 2 - Commission des données personnelles
Section 1 - Organisation et Fonctionnement de la Commission des Données personnelles
Art. 2
Le Président de la Commission des données personnelles assume la gestion quotidienne de ladite Commission, dirige le secrétariat, préside les réunions en ses différentes formations ou délègue un autre membre à cette fin.
Il est chargé d’organiser, dans les meilleurs délais, en application des dispositions de l’article 11 de la loi sur les données à caractère personnel, la prestation de serment des membres et agents choisis par la Commission des données personnelles.
Art. 3
Les membres de la Commission des données personnelles se réunissent en séance plénière sur convocation du Président.
A défaut, la convocation est de droit à la demande de la majorité des membres de la Commission des données personnelles.
La convocation, précisant l’ordre du jour, peut être faite par voie électronique. Les séances de la Commission des données personnelles ne sont pas publiques.
Art. 4
L’élection du vice-président doit avoir lieu lors de la première réunion de la Commission des données personnelles.
Le Président de la Commission des données personnelles peut déléguer certains de ses pouvoirs au vice-président ou à ses collaborateurs, membres de ladite Commission.
Art. 5
La Commission des données personnelles établit son règlement intérieur, conformément à l’alinéa 4 de l’article 8 de la loi sur les données à caractère personnel dans un délai d’un mois après son installation.
Art. 6
La Commission des données personnelles ne peut valablement délibérer que si la majorité de ses membres au moins est présente.
Les votes ont lieu à main levée et toutes les décisions sont adoptées à la majorité absolue des membres présents.
En cas de parité des voix, celle du Président ou, s’il est empêché, de son suppléant, est prépondérante.
Chaque séance de la Commission des données personnelles donne lieu à un procès-verbal signé par les membres de la Commission ayant siégé.
Section 2 - Composition de la Commission des Données personnelles
Art. 7
En application de l’alinéa 3 de l’article 6 de la loi sur les données à caractère personnel, un Commissaire du Gouvernement siège auprès de la Commission des données personnelles notamment pour :
- 1° recevoir une copie de la demande d’avis ou d’autorisation présentée pour le compte de l’Etat, d’une personne morale de droit public ou d’une personne morale de droit privé gérant un service public ;
- 2° disposer, à sa demande, d’une copie de toute autre déclaration, demande d’avis ou d’autorisation ;
- 3° présenter, à sa demande, ses observations écrites ou orales sur toute déclaration, demande d’avis ou d’autorisation ;
- 4° établir annuellement, avant le 31 décembre, un rapport destiné au Premier Ministre sur les traitements des données à caractère personnel effectués pour le compte de l’Etat, d’une personne morale de droit public ou d’une personne morale de droit privé gérant un service public.
En cas d’absence ou d’empêchement, le Commissaire du gouvernement est remplacé par un suppléant désigné conformément aux dispositions de l’article 6 de la loi sur les données à caractère personnel. Convoqué dans les mêmes conditions que les autres membres de la Commission des données personnelles, son absence ne peut pas empêcher la tenue des travaux de ladite Commission.
Le Commissaire du gouvernement est nommé pour une durée de deux ans, renouvelable une seule fois.
Art. 8
Les propositions de désignation des membres de la Commission des données personnelles, mentionnées aux articles 6 et suivants de la loi sur les données à caractère personnel, en vue de la nomination des nouveaux membres ou du renouvellement du mandat des membres en fonction, doivent être adressées dans les six mois qui précèdent l’expiration du mandat de ces derniers.
Art. 9
Le Président de la Commission des données personnelles peut faire appel à un ou plusieurs experts en application de l’article 27 de la loi sur les données à caractère personnel.
Les experts dont le concours est requis par la Commission des données personnelles sont rétribués selon les dispositions du Code des marchés.
Lorsque les opérations de contrôle nécessitent l’accès à des données médicales individuelles, la Commission des données personnelles désigne un médecin inscrit sur une liste fournie chaque année par l’ordre des médecins du Sénégal pour requérir la communication de ces données.
Le rapport d’expertise est remis au Président de la Commission des données personnelles qui en adresse une copie au responsable du traitement.
Section 3 - Attributions de la Commission des données personnelles
Art. 10
La Commission des données personnelles est compétente pour formuler toutes recommandations utiles en vue de veiller à ce que les traitements des données à caractère personnel soient mis en œuvre conformément aux dispositions de la loi susmentionnée ainsi que celles du présent décret.
Art. 11
A l’exception des informations intéressant la sûreté de l’Etat, la défense ou la sécurité publique, le répertoire des traitements de données à caractère personnel, est accessible au public selon les modalités suivantes :
- 1° la consultation dans des locaux de la Commission des données personnelles selon des jours et des heures fixés par le Président de ladite Commission ;
- 2° la consultation par le biais d’une demande, sous forme d’extrait, adressée à la Commission des données personnelles ;
- 3° la consultation sur tout autre support prévu par la Commission des données personnelles. La consultation du répertoire des traitements des données à caractère personnel est gratuite.
Art. 12
La Commission des données personnelles fixe la liste des personnes chargées de procéder aux contrôles prévus par l’article 25 de la loi sur les données à caractère personnel.
Cette liste peut être réaménagée à tout moment par la Commission des données personnelles.
Art. 13
L’opération de contrôle, qu’elle soit sur place ou sur convocation, est décidée par une décision de la Commission des données personnelles qui précise :
- 1° le nom et l’adresse du responsable du traitement concerné ;
- 2° le nom du rapporteur et des autres contrôleurs chargés de l’opération ;
- 3° l’objet ainsi que la durée de l’opération.
Art. 14
Aucun contrôleur ne peut être désigné pour effectuer un contrôle auprès d’un organisme au sein duquel il a, au cours des 5 années précédant le contrôle, détenu un intérêt direct ou indirect, exercé des fonctions, une activité professionnelle ou un mandat électif.
Art. 15
En cas d’opération de contrôle, le Procureur de la République territorialement compétent en est préalablement informé au plus tard vingt-quatre heures avant la date à laquelle doit avoir lieu le contrôle sur place. Cet avis précise la date, l’heure, le lieu et l’objet du contrôle.
Les personnes chargées du contrôle doivent présenter leur ordre de mission et, le cas échéant, leur habilitation à procéder auxdits contrôles.
Art. 16
Chaque contrôle, qu’il soit sur place ou sur convocation, doit faire l’objet d’un procès-verbal qui énonce la nature, le jour, l’heure et le lieu des contrôles effectués.
Le procès-verbal indique l’objet de l’opération, les membres de la Commission des données personnelles ayant participé à celle-ci, les personnes rencontrées, le cas échéant, leurs déclarations, les demandes formulées par les contrôleurs ainsi que les éventuelles difficultés rencontrées.
L’inventaire des pièces et documents dont les personnes chargées du contrôle ont pris copie est annexé au procès-verbal signé par les personnes chargées du contrôle et par le responsable soit des lieux, soit des traitements, soit par toute personne désignée par celui-ci.
En cas de refus ou d’absence du responsable des lieux ou des traitements, il en est fait mention dans le procès-verbal de carence établi par les contrôleurs.
Lorsque la visite n’a pu se dérouler, le procès-verbal mentionne les motifs qui ont empêché ou entravé son déroulement.
Lorsque la visite a lieu avec l’autorisation et sous le contrôle du juge conformément à l’article 26 de la loi sur les données à caractère personnel, une copie du procès-verbal de la visite lui est adressée par le Président de la commission des données personnelles.
Art. 17
Lorsque la Commission des données personnelles procède à des contrôles, à la demande d’une autorité d’un pays tiers exerçant des compétences analogues aux siennes, elle en informe le responsable du traitement.
Art. 18
Les personnes chargées du contrôle peuvent convoquer et entendre toute personne susceptible de leur fournir toute information ou justification utiles pour l’accomplissement de leur mission.
La convocation, adressée par lettre recommandée ou remise en main propre contre décharge, doit parvenir au moins sept jours avant la date de l’audition.
La convocation rappelle à la personne convoquée qu’elle est en droit de se faire assister d’un conseil de son choix.
Le refus de répondre à une convocation des personnes chargées du contrôle doit être mentionné sur procès-verbal.
Art. 19
Lorsqu’une personne interrogée dans le cadre des contrôles fait par la Commission des données personnelles oppose le secret professionnel, il est fait mention de cette opposition sur le procès-verbal établi.
Le procès-verbal doit faire mention des dispositions législatives ou réglementaires régissant le secret professionnel invoqué.
