Décret n° 2008-721 du 30 juin 2008 portant application de la loi n° 2008-12 du 25 janvier 2008 sur la protection des données à caractère personnel

Les informations à fournir par le responsable du traitement, en application de l’article 58 de la loi sur les données à caractère personnel, peuvent être délivrées par tous moyens notamment par :

• 1° courrier électronique ou sur support papier ;
• 2° affichage ou formulaire électronique ;
• 3° annonce dans un support approprié ;
• 4° ou bien, au cours d’un entretien individuel.

Si les données sont recueillies par voie de questionnaire, les informations ci-dessous doivent être mentionnées sur le questionnaire :

• 1° l’identité du responsable du traitement ou de celle de son représentant ;
• 2° la finalité poursuivie par le traitement ;
• 3° le caractère obligatoire ou facultatif des réponses ;
• 4° les droits d’accès, d’opposition, de rectification et de suppression.

Lorsque les données ont été initialement recueillies pour une autre finalité, le responsable du traitement doit en informer la personne concernée, sauf si cette dernière est déjà informée. Lorsque le responsable du traitement se trouve dans l’impossibilité de le faire, il doit le justifier auprès de la Commission des données personnelles.

Toute personne a le droit d’être informée, sur les données la concernant, en adressant une demande écrite d’accès aux informations, signée et datée, quel que soit le support :

• 1° soit au responsable du traitement ou à son représentant au Sénégal ou à l’un de ses mandataires ou préposés ;
• 2° soit au sous-traitant du traitement des données à caractère personnel qui la communique, le cas échéant, à une des personnes mentionnées au point 1 du présent article.

Toutefois, toute demande abusive sera jugée comme irrecevable, soit par le responsable du traitement, soit par la Commission des données personnelles ; conformément aux dispositions de l’article 66 de la loi sur les données à caractère personnel.

La demande prévue à l’article 48 du présent décret doit contenir : le nom, le prénom, la date de naissance, la nationalité de la personne concernée, ainsi qu’une photocopie de la carte d’identité, du passeport ou du document qui en tient lieu.

La demande d’accès aux informations contient en outre et dans la mesure où le demandeur dispose de ces informations :

• 1° tous les éléments pertinents concernant les données contestées, tels que leur nature, les circonstances ou l’origine de la prise de connaissance des données contestées, ainsi que les rectifications éventuellement souhaitées ;
• 2° la désignation de l’autorité ou du service concerné.

La commission des données personnelles peut demander à la personne concernée toutes les informations complémentaires qu’elle estime utile.

A défaut des éléments mentionnés à l’article 49 du présent décret, la demande d’accès aux informations pourra être considérée comme irrecevable.

La réponse du responsable de traitement des données doit être faite par écrit.

Si plusieurs responsables de traitement des données gèrent en commun un ou plusieurs fichiers, le droit d’accès aux informations peut être exercé auprès de chacun d’eux, à moins que l’un d’eux soit considéré comme responsable de l’ensemble des traitements.

Si la personne sollicitée n’est pas autorisée à communiquer les informations demandées, elle doit transmettre la requête à qui de droit dans les meilleurs délais.

Les demandes de rectification, de suppression ou d’interdiction des données à caractère personnel ou la communication d’une opposition fondée sur les dispositions de la loi sur les données à caractère personnel, sont introduites auprès des mêmes personnes mentionnées à l’article 48 du présent décret.

Les demandes visées au présent article sont adressées aux personnes concernées conformément aux dispositions de l’article 28 du présent décret.

Une participation équitable aux frais, au profit de la Commission des données personnelles, peut exceptionnellement être demandée lorsque :

• 1° les informations demandées ont déjà été communiquées au requérant dans les six mois précédant la demande, et que ce dernier ne peut justifier d’un intérêt légitime, telle la modification des dites données ;
• 2° la communication des informations demandées occasionne un volume de travail considérable pour la Commission des données personnelles.

Les modalités d’application relatives à la participation aux frais sont fixées par décision de la Commission des données personnelles.

En application de l’article 65 de la loi sur les données à caractère personnel, la consultation des données d’une personne décédée est accordée lorsque le requérant justifie d’un intérêt à la consultation et qu’aucun intérêt prépondérant de proches de la personne décédée ou de tiers ne s’y oppose. Un intérêt est établi en cas de proche parenté ou de mariage avec la personne décédée.

A l’issue de toute vérification, la Commission des données personnelles peut faire rectifier, effacer des données à caractère personnel déjà traitées ou insérer d’autres. Elle peut également interdire la communication des données à caractère personnel ou formuler des recommandations qu’elle estime nécessaire.

Le procès-verbal rédigé par la Commission des données personnelles fixe le délai au terme duquel le responsable du traitement est tenu d’avoir fait cesser le ou les manquements constatés. A l’expiration de ce délai, le responsable du traitement concerné notifie par écrit à ladite Commission les suites réservées aux décisions qui ont été prises.

La Commission des données personnelles dispose d’un délai de quatre mois à compter de la notification pour se prononcer sur toute demande d’accès aux informations.

En cas de demande d’information complémentaire adressée au requérant, le délai défini au présent article court à compter de la date de réception par la Commission des données personnelles de ces dites informations.

Lorsque la Commission des données personnelles sollicite l’avis d’une autorité exerçant des compétences analogues aux siennes dans un pays tiers, le même délai court à compter de la réception par ladite Commission des informations demandées.

Lorsque des données à caractère personnel sont collectées par écrit auprès de la personne concernée, le responsable du traitement demande à celle-ci, sur le document grâce auquel il collecte les données, si elle souhaite exercer le droit d’opposition prévu à l’article 68 de la loi sur les données à caractère personnel.

Lorsque les données à caractère personnel sont collectées auprès de la personne concernée autrement que par écrit, le responsable du traitement demande à celle-ci si elle souhaite exercer le droit d’opposition. Dans cette hypothèse, la demande doit se réaliser, au plus tard un mois après la collecte desdites données, par tout moyen technique, qui permet de conserver la preuve que la personne concernée a eu la possibilité d’exercer son droit d’opposition.

A défaut de la communication de ce document, le droit d’opposition s’applique de plein droit.

Lorsque les données à caractère personnel ne sont pas obtenues auprès de la personne concernée, le responsable du traitement lui demande, quel que soit le support, si elle souhaite exercer le droit d’opposition.

Lorsque des données à caractère personnel sont destinées à être utilisées par le responsable du traitement à des fins de prospection, notamment commerciales, le droit d’opposition peut être exercé sans aucune justification.

Lorsqu’une personne fait une demande en vue de rectifier ou de supprimer des données la concernant, le responsable du traitement ou la Commission des données personnelles doit l’informer par écrit des dispositions prises.