Chapitre 4 - Obligations relatives aux conditions de traitement des données à caractère personnel
Section 1 - Principes de base gouvernant le traitement des données à caractère personnel
Art. 32
Tout traitement de données à caractère personnel est interdit lorsque le consentement de la personne concernée n’est pas obtenu.
I - Traitement des données à caractère personnel portant sur les données génétiques et sur la recherche dans le domaine médical
Section 2 - Principes spécifiques relatifs au traitement de certaines catégories de données à caractère personnel
Art. 33
Le dossier des demandes d’avis ou d’autorisation de traitements de données à caractère personnel portant sur les données génétiques et sur la recherche dans le domaine médical comprend :
- 1° l’identité et l’adresse du responsable du traitement et de la personne responsable de la recherche, leurs titres, expériences et fonctions, les catégories de personnes qui seront appelées à mettre en œuvre le traitement ainsi que celles qui auront accès aux données collectées ;
- 2° le protocole de recherche ou ses éléments utiles, indiquant notamment l’objectif de la recherche, les catégories de personnes intéressées, la méthode d’observation ou d’investigation retenue, l’origine et la nature des données à caractère personnel recueillies et la justification du recours à celles-ci, la durée et les modalités d’organisation de la recherche, la méthode d’analyse des données ;
- 3° le cas échéant, les avis rendus antérieurement par des instances scientifiques ou éthiques ;
- 4° les caractéristiques du traitement envisagé ;
- 5° le cas échéant, la justification scientifique et technique de toute demande de dérogation à l’obligation de codage des données permettant l’identification des personnes intéressées et la justification de toute demande de dérogation à l’interdiction de conservation desdites données au-delà de la durée nécessaire à la recherche.
Toute modification de ces éléments est portée à la connaissance de la Commission des données personnelles.
Art. 34
Le point de départ du délai fixé par cette disposition est reporté à la date de réception des informations complémentaires demandées par la Commission des données personnelles lorsque le dossier est incomplet.
Art. 35
Sauf dérogation accordée par la Commission des données personnelles, la collecte des informations prévues par l’article 44 de la loi sur les données à caractère personnel, a lieu dans les conditions suivantes :
- 1° lorsque les données à caractère personnel sont recueillies directement auprès des personnes intéressées par questionnaire écrit, celui-ci ou à défaut la lettre qui l’accompagne porte la mention lisible de ces informations ;
- 2° lorsque les données à caractère personnel sont recueillies oralement, la personne chargée de mener l’enquête remet ou fait préalablement parvenir aux personnes intéressées un document contenant ces informations ;
- 3° dans le cas où les données à caractère personnel ont été initialement recueillies pour un autre objet que le traitement envisagé, le professionnel de santé en charge de sa thérapeutique informe la personne intéressée par écrit.
Art. 36
Les personnes accueillies dans les établissements ou les centres où s’exercent des activités de prévention, de diagnostic et de soins donnant lieu à la transmission de données à caractère personnel en vue d’un traitement ayant pour fin la recherche médicale sont informées des mentions prescrites par les articles 58 et suivants de la loi sur les données à caractère personnel par la remise d’un document ou par tout autre moyen approprié.
Toutefois, ces informations peuvent ne pas être délivrées si, pour des raisons légitimes que le médecin traitant apprécie, le malade est laissé dans l’ignorance d’un diagnostic ou d’un pronostic grave.
Les dérogations à l’obligation d’informer les personnes de l’utilisation des données les concernant à des fins de recherche médicale sont mentionnées dans le dossier de demande d’autorisation adressé à la Commission des données personnelles.
II - Traitement ultérieur de données à caractère personnel à des fins historiques, statistiques ou scientifiques
Art. 37
Lorsque le responsable d’un traitement des données à caractère personnel collectées pour des finalités déterminées, explicites et légitimes, communique ces dites données à un tiers en vue d’un traitement ultérieur notamment à des fins historiques, statistiques ou scientifiques, lesdites données sont, préalablement à leur communication, rendues anonymes ou codées par ledit responsable ou par tout organisme compétent.
Art. 38
Les résultats du traitement des données à caractère personnel à des fins historiques, statistiques ou scientifiques ne peuvent être rendus publics sous une forme qui permet l’identification de la personne concernée, sauf si :
- 1° la personne concernée a donné expressément son consentement ;
- 2° la publication des données à caractère personnel non anonymes et non codées est limitée à des données manifestement rendues publiques par la personne concernée.
Art. 39
La Commission des données personnelles est compétente pour se prononcer sur le caractère historique, statistique ou scientifique des données à caractère personnel.
Art. 40
Les articles 37 et 38 du présent décret ne sont pas applicables à tout traitement des données concernant la sécurité publique, la défense, la recherche et la poursuite d’infractions pénales ou la sûreté de l’Etat.
III - Traitement des données à caractère personnel intéressant la sûreté de l’Etat, la défense ou la sécurité publique
Art. 41
En application de l’article 67 de la loi sur les données personnelles, lorsque le responsable du traitement s’oppose à la communication au demandeur de tout ou partie des informations le concernant, à la rectification ou à la suppression desdites informations, la Commission des données personnelles informe la personne concernée des vérifications effectuées.
La Commission des données personnelles mentionne cette opposition dans son rapport annuel.
IV - Traitement des données à caractère personnel susceptibles d’être transférées vers un pays tiers
Art. 42
En application de l’article 49 de la loi sur les données à caractère personnel, le responsable du traitement saisit, selon les modalités définies à l’article 28 du présent décret, la Commission des données personnelles, avant le premier transfert des données vers un pays tiers.
La déclaration du responsable du traitement doit préciser :
- 1° les nom et adresse de la personne communiquant les données ;
- 2° les nom et adresse du destinataire des données ;
- 3° le nom et la description complète du fichier ;
- 4° les catégories de données personnelles transférées ;
- 5° les personnes concernées et leur nombre approximatif ;
- 6° le but du traitement des données effectué par le destinataire ;
- 7° le mode et la fréquence des transferts envisagés ;
- 8° la date du premier transfert ;
Toute modification des informations déclarées par le responsable du traitement doit faire l’objet d’une déclaration auprès de la Commission des données personnelles dans un délai de quinze jours ouvrables.
Art. 43
Le transfert, prévu au sein d’un groupe d’entreprises ou à l’adresse de plusieurs destinataires pour les mêmes catégories de données et les mêmes finalités, peut faire l’objet d’une déclaration commune.
Art. 44
La Commission des données personnelles établit une liste des Etats qui ont une législation sur les données à caractère personnel équivalente et la met à disposition de quiconque souhaite transférer des données personnelles vers des pays tiers.
Cette publication n’exonère pas le responsable du traitement d’aucune de ses responsabilités.
