Loi n° 2008-12 du 25 janvier 2008 portant sur la protection des données à caractère personnel

Le traitement des données à caractère personnel est considéré comme légitime si la personne concernée donne son consentement.

Toutefois, il peut être dérogé à cette exigence du consentement lorsque le traitement est nécessaire :

• 1) au respect d’une obligation légale à laquelle le responsable du traitement est soumis ;
• 2) à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique, dont est investi le responsable du traitement ou le tiers auquel les données sont communiquées ;
• 3) à l’exécution d’un contrat auquel la personne concernée est partie ou à l’exécution de mesures précontractuelles prises à sa demande ;
• 4) à la sauvegarde de l’intérêt ou des droits et libertés fondamentaux de la personne concernée.

La collecte, l’enregistrement, le traitement, le stockage et la transmission des données à caractère personnel doivent se faire de manière licite, loyale et non frauduleuse.

Les données doivent être collectées pour des finalités déterminées, explicites et légitimes et ne peuvent pas être traitées ultérieurement de manière incompatible avec ces finalités.

Elles doivent être adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et traitées ultérieurement.

Elles doivent être conservées pendant une durée qui n’excède pas la période nécessaire aux finalités pour lesquelles elles ont été collectées ou traitées. Au-delà de cette période requise, les données ne peuvent faire l’objet d’une conservation qu’en vue de répondre spécifiquement à un traitement à des fins historiques, statistiques ou de recherches en vertu des dispositions légales.

Les données collectées doivent être exactes et, si nécessaire, mises à jour. Toute mesure raisonnable doit être prise pour que les données inexactes ou incomplètes, au regard des finalités pour lesquelles elles sont collectées et traitées ultérieurement, soient effacées ou rectifiées.

Le principe de transparence implique une information obligatoire de la part du responsable du traitement portant sur les données à caractère personnel.

Les données à caractère personnel doivent être traitées de manière confidentielle et être protégées conformément aux dispositions de l’article 71 de la présente loi, notamment lorsque le traitement comporte des transmissions de données dans un réseau.

Lorsque le traitement est mis en œuvre pour le compte du responsable du traitement, celui-ci doit choisir un sous-traitant qui apporte des garanties suffisantes. Il incombe au responsable du traitement ainsi qu’au sous-traitant de veiller au respect des mesures de sécurité définies par l’article 71 de la présente loi.

Tout traitement effectué pour le compte du responsable du traitement doit être régi par un contrat ou un acte juridique consigné par écrit qui lie le sous-traitant au responsable du traitement et qui prévoit notamment que le sous-traitant n’agit que sur la seule instruction du responsable du traitement et que les obligations visées au présent article incombent également à celui-ci.

Il est interdit de procéder à la collecte et à tout traitement qui révèlent l’origine raciale, ethnique ou régionale, la filiation, les opinions politiques, les convictions religieuses ou philosophiques, l’appartenance syndicale, la vie sexuelle, les données génétiques ou plus généralement celles relatives à l’état de santé de la personne concernée.

L’interdiction fixée à l’article précédent ne s’applique pas pour les catégories de traitements suivantes lorsque :

• 1) le traitement des données à caractère personnel porte sur des données manifestement rendues publiques par la personne concernée ;
• 2) la personne concernée a donné son consentement par écrit, quel que soit le support, à un tel traitement et en conformité avec les textes en vigueur ;
• 3) le traitement des données à caractère personnel est nécessaire à la sauvegarde des intérêts vitaux de la personne concernée ou d’une autre personne dans le cas où la personne concernée se trouve dans l’incapacité physique ou juridique de donner son consentement ;
• 4) le traitement est nécessaire à la constatation, à l’exercice ou à la défense d’un droit en justice. Toutefois les données génétiques ne peuvent être traitées que pour vérifier l’existence d’un lien génétique dans le cadre de l’administration de la preuve en justice, pour l’identification d’une personne, la prévention ou la répression d’une infraction pénale déterminée ;
• 5) une procédure judiciaire ou une enquête pénale est ouverte ;
• 6) le traitement des données à caractère personnel s’avère nécessaire pour un motif d’intérêt public notamment à des fins historiques, statistiques ou scientifiques ;
• 7) le traitement est nécessaire à l’exécution d’un contrat auquel la personne concernée est partie ou à l’exécution de mesures précontractuelles prises à la demande de la personne concernée pendant la période précontractuelle ;
• 8) le traitement est nécessaire au respect d’une obligation légale ou réglementaire à laquelle le responsable du traitement est soumis ;
• 9) le traitement est nécessaire à l’exécution d’une mission d’intérêt public ou est effectué par une autorité publique ou est assigné par une autorité publique au responsable du traitement ou à un tiers, auquel les données sont communiquées ;
• 10) le traitement est effectué dans le cadre des activités légitimes d’une fondation, d’une association ou de tout autre organisme à but non lucratif et à finalité politique, philosophique, religieuse, mutualiste ou syndicale. Toutefois, le traitement doit se rapporter aux seuls membres de cet organisme ou aux personnes entretenant avec lui des contacts réguliers liés à sa finalité et que les données ne soient pas communiquées à des tiers sans le consentement des personnes concernées.

Le traitement des données relatives aux infractions, aux condamnations pénales ou aux mesures de sûreté ne peut être mis en œuvre que par :

• 1) les juridictions, les autorités publiques et les personnes morales gérant un service public, agissant dans le cadre de leurs attributions légales ;
• 2) les auxiliaires de justice pour les stricts besoins de l’exercice des missions qui leur sont confiées par la loi.

Le traitement des données à caractère personnel à des fins de santé n’est légitime que :

• 1) lorsque la personne concernée a donné son consentement ;
• 2) lorsqu’il porte sur des données manifestement rendues publiques par la personne concernée ;
• 3) lorsqu’il est nécessaire à la défense des intérêts vitaux de la personne concernée ou d’une autre personne dans le cas où celle-ci se trouve dans l’incapacité physique ou juridique de donner son consentement ;
• 4) lorsqu’il est nécessaire à la réalisation d’une finalité fixée par ou en vertu de la loi ;
• 5) lorsqu’il est nécessaire à la promotion et à la protection de la santé publique y compris le dépistage ;
• 6) lorsqu’il est nécessaire pour la prévention d’un danger concret ou la répression d’une infraction pénale déterminée ;
• 7) lorsqu’il est nécessaire à la constatation, à l’exercice ou à la défense d’un droit en justice ;
• 8) lorsqu’il est nécessaire aux fins de médecine préventive, de diagnostics médicaux, de l’administration de soins ou de traitements soit à la personne concernée, soit de son parent ou lorsque les services de santé agissent dans l’intérêt de la personne concernée. Les données sont traitées sous la surveillance d’un professionnel des soins de santé qui est soumis au secret professionnel.

Les données à caractère personnel relatives à la santé sont collectées auprès de la personne concernée. Elles ne peuvent être collectées auprès d’autres sources qu’à condition que la collecte soit nécessaire aux fins du traitement ou que la personne concernée ne soit pas en mesure de fournir les données elle-même.

Le traitement des données à caractère personnel réalisé aux fins de journalisme, de recherche ou d’expression artistique ou littéraire est admis lorsqu’il est mis en œuvre aux seules fins d’expression littéraire et artistique ou d’exercice, à titre professionnel, de l’activité de journaliste ou chercheur, dans le respect des règles déontologiques de ces professions.

Les dispositions de la présente loi ne font pas obstacle à l’application des dispositions des lois relatives à la presse écrite ou audiovisuelle et du Code pénal qui prévoient les conditions d’exercice du droit de réponse et qui préviennent, limitent, réparent et, le cas échéant, répriment les atteintes à la vie privée et à la réputation des personnes physiques.

Il est interdit de procéder à la prospection directe à l’aide de tout moyen de communication utilisant, sous quelque forme que ce soit, les données à caractère personnel d’une personne physique qui n’a pas exprimé son consentement préalable à recevoir de telles prospections.

Aucune décision de justice impliquant une appréciation sur le comportement d’une personne ne peut avoir pour fondement un traitement automatisé des données à caractère personnel destiné à évaluer certains aspects de sa personnalité.

Aucune décision produisant des effets juridiques à l’égard d’une personne ne peut être prise sur le seul fondement d’un traitement automatisé des données à caractère personnel destiné à définir le profil de l’intéressé ou à évaluer certains aspects de sa personnalité.

Ne sont pas regardées comme prises sur le seul fondement d’un traitement automatisé des données à caractère personnel, les décisions prises dans le cadre de la conclusion ou de l’exécution d’un contrat et pour lesquelles la personne concernée a été mise à même de présenter ses observations ni celles satisfaisant les demandes de la personne concernée.

Le responsable d’un traitement ne peut transférer des données à caractère personnel vers un pays tiers que si cet Etat assure un niveau de protection suffisant de la vie privée, des libertés et droits fondamentaux des personnes à l’égard du traitement dont ces données font ou peuvent faire l’objet.

Avant tout transfert des données à caractère personnel vers un pays tiers, le responsable du traitement doit préalablement informer la Commission des Données Personnelles.

Avant tout traitement des données à caractère personnel provenant de l’étranger, la Commission des Données Personnelles doit préalablement, vérifier que le responsable du traitement assure un niveau de protection suffisant de la vie privée, des libertés et droits fondamentaux des personnes à l’égard du traitement en vertu de la présente loi.

Le caractère suffisant du niveau de protection assuré par un responsable du traitement s’apprécie en fonction notamment des mesures de sécurité qui y sont appliquées conformément à la présente loi, des caractéristiques propres du traitement, telles que ses finalités, sa durée ainsi que de la nature, de l’origine et de la destination des données traitées.

Le responsable d’un traitement peut transférer des données à caractère personnel vers un pays tiers ne répondant pas aux conditions prévues à l’article précédent si le transfert est ponctuel, non massif et que la personne à laquelle se rapportent les données a consenti expressément à leur transfert ou si le transfert est nécessaire à l’une des conditions suivantes :

• 1) à la sauvegarde de la vie de cette personne ;
• 2) à la sauvegarde de l’intérêt public ;
• 3) au respect d’obligations permettant d’assurer la constatation, l’exercice ou la défense d’un droit en justice ;
• 4) à l’exécution d’un contrat entre le responsable du traitement et l’intéressé, ou de mesures précontractuelles prises à la demande de celui-ci.

La Commission des Données Personnelles peut autoriser, sur la base d’une demande dûment motivée, un transfert ou un ensemble de transferts de données vers un pays tiers et n’assurant pas un niveau de protection adéquat, ceci lorsque le responsable du traitement offre des garanties suffisantes au regard de la protection de la vie privée, des libertés et droits fondamentaux des personnes concernées ainsi qu’à l’exercice des droits correspondants.

Toute personne qui agit sous l’autorité du responsable du traitement ou sous celle du sous-traitant, ainsi que le sous-traitant lui-même, et qui accède à des données à caractère personnel ne peut les traiter que sur instruction du responsable du traitement.

L’interconnexion de fichiers visés à l’article 22.3 de la présente loi relevant d’une ou de plusieurs personnes morales gérant un service public et dont les finalités correspondent à des intérêts publics différents doit faire l’objet d’une autorisation de la Commission de Données Personnelles.

Il en est de même pour les traitements mis en œuvre par l’Etat aux fins de mettre à la disposition des usagers de l’administration un ou plusieurs services à distance dans le cadre de l’administration électronique.

L’interconnexion de fichiers relevant de personnes privées et dont les finalités principales sont différentes est également soumise à autorisation de la Commission des Données Personnelles.

L’interconnexion des fichiers doit permettre d’atteindre des objectifs légaux ou statutaires présentant un intérêt légitime pour les responsables des traitements. Elle ne peut pas entraîner de discrimination ou de réduction des droits, libertés et garanties pour les personnes concernées ni être assortie de mesures de sécurité appropriées et doit tenir compte du principe de pertinence des données faisant l’objet de l’interconnexion.

La demande d’autorisation d’interconnexion prévue à l’article 22.3 de la présente loi comprend toute information sur :

• 1) la nature des données à caractère personnel relative à l’interconnexion ;
• 2) la finalité pour laquelle l’interconnexion est considérée nécessaire ;
• 3) la durée pour laquelle l’interconnexion est permise ;
• 4) le cas échéant, les conditions et les termes au regard de la protection la plus efficace des droits et des libertés et notamment du droit à la vie privée des personnes concernées ou des tiers.

L’autorisation peut être renouvelée après une demande des responsables du traitement.

La demande d’autorisation d’interconnexion ainsi que les autorisations d’interconnexion sont inscrites sur le répertoire des traitements mentionnés à l’article 16-4 de la présente loi.