Loi n° 2008-12 du 25 janvier 2008 portant sur la protection des données à caractère personnel

Lorsque des données à caractère personnel sont collectées directement auprès de la personne concernée, le responsable du traitement doit fournir à celle-ci, au plus tard, lors de la collecte et quels que soient les moyens et supports employés, les informations suivantes :

• 1) l’identité du responsable du traitement et, le cas échéant, de son représentant ;
• 2) la ou les finalités déterminées du traitement auquel les données sont destinées ;
• 3) les catégories de données concernées ;
• 4) le ou les destinataires ou les catégories de destinataires auxquels les données sont susceptibles d’être communiquées ;
• 5) le fait de savoir si la réponse aux questions est obligatoire ou facultative ainsi que les conséquences éventuelles d’un défaut de réponse ;
• 6) le fait de pouvoir demander à ne plus figurer sur le fichier ;
• 7) l’existence d’un droit d’accès aux données la concernant et de rectification de ces données ;
• 8) la durée de conservation des données ;
• 9) le cas échéant, des transferts de données à caractère personnel envisagés à destination de l’étranger.

Lorsque les données à caractère personnel ne sont pas collectées auprès de la personne concernée, les informations visées à l’article 58 de la présente loi sont transmises à ladite personne au moment de l’enregistrement des données ou, si leur communication est prévue, au plus tard lors de la première communication.

Les dispositions de l’article 58 de la présente loi ne s’appliquent pas :

• 1) aux données recueillies et utilisées lors d’un traitement mis en œuvre pour le compte de l’Etat et intéressant la sûreté de l’Etat, la défense, la sécurité publique ou ayant pour objet l’exécution de condamnations pénales ou de mesures de sûreté, dans la mesure où une telle limitation est nécessaire au respect des fins poursuivies par le traitement ;
• 2) lorsque le traitement est nécessaire à la prévention, la recherche, la constatation et la poursuite de toute infraction ;
• 3) lorsque le traitement est nécessaire à la prise en compte d’un intérêt économique ou financier important de l’Etat, y compris dans les domaines monétaire, budgétaire, douanier et fiscal.

Toute personne utilisatrice des réseaux de communication électronique doit être informée de manière claire et complète par le responsable du traitement ou son représentant :

• 1) de la finalité de toute action tendant à accéder, par voie de transmission électronique, à des informations stockées dans son équipement terminal de connexion, ou à inscrire, par la même voie, des informations dans son équipement terminal de connexion ;
• 2) des moyens dont elle dispose pour s’y opposer.

Ces dispositions ne sont pas applicables si l’accès aux informations stockées dans l’équipement terminal de l’utilisateur ou l’inscription d’informations dans l’équipement de l’utilisateur :

• 1) soit a pour finalité exclusive de permettre ou faciliter la communication par voie électronique ;
• 2) soit est strictement nécessaire à la fourniture d’un service de communication en ligne à la demande expresse de l’utilisateur.

Toute personne physique justifiant de son identité a le droit de demander, par écrit, quel que soit le support, au responsable d’un traitement des données à caractère personnel, de lui fournir :

• 1) les informations permettant de connaître et de contester le traitement ;
• 2) la confirmation que des données à caractère personnel la concernant font ou ne font pas l’objet de ce traitement ;
• 3) la communication, sous une forme accessible, des données à caractère personnel qui la concernent ainsi que de toute information disponible quant à l’origine de celles-ci ;
• 4) des informations relatives aux finalités du traitement, aux catégories de données à caractère personnel traitées et aux destinataires ou aux catégories de destinataires auxquels les données sont communiquées ;
• 5) le cas échéant, des informations relatives aux transferts de données à caractère personnel envisagés à destination d’un pays tiers.

Une copie des données à caractère personnel la concernant est délivrée à la personne concernée à sa demande. Le responsable du traitement peut subordonner la délivrance de cette copie au paiement d’une somme qui ne peut excéder le coût de la reproduction.

En cas de risque de dissimulation ou de disparition des données à caractère personnel, la personne concernée peut en informer la Commission des Données Personnelles qui prend toute mesure de nature à éviter cette dissimulation ou cette disparition.

Toute personne qui dans l’exercice de son droit d’accès à des raisons sérieuses d’admettre que les données qui lui ont été communiquées ne sont pas conformes aux données traitées, peut en informer la Commission des Données Personnelles qui procède aux vérifications nécessaires.

Le droit d’accès d’un patient est exercé par le patient lui-même ou par l’intermédiaire d’un médecin qu’il désigne. En cas de décès du patient, son conjoint non séparé de corps et ses enfants, s’il s’agit d’un mineur, ses père et mère, peuvent exercer, par l’intermédiaire d’un médecin qu’ils désignent, le droit d’accès.

Le responsable du traitement peut s’opposer aux demandes manifestement abusives, notamment par leur nombre, leur caractère répétitif ou systématique. En cas de contestation, la charge de la preuve du caractère manifestement abusif des demandes incombe au responsable du traitement auprès duquel elles sont adressées.

Par dérogation aux articles 62 et suivants de la présente loi, lorsqu’un traitement intéresse la sûreté de l’Etat, la défense ou la sécurité publique, le droit d’accès s’exerce dans les conditions suivantes :

• 1) la demande est adressée à la Commission des Données Personnelles qui désigne l’un de ses membres appartenant ou ayant appartenu au Conseil d’Etat ou à la Cour de Cassation pour mener les investigations nécessaires. Celui-ci peut se faire assister d’un autre agent de la Commission des Données Personnelles. Il est notifié au requérant qu’il a été procédé aux vérifications ;
• 2) lorsque la Commission des Données Personnelles constate, en accord avec le responsable du traitement, que la communication des données qui y sont contenues ne met pas en cause ses finalités, la sûreté de l’Etat, la défense ou la sécurité publique, ces données peuvent être communiquées au requérant ;
• 3) lorsque le traitement est susceptible de comprendre des informations dont la communication ne mettrait pas en cause les fins qui lui sont assignées, l’acte réglementaire portant création du fichier peut prévoir que ces informations peuvent être communiquées au requérant par le gestionnaire du fichier directement saisi.

Toute personne physique a le droit de s’opposer, pour des motifs légitimes, à ce que des données à caractère personnel la concernant fassent l’objet d’un traitement.

Elle a le droit, d’une part, d’être informée avant que des données la concernant ne soient pour la première fois communiquées à des tiers ou utilisées pour le compte de tiers à des fins de prospection et, d’autre part, de se voir expressément offrir le droit de s’opposer, gratuitement, à ladite communication ou utilisation.

Les dispositions du premier alinéa du présent article ne s’appliquent pas lorsque le traitement répond à une obligation légale.

Toute personne physique justifiant de son identité peut exiger du responsable d’un traitement que soient, selon les cas, rectifiées, complétées, mises à jour, verrouillées ou supprimées les données à caractère personnel la concernant, qui sont inexactes, incomplètes, équivoques, périmées, ou dont la collecte, l’utilisation, la communication ou la conservation est interdite.

Lorsque l’intéressé en fait la demande par écrit, quel que soit le support, le responsable du traitement doit justifier, sans frais pour le demandeur, qu’il a procédé aux opérations exigées en vertu de l’alinéa précédent dans un délai d’un mois après l’enregistrement de la demande.

En cas de contestation, la charge de la preuve incombe au responsable du traitement auprès duquel est exercé le droit d’accès.

Si une donnée a été transmise à un tiers, le responsable du traitement doit accomplir les diligences utiles afin de lui notifier les opérations qu’il a effectuées conformément au premier alinéa.