Loi n° 2008-12 du 25 janvier 2008 portant sur la protection des données à caractère personnel

Il est créé une Commission de Protection des Données à Caractère Personnel dite « Commission des Données Personnelles » en abrégé la « CDP ».

La Commission des Données Personnelles est une autorité administrative indépendante chargée de veiller à ce que les traitements des données à caractère personnel soient mis en œuvre conformément aux dispositions de la présente loi.

Elle informe les personnes concernées et les responsables de traitement de leurs droits et obligations et s’assure que les TIC ne comportent pas de menace au regard des libertés publiques et de la vie privée.

La Commission des Données Personnelles est composée de onze membres choisis, en raison de leur compétence juridique et/ou technique, ainsi qu’il suit :

• 1) trois personnalités désignées par le Président de la République ;
• 2) un député désigné par le Président de l’Assemblée nationale ;
• 3) un sénateur désigné par le Président du Sénat ;
• 4) un représentant des organisations patronales désigné par le Ministre chargé des organisations professionnelles, sous réserve des dispositions de l’article 9 de la présente loi ;
• 5) un magistrat membre du Conseil d’Etat désigné sur proposition du Président du Conseil d’Etat ;
• 6) un magistrat membre de la Cour de Cassation désigné sur proposition du Premier Président de la Cour de Cassation ;
• 7) un avocat désigné par le Bâtonnier de l’Ordre des avocats du Sénégal ;
• 8) un représentant des organisations de défense des droits de l’homme désigné par le Ministre de la Justice, Garde des sceaux, sur proposition du Haut-Commissariat aux droits de l’Homme et à la Promotion de la Paix ;
• 9) le Directeur de l’Agence De l’Informatique de l’Etat (ADIE).

Les membres de la Commission des Données Personnelles sont nommés par décret.

Un Commissaire du Gouvernement, désigné par le Premier Ministre, siège auprès de la Commission des Données Personnelles. Le Commissaire du Gouvernement est convoqué à toutes les séances de la Commission, dans les mêmes conditions que les membres de celle-ci. Il informe la Commission sur les orientations du gouvernement et sur les motivations de l’administration concernant la mise en œuvre des traitements mais ne prend pas part au vote.

Le Président de la République nomme parmi les membres de la Commission des Données Personnelles, le Président de ladite Commission. Le Président est secondé par un vice-président élu par la Commission des Données Personnelles.

La Commission des Données Personnelles dispose de services placés sous l’autorité de son Président. Elle dispose, en outre, d’un personnel mis à sa disposition par l’Etat et peut pourvoir au recrutement d’agents conformément aux dispositions du Code du Travail (Version en vigueur en 2008 : Loi n°1997-17 (non disponible) · voir le texte postérieur).

Les agents assermentés, conformément à l’alinéa 2 de l’article 11 de la présente loi et qui peuvent être appelés à participer à la mise en œuvre des missions de vérification mentionnées à l’article 25 de la présente loi doivent y être habilités par la Commission. Cette habilitation ne dispense pas de l’application des dispositions définissant les procédures autorisant l’accès aux secrets protégés par la loi.

Le mandat des membres de la Commission des Données Personnelles est de quatre ans renouvelable une fois. A l’exception du Président, les membres de la Commission des Données Personnelles n’exercent pas leur fonction à titre exclusif. Les membres de la Commission des Données Personnelles sont inamovibles pendant la durée de leur mandat.

Il ne peut être mis fin aux fonctions de membre, qu’en cas de démission ou d’empêchement constaté par la Commission des Données Personnelles dans les conditions prévues par décret.

Les membres de la Commission des Données Personnelles sont soumis au secret professionnel conformément aux textes en vigueur.

La Commission des Données Personnelles établit un règlement intérieur qui précise, notamment, les règles relatives aux délibérations, à l’instruction et à la présentation des dossiers.

Les règles relatives à l’organisation et au fonctionnement de la Commission sont fixées par décret.

La qualité de membre de la Commission des Données Personnelles est incompatible avec la qualité de membre du Gouvernement, de l’exercice des fonctions de dirigeants d’entreprise, de la détention de participation dans les entreprises du secteur de l’informatique ou des télécommunications.

Tout membre de la Commission des Données Personnelles doit informer celle-ci des intérêts directs ou indirects qu’il détient ou vient à détenir, des fonctions qu’il exerce ou vient à exercer et de tout mandat qu’il détient ou vient à détenir au sein d’une personne morale.

Le cas échéant, la commission prend toutes les dispositions utiles pour assurer l’indépendance et l’impartialité de ses membres. Un Code de conduite est mis en place par la commission à cet effet.

Si en cours de mandat le président ou un membre de la Commission des Données Personnelles cesse d’exercer ses fonctions, il est procédé à son remplacement dans les conditions prévues par les articles 6 à 8 de la présente loi.

Le mandat du successeur ainsi désigné est limité à la période restant à courir. Ce dernier peut être désigné pour un seul mandat.

Les membres de la Commission des Données Personnelles, avant leur entrée en fonction, prêtent devant la Cour d’Appel de Dakar siégeant en audience solennelle le serment dont la teneur suit : « Je jure solennellement de bien et fidèlement remplir ma fonction de membre de la Commission de Protection des Données à Caractère Personnel, en toute indépendance et impartialité de façon digne et loyale et de garder le secret des délibérations ».

Les autres agents choisis par la Commission des Données Personnelles prêtent serment devant le tribunal régional de Dakar en ces termes : « Je jure de bien et loyalement remplir mes fonctions d’agent de la « Commission des Données Personnelles » en toute indépendance et impartialité, et de garder le secret des délibérations.

Les membres de la Commission des Données Personnelles jouissent d’une immunité totale pour les opinions émises dans l’exercice ou à l’occasion de l’exercice de leur fonction.

Dans l’exercice de leur attribution, les membres de la Commission des Données Personnelles ne reçoivent d’instruction d’aucune autorité.

Les membres de la Commission des Données Personnelles perçoivent des indemnités fixées par décret.

La Commission des Données Personnelles jouit de l’autonomie de gestion. Le budget est préparé par le Président et adopté par la Commission des Données Personnelles.

Le Président de la Commission des Données Personnelles est l’ordonnateur du budget, il applique les règles de la comptabilité publique.

Pour l’accomplissement de ses missions, la Commission des Données Personnelles reçoit une dotation budgétaire de l’Etat.

La Commission des Données Personnelles ne peut recevoir de don ou subvention d’un individu, d’un organisme ou d’un Etat étranger que par l’intermédiaire d’une structure de coopération de l’Etat du Sénégal.

La Commission des Données Personnelles exerce les missions suivantes :

• 1) elle veille à ce que les traitements des données à caractère personnel soient mis en œuvre conformément aux dispositions de la présente loi ;
• 2) elle informe les personnes concernées et les responsables de traitement de leurs droits et obligations. A cet effet,
• a) elle reçoit les formalités préalables à la création de traitements des données à caractère personnel ;
• b) elle reçoit les réclamations, les pétitions et les plaintes relatives à la mise en œuvre des traitements des données à caractère personnel et informe leurs auteurs des suites données à celles-ci ;
• c) elle informe sans délai le procureur de la République des infractions dont elle a connaissance ;
• d) elle peut, par décision particulière, charger un ou plusieurs de ses membres ou des agents de ses services de procéder à des vérifications portant sur tout traitement et, le cas échéant, d’obtenir des copies de tout document ou support d’information utile à sa mission ;
• e) elle peut, dans les conditions définies aux articles 29 à 32 de la présente loi prononcer une sanction à l’égard d’un responsable de traitement ;
• f) elle répond à toute demande d’avis ;
• 3) elle homologue les chartes d’utilisation qui lui sont présentées ;
• 4) elle tient un répertoire des traitements des données à caractère personnel à la disposition du public ;
• 5) elle conseille les personnes et organismes qui ont recours aux traitements des données à caractère personnel ou qui procèdent à des essais ou expériences de nature à aboutir à de tels traitements ;
• 6) elle autorise, dans les conditions prévues par la présente loi, les transferts transfrontaliers de données à caractère personnel ;
• 7) elle présente au gouvernement toute suggestion susceptible de simplifier et d’améliorer le cadre législatif et réglementaire à l’égard du traitement des données ;
• 8) elle coopère avec les autorités de protection des données à caractère personnel des pays tiers, participe aux négociations internationales en matière de protection des données à caractère personnel ;
• 9) elle publie les autorisations accordées et les avis émis dans le répertoire des traitements des données à caractère personnel ;
• 10) elle établit chaque année un rapport d’activités remis au Président de la République et au Président de l’Assemblée nationale.

Sont dispensés des formalités préalables prévues aux articles suivants :

• 1) les traitements mentionnés à l’article 3 de la présente loi ;
• 2) les traitements ayant pour seul objet la tenue d’un registre qui, en vertu de dispositions législatives ou réglementaires, est destiné exclusivement à l’information du public et est ouvert à la consultation de celui-ci ou de toute personne justifiant d’un intérêt légitime ;
• 3) les traitements mis en œuvre par une association ou tout organisme à but non lucratif et à caractère religieux, philosophique, politique ou syndical dès lors que ces données correspondent à l’objet de cette association ou de cet organisme, qu’elles ne concernent que leurs membres et qu’elles ne doivent pas être communiquées à des tiers.

En dehors des cas prévus aux articles 17, 20 et 21 de la présente loi, les traitements de données à caractère personnel font l’objet d’une déclaration auprès de la Commission des Données Personnelles. La Commission atteste par un accusé de réception toute déclaration. Elle délivre, dans un délai d’un mois, un récépissé qui permet au demandeur de mettre en œuvre le traitement sans toutefois l’exonérer d’aucune de ses responsabilités. Ce délai peut être prorogé une fois sur décision motivée de la Commission.

La déclaration, conforme à un modèle établi par la Commission, comporte l’engagement que le traitement satisfait aux exigences de la loi. Toutefois, seule la réception du récépissé donne droit à la mise en œuvre d’un traitement.

Pour les catégories les plus courantes de traitement des données à caractère personnel dont la mise en œuvre n’est pas susceptible de porter atteinte à la vie privée ou aux libertés, la Commission des Données Personnelles établit et publie des normes destinées à simplifier ou à exonérer l’obligation de déclaration.

Ces normes peuvent prendre en compte les Codes de conduite homologués par la Commission des Données Personnelles.

Sont mis en œuvre après autorisation de la Commission des Données Personnelles :

• 1) les traitements des données à caractère personnel portant sur des données génétiques et sur la recherche dans le domaine de la santé ;
• 2) les traitements des données à caractère personnel portant sur des données relatives aux infractions, condamnations ou mesures de sûreté ;
• 3) les traitements des données à caractère personnel ayant pour objet une interconnexion de fichiers, telle que définie à l’article 54 de la présente loi ;
• 4) les traitements portant sur un numéro national d’identification ou tout autre identifiant de portée générale ;
• 5) les traitements des données à caractère personnel comportant des données biométriques ;
• 6) les traitements des données à caractère personnel ayant un motif d’intérêt public notamment à des fins historiques, statistiques ou scientifiques.

Hormis les cas où ils doivent être autorisés par la loi et par dérogation aux articles précédents, les traitements automatisés d’informations nominatives opérés pour le compte de l’Etat, d’un établissement public ou d’une collectivité locale ou d’une personne morale de droit privé gérant un service public sont décidés par acte réglementaire pris après avis motivé de la Commission des Données Personnelles.

Ces traitements portent sur :

• 1) la sûreté de l’Etat, la défense ou la sécurité publique ;
• 2) la prévention, la recherche, la constatation ou la poursuite des infractions pénales ou l’exécution des condamnations pénales ou des mesures de sûreté ;
• 3) le recensement de la population ;
• 4) les données à caractère personnel faisant apparaître, directement ou indirectement, les origines raciales, ethniques ou régionales, la filiation, les opinions politiques, philosophiques ou religieuses ou l’appartenance syndicale des personnes, ou qui sont relatives à la santé ou à la vie sexuelle de celles-ci lorsqu’elles ne relèvent pas de l’article 22.3 de la présente loi ;
• 5) le traitement de salaires, pensions, impôts, taxes et autres liquidations.

Les demandes d’avis, les déclarations et les demandes d’autorisations doivent préciser :

• 1) l’identité et l’adresse du responsable du traitement ou, si celui-ci n’est pas établi sur le territoire national, celles de son représentant dûment mandaté ;
• 2) la ou les finalités du traitement ainsi que la description générale de ses fonctions ;
• 3) les interconnexions envisagées ou toutes autres formes de mise en relation avec d’autres traitements ;
• 4) les données à caractère personnel traitées, leur origine et les catégories de personnes concernées par le traitement ;
• 5) la durée de conservation des informations traitées ;
• 6) le ou les services chargés de mettre en œuvre le traitement ainsi que les catégories de personnes qui, en raison de leurs fonctions ou pour les besoins du service, ont directement accès aux données enregistrées ;
• 7) les destinataires habilités à recevoir communication des données ;
• 8) la fonction de la personne ou le service auprès duquel s’exerce le droit d’accès ;
• 9) les dispositions prises pour assurer la sécurité des traitements et des données ;
• 10) l’indication du recours à un sous-traitant ;
• 11) les transferts de données à caractère personnel envisagés à destination d’un pays tiers, sous réserve de réciprocité.

Le responsable d’un traitement déjà déclaré ou autorisé introduit une nouvelle demande auprès de la Commission des Données Personnelles en cas de changement affectant les informations mentionnées à l’alinéa précédent. En outre, il doit informer la Commission des Données Personnelles en cas de suppression du traitement.

La Commission des Données Personnelles se prononce dans un délai de deux mois à compter de la réception de la demande d’avis ou d’autorisation. Toutefois, ce délai peut être prorogé une fois sur décision motivée de la Commission. Lorsque la Commission des Données Personnelles ne s’est pas prononcée dans ces délais, l’autorisation est réputée favorable.

L’avis, la déclaration ou la demande d’autorisation peut être adressé à la Commission des Données Personnelles par voie électronique ou par voie postale. La Commission des Données Personnelles délivre un récépissé de réception, le cas échéant par voie électronique.

La Commission des Données Personnelles peut être saisie par toute personne, agissant par elle-même, par l’entremise de son avocat ou par toute autre personne physique ou morale dûment mandatée.

Les membres de la Commission des Données Personnelles ainsi que les agents de service assermentés ont accès, dans les conditions prévues par l’article 45 et suivants du Code de Procédure Pénale, pour l’exercice de leurs missions, aux lieux, locaux, enceintes, installations ou établissements servant à la mise en œuvre d’un traitement des données à caractère personnel et qui sont à usage professionnel, à l’exclusion des parties de ceux-ci affectées au domicile privé.

Le Procureur de la République territorialement compétent en est préalablement informé.

En cas d’opposition du responsable des lieux, la visite ne peut se dérouler qu’avec l’autorisation du Président du Tribunal Régional dans le ressort duquel sont situés les locaux à visiter ou du juge délégué par lui.

Ce magistrat est saisi à la requête du Président de la Commission des Données Personnelles. Il statue par une ordonnance motivée, conformément aux dispositions prévues aux articles 820-1 à 820-9 du Code de procédure civile. La procédure est sans représentation obligatoire.

Les membres de la Commission des Données Personnelles et les agents mentionnés à l’article 25 de la présente loi peuvent demander communication de tous documents nécessaires à l’accomplissement de leur mission, quel qu’en soit le support, et en prendre copie. Ils peuvent recueillir, sur place ou sur convocation, tout renseignement et toute justification utiles. Ils peuvent accéder aux programmes informatiques et aux données, demander la transcription de tout traitement dans des documents appropriés directement utilisables pour les besoins du contrôle. Ils peuvent être assistés par des experts choisis par la Commission des Données Personnelles.

Il est dressé contradictoirement procès-verbal des vérifications et visites menées en application des articles précédents.

La Commission des Données Personnelles peut prononcer les mesures suivantes :

• 1) un avertissement à l’égard du responsable du traitement ne respectant pas les obligations découlant de la présente loi ;
• 2) une mise en demeure de faire cesser les manquements concernés dans le délai qu’elle fixe.

Si le responsable du traitement ne se conforme pas à la mise en demeure qui lui a été adressée, la Commission des Données Personnelles peut prononcer à son encontre, après procédure contradictoire, les sanctions suivantes :

• 1) un retrait provisoire de l’autorisation accordée pour une durée de trois mois à l’expiration de laquelle, le retrait devient définitif ;
• 2) une amende pécuniaire de 1 million à 100 millions FCFA.

Le recouvrement des pénalités se fait conformément à la législation relative au recouvrement des créances de l’Etat.

En cas d’urgence, lorsque la mise en œuvre d’un traitement ou l’exploitation de données personnelles entraîne une violation de droits et libertés, la Commission des Données Personnelles, après procédure contradictoire, peut décider :

• 1) l’interruption de la mise en œuvre du traitement pour une durée maximale de trois mois ;
• 2) le verrouillage de certaines données à caractère personnel traitées pour une durée maximale de 3 mois ;
• 3) l’interdiction temporaire ou définitive d’un traitement contraire aux dispositions de la présente loi.

Les sanctions et décisions prises par la Commission des Données Personnelles sont susceptibles de recours devant le Conseil d’Etat.