Loi n° 2019-014 du 29 octobre 2019 relative à la protection des données à caractère personnel

La présente loi a pour objet de réglementer la collecte, le traitement, la transmission, le stockage, l’usage et la protection des données à caractère personnel.

Elle garantit que tout traitement des données à caractère personnel, sous quelque forme que ce soit, ne porte atteinte aux libertés et aux droits fondamentaux des personnes physiques.

Elle prend également en compte les prérogatives de l’Etat, les droits des collectivités locales, les intérêts des entreprises et de la société civile. Elle veille à ce que les Technologies de l’Information et de la Communication (TIC) ne portent pas atteinte aux libertés individuelles ou publiques, notamment à la vie privée.

Elle crée une autorité nationale chargée de la protection des données à caractère personnel.

Sont soumis à la présente loi :

• 1° toute collecte, tout traitement, toute transmission, tout stockage et toute utilisation des données à caractère personnel par une personne physique, par l’Etat, les collectivités locales, les personnes morales de droit public ou de droit privé ;
• 2° tout traitement automatisé ou non de données contenues ou appelées à figurer dans un fichier, à l’exception des traitements mentionnés à l’article 3 de la présente loi ;
• 3° tout traitement mis en œuvre par un responsable, tel que défini à l’article 4 alinéa 16 de la présente loi, sur le territoire de la République togolaise ou en tout lieu où la loi togolaise s’applique ;
• 4° tout traitement mis en œuvre par un responsable, établi ou non sur le territoire de la République togolaise, qui recourt à des moyens de traitement situés sur le territoire togolais, à l’exclusion des moyens qui ne sont utilisés qu’à des fins de transit sur ce territoire ;
• 5° tout traitement des données concernant la sécurité publique, la défense, la recherche et la poursuite d’infractions pénales ou la sûreté de l’Etat, même liées à un intérêt économique ou financier de l’Etat, sous réserve des dérogations que définit la présente loi et des dispositions spécifiques en la matière fixées par d’autres lois.

La présente loi ne s’applique pas :

• 1° aux traitements de données mis en œuvre par une personne physique dans le cadre exclusif de ses activités personnelles ou domestiques, à condition que les données ne soient pas destinées à une communication systématique à des tiers ou à la diffusion ;
• 2° aux copies temporaires faites dans le cadre des activités techniques de transmission et de fourniture d’accès à un réseau numérique, en vue du stockage automatique, intermédiaire et transitoire des données et à seule fin de permettre à d’autres destinataires du service le meilleur accès possible aux informations transmises.

Au sens de la présente loi, on entend par :

Code de conduite : l’ensemble de règles, notamment les chartes d’utilisation, en conformité avec la présente loi, afin d’instaurer un usage correct des ressources informatiques, des réseaux et des communications électroniques de la structure concernée et homologué par l’Instance de protection des données à caractère personnel ;

Communications électroniques : les émissions, transmissions ou réceptions de signes, de signaux, d’écrits, d’images, de vidéos ou de sons, par voie électromagnétique ou optique ;

Copies temporaires : les données copiées temporairement dans un espace dédié, pour une durée limitée dans le temps, pour les besoins du fonctionnement du logiciel de traitement ;

Consentement de la personne concernée : toute manifestation de volonté expresse, non équivoque, libre, spécifique et informée par laquelle la personne concernée ou son représentant légal, judiciaire ou conventionnel, accepte que ses données à caractère personnel fassent l’objet d’un traitement manuel ou électronique ;

Destinataire d’un traitement des données à caractère personnel : toute personne habilitée à recevoir communication de ces données autre que la personne concernée, le responsable du traitement, le sous-traitant et les personnes qui, en raison de leurs fonctions, sont chargées de traiter les données. Toutefois, les autorités publiques légalement habilitées, dans le cadre d’une mission particulière ou de l’exercice d’un droit de communication, peuvent demander au responsable du traitement de leur communiquer des données à caractère personnel ;

Données à caractère personnel : toute information relative à une personne physique identifiée ou identifiable directement ou indirectement, par référence à un numéro d’identification ou à un ou plusieurs éléments, propres à son identité physique, physiologique, génétique, psychique, culturelle, sociale ou économique ;

Donnée génétique : toute donnée concernant les caractères héréditaires d’un individu ou d’un groupe d’individus apparentés ;

Données sensibles : toutes les données à caractère personnel relatives à l’origine raciale ou ethnique, aux opinions ou activités religieuses, philosophiques, politiques, syndicales, à la vie sexuelle, à la santé, aux mesures d’ordre social, aux poursuites, aux sanctions pénales ou administratives ;

Données dans le domaine de la santé : toute information concernant l’état physique et mental d’une personne concernée, y compris les données génétiques précitées ;

Fichier de données à caractère personnel : l’ensemble structuré de données accessibles selon des critères déterminés, que cet ensemble soit centralisé, décentralisé ou réparti de manière fonctionnelle ou géographique ;

Instance de protection des données à caractère personnel : l’instance compétente pour formuler toutes recommandations utiles en vue de veiller à ce que les traitements des données à caractère personnel soient mis en œuvre conformément aux dispositions de la loi relative à la protection des données à caractère personnel ;

Interconnexion des données à caractère personnel : tout mécanisme de connexion consistant en la mise en relation de données traitées pour une finalité déterminée avec d’autres données traitées pour des finalités identiques ou non, ou liées par un ou plusieurs responsables de traitement ;

Pays tiers : tout Etat autre que la République togolaise ;

Personne concernée : toute personne physique qui fait l’objet d’un traitement des données à caractère personnel ;

Prospection directe : toute sollicitation effectuée au moyen de l’envoi de message, quel qu’en soit le support ou la nature notamment commerciale, politique ou caritative, destinée à promouvoir, directement ou indirectement, des biens, des services ou l’image d’une personne vendant des biens ou fournissant des services ;

Responsable du traitement : toute personne physique ou morale, publique ou privée, tout autre organisme ou association qui, seul ou conjointement avec d’autres, prend la décision de collecter et de traiter des données à caractère personnel et en détermine les finalités ;

Sous-traitant : toute personne physique ou morale, publique ou privée, tout autre organisme ou association qui traite des données pour le compte du responsable du traitement ;

Service à distance : toute prestation de service à valeur ajoutée, s’appuyant sur les communications électroniques, visant à permettre, de manière interactive et à distance, à une personne physique ou morale, publique ou privée, la possibilité d’effectuer des activités, démarches ou formalités ;

Tiers : toute personne physique ou morale, publique ou privée, tout autre organisme ou association autre que la personne concernée, le responsable du traitement, le sous-traitant et les personnes qui, placées sous l’autorité directe du responsable du traitement ou du sous-traitant, sont habilitées à traiter les données ;

Traitement des données à caractère personnel (ci-après désigné « traitement ») : toute opération ou ensemble d’opérations prévues à l’article 2 de la présente loi effectuées ou non à l’aide de procédés automatisés ou non, et appliquées à des données, telles que la collecte, l’exploitation, l’enregistrement, l’organisation, la conservation, l’adaptation, la modification, l’extraction, la sauvegarde, la copie, la consultation, l’utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, ainsi que le verrouillage, le cryptage, l’effacement ou la destruction des données à caractère personnel.