Loi n° 2019-014 du 29 octobre 2019 relative à la protection des données à caractère personnel

Sont dispensés des formalités préalables prévues aux articles 6 à 9 de la présente loi :

• 1° les traitements mentionnés à l’article 2 de la présente loi ;
• 2° les traitements ayant pour seul objet la tenue d’un registre qui, en vertu de dispositions législatives ou réglementaires, est destiné exclusivement à l’information du public et est ouvert à la consultation de celui-ci ou de toute personne justifiant d’un intérêt légitime ;
• 3° les traitements pour lesquels le responsable a désigné un correspondant à la protection des données à caractère personnel chargé d’assurer, d’une manière indépendante, le respect des obligations prévues dans la présente loi, sauf lorsqu’un transfert de données à caractère personnel à destination d’un pays tiers est envisagé.

En dehors des cas prévus aux articles 5, 8 et 9 de la présente loi, les traitements de données à caractère personnel font l’objet d’une déclaration auprès de l’Instance de protection des données à caractère personnel. L’Instance de protection des données à caractère personnel atteste par un accusé de réception toute déclaration. Elle délivre, dans un délai maximal d’un mois, un récépissé qui permet au demandeur de mettre en œuvre le traitement sans toutefois l’exonérer d’aucune de ses responsabilités. Ce délai peut être prorogé une fois sur décision motivée de l’Instance de protection des données à caractère personnel.

La déclaration, conforme à un modèle établi par l’Instance de protection des données à caractère personnel, comporte l’engagement que le traitement satisfait aux exigences de la loi. Toutefois, seule la réception du récépissé donne droit à la mise en œuvre d’un traitement.

Pour les catégories les plus courantes de traitement des données à caractère personnel dont la mise en œuvre n’est pas susceptible de porter atteinte à la vie privée ou aux libertés, l’Instance de protection des données à caractère personnel établit et publie des normes destinées à simplifier ou à exonérer l’obligation de déclaration.

Ces normes peuvent prendre en compte les Codes de conduite homologués par l’Instance de protection des données à caractère personnel.

Sont mis en œuvre après autorisation de l’Instance de protection des données à caractère personnel :

• 1° les traitements des données à caractère personnel portant sur des données génétiques et sur la recherche dans le domaine de la santé ;
• 2° les traitements des données à caractère personnel portant sur des données relatives aux infractions, condamnations ou mesures de sûreté ;
• 3° les traitements des données à caractère personnel ayant pour objet une interconnexion de fichiers, telle que définie à l’article 33 de la présente loi ;
• 4° les traitements des données à caractère personnel portant sur un numéro national d’identification ou tout autre identifiant de portée générale ;
• 5° les traitements des données à caractère personnel comportant des données biométriques ;
• 6° les traitements des données à caractère personnel ayant un motif d’intérêt public, notamment à des fins historiques, statistiques ou scientifiques.

Hormis les cas où ils doivent être autorisés par la loi et par dérogation aux articles précédents, les traitements automatisés d’informations nominatives opérés pour le compte de l’Etat, d’un établissement public ou d’une collectivité locale ou d’une personne morale de droit privé gérant un service public sont décidés par acte réglementaire pris après avis motivé de l’Instance de protection des données à caractère personnel.

Ces traitements portent sur :

• 1° la sûreté de l’Etat, la défense ou la sécurité publique ;
• 2° la prévention, la recherche, la constatation ou la poursuite des infractions pénales ou l’exécution des condamnations pénales ou des mesures de sûreté ;
• 3° le recensement de la population ;
• 4° les données à caractère personnel faisant apparaître, directement ou indirectement, les origines raciales, ethniques, la filiation, les opinions politiques, philosophiques ou religieuses ou l’appartenance syndicale des personnes, ou qui sont relatives à la santé ou à la vie sexuelle de celles-ci lorsqu’elles ne relèvent pas de l’article 10.3 de la présente loi ;
• 5° le traitement de salaires, pensions, impôts, taxes et autres liquidations.

Les demandes d’avis, les déclarations et les demandes d’autorisation doivent préciser :

• 1° l’identité et l’adresse du responsable du traitement ou, si celui-ci n’est pas établi sur le territoire national, celles de son représentant dûment mandaté ;
• 2° la ou les finalités du traitement ainsi que la description générale de ses fonctions ;
• 3° les interconnexions envisagées ou toutes autres formes de mise en relation avec d’autres traitements ;
• 4° les données à caractère personnel à traiter, leur origine et les catégories de personnes concernées par le traitement ;
• 5° la durée de conservation des informations à traiter ;
• 6° le ou les services chargés de mettre en œuvre le traitement ainsi que les catégories de personnes qui, en raison de leurs fonctions ou pour les besoins du service, ont directement accès aux données enregistrées ;
• 7° les destinataires habilités à recevoir communication des données ;
• 8° la fonction de la personne ou le service auprès duquel s’exerce le droit d’accès ;
• 9° les dispositions prises pour assurer la sécurité des traitements et des données ;
• 10° l’indication du recours à un sous-traitant ;
• 11° les transferts de données à caractère personnel envisagés à destination d’un pays tiers, sous réserve de réciprocité.

Le responsable d’un traitement déjà déclaré ou autorisé introduit une nouvelle demande auprès de l’Instance de protection des données à caractère personnel en cas de changement affectant les informations mentionnées à l’alinéa précédent. En outre, il informe l’Instance de protection des données à caractère personnel en cas de suppression du traitement.

L’Instance de protection des données à caractère personnel se prononce dans un délai qui sera précisé par voie réglementaire à compter de la réception de la demande d’avis ou d’autorisation. Toutefois, ce délai peut être prorogé une fois sur décision motivée de l’Instance de protection des données à caractère personnel. Lorsque l’Instance de protection des données à caractère personnel ne s’est pas prononcée dans ces délais, l’autorisation est réputée favorable.

L’avis, la déclaration ou la demande d’autorisation peut être adressé à l’Instance de protection des données à caractère personnel par voie électronique ou par voie postale. L’Instance de protection des données à caractère personnel délivre un récépissé de réception par voie postale ou par voie électronique.

De la saisine de l’Instance de protection des données à caractère personnel

L’Instance de protection des données à caractère personnel peut être saisie par toute personne, agissant par elle-même, par l’entremise de son avocat ou par toute autre personne physique ou morale dûment mandatée.

Le traitement des données à caractère personnel est considéré comme légitime si la personne concernée donne son consentement.

Toutefois, il peut être dérogé à cette exigence lorsque le traitement est nécessaire :

• 1° au respect d’une obligation légale à laquelle le responsable du traitement est soumis ;
• 2° à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique, dont est investi le responsable du traitement ou le tiers auquel les données sont communiquées ;
• 3° à l’exécution d’un contrat auquel la personne concernée est partie ou à l’exécution de mesures précontractuelles prises à sa demande ;
• 4° à la sauvegarde de l’intérêt ou des droits et libertés fondamentaux de la personne concernée.

La collecte, l’enregistrement, le traitement, le stockage et la transmission des données à caractère personnel se font de manière licite, loyale et non frauduleuse.

Les données sont collectées pour des finalités déterminées, explicites et légitimes et ne peuvent pas être traitées ultérieurement de manière incompatible avec ces finalités.

Elles doivent être adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et traitées ultérieurement.

Elles doivent être conservées pendant une durée qui n’excède pas la période nécessaire aux finalités pour lesquelles elles ont été collectées ou traitées. Au-delà de cette période requise, les données ne peuvent faire l’objet d’une conservation qu’en vue de répondre spécifiquement à un traitement à des fins historiques, statistiques ou de recherches en vertu des dispositions légales.

Les données collectées doivent être exactes et, si nécessaire, mises à jour. Toute mesure raisonnable doit être prise pour que les données inexactes ou incomplètes, au regard des finalités pour lesquelles elles sont collectées et traitées ultérieurement, soient effacées ou rectifiées.

Il implique une information obligatoire de la part du responsable du traitement portant sur les données à caractère personnel.

Les données à caractère personnel sont traitées de manière confidentielle et protégées conformément aux dispositions des articles 51 et 52 de la présente loi, notamment lorsque le traitement comporte des transmissions de données dans un réseau.

Lorsque le traitement est mis en œuvre pour le compte du responsable du traitement, celui-ci doit choisir un sous-traitant qui apporte des garanties suffisantes. La nature de ces garanties est fixée par voie réglementaire. Il incombe au responsable du traitement ainsi qu’au sous-traitant de veiller au respect des mesures de sécurité définies à l’article 52 de la présente loi.

Tout traitement effectué pour le compte du responsable du traitement doit être régi par un contrat ou un acte juridique consigné par écrit qui lie le sous-traitant au responsable du traitement et qui prévoit notamment que le sous-traitant n’agit que sur la seule instruction du responsable du traitement et que les obligations visées au présent article incombent également à celui-ci.

Toute personne qui agit sous l’autorité du responsable du traitement ou sous celle du sous-traitant, ainsi que le sous-traitant lui-même, et qui accède à des données à caractère personnel ne peut les traiter que sur instruction du responsable du traitement.

Il est interdit de procéder à la collecte et à tout traitement qui révèlent l’origine raciale, ethnique, la filiation, les opinions politiques, les convictions religieuses ou philosophiques, l’appartenance syndicale, la vie sexuelle, les données génétiques ou plus généralement celles relatives à l’état de santé de la personne concernée.

L’interdiction prévue à l’article 21 de la présente loi ne s’applique pas pour les catégories de traitements suivantes lorsque :

• 1° le traitement des données à caractère personnel porte sur des données manifestement rendues publiques par la personne concernée ;
• 2° la personne concernée a donné son consentement par écrit à un tel traitement et en conformité avec les textes en vigueur ;
• 3° le traitement des données à caractère personnel est nécessaire à la sauvegarde des intérêts vitaux de la personne concernée ou d’une autre personne dans le cas où la personne concernée se trouve dans l’incapacité physique ou juridique de donner son consentement ;
• 4° le traitement est nécessaire à la constatation, à l’exercice ou à la défense d’un droit en justice. Toutefois les données génétiques ne peuvent être traitées que pour vérifier l’existence d’un lien génétique dans le cadre de l’administration de la preuve en justice, pour l’identification d’une personne, la prévention ou la répression d’une infraction pénale déterminée ;
• 5° une procédure judiciaire ou une enquête pénale est ouverte ;
• 6° le traitement des données à caractère personnel s’avère nécessaire pour un motif d’intérêt public, notamment à des fins historiques, statistiques scientifiques ou culturelles ;
• 7° le traitement est nécessaire à l’exécution d’un contrat auquel la personne concernée est partie ou à l’exécution de mesures précontractuelles prises à la demande de la personne concernée pendant la période précontractuelle ;
• 8° le traitement est nécessaire au respect d’une obligation légale ou réglementaire à laquelle le responsable du traitement est soumis ;
• 9° le traitement est nécessaire à l’exécution d’une mission d’intérêt public ou est effectué par une autorité publique ou est assigné par une autorité publique au responsable du traitement ou à un tiers auquel les données sont communiquées.

Le traitement des données relatives aux infractions, aux condamnations pénales ou aux mesures de sûreté ne peut être mis en œuvre que par :

• 1° les juridictions, les autorités publiques et les personnes morales gérant un service public, agissant dans le cadre de leurs attributions légales ;
• 2° les auxiliaires de justice pour les stricts besoins de l’exercice des missions qui leurs sont confiées par la loi.

Le traitement des données à caractère personnel à des fins de santé n’est légal que :

• 1° lorsque la personne concernée a donné son consentement ;
• 2° lorsqu’il porte sur des données manifestement rendues publiques par la personne concernée ;
• 3° lorsqu’il est nécessaire à la défense des intérêts vitaux de la personne concernée ou d’une autre personne dans le cas où celle-ci se trouve dans l’incapacité physique ou juridique de donner son consentement ;
• 4° lorsqu’il est nécessaire à la réalisation d’une finalité fixée par ou en vertu de la loi ;
• 5° lorsqu’il est nécessaire à la promotion et à la protection de la santé publique y compris le dépistage ;
• 6° lorsqu’il est nécessaire pour la prévention d’un danger concret ou la répression d’une infraction pénale déterminée ;
• 7° lorsqu’il est nécessaire à la constatation, à l’exercice ou à la défense d’un droit en justice ;
• 8° lorsqu’il est nécessaire aux fins de médecine préventive, de diagnostics médicaux, de l’administration de soins ou de traitements soit à la personne concernée, soit à son parent ou lorsque les services de santé agissent dans l’intérêt de la personne concernée. Les données sont traitées sous la surveillance d’un professionnel des soins de santé qui est soumis au secret professionnel.

Les données à caractère personnel relatives à la santé sont collectées auprès de la personne concernée. Elles ne peuvent être collectées auprès d’autres sources qu’à condition que la collecte soit nécessaire aux fins du traitement ou que la personne concernée ne soit pas en mesure de fournir les données elle-même.

De l’application des dispositions des lois relatives à la presse écrite ou au secteur de l’audiovisuel et du Code pénal

Les dispositions de la présente loi ne font pas obstacle à l’application des dispositions des lois relatives à la presse écrite ou audiovisuelle et du Code pénal qui prévoient les conditions d’exercice du droit de réponse et qui préviennent, limitent, réparent et, le cas échéant, répriment les atteintes à la vie privée et à la réputation des personnes physiques.

Est interdite toute prospection directe à l’aide de tout moyen de communication utilisant, sous quelque forme que ce soit, les données à caractère personnel d’une personne physique qui n’a pas exprimé son consentement préalable à recevoir de telles prospections.

Aucune décision de justice impliquant une appréciation sur le comportement d’une personne ne peut avoir pour seul fondement un traitement automatisé des données à caractère personnel destiné à évaluer certains aspects de sa personnalité.

Aucune décision produisant des effets juridiques à l’égard d’une personne ne peut être prise sur le seul fondement d’un traitement automatisé des données à caractère personnel destiné à définir le profil de l’intéressé ou à évaluer certains aspects de sa personnalité.

Ne sont pas prises sur le seul fondement d’un traitement automatisé des données à caractère personnel, les décisions prises dans le cadre de la conclusion ou de l’exécution d’un contrat et pour lesquelles la personne concernée a été mise à même de présenter ses observations ni celles satisfaisant les demandes de la personne concernée.

Le responsable d’un traitement ne peut transférer des données à caractère personnel vers un pays tiers que si cet Etat assure un niveau de protection suffisant de la vie privée, des libertés et droits fondamentaux des personnes à l’égard du traitement dont ces données font ou peuvent faire l’objet.

Avant tout transfert des données à caractère personnel vers un pays tiers, le responsable du traitement doit préalablement informer l’Instance de protection des données à caractère personnel qui donne un avis motivé.

De l’admission des transferts ponctuels des données à caractère personnel

Le responsable d’un traitement peut transférer des données à caractère personnel vers un pays tiers ne répondant pas aux conditions prévues à l’article précédent si le transfert est ponctuel, non massif et que la personne à laquelle se rapportent les données a consenti expressément à leur transfert ou si le transfert est nécessaire à l’une des conditions suivantes :

• 1° à la sauvegarde de la vie de cette personne ;
• 2° à la sauvegarde de l’intérêt public ;
• 3° au respect d’obligations permettant d’assurer la constatation, l’exercice ou la défense d’un droit en justice ;
• 4° à l’exécution d’un contrat entre le responsable du traitement et l’intéressé, ou de mesures précontractuelles prises à la demande de celui-ci.

De l’autorisation des transferts vers un pays tiers et n’assurant pas un niveau de protection adéquat

L’Instance de protection des données à caractère personnel peut autoriser, sur la base d’une demande dûment motivée, un transfert ou un ensemble de transferts de données vers un pays tiers et n’assurant pas un niveau de protection adéquat, ceci lorsque le responsable du traitement offre des garanties suffisantes au regard de la protection de la vie privée, des libertés et droits fondamentaux des personnes concernées ainsi qu’à l’exercice des droits correspondants.

Du traitement des données à caractère personnel provenant de l’étranger

Avant tout traitement des données à caractère personnel provenant de l’étranger, l’Instance de protection des données à caractère personnel doit préalablement, vérifier que le responsable du traitement assure un niveau de protection suffisant de la vie privée, des libertés et droits fondamentaux des personnes à l’égard du traitement en vertu de la présente loi.

Le caractère suffisant du niveau de protection assuré par un responsable du traitement s’apprécie en fonction notamment des mesures de sécurité qui y sont appliquées conformément à la présente loi, des caractéristiques propres du traitement, telles que ses finalités, sa durée ainsi que de la nature, de l’origine et de la destination des données traitées.

De l’exigence d’autorisation de l’interconnexion de fichiers comportant des données à caractère personnel

L’interconnexion de fichiers visés à l’article 10.3 de la présente loi relevant d’une ou de plusieurs personnes morales gérant un service public et dont les finalités correspondent à des intérêts publics différents fait l’objet d’une autorisation de l’Instance de protection des données à caractère personnel.

Il en est de même pour les traitements mis en œuvre par l’Etat aux fins de mettre à la disposition des usagers de l’administration un ou plusieurs services à distance dans le cadre de l’administration électronique.

L’interconnexion de fichiers ne relevant de personnes privées et dont les finalités principales sont différentes est également soumise à autorisation de l’Instance de protection des données à caractère personnel.

La demande d’autorisation d’interconnexion comprend toute information sur :

• 1° la nature des données à caractère personnel relative à l’interconnexion ;
• 2° la finalité pour laquelle l’interconnexion est considérée nécessaire ;
• 3° la durée pour laquelle l’interconnexion est permise ;
• 4° le cas échéant, les conditions et les termes au regard de la protection la plus efficace des droits et des libertés notamment du droit à la vie privée des personnes concernées ou des tiers.

L’autorisation peut être renouvelée après une demande des responsables du traitement.

La demande d’autorisation d’interconnexion ainsi que les autorisations d’interconnexion sont inscrites sur le répertoire des traitements mentionnés à l’article 56.4 de la présente loi.

De l’exigence de légitimité de l’interconnexion de fichiers comportant des données à caractère personnel

L’interconnexion des fichiers doit permettre d’atteindre des objectifs légaux ou statutaires présentant un intérêt légitime pour les responsables des traitements. Elle ne peut pas entraîner de discrimination ou de réduction des droits, libertés et garanties pour les personnes concernées ni être assortie de mesures de sécurité appropriées et doit tenir compte du principe de pertinence des données faisant l’objet de l’interconnexion.