Loi n° 2019-014 du 29 octobre 2019 relative à la protection des données à caractère personnel

De la création et du statut de l’Instance de protection des données à caractère personnel

Il est créé une autorité nationale chargée de la protection des données à caractère personnel dénommée « Instance de Protection des Données à Caractère Personnel », en abrégé « IPDCP ».

L’Instance de protection des données à caractère personnel est une autorité administrative indépendante chargée de veiller à ce que les traitements des données à caractère personnel soient mis en œuvre conformément aux dispositions de la présente loi.

Elle informe les personnes concernées et les responsables de traitement de leurs droits et obligations et s’assure que les TIC ne comportent pas de menace au regard des libertés publiques et de la vie privée.

Les règles relatives à l’organisation et au fonctionnement de l’Instance de protection des données à caractère personnel sont fixées par décret en conseil des Ministres.

Des missions de l’Instance de protection des données à caractère personnel

L’Instance de protection des données à caractère personnel exerce les missions suivantes :

• 1° veiller à ce que les traitements des données à caractère personnel soient mis en œuvre conformément aux dispositions de la présente loi ;
• 2° informer les personnes concernées et les responsables de traitement de leurs droits et obligations. A cet effet :
• a) elle reçoit les formalités préalables à la mise en œuvre de traitements des données à caractère personnel ;
• b) elle reçoit les réclamations, les pétitions et les plaintes relatives à la mise en œuvre des traitements des données à caractère personnel et informe leurs auteurs des suites données à celles-ci ;
• c) elle informe sans délai le Procureur de la République des infractions dont elle a connaissance ;
• d) elle peut, par décision particulière, charger un ou plusieurs de ses membres ou des agents de ses services de procéder à des vérifications portant sur tout traitement et, le cas échéant, d’obtenir des copies de tout document ou support d’information utile à sa mission ;
• e) elle peut, dans les conditions définies à l’article 71 de la présente loi prononcer une sanction à l’égard d’un responsable de traitement ;
• f) elle répond à toute demande d’avis ;
• 3° homologuer les chartes d’utilisation qui lui sont présentées ;
• 4° tenir un répertoire des organes de traitements des données à caractère personnel à la disposition du public ;
• 5° conseiller les personnes et organismes qui ont recours aux traitements des données à caractère personnel ou qui procèdent à des essais ou expériences de nature à aboutir à de tels traitements ;
• 6° autoriser, dans les conditions prévues par la présente loi, les transferts transfrontaliers de données à caractère personnel ;
• 7° présenter au Gouvernement toute suggestion susceptible de simplifier et d’améliorer le cadre législatif et réglementaire à l’égard du traitement des données ;
• 8° coopérer avec les autorités de protection des données à caractère personnel des pays tiers et participer aux négociations internationales en matière de protection des données à caractère personnel ;
• 9° publier les autorisations accordées et les avis émis dans le répertoire des traitements des données à caractère personnel ;
• 10° établir chaque année un rapport d’activités adressé au Président de la République, au Premier Ministre, au président de l’Assemblée nationale et au président du Sénat.

De la composition de l’Instance de protection des données à caractère personnel

Les organes de l’Instance de protection des données à caractère personnel sont :

• le comité de direction ;
• le comité opérationnel.

Le comité de direction de l’Instance de protection des données à caractère personnel est composé de dix membres choisis, en raison de leur compétence juridique ou technique, ainsi qu’il suit :

• 1° trois personnalités désignées par le Président de la République ;
• 2° un député désigné par l’Assemblée nationale ;
• 3° un sénateur désigné par le Sénat ;
• 4° un représentant du secteur privé désigné par le conseil national du patronat ;
• 5° un magistrat désigné par le conseil supérieur de la magistrature ;
• 6° un avocat désigné par le Bâtonnier de l’Ordre des avocats ;
• 7° un représentant de la CNDH désigné par le président de la CNDH ;
• 8° le directeur de l’Agence nationale de la cybersécurité (ANCY).

En cas de partage de voix lors des délibérations, celle du président est prépondérante.

Les membres du comité de direction de l’Instance de protection des données à caractère personnel sont nommés par décret.

Un commissaire du Gouvernement, désigné par le Premier Ministre, siège auprès de l’Instance de protection des données à caractère personnel. Le commissaire du Gouvernement est invité à toutes les séances de l’Instance de protection des données à caractère personnel, dans les mêmes conditions que les membres de celle-ci. Il informe l’IPDCP sur les orientations du Gouvernement et sur les motivations de l’administration concernant la mise en œuvre des traitements mais ne prend pas part au vote.

Le comité opérationnel de l’Instance de protection des données à caractère personnel est composé d’une direction juridique et d’une direction technique placées sous l’autorité du président de l’Instance. Elle dispose, en outre, d’un personnel mis à sa disposition par l’Etat et peut pourvoir au recrutement d’agents conformément aux dispositions du Code du travail (Version en vigueur en 2019 : Loi n°2006-10 (non disponible) · voir le texte postérieur).

Les agents assermentés, conformément à l’alinéa 2 de l’article 62 de la présente loi et qui peuvent être appelés à participer à la mise en œuvre des missions de vérification mentionnées à l’article 56 de la présente loi, doivent y être habilités par l’Instance de protection des données à caractère personnel. Cette habilitation ne dispense pas de l’application des dispositions définissant les procédures autorisant l’accès aux secrets protégés par la loi.

De la présidence de l’Instance de protection des données à caractère personnel

Le Président de la République nomme par décret le président de l’IPDCP parmi les membres du comité de direction de ladite Instance.

Du mandat des membres du comité de direction de l’Instance de protection des données à caractère personnel

Le mandat des membres du comité de direction de l’IPDCP est de trois ans renouvelable une fois. Ils sont inamovibles.

A l’exception du président, les membres du comité de direction de l’Instance de protection des données à caractère personnel n’exercent pas leur fonction à titre exclusif.

Il ne peut être mis fin aux fonctions de membre, qu’en cas de démission ou d’empêchement constaté par l’Instance de protection des données à caractère personnel.

Les membres du comité de direction de l’Instance de protection des données à caractère personnel sont soumis au secret professionnel conformément aux textes en vigueur.

L’Instance de protection des données à caractère personnel établit un règlement intérieur qui précise, notamment, les règles relatives aux délibérations, à l’instruction et à la présentation des dossiers.

Des incompatibilités liées à la qualité de membre du comité de direction de l’Instance de protection des données à caractère personnel

La qualité de membre du comité de direction de l’Instance de protection des données à caractère personnel est incompatible avec la qualité de membre du Gouvernement. Elle est également incompatible avec l’exercice des fonctions de dirigeant dans les entreprises du secteur de l’informatique ou des communications électroniques ou la détention de participation dans celles-ci.

Tout membre du comité de direction de l’Instance de protection des données à caractère personnel doit informer celle-ci des intérêts directs ou indirects qu’il détient ou vient à détenir, des fonctions qu’il exerce ou vient à exercer et de tout mandat qu’il détient ou vient à détenir au sein d’une personne morale ayant une activité en lien avec les incompatibilités visées à l’article 60.

Le cas échéant, l’Instance de protection des données à caractère personnel prend toutes les dispositions utiles pour assurer l’indépendance et l’impartialité de ses membres. Elle met en place un Code de conduite à cet effet.

Lorsqu’en cours de mandat le président ou un membre du comité de direction de l’Instance de protection des données à caractère personnel décède ou cesse d’exercer ses fonctions, il est procédé à son remplacement dans les conditions prévues par les articles 57, 58 et 60 de la présente loi.

Le mandat du successeur ainsi désigné est limité à la période restant à courir.

Du serment des membres et agents de l’Instance de protection des données à caractère personnel

Les membres du comité de direction de l’Instance de protection des données à caractère personnel, avant leur entrée en fonction, prêtent devant la Cour d’Appel de Lomé siégeant en audience solennelle le serment dont la teneur suit : « Je jure solennellement de bien et fidèlement remplir ma fonction de membre de l’Instance de protection des données à caractère personnel, en toute indépendance et impartialité de façon digne et loyale et de garder le secret des délibérations ».

Les autres agents choisis par l’Instance de protection des données à caractère personnel prêtent serment solennellement devant le tribunal de première instance de Lomé en ces termes : « Je jure de bien et loyalement remplir mes fonctions d’agent de l’Instance de protection des données à caractère personnel en toute indépendance et impartialité et de garder le secret des délibérations et des informations dont je peux avoir connaissance ».

Les membres du comité de direction de l’Instance de protection des données à caractère personnel perçoivent des indemnités fixées par décret en conseil des Ministres.

De l’autonomie de gestion de l’Instance de protection des données à caractère personnel

L’Instance de protection des données à caractère personnel jouit de l’autonomie de gestion.

Le budget est préparé par le président et adopté par l’Instance de protection des données à caractère personnel.

Le président du comité de direction de l’Instance de protection des données à caractère personnel est l’ordonnateur du budget.

Des ressources financières de l’Instance de protection des données à caractère personnel

Les ressources financières permettant à l’Instance de protection des données à caractère personnel d’accomplir ses missions sont composées de :

• une dotation budgétaire annuelle ou de subventions de l’Etat, d’organismes publics ou internationaux ;
• un fonds provenant de rétrocession d’une partie des recettes constituées par le paiement d’amendes prononcées par l’Instance de protection des données à caractère personnel.

L’Instance de protection des données à caractère personnel ne peut recevoir de don ou subvention d’un individu, d’un organisme ou d’un Etat étranger que par l’intermédiaire d’une structure de coopération de la République togolaise.

Des perquisitions menées par les membres de l’instance de protection des données à caractère personnel

Les membres de l’Instance de protection des données à caractère personnel ainsi que les agents de service assermentés ont accès, dans les conditions prévues par les articles 75 et suivants du Code de procédure pénale, pour l’exercice de leurs missions, aux lieux, locaux, enceintes, installations ou établissements servant à la mise en œuvre d’un traitement des données à caractère personnel et qui sont à usage professionnel, à l’exclusion des parties de ceux-ci affectées au domicile privé.

Le procureur de la République territorialement compétent en est préalablement informé.

Des modalités d’intervention du président du tribunal de première instance

En cas d’opposition du responsable des lieux, la visite ne peut se dérouler qu’avec l’autorisation du Président du Tribunal de première instance dans le ressort duquel sont situés les locaux à visiter ou du juge délégué par lui.

Ce magistrat est saisi à la requête du président de l’Instance de protection des données à caractère personnel. Il statue par une ordonnance motivée, conformément aux dispositions des articles 163 à 165 du Code de procédure civile.

Les membres du comité de direction de l’Instance de protection des données à caractère personnel et les agents mentionnés à l’article 62 de la présente loi peuvent demander communication de tous documents nécessaires à l’accomplissement de leur mission, quel qu’en soit le support, et en prendre copie. Ils peuvent recueillir, sur place ou sur convocation, tout renseignement et toute justification utiles. Ils peuvent accéder aux programmes informatiques et aux données, demander la transcription de tout traitement dans des documents appropriés directement utilisables pour les besoins du contrôle. Ils peuvent être assistés par des experts choisis par l’Instance de protection des données à caractère personnel.

Il est dressé contradictoirement un procès-verbal des vérifications et visites menées en application des articles 66, 67 et 68 de la présente loi.

L’Instance de protection des données à caractère personnel peut prononcer les mesures suivantes :

• 1° un avertissement à l’égard du responsable du traitement ne respectant pas les obligations découlant de la présente loi ;
• 2° une mise en demeure de faire cesser les manquements concernés dans le délai qu’elle fixe.

Des pouvoirs de sanction de l’Instance de protection des données à caractère personnel

Dans le cas où le responsable du traitement ne se conforme pas à la mise en demeure qui lui a été adressée, l’Instance de protection des données à caractère personnel peut prononcer à son encontre, après procédure contradictoire, les sanctions suivantes :

• 1° un retrait provisoire de l’autorisation accordée pour une durée de trois mois à l’expiration de laquelle, si des mesures correctives ne sont pas apportées, le retrait devient définitif ;
• 2° une amende ne pouvant excéder 100.000.000 FCFA.

Le recouvrement des pénalités se fait conformément à la législation relative au recouvrement des créances de l’Etat.

En cas d’urgence, lorsque la mise en œuvre d’un traitement ou l’exploitation de données personnelles entraîne une violation de droits et libertés, l’Instance de protection des données à caractère personnel, après procédure contradictoire, peut décider :

• 1° l’interruption de la mise en œuvre du traitement pour une durée maximale de trois mois ;
• 2° le verrouillage de certaines données à caractère personnel traitées pour une durée maximale de trois mois ;
• 3° l’injonction de mettre en conformité le traitement avec les obligations résultant de la présente loi, qui peut être assortie, sauf dans des cas où le traitement est mis en œuvre par l’Etat, d’une astreinte dont le montant ne peut excéder 5.000.000 FCFA par jour ;
• 4° un rappel à l’ordre.

Lorsque la mise en œuvre d’un traitement ou l’exploitation de données à caractère personnel est faite sans respect des formalités préalables, sans préjudice des sanctions pénales prévues par la présente loi, l’Instance de protection des données à caractère personnel prend les mesures nécessaires pour faire cesser le traitement, notamment :

• faire apposer, aux frais de la personne responsable du traitement, par un huissier de justice, des scellés sur tout appareil, équipement, ou local ayant servi ou contribué au traitement ;
• faire procéder, en présence d’un huissier de justice, le cas échéant, au démontage et à l’enlèvement desdits appareils et équipements et en assurer la garde ;
• ordonner à la personne responsable du traitement et à ses frais, de rendre inaccessible le site ou le module permettant le traitement.

Du recours contre les décisions de l’Instance de protection des données à caractère personnel

Les sanctions et décisions prises par l’Instance de protection des données à caractère personnel sont susceptibles de recours devant la chambre administrative de la Cour suprême.