Loi n° 2019-014 du 29 octobre 2019 relative à la protection des données à caractère personnel

Du non-respect des formalités préalables Quiconque procède ou fait procéder à des traitements de données à caractère personnel sans avoir respecté les formalités préalables à leur mise en œuvre prévues par les dispositions légales et règlementaires, est puni d’une peine d’emprisonnement d’un an à cinq ans et d’une amende d’un million à 10.000.000 FCFA ou de l’une de ces deux peines.

L’auteur de l’infraction visée à l’alinéa précédent qui agit par négligence, défaut d’adresse ou de précaution, est puni d’une peine d’emprisonnement d’un an à trois ans et d’une amende de 500.000 à 5.000.000 FCFA ou de l’une de ces deux peines.

Du non-respect des mesures de retrait provisoire de l’autorisation accordée

Quiconque procède ou fait procéder à un traitement qui a fait l’objet de la mesure de retrait provisoire d’autorisation, est puni d’une peine d’emprisonnement d’un an à cinq ans et d’une amende d’un million à 10.000.000 FCFA ou de l’une de ces deux peines.

L’auteur de l’infraction visée à l’alinéa précédent qui agit par négligence, défaut d’adresse ou de précaution, est puni d’une peine d’emprisonnement d’un an à trois ans et d’une amende de 500.000 à 5.000.000 FCFA ou de l’une de ces deux peines.

Quiconque procède ou fait procéder à un traitement de données à caractère personnel en violation des normes simplifiées ou d’exonération établies par l’Instance chargée du contrôle et de la protection des données à caractère personnel, est puni d’une peine d’emprisonnement d’un an à trois ans et d’une amende de 500.000 à 5.000.000 FCFA ou de l’une de ces deux peines.

L’auteur de l’infraction visée à l’alinéa précédent qui agit par négligence, défaut d’adresse ou de précaution, est puni d’une peine d’emprisonnement de trois mois à un an et d’une amende de 100.000 à 1.000.000 FCFA ou de l’une de ces deux peines.

Du traitement non autorisé de données d’identification des personnes physiques

Quiconque procède, hors les cas où le traitement a été autorisé dans les conditions prévues par la présente loi, ou fait procéder à un traitement de données à caractère personnel incluant parmi les données sur lesquelles il porte le numéro d’inscription des personnes au répertoire national d’identification des personnes physiques, est puni d’une peine d’emprisonnement d’un an à cinq ans et d’une amende d’un million à 10.000.000 FCFA ou de l’une de ces deux peines.

Quiconque procède ou fait procéder à un traitement de données à caractère personnel sans mettre en œuvre les obligations de sécurité prescrites par la présente loi, est puni d’une peine d’emprisonnement d’un an à cinq ans et d’une amende d’un million à 10.000.000 FCFA ou de l’une de ces deux peines.

Quiconque collecte des données à caractère personnel par un moyen frauduleux ou illicite, est puni d’une peine d’emprisonnement d’un an à cinq ans et d’une amende de 5.000.000 à 20.000.000 FCFA ou de l’une de ces deux peines.

Quiconque procède ou fait procéder à un traitement de données à caractère personnel concernant une personne physique en violation de son droit d’opposition prévu par la présente loi, lorsque ce traitement répond à des fins de prospection, notamment commerciale, ou lorsque cette opposition est fondée sur des motifs légitimes, est puni d’une peine d’emprisonnement d’un an à cinq ans et d’une amende de 5.000.000 à 20.000.000 FCFA ou de l’une de ces deux peines.

Quiconque, hors les cas prévus par la loi, met ou conserve sur support ou mémoire informatique, sans le consentement exprès de l’intéressé, des données à caractère personnel qui, directement ou indirectement, font apparaître l’origine raciale ou ethnique, les opinions politiques, philosophiques ou religieuses, ou les appartenances syndicales, ou qui sont relatives à la santé ou à la vie sexuelle de celui-ci, est puni d’une peine d’emprisonnement d’un an à cinq ans et d’une amende d’un million à 10.000.000 FCFA ou de l’une de ces deux peines.

Les dispositions du premier alinéa du présent article sont applicables aux traitements non automatisés de données à caractère personnel dont la mise en œuvre ne se limite pas à l’exercice d’activités exclusivement personnelles.

Du traitement de données relatives aux infractions, condamnations ou mesures de sûreté

Quiconque, hors les cas prévus par la loi, met ou conserve sur support ou mémoire informatique des données à caractère personnel concernant des infractions, des condamnations ou des mesures de sûreté, est puni d’une peine d’emprisonnement d’un an à cinq ans et d’une amende d’un million à 10.000.000 FCFA ou de l’une de ces deux peines.

Du traitement illicite de données ayant pour fin la recherche dans le domaine de la santé

En cas de traitement de données à caractère personnel ayant pour fin la recherche dans le domaine de la santé, est puni d’une peine d’emprisonnement d’un an à cinq ans et d’une amende de 5.000.000 à 25.000.000 FCFA ou de l’une de ces deux peines, quiconque procède à un traitement :

• 1° sans avoir préalablement informé individuellement les personnes dont les données à caractère personnel sont recueillies ou transmises de leur droit d’accès, de rectification et d’opposition, de la nature des données transmises et des destinataires de celles-ci ainsi que des dispositions prises pour leur traitement, leur conservation et leur protection ;
• 2° malgré l’opposition de la personne concernée ou lorsqu’il est prévu par la loi, en l’absence du consentement éclairé et exprès de la personne, ou s’il s’agit d’une personne décédée, malgré le refus exprimé par celle-ci de son vivant.

Quiconque conserve des données à caractère personnel au-delà de la durée nécessaire aux finalités pour lesquelles elles ont été collectées ou traitées, sauf si cette conservation est effectuée à des fins historiques, statistiques culturelles ou scientifiques dans les conditions prévues par la loi, est puni d’une peine d’emprisonnement d’un an à cinq ans et d’une amende d’un million à 10.000.000 FCFA ou de l’une de ces deux peines.

Quiconque, hors les cas prévus par la loi, traite, à des fins autres qu’historiques, statistiques ou scientifiques, des données à caractère personnel conservées au-delà de la durée nécessaire aux finalités pour lesquelles elles ont été collectées ou traitées, est puni d’une peine d’emprisonnement d’un an à cinq ans et d’une amende d’un million à 10.000.000 FCFA ou de l’une de ces deux peines.

Quiconque, détenant des données à caractère personnel à l’occasion de leur enregistrement, de leur classement, de leur transmission ou de toute autre forme de traitement, détourne ces informations de leur finalité telle que définie par les dispositions législatives et réglementaires, ou la décision de l’Instance de protection des données à caractère personnel autorisant le traitement automatisé, ou par les déclarations préalables à la mise en œuvre de ce traitement, est puni d’une peine d’emprisonnement d’un an à cinq ans et d’une amende de 5.000.000 à 25.000.000 FCFA ou de l’une de ces deux peines.

Quiconque recueille, à l’occasion de leur enregistrement, de leur classement, de leur transmission ou d’une autre forme de traitement, des données à caractère personnel dont la divulgation aurait pour effet de porter atteinte à la considération de l’intéressé ou à l’intimité de sa vie privée, porté, sans autorisation de l’intéressé, ces données à la connaissance d’un tiers qui n’a pas qualité pour les recevoir, est puni d’une peine d’emprisonnement d’un an à cinq ans et d’une amende d’un million à 10.000.000 FCFA ou de l’une de ces deux peines.

Lorsque la divulgation prévue à l’alinéa précédent du présent article est commise par imprudence ou négligence, le responsable est puni d’une peine d’emprisonnement de six mois à deux ans et d’une amende de 500.000 à 2.000.000 FCFA ou de l’une de ces deux peines.

De l’entrave à l’action de l’Instance de protection des données à caractère personnel

Est puni d’une peine d’emprisonnement de six mois à deux ans et d’une amende d’un million à 10.000.000 FCFA ou de l’une de ces deux peines quiconque entrave l’action de l’Instance chargée du contrôle et de la protection des données à caractère personnel :

• 1° soit en s’opposant à l’exercice des missions confiées à ses membres ou aux agents habilités en application de la loi sur les données à caractère personnel ;
• 2° soit en refusant de communiquer à ses membres ou aux agents habilités en application de la loi sur les données à caractère personnel, les renseignements et documents utiles à leur mission, ou en dissimulant lesdits documents ou renseignements, ou en les faisant disparaître ;
• 3° soit en communiquant des informations qui ne sont pas conformes au contenu des enregistrements tel qu’il était au moment où la demande a été formulée ou qui ne présentent pas ce contenu sous une forme directement accessible.