Loi n° 2019-014 du 29 octobre 2019 relative à la protection des données à caractère personnel

Lorsque des données à caractère personnel sont collectées directement auprès de la personne concernée, le responsable du traitement doit communiquer à celle-ci, au plus tard, lors de la collecte et quels que soient les moyens et supports employés, les informations suivantes :

• 1° l’identité du responsable du traitement et, le cas échéant, de son représentant ;
• 2° la ou les finalités déterminées du traitement auquel les données sont destinées ;
• 3° les catégories de données concernées ;
• 4° le ou les destinataires ou les catégories de destinataires auxquels les données sont susceptibles d’être communiquées ;
• 5° le caractère obligatoire ou non de répondre aux questions et les conséquences éventuelles d’un défaut de réponse ;
• 6° la possibilité de demander à ne plus figurer sur le fichier ;
• 7° l’existence d’un droit d’accès aux données la concernant et de rectification de ces données ;
• 8° la durée de conservation des données ;
• 9° le cas échéant, des transferts de données à caractère personnel envisagés à destination de l’étranger.

De l’information à fournir aux utilisateurs des réseaux de communication électronique

Toute personne utilisatrice des réseaux de communication électronique doit être informée de manière claire et complète par le responsable du traitement ou son représentant :

• 1° de la finalité de toute action tendant à accéder, par voie de transmission électronique, à des informations stockées dans son équipement terminal de connexion, ou à inscrire, par la même voie, des informations dans son équipement terminal de connexion ;
• 2° des moyens dont elle dispose pour s’y opposer.

Ces dispositions ne sont pas applicables si l’accès aux informations stockées dans l’équipement terminal de l’utilisateur ou l’inscription d’informations dans l’équipement de l’utilisateur soit :

• 1° a pour finalité exclusive de permettre ou faciliter la communication par voie électronique ;
• 2° est strictement nécessaire à la fourniture d’un service de communication en ligne à la demande expresse de l’utilisateur.

Lorsque les données à caractère personnel ne sont pas collectées auprès de la personne concernée, les informations visées à l’article 36 de la présente loi sont transmises à ladite personne au moment de l’enregistrement des données ou, si leur communication est prévue, au plus tard lors de la première communication.

Les dispositions de l’article 36 de la présente loi ne s’appliquent pas :

• 1° aux données recueillies et utilisées lors d’un traitement mis en œuvre pour le compte de l’Etat et intéressant la sûreté de l’Etat, la défense, la sécurité publique ou ayant pour objet l’exécution de condamnations pénales ou de mesures de sûreté, dans la mesure où une telle limitation est nécessaire au respect des fins poursuivies par le traitement ;
• 2° lorsque le traitement est nécessaire à la prévention, la recherche, la constatation et la poursuite de toute infraction ;
• 3° lorsque le traitement est nécessaire à la prise en compte d’un intérêt économique ou financier important de l’Etat, y compris dans les domaines monétaire, budgétaire, douanier et fiscal.

Toute personne physique justifiant de son identité a le droit de demander, par écrit, quel que soit le support, au responsable d’un traitement des données à caractère personnel, de lui fournir :

• 1° les informations permettant de connaître et de contester le traitement ;
• 2° la confirmation que des données à caractère personnel la concernant font ou ne font pas l’objet de ce traitement ;
• 3° la communication, sous une forme accessible, des données à caractère personnel qui la concernent ainsi que de toute information disponible quant à l’origine de celles-ci ;
• 4° des informations relatives aux finalités du traitement, aux catégories de données à caractère personnel traitées et aux destinataires ou aux catégories de destinataires auxquels les données sont communiquées ;
• 5° le cas échéant, des informations relatives aux transferts de données à caractère personnel envisagés vers toute autre personne responsable du traitement ou à destination d’un pays tiers.

Une copie des données à caractère personnel est délivrée à la personne concernée à sa demande. Le responsable du traitement peut subordonner la délivrance de cette copie au paiement d’une somme qui ne peut excéder le coût de la reproduction.

En cas de risque de dissimulation ou de disparition des données à caractère personnel, la personne concernée peut en informer l’Instance de protection des données à caractère personnel qui prend toute mesure de nature à éviter cette dissimulation ou cette disparition.

Toute personne qui, dans l’exercice de son droit d’accès, a des raisons sérieuses d’admettre que les données qui lui ont été communiquées ne sont pas conformes aux données traitées, peut en informer l’Instance de protection des données à caractère personnel qui procède aux vérifications nécessaires.

Le droit d’accès d’un patient est exercé par le patient lui-même ou par l’intermédiaire d’un médecin qu’il désigne. En cas de décès du patient, son conjoint et ses enfants, s’il s’agit d’un mineur, ses père, mère ou tuteur, tout autre ayant-droit et toute personne justifiant d’une possession d’état munie d’une autorisation du juge peuvent exercer, par l’intermédiaire d’un médecin qu’ils désignent par écrit, le droit d’accès.

Le responsable du traitement peut s’opposer par écrit aux demandes manifestement abusives, notamment par leur nombre, leur caractère répétitif ou systématique. En cas de contestation, la charge de la preuve du caractère manifestement abusif des demandes incombe au responsable du traitement auprès duquel elles sont adressées.

De l’exercice du droit d’accès et traitement intéressant la sûreté de l’Etat, la défense ou la sécurité publique

Par dérogation aux articles 39 et suivants de la présente loi, lorsqu’un traitement intéresse la sûreté de l’Etat, la défense ou la sécurité publique, le droit d’accès s’exerce dans les conditions suivantes :

• 1° la demande est adressée à l’Instance de protection des données à caractère personnel qui désigne l’un de ses membres appartenant ou ayant appartenu à la Cour suprême pour mener les investigations nécessaires. Celui-ci peut se faire assister d’un autre agent de l’Instance de protection des données à caractère personnel. Il est notifié au requérant qu’il a été procédé aux vérifications ;
• 2° lorsque l’Instance de protection des données à caractère personnel constate, en accord avec le responsable du traitement, que la communication des données qui y sont contenues ne met pas en cause ses finalités, la sûreté de l’Etat, la défense ou la sécurité publique, ces données peuvent être communiquées au requérant ;
• 3° lorsque le traitement est susceptible de comprendre des informations dont la communication ne mettrait pas en cause les fins qui lui sont assignées, l’acte réglementaire portant création du fichier peut prévoir que ces informations peuvent être communiquées au requérant par le gestionnaire du fichier directement saisi.

Toute personne physique a le droit de s’opposer, pour des motifs légitimes, à ce que des données à caractère personnel la concernant fassent l’objet d’un traitement.

Elle a le droit, d’une part, d’être informée avant que des données la concernant ne soient pour la première fois communiquées à des tiers ou utilisées pour le compte de tiers à des fins de prospection et, d’autre part, de se voir expressément offrir le droit de s’opposer, gratuitement, à ladite communication ou utilisation.

Les dispositions du premier alinéa du présent article ne s’appliquent pas lorsque le traitement répond à une obligation légale.

Toute personne physique justifiant de son identité peut exiger du responsable d’un traitement que soient, selon les cas, rectifiées, complétées, mises à jour, verrouillées ou supprimées les données à caractère personnel la concernant, qui sont inexactes, incomplètes, équivoques, périmées, ou dont la collecte, l’utilisation, la communication ou la conservation est interdite.

Lorsque l’intéressé en fait la demande par écrit, quel que soit le support, le responsable du traitement doit justifier, sans frais pour le demandeur, qu’il a procédé aux opérations exigées en vertu de l’alinéa premier du présent article dans un délai d’un mois après l’enregistrement de la demande.

En cas de contestation, la charge de la preuve incombe au responsable du traitement auprès duquel est exercé le droit d’accès.

Si une donnée a été transmise à un tiers, le responsable du traitement doit accomplir les diligences utiles afin de lui notifier les opérations qu’il a effectuées conformément au premier alinéa du présent article.

Lorsque le responsable du traitement a rendu publiques les données à caractère personnel de la personne concernée, il prend toutes les mesures raisonnables, y compris les mesures techniques, en ce qui concerne les données publiées sous sa responsabilité, en vue d’informer les tiers qui traitent lesdites données qu’une personne concernée leur demande d’effacer tous liens vers ces données à caractère personnel, ou toute copie ou reproduction de celles-ci.

Lorsque le responsable du traitement a autorisé un tiers à publier des données à caractère personnel de la personne concernée, il est réputé responsable de cette publication et prend toutes les mesures appropriées pour mettre en œuvre le droit à l’oubli numérique et à l’effacement des données à caractère personnel.

En cas de non-exécution de l’effacement des données à caractère personnel ou en cas d’absence de réponse du responsable du traitement, dans un délai d’un mois à compter de la demande, la personne concernée peut saisir l’Instance de protection des données à caractère personnel qui se prononce sur cette demande dans un délai de trois semaines à compter de la date de la réclamation.

Le responsable du traitement met en place des mécanismes appropriés assurant la mise en œuvre du respect du droit à l’oubli numérique et à l’effacement des données à caractère personnel ou examine périodiquement la nécessité de conserver ces données, conformément aux dispositions de la présente loi.

Lorsque l’effacement est effectué, le responsable du traitement ne procède à aucun autre traitement de ces données à caractère personnel.

L’Instance de protection des données à caractère personnel adopte des mesures et des lignes directrices aux fins de préciser les conditions d’effacement des données à caractère personnel, de la suppression des liens vers ces données, des copies ou des reproductions de celles-ci.

Du droit à la mise à jour des données à caractère personnel après la mort

Les ayants droit d’une personne décédée justifiant de leur identité peuvent exiger du responsable de ce traitement qu’il prenne en considération le décès de la personne concernée et procède aux mises à jour nécessaires.

Lorsque les ayants droit en font la demande, le responsable du traitement doit justifier, sans frais pour le demandeur, qu’il a procédé aux opérations exigées en vertu de l’alinéa précédent.