Journal Officiel
LE PRESIDENT DE LA REPUBLIQUE,
CHEF DE L'ETAT ;
Vu la Constitution ;
Vu la Directive n°07/08-UEAC-133-CM-18 fixant le cadre juridique de la protection des droits des utilisateurs de réseaux et de services de communications électroniques au sein de la CEMAC ;
Vu la loi n°1/2005 du 04 février 2005 portant Statut Général de la Fonction Publique, ensemble les textes modificatifs subséquents ;
Vu la loi n°20/2005 du 03 janvier 2006 fixant les règles de création, d'organisation et de gestion des services de l’Etat, ensemble les textes modificatifs subséquents ;
Vu la loi n°001/2011 du 25 septembre 2011 relative à la protection des données à caractère personnel ;
Vu la loi n°012/2019 du 16 juillet 2019 autorisant le Président de la République à légiférer par ordonnance pendant l'intersession parlementaire ;
Vu la loi n°017/2019 du 22 janvier 2020 autorisant le Président de la République à légiférer par Ordonnance pendant l'intersession parlementaire ;
Vu le décret n°01392/PR/MRPICIRDHN du 6 décembre 2011 portant attributions et organisation du Ministère des relations avec le parlement, les Institutions Constitutionnelles, de l'intégration régionale, chargé des droits de l'homme et du NEPAD, ensemble les textes modificatifs subséquents ;
Vu le décret n°0257/PR du 02 décembre 2019 portant nomination du Premier Ministre, Chef du Gouvernement ;
Vu le décret n°0258/PR/PM du 02 décembre 2019 fixant la composition du Gouvernement de la République, ensemble les textes modificatifs subséquents ;
Le conseil d'Etat consulté ;
Le conseil des Ministres entendu ;
O R D O N N E :
Article 1er : Les dispositions des articles 13, 14, 20, 37, 101, 102 et 104 sont modifiées et se lisent désormais comme suit :
« Article 13 nouveau : Toute personne physique a le droit de s'opposer, pour des raisons légitimes, au traitement des données à caractère personnel la concernant.
Elle a le droit de s'opposer par tout moyen, gratuitement, à la communication ou à l'utilisation sur tout support de ses données personnelles, à des fins diverses si elle n'a pas préalablement consenti.
Le droit d'opposition ne s'applique pas lorsque le traitement est d'ordre public ou répond à une obligation légale ou contractuelle.
« Article 14 nouveau : Toute personne peut demander directement que les informations détenues sur elle soient :
-rectifiées si elles sont inexactes ;
-complétées ou clarifiées si elles sont incomplètes ou équivoques ;
-mises à jour si elles sont obsolètes ;
-effacées si elles n'ont pas été régulièrement collectées et conservées ou si la finalité est détournée.
Toute personne justifiant de son identité a le droit d'obtenir du responsable du traitement l’effacement, dans les meilleurs délais, des données à caractère personnel la concernant, notamment dans l'un des cas suivants :
-les données à caractère personnel ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées ou traitées d'une autre manière ;
-la personne concernée retire le consentement sur lequel est fondé le traitement et qu'il n'existe pas d'autre fondement juridique au traitement ;
-les données à caractère personnel ont fait l'objet d'un traitement illicite ;
-les données à caractère personnel doivent être effacées pour respecter une obligation légale ;
-les données à caractère personnel ont été collectées dans le cadre des services offerts par la société de l'information.
Lorsque les données à caractère personnel ont été rendues publiques et que le responsable du traitement est tenu de les effacer en vertu de l'alinéa précédent, il prend des mesures raisonnables, y compris d'ordre technique, pour informer les tiers à l'égard desquels, la personne concernée a demandé le l’effacement de tout lien vers ses données à caractère personnel, ou toute copie ou reproduction de celles-ci.
Les dispositions de l'alinéa 1er et 2 ci-dessus ne s'appliquent pas dans la mesure où le traitement est notamment nécessaire :
-à l'exercice du droit à la liberté d'expression et d'information ;
-au respect d'une obligation légale ou pour l'exercice d'une mission d'intérêt public dont est investi le responsable de traitement ;
-aux motifs d'intérêt public dans le domaine de la santé publique ;
-à des fins archivistiques dans l'intérêt public, de recherches scientifiques, historiques ou statistiques ;
-à une action en justice. »
Lorsque l'intéressé en fait la demande par écrit, quel que soit le support, le responsable du traitement doit justifier, sans frais pour le demandeur, qu'il a procédé aux opérations exigées en vertu de l'alinéa précédant dans un délai d'un mois après l'enregistrement de la demande.
En cas de contestation, la charge de la preuve incombe au responsable du traitement auprès duquel est exercé le droit d'accès.
Si une donnée a été transmise à un tiers, le responsable du traitement doit accomplir les diligences utiles afin de lui notifier les opérations qu'il a effectuées conformément à l'alinéa 1er. »
« Article 20 nouveau : Les organes de la Commission Nationale pour la Protection des Données à Caractère Personnel sont :
-le bureau ;
-la formation plénière ;
-la formation restreinte ;
-les représentations provinciales. »
« Article 37 nouveau : Un Secrétariat Général assure l'administration de la Commission Nationale pour la Protection des données à Caractère Personnel.
Le Secrétariat Général est dirigé par un Secrétaire Général nommé par décret pris en Conseil des Ministres, sur proposition du président de la Commission, parmi les administrateurs civils ou administrateurs économiques et financiers de la première catégorie, justifiant d'une expérience de dix ans au moins.
Il est assisté d'un Secrétaire Général Adjoint nommé dans les mêmes formes et conditions.
L'organisation du Secrétariat Général est fixée par voie réglementaire. »
« Article 101 nouveau : La Commission Nationale pour la Protection des Données à Caractère Personnel apprécie et prononce selon la gravité des manquements constatés à la présente ordonnance, les mesures ou les sanctions suivantes :
-un avertissement à l'égard du responsable du traitement ne respectant pas les obligations découlant de la présente ordonnance ;
-une mise en demeure de faire cesser les manquements constatés dans le délai qu'elle fixe ;
-une sanction pécuniaire.
La sanction pécuniaire énoncée au présent article peut être prononcée dès le premier manquement constaté.
Le recouvrement des pénalités se fait conformément à la législation relative au recouvrement des créances de l'Etat en matière d'impôt. »
« Article 102 nouveau : Un responsable de traitement qui ne dispose ni d'un récépissé de déclaration, ni d'une autorisation encourt l'une des sanctions suivantes :
-une mise en demeure portant régularisation dans un délai fixé par la Commission ;
-une amende pécuniaire d'un montant de un à cent millions de francs CFA. »
« Article 104 nouveau : Les mesures et sanctions prononcées par la Commission sont prises par délibérations, après constat de non-conformité à la loi d'un responsable de traitement dans le cadre de ses activités ou après procès-verbal dressé contradictoirement prévu à l'article 100.
Le responsable du traitement peut déposer ou faire déposer ses observations auprès de la Commission.
La commission peut rendre public les avertissements qu'elle prononce. Elle peut également, en cas de mauvaise foi du responsable du traitement, ordonner l'insertion des autres sanctions qu'elle prononce dans les journaux et supports qu'elle désigne. Les frais sont supportés par les personnes concernées. »
Article 2 : Il est ajouté à l'article 6 trois tirets qui se lisent ainsi qu'il suit :
-profilage : Traitement utilisant les données personnelles d'un individu en vue d'analyser et de prédire son comportement, déterminer ses performances au travail, sa situation financière, sa santé, ses préférences, ses habitudes de vie ;
-effacement : Technique qui permet à une personne concernée le droit d'obtenir du responsable du traitement la suppression dans un délai raisonnable des données à caractère personnel la concernant ;
-portabilité : Technique qui offre à une personne concernée la possibilité de récupérer une partie de ses données dans un format ouvert et lisible par machine, lui permettant de les stocker ou les transmettre facilement d'un système d'information à un autre, en vue de leur réutilisation à des fins personnelles. »
Article 3 : Il est ajouté à l'article 51 ainsi qu'il suit :
« Un délégué à la protection des données, dénommé D.P.D, peut être désigné au sein ou en dehors des organismes publics ou privés. Il peut s'agir des personnes physiques ou morales.
Le délégué est chargé de mettre en œuvre la conformité de l'ensemble des traitements mis en œuvre par l'organisme compétent, conformément à la loi n°001/2011 du 25 septembre 2011 relative à la protection des données à caractère personnel.
Le délégué est désigné sur la base de ses qualités professionnelles, morales et en particulier, de ses connaissances spécialisées du droit et des pratiques en matière de protection des données personnelles et à la vie privée.
Le délégué à la protection des données est déclaré à la Commission, agréé et certifié sur la base d'un cahier de charges établi par la Commission Nationale pour la Protection des Données à Caractère Personnel et notifiée à la connaissance des instances représentatives du personnel.
Pour garantir l'effectivité de ses missions, le délégué doit bénéficier des moyens matériels, organisationnels et des ressources suffisantes lui permettant d'exercer ses missions.
Le délégué à la protection des données est le point focal entre la Commission et l'organisme qui l'a désigné. Il est chargé de :
-répondre aux questionnements des salariés au sein des organismes publics ou privés qui touchent à la protection de leurs données à caractère personnel ;
-répondre aux questions que se pose tout individu sur l’exercice de leur droit, vis à vis de la présente ordonnance ;
-responsabiliser, informer et conseiller les responsables de l'organisation ainsi que les collaborateurs qui traitent des données personnelles sur leurs obligations envers la présente ordonnance ;
-organiser des formations concernant le traitement des données au sein de l'organe ;
-tenir un registre du traitement des données personnelles de l'organisme. »
Article 4 : Il est ajouté aux articles 13, 14, 24, 40 et 102 ainsi qu'il suit :
« Article 13 bis : Toute personne a le droit, d'être informée avant que des données la concernant ne soient communiquées à des tiers ou utilisées pour le compte des tiers à des fins de prospection ou de profilage. »
« Article 14 bis : Toute personne justifiant de son identité a le droit de recevoir les données à caractère personnel la concernant qu'elle a fournies à un responsable de traitement, dans un fichier numérique, couramment utilisé et lisible par machine. Cette dernière a le droit de transmettre ses données à un autre responsable du traitement sans que le responsable du traitement auquel les données à caractère personnel communiquées y fasse obstacle, lorsque :
-le traitement est effectué à l'aide de procédés automatisés ;
-la personne concernée, dans l'exercice de son droit à la portabilité des données, a le droit d'obtenir que ses données à caractère personnel soient transmises directement d'un responsable de traitement à un autre, lorsque cela est techniquement possible. »
« Article 14 ter : Aucune personne physique ne peut faire l'objet d'une décision préjudiciable fondée exclusivement sur un traitement automatisé, y compris le profilage.
Cette disposition ne s'applique pas lorsque la décision est nécessaire à la conclusion ou à l'exécution d'un contrat entre la personne concernée et un responsable du traitement.
Dans le cas visé à l'alinéa précédent, le responsable du traitement met en œuvre des mesures appropriées pour la sauvegarde des droits et libertés et des intérêts légitimes de la personne concernée.
Les décisions visées à l'alinéa 2 du présent article ne peuvent être fondées sur les données à caractère personnel sensibles, à moins que :
-la personne concernée ait donné son consentement explicite au traitement de ses données à caractère personnel pour une ou plusieurs finalités spécifiques ;
-le traitement soit nécessaire pour des motifs d'intérêt public important et que des mesures appropriées pour la sauvegarde des droits et libertés et des intérêts légitimes de la personne concernée aient été prises et mises en œuvre. »
« Article 24 bis : Les représentations provinciales sont chargées de conduire les missions de la Commission Nationale pour la Protection des Données à Caractère Personnel, au niveau des provinces.
Les représentants provinciaux sont nommés conformément aux textes particuliers. »
« Article 40 bis : Il est institué une redevance dénommée Redevance pour la Protection des Données Personnelles et de la Vie Privée, en abrégée RPPVP.
La redevance pour la protection des données personnelles et de la vie privée est destinée au financement des activités en matière de protection des données personnelles et de la vie privée.
La redevance pour la protection des données personnelles et de la vie privée est due par toute personne physique dont les données personnelles sont collectées, traitées, transmises ou stockées par un responsable de traitement dont le contrôle et la protection est garantie par la Commission Nationale pour la Protection des Données à Caractère Personnel.
La redevance pour la protection des données personnelles et de la vie privée est collectée par le responsable de traitement et reversée sur le compte de gestion de l'agence comptable rattaché à la Commission Nationale pour la Protection des Données à Caractère Personnel.
Le non-reversement de la redevance par le responsable de traitement collecteur, l'expose aux sanctions fiscales et pénales prévues par les textes en vigueur.
Aucune personne physique ou morale ne peut se prévaloir des dispositions d'un contrat, d'une convention ou d'un accord particulier pour prétendre au bénéfice d'une exonération des droits et redevances sur la protection des données personnelles et à la vie privée.
La redevance est fixée à mille francs CFA par an et par personne. »
« Article 40 ter : Les ressources de la Commission Nationale pour la Protection des Données à Caractère Personnel sont composées :
-de la dotation de l'Etat ;
-des recettes affectées ;
-des ressources propres.
Les ressources propres sont composées :
-des frais applicables à certains services et actes rendus aux usagers ;
-des pénalités résultant de son activité. »
« Article 40 quater : Les produits issus de la redevance et les autres ressources propres citées à l'article 40 bis sont versés à l'agence comptable rattachée à la CNPDCP puis, reversés sur le compte principal du Trésor Public, ce, par l'agent comptable, selon la clé de répartition ci-après :
-40% pour le budget de l'Etat ;
-60% pour le développement et les activités spécifiques de la Commission.
L'assiette, le taux et les modalités de paiement de la redevance et les autres ressources propres sont fixés par délibération prise en assemblée plénière de la Commission. »
« Article 102 bis : Un responsable de traitement qui dispose d'un récépissé de déclaration ou d'une autorisation et qui ne respecte pas les obligations découlant de la présente ordonnance encourt, après mise en demeure et débat contradictoire, l'une des sanctions suivantes :
-la suspension du récépissé ou de l'autorisation pour une durée n'excédant pas deux mois ;
-le retrait définitif du récépissé ou de l'autorisation à l'expiration du délai de suspension ;
-une amende pécuniaire d'un montant de un à cent millions de francs CFA ;
-le montant de l'amende pécuniaire est proportionné à la gravité du manquement et aux avantages qui en sont tirés. »
Article 5 : Des textes réglementaires déterminent, en tant que de besoin, les dispositions de toute nature nécessaires à l'application de la présente ordonnance.
Article 6 : La présente ordonnance qui abroge toutes dispositions antérieures contraires sera enregistrée, publiée au Journal Officiel et exécutée comme loi de l'Etat.
Fait à Libreville, le 31 janvier 2020
Par le Président de la République,
Chef de l’Etat
Ali BONGO ONDIMBA
Le Premier Ministre, Chef du Gouvernement
Julien NKOGHE BEKALE
Le Ministre d’Etat, Ministre de l’Intérieur
Lambert Noël MATHA
Le Ministre d’Etat, Ministre de la Communication, Porte-parole du Gouvernement
Edgard Anicet MBOUMBOU MIYAKOU
Le Ministre des Relations avec les Institutions Constitutionnelles et les Autorités Administratives Indépendantes
Denise MEKAM’NE EDZIDZIE épse TATY
Le Ministre de l’Economie et des Finances
Jean-Marie OGANDAGA