Le traitement des données à caractère personnel effectué sans le consentement de la personne concernée, est interdit.
Toutefois, il peut être dérogé à cette exigence du consentement, lorsque le traitement est nécessaire :
- au respect d'une obligation légale à laquelle le responsable du traitement est soumis ;
- à l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique, dont est investi le responsable du traitement ou le tiers auquel les données sont communiquées ;
- à l'exécution d'un contrat auquel la personne concernée est partie ;
- à la sauvegarde de l'intérêt ou des droits et libertés fondamentaux de la personne concernée.
Droits conférés aux personnes dont les données à caractère personnel font l'objet d'un traitement
Droit à l'information
Lorsque des données à caractère personnel sont collectées directement auprès de la personne concernée, le responsable du traitement ou son représentant doit fournir à celle-ci, au plus tard, lors de la collecte et quels que soient les moyens et supports employés, les informations suivantes :
- l'identité du responsable du traitement ou de son représentant ;
- la ou les finalité(s) du traitement auquel les données sont destinées ;
- les catégories de données concernées ;
- le ou les destinataires auxquels les données sont susceptibles d'être communiquées ;
- le fait de savoir si la réponse aux questions est obligatoire ou facultative, ainsi que les conséquences éventuelles d'un défaut de réponse ;
- l'existence d'un droit d'accès, de rectification et d'opposition aux données ;
- la durée de conservation des données ;
- le cas échéant, les transferts des données envisagés à destination de l'étranger ;
- le fait de pouvoir demander à ne plus figurer sur le fichier, la procédure à suivre et ses conséquences.
Toutefois, les dispositions de cet article ne s'appliquent pas aux données recueillies et utilisées:
- lors d'un traitement mis en œuvre pour le compte de l'Etat et intéressant la sûreté de l'Etat, la défense nationale, la sécurité publique ou ayant pour objet l'exécution de condamnations pénales ou de mesures de sûreté ;
- dans la mesure où une telle limitation est nécessaire au respect des fins poursuivies par le traitement ou à la prévention, la recherche, la constatation et la poursuite de toute infraction ;
- lorsque le traitement est nécessaire à la prise en compte d'un intérêt économique ou financier important de l'Etat, y compris dans les domaines monétaire, budgétaire, douanier et fiscal.
Lorsque les données à caractère personnel ne sont pas collectées auprès de la personne concernée, les informations visées précédement sont transmises à ladite personne, au moment de l'enregistrement des données ou, si leur comrnunication est prévue, au plus tard lors de la première communication.
Sauf disposition contraire, toute personne utilisatrice des technologies de l'information et de la communication doit être informée de manière claire et complète par le responsable du traitement ou son représentant :
- de la finalité de toute action tendant à accéder, par voie de transmission électronique, à des informations stockées dans son équipement terminal de connexion, ou à inscrire, par la même voie, des informations dans son équipement terminal de connexi0n ;
- des moyens dont elle dispose pour s'y opposer.
Il est formellement interdit de subordonner l'accès à un service disponible sur un réseau de communications électroniques à l'acceptation, par l'abonné ou l'utilisateur concerné, du traitement des informations stockées dans son équipement.
Toutefois, les dispositions de l'aliéna précédent ne sont pas applicables si l'accès aux informations stockées dans l 'équipement terminal de l'utilisateur ou l' inscription d'informations dans l'équipemen t de l'utilisateur :
- ont pour finalité exclusive de permettre ou faciliter la communication par voie électronique ;
- sont strictement nécessaires à la fourniture d'un service de communication en ligne à la demande expresse de l'utilisateur.
Droit d'accès
Toute personne physique justifiant de son identité a le droit de demander, par écrit, quel que soit le support, au responsable d'un traitement des données à caractère personnel, de lui fournir:
les informations permettant de connaître et éventuellement de contester le traitement ;
la confirmation que des données à caractère personnel la concernant font ou ne font pas l'objet de ce traitement ;
la communication, sous une forme accessible et intelligible, des données à caractère personnel qui la concernent ;
des informations relatives aux finalites du traitement, aux catégories de données à caractère personnel traitées et aux destinataires auxquels les données sont communiquées ;
le cas échéant, des informations relatives aux transferts de données à caractère personnel envisagés à destination d'un pays tiers.
Si la personne concernée en fait la demande, le responsable du traitement doit délivrer à la personne concernée une copie, quel que soit le support utilisé, des données à caractère personnel la concernant.
Le responsable du traitement peut subordonner la délivrance de cette copie au paiement d'une somme n'excédant pas le coût de la reproduction.
En cas de risque de dissimulation ou de disparition des données à caractère personnel, la personne concernée peut en informer l' Autorité de Protection des Données à caractère personnel, qui prend alors toutes mesures de nature à éviter cette dissimulation ou cette disparition.
Toute personne, qui dans l'exercice de son droit d'accès, a des raisons serieurses de soutenir que les données qui lui ont été communiquées ne sont pas conformes aux données traitées, peut en informer l' Autorité de Protection des Données à caractère personnel qui procède aux vérifications nécessaires.
Le droit d'accès d'un patient aux données à caractère personnel le concernant est exercé par le patient lui-même ou par l'intermédiaire d'un médecin qu'il désigne.
En cas de décès du patient, son conjoint vivant avec lui et ses enfants, ou ses parents (père ou mère), s'il s'agit d'un mineur, peuvent exercer le droit d'accès, par l'intermédiaire d'un médecin qu'ils désignent.
Le responsable du traitement des données à caractère personnel peut s'opposer aux demandes manifestement abusives, notamment par leur nombre, leur caractère répétitif ou systématique.
En cas de contestation, la charge de la preuve du caractère manifestement abusif des demandes incombe au responsable du traitement auprès duquel elles sont adressées.
Par dérogation aux dispositions des articles 53 et suivants de la loi 2017-020 sur la protection des données à caractère personnel, lorsqu'un traitement intéresse la sûreté de l'Etat, la défense nationale ou la sécurité publique, le droit d'accès s'exerce dans les conditions suivantes:
- La demande est adressée à l'Autorité de Protection des Données à caractère personnel, qui désigne l' un de ses membres (magistrat) pour mener les investigations nécessaires. Celui-ci peut se faire assister d'un agent de l' Autorité de Régulation Multisectorielle. Il est notifié au requérant qu'il a été procédé aux vérifications ;
- lorsque l' Autorité àe Protection des Données à caractère personnel constate, en accord avec le responsable du traitement, que la communication des données qui y sont contenues ne met pas en cause ses finalités, la sûreté de l' Etat, la défense nationale ou la sécurité publique, ces données peuvent être communiquées au requérant ;
- lorsque le traitement est susceptible de comprendre des informations dont la communication ne mettrait pas en cause les fins qui lui sont assignées, l'acte réglementaire portant création du fichier peut prévoir que ces informations soient communiquées au requérant par le gestionnaire du fichier directement saisi.
Droit d'opposition
Sauf dans le cas d'un traitement répondant à une obligation légale, toute personne physique a le droit de s'opposer, sans aucun frais, à ce que des données à caractère personnel la concernant fassent l'objet d'un traitement.
La personne concernée a le droit, d'une part, d'être informée avant que des données la concernant ne soient pour la première fois communiquées à des tiers ou utilisées pour le compte de tiers à des fins de prospection et, d'autre part, de se voir expressément offrir le droit de s'opposer, gratuitement, à ladite communication ou utilisation.
Toute personne concernée par un traitement, a le droit de s'opposer, sous réserve des exceptions légales, à ce que les données à caractère personnel la concernant fassent l'objet de la levée du secret professionnel.
Droit de rectification et de suppression
Toute personne physique justifiant de son identité peut exiger du responsable d'un traitement que soient, selon les cas, rectifiées, complétées, mises à jour, verrouillées ou supprimées les données à caractère personnel la concernant, qui sont inexactes, incomplètes, équivoques, périmées, ou dont la collecte, l'utilisation, la communication ou la conservation est interdite.
Lorsque l'intéressé en fait la demande par écrit, quel que soit le support, le responsable du traitement doit justifier, sans frais pour le demandeur, qu'il a procédé aux opérations exigées en vertu de la loi dans un délai d'un (1) mois après l'enregistrement de la demande.
En cas de contestation, la charge de la preuve incombe au responsable du traitement auprès duquel est exercé le droit de rectification.
Si une donnée a été transmise à un tiers, le responsable du traitement est tenu d'accomplir les diligences utiles afin de lui notifier les opérations qu'il a effectuées.
Les héritiers d'une personne décédée justifiant de leur identité peuvent, si des éléments portés à leur connaissance leur laissent présumer que les données à caractère personnel la concernant faisant l'objet d'un traitement n'ont pas été actualisées, exiger du responsable de ce traitement qu'il prenne en considération le décès et procède aux mises à jour qui doivent en être la conséquence .
Lorsque les héritiers en font la demande, le responsable du traitement justifie, sans frais pour le demandeur, qu'il a procédé aux opérations exigées.