La loi n° 18-07 du 10 juin 2018 relative à la protection des personnes physiques dans le traitement des données à caractère personnel définit les données à caractères personnelles comme « toute information, quel qu'en soit son support, concernant une personne identifiée ou identifiable, d’une manière directe ou indirecte, notamment par référence à un numéro d’identification ou à un ou plusieurs éléments spécifiques de son identité physique, physiologique, génétique, biométrique, psychique, économique, culturelle ou sociale »
Une procédure préalable au traitement de ces données existe afin notamment d’informer la personne concernée, de recueillir son consentement, et d’assurer une certaine confidentialité et sécurité quant au traitement de ces données. La phase de déclaration fait partie de cette procédure préalable et la déclaration de traitement est soumise à la déclaration préalable auprès de l’autorité nationale compétente.
Quel est le régime juridique de la déclaration du traitement des données personnelles ? Que doit contenir la déclaration ? À quoi ouvre-t-elle droit ?
La déclaration comme procédure préalable au traitement
Toute opération de traitement des données à caractère personnel est soumise à une déclaration préalable à l’autorité nationale ou à son autorisation.
L’article 13 de la loi n° 18-07 du 10 juin 2018 relative à la protection des personnes physiques dans le traitement des données à caractère personnel prévoit que :
« La déclaration préalable, qui comporte l'engagement que le traitement sera effectué conformément aux dispositions de la présente loi, est déposée auprès de l’autorité nationale. Elle peut être effectuée par voie électronique. »
Un récépissé de dépôt est remis ou transmis par voie électronique immédiatement ou, au plus tard, dans les quarante-huit (48) heures.
Il est éventuellement possible de procéder à une déclaration unique dès lors qu’un traitement de données relève d’un même responsable de traitement et a des finalités identiques ou liées entre elles.
Dès que le responsable de traitement reçoit le récépissé de la déclaration, il peut, sous sa responsabilité, mettre en œuvre le traitement
Contenu de la déclaration
L’article 14 de la loi prévoit que la déclaration doit comprendre :
- le nom et l'adresse du responsable du traitement et, le cas échéant, ceux de son représentant ;
- la nature, les caractéristiques et la ou les finalités du traitement envisagé ;
- une description de la ou des catégories de personnes concernées et des données ou des catégories de données à caractère personnel s'y rapportant ;
- les destinataires, ou les catégories de destinataires auxquels les données sont susceptibles d'être communiquées ;
- la nature des données dont le transfert vers des pays étrangers est envisagé ;
- la durée de conservation des données ;
- le service auprès duquel la personne concernée pourra exercer, le cas échéant, les droits qui lui sont reconnus par les dispositions de la présente loi, ainsi que les mesures prises pour faciliter l'exercice de ceux-ci ;
- une description générale permettant d'apprécier de façon préliminaire le caractère approprié des mesures prises pour assurer la confidentialité et la sécurité du traitement ;
- les interconnexions, ou toutes autres formes de rapprochement des données ainsi que leur cession à des tiers ou sous-traitance, sous toute forme, à titre gratuit ou onéreux.
Modification de la déclaration
Toute modification des informations devant figurer dans la déclaration et précédemment citées, et toute suppression de traitement doivent être portées, sans délai, à la connaissance de l’autorité nationale.
En cas de cession d'un fichier de données, la personne qui bénéficie de la cession est tenue de remplir les formalités de déclaration prévues par la présente loi.
La déclaration simplifiée
L’article 15 de la loi prévoit que « l’autorité nationale fixe la liste des catégories de traitements de données à caractère personnel qui ne sont pas susceptibles de porter atteinte aux droits et libertés des personnes concernées et leur vie privée, qui font l’objet d’une déclaration simplifiée qui doit préciser uniquement les éléments prévus aux 1, 2, 3, 4, 5 et 6 de l'article 14 ci-dessus. »
L’autorité nationale fixe la liste des traitements non automatisés de données à caractère personnel qui peuvent faire l'objet de la déclaration simplifiée prévue par le présent article.
Les traitements de données non soumis à déclaration
« L'obligation de déclaration ne s'applique pas aux traitements ayant pour seul objet la tenue d'un registre qui est ouvert à la consultation du public ou de toute personne justifiant d'un intérêt légitime », précise l’article 16 de la loi.
En revanche, si le cas se présente, un responsable du traitement des données dont l'identité est rendue publique et notifiée à l’autorité nationale et qui est responsable de l'application des dispositions relatives aux droits des personnes concernées prévues par la présente loi doit être désigné.
Le responsable du traitement dispensé de déclaration doit communiquer à toute personne qui en fait la demande, les informations relatives à la finalité du traitement, à l'identité et l’adresse du responsable du traitement, aux données traitées et à leurs destinataires.
Vous êtes abonné ? Restez à jour en consultant les notes, communiqués et circulaires ainsi que l’ensemble des Codes en vigueur sur Legal Doctrine.
Restez à l’affût des dernières actualités juridiques en vous abonnant à notre newsletter Legal Doctrine.
