2.4.2. Les obligations à la charge du responsable du
traitement
• En plus des droits reconnus à la personne titulaire des données
personnelles, la loi de 2004 met à la charge du responsable du
traitement un certain nombre d’obligation dont le respect permet
de protéger le titulaire de ses données. En effet, et outre
l’obligation de respecter certaines procédures préliminaires au
traitement ( article 7 de la loi), le responsable du traitement doit
veiller à respecter certaines obligations sous peine de voir sa
responsabilité civile et pénale engagées.
Les principales obligations à la charge du responsable du traitement
sont:
L’obligation de finalité du traitement
L’obligation de sécurité des données
L’obligation de mise à jour des données
o l’obligation de finalité du traitement ( articles 10 à 17 de la loi)
Toute opération de traitement des données à un but. Le pourquoi du traitement,
c’est sa finalité. A cet effet, le responsable du traitement doit observer le principe
de finalité du traitement qui implique:
La détermination préalable des finalités du traitement,
Eviter des traitements fortuits réalisés à l’occasion d’opérations ne visant pas le
traitement de données personnelles
Les finalités du traitement doivent être légales(conformes à la loi), loyales
(honnêtes) et explicites ( déclarées).
Interdiction de collecter des données sous des identifiants cachés, des proxys, des
cookies non soumis à une information et à un consentement préalables de la
personne…
Les traitements doivent être nécessaires compte tenu des finalités exprimées
Le critère de la nécessité exclut les données qui ne sont pas nécessaires au
traitement
Ce critère se mesure compte tenu des objectifs affichés d’avance
Interdiction de dépasser les finalités du traitement affichées pour d’autres motifs
non déclarés comme par exemple e cacher l’intention réelle de faire des
traitements pour des raisons de marketing
Principe de proportionnalité entre le contenu et la qualité des données traitées et
les objectifs du traitement
Exceptions à l’obligation de finalité du traitement:
La loi d 2004 a prévu certaines exceptions à l’obligation de finalité de traitement
dans la mesure où elle a prévu la possibilité de dépasser les finalités exprimées lors
de la collecte des données dans certains cas cités limitativement .
En cas de consentement de la personne: c’est-à-dire si elle donne son accord sur
d’autres finalités.
On en déduit que dans cette hypothèse, il est nécessaire d’obtenir une information
et un consentement express préalables de la part du titulaire des données.
Si le traitement est nécessaire pour préserver un intérêt vital de la personne
concernée
La vitalité de l’intérêt recherché est plus forte que son caractère nécessaire.
Le caractère nécessaire du dépassement des objectifs affichés .
L’exigence d’un intérêt vital, ce qui exclut les intérêts qui ne le sont pas.
•
Si le traitement se fait pour des finalités scientifiques
Et ce pour encourager la recherche
Cependant, il faut que le caractère scientifique des finalités du traitement soit
certain, notoire
Publicité
o
l’obligation de sécurité des données ( articles 18 à 20 de la loi)
• Par obligation de sécurité, le législateur entend l’obligation d’assurer la
sécurité et la confidentialité des données traitées.
• Cette obligation est mise à la charge aussi bien du responsable du
traitement que de son sous traitant.
• Cette obligation exige la prise de mesures et de solutions préventives
matérielles et logicielles telles que des firewall, des logiciels anti virus, des
logiciels des anti spam, du codage…
• La sécurité s’entend aussi de l’obligation mise à la charge du responsable
du traitement:
de ne pas permettre à des tierces personnes sans autorisation de la
personne concernée de prendre connaissance des données traitées, de les
modifier ou encore de les altérer.
d’assurer la sécurité physique des données traitées à l’encontre des aléas
numériques, naturels…
La nature juridique de l’obligation de sécurité:
Il s’agit ici de déterminer si pèse sur le responsable du traitement
des données une obligation de moyen ( prendre des précautions
exclusivement ) ou de résultat ( garantir la sécurité des données
comme résultat final ) ?
En réalité, il ne suffit pas de prendre des précautions de sécurité
surtout celles prévues par l’article 19 de la loi organique :
équipements, logiciels… . Il est, en effet, de l’obligation du responsable
du traitement de garantir le résultat à savoir d’assurer l’intégrité des
données et leur confidentialité.
L’Instance nationale de protection des données personnelles peut
jouer un rôle important en la matière en fixant les mesures de
sécurité minima que tout traitement de données personnelles doit
observer.
o l’obligation de mise à jour des données (article21de la loi)
• Le responsable du traitement a l’obligation de mettre à jour les données
traitées. En effet, pèse sur lui ou son sous traitant l’obligation:
d’actualiser les données,
de les corriger en cas d’erreur,
de les supprimer à la demande de la personne concernée et dans certains
cas prévus par la loi.
• L’obligation de mise à jour joue même en l’absence d’une demande de la
personne concernée si le responsable du traitement a eu connaissance des
changements dans les données par un biais autre que la personne concernée.
• Cette obligation s’accompagne par l’obligation d’informer la personne
concernée par la mise à jour de ses donnés. Cette information se réalise
selon les modalités suivantes :
Information dans un délai de 2 mois à partir de la date de mise à jour. –
Information par un moyen qui laisse une trace écrite: lettre
recommandée, mail …
2.5. Les formalités administratives de traitement
des données à caractère personnel
En sus du consentement préalable de la personne concernée, le
responsable du traitement a l’obligation de recourir à des
formalités administratives auprès de l’instance nationale de
protection des donnée personnelles. ( INPDP )
Il s’agit de formalités préalables au traitement sous peine d’illégalité
de l’opération.
Contrôle surtout à priori exercé par l’INPDP sur la régularité du
traitement
Enjeux de ce contrôle préalable: liberté de traiter les données,
Publicité
liberté de communication , protection de la vie privée des
personnes, liberté du commerce et de l’industrie…
La loi organique distingue trois régimes juridiques de traitement de
données:
Le régime de droit commun de traitement des données
personnelles
Le régime de traitement des données personnelles sensibles
Le régime des traitements de données personnelles interdit
La loi prévoit, par ailleurs, des exceptions au recours aux formalités
administratives préalables.
2.5.1. Le régime de droit commun de traitement des
données personnelles
C’est le régime qui s’applique normalement à tout traitement de données:
Ce régime est détaillé dans l’article 7 de la loi de 2004.
C’est « le dénominateur commun » des régimes de traitement;
Il est appliqué si la donnée ou le traitement ne relève pas des autres régimes spéciaux
cités plus haut.
Le responsable de tout traitement de données personnelles doit déposer auprès de
l’INPDP une déclaration préalable de ce qu’il projette de traiter
Le régime de déclaration préalable est un régime de liberté d’exercice de l’activité
Le responsable n’est tenu que d’informer préalablement l’INPDP. Il n’a pas besoin de son
autorisation préalable
Nécessité d’avoir la preuve du dépôt de la déclaration: récépissé de l’INPDP
L’ autorité de contrôle exercera un contrôle en principe a postériori
L’INPDP a un droit d’opposition sur le traitement qui lui est soumis.
Elle ne peut exercer ce droit d’opposition que dans un délai de 1 mois à partir de la
date de déclaration
Son silence après ce délai, signifie acception implicite du traitement
2.5.2. Le régime de traitement des données personnelles à
caractère sensible
•
Pour leur assurer une meilleure protection, la loi de 2004 soumet le traitement des
données dites sensibles et de certaines autres opérations au régime de
l’autorisation préalable de l’INPDP.
• Ce régime est prévu par l’article 14 de la loi organique.
• Définition des données personnelles sensibles:
Il s’agit des données qui concernent directement ou indirectement l’
origine raciale ou génétique, aux convictions religieuses, aux opinions
politiques, philosophiques ou syndicales , à la santé, à la vidéo surveillance
• On remarque que la loi dresse une liste limitative de ces données.
•
Les opérations soumises au régime d’autorisation préalable sont les suivantes:
la destruction des données personnelles
leur communication à des tiers ( par rapport à la personne concernée )
leur transfert vers l’étranger
Le responsable du traitement des données sensibles et celui qui
effectue les opérations sus visées doit présenter avant d’exercer
l’activité une demande d’autorisation à l’INPDP.
Le régime d’autorisation préalable est un régime administratif
d’exercice de l’activité.
Le responsable est tenu de requérir de l’INPDP un accord
Publicité
préalable avant le commencement du traitement .
L’ autorité de contrôle exercera un contrôle de régularité sur le
traitement .
Elle peut ne pas donner son autorisation en cas d’irrégularité et le
traitement sera illégale.
L’INPDP répond à la demande d’autorisation dans un délai de 1
mois à partir de la date de demande .
Son silence après ce délai vaut refus implicite de sa part de l’octroi
de la dite autorisation.
2.5.3. Le régime de traitement des données personnelles
interdit
L’article 13 de la loi organique interdit « le traitement des données à
caractère personnel relatives aux infractions, à leur constatation,
aux poursuites pénales, aux peines, aux mesures préventives ou
aux antécédents judiciaires ».
Contrairement aux données sensible , cette interdiction ne connait aucune
atténuation dans la loi. Le législateur ne permet aucun traitement de ces
données relatives au statut pénal de la personne.
Aucune autorisation ne peut être donnée, à cet effet, par l’instance.
Il s’agit, donc d’une interdiction de rigueur.
2.5.4. Exceptions aux formalités administratives préalables
Certains traitements de données personnelles ne sont pas soumis
à l’obligation de passer par les formalités administratives: Il s’agit
des cas suivants:
Le traitement par l’employeur des données relatives à la situation
professionnelle de l’employé.
Les traitements réalisés par certaines personnes publiques.
Les traitements réalisés dans le cadre de la recherche scientifique sous certaines
conditions.
3. Le contrôle du respect de la réglementation
En cas de violations à la réglementation relative à la protection des données
personnelles, on peut faire recours à deux types d’autorités :
Des autorités juridictionnelles civiles ( dédommagement … ) ou pénales ( sanctions privatives de liberté…),
ou / et à
Une autorité para juridictionnelle créée par la loi organique: l’instance nationale de protection des données
à caractère personnel : l’INPDP.
L’INPDP est une autorité publique ayant un caractère para juridictionnel. Ce
caractère para juridictionnel lui vient de la composition de son organe de
décision ( collège ) : représentation prépondérante des juges, de la nature des
certaines de ses attributions telles que celles de trancher les litiges relatifs au droit
d’accès, au droit d’opposition… ainsi que de la nature de certains de ses pouvoirs.
En effet, l’instance rend des décisions susceptibles de recours juridictionnel: (
appel… )
L’instance est une autorité publique soumise à la tutelle du ministère de la justice et
des droits de l’Homme.
Son organisation et son fonctionnement ont été régi par les deux décrets n° 2007 -
3003 et 3004 du 27 novembre 2007.
D’après l’article 76 de la loi organique de 2004, l’instance est chargée
de plusieurs missions. Ces missions peuvent être classées comme suit:
Des attributions administratives étant chargée d’assurer des contrôles préalable et à
posteriori de régularité des traitements de données.
Des attributions d’ordre juridictionnel: examen des requêtes et des litiges relatifs aux
droits d’accès, d’opposition…
Des attributions d’ordre consultatif: l’INPDP donne des avis sur des projets de textes
juridiques: elle serait le conseiller des pouvoirs publics en matière de protection des
données personnelles.
Publicité
L’importance des pouvoirs de l’INPDP
Pour pouvoir jouer efficacement son rôle dans la protection des données
personnelles, la loi a doté l’instance de pouvoirs très importants qui sont
notamment:
Des pouvoirs d’enquête sur les violations de la loi,
Des pouvoirs de constat de ces violations,
L’information du Procureur de la république des infractions pénales commises,
Des pouvoirs de sanction administrative, tels que celui du retrait de l’autorisation ou
de l’interdiction du traitement.
Vidéos à regarder impérativement:
Les bokbok et les données personnelles au format vidéo:
https://fr-fr.facebook.com/INPDP.TN/videos/2274976266133071/
III. Quels sont vos droits en matière de protection des données
personnelles ?
https://fr-fr.facebook.com/INPDP.TN/videos/223448822005043/
I. Pourquoi protéger ses données personnelles ?
https://fr-fr.facebook.com/INPDP.TN/videos/1399009143614690/
II. Quelles sont les obligations légales en matière de protection des
données personnelles ?
https://fr-fr.facebook.com/INPDP.TN/videos/550954675512469/
Références bibliographiques
• Chawki Gaddès, l’instance nationale de protection des données
personnelles
http://www.urdri.fdspt.rnu.tn/articles/chawki-gaddes-INPDCP.pdf
• Kamel Ayari, La protection juridique des données à caractère personnel,
Revue Jurisprudence et Législation n° 7 juillet 2005 (en arabe)
• Caroline Carpentier, Vie privée et communications électroniques : Une
union faite de compromis ?
http://www.droit-technologie.org/upload/dossier/doc/113-1.pdf
• Vincent Gautrais, Le défi de la protection de la vie privée face aux besoins
de circulation de l'information personnelle
http://www.lex-electronica.org/docs/articles_107.pdf
Liens utiles
• Page web relative à l’INPDP de la Tunisie
http://www.e-justice.tn/index.php?id=580
• Site de la Commission nationale Informatique et libertés, France
https://www.cnil.fr/fr/comprendre-le-rgpd
• Portail du droit des technologies , Belgique
Thème : vie privée et données personnelles
http://www.droit-technologie.org/dossier-list-by-themes-4/vie-privee-
et-donnees-personnelles.html
• L’essentiel à connaître sur le GDPR / RGPD : définition, périmètre,
principes et mesures
https://www.custup.com/introduction-gdpr-rgdp/
• Portail de l‘Instance de protection des données
http://www.inpdp.nat.tn/
• Convention 108+ et le RGPD – un ADN commun
https://www.coe.int/fr/web/data-protection/-/convention-108-and-the-
gdpr-a-common-dna
• Convention pour la protection des personnes à l'égard du traitement
automatisé des données à caractère personnel
https://www.coe.int/fr/web/conventions/full-list/-
/conventions/treaty/108