Droits conférés à la personne dont les données sont collectées

La Commission de protection des données personnelles (CDP) rappelle que dans la situation actuelle d’urgence sanitaire, la protection des libertés individuelles et des droits fondamentaux, notamment la vie privée demeure applicable, et ne peut être suspendue.

Cependant, la loi 2008-12 du 25 janvier 2008 portant sur la protection des données à caractère personnel prévoit un régime dérogatoire, lorsqu’il s’agit de mettre en œuvre un traitement de données personnelles sensibles, en vue :

  • de sauvegarder des intérêts vitaux des personnes ;
  • de répondre à un motif d’intérêt public ;
  • de promouvoir ou de protéger la santé publique, y compris le dépistage.

La CDP insiste sur le respect des principes et mesures suivants :

  • le traitement des données personnelles relatives à la santé des personnes suivies doit être mis en œuvre exclusivement par des professionnels de santé ;
  • la collecte et le traitement d’autres données personnelles permettant d’identifier et de localiser les personnes concernées doivent être mis en œuvre par un nombre limité de personnes dûment habilités, qui auront souscrit à un engagement écrit à préserver la confidentialité et la sécurité des données auxquelles elles auront accès ;
  • la collecte des données doit se limiter uniquement aux personnes ciblées par les autorités sanitaires, qui sont directement en contact avec celles infectées ;
  • la collecte doit être limitée aux seules données nécessaires à l’identification et à la localisation des personnes ;
  • les données collectées doivent être conservées pendant le temps nécessaire à la prise en charge des personnes, et détruites automatiquement lorsque les finalités pour lesquelles elles sont collectées arrivent à terme.

Au-delà de ces principes et mesures, la CDP rappelle que si des informations en temps réel sur la propagation du virus peuvent contribuer à l’isoler, il convient de souligner que les solutions les moins intrusives pour la vie privée des personnes doivent toujours être privilégiées.

Aussi, la Commission préconise que la dimension éthique soit systématiquement prise en charge par tous les acteurs engagés dans le processus de lutte contre le Covid-19.

Droit à l’information

Toute personne dont les données personnelles sont collectées a le droit d’être informée par:

  • courrier électronique ou sur support papier ;
  • affichage ou formulaire électronique ;
  • annonce dans un support approprié ;
  • ou bien, au cours d’un entretien individuel.

sur :

  • l’identité du responsable du traitement et, le cas échéant, de son représentant ;
  • la ou les finalités déterminées du traitement auquel les données sont destinées ;
  • les catégories de données concernées ;
  • le ou les destinataires ou les catégories de destinataires auxquels les données sont susceptibles d’être communiquées ;
  • le fait de savoir si la réponse aux questions est obligatoire ou facultative ainsi que les conséquences éventuelles d’un défaut de réponse ;
  • le fait de pouvoir demander à ne plus figurer sur le fichier ;
  • l’existence d’un droit d’accès aux données la concernant et de rectification de ces données ;
  • la durée de conservation des données;
  • le cas échéant, des transferts de données à caractère personnel envisagés à destination de l’étranger.

Article 58, 59, 60, 61 de la LOI n° 2008-12 du 25 janvier 2008 portant sur la Protection des données à caractère personne

Article 45, 46, 47 du DÉCRET n° 2008-721 du 30 juin 2008 portant application de la loi n° 2008-12 du 25 janvier 2008 sur la protection des données à caractère personnel.

Droit d’accès

Toute personne physique justifiant de son identité a le droit de demander, par écrit, un accès aux informations concernant ses données personnelles, quel que soit le support, au responsable d’un traitement des données à caractère personnel, de lui fournir :

  • les informations permettant de connaître et de contester le traitement ;
  • la confirmation que des données à caractère personnel la concernant font ou ne font pas l’objet de ce traitement ;
  • la communication, sous une forme accessible, des données à caractère personnel qui la concernent ainsi que de toute information disponible quant à l’origine de celles-ci ;
  • des informations relatives aux finalités du traitement, aux catégories de données à caractère personnel traitées et aux destinataires ou aux catégories de destinataires auxquels les données sont communiquées ;
  • le cas échéant, des informations relatives aux transferts de données à caractère personnel envisagés à destination d’un pays tiers (autre que le Sénégal).

Articles 62, 63, 64, 65, 66, 67 de la LOI n° 2008-12 du 25 janvier 2008 portant sur la Protection des données à caractère personnel.

Articles 48, 49, 50, 51, 52, 53, 54, 55, 56, 57 DÉCRET n° 2008-721 du 30 juin 2008 portant application de la loi n° 2008-12 du 25 janvier 2008 sur la protection des données à caractère personnel.

Droit d’opposition

Toute personne physique a le droit de s’opposer, pour des motifs légitimes, à ce que des données à caractère personnel la concernant fassent l’objet d’un traitement.

Elle a le droit, d’une part, d’être informée avant que des données la concernant ne soient pour la première fois communiquées à des tiers ou utilisées pour le compte de tiers à des fins de prospection et, d’autre part, de se voir expressément offrir le droit de s’opposer, gratuitement, à ladite communication ou utilisation.

Les dispositions du premier alinéa du présent article ne s’appliquent pas lorsque le traitement répond à une obligation légale.

Article 68 de la LOI n° 2008-12 du 25 janvier 2008 portant sur la Protection des données à caractère personnel.

Articles 58, 59, 60, 61 du DÉCRET n° 2008-721 du 30 juin 2008 portant application de la loi n° 2008-12 du 25 janvier 2008 sur la protection des données à caractère personnel.

Droit de rectification et de suppression

Toute personne physique justifiant de son identité peut exiger du responsable d’un traitement que soient, selon les cas, rectifiées, complétées, mises à jour, verrouillées ou supprimées les données à caractère personnel la concernant, qui sont inexactes, incomplètes, équivoques, périmées, ou dont la collecte, l’utilisation, la communication ou la conservation est interdite.

Lorsque l’intéressé en fait la demande par écrit, quel que soit le support, le responsable du traitement doit justifier, sans frais pour le demandeur, qu’il a procédé aux opérations exigées en vertu de l’alinéa précédent dans un délai d’un (1) mois après l’enregistrement de la demande.

En cas de contestation, la charge de la preuve incombe au responsable du traitement auprès duquel est exercé le droit d’accès.

Si une donnée a été transmise à un tiers, le responsable du traitement doit accomplir les diligences utiles afin de lui notifier les opérations qu’il a effectuées conformément au premier alinéa.

Article 69 de la LOI n° 2008-12 du 25 janvier 2008 portant sur la Protection des données à caractère personnel.

Article 62 du DÉCRET n° 2008-721 du 30 juin 2008 portant application de la loi n° 2008-12 du 25 janvier 2008 sur la protection des données à caractère personnel.