Loi turque sur la protection des données personnelles numéro 6698
LOI TURQUE SUR LA PROTECTION DES DONNÉES PERSONNELLES
Numéro de loi : 6698
Date d'acceptation : 24.03.2016
Journal officiel : 07.04.2016 Numéro : 29677
LOI SUR LA PROTECTION DES DONNÉES PERSONNELLES
CHAPITRE UN
Objet, champ d'application et définitions
Objet
ARTICLE 1 – (1) L'objectif de cette loi est de protéger les droits et libertés fondamentaux des personnes, en particulier le droit à la vie privée, concernant le traitement des données personnelles et d'établir les obligations, principes et procédures qui seront contraignants pour les personnes physiques ou morales qui traitent des données personnelles.
Champ d'application
ARTICLE 2 – (1) Les dispositions de cette loi s'appliquent aux personnes physiques dont les données personnelles sont traitées ainsi qu'aux personnes physiques ou morales qui traitent ces données, entièrement ou partiellement par des moyens automatisés ou, à condition que le traitement fasse partie d'un système d'enregistrement de données, par des moyens non automatisés.
Définitions
ARTICLE 3 – (1) Pour les besoins de cette loi, les définitions suivantes s'appliquent :
a) Consentement explicite : consentement spécifique, informé et volontaire,
b) Anonymisation : rendre les données personnelles impossibles à associer à une personne physique identifiée ou identifiable, même par recoupement avec d'autres données,
c) Président : Président de l'Autorité de protection des données personnelles,
ç) Personne concernée : la personne physique dont les données personnelles sont traitées,
d) Données personnelles : toutes les informations relatives à une personne physique identifiée ou identifiable,
e) Traitement des données personnelles : toute opération effectuée sur des données personnelles telles que la collecte, l'enregistrement, le stockage, la conservation, la modification, l'organisation, la divulgation, la transmission, la récupération, la consultation, l'utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, l'alignement ou la combinaison, le blocage, la suppression ou la destruction, entièrement ou partiellement par des moyens automatisés ou, à condition que le traitement fasse partie d'un système d'enregistrement de données, par des moyens non automatisés,
f) Conseil : Conseil de protection des données personnelles,
g) Autorité : Autorité de protection des données personnelles,
ğ) Sous-traitant : la personne physique ou morale qui traite des données personnelles pour le compte du responsable du traitement et sur son instruction,
h) Système d'enregistrement des données : le système dans lequel les données personnelles sont enregistrées en étant structurées selon certains critères,
ı) Responsable du traitement : la personne physique ou morale qui détermine les finalités et les moyens du traitement des données personnelles et qui est responsable de l'établissement et de la gestion du système d'enregistrement des données.
CHAPITRE DEUX
Traitement des données personnelles
Principes généraux
ARTICLE 4 – (1) Les données personnelles ne peuvent être traitées qu'en conformité avec les procédures et principes établis dans cette loi et d'autres lois.
(2) Les principes suivants doivent être respectés lors du traitement des données personnelles :
a) Légalité et conformité avec les règles de bonne foi.
b) Exactitude et mise à jour, si nécessaire.
c) Traitement pour des finalités spécifiques, explicites et légitimes.
ç) Adéquation, pertinence et limitation à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées.
d) Conservation pour une durée n'excédant pas celle nécessaire aux finalités pour lesquelles elles sont traitées.
Conditions de traitement des données personnelles
ARTICLE 5- (1) Les données personnelles ne peuvent être traitées sans le consentement explicite de la personne concernée.
(2) Les données personnelles peuvent être traitées sans obtenir le consentement explicite de la personne concernée uniquement dans les cas suivants :
a) si cela est expressément prévu par la loi.
b) si cela est nécessaire pour protéger la vie ou l'intégrité physique de la personne ou d'une autre personne qui est physiquement incapable de donner son consentement ou dont le consentement n'est pas légalement valide.
c) si le traitement des données personnelles des parties à un contrat est nécessaire, à condition qu'il soit directement lié à la conclusion ou à l'exécution de ce contrat.
ç) si cela est nécessaire pour permettre au responsable du traitement de remplir ses obligations légales.
d) si les données sont rendues publiques par la personne concernée elle-même.
e) si le traitement des données est nécessaire pour l'établissement, l'exercice ou la défense d'un droit.
f) si cela est nécessaire pour les intérêts légitimes du responsable du traitement, à condition que cela ne viole pas les droits et libertés fondamentaux de la personne concernée.
Conditions de traitement des données personnelles sensibles
ARTICLE 6- (1) Les données relatives à la race, l'origine ethnique, les opinions politiques, les convictions philosophiques, la religion, la secte ou autres croyances, l'appartenance à des associations, fondations ou syndicats, la santé, la vie sexuelle, les convictions et les mesures de sécurité, ainsi que les données biométriques et génétiques sont considérées comme des données personnelles sensibles.
(2) Il est interdit de traiter les données personnelles sensibles sans le consentement explicite de la personne concernée.
(3) Les données personnelles, à l'exception de celles relatives à la santé et à la vie sexuelle, énumérées au premier paragraphe peuvent être traitées sans obtenir le consentement explicite de la personne concernée, dans les conditions prévues par la loi. Les données personnelles relatives à la santé et à la vie sexuelle ne peuvent être traitées, sans obtenir le consentement explicite de la personne concernée, que par toute personne ou autorité publique autorisée et tenue au secret professionnel, à des fins de protection de la santé publique, de médecine préventive, de diagnostic médical, de traitement et de soins, de planification et de gestion des services de santé, ainsi que de leur financement.
(4) Il est stipulé que des mesures adéquates déterminées par le Conseil doivent également être prises lors du traitement des données personnelles sensibles.
Suppression, destruction ou anonymisation des données personnelles
ARTICLE 7- (1) Malgré le traitement conformément à cette loi et à d'autres lois pertinentes, les données personnelles doivent être supprimées, détruites ou anonymisées par le responsable du traitement, d'office ou sur demande de la personne concernée, dès que les raisons nécessitant le traitement disparaissent.
(2) Les dispositions d'autres lois concernant la suppression, la destruction ou l'anonymisation des données personnelles sont réservées.
(3) Les procédures et principes de suppression, de destruction ou d'anonymisation des données personnelles seront établis par un règlement.
Transfert des données personnelles
ARTICLE 8- (1) Les données personnelles ne peuvent être transférées sans le consentement explicite de la personne concernée.
(2) Les données personnelles peuvent être transférées sans obtenir le consentement explicite de la personne concernée en présence de l'une des conditions prévues à :
a) le deuxième paragraphe de l'article 5,
b) le troisième paragraphe de l'article 6, à condition que des mesures suffisantes soient prises.
(3) Les dispositions d'autres lois concernant le transfert des données personnelles sont réservées.
Transfert des données personnelles à l'étranger
ARTICLE 9- (1) Les données personnelles ne peuvent être transférées à l'étranger sans le consentement explicite de la personne concernée.
(2) Les données personnelles peuvent être transférées à l'étranger sans le consentement explicite de la personne concernée à condition que l'une des conditions énoncées au deuxième paragraphe de l'article 5 et au troisième paragraphe de l'article 6 soit remplie et que :
(a) une protection adéquate soit assurée dans le pays étranger où les données seront transférées,
(b) le responsable du traitement en Turquie et dans le pays étranger concerné garantissent par écrit une protection adéquate et que le Conseil ait autorisé un tel transfert, en l'absence de protection adéquate.
(3) Le Conseil détermine et annonce les pays où un niveau de protection adéquat est assuré.
(4) Le Conseil décidera si une protection adéquate est assurée dans le pays étranger concerné et si un tel transfert sera autorisé conformément au sous-paragraphe (b) du deuxième paragraphe, en évaluant les éléments suivants et en recueillant les avis des institutions et organisations publiques pertinentes, le cas échéant :
a) les conventions internationales auxquelles la Turquie est partie,
b) le principe de réciprocité concernant le transfert de données entre le pays demandeur et la Turquie,
c) la nature, la finalité et la durée du traitement concernant chaque cas concret de transfert de données,
ç) la législation en vigueur dans le pays où les données personnelles seront transférées et sa mise en œuvre,
d) les mesures garanties par le responsable du traitement dans le pays étranger.
(5) Dans les cas où les intérêts de la Turquie ou de la personne concernée pourraient être gravement compromis, les données personnelles ne peuvent être transférées à l'étranger qu'avec l'autorisation du Conseil, après avoir recueilli les avis des institutions et organisations publiques pertinentes, sans préjudice des dispositions des accords internationaux.
(6) Les dispositions d'autres lois concernant le transfert des données personnelles à l'étranger sont réservées.
CHAPITRE TROIS
Droits et obligations
Obligation d'information du responsable du traitement
ARTICLE 10- (1) Lors de la collecte des données personnelles, le responsable du traitement ou la personne autorisée par lui est tenu d'informer les personnes concernées des éléments suivants :
a) l'identité du responsable du traitement et, le cas échéant, de son représentant,
b) la finalité du traitement des données,
c) les destinataires ou catégories de destinataires auxquels les données traitées peuvent être communiquées et la finalité de cette communication,
ç) la méthode et la base juridique de la collecte des données personnelles,
d) les autres droits énoncés à l'article 11.
Les droits de la personne concernée
ARTICLE 11- (1) Chaque personne a le droit de :
a) savoir si ses données personnelles sont traitées ou non,
b) demander des informations si ses données personnelles sont traitées,
c) connaître la finalité du traitement des données et savoir si elles sont utilisées conformément aux finalités prévues,
ç) connaître les destinataires auxquels ses données personnelles sont transférées à l'étranger ou en Turquie,
d) demander la rectification des données incomplètes ou inexactes, le cas échéant,
e) demander l'effacement ou la destruction de ses données personnelles conformément aux conditions énoncées à l'article 7,
f) demander que les opérations effectuées conformément aux sous-paragraphes (d) et (e) soient notifiées aux tiers auxquels les données personnelles ont été communiquées,
g) s'opposer aux résultats obtenus par l'analyse des données exclusivement par des moyens automatisés, si cela lui porte préjudice,
ğ) demander une indemnisation pour le préjudice subi en raison du traitement illégal de ses données personnelles.
Obligations concernant la sécurité des données
ARTICLE 12- (1) Les responsables du traitement sont tenus de prendre toutes les mesures techniques et organisationnelles nécessaires pour assurer un niveau de sécurité approprié afin de :
a) empêcher le traitement illégal des données personnelles,
b) empêcher l'accès non autorisé aux données personnelles,
c) assurer la conservation des données personnelles.
(2) Lorsque les données personnelles sont traitées pour le compte du responsable du traitement par une personne physique ou morale, le responsable du traitement et cette personne sont conjointement responsables de la mise en œuvre des mesures énoncées au premier paragraphe.
(3) Le responsable du traitement est tenu d'effectuer ou de faire effectuer les inspections nécessaires au sein de sa propre institution ou organisation afin de mettre en œuvre les dispositions de cette loi.
(4) Les responsables du traitement et les sous-traitants ne doivent pas divulguer les données personnelles qu'ils ont apprises à des tiers en violation de cette loi, ni les utiliser à des fins autres que le traitement. Cette obligation subsiste même après la fin de leurs fonctions.
(5) Si les données traitées sont obtenues par d'autres parties par des moyens illégaux, le responsable du traitement doit en informer immédiatement la personne concernée et le Conseil. Lorsque cela est nécessaire, le Conseil peut annoncer cette violation sur son site officiel ou par d'autres moyens qu'il juge appropriés.
CHAPITRE QUATRE
Demande, plainte et registre
Demande au responsable du traitement
ARTICLE 13- (1) La personne concernée adresse une demande écrite au responsable du traitement concernant ses demandes relatives à la mise en œuvre de cette loi ou par tout autre moyen spécifié par le Conseil.
(2) Le responsable du traitement conclut les demandes contenues dans les demandes dans les délais les plus brefs possibles en fonction de la nature de la demande et au plus tard dans les trente jours, sans frais. Toutefois, si l'action en question entraîne un coût, le montant fixé par le Conseil peut être perçu.
(3) Le responsable du traitement accepte la demande ou la rejette pour des raisons justifiées et communique sa réponse à la personne concernée par écrit ou par voie électronique. Si la demande contenue dans la demande est jugée recevable, elle est satisfaite par le responsable du traitement. La personne concernée est remboursée des frais de demande si la demande a été faite en raison d'une erreur du responsable du traitement.
Plainte au Conseil
ARTICLE 14- (1) Si la demande est rejetée, si la réponse est jugée insatisfaisante ou si aucune réponse n'est donnée dans le délai imparti, la personne concernée peut déposer une plainte auprès du Conseil dans les trente jours suivant la date à laquelle elle a pris connaissance de la réponse du responsable du traitement, ou dans les soixante jours suivant la date de la demande, dans tous les cas.
(2) Une plainte ne peut être déposée qu'après épuisement du recours en demande auprès du responsable du traitement conformément à l'article 13.
(3) Le droit à réparation conformément aux dispositions générales des personnes dont les droits personnels ont été violés est réservé.
Procédures et principes d'examen d'office ou sur plainte
ARTICLE 15- (1) Le Conseil effectue les examens nécessaires dans les affaires relevant de son champ d'action, d'office ou sur plainte, lorsqu'il est informé de la violation présumée.
(2) Les notifications et plaintes ne répondant pas aux exigences énoncées à l'article 6 de la loi n° 3071 du 1/11/1984 sur l'exercice du droit de pétition ne seront pas examinées.
(3) Sauf pour les informations et documents ayant le statut de secret d'État, le responsable du traitement est tenu de communiquer au Conseil, dans un délai de quinze jours, les informations et documents relatifs à l'objet de l'examen qui lui ont été demandés, et de permettre, si nécessaire, un examen sur place.
(4) Le Conseil finalise l'examen de la plainte et donne une réponse à la personne concernée. Si le Conseil ne répond pas à la demande de la personne concernée dans les soixante jours suivant la date de la demande, elle est réputée rejetée.
(5) À la suite de l'examen effectué d'office ou sur plainte, si une infraction est constatée, le Conseil décide que les infractions constatées doivent être rectifiées par le responsable du traitement concerné et notifie cette décision à toutes les parties concernées. Cette décision doit être mise en œuvre immédiatement et au plus tard dans les trente jours suivant la notification.
(6) À la suite de l'examen effectué d'office ou sur plainte, si l'infraction est jugée répandue, le Conseil adopte et publie une résolution à ce sujet. Avant d'adopter la résolution, le Conseil peut également consulter les institutions et organisations pertinentes, si nécessaire.
(7) Le Conseil peut décider que le traitement des données ou leur transfert à l'étranger doit être suspendu si une telle opération pourrait entraîner des dommages irréparables ou difficiles à réparer et si elle est manifestement illégale.
Registre des responsables du traitement
ARTICLE 16 – (1) La Présidence tient un registre public des responsables du traitement sous la supervision du Conseil.
(2) Les personnes physiques ou morales qui traitent des données personnelles sont tenues de s'inscrire au Registre des responsables du traitement avant de procéder au traitement des données. Toutefois, en fonction de critères objectifs tels que la nature et la quantité des données traitées, l'obligation légale de traiter les données ou le transfert des données à des tiers, le Conseil peut accorder des exemptions à l'obligation d'inscription au Registre des responsables du traitement.
(3) La demande d'inscription au Registre des responsables du traitement est faite par une notification contenant :
a) l'identité et l'adresse du responsable du traitement et, le cas échéant, de son représentant,
b) les finalités pour lesquelles les données personnelles seront traitées,
c) des explications sur les groupes de personnes concernées ainsi que sur les catégories de données appartenant à ces personnes,
ç) les destinataires ou catégories de destinataires auxquels les données personnelles peuvent être transférées,
d) les données personnelles envisagées à être transférées à l'étranger,
e) les mesures prises pour la sécurité des données personnelles.
(f) la durée maximale nécessaire pour le traitement des données personnelles.
(4) Tout changement dans les informations fournies au troisième paragraphe doit être immédiatement notifié à la Présidence.
(5) D'autres procédures et principes régissant le Registre des responsables du traitement seront établis par un règlement.
CHAPITRE CINQ
Infractions et contraventions
Infractions
ARTICLE 17 – (1) Les articles 135 à 140 du Code pénal turc n° 5237 du 26/09/2004 s'appliquent aux infractions relatives aux données personnelles.
(2) Les personnes qui ne respectent pas l'article 7 de cette loi en ne supprimant ou n'anonymisant pas les données personnelles sont punies conformément à l'article 138 du Code pénal n° 5237.
Contraventions
ARTICLE 18 – (1) Pour les besoins de cette loi :
a) les personnes qui ne respectent pas l'obligation d'information prévue à l'article 10 de cette loi sont passibles d'une amende administrative de 5 000 à 100 000 TL,
b) les personnes qui ne respectent pas les obligations relatives à la sécurité des données prévues à l'article 12 de cette loi sont passibles d'une amende administrative de 15 000 à 1 000 000 TL,
c) les personnes qui ne respectent pas les décisions prises par le Conseil en vertu de l'article 15 de cette loi sont passibles d'une amende administrative de 25 000 à 1 000 000 TL,
ç) les personnes qui ne respectent pas les obligations d'inscription au Registre des responsables du traitement et de notification prévues à l'article 16 de cette loi sont passibles d'une amende administrative de 20 000 à 1 000 000 TL.
(2) Les amendes administratives énoncées au premier paragraphe s'appliquent aux personnes physiques et aux personnes morales de droit privé qui sont des responsables du traitement.
(3) Si les actes énumérés au premier paragraphe sont commis au sein des institutions et organisations publiques ainsi que des associations professionnelles ayant le statut d'institution publique, des procédures disciplinaires sont engagées contre les fonctionnaires et autres agents publics concernés sur notification du Conseil, et le résultat est communiqué au Conseil.
CHAPITRE SIX
Autorité de protection des données personnelles et son organisation
Autorité de protection des données personnelles
ARTICLE 19 – (1) L'Autorité de protection des données personnelles est une personne morale de droit public dotée de l'autonomie administrative et financière, créée pour remplir les fonctions prévues par cette loi.
(2) L'Autorité est rattachée au bureau du Premier ministre.
(3) Le siège de l'Autorité est à Ankara.
(4) L'Autorité se compose du Conseil et de la Présidence. L'organe décisionnel de l'Autorité est le Conseil.
Fonctions de l'Autorité
ARTICLE 20 – (1) Les fonctions de l'Autorité sont les suivantes :
(a) suivre les derniers développements dans la législation et les pratiques, formuler des évaluations et des recommandations, mener des recherches et des analyses ou faire mener des recherches et des analyses dans son domaine de compétence,
(b) coopérer avec les institutions et organisations publiques, les ONG, les associations professionnelles ou les universités dans son domaine de compétence, si nécessaire,
(c) suivre et évaluer les derniers développements internationaux en matière de protection des données personnelles et, dans son domaine de compétence, coopérer avec les organisations internationales et participer aux réunions,
(ç) soumettre son rapport d'activité annuel au bureau du Président de la République de Turquie, à la Commission des droits de l'homme de la Grande Assemblée nationale de Turquie et au bureau du Premier ministre,
(d) exécuter d'autres fonctions prévues par la loi.
Conseil de protection des données personnelles
ARTICLE 21 – (1) Le Conseil exerce et exécute les fonctions et pouvoirs qui lui sont conférés par cette loi et d'autres lois, de manière indépendante et sous sa propre responsabilité. Aucune institution, autorité, bureau ou personne ne peut donner d'instructions, de recommandations ou de suggestions au Conseil concernant les fonctions et pouvoirs relevant de son domaine de compétence.
(2) Le Conseil se compose de neuf membres. Cinq membres du Conseil sont élus par la Grande Assemblée nationale de Turquie, deux membres sont nommés par le Président de la Turquie et deux membres sont nommés par le Conseil des ministres.
(3) Pour être élu au Conseil, les conditions suivantes doivent être remplies :
a) Avoir des connaissances et de l'expérience dans les domaines relevant des fonctions de l'Autorité,
b) Respecter les exigences énoncées aux points (1), (4), (5), (6) et (7) du sous-paragraphe (A) du premier paragraphe de l'article 48 de la loi n° 657 du 14/07/1965 sur le statut des fonctionnaires,
c) Ne pas être membre d'un parti politique,
ç) Être titulaire d'un diplôme universitaire d'au moins quatre ans,
d) Avoir au moins dix ans d'expérience professionnelle au total dans les institutions et organisations publiques, les organisations internationales, les ONG, les associations professionnelles ayant le statut d'institution publique ou dans le secteur privé.
(4) Les membres élus doivent exprimer leur consentement. Les élections sont organisées de manière à assurer une représentation pluraliste des personnes ayant des connaissances et de l'expérience dans les domaines relevant des fonctions de l'Autorité.
(5) Les membres du Conseil sont élus par la Grande Assemblée nationale de Turquie selon la procédure suivante :
a) Les groupes parlementaires des partis politiques nomment le double du nombre de membres à élire, proportionnellement au nombre de députés des partis politiques. Les membres du Conseil sont ensuite élus par l'Assemblée plénière de la Grande Assemblée nationale parmi ces candidats, sur la base du nombre de députés attribués à chaque groupe parlementaire.
b) Les membres du Conseil sont élus dans les dix jours suivant la désignation et l'annonce des candidats. Pour les candidats désignés par les groupes parlementaires des partis politiques, un bulletin de vote composite est préparé sous forme de listes séparées. Le vote est exprimé en cochant la case correspondante en face du nom des candidats. Les votes exprimant un nombre de voix supérieur au nombre de membres à élire pour les quotas des groupes parlementaires, déterminés conformément au paragraphe deux, sont considérés comme nuls.
c) Les candidats dont le nombre correspond au nombre de sièges à pourvoir et qui obtiennent le plus de voix sont considérés comme élus.
ç) L'élection pour le renouvellement des membres a lieu deux mois avant l'expiration de leur mandat ; en cas de vacance d'un siège pour quelque raison que ce soit, une nouvelle élection a lieu dans le mois suivant ; ou si la date de la vacance coïncide avec la période de suspension de la Grande Assemblée nationale de Turquie, l'élection a lieu dans le mois suivant la fin de la période de suspension, selon la même procédure.
(6) Quarante-cinq jours avant l'expiration du mandat ou en cas d'expiration du mandat pour quelque raison que ce soit des membres élus par le Président de la Turquie ou le Conseil des ministres, l'Autorité notifie la situation au bureau du Premier ministre afin qu'elle soit soumise au bureau du Président de la Turquie ou au Conseil des ministres ; une nouvelle élection a lieu un mois avant l'expiration du mandat des membres. En cas de vacance d'un siège avant l'expiration du mandat, une nouvelle élection a lieu dans les quinze jours suivant la notification.
(7) Le Conseil désigne le Président et le Vice-Président parmi ses membres. Le Président du Conseil est également le Président de l'Autorité.
(8) La durée du mandat des membres du Conseil est de quatre ans. Les membres peuvent être réélus à l'expiration de leur mandat. Le membre élu à la place du membre dont le mandat prend fin avant son terme achève le mandat restant.
(9) Les membres du Conseil prêtent le serment suivant devant la Cour de cassation : « Je jure sur mon honneur et ma conscience que j'exercerai mes fonctions avec une impartialité absolue, de bonne foi, équitablement et avec le sens de la justice, conformément à la Constitution et aux lois pertinentes. » La prestation de serment devant la Cour de cassation est considérée comme une affaire urgente.
(10) Sauf disposition contraire de la loi, les membres ne peuvent exercer aucune fonction publique ou privée autre que celles liées à leurs fonctions officielles au sein du Conseil ; ils ne peuvent exercer de fonctions exécutives au sein d'associations, de fondations, de coopératives et d'organisations similaires ; ils ne peuvent exercer d'activités commerciales, exercer une profession libérale, agir en tant qu'arbitres ou experts judiciaires. Toutefois, les membres du Conseil peuvent préparer des publications scientifiques, donner des conférences et participer à des conférences, à condition que cela n'interfère pas avec leurs fonctions principales, et peuvent recevoir des droits d'auteur et des honoraires de conférence.
(11) Les enquêtes sur les crimes allégués commis par les membres dans l'exercice de leurs fonctions sont menées conformément à la loi n° 4483 du 2/12/1999 sur les poursuites contre les fonctionnaires et autres agents publics, et l'autorisation d'enquêter est accordée par le Premier ministre.
(12) Les procédures disciplinaires et les poursuites contre les membres du Conseil sont régies par la loi n° 657.
(13) Les membres du Conseil ne peuvent être démis de leurs fonctions avant l'expiration de leur mandat que pour des raisons graves. Toutefois, les membres du Conseil peuvent être démis de leurs fonctions par le Conseil si
a) il est constaté par la suite qu'ils ne remplissent pas les conditions requises pour leur élection,
b) la décision de justice rendue à leur encontre pour des crimes commis dans l'exercice de leurs fonctions est devenue définitive,
c) un certificat médical atteste qu'ils ne sont pas aptes à exercer leurs fonctions,
ç) il est constaté qu'ils ont été absents sans permission ni excuse valable pendant quinze jours consécutifs ou trente jours au total dans une année,
d) il est constaté qu'ils n'ont pas assisté à trois réunions du Conseil en un mois et à dix réunions en un an sans permission ni excuse valable.
(14) Les personnes nommées comme membres du Conseil sont démises de leurs fonctions précédentes pendant leur mandat au sein du Conseil. À l'expiration de leur mandat au sein du Conseil ou s'ils expriment leur volonté de démissionner et soumettent une demande en ce sens à leur ancienne institution dans les trente jours, elles sont affectées à un poste approprié à leur ancien poste et grade dans un délai d'un mois ; jusqu'à cette affectation, l'Autorité continue de verser toutes les rémunérations qui leur sont dues. Jusqu'à ce que les personnes prennent un autre poste ou un autre emploi, l'Autorité continue de verser les rémunérations aux personnes qui ont été nommées comme membres du Conseil bien qu'elles n'aient pas été fonctionnaires, et dont le mandat au sein du Conseil a pris fin ; ces paiements ne doivent pas dépasser trois mois. En ce qui concerne les droits personnels et autres, les périodes passées à l'Autorité sont considérées comme passées dans les institutions ou organisations précédentes.
Fonctions et pouvoirs du Conseil
ARTICLE 22 – (1) Les fonctions et pouvoirs du Conseil sont les suivants :
a) assurer que les données personnelles sont traitées conformément aux droits et libertés fondamentaux,
b) conclure les plaintes des personnes qui allèguent que leurs droits relatifs à la protection des données personnelles ont été violés,
c) examiner, d'office ou sur plainte, si les données personnelles sont traitées conformément à la loi, et prendre des mesures provisoires si nécessaire,
ç) déterminer les mesures adéquates nécessaires pour le traitement des données sensibles,
d) assurer la tenue du Registre des responsables du traitement,
e) préparer des actes réglementaires concernant les obligations du Conseil et le fonctionnement de l'Autorité,
f) préparer des actes réglementaires pour établir les obligations en matière de sécurité des données,
g) préparer des actes réglementaires concernant les obligations, pouvoirs et responsabilités du responsable du traitement et de son représentant,
ğ) prendre des décisions sur les sanctions administratives prévues dans cette loi,
h) donner son avis sur la législation préparée par d'autres institutions ou organisations et contenant des dispositions sur les données personnelles,
ı) établir le plan stratégique de l'Autorité ; déterminer les objectifs, missions, critères de qualité des services et critères de performance de l'Autorité,
i) discuter et décider du plan stratégique et du projet de budget de l'Autorité, préparés conformément à ses objectifs et missions,
j) approuver et publier les projets de rapports sur la performance, la situation financière, les activités annuelles et autres questions relatives à l'Autorité,
k) discuter et décider des recommandations concernant l'achat, la vente et la location de biens immobiliers,
l) exécuter d'autres tâches prévues par la loi.
Principes de fonctionnement du Conseil
ARTICLE 23 – (1) Le Président fixe les dates et l'ordre du jour des réunions. Le Conseil peut être convoqué en réunion extraordinaire par le Président si nécessaire.
(2) Le Conseil se réunit avec au moins six membres, y compris le Président, et prend ses décisions à la majorité simple de ses membres.
(3) Les membres ne peuvent pas assister aux réunions ni voter sur des questions concernant leurs propres affaires, celles de leurs parents par le sang jusqu'au troisième degré et de leurs parents par alliance jusqu'au deuxième degré, de leurs enfants adoptifs et de leurs conjoints, même si le mariage a pris fin.
(4) Les membres du Conseil ne doivent pas divulguer les secrets qu'ils ont appris concernant les personnes concernées et les tiers pendant leur mandat à des personnes non autorisées, ni les utiliser à leur propre avantage. Cette obligation subsiste même après la fin de leur mandat.
(5) Les résultats de l'ordre du jour du Conseil sont consignés par écrit. Les décisions et les avis divergents, le cas échéant, sont rédigés dans les quinze jours.
(6) Les réunions du Conseil sont confidentielles, sauf décision contraire.
(7) Les principes et procédures de fonctionnement du Conseil et les principes et procédures de rédaction des décisions et autres questions sont établis par un règlement.
Le Président
ARTICLE 24 – (1) Le Président, en tant que chef de l'Autorité et du Conseil, est le plus haut responsable de l'Autorité et organise et dirige les services de l'Autorité conformément à la législation, aux objectifs et principes de l'Autorité, au plan stratégique, aux critères de performance et aux normes de qualité des services, et assure la coordination entre les unités de service.
(2) Le Président est responsable de la gestion générale et de la représentation de l'Autorité. Cette responsabilité comprend les fonctions et pouvoirs relatifs à la réglementation, à l'exécution, à l'inspection, à l'évaluation de l'activité de l'Autorité et à sa communication, le cas échéant.
(3) Les fonctions du Président sont les suivantes :
a) présider les réunions du Conseil,
b) assurer la notification des décisions du Conseil et, le cas échéant, leur publication, et surveiller leur mise en œuvre,
c) nommer le Vice-Président, les chefs de département et le personnel de l'Autorité,
ç) finaliser les recommandations soumises par les unités de service et les présenter au Conseil,
d) assurer la mise en œuvre du plan stratégique et établir les politiques de gestion des ressources humaines conformément aux normes de qualité des services,
e) préparer le budget annuel et les prévisions financières de l'Autorité conformément aux stratégies, aux objectifs annuels et aux missions définis,
f) assurer la coordination pour que le Conseil et les unités de service travaillent ensemble de manière efficace, disciplinée et harmonieuse,
g) maintenir les relations de l'Autorité avec d'autres institutions,
ğ) déterminer la portée des fonctions et pouvoirs du personnel autorisé à signer au nom du Président,
h) exécuter d'autres fonctions liées à la gestion et au fonctionnement de l'Autorité.
(4) Le Vice-Président agit au nom du Président en son absence.
Composition et fonctions de la Présidence
ARTICLE 25 – (1) La Présidence se compose du Vice-Président et des unités de service. La Présidence exécute les fonctions énumérées au quatrième paragraphe par l'intermédiaire des unités organisées en départements. Le nombre de départements ne peut dépasser sept.
(2) Un Vice-Président est nommé par le Président pour l'assister dans ses fonctions administratives.
(3) Le Vice-Président et les chefs de département sont nommés par le Président parmi les personnes titulaires d'un diplôme universitaire d'au moins quatre ans et ayant au moins dix ans d'expérience professionnelle dans les institutions publiques.
(4) Les fonctions de la Présidence sont les suivantes :
a) tenir le Registre des responsables du traitement,
b) effectuer les travaux de secrétariat pour l'Autorité et le Conseil,
c) représenter l'Autorité dans les litiges et les procédures d'exécution auxquels elle est partie ; suivre les litiges ou les faire suivre et fournir des services juridiques,
ç) gérer les affaires personnelles des membres du Conseil et du personnel de l'Autorité,
d) exécuter les fonctions prévues par la loi concernant les services financiers et les unités de développement stratégique,
e) assurer la mise en place et l'utilisation des systèmes d'information nécessaires à la réalisation des actes et actions de l'Autorité,
f) préparer des rapports sur les activités annuelles de l'Autorité et d'autres sujets jugés nécessaires, et les soumettre au Conseil,
g) préparer le plan stratégique de l'Autorité,
ğ) déterminer la politique de gestion des ressources humaines de l'Autorité, préparer et mettre en œuvre les plans de carrière, de formation et de développement du personnel,
h) gérer le recrutement, la mutation, la discipline, l'évaluation des performances, la promotion, la retraite et d'autres questions similaires concernant le personnel,
ı) déterminer les principes éthiques pour le personnel et dispenser la formation appropriée,
i) fournir des services concernant les achats, la location, la maintenance, la réparation, la construction, les archives, la santé et le social et des services similaires dans le cadre de la loi n° 5018 sur la gestion et le contrôle des finances publiques,
j) tenir un registre des biens meubles et immeubles de l'Autorité,
k) exécuter d'autres fonctions qui lui sont confiées par le Conseil ou le Président.
Experts et assistants en protection des données
ARTICLE 26 – (1) L'Autorité peut recruter des experts et des assistants en protection des données. Les experts et assistants nommés en tant qu'experts en protection des données conformément à l'article additionnel 41 de la loi n° 657 reçoivent une augmentation de grade, mais uniquement une fois.
Dispositions relatives au personnel et aux droits du personnel
ARTICLE 27 – (1) Le personnel de l'Autorité est soumis à la loi n° 657, sauf disposition contraire dans cette loi.
(2) Le Président et les membres du Conseil ainsi que le personnel de l'Autorité reçoivent les rémunérations déterminées pour le personnel précédent, dans le cadre des droits financiers et sociaux, conformément à l'article additionnel 11 du décret-loi n° 375 du 27/06/1989, selon les mêmes procédures et principes.
(3) Le Président et les membres du Conseil ainsi que le personnel de l'Autorité sont soumis au sous-paragraphe (c) du premier paragraphe de l'article 4 de la loi n° 5510 du 31/05/2006 sur l'assurance sociale universelle et la santé. Le Président et les membres du Conseil ainsi que le personnel de l'Autorité sont considérés comme égaux au personnel précédent en ce qui concerne les droits à la retraite. Les périodes de service des personnes nommées comme Président et membres du Conseil alors qu'elles étaient assurées conformément au sous-paragraphe (c) du premier paragraphe de l'article 4 de la loi n° 5510 sont prises en compte lors de la détermination des droits acquis, des salaires, des grades et des échelons. Les périodes de service appropriées des personnes relevant du champ d'application de l'article provisoire 4 de la loi n° 5510 sont considérées comme la période pendant laquelle une indemnité de représentation et de poste doit être versée. La libération des fonctions dans les institutions ou organisations précédentes des personnes nommées comme Président et membres du Conseil alors qu'elles étaient assurées conformément au sous-paragraphe (a) du premier paragraphe de l'article 4 de la loi n° 5510 n'entraîne pas le versement d'une indemnité de licenciement ou de fin de service. Dans un tel cas, la période de service qualifiée pour une indemnité de licenciement ou de fin de service est ajoutée aux périodes de service effectuées à l'Autorité, et est considérée comme la période pendant laquelle une indemnité de retraite doit être versée.
(4) Les fonctionnaires travaillant dans les administrations publiques rattachées à l'administration centrale, les institutions de sécurité sociale, les administrations locales, les administrations rattachées aux administrations locales, les unions d'administrations locales, les entreprises à fonds de roulement, les fonds établis par la loi, les établissements publics, les organisations à majorité de capital public, les entreprises publiques économiques, les entreprises économiques d'État, ainsi que les associations et établissements rattachés à celles-ci, et les autres fonctionnaires publics peuvent être détachés auprès de l'Autorité sur demande de leur propre institution et avec leur consentement, à condition que leurs salaires, indemnités, augmentations de celles-ci, compensations et autres avantages sociaux et financiers soient payés par leur propre institution. De telles demandes des institutions et organisations pertinentes sont traitées en priorité par l'Autorité. Le personnel détaché est considéré comme étant en congé payé. Pendant ce congé, les droits du personnel et leur lien avec la fonction publique sont maintenus ; ce congé est pris en compte dans les promotions et la retraite, et les promotions sont effectuées sans autre formalité à l'échéance prévue. Les périodes de service à l'Autorité par le personnel détaché conformément à cet article sont considérées comme des périodes de service dans leurs institutions d'origine. Le nombre de personnel détaché de cette manière ne peut dépasser dix pour cent du nombre total de postes d'experts et d'assistants en protection des données, et la période de détachement ne peut dépasser deux ans. Toutefois, cette période peut être prolongée d'un an à la fois, si nécessaire.
(5) Les titres et le nombre de postes pour le personnel à recruter par l'Autorité sont indiqués dans le tableau annexé (I). Les modifications des titres et des grades ; l'ajout de nouveaux titres et la suppression de postes vacants sont effectués sur décision du Conseil, sans dépasser le nombre total de postes, et sont conformes aux titres figurant dans les tableaux annexés du décret-loi n° 190 sur les postes et procédures généraux, en date du 13/12/1983.
CHAPITRE SEPT
Divers
Exceptions
ARTICLE 28 – (1) Les dispositions de cette loi ne s'appliquent pas dans les cas suivants :
a) lorsque des données personnelles sont traitées par des personnes physiques dans le cadre d'activités purement personnelles de la personne concernée ou de membres de sa famille vivant avec elle dans le même logement, à condition qu'elles ne soient pas divulguées à des tiers et que les obligations relatives à la sécurité des données soient respectées,
b) lorsque des données personnelles sont traitées à des fins statistiques officielles et à des fins de recherche, de planification et de statistiques après avoir été anonymisées,
(c) lorsque des données personnelles sont traitées à des fins artistiques, historiques, littéraires ou scientifiques, ou dans le cadre de la liberté d'expression, à condition que la défense nationale, la sécurité nationale, l'ordre public, la sécurité économique, le droit à la vie privée ou les droits personnels ne soient pas violés ou qu'aucune infraction ne soit commise,
(ç) lorsque des données personnelles sont traitées dans le cadre d'activités de prévention, de protection et de renseignement menées par des institutions et organisations publiques dûment autorisées et mandatées pour maintenir la défense nationale, la sécurité nationale, l'ordre public, la sécurité publique ou la sécurité économique,
(d) lorsque des données personnelles sont traitées par des autorités judiciaires ou des autorités d'exécution dans le cadre d'enquêtes, de poursuites pénales, de procédures judiciaires ou d'exécution.
Budget et revenus de l'Autorité
ARTICLE 29 – (1) Le budget de l'Autorité est préparé et adopté conformément aux procédures et principes prévus par la loi n° 5018.
(2) Les revenus de l'Autorité sont les suivants :
a) les subventions du budget général,
b) les revenus des biens meubles et immeubles de l'Autorité,
c) les dons et subventions reçus,
ç) les revenus de l'utilisation des revenus,
d) autres revenus.
Articles modifiés et ajoutés
ARTICLE 30 – (1) La ligne suivante a été ajoutée au tableau (III) annexé à la loi n° 5018 :
« 10) Autorité de protection des données personnelles ».
(2) L'expression « Toute personne » au deuxième paragraphe de l'article 135 de la loi n° 5237 a été modifiée en « Toute personne physique ou donnée personnelle, toute personne » ; et l'expression « Toute personne qui enregistre les informations en tant que données personnelles sera punie conformément aux dispositions du paragraphe ci-dessus. » a été modifiée en « la peine à infliger conformément au premier paragraphe est augmentée de moitié. »
(3) L'expression « enfants » au troisième paragraphe de l'article 226 de la loi n° 5237 a été modifiée en « enfants, images symboliques d'enfants ou personnes ayant une apparence juvénile ».
(4) L'expression « et » au premier paragraphe de l'article 243 de la loi n° 5237 a été modifiée en « ou », et le paragraphe suivant a été ajouté :
« (4) Les personnes qui surveillent illégalement la transmission de données entre des systèmes d'information ou au sein d'un système d'information sans accéder au système sont punies d'une peine d'emprisonnement d'un à trois ans. »
(5) L'article suivant a été ajouté après l'article 245 de la loi n° 5237 :
« Dispositifs ou programmes interdits »
Article 245/A – Si un dispositif, un programme informatique, un mot de passe ou un autre code de sécurité est fabriqué, importé, expédié, transféré, stocké, accepté, vendu, fourni, loué à une autre personne ou possédé dans le but de commettre les infractions énumérées exclusivement dans cette partie et celles qui peuvent être commises au moyen d'un système d'information, la personne concernée est punie d'une peine d'emprisonnement d'un à trois ans et d'une amende pouvant aller jusqu'à cinq mille jours.
(6) Le sous-paragraphe (f) du premier paragraphe de l'article 3 de la loi n° 3359 du 7/5/1987 a été modifié comme suit :
« f) Afin de surveiller l'état de santé de tous et de garantir que les services de santé sont fournis de manière plus rapide et plus efficace, le ministère de la Santé et les institutions qui lui sont affiliées établiront le système d'enregistrement et de notification nécessaire. Ce système peut également être établi dans un environnement électronique conformément aux pratiques de l'e-gouvernement. Pour ce faire, un système d'information national peut être établi par le ministère de la Santé. »
(7) L'article 47 du décret-loi n° 663 du 11/10/2011 sur l'organisation et les fonctions du ministère de la Santé et des institutions qui lui sont affiliées a été modifié comme suit :
« Article 47 – (1) Les données personnelles fournies obligatoirement dans le cadre des services de santé ou fournies en relation avec les services reçus par les personnes qui demandent des services de santé auprès d'établissements et de professionnels de santé publics ou privés peuvent être traitées.
(2) Le ministère peut traiter les données obtenues dans le cadre du premier paragraphe afin de fournir des services de santé, de protéger la santé publique, de mener des activités de médecine préventive, de diagnostic médical, de traitement et de soins, et de planifier et de calculer les coûts des services de santé. Ces données ne peuvent être transférées que dans les conditions prévues par la loi sur la protection des données personnelles.
(3) Le ministère met en place un système permettant aux personnes concernées elles-mêmes ou à toute tierce personne autorisée par elles d'accéder aux données personnelles collectées et traitées conformément au deuxième paragraphe.
(4) Les normes relatives à la sécurité et à la fiabilité des systèmes établis conformément au troisième paragraphe sont déterminées par le ministère conformément aux principes établis par le Conseil de protection des données personnelles. Le ministère prend les mesures nécessaires pour assurer la sécurité des données personnelles de santé obtenues conformément à la présente loi. À cette fin, le ministère établit un système de sécurité permettant la supervision de l'objectif et de l'utilisation des données enregistrées dans le système par les fonctionnaires compétents.
(5) Les institutions et organisations publiques, les personnes physiques et morales de droit privé qui emploient du personnel de santé sont tenues d'informer le ministère des mouvements de personnel et des personnes employées.
(6) D'autres questions relatives au traitement et à la sécurité des données personnelles de santé et à la mise en œuvre de la présente loi sont réglées par un règlement à établir par le ministère. »
(8) Les règlements nécessaires à la mise en œuvre de cette loi sont établis par l'Autorité.
Règlement
ARTICLE 31 – (1) Les règlements nécessaires à la mise en œuvre de cette loi sont établis par l'Autorité.
Dispositions transitoires
DISPOSITION TRANSITOIRE (1) – Les membres du Conseil sont élus et la structure organisationnelle de la Présidence est établie dans les six mois suivant la date de publication de cette loi, conformément à la procédure prévue à l'article 21.
(2) Les responsables du traitement sont tenus de s'inscrire au Registre des responsables du traitement dans le délai et selon les modalités fixés et annoncés par le Conseil.
(3) Les données personnelles traitées avant la date de publication de cette loi doivent être mises en conformité avec les dispositions de cette loi dans les deux ans suivant sa date de publication. Les données personnelles qui sont constatées être en infraction avec les dispositions de cette loi doivent être immédiatement supprimées, détruites ou anonymisées. Toutefois, les consentements dûment obtenus avant la date de publication de cette loi sont considérés comme conformes aux dispositions de cette loi, sauf notification contraire dans l'année suivant la date de publication.
(4) Les règlements prévus par cette loi sont établis dans l'année suivant sa date de publication.
(5) Dans l'année suivant la date de publication de cette loi, un haut fonctionnaire est nommé et notifié au Conseil afin d'assurer la coordination de la mise en œuvre de la loi au sein des institutions et organisations publiques.
(6) La durée du premier mandat du Président, du Vice-Président et des deux membres désignés par tirage au sort est de six ans ; cette période est de quatre ans pour les cinq autres membres.
(7) Jusqu'à ce que le budget de l'Autorité soit alloué :
a) les dépenses de l'Autorité sont remboursées par le budget du bureau du Premier ministre,
b) le bureau du Premier ministre fournit à l'Autorité tous les services de soutien nécessaires, tels que les locaux, l'équipement, le mobilier et le matériel informatique, afin que l'Autorité puisse remplir ses fonctions.
(8) Les travaux de secrétariat de l'Autorité sont effectués par le bureau du Premier ministre jusqu'à ce que les unités de service de l'Autorité soient pleinement opérationnelles.
Entrée en vigueur
ARTICLE 32 – (1) Pour les besoins de cette loi :
a) Les articles 8, 9, 11, 13, 14, 15, 16, 17 et 18 entrent en vigueur six mois après la date de publication.
b) Les autres articles entrent en vigueur à la date de publication.
Exécution
ARTICLE 33 – Les dispositions de cette loi sont exécutées par le Conseil des ministres.
