Nomination du Président et des Membres de l’Autorité de Protection des Données Personnelles : Connaître leurs Missions et Compétences

Après environ cinq ans depuis l’adoption de la loi relative à la protection des données à caractère personnel, le 9 juin dernier, le Président de la République, Mohamed Ould Cheikh El Ghazouani , a émis un décret nommant le Président et les membres de l’autorité créée par cette loi.

Le projet de loi avait été adopté en séance publique du Parlement le 22 juin 2017 et signé par l’ancien Président de la République, Mohamed Ould Abdel Aziz, le 22 juillet de la même année. Le Conseil des Ministres a approuvé le décret créant la nouvelle autorité et définissant sa composition et son fonctionnement le 15 décembre 2021.

Quelle est cette nouvelle autorité ? Quelles sont
ses missions ? Qu’en est-il de la composition, de l’adhésion et des conflits
d’intérêts potentiels ? Quelles sont ses compétences pour réguler le domaine ?
Quelles sanctions peuvent être appliquées en cas d’infraction ?

Utilisation qui ne menace pas les libertés publiques et la vie privée

Selon l’article 64 de la loi portant création de l’Autorité de Protection des Données à Caractère Personnel, celle-ci relève du Premier ministre. C’est une personne morale de droit public bénéficiant d’une autonomie financière et administrative.

La dernière phrase de l’article 64 stipule que l’Autorité « informe les personnes concernées et les responsables de traitement de leurs droits et obligations, et veille à ce que l’utilisation des technologies de l’information et de la communication ne menace pas les libertés publiques et la vie privée ».

Cette phrase résume les objectifs globaux de l’Autorité, qui est chargée de veiller à ce que le traitement des données à caractère personnel en République Islamique de Mauritanie soit conforme aux dispositions de la loi.

Par exemple, l’article 12 de cette loi stipule qu’il est « interdit de collecter et de traiter des données révélant l’origine raciale, ethnique, linguistique, régionale, la filiation, les opinions politiques, les croyances religieuses ou philosophiques, l’appartenance syndicale, la vie sexuelle ou les données génétiques, ainsi que, de manière générale, les données relatives à la santé de la personne concernée ».

De même, le deuxième paragraphe de l’article 18 stipule que « les données à caractère personnel ne sont pas communiquées à des tiers ni utilisées à des fins promotionnelles, sauf si la personne concernée a exprimé son consentement explicite ».

Composition : Représentation des Trois Pouvoirs

Le décret relatif à la composition, à l’organisation et au fonctionnement de l’Autorité de Protection des Données à Caractère Personnel stipule qu’elle est composée de sept membres, y compris le président, « choisis pour leurs compétences juridiques et/ou techniques ». Leur nomination est effectuée par le Président de la République.

Selon le même décret, la composition inclut des parlementaires proposés par le Président de l’Assemblée nationale, et trois personnalités qualifiées pour leur expertise en technologie de l’information et/ou en nouvelles technologies de l’information, dont un membre proposé par le Premier ministre, un autre par le ministre chargé de la transformation numérique, de l’innovation et de la modernisation de l’administration, et un troisième proposé par le ministre chargé du commerce et de l’industrie.

La composition comprend également un magistrat désigné sur proposition du Président de la Cour Suprême, et un avocat désigné sur proposition du Bâtonnier de l’Ordre des Avocats.

Fonctions Incompatibles avec l’Adhésion

Les membres de l’Autorité de Protection des Données à Caractère Personnel sont nommés pour un mandat de quatre ans renouvelable une fois, selon l’article 67 de la loi mentionnée. Ils sont tenus au secret professionnel et ne peuvent être révoqués ou démis de leurs fonctions, sauf en cas de faute grave, de démission ou d’empêchement.

L’adhésion à cette autorité est incompatible avec la qualité de membre du gouvernement ou l’exercice des fonctions de directeur d’une institution ou la détention d’actions dans des institutions du secteur de l’informatique ou des communications électroniques. Les membres doivent informer l’autorité des intérêts directs ou indirects qu’ils détiennent ou envisagent d’acquérir, ainsi que des fonctions qu’ils exercent ou envisagent d’exercer, ou de tout mandat qu’ils occupent ou envisagent d’occuper auprès d’une personne morale.

Selon l’article 70 de la loi sur la protection des données personnelles, les membres et les agents de l’autorité prêtent le serment suivant devant la Cour Suprême en session officielle avant d’exercer leurs fonctions :

« Je jure par Allah le Tout-Puissant de remplir fidèlement et honnêtement ma fonction de membre de l’Autorité de Protection des Données à Caractère Personnel avec indépendance et impartialité, et de garder le secret des délibérations. »

Réception des Demandes et Plaintes et Fourniture de Conseils

L’article 73 de la loi précitée définit les missions de l’Autorité de Protection des Données à Caractère Personnel, notamment la réception des procédures préalables à la création de traitements de données, ainsi que des plaintes et réclamations. Elle informe le procureur de la République des infractions dont elle a connaissance et peut engager des actions en justice en cas de violation de la loi.

L’autorité peut proposer au gouvernement toute amélioration législative et réglementaire relative au traitement des données à caractère personnel. Elle fournit également des conseils aux personnes et entités utilisant de tels traitements ou menant des tests susceptibles d’y conduire.

L’autorité fixe les conditions et règles relatives aux transferts transfrontaliers de données à caractère personnel et les autorise si nécessaire. Elle coopère avec les autorités d’autres pays et participe aux négociations internationales en matière de protection des données personnelles.

L’Autorité de Protection des Données à Caractère Personnel élabore chaque année un rapport sur ses activités, qu’elle soumet au Premier ministre, au Parlement et au ministre chargé des communications électroniques.

Des Avertissements aux Sanctions de Plusieurs Millions

Les agents de l’autorité effectuent des audits concernant tout traitement de données à caractère personnel, obtenant si nécessaire des copies de tout document ou support d’information utile à leurs missions.

Les agents de l’autorité peuvent inspecter et examiner tous les documents nécessaires à l’accomplissement de leurs missions, en coordination avec les autorités judiciaires lorsque nécessaire.

L’autorité peut adresser des avertissements et des mises en demeure aux contrevenants, conformément à l’article 77 de la loi sur la protection des données personnelles. Les sanctions prévues par l’article 78 de la même loi incluent : le retrait temporaire de l’autorisation, le retrait définitif, une amende pouvant aller jusqu’à 50 millions d’ouguiyas anciennes, et l’emprisonnement de 15 jours à trois mois.

En cas d’urgence, l’Autorité de Protection des Données à Caractère Personnel peut suspendre temporairement le traitement ou fermer certaines données pendant trois mois, ou interdire temporairement ou définitivement un traitement non conforme aux dispositions de la loi, selon l’article 79.