Autorité de protection des données
Le Code du numérique congolais prévoit, dans ses articles 262 à 270, la création de l’Autorité de protection des données (APD). Toutefois, à ce jour, cette institution n’a pas encore été mise en place. Un décret du Premier Ministre, sur proposition du ministre ayant le numérique dans ses attributions. fixera l’organisation et le fonctionnement de l’Autorité de protection des données.
L’APD a pour mission de garantir que le traitement des données publiques et personnelles se conforme aux dispositions du Livre III du Code du numérique congolais. Ses responsabilités incluent :
- Répondre à toute demande d’avis ou recommandation portant sur un traitement de données publiques et personnelles ;
- Émettre de sa propre initiative des avis motivés ou des recommandations sur toute question relative à l’application des principes fondamentaux de la protection de la vie privée dans le cadre du présent Livre, ainsi que des lois contenant des dispositions relatives à la protection de la vie privée à l’égard des traitements de données publiques et personnelles ;
- Informer les personnes concernées et les responsables de traitements de leurs droits et obligations ;
- Autoriser ou refuser les traitements de fichiers dans un certain nombre de cas, notamment les fichiers sensibles ;
- Recevoir les formalités préalables à la création de traitements des données personnelles et le cas échéant autoriser ces traitements ;
- Recevoir, par la voie postale ou par voie électronique, les réclamations, les pétitions et les plaintes relatives à la mise en œuvre des traitements des données personnelles et informer leurs auteurs des suites données à celles-ci, notamment si un complément d’enquête ou une coordination avec une autre Autorité de protection nationale est nécessaire ;
- Effectuer, sans préjudice de toute action devant les tribunaux, des enquêtes, soit de sa propre initiative, soit à la suite d’une réclamation ou à la demande d’une autre Autorité de protection nationale, et informer la personne concernée, si elle l’a saisie d’une réclamation, du résultat de ses enquêtes dans un délai raisonnable ;
- Informer sans délai l’autorité judiciaire pour certains types d’infractions dont elle a connaissance ;
- Informer, sans délai, le Procureur de la république, conformément aux dispositions du code pénal, des violations des dispositions du présent Livre, constitutives d’infractions pénales ;
- Informer l’Assemblée nationale, le Gouvernement ou d’autres institutions politiques, ainsi que le public, de toute question relative à la protection des données publiques et personnelles ;
- Conduire de fréquentes consultations avec des parties prenantes sur des questions que l’Autorité considère comme pouvant nuire à la protection effective des données à caractère personnel pour les services, les installations, les appareils ou les annuaires au titre du présent Livre ;
- Requérir des experts ou agents assermentés, en vue de participer à la mise en œuvre des missions de vérification portant sur tout traitement des données à caractère personnel sur le territoire de la République Démocratique du Congo ;
- Veiller au respect des autorisations et consultations préalables ;
- Prononcer la rectification, l’effacement ou la destruction de toutes les données lorsqu’elles ont été traitées en violation des dispositions du présent Livre et la notification de ces mesures aux tiers auxquels les données ont été divulguées ;
- Demander au responsable du traitement ou au sous-traitant de satisfaire aux demandes d’exercice des droits prévus par les dispositions du présent Livre présentées par la personne concernée ;
- Prononcer des sanctions administratives et pécuniaires, à l’égard des responsables de traitement ;
- Mettre à jour un répertoire des traitements des données à caractère personnel et le mettre à disposition du public ;
- Surveiller les faits nouveaux présentant un intérêt, dans la mesure où ils ont une incidence sur la protection des données publiques et personnelles, notamment l’évolution des technologies de l’information et des communications et celle des pratiques commerciales ;
- Autoriser et surveiller les opérations de monétisation des données ;
- Informer le responsable du traitement ou le sous-traitant d’une violation alléguée des dispositions régissant le traitement des données à caractère personnel et, le cas échéant, d’ordonner au responsable du traitement ou à son sous-traitant de remédier à cette violation par des mesures déterminées, afin d’améliorer la protection de la personne concernée ;
- Conseiller les personnes physiques ou morales qui procèdent à des traitements des données à caractère personnel ou à des essais ou expériences de nature à aboutir à de tels traitements ;
- Autoriser ou refuser des transferts transfrontaliers de données à caractère personnel vers des États tiers ;
- Sensibiliser le public aux risques, aux règles, aux garanties et aux droits relatifs au traitement des données à caractère personnel. Les activités destinées spécifiquement aux enfants, personnes âgées ou personnes gravement malades ou à tous ceux qui ne peuvent pas être en mesure de comprendre la portée des activités qui leur sont proposées, font l’objet d’une attention particulière ;
- Faire des propositions de modifications législatives ou réglementaires susceptibles de simplifier et d’améliorer le cadre législatif et réglementaire à l’égard du traitement des données ;
- Homologuer les codes de conduite et recueillir et autoriser, le cas échéant, les projets, modifications ou prorogations desdits codes ;
- Mettre en place des mécanismes de coopération avec les autorités de protection des données publiques et personnelles d’États tiers pour le partage d’informations et l’assistance mutuelle ;
- Participer aux négociations internationales en matière de protection des données publiques et personnelles ;
- Assurer le renforcement de capacités des responsables de traitement ou leurs délégués, des sous-traitants et leurs préposés.
Pour l’accomplissement de ses missions, l’Autorité de protection des données pourra procéder par voie de recommandations et prendre des décisions individuelles dans les cas prévus par la présente ordonnance-loi.
Organisation
Les organes de l’Autorité de protection des données sont :
- L’Assemblée plénière ;
- Le Bureau ;
- Les Commissions permanentes.
L’Autorité de protection des données disposera d’un Secrétariat technique chargé des questions administratives, juridiques et financières. Elle aura une antenne dans chaque chef-lieu de province, chaque ville et au chef-lieu de territoire.
Les membres de l’Assemblée plénière sont nommés par Ordonnance du Président de la République sur proposition du Ministre ayant le numérique dans ses attributions pour une durée de 5 ans renouvelable une fois et sont soumis au contrôle parlementaire.