Le Président de la République,
Sur proposition du ministre de la justice et des droits de l’Homme,
Vu la loi organique n° 2004-63 du 27 juillet 2004, portant sur la protection des données à caractère personnel et notamment les articles 7, 8 et 81,
Vu le décret n°93-982 du 3 mai 1993, relatif à la relation entre l’administration et ses usagers, tel que modifié par le décret n° 2007-1259 du 21 mai 2007,
Vu le décret n° 94-1692 du 8 août 1994, relatif aux imprimés administratifs, tel que complété par le décret n° 2006-2967 du 13 novembre 2006,
Vu le décret n° 2007-1260 du 21 mai 2007, fixant les cas où le silence de l’administration vaut acceptation implicite,
Vu le décret n° 2007-3003 du 27 novembre 2007, fixant les modalités de fonctionnement de l’instance nationale de protection des données à caractère personnel,
Vu l’avis du tribunal administratif.
Décrète :
Article premier – Le présent décret fixe les conditions et les procédures de déclaration préalable et de demande d’autorisation pour le traitement des données à caractère personnel ainsi que les procédures de retrait de l’autorisation et de l’interdiction du traitement.
CHAPITRE PREMIER – Dispositions communes
Art. 2 – Toute opération de traitement des données à caractère personnel est soumise à une déclaration préalable ou à une autorisation dans les cas prévus par la loi organique relative à la protection des données à caractère personnel susvisée.
Art. 3 – Les déclarations préalables et les demandes d’autorisation de traitement des données à caractère personnel sont présentées par le biais de formulaires sous format papier ou dans une version électronique mise à la disposition du public.
Les formulaires doivent être signés personnellement par le responsable du traitement s’il s’agit d’une personne physique ou par le représentant légal pour la personne morale.
Art. 4 – La déclaration ou la demande d’autorisation est déposée directement à l’instance nationale de protection des données à caractère personnel contre récépissé ou envoyée par lettre recommandée avec accusé de réception ou par tout autre moyen laissant une trace écrite.
Art. 5 – L’instance nationale de protection des données à caractère personnel peut demander des informations supplémentaires ou d’autres documents nécessaires pour examiner la déclaration ou statuer sur la demande d’autorisation.
Dans le cas où un manque de protection suffisante des données est constaté, l’instance peut exiger du déclarant ou du demandeur d’autorisation de fournir des garanties supplémentaires.
Art. 6 – Dans le cas où des informations, garanties supplémentaires, ou autres documents nécessaires sont exigés au sens de l’article 5 du présent décret, l’instance nationale de protection des données à caractère personnel fixe à l’intéressé un délai pour fournir ce qui lui a été demandé. Dans ce cas, l’écoulement du délai légal pour examiner la déclaration ou statuer sur la demande d’autorisation est interrompu. Ce délai est compté de nouveau à partir de la date de fourniture de ce qui est demandé ou à partir de la réponse explicite négative de l’intéressé ou l’expiration du délai prévu à cet effet par l’instance sans fournir ce qui a été demandé.
Art. 7 – Dans le cas où l’intéressé ne fournit pas ce qui lui a été demandé dans le délai qui lui a été fixé, l’instance examine la déclaration ou statue sur la demande d’autorisation en l’état.
CHAPITRE II – La déclaration
Art. 8 – Le formulaire de déclaration préalable au traitement des données à caractère personnel comprend les informations suivantes :
– le nom, prénom et domicile du responsable du traitement, du sous-traitant et de leurs agents pour la personne physique, et s’il s’agit d’une personne morale, sa dénomination sociale, son siège social, l’identité de son représentant légal et le numéro d’immatriculation au registre de commerce, le cas échéant,
– l’identité des personnes concernées par les données à caractère personnel et leurs domiciles,
– les finalités du traitement et ses normes,
– les catégories du traitement, son lieu et la date du traitement,
– les données à caractère personnel dont le traitement est envisagé, ainsi que leur origine,
– les personnes ou les autorités susceptibles de prendre connaissance des données à caractère personnel en raison de leur fonction,
– les bénéficiaires des données à caractère personnel objet du traitement,
– le lieu de conservation des données à caractère personnel objet du traitement et sa durée,
– les mesures prises pour assurer la confidentialité des données à caractère personnel et leur sécurité,
– la description des bases de données auxquelles le responsable du traitement est interconnecté,
– l’engagement de procéder au traitement des données à caractère personnel conformément aux dispositions prévues par la loi,
– la déclaration que les conditions de la nationalité tunisienne, la résidence en Tunisie et l’absence d’antécédents judiciaires sont remplies pour le responsable du traitement des données à caractère personnel, le sous-traitant et leurs agents.
Art. 9 – Sans préjudice des dispositions de l’article 6 du présent décret, l’instance nationale de protection des données à caractère personnel examine la déclaration dans un délai ne dépassant pas un mois à partir de la date de son dépôt. Le défaut d’opposition dans le délai prévu vaut acceptation.
CHAPITRE III – L’autorisation
Art. 10 – Avant l’utilisation de moyens de vidéosurveillance, une autorisation doit être obtenue de l’instance nationale de protection des données à caractère personnel. Le formulaire de demande d’autorisation comprend, outre les informations prévues à l’article 8 de la loi organique relative à la protection des données à caractère personnel susvisée, les informations suivantes :
– le numéro d’immatriculation au registre de commerce, le cas échéant, pour la personne morale,
– la description globale des lieux où les moyens de vidéosurveillance sont installés,
– le but de l’utilisation des moyens de vidéosurveillance.
Art. 11 – Une autorisation doit aussi être obtenue de l’instance nationale de protection des données à caractère personnel avant l’exécution des opérations suivantes :
– la communication des données à caractère personnel aux tiers en l’absence du consentement de l’intéressé ou de ses héritiers ou de son tuteur,
– le transfert des données à caractère personnel vers l’étranger,
– la communication des données à caractère personnel relatives à la santé aux personnes ou établissements effectuant de la recherche scientifique dans le domaine de la santé,
– le traitement des données à caractère personnel qui concernent directement ou indirectement les origines raciales ou génétiques, les convictions religieuses, les opinions politiques, philosophiques ou syndicales ou la santé.
Le formulaire de la demande d’autorisation comprend, outre les informations prévues à l’article 8 de la loi organique relative à la protection des données à caractère personnel, les informations suivantes :
– le numéro d’immatriculation au registre de commerce, le cas échéant, pour la personne morale,
– les données à caractère personnel destinées au transfert et leur nature,
– le pays auquel les données à caractère personnel vont être transférées.
Art. 12 – Sans préjudice des dispositions de l’article 6 du présent décret, l’instance statue sur la demande d’autorisation dans un délai ne dépassant pas un mois à partir de la date de son dépôt. L’absence de réponse de sa part dans le délai prévu vaut refus implicite. L’instance peut décider l’octroi de l’autorisation après engagement du responsable du traitement de prendre des précautions et des mesures préventives nécessaires. Ces précautions et ces mesures lui sont communiquées d’une manière écrite.
L’instance ne peut octroyer la décision de l’autorisation au responsable du traitement qu’après avoir présenté l’engagement précité signé et légalisé.
CHAPITRE IV – Le retrait de l’autorisation ou l’interdiction du traitement
Art. 13 – Si le responsable du traitement ou le sous-traitant porte atteinte aux obligations légales auxquelles il est soumis, l’instance décide après son audition le retrait de l’autorisation ou l’interdiction du traitement.
L’instance peut, avant la prise de sa décision de retrait de l’autorisation ou d’interdiction du traitement, lui fixer un délai pour régulariser les manquements.
En cas d’urgence et si la poursuite du traitement objet de l’autorisation ou de la déclaration constitue une violation flagrante de la loi, l’instance peut interdire provisoirement le traitement, et ce, pour un délai ne dépassant pas un mois. Au cours de ce délai, une décision définitive de retrait de l’autorisation ou d’interdiction du traitement doit être prise.
Art. 14 – L’intéressé est convoqué par l’instance pour audition au moins sept jours avant la date prévue à cet effet, et ce, par lettre recommandée avec accusé de réception ou par tout autre moyen laissant une trace écrite.
Art. 15 – Le ministre de la justice et des droits de l’Homme est chargé de l’exécution du présent décret qui sera publié au Journal Officiel de la République Tunisienne.
Tunis, le 27 novembre 2007.
إن رئيس الجمهورية،
باقتراح من وزير العدل وحقوق الإنسان،
بعد الاطلاع على القانون الأساسي عدد 63 لسنة 2004 المؤرخ في 27 جويلية 2004 المتعلق بحماية المعطيات الشخصية وخاصة الفصول 7 و8 و81 منه،
وعلى الأمر عدد 982 لسنة 1993 المؤرخ في 3 ماي 1993 والخاص بالعلاقة بين الإدارة والمتعاملين معها، كما تم تنقيحه بالأمر عدد 1259 لسنة 2007 المؤرخ في 21 ماي 2007،
وعلى الأمر عدد 1692 لسنة 1994 المؤرخ في 8 أوت 1994 المتعلق بالمطبوعات الإدارية المتمّم بالأمر عدد 2967 لسنة 2006 المؤرخ في 13 نوفمبر 2006،
وعلى الأمر عدد 1260 لسنة 2007 المؤرخ في 21 ماي 2007 المتعلق بضبط الحالات التي يعتبر سكوت الإدارة عنها موافقة ضمنية،
وعلى الأمر عدد 3003 لسنة 2007 المؤرخ في 27 نوفمبر 2007 المتعلق بطرق سير الهيئة الوطنية لحماية المعطيات الشخصية،
وعلى رأي المحكمة الإدارية.
يصدر الأمر الآتي نصه :
الفصل 1 - يضبط هذا الأمر شروط وإجراءات تقديم التصريح المسبّق ومطلب الترخيص لمعالجة المعطيات الشخصية وكذلك إجراءات سحب الترخيص ومنع المعالجة.
الباب الأول - أحكام مشتركة
الفصل 2 - تخضع كل عملية معالجة لمعطيات شخصية لتصريح مسبّق أو لترخيص في الحالات التي اقتضاها القانون الأساسي المتعلق بحماية المعطيات الشخصية المشار إليه أعلاه.
الفصل 3 - يتم تقديم التصاريح المسبقة ومطالب الترخيص لمعالجة المعطيات الشخصية وفق نماذج تكون في شكل ورقي أو في صيغة إلكترونية توضع على ذمة العموم.
وتمضى المطبوعات من قبل المسؤول عن المعالجة شخصيّا إن كان شخصا طبيعيا أو من قبل الممثل القانوني بالنسبة إلى الشخص المعنوي.
الفصل 4 - يودع التصريح أو مطلب الترخيص، مقابل وصل، بالهيئة الوطنية لحماية المعطيات الشخصية أو يوجه بواسطة رسالة مضمونة الوصول مع الإعلام بالبلوغ للكتابة القارة للهيئة المذكورة أو بأي وسيلة أخرى تترك أثرا كتابيّا.
الفصل 5 - يمكن للهيئة الوطنية لحماية المعطيات الشخصية طلب بيانات إضافية أو وثائق أخرى ضرورية للنظر في التصريح أو البت في مطلب الترخيص.
كما يمكنها، إذا تبيّن لها عدم توفر الحماية الكافية للمعطيات، أن تطلب من المصرّح أو طالب الترخيص توفير ضمانات إضافية.
الفصل 6 - في صورة طلب بيانات أو ضمانات إضافية أو وثائق أخرى ضرورية، على معنى الفصل 5 من هذا الأمر، فإن الهيئة الوطنية لحماية المعطيات الشخصية تضبط أجلا للمعني بالأمر قصد توفير ما طلب منه.
وينقطع في هذه الحالة سريان الأجل المحدّد قانونا للنظر في التصريح أو البت في مطلب الترخيص ثم يعاد احتساب هذا الأجل من جديد ابتداء من تاريخ توفير المطلوب أو الجواب الصريح للمعني بالأمر بتعذّر ذلك أو انقضاء الأجل المحدّد من قبل الهيئة للغرض دون تقديم المطلوب.
الفصل 7 - في صورة عدم توفير المعني بالأمر لما طلب منه خلال الأجل الممنوح له، فإن الهيئة تنظر في التصريح أو تبتّ في طلب الترخيص على حالته.
الباب الثاني - في التصريح
الفصل 8 - تتضمن مطبوعة التصريح المسبّق لمعالجة المعطيات الشخصية البيانات التالية :
- اسم ولقب ومقرّ المسؤول عن معالجة المعطيات الشخصية والمناول، وأعوانهما بالنسبة للشخص الطبيعي، وإن كان شخصا معنويا فتسميته ومقره الاجتماعيين وهوية ممثله القانوني وعدد ترسيمه بالسجل التجاري عند الاقتضاء،
- هوية الأشخاص المعنيين بالمعطيات الشخصية ومقرّاتهم،
- أهداف المعالجة ومواصفاتها،
- أصناف المعالجة ومكانها وتاريخ بدايتها،
- المعطيات الشخصية المطلوب معالجتها ومصدرها،
- الأشخاص أو الجهات الذين يمكنهم الاطلاع على المعطيات الشخصية بحكم عملهم،
- الجهة المستفيدة من المعطيات الشخصية موضوع المعالجة،
- مكان حفظ المعطيات الشخصية موضوع المعالجة ومدّته،
- التدابير المتخذة للحفاظ على سرية المعطيات الشخصية وأمانها،
- بيان قواعد البيانات التي للمسؤول عن المعالجة ربط بينيّ معها،
- الالتزام بمباشرة معالجة المعطيات الشخصية وفق المقتضيات المستوجبة قانونا،
- التصريح بتوفّر شروط الجنسية التونسية والإقامة بالبلاد التونسية ونقاوة السوابق العدلية في المسؤول عن معالجة المعطيات الشخصية والمناول وأعوانهما.
الفصل 9 - مع مراعاة أحكام الفصل 6 من هذا الأمر، تنظر الهيئة الوطنية لحماية المعطيات الشخصية في التصريح لمعالجة المعطيات الشخصية في أجل لا يتجاوز الشهر من تاريخ تقديمه ويعتبر عدم اعتراضها خلال الأجل المذكور قبولا.
الباب الثالث - في الترخيص
الفصل 10 - يجب الحصول على ترخيص من الهيئة الوطنية لحماية المعطيات الشخصية قبل استعمال وسائل المراقبة البصرية، وتتضمن مطبوعة طلب الترخيص البيانات التي اقتضاها الفصل 8 من القانون الأساسي المتعلق بحماية المعطيات الشخصية المشار إليه أعلاه والبيانات الأخرى التالية :
- عدد الترسيم بالسجل التجاري عند الاقتضاء بالنسبة إلى الشخص المعنوي،
- وصف شامل للأماكن التي ستركّز بها وسائل المراقبة البصرية،
- الغرض من استعمال وسائل المراقبة البصرية.
الفصل 11 - يجب الحصول على ترخيص أيضا من الهيئة الوطنية لحماية المعطيات الشخصية قبل القيام بالأعمال التالية :
- إحالة المعطيات الشخصية إلى الغير رغم عدم موافقة المعني بالأمر أو ورثته أو وليّه،
- نقل المعطيات الشخصية إلى الخارج،
- إحالة المعطيات الشخصية المتعلقة بالصحة إلى أشخاص أو مؤسسات تقوم بنشاط البحث العلمي في مجال الصحة،
- معالجة المعطيات الشخصية التي تتعلق بصفة مباشرة أو غير مباشرة بالأصول العرقية أو الجينية أو بالمعتقدات الدينية أو بالأفكار السياسية أو الفلسفية أو النقابية أو بالصحة.
وتتضمن مطبوعة طلب الترخيص بالنسبة إلى هذه الأعمال البيانات التي اقتضاها الفصل 8 من القانون الأساسي المتعلق بحماية المعطيات الشخصية والبيانات الأخرى التالية:
- عدد الترسيم بالسجل التجاري عند الاقتضاء بالنسبة إلى الشخص المعنوي،
- المعطيات الشخصية المعدة للإحالة وطبيعتها
- البلاد التي ستحال إليها المعطيات الشخصية.
الفصل 12 - مع مراعاة أحكام الفصل 6 من هذا الأمر، تبتّ الهيئة في طلب الترخيص في أجل لا يتجاوز شهرا من تاريخ تقديمه. ويعتبر عدم جوابها خلال الأجل المذكور رفضا ضمنيّا.
ويمكن للهيئة أن تقرّر منح الترخيص بعد أن يلتزم المسؤول عن المعالجة باتخاذ احتياطات أو إجراءات وقائية ضرورية يتم إعلامه بها كتابيا. ولا يمكن للهيئة أن تمدّ المسؤول عن المعالجة بقرار الترخيص إلا بعد إدلائه بالالتزام المذكور ممضى ومعرّف به.
الباب الرابع - في سحب الترخيص أو منع المعالجة
الفصل 13 - إذا أخلّ المسؤول عن المعالجة أو المناول بالواجبات القانونية المحمولة عليه، للهيئة أن تقرّر بعد سماعه سحب الترخيص أو منع المعالجة.
كما يمكن لها، قبل اتخاذ قرارها بسحب الترخيص أو بمنع المعالجة، منحه أجلا لتدارك الإخلالات.
وفي حالة التأكد، وإذا كان التمادي في المعالجة موضوع الترخيص أو التصريح يمثل خرقا واضحا للقانون، فإنه يمكن للهيئة منع المعالجة بصفة مؤقتة لأجل أقصاه شهر يتم خلاله اتخاذ القرار النهائي بسحب الترخيص أو منع المعالجة.
الفصل 14 - يتم استدعاء المعني قصد سماعه من قبل الهيئة قبل سبعة أيام على الأقل من الموعد المحدّد لسماعه وذلك بواسطة رسالة مضمونة الوصول أو بأي وسيلة أخرى تترك أثرا كتابيا.
الفصل 15 - وزير العدل وحقوق الإنسان مكلّف بتنفيذ هذا الأمر الذي ينشر بالرائد الرسمي للجمهورية التونسية.
تونس في 27 نوفمبر 2007.
Nous sommes ravis d'annoncer le lancement réussi de notre nouvelle conception de base de données juridiques, dans le cadre de l'engagement continu de DCAF envers nos utilisateurs précieux. Cette mise à jour introduit un ensemble d'améliorations, comprenant une interface rationalisée et conviviale ainsi que des fonctionnalités améliorées, garantissant un accès facile aux informations essentielles.
Nous sommes très fiers de fournir cette amélioration significative et nous réaffirmons notre dévouement à vous offrir un service d'excellence. Nous exprimons notre sincère gratitude pour votre confiance et votre soutien continu.