Vous êtes sur la page 1sur 21

Loi portant sur la Protection des Donnes Caractre Personnel

Loi organique n 2004-63 du 27 juillet 2004, portant sur la protection des donnes caractre personnel Discussion et adoption par la chambre des dputs dans sa sance du 21 juillet 2004. JORT n 61, pages 1988 et suiv.

Au nom du peuple, La chambre des dputs ayant adopt. Le Prsident de la Rpublique promulgue la loi organique dont la teneur suit

CHAPITRE I. - Dispositions gnrales


Article premier. - Toute personne a le droit la protection des donnes caractre personnel relatives sa vie prive comme tant l'un des droits fondamentaux garantis par la constitution et ne peuvent tre traites que dans le cadre de la transparence, la loyaut et le respect de la dignit humaine et conformment aux dispositions de la prsente loi. Art. 2. - La prsente loi s'applique au traitement automatise. ainsi qu'au traitement non automatis des donnes caractre personnel mis en uvre par des personnes physiques ou par des personnes morales. Art. 3. - La prsente loi ne s'applique pas au traitement des donnes caractre personnel ayant des finalits ne dpassant pas l'usage personnel ou familial condition de ne pas les transmettre aux tiers. Art 4. - Au sens de la prsente loi, on entend par donnes caractre personnel toutes les informations quelle que soit leur origine ou leur forme et qui permettent directement ou indirectement d'identifier une personne physique ou la rendent identifiable, l'exception des informations lies la vie publique ou considres comme telles par la loi. Art. 5. - Est rpute identifiable, la personne physique susceptible d'tre identifie, directement ou indirectement, travers plusieurs donnes ou symboles qui concernent notamment son identit, ses caractristiques physiques, physiologiques, gntiques, psychologiques, sociales, conomiques ou culturelles. Art. 6. - Au sens de la prsente loi, on entend par : traitement des donnes caractre personnel : les oprations ralises d'une faon automatise ou manuelle par une personne physique ou morale, et qui ont pour but notamment la collecte, l'enregistrement, la conservation, l'organisation, la modification, l'exploitation, l'utilisation, l'expdition, la distribution, la diffusion ou la destruction ou la consultation des donnes caractre personnel, ainsi que toutes les oprations relatives l'exploitation de bases des donnes, des index, des rpertoires, des fichiers, ou l'interconnexion.

Fichier : ensemble des donnes caractre personnel structur et regroup susceptible d'tre consult selon des critres dtermins et permettant d'identifier une personne dtermine. Personne concerne : toute personne physique dont les donnes caractre personnel font l'objet d'un traitement. Responsable du traitement : toute personne physique ou morale qui dtermine les finalits et les moyens du traitement des donnes caractre personnel. Tiers : toute personne physique ou morale ou l'autorit publique ainsi que leurs subordonns, l'exception de la personne concerne, le bnficiaire, le responsable du traitement, le sous-traitant ainsi que leurs subordonns. Sous-traitant : toute personne physique ou morale qui traite des donnes caractre personnel pour le compte du responsable du traitement. LInstance : l'Instance Nationale de Protection des Donnes Caractre Personnel. Communication : le fait de donner, de remettre ou de porter des donnes caractre personnel la connaissance d'une ou de plusieurs personnes autres que la personne concerne, sous quelque forme que ce soit et par n'importe quel moyen. Interconnexion : le fait de procder la corrlation des donnes contenues dans un ou plusieurs fichiers dtenus par un ou d'autres responsables. Bnficiaire : toute personne physique ou morale recevant des donnes caractre personnel.

CHAPITRE II. Conditions du traitement des donnes caractre personnel


Section I - Des procdures prliminaires du traitement des donnes caractre personnel Art. 7. - Toute opration de traitement des donnes caractre personnel est soumise une dclaration pralable dpose au sige de l'instance nationale de protection des donnes caractre personnel contre rcpiss ou notifie par lettre recommande avec accus de rception ou par tout autre moyen laissant une trace crite. La dclaration est effectue par le responsable du traitement ou son reprsentant lgal. La dclaration n'exonre pas de la responsabilit l'gard des tiers. Les conditions et les procdures de la prsentation de la dclaration sont fixes par dcret. La non opposition de l'Instance au traitement des donnes caractre personnel, dans un dlai d'un mois compter de la prsentation de la dclaration, vaut acceptation. Art. 8. - Dans les cas o la prsente loi exige l'obtention d'une autorisation de L'Instance pour le traitement des donnes caractre personnel, la demande d'autorisation doit comprendre notamment les informations suivantes :

le nom, prnom et domicile du responsable du traitement, et s'il est une personne morale, sa dnomination sociale, son sige social et l'identit de son reprsentant lgal ; l'identit des personnes concernes par les donnes caractre personnel et leurs domiciles ; les finalits du traitement et ses normes ; les catgories du traitement, son lieu et la date du traitement ; les donnes caractre personnel dont le traitement est envisag, ainsi que leur origine; les personnes ou les autorits susceptibles de prendre connaissance de ces donnes eu gard leur fonction ; les bnficiaires des donnes objet du traitement ; le lieu de conservation des donnes caractre personnel objet du traitement et sa dure ; les mesures prises pour assurer la confidentialit du traitement et sa scurit ; la description des bases des donnes auxquelles le responsable du traitement est interconnect ; l'engagement de procder au traitement des conformment aux dispositions prvues par la loi ; donnes caractre personnel

la dclaration que les conditions prvues par l'article 22 de la prsente loi sont runies; En cas de changement intervenant dans les mentions numrs ci-dessus, l'autorisation de L'Instance doit tre obtenue. La demande d'autorisation est prsente par le responsable du traitement ou son reprsentant lgal. L'autorisation n'exonre pas de la responsabilit regard des tiers. Les conditions de la prsentation de la demande d'autorisation et ses procdures sont fixes par dcret. Section II - Du responsable du traitement des donnes caractre personnel et de ses obligations Art. 9. - Le traitement des donnes caractre personnel doit se faire dans le cadre du respect de la dignit humaine, de la vie prive et des liberts publiques. Le traitement des donnes caractre personnel, quelle que soit son origine ou sa forme, ne doit pas porter atteinte aux droits des personnes protgs par les lois et les rglements en vigueur, et il est, dans tous les cas, interdit d'utiliser ces donnes pour porter atteinte aux personnes ou leur rputation.

Art. 10. - La collecte des donnes caractre personnel ne peut tre effectue que pour des finalits licites, dtermines et explicites. Art. 11. - Les donnes caractre personnel doivent tre traites loyalement et dans la limite ncessaire au regard des finalits pour lesquelles elles ont t collectes. Le responsable du traitement doit galement s'assurer que ces donnes sont exactes, prcises et mises jour. Art. 12. - Le traitement des donnes caractre personnel ne peut tre effectu pour des finalits autres que celles pour lesquelles elles ont t collectes sauf dans les cas suivants : si la personne concerne a donn son consentement. si le traitement est ncessaire la sauvegarde d'un intrt vital de la personne concerne ; si le traitement mis en uvre est ncessaire des fins scientifiques certaines. Art. 13. - Est interdit le traitement des donnes caractre personnel relatives aux infractions, leur constatation, aux poursuites pnales, aux peines, aux mesures prventives ou aux antcdents judiciaires. Art. 14. - Est interdit le traitement des donnes caractre personnel qui concernent, directement ou indirectement, l'origine raciale ou gntique, les convictions religieuses, les opinions politiques, philosophiques ou syndicales, ou la sant. Toutefois, le traitement vis au paragraphe prcdent est possible lorsqu'il est effectu avec le consentement exprs de la personne concerne donn par n'importe quel moyen laissant une trace crite, ou lorsque ces donnes ont acquis un aspect manifestement public, ou lorsque ce traitement s'avre ncessaire des fins historiques ou scientifiques ou lorsque ce traitement est ncessaire la sauvegarde des intrts vitaux de la personne concerne. Le traitement des donnes caractre personnel relatives la sant est rgi par les dispositions du cinquime chapitre de la prsente loi. Art. 15. - Le traitement des donnes caractre personnel mentionnes par l'article 14 de la prsente loi est soumis l'autorisation de L'Instance Nationale de Protection des donnes Caractre Personnel l'exception des donnes relatives la sant.

L'instance doit donner sa rponse concernant la demande d'autorisation dans un dlai ne dpassant pas trente jours compter de la date de sa rception. Le dfaut de rponse dans ce dlai vaut refus. L'instance peut dcider d'accepter la demande tout en imposant au responsable du traitement l'obligation de prendre des prcautions ou des mesures qu'elle juge ncessaires la sauvegarde de l'intrt de la personne concerne. Art. 16. - Les dispositions des articles 7, 8, 27, 28, 31 et 47 de la prsente loi ne s'appliquent pas au traitement des donnes caractre personnel concernant la situation

professionnelle de l'employ, lorsque ledit traitement a t effectu par l'employeur et s'avre ncessaire au fonctionnement du travail et son organisation. Les dispositions des articles cits au paragraphe prcdent ne s'appliquent pas au traitement des donnes caractre personnel qu'exige le suivi de l'tat de sant de la personne concerne. Art. 17. - Il est, dans tous les cas, strictement interdit de lier la prestation d'un service ou l'octroi d'un avantage une personne son acceptation du traitement de ses donnes personnelles ou de leur exploitation des fins autres que celles pour lesquelles elles ont t collectes. Art. 18. - Toute personne qui effectue personnellement ou par une tierce personne, le traitement des donnes a caractre personnel est tenue regard des personnes concernes de prendre toutes les prcautions ncessaires pour assurer la scurit de ces donnes et empcher les tiers de procder leur modification, leur altration ou leur consultation sans l'autorisation de la personne concerne. Art. 19. - Les prcautions prvues l'article 18 de la prsente loi doivent : empcher que les quipements et les installations utiliss dans le traitement des donnes caractre personnel soient placs dans des conditions ou des lieux permettant des personnes non autorises d'y accder ; empcher que les supports des donnes puissent tre lus, copis, modifis ou dplacs par une personne non autorise ; empcher l'introduction non autorise de toute donne dans le systme d'information, ainsi que toute prise de connaissance, tout effacement ou toute radiation des donnes enregistres ; empcher que le systme de traitement d'information puisse tre utilis par des personnes non autorises ; garantir que puissent tre vrifis a posteriori l'identit des personnes ayant eu accs au systme d'information, les donnes qui ont t introduites dans le systme, le moment de cette introduction ainsi que la personne qui l'a effectue; empcher que les donnes puissent tre lues, copies, modifies, effaces ou radies, lors de leur communication ou du transport de leur support ; sauvegarder les donnes par la constitution de copies de rserve scurises. Art. 20. - Le responsable du traitement, lorsqu'il confie aux tiers certaines oprations de traitement ou leur totalit dans le cadre d'un contrat de sous-traitance, doit choisir scrupuleusement le sous-traitant. Le sous-traitant doit respecter les dispositions de la prsente loi et ne doit agir que dans les limites autorises par le responsable du traitement ; il doit disposer, en outre, de tous les moyens techniques ncessaires et appropris pour accomplir les missions dont il a la charge. Le responsable du traitement et le sous-traitant engagent leur responsabilit civile en cas de violation des dispositions de la prsente loi.

Art. 21. - Le responsable du traitement et le sous-traitant doivent corriger, complter, modifier ou mettre jour les fichiers dont ils disposent, et effacer les donnes caractre personnel de ces fichiers s'ils ont eu connaissance de l'inexactitude ou de l'insuffisance de ces donnes. Dans ce cas, le responsable du traitement et le sous-traitant doivent informer, la personne concerne et le bnficiaire de manire lgitime des donnes, de toute modification apporte aux donnes caractre personnel qu'il a reue prcdemment. La notification s'effectue dans un dlai de deux mois, compter de la date de la modification, par voie de lettre recommande avec accus de rception ou par n'importe quel moyen laissant une trace crite. Art. 22. - Sans prjudice des lois et rglements en vigueur, la personne physique ou le reprsentant lgal de la personne morale dsirant effectuer le traitement des donnes caractre personnel et leurs agents doivent remplir les conditions suivantes : tre de nationalit tunisienne. tre rsident en Tunisie ; tre sans antcdents judiciaires. Ces conditions s'appliquent galement au sous-traitant et ses agents. Art. 23. - Le responsable du traitement, le sous-traitant et leurs agents, mme aprs la fin du traitement ou la perte de leur qualit, doivent prserver la confidentialit des donnes personnelles et les informations traites l'exception de celles dont la diffusion a t accepte par crit par la personne concerne ou dans les cas prvus par la lgislation en vigueur. Art. 24. - Le responsable du traitement des donnes caractre personnel ou le soustraitant qui envisage de cesser dfinitivement son activit doit en informer L'instance trois mois avant la date de la cessation d'activit. En cas de dcs du responsable du traitement ou du sous-traitant ou de sa faillite ou en cas de dissolution de la personne morale, les hritiers, le syndic de faillite ou le liquidateur, selon la situation, doivent en informer l'Instance dans un dlai ne dpassant pas trois mois compter de la date de la survenance du fait. L'instance, dans un dlai ne dpassant pas un mois compter de la date de son information conformment au paragraphe prcdent, autorise la destruction des donnes caractre personnel. Art. 25. - L'instance peut dcider la communication des donnes caractre personnel en cas de cessation d'activit pour les motifs indiqus l'article prcdent, et ce, dans les deux cas suivants : 1) si elle juge que ces donnes sont utiles pour une exploitation des fins historiques et scientifiques ;

2) si celui qui a effectu la notification propose de communiquer toutes les donnes caractre personnel ou une partie une personne physique ou morale en dterminant avec prcision son identit. Dans ce cas, l'Instance peut dcider d'accepter la communication des donnes caractre personnel la personne propose. La communication effective ne s'effectue qu'aprs l'obtention de l'accord de la personne concerne, son tuteur ou de ses hritiers reu par n'importe quel moyen laissant une trace crite. En cas de non obtention de cet accord, dans un dlai de trois mois compter de la date de sa formulation, les donnes caractre personnel doivent tre dtruites. Art. 26. - En cas de cessation de l'activit du responsable du traitement ou du soustraitant pour les motifs indiqus l'article 24 de la prsente loi, la personne concerne, ses hritiers ou toute personne ayant intrt ou le ministre public peuvent, tout moment, demander de l'Instance de prendre toutes les mesures appropries pour la conservation et la protection des donnes caractre personnel, ainsi que leur destruction. L'Instance doit rendre sa dcision dans un dlai de dix jours compter de la date de sa saisine. Section III - Des droits de la personne concerne Sous-section I - Du consentement Art. 27. - A l'exclusion des cas prvus par la prsente loi ou les lois en vigueur, le traitement des donnes caractre personnel ne peut tre effectu qu'avec le consentement exprs et crit de la personne concerne ; si celle-ci est une personne incapable ou interdite ou incapable de signer, le consentement est rgi par les rgles gnrales de droit. La personne concerne ou son tuteur peut, tout moment, se rtracter. Art. 28. - Le traitement des donnes caractre personnel qui concerne un enfant ne peut s'effectuer qu'aprs l'obtention du consentement de son tuteur et de l'autorisation du juge de la famille. Le juge de la famille peut ordonner le traitement mme sans le consentement du tuteur lorsque l'intrt suprieur de l'enfant l'exige. Le juge de la famille peut, tout moment, revenir sur son autorisation. Art. 29. - Le traitement des donnes caractre personnel n'est pas soumis au consentement de la personne concerne lorsqu'il s'avre manifestement que ce traitement est effectu dans son intrt et que son contact se rvle impossible, ou lorsque l'obtention de son consentement implique des efforts disproportionns, ou si le traitement des donnes caractre personnel est prvu par la loi ou une convention dans laquelle la personne concerne est partie. Art. 30. - Le consentement au traitement des donnes caractre personnel sons une forme dtermine ou pour une finalit dtermine ne s'applique pas aux autres formes ou finalits.

Il est interdit d'utiliser le traitement des donnes caractre personnel des fins publicitaires sauf consentement exprs et particulier de la personne concerne, de ses hritiers ou de son tuteur. Le consentement cet gard est soumis aux rgles gnrales de droit. Lorsque la personne concerne est un enfant, les dispositions de l'article 28 de la prsente loi s'appliquent. Art. 31. - Aprs l'expiration du dlai fix par l'article 7 de la prsente loi pour l'opposition de l'Instance, il faut informer au pralable et par n'importe quel moyen laissant une trace crite les personnes concernes par la collecte des donnes caractre personnel de ce qui suit : la nature des donnes caractre personnel concernes par le traitement; les finalits du traitement des donnes caractre personnel ; le caractre obligatoire ou facultatif de leur rponse; les consquences du dfaut de rponse ; le nom de la personne physique ou morale bnficiaire des donnes, ou de celui qui dispose du droit d'accs et son domicile ; le nom et prnom du responsable du traitement ou sa dnomination sociale et, le cas chant, son reprsentant et son domicile ; leur droit d'accs aux donnes les concernant ; leur droit de revenir, tout moment, sur l'acceptation du traitement ; leur droit de s'opposer au traitement de leurs donnes caractre personnel ; la dure de conservation des donnes caractre personnel ; une description sommaire des mesures mises en oeuvre pour garantir la scurit des donnes caractre personnel ; le pays vers lequel le responsable du traitement entend, le cas chant, transfrer les donnes caractre personnel ; La notification s'effectue par lettre recommande avec accus de rception ou par n'importe quel moyen laissant une trace crite dans un dlai d'un mois au moins avant la date fixe pour le traitement des donnes caractre personnel. Sous-section II - Le droit d'accs Art. 32. - Au sens de la prsente loi, on entend par droit d'accs, le droit de la personne concerne, de ses hritiers ou de son tuteur de consulter toutes les donnes caractre personnel la concernant, ainsi que le droit de les corriger, complter, rectifier, mettre jour, modifier, clarifier ou effacer lorsqu'elles s'avrent inexactes, quivoques, ou que leur traitement est interdit.

Le droit d'accs couvre galement le droit d'obtenir une copie des donnes dans une langue claire et conforme au contenu des enregistrements, et sous une forme intelligible lorsqu'elles sont traites l'aide de procds automatiss. Art. 33. - On ne peut pralablement renoncer au droit d'accs. Art. 34. - Le droit d'accs est exerc par la personne concerne, ses hritiers ou son tuteur des intervalles raisonnables et de faon non excessive. Art. 35. - La limitation du droit d'accs de la personne concerne, de ses hritiers ou de son tuteur aux donnes caractre personnel la concernant n'est possible que dans les cas suivants : lorsque le traitement des donnes caractre personnel est effectu des fins scientifiques et condition que ces donnes n'affectent la vie prive de la personne concerne que d'une faon limite ; si le motif recherch par la limitation du droit d'accs est la protection de la personne concerne elle-mme ou des tiers. Art 36. - Lorsqu'il y a plusieurs responsables du traitement des donnes a caractre personnel ou lorsque le traitement est effectu par un sous-traitant, le droit d'accs est exerc auprs de chacun d'eux. Art. 37. - Le responsable du traitement automatis des donnes a caractre personnel et le sous-traitant doivent mettre en oeuvre les moyens techniques ncessaires pour permettre a la personne concerne, ses hritiers ou son tuteur l'envoi par voie lectronique de sa demande de rectification, de modification, de correction, ou d'effacement des donnes caractre personnel. Art. 38. - La demande d'accs est prsente par la personne concerne ou ses hritiers ou son tuteur par crit ou par n'importe quel moyen laissant une trace crite. La personne concerne, ses hritiers ou son tuteur peuvent demander de la mme manire l'obtention de copies des donnes dans un dlai ne dpassant pas un mois compter de ladite demande. Dans le cas o le responsable du traitement ou le sous-traitant refuse de permettre la personne concerne, ses hritiers ou son tuteur la consultation des donnes caractre personnel requises, ou diffre l'accs ces donnes, ou refuse de leur dlivrer une copie de ces donnes, la personne concerne, ses hritiers ou son tuteur peuvent prsenter une demande l'Instance dans un dlai maximum d'un mois compter de la date du refus. L'instance, aprs l'audition des deux parties et l'accomplissement des investigations ncessaires, peut ordonner la consultation des informations requises ou la dlivrance d'une copie de ces informations ou l'approbation du refus, et ce, dans un dlai ne dpassant pas un mois compter de la date de sa saisine. La personne concerne, ses hritiers ou son tuteur peuvent prsenter l'Instance, le cas chant, une demande afin de prendre toutes les mesures appropries pour empcher la destruction ou la dissimulation des donnes caractre personnel. L'instance doit statuer sur la demande dans un dlai de sept jours compter de la date de l'introduction de la demande.

La destruction ou la dissimulation de ces donnes est interdite ds la prsentation de la demande. Art. 39. - En cas de litige sur l'exactitude des donnes caractre personnel, le responsable du traitement et le sous-traitant doivent mentionner l'existence de ce litige jusqu' ce qu'il y soit statu. Art. 40. - La personne concerne, ses hritiers ou son tuteur, peut demander de rectifier les donnes caractre personnel la concernant, les complter, les modifier, les clarifier, les mettre jour, les effacer lorsqu'elles s'avrent inexactes, incompltes, ou ambigus, ou demander leur destruction lorsque leur collecte ou leur utilisation a t effectue en violation de la prsente loi. Elle peut en outre demander, sans frais et aprs l'accomplissement des procdures requises, la dlivrance d'une copie des donnes caractre personnel et indiquer ce qui n'a pas t ralis en ce qui concerne ces donnes. Dans ce cas, le responsable du traitement ou le sous-traitant doit lui dlivrer une copie des donnes demandes dans un dlai ne dpassant pas un mois compter de la date de la prsentation de la demande. En cas de refus, explicite ou implicite, de la demande l'Instance peut tre saisie dans un dlai ne dpassant pas un mois partir de la date d'expiration du dlai mentionn au paragraphe prcdent. Art. 41. - L'instance est saisie de tout litige relatif l'exercice du droit d'accs. Sous rserve des dlais spcifiques prvus par la prsente loi, l'instance doit rendre sa dcision dans un dlai d'un mois compter de la date de sa saisine. Sous-section III - Le droit d'opposition Art. 42. - La personne concerne, ses hritiers ou son tuteur, a le droit de s'opposer tout moment au traitement des donnes caractre personnel le concernant pour des raisons valables, lgitimes et srieuses, sauf dans les cas o le traitement est prvu par la loi ou est exig par la nature de l'obligation. En outre, la personne concerne, ses hritiers ou son tuteur, a le droit de s'opposer ce que les donnes caractre personnel la concernant soient communiques aux tiers en vue de les exploiter des fins publicitaires. L'opposition suspend immdiatement le traitement. Art. 43. - L'instance Nationale de Protection des Donnes Caractre Personnel est saisie de tout litige relatif l'exercice du droit d'opposition. L'instance doit rendre sa dcision dans le dlai prvu par l'article 41 de la prsente loi. Le juge de la famille statue sur les litiges relatifs l'opposition lorsque la personne concerne est un enfant.

CHAPITRE III. - De la collecte, conservation, effacement et destruction des donnes caractre personnel
Art. 44. - La collecte des donnes caractre personnel ne s'effectue qu'auprs des personnes concernes directement. La collecte des donnes caractre personnel opre auprs des tiers n'est admise qu'avec le consentement de la personne concerne, de ses hritiers ou de son tuteur. Le consentement n'est pas requis lorsque la collecte des donnes auprs des tiers est prvue par la loi, ou lorsque la collecte auprs de la personne concerne implique des efforts disproportionns, ou s'il s'avre manifestement que la collecte n'affecte pas ses intrts lgitimes, ou lorsque la personne concerne est dcde. Lorsque la personne concerne est un enfant, les dispositions de l'article 28 de la prsente loi s'appliquent. Art. 45. - Les donnes caractre personnel doivent tre dtruites ds l'expiration du dlai fix sa conservation dans la dclaration ou l'autorisation ou les lois spcifiques ou en cas de ralisation des finalits pour lesquelles elles ont t collectes ou lorsqu'elles deviennent inutiles pour l'activit du responsable du traitement. Il est tabli un procsverbal par huissier de justice et en prsence d'un expert dsign par l'Instance. Les honoraires de l'expert fixs par la l'Instance et les frais de l'huissier de justice sont la charge du responsable du traitement. Art. 46. - Les donnes caractre personnel communiques ou susceptibles d'tre communiques aux personnes vises l'article 53 de la prsente loi ne peuvent tre dtruites ou radies qu'aprs l'obtention de l'avis desdites personnes ainsi que l'autorisation de l'Instance Nationale de Protection des Donnes caractre personnel. L'instance statue sur la demande dans un dlai ne dpassant pas un mois partir de son introduction.

CHAPITRE IV. - De la communication et du transfert des donnes caractre personnel


Art. 47. - Il est interdit de communiquer des donnes caractre personnel aux tiers sans le consentement exprs donn par n'importe quel moyen laissant une trace crite, de la personne concerne, de ses hritiers ou de son tuteur sauf si ces donnes sont ncessaires l'exercice des missions confies aux autorits publiques dans le cadre de la scurit publique ou de la dfense nationale, ou s'avrent ncessaires la mise en oeuvre des poursuites pnales ou l'excution des missions dont elles sont investies conformment aux lois et rglements en vigueur. L'Instance peut autoriser la communication des donnes caractre personnel en cas du refus, crit et explicite, de la personne concerne, de ses hritiers ou de son tuteur lorsqu'une telle communication s'avre ncessaire pour la ralisation de leurs intrts vitaux, ou pour l'accomplissement des recherches et tudes historiques ou scientifiques, ou encore en vue de l'excution d'un contrat auquel la personne concerne est partie, et ce, condition que la personne qui les donnes caractre personnel sont communiques s'engage mettre en oeuvre toutes les garanties ncessaires la

protection des donnes et des droits qui s'y rattachent conformment aux directives de l'Instance, et d'assumer qu'elles ne seront pas utilises des fins autres que celles pour lesquelles elles ont t communiques. Lorsque la personne concerne est un enfant, les dispositions de l'article 28 de la prsente loi s'appliquent. Art. 48. - La demande d'autorisation est prsente l'Instance dans un dlai ne dpassant pas un mois compter de la date du refus de la personne concerne de communiquer ses donnes caractre personnel aux tiers. L'Instance statue sur la demande dans un dlai ne dpassant pas un mois partir de son introduction. L'instance informe le demandeur de sa dcision dans un dlai de quinze jours compter de la date de la prise de dcision, et ce, par lettre recommande avec accus de rception ou par tout autre moyen laissant une trace crite. Art. 49. - Les donnes caractre personnel traites pour des finalits particulires peuvent tre communiques en vue d'tre traites une autre fois pour les fins historiques ou scientifiques, condition d'obtenir le consentement de la personne concerne. de ses hritiers ou de son tuteur ainsi que l'autorisation de l'Instance Nationale de Protection des Donnes Caractre Personnel. L'Instance dcide selon les cas de supprimer les donnes susceptibles d'identifier la personne concerne ou de les laisser. Lorsque la personne concerne est un enfant, les dispositions de l'article 28 de la prsente loi s'appliquent. Art. 50. - Il est interdit, dans tous les cas, de communiquer ou de transfrer des donnes caractre personnel vers un pays tranger lorsque ceci est susceptible de porter atteinte la scurit publique ou aux intrts vitaux de la Tunisie. Art. 51. - Le transfert vers un autre pays des donnes personnelles faisant l'objet d'un traitement ou destines faire l'objet d'un traitement ne peut avoir lieu que si ce pays assure un niveau de protection adquat apprci au regard de tous les lments relatifs la nature des donnes transfrer, aux finalits de leur traitement, la dure du traitement envisage, et le pays vers lequel les donnes vont tre transfres ainsi que les prcautions ncessaires mises en oeuvre pour assurer la scurit des donnes. Dans tous les cas, le transfert des donnes caractre personnel doit s'effectuer conformment aux conditions prvues par la prsente loi. Art. 52. - Dans tous les cas, l'obtention de l'autorisation de l'Instance pour effectuer le transfert des donnes caractre personnel vers l'tranger est obligatoire. L'Instance doit statuer sur la demande d'autorisation dans un dlai maximum d'un mois partir de la prsentation de la demande. Lorsque les donnes caractre personnel transfrer concernent un enfant, la demande est prsente au juge de la famille.

CHAPITRE V. - De quelques catgories particulires de traitement


Section I - Du traitement des donnes caractre personnel par les personnes publiques Art. 53. - Les dispositions de la prsente section s'appliquent au traitement des donnes caractre personnel ralis par les autorits publiques, les collectivits locales et les tablissements publics caractre administratif dans le cadre de la scurit publique ou de la dfense nationale ou pour procder aux poursuites pnales, ou lorsque ledit traitement s'avre ncessaire a l'excution de leurs missions conformment aux lois en vigueur. Les dispositions de la prsente section s'appliquent, en outre, au traitement des donnes caractre personnel ralis par les tablissements publics de sant ainsi que les tablissements publics n'appartenant pas la catgorie mentionne au paragraphe prcdent, dans le cadre des missions qu'ils assurent en disposant des prrogatives de la puissance publique conformment la lgislation en vigueur. Art. 54. - Le traitement ralise par les personnes mentionnes l'article prcdent n'est pas soumis aux dispositions prvues par les articles 7, 8, 13, 27, 28, 37, 44 et 49 de la prsente loi. Le traitement ralis par les personnes mentionnes au premier paragraphe de l'article 53 de la prsente loi n'est pas soumis galement aux dispositions des articles 14, 15 et 42 et aux dispositions de la quatrime section du cinquime chapitre de la prsente loi. Art. 55. - Les personnes mentionnes l'article 53 de la prsente loi doivent rectifier, complter, modifier, ou mettre jour les fichiers dont elles disposent, ainsi que l'effacement des donnes caractre personnel contenues dans ces fichiers si la personne concerne, le tuteur ou les hritiers a signal par n'importe quel moyen laissant une trace crite, l'inexactitude ou l'insuffisance de ces donnes. Art. 56. - Le droit d'accs aux donnes caractre personnel traites par les personnes mentionnes l'article 53 ne peut tre exerc. Toutefois, pour les donnes traites par les personnes mentionnes dans le deuxime paragraphe de l'article 53 de la prsente loi, la personne concerne, son tuteur, ou ses hritiers peuvent, pour des raisons valables, demander de corriger, de complter, de rectifier, de mettre jour, de modifier, ou d'effacer les donnes lorsqu'elles s'avrent inexactes et qu'ils en ont pris connaissance. Art. 57. - Il est interdit aux personnes mentionnes l'article 53 de la prsente loi de communiquer des donnes caractre personnel aux personnes prives sans le consentement exprs de la personne concerne, de son tuteur ou de ses hritiers, donn par n'importe quel moyen laissant une trace crite. Lorsque la personne concerne est un enfant, les dispositions de l'article 28 de la prsente loi s'appliquent. Les autres communications demeurent soumises aux dispositions des lois spcifiques en vigueur.

Art. 58. - La personne concerne, son tuteur, ou ses hritiers peuvent s'opposer au traitement des donnes caractre personnel effectu par les personnes mentionnes au

deuxime paragraphe de l'article 53 de la prsente loi si un tel traitement est contraire aux dispositions de la prsente loi qui lui sont applicables. Art. 59. - L'instance Nationale de Protection des Donnes Caractre Personnel est saisie, sur demande de la personne concerne, son tuteur ou ses hritiers, de tout litige relatif l'application des dispositions du deuxime paragraphe de l'article 56 et de l'article 58 de la prsente loi. Elle doit rendre sa dcision dans un dlai d'un mois compter de la date de sa saisine. Art. 60. - En cas de dissolution ou de fusion des personnes mentionnes l'article 53 de la prsente loi, l'autorit de tutelle doit prendre les mesures ncessaires la conservation et la protection des donnes traites par la personne dissoute ou fusionne. L'autorit de tutelle peut dcider de dtruire les donnes caractre personnel ou de les communiquer si elle juge que ces donnes sont utiles pour une exploitation des fins historiques et scientifiques. Un procs-verbal administratif est, dans tous les cas, dress. Art. 61. - Les personnes mentionnes l'article 53 de la prsente loi doivent dtruire les donnes caractre personnel si le dlai de leur conservation dtermin par les lois spcifiques a expir ou si le but pour lequel elles ont t collectes a t ralis. Il en est de mme si lesdites donnes ne sont plus ncessaires l'activit poursuivie selon les lois en vigueur. Un procs-verbal administratif est dress. Section II - Du traitement des donnes caractre personnel relatives la sant Art. 62. - Sans prjudice des dispositions prvues dans l'article 14 de la prsente loi, les donnes caractre personnel relatives la sant peuvent faire l'objet d'un traitement dans les cas suivants : 1. lorsque la personne concerne, ses hritiers ou son tuteur, a donn son consentement un tel traitement. Lorsque la personne concerne est un enfant, les dispositions de l'article 28 de la prsente loi s'appliquent ; 2. lorsque le traitement est ncessaire la ralisation de finalits prvues par la loi ou les rglements ; 3. lorsque le traitement s'avre ncessaire pour le dveloppement et la protection de la sant publique entre autres pour la recherche sur les maladies ; 4. lorsqu'il s'avre des circonstances que le traitement est bnfique pour la sant de la personne concerne ou qu'il est ncessaire, des fins prventives ou thrapeutiques, pour le suivi de son tat de sant ; 5. lorsque le traitement s'effectue dans le cadre de la recherche scientifique dans le domaine de la sant. Art. 63. - Le traitement des donnes caractre personnel relatives la sant ne peut tre mis en oeuvre que par des mdecins ou des personnes soumises, en raison de leur fonction, l'obligation de garder le secret professionnel.

Les mdecins peuvent communiquer les donnes caractre personnel en leur possession des personnes ou des tablissements effectuant de la recherche scientifique dans le domaine de la sant suite une demande manant de ces personnes ou tablissements, et sur la base d'une autorisation de l'Instance Nationale de Protection des Donnes Caractre Personnel. L'instance doit statuer sur la demande d'autorisation dans un dlai maximum d'un mois compter de la date de la prsentation de la demande. Art. 64. - Le traitement ne peut dpasser la dure ncessaire pour la ralisation du but pour lequel il est effectu. Art. 65. - L'instance peut, lors de la dlivrance de l'autorisation vise au deuxime paragraphe de l'article 63 de la prsente loi, fixer les prcautions et les mesures devant tre mises en oeuvre pour assurer la protection des donnes caractre personnel relatives la sant. Elle peut interdire la diffusion des donnes caractre personnel relatives la sant. Section III. - Du traitement des donnes caractre personnel dans le cadre de la recherche scientifique Art. 66. - Les donnes caractre personnel collectes ou enregistres aux fins de la recherche scientifique rie peuvent tre traites ou utilises qu' des fins de recherche scientifique. Art. 67. - Les donnes caractre personnel ne doivent pas contenir des lments susceptibles de rvler l'identit de la personne concerne lorsque les exigences de la recherche scientifique le permettent. Les donnes concernant la situation d'une personne physique identifie ou identifiable doivent tre enregistres distinctement et ne peuvent tre rassembles avec les donnes concernant la personne que si elles s'avrent ncessaires des fins de recherche. Art. 68. - La diffusion des donnes caractre personnel faisant l'objet d'un traitement clans le cadre de la recherche scientifique ne peut avoir lieu que lorsque la personne concerne, ses hritiers ou son tuteur, ont donn leur consentement exprs par n'importe quel moyen laissa ni une trace crite ; ou lorsque cette diffusion s'avre ncessaire pour la prsentation des rsultats de recherche relatifs des vnements ou des phnomnes existant au moment de ladite prsentation. Lorsque la personne concerne est un enfant, les dispositions de l'article 28 de la prsente loi sappliquent Section IV - Du traitement des donnes caractre personnel des tins de vidosurveillance Art. 69. - Sous rserve de la lgislation en vigueur, l'utilisation des moyens de vidosurveillance est soumise une autorisation pralable de l'Instance Nationale de Protection des Donnes Caractre Personnel. L'Instance doit statuer sur la demande d'autorisation dans un dlai maximum d'un mois partir de la date de la prsentation de ladite demande.

Art. 70. - Les moyens de surveillance mentionns l'article prcdent ne peuvent tre utiliss que dans les lieux suivants : 1. les lieux ouverts au public et leurs entres ; 2. les parkings, les moyens de transport public, les stations, les ports maritimes et les aroports ; 3. les lieux de travail collectifs. Art. 71. - Les moyens de vidosurveillance mentionns l'article prcdent ne peuvent tre utiliss dans les lieux indiqus dans l'article prcdent que s'ils sont ncessaires pour assurer la scurit des personnes, la prvention des accidents, la protection des biens ou l'organisation de l'entre et de la sortie de ces espaces. Dans tous les cas, les d'enregistrements sonores. enregistrements vido ne peuvent tre accompagns

Art. 72. - Le public doit tre inform d'une manire claire et permanente de l'existence de moyens de vidosurveillance. Art. 73. - Il est interdit de communiquer les enregistrements vido collects des fins de surveillance sauf dans les cas suivants : 1. lorsque la personne concerne- ses hritiers ou son tuteur, ont donn leur consentement. Lorsque la personne concerne est un enfant, les dispositions de l'article 28 de la prsente loi s'appliquent : 2. lorsque la communication est ncessaire l'exercice des missions dvolues aux autorits publiques ; 3. lorsque la communication s'avre ncessaire pour la constatation, la dcouverte ou la poursuite d'infractions pnales. Art. 74. - Les enregistrements vido doivent tre dtruits lorsqu'ils ne sont plus ncessaires la ralisation des finalits pour lesquelles ils ont t effectus ou lorsque l'intrt de la personne concerne exige sa suppression moins que ces enregistrements ne s'avrent utiles pour la recherche et les poursuites d'infractions pnales.

CHAPITRE VI. L'instance Nationale de Protection des Donnes Caractre Personnel


Art. 75. - Il est institu en vertu de la prsente loi, une Instance dnomme L'instance Nationale de Protection des Donnes Caractre Personnel disposant de la personnalit morale et jouissant de l'autonomie financire. Son sige est fix Tunis. Le budget de l'Instance est rattach au budget du ministre charg des Droits de l'Homme. Les modalits de fonctionnement de l'Instance sont fixes par dcret. Art. 76. - L'instance Nationale de Protection des Donnes Caractre Personnel est charge des missions suivantes :

accorder les autorisations, recevoir les dclarations pour la mise en uvre du traitement des donnes caractre personnel, ou les retirer dans les cas prvus par la prsente loi ; recevoir les plaintes portes dans le cadre de la comptence qui lui est attribue en vertu de la prsente loi ; dterminer les garanties indispensables et les mesures appropries pour la protection des donnes caractre personnel ; accder aux donnes caractre personnel faisant l'objet d'un traitement afin de procder leur vrification, et collecter les renseignements indispensables l'excution de ses missions ; donner son avis sur tout sujet en relation avec les dispositions de la prsente loi ; laborer des rgles de conduite relatives au traitement des donnes caractre personnel ; participer aux activits de recherche, de formation et d'tude en rapport avec la protection des donnes caractre personnel, et d'une manire gnrale toute activit ayant un rapport avec son domaine d'intervention. Art. 77. LInstance peut procder aux investigations requises en recueillant les dclarations de toute personne dont l'audition est juge utile et en ordonnant de procder des constatations dans les locaux et lieux o a eu lieu le traitement l'exception des locaux d'habitation. L'Instance peut se faire assister, dans le cadre de ses missions, par les agents asserments du ministre charg des technologies de la communication pour effectuer des recherches et des expertises spcifiques, ou par des experts judiciaires, ou par toute personne jugeant utile sa participation. L'Instance doit informer le procureur de la Rpublique territorialement comptent de toutes les infractions dont elle a eu connaissance dans le cadre de son travail. Le secret professionnel ne peut tre oppos l'instance. Art. 78. - L'Instance est compose ainsi : un prsident choisi parmi les personnalits comptentes dans le domaine ; un membre choisi parmi les membres de la Chambre des Dputs ; un membre choisi parmi les membres de la Chambre des Conseillers. un reprsentant du Premier ministre ; deux magistrats de troisime grade ; deux magistrats du tribunal administratif ; un reprsentant du Ministre de l'Intrieur ; un reprsentant du Ministre de la Dfense Nationale

un reprsentant du Ministre charg des Technologies de la Communication un chercheur du Ministre charg de la Recherche Scientifique ; un mdecin du Ministre charg de la Sant Publique un membre du Comit Suprieur des Droits de l'Homme et des Liberts Fondamentales ; un membre choisi parmi les experts en matire de technologies de la communication ; Le prsident et les membres de l'Instance sont dsigns, pour trois ans, par dcret. Art. 79. - Il est interdit au prsident de L'Instance et ses membres d'avoir, directement ou indirectement, des intrts dans toute entreprise qui exerce ses activits dans le domaine du traitement des donnes caractre personnel soit d'une faon automatise, soit d'une faon manuelle. Art. 80. - Le prsident et les membres de L'Instance doivent sauvegarder le caractre secret des donnes caractre personnel et des informations dont ils ont eu connaissance raison de leur qualit, et ce, mme aprs la perte de cette qualit sauf dispositions contraires de la loi. Art. 81. - L'instance peut dcider aprs audition du responsable du traitement ou du sous-traitant de retirer l'autorisation ou d'interdire le traitement s'il a port atteinte aux obligations prvues par la prsente loi. Les procdures du retrait de l'autorisation ou de l'interdiction du traitement sont fixes par dcret. Art. 82. - Les dcisions de l'Instance sont motives et notifies aux personnes concernes par huissier de justice. Les dcisions de l'Instance sont susceptibles de recours devant la cour d'appel de Tunis dans un dlai d'un mois partir de leur notification. Il est statu sur le recours selon les dispositions du Code de procdure civile et commerciale. Les dcisions de l'Instance sont excutes nonobstant le recours formul leur encontre. Le premier prsident de la cour d'appel de Tunis peut ordonner en rfr la suspension de leur excution jusqu' ce qu'il soit statu sur le recours lorsque cette excution est susceptible de causer un prjudice irrversible. La dcision ordonnant la suspension n'est susceptible d'aucune voie de recours. La cour saisie de l'affaire doit statuer sur le recours dans un dlai ne dpassant pas trois mois compter de la date de sa saisine. Les arrts rendus par la cour d'appel de Tunis sont susceptibles de pourvoi en cassation devant la cour de cassation. Art. 83. - L'auteur de la requte doit consigner les frais d'expertise et de notification des dcisions ainsi que les diffrents frais ncessaires dtermins par le prsident de l'Instance. Art. 84. - Les biens mobiliers ou immobiliers de l'tat ncessaires l'excution des missions de L'Instance peuvent lui tre attribus par affectation. En cas de dissolution de L'Instance, ses biens se transmettent l'tat qui procde l'excution des obligations et des engagements de L'Instance conformment la lgislation en vigueur.

Art. 85. - L'Instance transmet un rapport annuel sur son activit au Prsident de la Rpublique.

CHAPITRE VII. - Des sanctions


Art. 86. - Est puni d'un emprisonnement de deux cinq ans et d'une amende de cinq mille dinars cinquante mille dinars, quiconque viole les dispositions de l'article 50 de la prsente loi. La tentative est punissable. Art. 87. - Est puni d'un emprisonnement de deux ans et d'une amende de dix mille dinars, celui qui viole les dispositions de l'article 13 ainsi que le paragraphe premier de l'article 14, le paragraphe premier de l'article 28, le paragraphe premier de l'article 63 et les articles 70 et 71 de la prsente loi. Est puni galement des mmes peines prvues au paragraphe prcdent, celui qui viole les dispositions du paragraphe premier de l'article 27 ainsi que les articles 31, 44 et 68 de la prsente loi. Art. 88. - Est puni d'un an d'emprisonnement et d'une amende de dix mille dinars, celui qui porte une personne donner son consentement pour le traitement de ses donnes personnelles en utilisant la fraude, la violence ou la menace. Art. 89. - Est puni d'un an d'emprisonnement et d'une amende de cinq mille dinars, celui qui intentionnellement communique des donnes caractre personnel pour raliser un profit pour son compte personnel ou le compte d'autrui ou pour causer un prjudice la personne concerne. Art. 90. - Est puni d'un an d'emprisonnement et d'une amende de cinq mille dinars, quiconque : effectue intentionnellement un traitement des donnes caractre personnel sans prsenter la dclaration prvue l'article 7 ou sans l'obtention de l'autorisation prvue aux articles 15 et 69 de la prsente loi, ou continue d'effectuer le traitement des donnes aprs l'interdiction de traitement ou le retrait de l'autorisation ; diffuse les donnes caractre personnel relatives la sant nonobstant l'interdiction de l'Instance mentionne au deuxime paragraphe de l'article 65 de la prsente loi ; transfre les donnes caractre personnel l'tranger sans l'autorisation de l'Instance ; communique les donnes caractre personnel sans le consentement de la personne concerne ou l'accord de l'Instance dans les cas prvus par la prsente loi. Art. 91. - Est puni d'un an d'emprisonnement et d'une amende de cinq mille dinars, le responsable du traitement ou le sous-traitant qui continue de traiter des donnes caractre personnel malgr l'opposition de la personne concerne faite conformment aux dispositions de l'article 42 de la prsente loi. Art. 92. - Est puni de huit mois d'emprisonnement et d'une amende de trois mille dinars, le responsable du traitement ou le sous-traitant qui intentionnellement limite ou entrave

l'exercice du droit d'accs dans les cas autres que ceux prvus l'article 35 de la prsente loi. Art. 93. - Est puni de trois mois d'emprisonnement et d'une amende de trois mille dinars quiconque diffuse intentionnellement des donnes caractre personnel, l'occasion de leur traitement, d'une manire qui nuit la personne concerne ou sa vie prive. La peine est d'un mois d'emprisonnement et d'une amende de mille dinars lorsque la diffusion a t effectue sans l'intention de nuire. La personne concerne peut demander au tribunal d'ordonner la publication d'un extrait du jugement dans un ou plusieurs journaux quotidiens, paraissant en Tunisie choisis par la personne concerne. Les frais de publication sont supports par le condamn. Les poursuites ne peuvent tre dclenches qu' la demande de la personne concerne. Le dsistement arrte la poursuite, le procs ou l'excution de la peine. Art. 94. - Est puni de trois mois d'emprisonnement et d'une amende de mille dinars quiconque viole les dispositions des articles 12, 18, et 19 ainsi que les paragraphes premier et deuxime de l'article 20, et les articles 21, 37, 45, 64 et 74 de la prsente loi. Est puni galement des mmes peines prvues au paragraphe prcdent quiconque collecte des donnes caractre personnel des fins illgitimes ou contraires l'ordre public ou traite intentionnellement des donnes caractre personnel inexactes, non mises jour ou qui ne sont pas ncessaires l'activit de traitement. Art. 95. - Est puni d'une amende de dix mille dinars, la personne qui les donnes ont t communiques qui ne respecte pas les garanties et les mesures que l'Instance lui a fixes conformment aux dispositions du deuxime paragraphe de l'article 47 et du premier paragraphe de l'article 65 de la prsente loi. Art. 96. - Est puni d'une amende de cinq mille dinars, quiconque entrave le travail de L'Instance Nationale de Protection des Donnes Caractre Personnel en l'empchant d'effectuer les investigations ou en refusant de dlivrer les documents requis ; communique de mauvaise foi l'Instance ou notifie la personne concerne, intentionnellement, des informations inexactes. Art. 97. - L'article 254 du Code pnal s'applique au responsable du traitement, au soustraitant, leurs agents, au prsident de l'Instance et ses membres qui divulguent le contenu des donnes caractre personnel sauf dans les cas prvus par la loi. Art. 98. - Est puni d'une amende de mille dinars, le responsable du traitement, le soustraitant, le syndic de faillite ou le liquidateur qui viole les dispositions de l'article 24 de la prsente loi. Art. 99. - Est puni d'une amende de mille dinars, le responsable du traitement ou le sous-traitant qui viole les dispositions de l'article 39 de la prsente loi.

Art. 100. - Outre les peines prvues par les articles prcdents de la prsente loi, le tribunal peut, dans tous les cas, dcider de retirer l'autorisation du traitement ou de suspendre le traitement. Art. 101. - Lorsque le contrevenant est une personne morale, les peines prvues cidessus sont applicable personnellement et selon les cas au dirigeant lgal ou de fait de la personne morale dont la responsabilit concernant les actes accomplis a t tablie. Art. 102. - Les infractions prvues dans ce chapitre sont constates par les officiers de police judiciaire mentionns aux numros 1 4 de l'article 10 du Code de procdure pnale, et par les agents asserments du ministre charg des technologies de la communication; les procs-verbaux sont tablis conformment aux procdures prvues par ledit code. Art. 103. - Il peut tre procd la mdiation pnale dans les infractions prvues au deuxime paragraphe de l'article 87, ainsi que les articles 89 et 91 de la prsente loi conformment au neuvime chapitre du quatrime livre du Code de procdure pnale. Dispositions diverses Art. 104. - Sont abroges les dispositions contraires la prsente loi et notamment les articles 38, 41 et 42 de la loi n 2000-83 du 9 aot 2000 relative aux changes et au commerce lectroniques. Art. 105. - Les personnes effectuant une activit de traitement des donnes caractre personnel la date de la promulgation de la prsente loi doivent se conformer ses dispositions dans un dlai d'un an compter de la date de son entre en vigueur. La prsente loi organique sera publie au Journal Officiel de la Rpublique Tunisienne et excute comme loi de l'tat. Tunis, le 27 juillet 2004 Zine El Abidine Ben Ali