Le principe : pas de traitement sans fondement
L'article 192 est le pivot du livre III. Un traitement de données personnelles n'est licite que si la personne concernée y a consenti, ou s'il est nécessaire à l'exécution d'une obligation légale à laquelle le responsable du traitement est soumis.
L'intérêt commercial, la commodité ou l'usage établi ne sont pas des fondements. En l'absence de consentement ou d'obligation légale, le traitement est illicite.
Ce qui échappe à la règle
L'article 189 dispense de déclaration préalable certains traitements, notamment ceux qu'une personne physique effectue dans le cadre exclusif de ses activités personnelles, domestiques ou familiales.
Un répertoire téléphonique privé ou un album de photos de famille ne relèvent donc pas des formalités imposées aux organisations.
Où vivent les données
L'article 201 pose que les données personnelles sont stockées ou hébergées en République Démocratique du Congo. Le transfert vers un hébergeur situé à l'étranger n'est admis que dans les cas prévus par l'article, pour des besoins de souveraineté numérique et de sécurité.
La conséquence est directe pour toute structure qui utilise un service d'hébergement étranger : la localisation des données cesse d'être un choix technique arbitré sur le coût, et devient une question de conformité.
Vos droits sur vos données
L'article 219 oblige le responsable du traitement à tenir à jour les données inexactes, incomplètes ou non pertinentes, ainsi que celles obtenues en méconnaissance du Code. Vous n'avez pas à justifier d'un préjudice pour demander cette rectification.
L'article 216 va plus loin : lorsque le responsable a rendu des données publiques, il doit prendre les mesures appropriées pour informer les tiers qui les traitent de la demande d'effacement. La demande ne s'arrête donc pas au premier destinataire.
L'article 262 crée l'Autorité de protection des données, devant laquelle une réclamation peut être portée.
Ce que l'autorité peut sanctionner
L'article 255 énumère les manquements. Y figurent notamment la collecte déloyale de données à caractère personnel, leur communication à un tiers non autorisé, et la collecte de données sensibles ou du numéro national d'identification hors des cas permis.
C'est la liste à confronter à ses propres pratiques.
À retenir
- Sans consentement ni obligation légale, le traitement est illicite (art. 192).
- Les données sont en principe hébergées en RDC (art. 201).
- La rectification se demande sans justifier d'un préjudice (art. 219).
- L'Autorité de protection des données contrôle le respect de ces règles (art. 262).