Le Chapitre VI traite des sanctions et mesures administratives concernant le traitement des données à caractère personnel. Ce chapitre vise à encadrer la conformité des responsables du traitement avec les lois sur la protection des données. Il est divisé en plusieurs articles détaillant les types de sanctions, les procédures et les peines liées aux manquements aux obligations légales.
Avertissement et Mise en Demeure (Article 452)
L’Autorité peut adresser un avertissement à un responsable du traitement des données s’il ne respecte pas les obligations prévues par le Code. Si le manquement persiste, elle peut émettre une mise en demeure, obligeant ce responsable à corriger la situation dans un délai ne dépassant pas huit jours (Article 452).
Manquements Graves (Article 453)
Certaines actions sont considérées comme des manquements graves. Parmi celles-ci, on retrouve :
- La collecte déloyale de données personnelles.
- La communication non autorisée de données à un tiers.
- La collecte de données sensibles ou personnelles sans respecter la législation.
- La collecte ou l’utilisation de données personnelles violant les droits fondamentaux ou l’intimité des individus.
- L’entrave aux missions de contrôle de l’Autorité (Article 453)
Types de Sanction (Article 454)
Si un responsable du traitement ne respecte pas une mise en demeure, l’Autorité peut imposer plusieurs types de sanctions, telles que :
- Une sanction pécuniaire (amende), sauf pour les traitements effectués par l’État.
- Une injonction de cesser le traitement des données personnelles.
- Un retrait de l’autorisation de traitement de données, soit temporaire, soit définitif.
- Le verrouillage de certaines données personnelles (Article 454).
Montant des Sanctions (Article 455)
Le montant de la sanction pécuniaire dépend de la gravité du manquement. Lors du premier manquement, l’amende peut atteindre 50 millions de francs CFA. En cas de récidive dans les cinq ans, elle peut atteindre 100 millions de francs CFA ou 5% du chiffre d’affaires de l’entreprise, avec un plafond à 100 millions de francs CFA (Article 455).
Injonctions de Modification ou Suppression (Article 456)
En complément d’une sanction, l’Autorité peut ordonner, dans un délai de huit jours, des modifications ou suppressions nécessaires sur les données personnelles concernées par le manquement (Article 456).
Rapport et Recours (Article 457 et 458)
Avant de prononcer une sanction, l’Autorité doit établir un rapport, notifié au responsable du traitement. Ce dernier peut répondre ou faire des observations dans un délai de 15 jours. Les décisions peuvent être contestées devant la juridiction administrative compétente (Article 457 et 458).
Publication des Sanctions (Article 459)
Les sanctions peuvent être rendues publiques, permettant ainsi une transparence sur les mesures prises (Article 459).