Division des Affaires Générales
Panel Protection des Données Personnelles
Note de sensibilisation N° 1
La protection des données à caractère personnel
La Loi Algérienne 18-07 du 10/06/2018 ainsi que les règlements en
vigueur fixent le cadre juridique suivant lequel les données à caractère
personnel peuvent être légalement collectées, exploitées et conservées
par les organismes et visent notamment à protéger les droits et libertés
des personnes physiques contre toute atteinte à l'occasion des
traitements de leurs données personnelles.
Cette note a pour objet de sensibiliser l’ensemble des employés et
collaborateurs au sein de la compagnie sur les principes fixés dans la loi
18-07 relatifs à la protection des données à caractère personnel en
définissant également les droits des personnes concernées et les
obligations auxquelles est soumise AIR ALGERIE, en qualité de
responsable du traitement de données à caractère personnel.
1/ C'est quoi une donnée à caractère personnel
Toute information relative à une personne physique permettant son
identification directement ou indirectement ou par recoupement de
plusieurs informations est considérée comme donnée à caractère
personnel, et ce, quel que soit le type de support de stockage : document
papier, fichier informatique, vidéo, photo….etc...
• Les données directement identifiantes :
Nom, prénom, un mail nominatif, photo, fiches de paie......
• Les données indirectement identifiantes :
Numéro de compte bancaire, adresse, numéro client, numéro de
téléphone, numéro d’immatriculation ...
Ce sont des données qui ne permettent pas d’identifier directement la
personne mais lorsqu’elles sont associées à une autre base de données
(en interne ou par tout autre tiers) conduisent à l’identification de la
personne.
1
• Le recoupement d’informations :
La combinaison de plusieurs informations (lieu de résidence, date de
naissance, lieu de naissance, nom de l’employeur) permet d’identifier la
personne.
2/ Quels sont les supports qui peuvent contenir des données à
caractère personnel ?
• Un fichier informatique,
• Un document papier,
• Une note sur un post-it,
• Une photo, vidéo et enregistrement audio.
3/ Qu’est-ce qu’un traitement de données à caractère personnel ?
Toute opération ou ensemble d’opérations effectuées ou non à l’aide de
procédés automatisés et appliquées à des données ou à des ensembles
de données à caractère personnel, telles que la collecte, l’enregistrement,
l’organisation, la structuration, la conservation, l’adaptation ou la
modification, l’extraction, la consultation, l’utilisation, la communication par
transmission, la diffusion ou toute autre forme de mise à disposition, le
rapprochement ou l’interconnexion, la limitation, l’effacement ou la
destruction.
4/ Qui sont les personnes concernées ?
Dans le cadre de ses activités, AIR ALGERIE, traite des données
personnelles de ses : clients, salariés, administrateurs ; partenaires et
fournisseurs.
5/ Les principes généraux de la protection des données à caractère
personnel :
Quels sont les principes à respecter dans le traitement des données
personnelles ?
Air Algérie ainsi que ses sous-traitants sont soumis au respect des
principes suivants :
2
a/ le principe de licéité : le traitement doit être évidemment légale et
repose sur l’un des fondements suivants :
Le consentement, l’exécution d’un contrat, une obligation légale, l’intérêt
légitime du responsable du traitement, la sauvegarde d’un intérêt vitaux et
l’intérêt public …
b/ le principe de loyauté et de transparence à l’égard des personnes
concernées :
La personne concernée a le droit d’être informée par le responsable du
traitement de façon claire des caractéristiques du traitement de ses
données et des droits dont elle bénéficie, l’information doit être
compréhensible et communiquées sous format intelligible.
c/ le principe de finalité :
Les données sont collectées pour une finalité légitime et déterminée et ne
peuvent être traitées ultérieurement de manière incompatible avec cette
finalité ou pour une autre finalité sans le consentement de la personne
concernée.
d/ le principe de minimisation :
La collecte de données doit se limiter au strict nécessaire à l’atteinte de
l’objectif.
e/ le principe d’interdiction de traitement des données sensibles :
Les données sensibles sont des données personnelles qui révèlent
l’origine raciale ou ethnique, les opinions politiques, les convictions
religieuses, philosophiques, condamnation pénale, appartenance
syndicale ainsi que les données génétiques et de santé.
Le traitement de ces données est en principe interdit mais peut faire l’objet
à titre exceptionnel d’un traitement conformément à l’article 18 de la loi
suscitée sur la base d’une autorisation de l’autorité nationale, pour motif
d’intérêt public indispensable pour garantir l’exercice des fonctions légales
ou statutaires du responsable du traitement ,une disposition légale qui le
consacre , disposition légale ou lorsque la personne concernée donne son
consentement.
3
f/ l’exactitude des données :
Les données personnelles doivent être exactes et, si nécessaire mises à
jour.
g/ le principe d’une durée de conservation limitée :
Les données personnelles doivent être traitées pendant une durée limitée
et cohérente par rapport à la finalité réalisée, la durée de conservation doit
être fixée, en fonction du type d’information enregistrée et de la finalité du
fichier.
Une fois l’objectif atteint il faut :
• Effacer ces données.
• Archiver les données en cas d’obligation légale ou d’intérêt administratif.
• Utiliser un processus d’anonymisation, pseudonymisation ou de
destruction.
h/ le principe de sécurité et de confidentialité :
Le responsable du traitement doit garantir la sécurité des informations qu’il
détient et veiller à ce que seules les personnes autorisées aient accès à
ces informations.
Chaque traitement doit faire l’objet d’un ensemble de mesures de sécurité
décidées en fonction du contexte, elles doivent être adaptées aux
particularités du traitement et revues régulièrement pour être ajustées en
fonction de l’évolution du risque.
6/ Les droits des personnes concernées :
Les personnes concernées ont des droits sur leurs données mis en œuvre
par le responsable du traitement à savoir le droit à : l’information, l’accès,
la rectification, l’opposition, de ne pas faire l’objet d’un traitement
automatisé ainsi que le droit au recours auprès de l’autorité.
7/ Qu’est-ce qu’un sous-traitant ?
C’est toute personne physique ou morale, publique ou privée ou toute
autre entité qui traite des données personnelles pour le compte et sur
instruction du responsable du traitement.
La relation entre le responsable du traitement et le sous-traitant doit être
régie par un contrat conformément à l’article 39 de la loi 18-07, qui prévoit
notamment que le sous-traitant n’agit que sous la seule instruction du
4
responsable du traitement et dans le respect des obligations prévues à
l’article 38 à savoir confidentialité et sécurité des données.
Le responsable du traitement doit choisir un sous-traitant qui apporte des
garanties suffisantes inhérentes aux mesures de sécurité techniques et
d’organisation relatives aux traitements à effectuer et doit veiller au
respect de ses mesures.
Le sous-traitant est soumis aux mêmes obligations que le responsable du
traitement : transparence et traçabilité, sécurité des données traitées,
respect des conditions de sous-traitance ultérieure.
Le sous-traitant doit informer le responsable du traitement lorsqu’il veut
lui-même prendre un sous-traitant.
Il doit s’assurer que son sous-traitant présente des garanties suffisantes
et qu’il se conforme aux mêmes obligations que celles le liant au
responsable du traitement.
Le contrat de sous-traitance doit détailler de manière très précise les
conditions de prise en compte des diverses obligations.
8/ Transfert des données vers l’étranger ; le transfert des données
personnelles vers l’étranger, et ce, quel que soit le statut du destinataire
(organisme étatique, un partenaire, client ou fournisseur…) est soumis à
une demande d’autorisation préalable auprès l’autorité nationale ANPDP.
9/ Le registre des activités des traitements ?
C’est un registre recensant les activités de traitement, mis en place par le
responsable du traitement, il permet d’identifier :
• Les parties prenantes qui interviennent dans le traitement des
données,
• Les catégories des données traitées,
• Les finalités des traitements de ces données,
• Les destinataires de ces données,
• La durée de conservation de ces données,
• Les mesures de sécurité techniques et organisationnelles mises en
place,
Le registre doit être mis à jour régulièrement pour suivre les évolutions
des activités et des traitements de données.
5
L'ANPDP : Autorité Nationale de protection des Données à Caractère
personnel
L'ANPDP est l’autorité nationale de contrôle chargée de la protection des
données personnelles en Algérie.
Elle veille sur la conformité des traitements des données à caractère
personnel par rapport à la loi en vigueur et s’assure que l’utilisation des
technologies de l’information et de la communication ne comportent pas
de menaces au regard des droits des personnes, des libertés publiques
et de la vie privée.
Elle a également pour missions de conseiller les personnes et entités qui
ont recours aux traitements des données ou qui procèdent à des essais
ou expériences de nature à aboutir à de tels traitements.
Prononcer des sanctions administratives fait aussi partie des prérogatives
de l’ANPDP en cas de recours de personnes concernées ou de constat
lors d’un contrôle d’un manquement ou violations des exigences prévues
dans la loi 18-07 ;
Saisir le procureur général en cas de constatation de faits susceptibles de
qualification pénale.
L’engament de tous et le respect strict des lois en vigueur garantissent la
protection des informations traitées par la compagnie.
La Présidente du Panel
K. Saichi
