Rapport explicatif

N° référence: COO.2180.109.7.185665 / 212.9/2015/00001

5 Comparaison avec des législations d’Etats non européens et n’ayant pas rati-

fié la Convention STE 108

Les pays européens ne sont pas les seuls à avoir adopté une législation sur la protection des données comme le montrent les quelques exemples ci-dessous⁵⁶.

5.1 Argentine

L’autorité de contrôle argentine est la Direction nationale de protection des données personnelles (Dirección Nacional de Protección de Datos Personales – DNPDP). Ses tâches sont régies par l’art. 29 de la Loi 25.326⁵⁷. Elle a un rôle d’assistance, de conseil et de surveillance. L’art. 29 du Décret 1558/2001⁵⁸ lui permet également d’établir des règles administratives et de procédure par rapport au registre des bases de données personnelles (le Registre), qui permet d’identifier et de contrôler les bases de données personnelles. Ce même art. 29 prévoit que la DNDPD peut traiter les plaintes et les réclamations déposées aux termes de la loi 25.326. La DNDPD est aussi tenue d’approuver les codes de conduite adoptées par les entités représentatives des usagers ou responsables de bases de données (art. 30 de la loi 25.326).

L’art. 14 de la loi 25.326 institue un droit d’accès, qui donne aux personnes concernées le droit d’obtenir des informations sur leurs données personnelles détenues dans des bases de données privées ou publiques. Lorsque la demande est déposée, un délai de dix jours est octroyé au responsable pour y répondre. Passé ce délai, les personnes intéressées peuvent agir par la voie d’un recours. L’art. 16 permet aux personnes physiques de demander la rectification, l’actualisation et/ou l’effacement de données les concernant. Le responsable de la base de données a un délai de cinq jours pour répondre à la demande. Il ne peut la refuser qu’en cas de nécessité pour la protection de l’Etat, de l’ordre public, de la sécurité publique ou pour les intérêts de tiers. Passé le délai de cinq jours, ou en cas de réponse négative, la personne intéressée peut interjeter un recours.

Les responsables du traitement ont comme principales tâches d’inscrire les bases de données dans le registre, veiller à la sécurité des données stockées, garantir la confidentialité des données ainsi que fournir les documents et renseignements sollicités par la DNPDP.

La législation sur la protection des données s’applique aussi au Big Data dans les cas où, de l’ensemble des données collectées, il est possible d’identifier une personne en particulier. En ce qui concerne le profilage, l’art. 27 du Décret 1558/2001 contient une règle sur le profilage dans le domaine de la publicité. Selon cet article, il est possible de collecter, traiter et transmettre des données sans le consentement de la personne lorsque le but est de créer des profils afin de catégoriser des préférences et des comportements. Cette possibilité est soumise à deux conditions : les personnes concernées ne doivent être identifiées que par leur appartenance à un groupe générique, et l’étendue des données individuelles collectées doit être limitée au strict nécessaire. En outre, dans toute communication à but publicitaire, la possibilité pour le titulaire des données de demander leur retrait ou leur blocage doit être mentionnée.

Enfin, ce qui concerne la mise en œuvre du principe de protection des données dès la conception et par défaut, le DNPDP a approuvé un «Guide de bonnes pratiques dans le développement d’applications informatiques», qui s’adresse aux développeurs d’applications. Il a surtout pour but de rappeler le devoir des développeurs de veiller au respect de la vie privée des personnes et ceci dès le début de la création de l’application.