L’Autorité nationale de protection des données à caractère personnel (ANPDP) a adopté, le 15 juillet, une nouvelle délibération encadrant le traitement et la diffusion des images et des enregistrements audiovisuels de personnes physiques sur les plateformes numériques et les réseaux sociaux. Le texte précise les obligations des responsables du traitement afin d’assurer le respect des dispositions de la loi n°18-07 relative à la protection des données à caractère personnel.
Selon cette délibération, son objectif est de définir « les conditions et les règles juridiques » applicables lors de la collecte, de l’enregistrement, de la conservation, de la publication ou de la diffusion de photos et de vidéos permettant d’identifier directement ou indirectement une personne.
Les images considérées comme des données personnelles
L’ANPDP rappelle que les photographies et les enregistrements audiovisuels permettant d’identifier une personne sont des données à caractère personnel au sens de la loi. À ce titre, leur collecte, leur stockage, leur diffusion ou leur mise à disposition de tiers constituent un traitement soumis aux règles prévues par la législation.
La délibération précise également que tout traitement doit reposer sur « une base légale » et respecter plusieurs principes, notamment « la licéité, la transparence, la détermination de la finalité et la proportionnalité », en limitant les données aux seules informations nécessaires pour atteindre l’objectif annoncé.
Un consentement préalable pour la diffusion au public
Le texte prévoit que la publication ou la diffusion de photos et de vidéos destinées au public sur les plateformes numériques ou les réseaux sociaux nécessite « un consentement libre, explicite et préalable, pouvant être prouvé » de la personne concernée, sauf lorsqu’un autre fondement légal ou réglementaire est prévu par la législation en vigueur.
Les responsables du traitement devront aussi informer les personnes concernées avant toute collecte. Les informations à fournir portent notamment sur l’identité du responsable, la finalité de la prise d’image ou de l’enregistrement, les moyens de diffusion envisagés, la durée de conservation des données ainsi que les droits d’accès, de rectification, d’opposition et, le cas échéant, de retrait du consentement.
Publication sur des plateformes étrangères
L’ANPDP attire également l’attention sur les publications effectuées sur des plateformes numériques ou des réseaux sociaux gérés par des sociétés étrangères.
La délibération considère que cette situation peut constituer « un transfert de données à caractère personnel hors du territoire national » lorsque les données sont hébergées, traitées ou accessibles depuis l’étranger. Dans ce cas, le responsable du traitement devra appliquer les dispositions prévues par les articles 44 et 45 de la loi n°18-07 et prendre les mesures nécessaires pour garantir un niveau de protection approprié des données transférées.
Le texte prévoit aussi que les personnes concernées soient informées, dans la mesure du possible, de l’identité du destinataire des données et des conditions de leur traitement.
Droit de plainte et obligations de sécurité
La délibération rappelle que toute personne estimant que ses photos ou ses enregistrements ont été traités ou publiés en violation de la loi ou des nouvelles règles peut déposer « une plainte ou une réclamation » auprès de l’ANPDP, sans préjudice de son droit de saisir les juridictions compétentes. L’autorité indique avoir mis à la disposition du public un service électronique dédié à cet effet.
Le document impose aux responsables du traitement et à leurs sous-traitants de mettre en place des mesures organisationnelles et techniques garantissant la confidentialité, l’intégrité et la sécurité des données, afin de les protéger contre la destruction, la perte, la modification, la divulgation ou l’accès non autorisé.
L’ANPDP souligne enfin que le non-respect de ces obligations peut engager la responsabilité du responsable du traitement. Les mesures prises par l’autorité dans le cadre de ses missions de contrôle n’excluent pas l’application des sanctions prévues par la loi lorsque les faits constituent une infraction.
