Art. 53
Fautes administratives
Le responsable du traitement, le sous-traitant ou un tiers qui commet l’une des fautes suivantes:
1. défaut de tenir les documents des données à caractère personnel traitées;
2. défaut d’effectuer l’enregistrement de données à caractère personnel;
3. fonctionnement sans détenir un certificat d’enregistrement;
4. défaut de signaler un changement après obtention du certificat d’enregistrement;
5. utilisation d’un certificat dont la durée de validité a expiré;
6. défaut de désigner un délégué à la protection des données à caractère personnel;
7. défaut de signaler la violation des données à caractère personnel;
8. défaut de faire rapport sur la violation des données à caractère personnel;
9. défaut de communiquer à la personne concernée la violation des données à caractère personnel;
commet une faute.
Il est passible d’une amende administrative d’au moins deux millions de francs rwandais (2.000.000 FRW) mais ne dépassant pas cinq millions de francs rwandais (5.000.000 FRW) ou d’un montant équivalant à un pourcent (1%) du chiffre d’affaires global de l’exercice précédent.
En cas de personne morale ou d’entité juridique, il est passible d’un montant équivalant à un pourcent (1%) du chiffre d’affaires global de l’exercice précédent.
L’autorité de contrôle peut mettre en place un règlement déterminant d’autre fautes et sanctions administratives qui ne sont pas prévues par la présente loi.
Art. 56
Obtention, collecte, utilisation, offre, partage, transfert ou divulgation illicite des données à caractère personnel d’une manière contraire à la présente loi.
Une personne qui obtient, collecte, utilise, offre, partage, transfère ou divulgue des données à caractère personnel d’une manière contraire à la présente loi, commet une infraction.
Lorsqu’elle en est reconnue coupable, elle est passible d’un emprisonnement d’au moins un (1) an mais ne dépassant pas trois (3) ans et d’une amende d’au moins sept millions de francs rwandais (7.000.000 FRW) mais ne dépassant pas dix millions de francs rwandais (10.000.000 FRW) ou de l’une de ces peines.
Art. 57
Réidentification des données à caractère personnel anonymisées d’une manière contraire à la présente loi
Une personne qui, sciemment, intentionnellement ou par imprudence:
1. réidentifie les données à caractère personnel qui ont été anonymisées par un responsable du traitement ou un sous traitant;
2. réidentifie et traite des données à caractère personnel, sans le consentement du responsable du traitement;
commet une infraction.
Lorsqu’elle en est reconnue coupable, elle est passible d’un emprisonnement d’au moins un (1) an mais ne dépassant pas cinq (5) ans et d’une amende d’au moins sept millions de francs rwandais (7.000.000 FRW) mais ne dépassant pas dix millions de francs rwandais (10.000.000 FRW) ou de l’une de ces peines.
Art. 58
Destruction, effacement, dissimulation ou altération des données à caractère personnel d’une manière contraire à la présente loi
Une personne qui détruit, efface, dissimule ou altère les données à caractère personnel d’une manière contraire à la présente loi, commet une infraction.
Lorsqu’elle en est reconnue coupable, elle est passible d’un emprisonnement d’au moins trois (3) ans mais ne dépassant pas cinq (5) ans et d’une amende d’au moins sept millions de francs rwandais (7.000.000 FRW) mais ne dépassant pas dix millions de francs rwandais (10.000.000 FRW) ou de l’une de ces peines.
Art. 59
Vente des données à caractère personnel d’une manière contraire à la présente loi
Une personne qui vend les données à caractère personnel d’une manière contraire à la présente loi, commet une infraction.
Lorsqu’elle en est reconnue coupable, elle est passible d’un emprisonnement d’au moins cinq (5) ans mais ne dépassant pas sept (7) ans et d’une amende d’au moins douze millions de francs rwandais (12.000.000 FRW) mais ne dépassant pas quinze millions de francs rwandais (15.000.000 FRW) ou de l’une de ces peines.
Art. 60
Collecte ou traitement des données à caractère personnel sensibles d’une manière contraire à la présente loi
Une personne qui collecte ou traite les données à caractère personnel sensibles d’une manière contraire à la présente loi, commet une infraction.
Lorsqu’elle en est reconnue coupable, elle est passible d’un emprisonnement d’au moins sept (7) ans mais ne dépassant pas dix (10) ans et d’une amende d’au moins vingt millions de francs rwandais (20.000.000 FRW) mais ne dépassant pas vingt-cinq millions de francs rwandais (25.000.000 FRW) ou de l’une de ces peines.
Art. 61
Fourniture de fausses informations
Une personne qui fournit de fausses informations pendant et après l’enregistrement, commet une infraction.
Lorsqu’elle en est reconnue coupable, elle est passible d’un emprisonnement d’au moins un (1) an mais ne dépassant pas trois (3) ans et d’une amende d’au moins trois million de francs rwandais (3.000.000 FRW) mais ne dépassant pas cinq millions de francs rwandais (5.000.000 FRW) ou de l’une de ces peines.
Art. 62
Punition d’une personne morale ou d’une entité juridique
Une personne morale ou une entité juridique qui commet l’une des infractions visées aux articles 56, 57, 58, 59, 60 et 61 commet une infraction.
Lorsqu’elle en est reconnue coupable, elle est passible d’une amende d’un montant de francs rwandais équivalant à cinq pourcent (5%) de son chiffre d’affaires annuel de l’exercice précédent.
Art. 63
Sanctions supplémentaires
En plus des peines prévues par la présente loi, le tribunal, dans tous les cas, peut ordonner la saisie ou la confiscation des objets utilisés pour la commission de l’une des infractions prévues par la présente loi et des produits gagnés.
La juridiction peut également ordonner la fermeture permanente ou temporelle de l’entité juridique ou d’un organisme, ou du local dans lequel une infraction prévue par la présente loi a été commise.