Rwanda’s law on the protection of personal data and privacy (DPP Law)

Une personne qui désire être responsable du traitement ou sous-traitant doit se faire enregistrer auprès de l’autorité de contrôle.

Une personne faisant une demande d’enregistrement à titre de responsable du traitement ou de sous-traitant doit indiquer ce qui suit: 

1. son identité et son point de contact unique désigné; 

2. l’identité et l’adresse de son représentant s’il l’a nommé; 

3. la description des données à caractère personnel à traiter et de la catégorie des personnes concernées; 

4. si le demandeur détient ou non ou est susceptible de détenir des types des données à caractère personnel en fonction des secteurs dans lesquels il opère; 

5. les finalités du traitement des données à caractère personnel doivent être traitées; 

6. les catégories de destinataires auxquels le responsable du traitement ou le sous traitant entend communiquer les données à caractère personnel;

7. le pays vers lequel le demandeur entend transférer directement ou indirectement les données à caractère personnel;

8. les risques liés au traitement des données à caractère personnel et les mesures visant à prévenir ces risques et à protéger les données à caractère personnel. 

L’autorité de contrôle peut établir un règlement déterminant les conditions additionnelles à être remplies par une personne faisant une demande d’enregistrement à titre de responsable du traitement ou de sous traitant.

L’autorité de contrôle octroie un certificat d’enregistrement à une personne faisant une demande d’enregistrement à titre de responsable du traitement ou sous-traitant qui remplit les conditions d’enregistrement dans les trente (30) jours ouvrables à compter de la date de réception de la demande d’enregistrement. 

L’autorité de contrôle met en place un règlement qui détermine la durée de validité du certificat d’enregistrement.

Après obtention du certificat d’enregistrement, lorsqu’il survient un changement dans les motifs pour lesquels un certificat d’enregistrement a été octroyé, le responsable du traitement ou le sous-traitant en informe par écrit ou par voie électronique l’autorité de contrôle dans les quinze (15) jours ouvrables à compter du jour où ce changement est intervenu. 

L’autorité de contrôle, dès qu’elle est informée du changement visé à l’alinéa premier du présent article et qu’elle en est satisfaite, met à jour les informations.

Le responsable du traitement et le sous-traitant ayant obtenu un certificat d’enregistrement peut demander que son certificat soit renouvelé dans les quarante-cinq (45) jours ouvrables avant la date d’expiration du certificat existant. 

L’autorité de contrôle répond par écrit ou par voie électronique à la demande visée à l’alinéa premier du présent article dans les trente (30) jours ouvrables de la réception de la demande. 

L’autorité de contrôle établit un règlement fixant les conditions pour le renouvellement d’un certificat d’enregistrement.

L’autorité de contrôle peut, de sa propre initiative ou sur demande d’un titulaire de certificat d’enregistrement, modifier le certificat d’enregistrement avant l’expiration de sa validité si l’autorité de contrôle estime cette modification est nécessaire pour répondre: 

1. au changement intervenu dans des lois applicables; 

2. à un changement dans les informations qu`il a fournies pouvant affecter le certificat d’enregistrement.

L’autorité de contrôle peut annuler le certificat d’enregistrement avant sa date d’expiration si le titulaire de certificat d’enregistrement: 

1. a fourni des informations fausses ou trompeuses; 

2. ne se conforme pas aux conditions de la présente loi ou aux termes et conditions spécifiés dans le certificat. 

L’autorité de contrôle, avant l’annulation du certificat d’enregistrement, donne au titulaire du certificat, par écrit ou par voie électronique, un préavis d’annulation de quinze (15) jours ouvrables lui demandant des explications sur la non-conformité aux dispositions de l’alinéa premier du présent article.