Art. 18
Droit aux données à caractère personnel
Sans préjudice d’autres lois en la matière, la personne concernée peut, par écrit ou par voie électronique, demander au responsable du traitement ou au sous-traitant ce qui suit:
1. lui fournir les informations relatives aux finalités du traitement de ses données à caractère personnel;
2. lui fournir une copie de données à caractère personnel;
3. lui fournir une description des données à caractère personnel que le responsable du traitement ou le sous-traitant détient y compris des données sur les cordonnées d’un tiers ou des catégories de tiers qui ont ou ont eu accès aux données à caractère personnel;
4. l’informer de la source des données à caractère personnel lorsque ses données à caractère personnel n’ont pas été collectées auprès de la personne concernée;
5. l’informer en cas de transfert de ses données à caractère personnel vers un pays tiers ou à une organisation internationale.
L’exercice du droit visé au point 2 de l’alinéa premier du présent article ne s’applique pas si:
1. il peut porter atteinte aux droits et libertés d’autres personnes;
2. le privilège professionnel légal ou une autre obligation légale de confidentialité s’applique;
3. les données concernent des informations de gestion ou des informations sur la personne concernée ou sont liées aux négociations en cours avec la personne concernée qui fait la demande;
4. les données se rapportent aux références confidentielles de la personne concernée, aux scripts d’examen ou aux notes d’examen.
Le responsable du traitement et le sous-traitant doit fournir à la personne concernée ses données à caractère personnel d’une manière claire et concise.
La personne concernée qui n’est pas satisfaite de la réponse du responsable du traitement ou du sous-traitant peut faire recours auprès de l’autorité de contrôle dans les trente (30) jours à compter du jour de réception de la réponse.
Si la personne concernée fait un recours, l’autorité de contrôle réagit à son recours dans les soixante (60) jours à compter du jour de réception de recours.
Art. 19
Droit d’opposition
La personne concernée peut, à tout moment par écrit ou par voie électronique, demander au responsable du traitement ou au sous-traitant de cesser de traiter ses données à caractère personnel qui causent ou sont susceptibles de causer de la perte, de la tristesse ou de l’anxiété à la personne concernée.
Toutefois, ce droit ne s’applique pas si le responsable du traitement ou le sous-traitant démontre qu’il existe des motifs légitimes et impérieux pour le traitement qui prévalent sur les intérêts et les droits et libertés de la personne concernée, ou pour la constatation d’un droit en justice.
La personne concernée peut, à tout moment par écrit ou par voie électronique, demander au responsable du traitement ou au sous-traitant de cesser de traiter ses données à caractère personnel si les données à caractère personnel sont traitées à des fins de prospection, y compris au profilage dans la mesure où il est lié à une telle prospection.
Le responsable du traitement ou le sous traitant, dans un délai de trente (30) jours après réception de la demande, doit informer, par écrit ou par voie électronique, la personne concernée du respect de cette demande ou des raisons du non-respect.
La personne concernée qui n’est pas satisfaite de la réponse du responsable du traitement ou du sous-traitant peut faire recours auprès de l’autorité de contrôle dans les trente (30) jours à compter du jour de réception de la réponse.
Si la personne concernée fait un recours, l’autorité de contrôle réagit à son recours dans les soixante (60) jours à compter du jour de réception de recours.
Art. 20
Droit à la portabilité des données à caractère personnel
La personne concernée a le droit de demander au responsable du traitement par écrit ou par voie électronique de lui renvoyer ses données à caractère personnel comme il les lui avait fournies dans un format structuré et lisible.
La personne concernée a également le droit de demander au responsable du traitement par écrit ou par voie électronique que ses données à caractère personnel soient transmises à un autre responsable du traitement, lorsque cela est techniquement possible, sans aucune entrave.
Le responsable du traitement, dans un délai de trente (30) jours après réception de la demande, doit informer, par écrit ou par voie électronique, la personne concernée de la portabilité des données à caractère personnel.
La personne concernée qui n’est pas satisfaite de la réponse du responsable du traitement peut faire recours auprès de l’autorité de contrôle dans les trente (30) jours à compter du jour de réception de la réponse.
Si la personne concernée fait un recours, l’autorité de contrôle réagit à son recours dans les soixante (60) jours à compter du jour de réception de recours.
Art. 21
Droit de ne pas faire l’objet d’une décision fondée sur un traitement automatisé des données
La personne concernée a le droit de ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé de données à caractère personnel, y compris le profilage, pouvant produire des conséquences juridiques ou des conséquences significatives sur lui.
Toutefois, les dispositions de l’alinéa premier du présent article ne s’appliquent pas lorsque la décision:
1. est fondée sur le consentement explicite de la personne concernée;
2. est nécessaire à la conclusion ou à l’exécution d'un contrat entre la personne concernée et le responsable du traitement;
3. est autorisée par les lois auxquelles le responsable du traitement est soumis et met également en place des mesures appropriées pour la sauvegarde des droits, des libertés et des intérêts légitimes de la personne concernée.
Tout traitement automatisé des données à caractère personnel destiné à évaluer certains aspects personnels relatifs à une personne physique ne s’appuie pas sur des données à caractère personnel sensibles sauf si l’une des fondements prévus par l’article 10 de la présente loi est remplie.
Art. 22
Droit à la limitation du traitement de données à caractère personnel
La personne concernée ou l’autorité de contrôle a le droit d’obtenir du responsable du traitement la limitation du traitement des données à caractère personnel pendant une période donnée si:
1. l’exactitude des données à caractère personnel est contestée par la personne concernée pendant la vérification de leur exactitude;
2. le traitement est illicite et la personne concernée exige l’effacement de données à caractère personnel ou la limitation de l’utilisation de certaines d’entre elles;
3. la personne concernée s’est opposée au traitement de données à caractère personnel pendant la vérification portant sur le point de savoir si les motifs légitimes poursuivis par le responsable du traitement prévalent sur ceux de la personne concernée.
L’exercice du droit à la limitation du traitement des données à caractère personnel visé à l’alinéa premier du présent article ne s’applique pas si le traitement de données à caractère personnel:
1. est nécessaire pour la protection des droits d’une autre personne;
2. est nécessaire pour des motifs d’intérêt public.
Le responsable du traitement doit, avant de lever la limitation du traitement des données à caractère personnel prévue au point 1 de l’alinéa 2 du présent article, informer la personne concernée par écrit ou par voie électronique.
Art. 23
Droit à l’effacement de données à caractère personnel
La personne concernée a le droit d’obtenir du responsable du traitement par écrit ou par voie électronique l’effacement de ses données à caractère personnel lorsque:
1. les données à caractère personnel ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées ou traitées;
2. la personne concernée retire le consentement sur lequel est fondé le traitement des données à caractère personnel et il n’existe pas d’autre fondement juridique au traitement;
3. la personne concernée s’oppose au traitement des données à caractère personnel et il n’existe pas de motif légitime impérieux pour le traitement;
4. les données à caractère personnel ont fait l’objet d’un traitement illicite.
Le responsable du traitement qui a divulgué les données à caractère personnel à un tiers ou qui les a publiées dans le domaine public doit informer par écrit ou par voie électronique un tiers traitant ces données que la personne concernée a demandé l’effacement de tout lien vers ces données à caractère personnel ou de toute copie de celles-ci.
Toutefois, le droit de demander l’effacement de données à caractère personnel ne s’applique pas dans la mesure où ce traitement est nécessaire:
1. pour des motifs d’intérêt public;
2. à des fins de recherche historique ou scientifique ou à des fins statistiques;
3. pour respecter une obligation légale à laquelle le responsable du traitement est soumis ou pour exécuter une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le responsable du traitement;
4. à la constatation, à l'exercice ou à la défense de droits en justice dans l’intérêt du responsable du traitement. Le responsable du traitement, dans un délai de trente (30) jours après réception de la demande, doit informer, par écrit ou par voie électronique, la personne concernée de l’effacement de ses données à caractère personnel.
La personne concernée qui n’est pas satisfaite de la réponse du responsable du traitement peut faire recours auprès de l’autorité de contrôle dans les trente (30) jours à compter du jour de réception de la réponse.
Si la personne concernée fait un recours, l’autorité de contrôle réagit à son recours dans les soixante (60) jours à compter du jour de réception de recours.
Art. 24
Droit de rectification
La personne concernée a le droit d’obtenir du responsable du traitement la rectification de ses données à caractère personnel.
La personne concernée a le droit d’exiger que ses données à caractère personnel incomplètes soient complétées, le cas échéant.
Le responsable du traitement, dans un délai de trente (30) jours après réception de la demande, doit informer, par écrit ou par voie électronique, la personne concernée de la rectification de ses données à caractère personnel.
La personne concernée qui n’est pas satisfaite de la réponse du responsable du traitement peut faire recours auprès de l’autorité de contrôle dans les trente (30) jours à compter du jour de réception de la réponse.
Si la personne concernée fait un recours, l’autorité de contrôle réagit à son recours dans les soixante (60) jours à compter du jour de réception de recours.
Art. 25
Droit de désigner un héritier des données à caractère personnel
Les données à caractère personnel de la personne concernée ne font pas l’objet de la succession.
Toutefois, lorsqu’elle a laissé un testament, la personne concernée donne à son héritier le droit absolu ou limité relatif au traitement des données à caractère personnel détenues par le responsable du traitement ou le sous-traitant, si ces données à caractère personnel doivent encore être utilisées.
Art. 26
Droit à une représentation
Le droit de la personne concernée à une représentation est exercé lorsque:
1. la personne concernée n’a pas atteint l’âge de seize (16) ans, auquel cas elle est représentée par une personne qui a l’autorité parentale sur le mineur ou qui a été désignée comme son tuteur;
2. la personne concernée a une invalidité physique et n’est pas en mesure de se représenter elle-même, auquel cas elle est représentée par son parent, son parent adoptif, un centre ou une association pour sa prise en charge ou un tuteur désigné par une juridiction;
3. la personne concernée a une invalidité mentale attestée par un médecin agréé et n’est pas en mesure de se représenter elle même, auquel cas elle est représentée par son parent, son parent adoptif, un centre ou une association pour sa prise en charge ou un tuteur désigné par une juridiction;
4. il y a une autre raison, auquel cas elle est représentée par une autre personne autorisée par écrit par la personne concernée conformément à la législation en la matière.