Article 5

Le Titre V de la loi n° 18-07 du 25 Ramadhan 1439 correspondant au 10 juin 2018 susvisée, est complété par un Chapitre 1 bis 1 intitulé « Registres et carnets de traitement », comprenant les articles 41 bis 2 et 41 bis 3, rédigés comme suit :

« Chapitre 1 bis 1 Des registres et carnets de traitement »

« Art. 41 bis 2. — Le responsable du traitement tient un registre des activités de traitement effectuées sous sa responsabilité, comprenant, notamment :

— les noms et les coordonnées de contact du responsable du traitement et de son délégué ;

— les finalités et le fondement juridique de l’opération de traitement ;

— les catégories des destinataires auxquels les données à caractère personnel ont été ou seront communiquées, y compris les destinataires dans les autres Etats ou Organisations internationales ;

— une description des catégories de personnes et de données à caractère personnel concernées ;

— la mention, dans la mesure du possible, des délais prévus pour l’effacement partiel ou total des données à caractère personnel ;

— une description générale des mesures techniques et organisationnelles de sécurité mises en place.

Le sous-traitant tient également un registre des activités de traitement effectuées pour le compte du responsable du traitement, comprenant notamment, le nom et les coordonnées de contact du sous-traitant ainsi que les catégories de traitement réalisées pour le compte du responsable du traitement et, dans la mesure du possible, une description générale des mesures techniques et organisationnelles de sécurité mises en œuvre.

Les registres prévus par le présent article doivent être tenus sous format papier ou électronique et mis, sur sa demande, à la disposition de l’autorité nationale. ».

« Art. 41 bis 3. — Le responsable du traitement ainsi que le sous-traitant tiennent chacun un carnet automatisé des opérations de traitement des données à caractère personnel comprenant, au moins, les opérations de collecte, d’inscription, d’organisation, de conservation, d’adaptation, de modification, d’extraction, de consultation, d’utilisation ou de communication par transmission, de diffusion ou de toute autre forme de mise à disposition, de rapprochement ou d’interconnexion, ainsi que de verrouillage, de chiffrement, d’effacement ou de destruction.

Le carnet des opérations permet d’identifier les motifs, la date et l’heure des opérations susvisées et, dans la mesure du possible, la détermination de l’identité de la personne ayant utilisé, consulté ou divulgué les données, ainsi que l’identité des destinataires. Il est mis, sur sa demande, à la disposition de l’autorité nationale.

Le carnet des opérations est utilisé, exclusivement, aux fins de vérification de la légalité du traitement, du contrôle interne, de la garantie de l’intégrité et de la sécurité des données ainsi que pour les besoins des procédures pénales. ».