Article 6

La loi n° 18-07 du 25 Ramadhan 1439 correspondant au 10 juin 2018 susvisée, est complétée par un Titre V bis, intitulé : « Traitement des données à caractère personnel à des fins de prévention et de détection des infractions, d’investigations, d’enquêtes, de poursuites pénales, d’exécution et d’application des peines », comprenant les articles 45 bis à 45 bis 14, rédigés comme suit :

« Titre V bis Traitement des données à caractère personnel à des fins de prévention et de détection des infractions, d’investigations, d’enquêtes, de poursuites pénales, d’exécution et d’application des peines »

Chapitre 1er Principes fondamentaux

« Art. 45 bis. — Le traitement des données à caractère personnel à des fins de prévention et de détection des infractions, d’investigations, d’enquêtes, de poursuites pénales, d’exécution et d’application des peines, ne peut être effectué que par :

— l’autorité judiciaire ;

— les services et organismes légalement habilités à rechercher les infractions et à identifier les auteurs, dans les limites de leurs attributions et compétences ;

— les auxiliaires de justice, dans le cadre de leurs attributions légales et pour une durée proportionnée aux missions qui leur sont confiées ;

— les services de l’administration pénitentiaire, dans les limites de leurs attributions et compétences.

Le traitement visé au présent article doit définir le responsable du traitement, la finalité du traitement, les personnes concernées, les tiers auxquels ces données peuvent être communiquées, l’origine de ces données et les mesures à prendre pour assurer la sécurité du traitement qui doit respecter les dispositions de l’alinéa 1er de l’article 9 de la présente loi.

Nonobstant les dispositions des articles 7 et 8 de la présente loi, le consentement préalable de la personne concernée n’est pas requis pour le traitement des données à caractère personnel prévues au présent titre.

Les données à caractère personnel collectées par les autorités compétentes en vertu du présent titre, ne peuvent être traitées qu’aux fins de prévention et de détection des infractions, d’investigations, d’enquêtes, de poursuites pénales, d’exécution et d’application des peines. En cas de traitement à d’autres fins, les dispositions législatives pertinentes prévues dans la présente loi et dans la législation en vigueur sont applicables. ». 24 juillet 2025

« Art. 45 bis 1. — Les décisions de justice nécessitant une appréciation du comportement d'une personne ne peuvent être fondées sur le seul traitement automatisé des données à caractère personnel impliquant l'évaluation de certains aspects de sa personnalité.

Toute autre décision produisant des effets juridiques à l'égard d'une personne ne peut être prise sur le seul fondement d'un traitement automatisé de données ayant pour objet de caractériser une personne ou d'évaluer certains aspects de sa personnalité.

Ne sont pas considérées comme prises sur le seul fondement d'un traitement automatisé, les décisions qui sont prises dans le cadre de la conclusion ou de l’exécution d'un contrat et dans lesquelles la personne concernée a été mise à même de présenter ses observations, ni celles satisfaisant les demandes de la personne concernée. ».

« Art. 45 bis 2. — Lorsque des données à caractère personnel figurent dans une ordonnance, un jugement, un arrêt ou dans un dossier judiciaire, les dispositions du code de procédure pénale pertinentes doivent être prises en compte. ».

Chapitre 2 Obligations du responsable du traitement

« Art. 45 bis 3. — Le responsable du traitement doit, dans la mesure du possible, distinguer clairement les données relatives aux catégories de personnes concernées, notamment :

— les personnes dont il existe des raisons sérieuses de penser qu'elles ont commis ou sont sur le point de commettre une infraction ;

— les personnes condamnées pour une infraction ;

— les victimes ou les personnes qui, au vu de certains faits, sont supposées être victimes d'une infraction ;

— les personnes qui peuvent être amenées à témoigner dans le cadre d'enquêtes sur des infractions ou de procédures pénales ultérieures ou les personnes qui peuvent fournir des informations sur des infractions.

En outre, il doit tenir les registres prévus aux articles 41 bis 2 et 41 bis 3 de la présente loi. ».

Chapitre 3 Droits de la personne concernée

« Art. 45 bis 4. — La personne concernée bénéficie des droits prévus aux articles 32 (tirets 1, 2 et 3 du 1er alinéa), 34 et 35 de la présente loi.

Toutefois, les droits de la personne concernée en vertu du présent titre peuvent être restreints, refusés ou retardés, en totalité ou en partie, à condition que cela soit nécessaire et proportionné à la préservation des droits et libertés fondamentaux et des intérêts légitimes de la personne concernée, afin :

1- d’éviter d'entraver les investigations, les enquêtes ou les procédures officielles ou judiciaires.

2- d’éviter d'entraver les mesures de prévention ou de détection des infractions, le déroulement des investigations, des enquêtes, d'instructions, de poursuites pénales, d'exécution ou d’application des peines.

3- de protéger la sécurité publique ou la sécurité nationale.

4- de protéger les droits et libertés d'autrui.

Dans les cas visés ci-dessus, le responsable du traitement doit, par écrit ou par voie électronique, informer, dans les meilleurs délais, la personne concernée de tout refus, limitation ou retardement des droits cités et de leurs motifs, ainsi que de son droit d'introduire une réclamation auprès de l'autorité nationale ou de recourir à la justice.

Il peut être dérogé à l’obligation de communiquer au concerné les informations prévues dans le tiret 1er de l’article 34 de la présente loi, s’il existe un risque de ne pas atteindre les objectifs mentionnés à l’alinéa 2 du présent article. ».

« Art. 45 bis 5. — La personne concernée peut également exercer ses droits dans les cas prévus à l'article 45 bis 4 de la présente loi, par l'intermédiaire de l'autorité nationale.

Le responsable du traitement des données doit informer la personne concernée de la possibilité d'exercer ses droits à travers l'autorité nationale, conformément aux dispositions du 1er alinéa du présent article.

Si les droits sont exercés conformément au premier alinéa du présent article, l'autorité nationale doit informer la personne concernée que tous les examens et les vérifications nécessaires ont été effectués ou de son droit d'introduire un recours judiciaire. ».

Chapitre 4 De l’étude d’impact du traitement et de la violation des données à caractère personnel

« Art. 45 bis 6. — Lorsqu'il est probable qu'un type de traitement, notamment en utilisant de nouvelles technologies, est susceptible d'engendrer des risques élevés pour les droits et les libertés des personnes physiques, le responsable du traitement doit étudier, avant le traitement, l’impact des opérations de traitement à effectuer sur les données à caractère personnel, en tenant compte de la nature, de la portée, du contexte et des objectifs du traitement.

L’étude prévue au présent article doit comprendre, au moins, une description générale des opérations de traitements à effectuer, une évaluation des risques pour les droits et les libertés des personnes concernées, les mesures envisagées pour faire face à ces risques, les garanties, les mesures de sécurité et les mécanismes susceptibles d’assurer la protection des données à caractère personnel et d’apporter la preuve du respect des dispositions de la présente loi, eu égard aux droits et aux intérêts légitimes des personnes concernées et des autres personnes. ».

LA REPUBLIQUE ALGERIENNE N° 48 17

« Art. 45 bis 7. — Le responsable du traitement ou le sous-traitant doit mettre en place les mesures techniques et organisationnelles internes appropriées pour protéger les données à caractère personnel contre la destruction accidentelle ou illicite, la perte accidentelle, l'endommagement, la diffusion ou l'accès non autorisés, en particulier lorsque le traitement nécessite la transmission des données sur un réseau particulier, ainsi que la protection contre toute forme de traitement illicite.

Le responsable du traitement ou le sous-traitant doit également mettre en place des mesures techniques et organisationnelles internes adéquates pour assurer un niveau approprié de protection contre les risques, en particulier pour les traitements portant sur des données sensibles et biométriques, compte tenu de l'état des connaissances, du coût de la mise en service du traitement, de sa nature, de sa portée, de son contexte et de ses finalités. ».

« Art. 45 bis 8. — En cas de violation de données à caractère personnel, le responsable du traitement doit en informer l'autorité nationale, au plus tard, cinq (5) jours après en avoir pris connaissance.

Si la notification est faite hors ce délai, elle doit indiquer les raisons du retard.

Le sous-traitant doit informer le responsable du traitement, dès qu'il en a eu connaissance, de la violation de données à caractère personnel.

La notification visée au présent article comprend, au moins, les informations suivantes :

— la description de la nature de la violation des données à caractère personnel ;

— la description des conséquences possibles de la violation des données à caractère personnel ;

— la description des mesures prises ou qu'il est proposé de prendre, pour alléger les conséquences négatives éventuelles.

Si le responsable du traitement ou le sous-traitant n'est pas en mesure de fournir toutes ces informations en même temps, elles peuvent être communiquées progressivement. ».

« Art. 45 bis 9. — Le responsable du traitement des données doit documenter toutes violations des données à caractère personnel, leurs effets et les mesures rectificatives prises.

Cette documentation comprend les informations permettant à l'autorité nationale de vérifier le respect des présentes dispositions. ».

« Art. 45 bis 10. — Si la violation des données à caractère personnel est susceptible de causer un risque élevé pour les droits et les libertés des personnes physiques, le responsable du traitement en saisit la personne concernée en des termes simples et clairs avec une description des conséquences.

La saisine doit contenir les informations prévues à l’alinéa 4 de l’article 45 bis 8 de la présente loi et les coordonnées de contact du responsable du traitement.

La notification d'une violation des données à la personne concernée peut être retardée, limitée ou ne pas être effectuée, tant qu'il s'agit d'une mesure nécessaire et proportionnée, pour éviter d'entraver les mesures de prévention ou de détection des infractions, les investigations, les enquêtes, les instructions et les poursuites pénales, l'exécution ou l’application des peines, la protection de la sécurité nationale ou de la sûreté publique, ou pour protéger les droits et libertés des personnes, sans préjudice des droits et libertés fondamentaux légitimes. ».

« Art. 45 bis 11. — La personne responsable du traitement et le sous-traitant coopèrent avec l'autorité nationale dans l'exercice de ses missions et la consultent avant tout traitement des données à caractère personnel qui constituent une partie d’un nouveau fichier envisagé, lorsque l'étude d'impact sur les données à caractère personnel mentionnée à l'article 45 bis 6 de la présente loi, indique que le traitement présente un risque élevé, si le responsable du traitement ne prend pas de mesures pour atténuer le risque, ou lorsque le traitement présente un risque élevé pour les droits et les libertés des personnes concernées, compte tenu des mécanismes ou technologies utilisés.

L'autorité nationale peut établir une liste des traitements qui sont soumis à sa consultation. ».

Chapitre 5 Du contrôle

« Art. 45 bis 12. — L’autorité nationale effectue les vérifications et les examens prévus dans le présent titre et contrôle le respect du traitement des données à caractère personnel des droits et des libertés de la personne concernée.

Dans ce cas, l'autorité nationale charge l’un de ses membres pour procéder à toutes vérifications et tous examens nécessaires ainsi qu'à toutes démarches utiles auprès des autorités compétentes.

Dans l’exercice de ses missions prévues dans le présent titre, l’autorité nationale ne peut s’immiscer dans aucune procédure judiciaire ni dans les prérogatives du pouvoir judiciaire. ».

Chapitre 6 Du transfert des données vers un pays étranger ou à une organisation internationale

« Art. 45 bis 13. — L'autorité compétente évalue dans le transfert de données vers un Etat étranger ou à une organisation internationale, le niveau de protection adéquat garanti par l'Etat ou l'organisation internationale concernés, en tenant compte notamment du respect des droits de l'Homme et des libertés fondamentales, des prescriptions légales en vigueur dans cet Etat ou cette organisation internationale, de leur applicabilité, des mesures de sécurité applicables et de l'existence d'une autorité nationale chargée de contrôler les données à caractère personnel dans cet Etat ou cette organisation internationale et s’ils disposent d'une autorité suffisante pour faire respecter les règles de protection des données à caractère personnel dans les cas suivants :

— lorsque le transfert est nécessaire à des fins de prévention ou de détection d'infractions, des investigations, d'enquêtes, d’instructions, de poursuites pénales, d'exécution ou d’application des peines ; 24 juillet 2025

— lorsque les données sont transférées à une autorité compétente aux fins prévues au 1er tiret du présent article ;

— pour tenir compte de la gravité de l'infraction, de la finalité et du niveau de protection des données à caractère personnel dans l'autre pays ou l’organisation internationale vers lesquels les données à caractère personnel sont transférées.

Si les garanties sont insuffisantes dans l'Etat étranger ou l’organisation internationale, l'autorité compétente peut transférer ou autoriser le transfert des données à caractère personnel à condition que le transfert soit nécessaire :

— pour protéger les intérêts vitaux de la personne concernée ou de toute autre personne ;

— pour protéger les intérêts légitimes de la personne concernée ;

— pour prévenir une menace immédiate et grave à la sécurité publique de l'Etat concerné ou d'un autre Etat ;

— dans des cas individuels, aux fins de prévention ou de détection d'infractions, d'enquêtes, d’instructions ou de poursuites pénales, d'exécution ou d’application des peines ou de l'exercice des droits de la défense.

Les données transférées sont conservées pendant la période convenue et, le cas échéant, pendant la période nécessaire aux fins pour lesquelles elles ont été demandées. ».

« Art. 45 bis 14. — Les données à caractère personnel qui proviennent d'un pays étranger ou d'une organisation internationale ne peuvent être transférées, vers un autre Etat ou à une autre organisation internationale, à moins que l'Etat ou l'organisation internationale qui a envoyé les données n'ait préalablement accepté ce transfert.

Toutefois, s'il n'est pas possible d'obtenir l'autorisation préalable en temps utile, les données concernées peuvent être transmises, sans l’accord préalable, lorsque ce transfert est nécessaire pour les intérêts fondamentaux de l'Etat, ou pour empêcher une menace grave et immédiate à la sécurité publique de l'Etat concerné ou de celle d’un autre Etat.

L'autorité à l'origine des données à caractère personnel est immédiatement informée.

L’autorité compétente peut, avant le transfert des données à caractère personnel, demander l’avis de l'autorité nationale. ».