18 JOURNAL OFFICIEL DE LA REPUBLIQUE ALGERIENNE N° 34 25 Ramadhan 1439 10 juin 2018 Ces mesures doivent assurer, un niveau de sécurité approprié au regard des risques présentés par le traitement et de la nature des données à protéger. Chaque fournisseur de services tient à jour un inventaire des violations de données à caractère personnel et des mesures prises pour y remédier. Art. 39. — Lorsque le traitement est effectué pour le compte du responsable du traitement, il doit choisir un soustraitant qui apporte des garanties suffisantes inhérentes aux mesures de sécurité technique et d’organisation relatives aux traitements à effectuer et doit veiller au respect de ses mesures. Chapitre 4 Du transfert de données vers un pays étranger La réalisation de traitement en sous-traitance doit être régie par un contrat ou un acte juridique qui lie le sous-traitant au responsable du traitement et qui prévoit notamment que le sous-traitant n’agit que sous la seule instruction du responsable du traitement et dans le respect des obligations prévues à l’article 38 ci-dessus. Aux fins de la conservation des preuves, les éléments du contrat ou de l’acte juridique relatifs à la protection des données et les exigences portant sur les mesures prévues au paragraphe 1er de l’article 38 ci-dessus, sont consignés par écrit ou sous une autre forme équivalente. Art. 40. — Le responsable du traitement ainsi que les personnes qui, dans l’exercice de leurs fonctions, ont eu connaissance de données à caractère personnel, sont tenues au respect du secret professionnel même après avoir cessé d’exercer leurs fonctions, sous peine des sanctions prévues par la législation en vigueur. Art. 41. — Toute personne agissant sous l’autorité du responsable du traitement ou de celle du sous-traitant, qui accède à des données à caractère personnel ne peut les traiter que sur instruction du responsable du traitement, sauf en cas d’exécution d’une obligation légale. Chapitre 2 Du traitement de données à caractère personnel liées à la certification et à la signature électroniques Art. 42. — Sauf consentement exprès de la personne concernée, les données à caractère personnel recueillies par les prestataires de services de certification électronique pour les besoins de la délivrance et de la conservation des certificats liés aux signatures électroniques doivent l'être directement auprès de la personne concernée et ne peuvent être traitées que pour les fins en vue desquelles elles ont été recueillies. Chapitre 3 Traitement des données à caractère personnel dans le cadre de communications électroniques Art. 43. — Lorsque le traitement des données à caractère personnel sur les réseaux de communications électroniques ouverts au public, entraîne la destruction, la perte, l'altération, la divulgation ou l'accès non autorisé à ces données, le fournisseur de services avertit, sans délai, l’autorité nationale et la personne concernée lorsque cette violation peut porter atteinte à sa vie privée. La notification d'une violation des données à caractère personnel à l'intéressé n'est toutefois pas nécessaire si l’autorité nationale constate que des mesures de protection appropriées des données ont été mises en œuvre par le fournisseur. Art. 44. — Le responsable d’un traitement ne peut transférer, les données à caractère personnel vers un Etat étranger, que sur autorisation de l’autorité nationale, conformément aux dispositions de la présente loi et que si cet Etat assure un niveau de protection suffisant de la vie privée et des libertés et droits fondamentaux des personnes à l’égard du traitement dont ces données font l’objet ou peuvent faire l’objet. Le caractère suffisant du niveau de protection assuré par un Etat s’apprécie par l’autorité nationale notamment, en fonction des dispositions juridiques en vigueur dans cet Etat, des mesures de sécurité qui y sont applicables, des caractéristiques propres du traitement telles que ses fins et sa durée, ainsi que de la nature, de l’origine et de la destination des données traitées. Il est interdit, dans tous les cas, de communiquer ou de transférer des données à caractère personnel vers un pays étranger, lorsque ce transfert est susceptible de porter atteinte à la sécurité publique ou aux intérêts vitaux de l’Etat. Art. 45. — Par dérogation aux dispositions de l’article 44 de la présente loi, le responsable d’un traitement, peut transférer des données à caractère personnel vers un Etat ne répondant pas aux conditions prévues par ledit article : 1° si la personne concernée a consenti expressément à leur transfert ; 2° si le transfert est nécessaire : a) à la sauvegarde de la vie de cette personne ; b) à la préservation de l’intérêt public ; c) au respect d’obligations permettant d’assurer la constatation, l’exercice ou la défense d’un droit en justice ; d) à l’exécution d’un contrat entre le responsable du traitement et la personne concernée, ou de mesures précontractuelles prises à la demande de celui-ci ; e) à la conclusion ou à l’exécution d’un contrat conclu ou à conclure, dans l’intérêt de la personne concernée, entre le responsable du traitement et un tiers ; f) à l’exécution d’une mesure d’entraide judiciaire internationale ; g) à la prévention, au diagnostic ou au traitement d’affections médicales. 3° si le transfert s’effectue en application d’un accord bilatéral ou multilatéral auquel l’Algérie est partie ; 4° sur autorisation de l’autorité nationale, si le traitement est conforme aux dispositions de l’article 2 de la présente loi.