Préalablement à leur mise en œuvre les traitements de données à caractère personnel effectués pour le compte de personnes doivent faire l'objet d'une déclaration auprès de la Commission de l’informatique et des libertés.
(Article 19 de la loi 010-2004/AN du 20 Avril 2004 portant protection des données à caractère personnel).

Tout traitement de données à caractère personnel doit avoir reçu le consentement de la ou des personnes concernée(s), sauf dérogations prévues par la loi (article 5 de la loi).

Sauf dérogation prévue par la loi, il est interdit de collecter ou de traiter sans le consentement exprès de la personne concernée, des données à caractère personnel qui sont relatives à la santé de celle-ci ou qui font apparaître les origines raciales, ethniques, les opinions politiques, philosophiques ou religieuses, l’appartenance syndicale ou les mœurs (article 20 de la loi).

Le responsable de traitement a l'obligation de collecter et de traiter de manière loyale, licite et non-frauduleuse les données à caractère personnel.

Tout traitement de données à caractère personnel ne peut se faire que dans les conditions suivantes (article 14 de la loi) :

Le responsable du traitement de données à caractère personnel a l'obligation d'informer la personne concernée :

• de la finalité du traitement ;
• de la ou des catégorie(s) de données collectées ;
• du nom et de l’adresse du responsable de traitement et, le cas échéant, de son représentant ;
  des destinataires des données ;