Le développement de la société de l’information a contribué à l’utilisation accélérée des données à caractère personnel qui se trouvent inéluctablement menacées. Cette menace s’explique par le fait que les Technologies de l’Information et de la Communication aujourd’hui constituent un vrai danger aujourd’hui pour les données personnelles des individus.

Face à une telle menace, la Côte d’Ivoire à l’instar de certains Etats soucieux de la protection des individus, a décidé de prendre des mesures législatives afin de protéger les données personnelles de ces citoyens. La Côte d’Ivoire a adopté la loi N°2013-450 du 19 Juin 2013 relative à la protection des données à caractère personnel. Cette loi s’inscrit dans le cadre des standards internationaux en matière de protection des données personnelles.

Elle établit les régimes juridiques du traitement et de circulation des données à caractère personnel, que ces traitements soient mis en œuvre par des personnes privées, les collectivités locales ou par l’Etat et détermine les responsabilités des personnes responsables du traitement. Elle pose ainsi un principe d’interdiction de transfert des données à caractère personnel vers des pays tiers qui n’offrent pas une protection adéquate. Cette loi apporte des avancées substantielles, telles que l’institution d’une Autorité de Protection des données à caractère personnel confiée à l’ARTCI (Autorité de Régulation des Télécommunications/TIC de Côte d’Ivoire). Enfin la reconnaissance d’un droit à l’oubli numérique, le droit à l’opposition et au refus du profilage, le droit à la portabilité des données personnelles aux personnes concernées et la création d’un acteur important de mise en conformité le Correspondant à la protection des données à caractère personnel.

Les entreprises, responsables de traitement des données personnelles exerçant en Côte d’Ivoire, disposaient d’un délai de six (6) mois à compter de la date de l’entrée en vigueur de la loi ci-dessus indiquée pour se mettre conformité. C’est une obligation (Article 53, loi N°2013-450). La décision N°2017-0354 du 26 octobre 2017 portant procédure de mise en conformité des responsables du traitement a été prise par la suite. Cette décision définit la procédure de mise en conformité des responsables de traitements avec les dispositions de la loi N°2013-450 du 19 juin 2013 relative à la protection des données personnelles. Le mois dernier la société HUAWEI exerçant ses activités en Côte d’Ivoire a démarré son processus de mise en conformité avec la loi relative à la protection des données personnelles. Pour dire que cela devient un souci majeur pour les entreprises.

Qu’entend-on pas par mise en conformité avec la loi N°2013-450 relative à la protection des données personnelles ?

Selon l’article 2 de la décision N°2017-0354 du 26 octobre 2017 portant procédure de mise en conformité des responsables du traitement, « la mise en conformité implique que les mesures techniques, organisationnelles et juridiques, nécessaires pour la protection des données à caractère personnel aient été prises par les responsables du traitement ».

Ce sont donc des mesures de nature juridique, technique et organisationnelle qu’une entreprise (responsable de traitement) va mettre en place en son sein afin que les traitements envisagés respectent les dispositions de la loi en la matière. Nous remarquons de ce fait que la mise en conformité n’a pas seulement un aspect juridique mais également technique et organisationnel.

Ce qui implique que les juristes qualifiés en la matière agiront avec les spécialistes des systèmes d’information dans l’entreprise pour l’accompagner dans cette procédure.

Quelles sont les entreprises concernées par la mise conformité en Côte d’Ivoire ?

Selon l’article premier de la loi N°2013-450 relative à la protection des données à caractère personnel, le responsable du traitement « est la personne physique ou morale, privée ou publique, tout autre organisme ou association qui, seul ou conjointement avec d’autres, prend la décision de collecter et de traiter des données à caractère personnel et en détermine les finalités ».

Les responsables du traitement en Côte d’Ivoire sont ces entreprises qui procèdent au traitement des données personnelles et en déterminent les finalités dans leurs activités. Toutes les entreprises effectuent ces opérations sur les données personnelles soit des usagers ou de leurs clients. Nous pouvons citer notamment les opérateurs de téléphonie mobile, les microfinances, les structures bancaires, les compagnies d’assurances, les agences de voyages, les collectivités territoriales, les administrations publiques, les centres hospitaliers, les cliniques.

Il faut souligner que la mise en conformité en Côte d’Ivoire concerne non seulement les entités privées mais également les entités publiques.

Quels sont les risques encourus en cas de non-conformité avec la loi N°2013-450 ?

La mise en conformité est une obligation qui pèse sur les entreprises, responsables du traitement en Côte d’Ivoire. Le défaut de mise en conformité rencontré au sein d’une entreprise après une mise en demeure infructueuse de l’Autorité de Protection (L’ARTCI), entrainerait des sanctions sévères.

Il ressort de l’article 51 de la loi de N°2013-450 relative à la protection des données, qu’un responsable du traitement (ou son sous-traitant) qui ne se conformerait pas aux dispositions de la loi relative à la protection des données personnelles après une mise en demeure adressée, risque des sanctions. Cette entreprise supportera non seulement des sanctions administratives mais également des sanctions pécuniaires.

Au titre des sanctions administratives, cela va du retrait provisoire de l’autorisation du traitement des données personnelles au retrait définitif de ladite autorisation. Les activités d’une entreprise pourraient être paralysées soit en partiellement soit totalement en raison d’un traitement de données personnelles non conforme à la loi en vigueur. Cela pourrait avoir des répercussions économiques négatives. Les décisions prises par l’ARTCI faisant l’objet de publicité, aucun client d’un établissement bancaire par exemple n’accepterait de continuer avec une structure qui ne serait pas capable d’assurer la protection de ses données personnelles. Cela pourrait engendrer également une baisse de notoriété qui serait défavorable à une structure au niveau concurrentiel.

La sanction pécuniaire quant à elle consiste au paiement d’un montant qui est fonction de la gravité des manquements commis et aux avantages tirés de ces manquements. En cas de manquement réitéré par une entreprise, la somme ne peut excéder 5% de son chiffre d’Affaires hors taxes du dernier exercice clos dans la limite de 500 000 000 FCFA (article 51 al 4 de la loi N°2013-450). Soulignons que ces sanctions administratives et pécuniaires sont appliquées sans préjudice de sanctions pénales.

Le Correspondant à la protection des données à caractère personnel, acteur important dans la procédure de mise en conformité en Côte d’Ivoire
Nous ne pouvons pas parler de mise en conformité sans évoquer la fonction du correspondant à la protection des données à caractère personnel qui est l’équivalent du Délégué à la protection des données personnelles ou DPO (en Anglais, Data Protection Officer) prévu dans le RGPD en Europe. Le Correspondant à la protection des données personnelles en Côte d’Ivoire, véritable clé de voûte du système de protection des données à caractère personnel est un acteur important dans le processus de mise en conformité des entreprises.

Son profil et son statut sont prévus dans l’arrêté N°2014 du 11 Novembre 2014 portant définition du profil et fixant les conditions d’emploi du correspondant à la protection des données à caractère personnel.

Au sens dudit arrêté « le correspondant à la protection est la personne physique ou morale désignée par le responsable du traitement pour assurer d’une manière indépendante, le respect des obligations prévues pour la protection des données à caractère personnel, conformément à la législation en vigueur. »

Il faudrait alors que les entreprises, responsables du traitement pensent à désigner un correspondant à la protection des données personnelles afin de les accompagner dans le processus de mise en conformité. Car celui-ci serait bénéfique aux entreprises pour leur faire éviter les sanctions prévues en cas de non-conformité.

Boris P. Houphouët,
Juriste,
Expert en protection des données personnelles

(Source : ICT4Africa, 8 mai 2020)