PROTECTION DES DONNEES PERSONNELLES:CE QUE RISQUENT LES ENTREPRISES IVOIRIENNES.
Le développement de la société de l’information a contribué à l’utilisation accélérée des données à caractère personnel qui se trouvent inéluctablement menacées. Cette menace s’explique par le fait que les Technologies de l’Information et de la Communication aujourd’hui constituent un vrai danger pour les données personnelles des individus.
Face à une telle menace, la Côte d’Ivoire à l’instar de certains Etats soucieux de la protection des individus, a décidé de prendre des mesures législatives afin de protéger les données personnelles de ses citoyens. La Côte d’Ivoire a adopté la loi N°2013-450 du 19 Juin 2013 relative à la protection des données à caractère personnel. Cette loi s’inscrit dans le cadre des standards internationaux en matière de protection des données personnelles.
Elle établit les régimes juridiques du traitement et de circulation des données à caractère personnel, que ces traitements soient mis en œuvre par des personnes privées, les collectivités locales ou par l’Etat et détermine les responsabilités des personnes responsables du traitement. Elle pose ainsi un principe d’interdiction de transfert des données à caractère personnel vers des pays tiers qui n’offrent pas une protection adéquate. Cette loi apporte des avancées substantielles, telles que l’institution d’une Autorité de Protection des données à caractère personnel confiée à l'ARTCI (Autorité de Régulation des Télécommunications/TIC de Côte d’Ivoire). Enfin la reconnaissance d’un droit à l’oubli numérique, le droit à l’opposition et au refus du profilage, le droit à la portabilité des données personnelles aux personnes concernées et la création d’un acteur important de mise en conformité le Correspondant à la protection des données à caractère personnel.
Les entreprises, responsables de traitement des données personnelles exerçant en Côte d’Ivoire, disposaient d’un délai de six (6) mois à compter de la date de l’entrée en vigueur de la loi ci-dessus indiquée pour se mettre conformité. C’est une obligation légale (Article 53, loi N°2013-450). La décision N°2017-0354 du 26 octobre 2017 portant procédure de mise en conformité des responsables du traitement a été prise par la suite. Elle définit la procédure de mise en conformité des responsables de traitements avec les dispositions de la loi N°2013-450 du 19 juin 2013 relative à la protection des données personnelles. Les sociétés telles que Huawei exerçant ses activités en Côte d’Ivoire a démarré son processus de mise en conformité avec la loi relative à la protection des données personnelles. Pour dire que cela devient un souci majeur pour les entreprises ivoiriennes.
Mais qu’entend-on par mise en conformité avec la loi N°2013-450 relative à la protection des données personnelles ?
Selon l’article 2 de la décision N°2017-0354 du 26 octobre 2017 portant procédure de mise en conformité des responsables du traitement, « la mise en conformité implique que les mesures techniques, organisationnelles et juridiques, nécessaires pour la protection des données à caractère personnel aient été prises par les responsables du traitement ».
Ce sont donc des mesures de nature juridique, technique et organisationnelle qu’une entreprise (responsable de traitement) va mettre en place en son sein afin que les traitements des données personnelles envisagés respectent les dispositions de la loi en vigueur. Nous remarquons de ce fait que la mise en conformité n’a pas seulement un aspect juridique mais également technique et organisationnel.
Ce qui implique que la mise en conformité est autant pour les juristes qualifiés en la matière que pour les spécialistes des Technologies de l'Information et de la Communication s'occupant des systèmes d’information dans l’entreprise pour l’accompagner dans cette procédure.
Quelles sont les entreprises concernées par la mise conformité en Côte d’Ivoire ?
Il ressort de la loi relative à la protection des données à caractère personnel que la mise en conformité s'impose aux entreprises responsables du traitement des données personnelles.
Selon l’article premier de la loi N°2013-450 relative à la protection des données à caractère personnel, le responsable du traitement « est la personne physique ou morale, privée ou publique, tout autre organisme ou association qui, seul ou conjointement avec d’autres, prend la décision de collecter et de traiter des données à caractère personnel et en détermine les finalités ».
Les responsables du traitement en Côte d’Ivoire sont ces entreprises qui procèdent au traitement des données personnelles et en déterminent les finalités dans leurs activités. Toutes les entreprises effectuent ces opérations sur les données personnelles soit des usagers soit de leurs clients. Nous pouvons citer notamment les opérateurs de téléphonie mobile, les micro finances, les structures bancaires, les compagnies d’assurances, les agences de voyages, les collectivités territoriales, les administrations publiques, les centres hospitaliers, les cliniques. Il faut souligner que la mise en conformité en Côte d’Ivoire concerne autant les entités privées que les entités publiques.
Rappelons que le responsable du traitement des données personnelles puisse faire appel à un sous traitant. Il s'agit de toute personne physique ou morale, publique ou privée, ou tout autre organisme ou association qui traite des données personnelles pour le compte du responsable du traitement. Le sous-traitant est également tenu de procéder à sa mise en conformité. Dans la pratique le responsable du traitement exigera cette obligation dans l'une des clauses du contrat de prestation de services le liant au sous-traitant.
Quels sont les risques encourus en cas de non-conformité avec la loi N°2013-450 ?
La mise en conformité est une obligation qui pèse sur les entreprises, responsables du traitement en Côte d’Ivoire. Le défaut de mise en conformité rencontré au sein d’une entreprise après une mise en demeure infructueuse de l’Autorité de Protection est susceptible d'entraîner des sanctions sévères.
Il ressort de l’article 51 de la loi de N°2013-450 relative à la protection des données, qu’un responsable du traitement (ou son sous-traitant) qui ne se conformerait pas aux dispositions de la loi relative à la protection des données personnelles après une mise en demeure adressée, risque des sanctions. Cette entreprise supportera non seulement des sanctions administratives mais également des sanctions pécuniaires.
Au titre des sanctions administratives, cela va du retrait provisoire de l’autorisation du traitement des données personnelles au retrait définitif de ladite autorisation. Dans ce sens les activités d’une entreprise pourraient être paralysées soit partiellement soit totalement en raison d’un traitement de données personnelles non conforme à la loi en vigueur. Cela pourrait avoir des répercussions économiques négatives. Les décisions prises par l’ARTCI faisant l’objet de publicité, aucun client d’un établissement bancaire par exemple serait heureux d'apprendre que sa banque partenaire n'est pas en mesure d’assurer la protection de ses données personnelles. Cela pourrait engendrer également une baisse de notoriété qui serait défavorable à une structure au niveau concurrentiel.
La sanction pécuniaire quant à elle consiste au paiement d’un montant qui est fonction de la gravité des manquements commis et aux avantages tirés de ces manquements. En cas de manquement réitéré par une entreprise, la somme ne peut excéder 5% de son chiffre d’Affaires hors taxes du dernier exercice clos dans la limite de 500 000 000 FCFA (article 51 al 4 de la loi N°2013-450). Soulignons que ces sanctions administratives et pécuniaires sont appliquées sans préjudice de sanctions pénales.
Le Correspondant à la protection des données à caractère personnel, acteur important dans la procédure de mise en conformité en Côte d’Ivoire
Nous ne pouvons pas parler de la mise en conformité sans évoquer la fonction du correspondant à la protection des données à caractère personnel qui est l’équivalent du Délégué à la protection des données personnelles ou DPO (en Anglais, Data Protection Officer) prévu dans le RGPD en Europe. Le Correspondant à la protection des données à caractère personnel en Côte d’Ivoire, véritable clé de voûte du système de protection des données personnelles est un acteur important dans le processus de mise en conformité des entreprises. Son profil, son statut et ses missions sont prévus dans l’arrêté N°2014 du 11 Novembre 2014 portant définition du profil et fixant les conditions d’emploi du correspondant à la protection des données à caractère personnel.
Au sens dudit arrêté « le correspondant à la protection est la personne physique ou morale désignée par le responsable du traitement pour assurer d’une manière indépendante, le respect des obligations prévues pour la protection des données à caractère personnel, conformément à la législation en vigueur. »
Il faudrait alors que les entreprises, responsables du traitement pensent à désigner un correspondant à la protection des données personnelles afin de les accompagner au mieux dans leurs processus de mise en conformité. C'est un véritable atout.