Protection des données à caractère personnel : ce que dispose la Convention de Malabo

L’Association des Informaticiens du Niger (ASINNI) est une association à but non lucratif créée par  sur arrêté N°00137MISPD/ACR/DGAPJ/DLP du 01 Mars 2018. Elle pour mission de  sensibiliser, d’informer, de former, de faire la promotion et le développement du numérique au Niger. Dans le cadre de ses activités, l’ASINNI a initié le « Projet de sensibilisation et de plaidoyer pour le renforcement de la protection des données à caractère personnel » avec l’appui de l’Association des utilisateurs des technologies de l’information et de la communication (ASUTIC) basée au Sénégal. La sensibilisation passe par une bonne connaissance des instruments juridiques nationaux, régionaux et internationaux qui régissent l’environnement numérique et surtout les pertinentes dispositions de protection de la vie privée en cette ère de développement fulgurant de nouvelles technologiques ainsi que les risques et défis en matière de protection de la vie privée que cela engendre. C’est dans ce cadre que l’ASINNI met en œuvre une vaste campagne de vulgarisation du principal instrument juridique de l’Union Africaine (UA) en la matière, la Convention de sur la Cybersécurité et la Protection des données à caractère personnel dite « Convention de Malabo ».

La Convention de l’Union africaine (UA) sur la Cybersécurité et la protection des données à caractère personnel, appelée aussi « Convention de Malabo », a été adoptée le 27 juin 2014. Elle vise  à « renforcer et harmoniser les législations actuelles des Etats membres et des Communautés Economiques Régionales (CER) en matière de TIC », dans le respect des libertés fondamentales et des droits de l’Homme et des Peuples. Elle vise également à créer « un cadre normatif approprié correspondant à l’environnement juridique, culturel, économique et social africain » et souligne que la protection des données personnelles et de la vie privée est un « enjeu majeur de la société de l’information ». Aussi, selon ses dispositions, tout traitement de données personnelles doit respecter un équilibre entre libertés fondamentales, promotion et usage des TIC, intérêts des acteurs publics et privés. La Convention prévoit aussi que « chaque État partie s'engage à adopter des mesures législatives et/ou réglementaires pour identifier les secteurs considérés comme sensibles pour sa sécurité nationale et le bien-être de son économie ».

La Convention de Malabo du 27 juin 2014 constitue une innovation majeure de la stratégie de lutte contre la cybercriminalité en Afrique. En effet, elle se base sur une approche très large de la cybersécurité  impliquant la lutte contre la cybercriminalité, la protection des données à caractère personnel et l’encadrement des transactions électroniques. Elle présente la particularité d’intégrer l’approche de cybersécurité dans la stratégie de lutte, impliquant notamment la promotion de la culture de la cybersécurité, l’élaboration d’une politique nationale de cybersécurité, la sensibilisation des populations, la formation des acteurs et la mise en place de structures de cybersécurité (CERT, structure d’investigation etc.).

Le processus de signature et de ratification de la Convention est  en marche et plusieurs Etats se sont déjà engagés dans cette voie notamment au niveau de la CEDEAO. Il est, en effet, impératif que les Etats membres s’activent à boucler le processus pour permettre son entrée en vigueur afin notamment de renforcer la coopération entre les Etats, ce qui permettra d’atteindre les objectifs qui lui sont assignés. Malgré les défis plus pressants sur le continent, l’Afrique est déjà en retard et ce ne sont pas les enjeux stratégiques qui manquent.

Il est à noter que le texte de la Convention de Malabo est divisé en quatre chapitres : les transactions électroniques, la protection des données à caractère personnel, la promotion de la cybersécurité et lutte contre la cybercriminalité, et les dispositions finales.

Dans cette partie, nous vous proposons les pertinentes dispositions du Chapitre II relatif à la protection des données à caractère personnel.

CHAPITRE II : LA PROTECTION DES DONNEES A CARACTEREPERSONNEL

Section I : la protection des données à caractère personnel

Article 8 : L’objet de la présente Convention sur les données à caractère personnel

1. Chaque État partie s’engage à mettre en place un cadre juridique ayant pour objet de renforcer les droits fondamentaux et les libertés publiques, notamment la protection des données physiques et de réprimer toute infraction relative à toute atteinte à la vie privée sans préjudice du principe de la liberté de circulation des données à caractère personnel.
2. Ce dispositif doit garantir que tout traitement, sous quelque forme que ce soit, respecte les libertés et droits fondamentaux des personnes physiques tout en prenant en compte les prérogatives de l’État, les droits des collectivités locales et les buts pour lesquels les entreprises ont été créées.

Article 9: Le champ d’application de la Convention

1. Sont soumises à la présente Convention :
2. a) Toute collecte, tout traitement, toute transmission, tout stockage ou toute utilisation des données à caractère personnel effectués par une personne physique, par l’État, les collectivités locales, les personnes morales de droit public ou de droit privé ;
3. b) Tout traitement automatisé ou non de données contenues ou appelées à figurer dans un fichier, à l’exception des traitements mentionnés à l’Article 9.2 de la présente Convention ;
4. c) Tout traitement mis en oeuvre sur le territoire d’un État Partie de l’Union Africaine ;
5. d) Tout traitement des données concernant la sécurité publique, la défense, la recherche et la poursuite d'infractions pénales ou la sûreté de l'État, sous réserve des dérogations définies par des dispositions spécifiques fixées par d’autres textes de loi en vigueur.
6. La présente Convention ne s'applique pas :
7. a) aux traitements de données mis en oeuvre par une personne physique dans le cadre exclusif de ses activités personnelles ou domestiques, à condition toutefois que les données ne soient pas destinées à une communication systématique à des tiers ou à la diffusion) aux copies temporaires faites dans le cadre des activités techniques de transmission et de fourniture d'accès à un réseau numérique, en vue du stockage automatique, intermédiaire et transitoire des données et à seule fin de permettre à d'autres destinataires du Service le meilleur accès possible aux informations transmises.

Section IV : Les droits conférés à la personne dont les données font l’objet d’un traitement

Article 16: Droit à l’information

Le responsable du traitement doit fournir à la personne physique dont les données font l’objet d’un traitement, au plus tard, lors de la collecte et quels que soient les moyens et supports employés, les informations suivantes :

1. a) son identité et, le cas échéant, celle de son représentant ;
2. b) la ou les finalités déterminées du traitement auquel les données sont destinées ;
3. c) les catégories de données concernées ;
4. d) le ou les destinataires auxquels les données sont susceptibles d’être communiquées ;
5. e) le fait de pouvoir demander à ne plus figurer sur le fichier ;
6. f) l’existence d’un droit d’accès aux données la concernant et de rectification de ces données ;
7. g) la durée de conservation des données ;
8. h) l’éventualité de tout transfert de données à destination de pays tiers.

Article 17 : Droit d’accès

Toute personne physique dont les données à caractère personnel font l’objet d’un traitement peut demander au responsable de ce traitement sous forme de questions :

1. a) les informations permettant de connaître et de contester le traitement ;
2. b) la confirmation que des données à caractère personnel la concernant font ou ne font pas l'objet de traitement ;
3. c) la communication des données à caractère personnel qui la Concernent ainsi que de toute information disponible quant à l'origine de celles-ci ;
4. d) des informations relatives aux finalités du traitement, aux catégories de données à caractère personnel traitées et aux destinataires ou aux catégories de destinataires auxquels les données sont communiquées.

Article 18: Droit d’opposition

Toute personne physique a le droit de s'opposer, pour des motifs légitimes, à ce

que des données à caractère personnel la concernant fassent l'objet d'un traitement.

Elle a le droit, d’une part, d’être informée avant que des données la concernant ne soient pour la première fois communiquées à des tiers ou utilisées pour le compte de tiers à des fins de prospection et, d’autre part, de se voir expressément offrir le droit de s’opposer, gratuitement, à ladite communication ou utilisation.

Article 19: Droit de rectification et de suppression

Toute personne physique peut exiger du responsable d'un traitement que soient, selon les cas, rectifiées, complétées, mises à jour, verrouillées ou supprimées les données à caractère personnel la concernant, qui sont inexactes, incomplètes, équivoques, périmées, ou dont la collecte, l'utilisation, la communication ou la conservation est interdite.

Section V : Les obligations du responsable de traitement de données à caractère personnel

Article 20 : Les obligations de confidentialité

Le traitement des données à caractère personnel est confidentiel. Il est effectué exclusivement par des personnes qui agissent sous l’autorité du responsable du traitement et seulement sur ses instructions.

Article 21 : Les obligations de sécurité

Le responsable du traitement est tenu de prendre toute précaution utile au regard de la nature des données et, notamment, pour empêcher qu’elles soient déformées, endommagées, ou que des tiers non autorisés y aient accès.

Article 22 : Les obligations de conservation

Les données à caractère personnel ne doivent pas être conservées au-delà de la

Période requise pour les fins en vue desquelles elles ont été recueillies et traitées.

Article 23 : Les obligations de pérennité

1. Le responsable du traitement est tenu de prendre toute mesure utile pour assurer que les données à caractère personnel traitées pourront être exploitées quel que soit le support technique utilisé.
2. Il doit particulièrement s’assurer que l’évolution de la technologie ne sera pas un obstacle à cette exploitation.

 Projet de sensibilisation et de plaidoyer pour le renforcement de la protection des données à caractère personnel de l’Association des informaticiens du Niger (ASINNI)