Startups ivoiriennes : apprenez à vous mettre en conformité avec la loi ivoirienne relative à la protection des données à caractère personnel

STARTUPS IVOIRIENNES, APPRENEZ À VOUS METTRE EN CONFORMITE AVEC LA LOI IVOIRIENNE RELATIVE A LA PROTECTION DES DONNEES A CARACTERE PERSONNEL

Déclarer vos traitements de données personnelles auprès de l’Autorité de Régulation des Télécommunications de Côte d’Ivoire (ARTCI) est obligatoire si votre startup traite des données personnelles. En outre, la loi n°2013-450 du 19 juin 2013 (la « Loi n°2013-450 ») relative à la protection des données à caractère prévoit d’autres obligations lorsque vous traitez des données personnelles ou encore des données sensibles.

Qu’est-ce qu’un traitement de données personnelles ? Quel formulaire remplir ? Quelles sont mes autres obligations en qualité de startup en application de cette loi ? Si vous ne savez pas répondre à ces questions, cet article élargira considérablement vos connaissances sur le sujet.

ETAPE 1 : DETERMINER SI VOTRE STARTUP RÉALISE UN TRAITEMENT DE DONNÉES PERSONNELLES

La première étape consiste pour la startup à déterminer si elle réalise des traitements de données à caractère personnel.

Aux termes de la Loi 2013-450, un traitement des données à caractère personnel désigne toute opération effectuée ou non à l’aide de procédés automatisés ou non et appliquées à des données telles que la collecte, l’exploitation, l’enregistrement, l’organisation, la conservation, l’adaptation, la modification, la sauvegarde, la copie […], l’effacement ou la destruction des données à caractère personnel. Les données à caractère personnel, désignent toute information relative à une personne physique identifiée ou identifiable directement ou indirectement, par référence à un numéro d’identification ou à un ou plusieurs éléments spécifiques, propres à son identité physique, physiologique, générique, psychique, culturelle, sociale ou économique.

Or, les startups sont en effet amenées à effectuer des traitements de données personnelles dans le cadre de leurs activités courantes, notamment en gérant la paie de leurs salariés, en développant un site e-commerce ou en réalisant des campagnes marketing. Ces activités nécessitent de traiter des données à caractère personnel, par exemple : nom, prénom, date de naissance, log de connexion, email, photo, numéro de téléphone, RIB, adresse IP.

Ces données qui permettent d’identifier ou de rendre identifiable les personnes concernées (ex : salariés, clients ou fournisseurs), doivent être protégées par la mise en œuvre de mesures de sécurité et de confidentialité.

Vous trouverez ci-dessous des exemples de traitements de données personnelles:

• gestion du recrutement ;
• gestion administrative du personnel ;
• gestion de la base de données de prospects et clients (ex: logiciel CRM);
• envoi de campagne d’emailing ;
• conservation d’adresses IP ;
• enregistrement de vidéosurveillance.

Quel champ géographique ? La Loi n°2013-450 est applicable à toute collecte, tout traitement, transmission, stockage et utilisation de données à caractère personnel par une personne physique ou personne morale de droit privé ou public sur le territoire ivoirien. Ces traitements de données peuvent être automatisés ou non, et doivent être mis en œuvre sur le territoire national.
>> Ainsi, si vous traitez des données personnelles listées ci-dessus, votre startup doit être, dans le champ géographique désigné ci-dessus, alors vous devez a priori respecter les obligations prévues par la Loi n°2013-450.

ETAPE 2 : COMPRENDRE ET RESPECTER MES OBLIGATIONS VIS-A-VIS DE L’ARTCI

Que dois-je faire vis-à-vis de l’ARTCI, si je réalise un traitement de données personnelles en Côte d’Ivoire ?

La Loi n°2013-450 prévoit que tous les traitements de données personnelles doivent être déclarés préalablement à leur mise en œuvre auprès de l’ARTCI. Il convient donc de faire une déclaration préalable si l’activité de la startup n’a pas encore débuté.

La startup effectue cette déclaration en respectant la procédure mise en place par l’ARTCI. Cette dernière doit notamment comporter l’engagement que le traitement satisfait aux exigences de la loi.

L’ARTCI rend sa décision dans un délai d’un mois à compter de la réception de la déclaration ou de l’autorisation, le cas échéant par voie électronique. Ce délai peut être prolongé d’un mois supplémentaire sur décision motivée de l’autorité de protection. La startup peut mettre en œuvre le traitement dès réception de son récépissé.

Attention : Pour les traitements de données personnelles les plus courants, l’ARTCI met à disposition des normes et procédures destinées à simplifier ou exonérer le responsable du traitement de l’obligation de déclaration préalable. Lorsqu’il s’agit de traitement de données sensibles, c’est à dire des données relatives aux infractions et condamnations, numéro national d’identification dont les numéros de téléphones, transfert de données personnelles vers un pays tiers, le traitement des données à caractère personnel portant sur des données génétiques, médicales, il convient d’obtenir de l’ARTCI une autorisation préalable.

ETAPE 3 : IDENTIFIER MA QUALIFICATION AU SENS DE LA LOI

Votre startup agit-elle en tant que responsable du traitement ou de sous-traitant ?

Au titre de la Loi n° 2013-450, votre startup peut agir soit en tant que responsable du traitement des données personnelles soit en qualité de sous-traitant du traitement des données personnelles.
Votre startup agit en qualité de responsable du traitement si, seule ou conjointement avec d’autres, elle prend la décision de collecter et de traiter des données à caractère personnel et en déterminer les finalités.
Votre startup agit en qualité de sous-traitant, si elle traite des données à caractère personnel pour le compte du responsable de traitement tel que défini ci-dessus.
Cette qualification est importante car en fonction de votre qualification, vos obligations vis-à-vis de la Loi 2013-450 diffèrent.

POURQUOI DEVEZ-VOUS ABSOLUMENT RESPECTER LA LOI 2013-450 ?

Afin d’éviter des sanctions financières importantes prévues par la loi 2013-450 !
La violation de la présente loi sur la protection des données est sanctionnée, après mise en demeure adressée au responsable du traitement ou à son sous-traitant, par l’une des sanctions suivantes :

• un retrait provisoire de l’autorisation de protection des données, le cas échéant;
• le retrait définitif de l’autorisation, le cas échéant ; et
• une amende.

Le montant de l’amende est proportionnel à la gravité du manquement et aux bénéfices qui peuvent en découler. Il ne peut excéder 10 000 000 FCFA.

Toutefois, si une précédente amende a été prononcée dans les 5 ans précédant le manquement, auquel cas l’amende peut aller jusqu’à 5 % du chiffre d’affaires d’une entreprise, plafonné à 500 000 000 FCFA.

Bien que plafonnées, ces amendes peuvent en pratique représenter un pourcentage du chiffre d’affaires de votre startup.

Mais ce n’est pas tout : le fait de respecter les exigences de la loi 2013-450 permet de vous démarquer de vos concurrents au niveau national et international. En effet, vous obtenez ainsi un avantage concurrentiel extrêmement positif, en termes de réputation et d’image de marque pour votre entreprise. Cela démontre notamment une gestion exemplaire des données personnelles traitées pour le compte de vos clients ainsi que le respect de mesures de sécurité et de confidentialité.

Se mettre en conformité avec la loi 2013-450 en Côte d’Ivoire: notre formation gratuite du 19 novembre 2021

Inscrivez-vous à la formation du vendredi 19 novembre à 12H00 CET pour comprendre les obligations imposées par la loi 2013-450.

A l’issue de cette formation vous pourrez :

• comprendre en quoi consiste un traitement de données personnelles en Côte d’Ivoire ;
• connaître vos obligations en cas de réalisation d’un traitement de données personnelles en Côte d’Ivoire ;
• mettre en conformité votre site Internet.

N’hésitez pas à nous contacter pour tout renseignement.

Référence :

• Loi n°2013-450 du 19 juin 2013 relative à la protection des données à caractère personnel ;
• Décret n°2015-79 du 4 février 2013 fixant les modalités de dépôt des déclarations, de présentation des demandes, d’octroi et de retrait des autorisations pour le traitement des données à caractère personnel