Comprendre la protection des données personnelles au Burkina Faso

Introduction : la loi n°001-2021 au Burkina Faso

Déclarer vos traitements de données personnelles auprès de la Commission de l'informatique et des libertés (« CIL ») est obligatoire au Burkina Faso si votre startup traite des données à caractère personnel.

La loi n°001-2021/AN portant protection des personnes à l'égard du traitement des données à caractère personnel en date du 30 mars 2021 (la « Loi n°001-2021 ») prévoit en effet des obligations à votre charge lorsque vous traitez des données personnelles ou des données sensibles. Elle a pour objet de protéger les droits et libertés fondamentaux des personnes physiques en matière de traitement de leurs données à caractère personnel.

Qu'est-ce qu'un traitement de données personnelles ? Quel formulaire remplir ? Quelles sont mes autres obligations en qualité de startup en application de cette Loi n°001-2021 ? Si vous ne savez pas répondre à ces questions, cet article élargira considérablement vos connaissances sur le sujet.

À qui la loi n°001-2021 s'applique-t-elle ?

La Loi n°001-2021 s'applique :

• aux traitements automatisés ou non de données à caractère personnel, dont le responsable de traitement ou sous-traitant est établi au Burkina Faso ou sans y être établi, relève du Burkina Faso selon le droit international public ;
• au responsable de traitement ou au sous-traitant non établi sur le territoire du Burkina Faso, qui met en œuvre des opérations de traitement à partir du territoire national, à l'exclusion des données de transit.

Autrement dit, la Loi n°001-2021 vous est applicable si votre responsable de traitement est basé au Burkina Faso et traite des données à caractère personnel (noms, adresses, numéros de téléphone de vos clients). S'il n'est pas basé au Burkina Faso, il peut relever du Burkina Faso en vertu d'une convention internationale qu'aurait par exemple ratifié le Burkina Faso.

À qui la loi ne s'applique-t-elle pas ?

La Loi n°001-2021 ne s'applique pas :

• aux traitements effectués par une personne physique pour l'exercice d'activités exclusivement personnelles ou domestiques ;
• aux copies temporaires qui sont faites dans le cadre des activités techniques de transmission et de fourniture d'accès à un réseau numérique en vue du stockage automatique intermédiaire et transitoire des données aux seules fins de permettre aux autres destinataires du service, le meilleur accès possible aux informations, sauf en ce qui concerne leur mise à jour et leur sécurité ;
• aux traitements de données à caractère personnel effectués aux seules fins littéraires et artistiques ou de journalisme, dans le respect des règles déontologiques et éthiques de ces professions, des mesures de sécurité assurant le secret des sources journalistiques, ainsi que des règles de modération applicables aux forums de discussion mis en œuvre par des éditeurs d'informations journalistiques.

Qu'est-ce que la protection de données à caractère personnel ?

Qu'est-ce qu'une donnée personnelle au sens de la loi burkinabè ?

D'après l'article 5 de la Loi n°001-2021, une donnée personnelle désigne :

Cela peut inclure par exemple les informations suivantes : nom, adresse, numéro de téléphone, adresse e-mail, date de naissance, lieu de travail, habitudes d'achat, données de localisation, etc.

Comment déterminer si ma startup réalise un traitement de données personnelles ?

Aux termes de l'article 5 de la Loi n°001-2021, un traitement des données à caractère personnel désigne :

Vous pouvez donc (sous réserve de quelques exceptions) être considéré comme réalisant un traitement de données personnelles si vous réalisez une des opérations visées ci-dessus.

Quelles sont les obligations à respecter ?

Catégories de traitements exemptées de formalités préalables

Vous êtes exemptés de formalités préalables auprès de la CIL pour les traitements de données personnelles :

• dont la finalité particulière se limite à assurer la conservation de documents d'archives ;
• mis en œuvre par une association ou tout organisme à but non lucratif et à caractère religieux, philosophique, politique ou syndical, dès lors que ces traitements correspondent à l'objet de cette association ou de cet organisme, qu'ils ne concernent que leurs membres et qu'ils ne doivent pas être communiqués à des tiers sans leur consentement.

Quelles sont les formalités préalables à respecter ?

Le traitement de données à caractère personnel (sous réserve des exemptions ci-dessus) est préalablement soumis à l'une des 4 formalités suivantes :

Comment déterminer la formalité applicable ?

Vous devez soit :

1. Effectuer une déclaration normale si le traitement de données envisagé ne nécessite pas (i) une autorisation ou (ii) un acte législatif ou réglementaire ou n'entre pas dans le périmètre des traitements exemptés.
2. Obtenir une autorisation préalable si le traitement envisagé porte sur :
   • des données génétiques ou biométriques dans le secteur privé et sur la recherche dans le domaine de la santé ;
   • des données relatives aux infractions, condamnations ou mesures de sûreté dans le secteur privé ;
   • une interconnexion de fichiers ;
   • un numéro national d'identification ou tout autre identifiant de la même nature dans le secteur public ou privé ;
   • des données biométriques dans le secteur privé ;
   • des données ayant un motif d'intérêt public, notamment ceux destinés à des fins historiques, statistiques ou scientifiques ;
   • l'aide à la décision administrative ou privée, impliquant une appréciation sur un comportement humain, donnant une définition du profil ou de la personnalité de l'intéressé ou reposant sur des techniques d'intelligence artificielle à des fins prédictives ;
   • les transferts de données vers un pays étranger.
3. Obtenir une décision prise par acte législatif ou réglementaire lorsque les traitements des données sont opérés pour le compte d'un acteur public (État, établissement public, collectivité territoriale) ou d'une personne morale de droit privé gérant un service public. Il s'agit des traitements qui portent sur :
   • la sûreté de l'État, la défense ou la sécurité publique ;
   • la prévention, la recherche, la constatation ou la poursuite des infractions pénales ou l'exécution des condamnations pénales ou des mesures de sûreté ;
   • le recensement de la population ;
   • les données à caractère personnel qui révèlent les convictions ou activités religieuses, philosophiques, politiques, syndicales, ethniques, la vie sexuelle, la race, la santé et les mœurs, les données génétiques ou biométriques, les mesures d'ordre social, les poursuites, les sanctions pénales ou administratives ;
   • le traitement de salaires, pensions, impôts, taxes et autres liquidations.

Quelle que soit la démarche qui vous est applicable, votre startup doit respecter la procédure mise en place par la CIL.

Contenu et modalités de la déclaration préalable

La déclaration préalable peut être adressée à la CIL par voie électronique ou sur support papier. Elle doit préciser les informations que vous trouverez sur le site internet de la CIL.

Délai pour l'obtention du récépissé

Sauf décision particulière de celle-ci, le récépissé de déclaration est délivré sans délai. Dès réception de ce récépissé, le demandeur peut mettre en œuvre le traitement de données à caractère personnel. Toutefois, il n'est exonéré d'aucune de ses responsabilités prévues par la Loi.

Qu'est-ce que la CIL ?

Au Burkina Faso, la protection des données personnelles est assurée par la CIL (Commission de l'informatique et des libertés), créée en vertu de la Loi n°001-2021.

La CIL est l'autorité de contrôle chargée de veiller au respect des dispositions de la Loi n°001-2021, notamment en :

• informant toutes les personnes concernées et les responsables de traitements de leurs droits et obligations ;
• contrôlant l'usage des technologies de l'information et de la communication appliqué aux traitements des données à caractère personnel.

Pouvoirs et attributions de la CIL

Missions de la CIL

La CIL dispose de plusieurs pouvoirs et attributions pour s'acquitter de sa mission. Elle s'assure que l'utilisation des technologies de l'information et de la communication à des fins de traitement de données à caractère personnel ne comporte aucune menace aux libertés individuelles ou publiques et à la vie privée.

La CIL peut, en cas de besoin, charger ses membres, assistés des agents et, le cas échéant, d'experts, de procéder sur place à des missions de vérifications et de contrôles à l'égard de tout traitement de données à caractère personnel.

Mesures que peut prendre la CIL en cas de non-respect

En cas de violation de la Loi n°001-2021, la CIL peut prendre les sanctions administratives suivantes :

• Avertissement ;
• Mise en demeure ;
• Injonction de cesser le traitement de données effectué ;
• Verrouillage de certaines données à caractère personnel ;
• Amende forfaitaire ;
• Retrait de l'autorisation.

Les manquements aux dispositions de la Loi sont punis par le code pénal en ses dispositions qui traitent des infractions en matière informatique et au moyen des technologies de l'information et de la communication.

Manquements graves

Les actes suivants constituent des manquements graves :

• collecte déloyale ou communication à un tiers non autorisé des données personnelles ;
• collecte des données sensibles en violation des conditions légales ;
• collecte ou utilisation des données personnelles ayant pour conséquence de provoquer une atteinte grave aux libertés et droits fondamentaux, y compris à l'intimité de la vie privée de la personne concernée.

Qui sont les responsables au sein de la startup ?

Au titre de la Loi n°001-2021, votre startup agit en qualité de :

• Responsable du traitement si, seul ou conjointement avec d'autres, elle prend la décision de collecter et de traiter des données à caractère personnel, en détermine les finalités et les modalités de mise en œuvre ;
• Sous-traitant, si elle traite des données pour le compte du responsable du traitement.

Il incombe au responsable de traitement ainsi qu'au sous-traitant de veiller au respect de l'obligation de sécurité et de confidentialité.

Obligations et devoirs du responsable du traitement

Le responsable du traitement est soumis aux obligations et devoirs suivants :

• Obligation de déclaration préalable des traitements de données à caractère personnel ;
• Obligation d'obtenir le consentement de la personne concernée ;
• Devoir de légitimité et de licéité d'un traitement de données à caractère personnel ;
• Devoir d'informer la personne concernée ;
• Devoir de sécurité des traitements de données à caractère personnel.

Pour aller plus loin, vous pouvez consulter le détail de ces obligations sur le site internet de la CIL.

Relation entre responsable du traitement et sous-traitant

Lorsque le traitement est mis en œuvre pour le compte du responsable de traitement, celui-ci doit choisir un sous-traitant qui apporte des garanties de protection suffisantes. Il doit conclure avec lui une convention précisant notamment les seules opérations de traitements autorisées et le sort des données à l'issue du contrat.

Qu'est-ce que le Délégué à la Protection des Données (DPO) ?

Tout responsable de traitement peut désigner au sein de son organisme un délégué à la protection des données (DPO) chargé d'assurer le respect des obligations prévues par la loi.

Quels risques si je ne respecte pas la loi ?

Les amendes pouvant être prononcées par la CIL à l'encontre de tout responsable de traitement ayant enfreint les dispositions de la Loi sont listées ci-après (liste non exhaustive) :

Infractions	Amendes (FCFA)
Entrave aux actions de la CIL, à travers les actes suivants : Opposition à l'exercice des missions de la CIL ; Refus de communiquer ou dissimulation à la CIL des renseignements et documents utiles à sa mission ; Communication à la CIL d'informations non conformes au contenu des enregistrements.	5 à 10 M
Traitement de données effectué sans (i) l'accomplissement des formalités légales ou (ii) en dehors des précautions utiles pour préserver la sécurité desdites données ; Conservation de données au-delà de la durée prévue dans la déclaration, la demande d'autorisation préalable à la mise en œuvre du traitement ; Collecte à l'occasion de leur enregistrement, classement, transmission de données dont la divulgation aurait pour effet de porter atteinte à l'honneur et à la considération de la personne concernée ou à l'intimité de sa vie privée et transmission, sans son autorisation, à un tiers qui n'a pas qualité pour les recevoir.	5 à 20 M
Détournement de la finalité d'une collecte ou d'un traitement de données à caractère personnel ; Collecte des données à caractère personnel par un moyen frauduleux, déloyal ou illicite.	5 à 100 M
Traitement de données à caractère personnel concernant une personne physique, malgré son opposition, lorsque cette opposition est fondée sur des raisons légitimes.	2 à 5 M
Le fait, hors les cas prévus par la loi, de mettre ou conserver en mémoire informatisée, sans l'accord exprès de la personne concernée, des données à caractère personnel qui, directement ou indirectement, font apparaître les origines raciales ou ethniques, opinions politiques, philosophiques ou religieuses, appartenances syndicales ou mœurs des personnes.	10 à 100 M

En outre, la CIL peut prononcer :

• la confiscation de tous supports matériels des données à caractère personnel objet de la violation de la réglementation (fichiers manuels, disques et bandes magnétiques) ou ordonner l'effacement de ces données ;
• l'interdiction au responsable de traitement condamné de gérer pour deux ans au maximum, tout traitement de données à caractère personnel.

👀 Pour aller plus loin

• Apprendre à se mettre en conformité avec la loi ivoirienne relative à la protection des données à caractère personnel
• Déclarer ses traitements de données personnelles au Maroc
• Comprendre la protection des données personnelles au Sénégal
• Apprendre à se mettre en conformité avec la réglementation européenne RGPD