Contexte
Après l’effervescence des années 2000 autour du concept de village planétaire suite à l’émergence des nouvelles technologies de l’information, l’univers numérique semble à présent connaître une ère de régulations et de sanctions liées à la gestion des données à caractère personnel.
En effet, depuis une dizaine d’années, foisonnent des conventions et des lois locales sur la protection des données à caractère personnel. Pour cause la cybercriminalité, les cybermenaces de la souveraineté numérique, la violation des données personnelles.
La référence en la matière est le Règlement Général de Protection des Données (RGPD) pour l’Union Européenne (UE) et l’Espace Economique Européenne (EEE), entré en vigueur en 2018 et qui s’avère être le cadre de protection des données à caractère Personnel le plus abouti à ce jour. Il porte sur la protection des données à caractère personnel des résidents de l’union européenne quelle que soit la localisation du responsable de traitement ou de ses sous-traitants.
Aux États-Unis un projet de loi fédérale sur la protection de la vie privée connue sous le nom de American Data Privacy Protection Act ( ADPPA) est en étude. Toutefois de multiples lois nationales ont déjà été promulguées spécifiquement pour réglementer la collecte de données dans des secteurs cibles.
Aujourd’hui en Afrique presque tous les pays ont adopté chacun une loi sur la Protection des données à caractère personnel. Il faut rappeler ici que l’Acte additionnel de la CEDEAO relatif à la protection des données à caractère personnel impulsait ces réformes depuis 2010, suivi par la convention de l’union africaine sur la cybersécurité et la protection des données à caractère personnel adoptée en 2014.
Au Togo par exemple, c’est avec la Loi du 23 Octobre 2019 sur la protection des données à caractère personnel que le législateur compte réglementer la collecte, le traitement, la transmission, le stockage, l’usage et la protection des données à caractère personnel.
Les principes directeurs de ces lois sur la protection des données à caractère personnel
1.Licéité, loyauté et transparence (information des utilisateurs sur le but du traitement, consentement des utilisateurs avant la collecte des données)
2.Limitation des finalités ( obligation du responsable de traitement à se tenir à la finalité déclarée et pour laquelle le consentement de collecte de données est obtenu)
3.Minimisation des données (en ne collectant que le nécessaire pour le traitement requis)
4.Exactitude ( droit des utilisateurs à la correction des données )
5.Limitation de la conservation ( suppression des données si la conservation n’est plus justifiée)
6.Intégrité et confidentialité ( obligation de garantir la sécurité des données collectées )
Catégories des données à caractère personnel
Les catégories de données à caractère personnel concernent entre autres, les données biographiques (nom, prénom, téléphone, adresse , courriel, numéro d’identité, numéro passeport, informations bancaires, numéro de carte de crédit, casier judiciaire, etc.), données sur l’apparence, données sur la vie privée, données sur l’éducation et l’emploi, données sur la santé.
Mise en conformité obligatoire pour la protection des données à caractère personnel
Il devient urgent pour tout responsable de traitement, les jeunes start-up aux grandes organisations, de prendre connaissance des textes de protection des données à caractère personnel en vigueur non seulement dans les pays d’exercice de leurs activités mais aussi dans les pays impliquant les nationalités ou la résidence des utilisateurs/clients faisant objet d’un traitement dans leurs systèmes d’informations. Les manquements aux exigences de ces lois conduiront inévitablement à court ou à long terme à des rappels à l’ordre, voire des sanctions dissuasives et punitives de la part des autorités de régulation concernées. Aussi les responsables de traitements encourent – ils le risque d’être poursuivis à tout moment par un employé, un client ou tout utilisateur ayant fait l’objet d’un traitement de données à caractère personnel dans son système.
Les sanctions financières pour non respect du RGPD est une amende pouvant s’élever à 20 Millions d’euros ou dans le cas d’une entreprise à 4% de son chiffre d’affaire annuel mondial. Au Togo des pénalités peuvent atteindre 100 millions de francs CFA.
Les contraintes techniques et organisationnelles et leurs impacts sur l’innovation et l’économie
Reconnaissons que bien que les principes qui régissent les Lois sur la protection des données à caractère personnel soient nobles, certaines exigences de déclaration de traitements, des principes d’extra-territorialité, de limitation de transferts des données vers des pays tiers, rendent contraignantes ces lois surtout sur le plan technique et organisationnel. Ce qui fait que le coût de mise en conformité peut décourager bon nombre d’entreprises lorsque ceci dépasse les bénéfices attendus ou les moyens disponibles. Le temps de mise en conformité peut faire perdre des affaires urgentes et importantes.
En effet, l’appréciation des risques de non conformité peut décourager les jeunes start-up et les organisations et les conduire à limiter leur vision, en abandonnant le déploiement de un ou plusieurs projets initialement prévus ou en restreignant l’accès des applications à certains territoires. Ce qui aura un impact non négligeable sur l’innovation et sur l’économie et par conséquence aggraver le fossé numérique.
Cependant les lois étant déjà en vigueur, chaque organisation a l’obligation de s’y conformer.
Profil du Délégué à la protection des données à caractère personnel
Les Délégués à la protection des données à caractère personnel ou Data Protection Officer (DPO) ou Correspondant à la protection des données à caractère personnel (CPD), sont désignés pour accompagner les organisations dans la mise en conformité aux lois sur la protection des données à caractère personnel.
Quelles sont les compétences attendues des DPO/CPD ?
Le niveau d’expertise d’un DPO ou CPD doit être déterminé en fonction de la quantité, de la sensibilité et de la complexité des données que l’organisme traite. Globalement il doit avoir une bonne maîtrise du droit numérique et des lois sur la protection des données à caractère personnel, une bonne connaissance en système d’information. Une maîtrise des bonnes pratiques de la gestion des projets et de la gestion des risques serait un atout. En outre il doit avoir une bonne connaissance du secteur d’activité de l’organisme.
Les fonctions du DPO/CPD:
Il faut noter que le rôle du DPO doit être distinct de celui du Responsable Sécurité d’Information (RSI) pour éviter des conflits d’intérêts.
Le RSI est chargé de mettre en œuvre les politiques du système d’information qui soutiennent les missions de l’entreprise tout en respectant les exigences des lois sur la protection des données. Le DPO est chargé quant à lui de la surveillance de ces politiques, processus et procédures afin de garantir la conformité aux lois sur la protection des données à caractères personnelles. Il a un rôle de conseil et de surveillance.
La certification Lead Data Protection Officer pour acquérir de nouvelles compétences pour assurer le rôle de DPO / CPD
Vous souhaitez à présent renforcer les capacités de votre équipe interne sur le sujet de la protection des données à caractère personnel? Ou vous êtes consultant indépendant en système d’information, ou juriste et vous souhaitez maîtriser la démarche d’accompagnement d’une organisation dans sa mise en conformité avec les lois sur la protection des données à caractère personnel ?
le Cabinet Human Resource Seed (hashtag#HRSEED) spécialisé en développement du capital humain, en partenariat avec Professional Evaluation and Certification Board , propose des séminaires de formation pour développer des compétences sur la protection des données à caractère personnel.
Ces séminaires sont organisés à tout moment sur demande. Également les candidats souhaitant opter pour une autoformation peuvent nous contacter à tout moment en exprimant leur besoin par mail sur info@hrseed.com ou whatsapp sur https://wa.me/22892051828
Les candidats ayant réussi à l’examen pourront postuler au titre de Lead DATA PROTECTION OFFICER et obtenir un certificat international à cet effet pour accompagner toute organisation dans la mise en conformité aux lois sur la protection des données à caractère personnel.
Comprendre le règlement sur la protection des données à caractères personnel :
https://www.cnil.fr/fr/comprendre-le-rgpd
Observatoire des sanctions pour non respect du RGPD :
GDPR and the lost generation of innovative apps
