Banques, opérateurs télécoms, administrations, applications mobiles : à l’ère du tout-numérique, la collecte de données personnelles s’intensifie. Pour encadrer cette ruée, le Togo s’est doté de la loi n°2019-014. Dans cet entretien accordé à _Togo-Presse_, le Lieutenant-Colonel Bédiani Béléi, Président de l’*Instance de Protection des Données à Caractère Personnel (IPDCP), tire la sonnette d’alarme. Entre pédagogie et fermeté, il rappelle les droits des Togolais, les devoirs des entreprises et les risques encourus en cas de manquement.
Lieutenant-Colonel Bédiani Béléi, président de l’Instance de Protection des Données à Caractère Personnel (IPDCP)
À l’heure où la collecte et l’utilisation des données personnelles prennent une place croissante dans les activités administratives, économiques et numériques, leur protection constitue un enjeu majeur pour la vie privée et les libertés individuelles. Dans cette interview exclusive accordée à nos confrères Togo-Presse, et que publions intégralement, le Colonel Bédiani Béléi, président de l’Instance de Protection des Données à Caractère Personnel (IPDCP), revient sur les missions et pouvoirs de cette autorité de contrôle. Il explique ce qu’est une donnée personnelle, précise les obligations qui s’imposent aux responsables de traitement, rappelle les droits des citoyens et détaille les sanctions prévues en cas de manquement à la législation togolaise.
T-P : Qu’est-ce que le traitement de données personnelles ?
Colonel B. B. : La loi n°2019-014, en son article 4, définit le traitement de données à caractère personnel comme toute opération ou ensemble d’opérations effectuée ou non, à l’aide de procédés automatisés ou non, et appliquées à des données, telles que la collecte, l’exploitation, l’enregistrement, l’organisation, la conservation, l’adaptation, la modification, l’extraction, la sauvegarde, la copie, la consultation, l’utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, ainsi que le verrouillage, le cryptage, l’effacement ou la destruction des données à caractère personnel.
T-P : Qui est concerné par le traitement de données personnelles ?
Colonel B. B. : La loi togolaise de 2019 protège toute personne physique dont les données sont collectées ou utilisées, et elle s’applique à tous ceux qui traitent ces données notamment entreprises, administrations, particuliers, que ce soit au Togo ou visant des personnes qui y vivent. Le but est d’éviter que ces traitements ne portent atteinte à la vie privée et aux droits fondamentaux des personnes concernées.
T-P : Quels sont les droits des personnes concernées ?
Colonel B. B. : Selon la loi togolaise n°2019-014 du 29 octobre 2019 relative à la protection des données à caractère personnel, les personnes concernées disposent notamment du droit à l’information, du droit d’accès, du droit d’opposition, du droit de rectification et de suppression, du droit à l’effacement, ainsi que du droit à la mise à jour des données personnelles après le décès.
T-P : Quels sont les acteurs essentiels dans le traitement des données à caractère personnel ?
Colonel B. B. : Le traitement de données à caractère personnel implique plusieurs acteurs essentiels, entre autres :
La personne concernée : personne physique identifiée ou identifiable à laquelle se rapportent les données faisant l’objet du traitement, et qui est titulaire des droits que la loi lui reconnaît.
Le responsable du traitement : personne physique ou morale, publique ou privée, ou tout autre organisme ou association qui, seul ou conjointement avec d’autres, prend la décision de collecter et de traiter des données à caractère personnel et en détermine les finalités et les moyens.
Le sous-traitant : toute personne physique ou morale, publique ou privée, ou tout autre organisme ou association qui traite des données pour le compte du responsable du traitement, dans le cadre d’un contrat ou d’un acte juridique précisant les obligations, la nature et la finalité du traitement ainsi que les mesures de sécurité à respecter.
L’Instance de Protection des Données à Caractère Personnel intervient enfin en qualité d’autorité de contrôle, chargée de veiller à ce que l’ensemble de ces acteurs respecte les obligations légales relatives à la protection des données personnelles.
T-P : L’obligation de formalités préalables à la mise en œuvre du traitement
Colonel B. B. : Conformément à la loi n°2019-014 du 29 octobre 2019 relative à la protection des données à caractère personnel, tout responsable de traitement, public comme privé, est tenu d’accomplir auprès de l’IPDCP les formalités préalables requises avant la mise en œuvre d’un traitement de données à caractère personnel. Selon la nature du traitement, ces formalités peuvent prendre la forme d’une déclaration, d’une demande d’autorisation préalable ou d’une demande d’avis. L’objectif est de permettre à l’IPDCP de s’assurer, en amont, de la conformité du traitement aux exigences légales et de garantir la protection des droits et libertés des personnes concernées.
T-P : Missions et pouvoirs de l’IPDCP
Colonel B. B. : Conformément à l’article 56 de la loi confère à l’IPDCP 10 principales missions et 3 types de pouvoirs.
Ses missions incluent notamment : Veiller à la conformité des traitements de données personnelles avec la loi ; informer les personnes concernées et les responsables de traitement de leurs droits et obligations ; homologuer les chartes d’utilisation qui lui sont présentées ; conseiller les personnes et organismes recourant à ces traitements ; autoriser les transferts transfrontaliers de données ; coopérer avec les autorités étrangères et participer aux négociations internationales.Ses pouvoirs incluent le pouvoir de contrôle, le pouvoir d’injonction et le pouvoir de sanction.
T-P : Qui peut saisir l’IPDCP ?
Colonel B. B. : L’Instance de protection des données à caractère personnel peut être saisie, conformément à l’article 13 de la loi, par toute personne, agissant par elle-même, par l’entremise de son avocat ou par toute autre personne physique ou morale dûment mandatée.
T-P : Quelles sont les sanctions prévues par la loi ?
Colonel B. B. : La loi prévoit trois types de sanctions, sans préjudice les unes des autres :
Sur le plan administratif : l’article 71 dispose que lorsque le responsable de traitement ne se conforme pas à la mise en demeure qui lui a été adressée, l’IPDCP peut, après procédure contradictoire, prononcer à son encontre soit un retrait provisoire de l’autorisation accordée pour une durée de trois mois, retrait devenant définitif si des mesures correctives ne sont pas apportées à l’expiration de ce délai, soit une amende ne pouvant excéder cent millions (100 000 000) de francs CFA, dont le recouvrement suit la législation relative aux créances de l’Etat. A cela s’ajoutent des mesures d’urgence prévues à l’article 72, applicables lorsque la mise en œuvre d’un traitement entraîne une violation des droits et libertés : l’IPDCP peut alors décider, après procédure contradictoire, l’interruption du traitement ou le verrouillage de certaines données pour une durée maximale de trois mois, une injonction de mise en conformité pouvant être assortie d’une astreinte allant jusqu’à cinq millions (5 000 000) de francs CFA par jour (sauf pour les traitements mis en œuvre par l’Etat), ainsi qu’un simple rappel à l’ordre ; par ailleurs, en cas de non-respect des formalités préalables, l’IPDCP peut ordonner, à titre conservatoire et aux frais du responsable de traitement, l’apposition de scellés par huissier sur tout appareil, équipement ou local ayant servi au traitement.
Sur le plan pénal : la loi punit d’emprisonnement et d’amendes fixées par ses dispositions notamment le fait de procéder à un traitement sans respecter les formalités préalables ou les mesures prononcées par l’IPDCP, la collecte de données par un moyen frauduleux ou illicite, ainsi que le traitement non autorisé de données sensibles ; ces sanctions sont prononcées par l’autorité judiciaire, l’IPDCP se contentant d’informer sans délai le Procureur de la République des faits dont elle a connaissance.
Sur le plan civil : le responsable de traitement ou le sous-traitant peut être poursuivi devant les juridictions civiles aux fins de réparation du préjudice subi du fait d’une violation de la réglementation, notamment des droits des personnes concernées, un triple dispositif administratif, pénal et civil pouvant se cumuler pour un même manquement.
T-P : Comment contacter l’IPDCP ?
Colonel B. B. : L’IPDCP reçoit les demandes, formalités préalables, réclamations, et plaintes relatives à la collecte et au traitement des données personnelles par remise de courrier à son siège, par voie postale ou par transmission électronique.
Adresse : Agoè 2 Lions, 05 BP 737, Lomé – Togo
Téléphone : (+228) 22 25 13 34 / 70 36 33 33
Courriel : ipdcptogo@gmail.com / contact@ipdcp.tg
Site web : www.ipdcp.tg
