À l’ère du numérique, les données personnelles sont devenues une ressource essentielle pour les administrations, les entreprises et de nombreux services en ligne.
Leur collecte, leur conservation et leur utilisation soulèvent toutefois d’importants enjeux en matière de vie privée et de respect des libertés individuelles.
Dans une interview accordée à Togo-Presse, le Lieutenant-Colonel Bédiani Béléi, président de l’Instance de Protection des Données à Caractère Personnel (IPDCP), revient sur les principaux mécanismes prévus par la législation togolaise. Il précise notamment la notion de traitement des données personnelles, les obligations des responsables de traitement, les droits des citoyens, ainsi que les sanctions encourues en cas de violation de la réglementation.
Qu’entend-on par traitement de données personnelles ?
Selon le Colonel Bédiani Béléi, la loi n°2019-014 du 29 octobre 2019 définit le traitement des données à caractère personnel comme toute opération réalisée sur des données personnelles, qu’elle soit automatisée ou non.
Cela englobe notamment la collecte, l’enregistrement, l’organisation, la conservation, la consultation, l’utilisation, la modification, la transmission, la diffusion, l’interconnexion, le chiffrement, l’effacement ou encore la destruction des données.
Autrement dit, dès lors qu’une organisation ou une personne effectue une opération sur des données permettant d’identifier directement ou indirectement une personne physique, les règles relatives à la protection des données peuvent s’appliquer.
Entreprises, administrations et particuliers concernés
La réglementation togolaise vise toute personne physique dont les données sont collectées ou utilisées. Elle concerne également les différents acteurs qui procèdent à ces traitements, notamment les entreprises, les administrations publiques et les particuliers.
L’objectif, explique le président de l’IPDCP, est de garantir que l’utilisation des données ne porte pas atteinte à la vie privée ni aux droits fondamentaux des personnes concernées.
Quels sont les droits des citoyens ?
Les personnes dont les données sont traitées disposent de plusieurs droits reconnus par la loi n°2019-014.
Il s’agit notamment du droit à l’information, du droit d’accès aux données, du droit d’opposition, du droit à la rectification et à la suppression, ainsi que du droit à l’effacement. La législation prévoit également des dispositions relatives à la mise à jour des données personnelles après le décès.
Ces différents mécanismes permettent aux citoyens de mieux contrôler l’utilisation des informations qui les concernent.
Les principaux acteurs du traitement des données
Plusieurs acteurs interviennent dans le processus de traitement des données personnelles.
La personne concernée est celle à laquelle se rapportent les données traitées. Elle bénéficie des droits prévus par la loi.
Le responsable du traitement est l’entité, publique ou privée, qui décide de collecter et de traiter les données et détermine les finalités et les moyens de ce traitement.
Le sous-traitant, pour sa part, traite les données pour le compte du responsable du traitement. Ses obligations, ainsi que les mesures de sécurité à respecter, doivent être définies dans un contrat ou un acte juridique.
Enfin, l’IPDCP intervient comme autorité de contrôle. Elle est chargée de veiller au respect de la réglementation par l’ensemble de ces acteurs.
Des formalités obligatoires avant certains traitements
Le Colonel Bédiani Béléi rappelle également que les responsables de traitement, qu’ils soient publics ou privés, doivent accomplir auprès de l’IPDCP les formalités préalables prévues par la loi avant la mise en œuvre de certains traitements.
Selon la nature de l’opération envisagée, il peut s’agir d’une déclaration, d’une demande d’autorisation préalable ou d’une demande d’avis.
Cette procédure permet à l’IPDCP d’examiner, en amont, la conformité du traitement avec les exigences légales et de prévenir d’éventuelles atteintes aux droits et libertés des personnes.
L’IPDCP dispose de trois grands pouvoirs
En vertu de l’article 56 de la loi n°2019-014, l’IPDCP exerce plusieurs missions destinées à garantir la conformité des traitements de données personnelles.
Elle veille notamment au respect de la législation, informe les personnes concernées et les responsables de traitement de leurs droits et obligations, conseille les organismes concernés et homologue les chartes d’utilisation qui lui sont soumises.
L’Instance intervient également dans l’autorisation des transferts transfrontaliers de données, la coopération avec les autorités étrangères et les négociations internationales relatives à la protection des données.
Pour mener à bien ses missions, elle dispose de trois principaux pouvoirs : le contrôle, l’injonction et la sanction.
Qui peut saisir l’IPDCP ?
La saisine de l’Instance est ouverte à toute personne, conformément à l’article 13 de la loi.
La démarche peut être effectuée directement par l’intéressé, par l’intermédiaire de son avocat ou par toute autre personne physique ou morale dûment mandatée.
Cette possibilité permet notamment aux personnes estimant que leurs droits ont été méconnus dans le cadre d’un traitement de données de solliciter l’intervention de l’autorité de contrôle.
Des sanctions administratives, pénales et civiles
Le dispositif légal togolais prévoit plusieurs catégories de sanctions en cas de manquement aux règles relatives à la protection des données.
Sur le plan administratif, l’IPDCP peut, après une procédure contradictoire, retirer provisoirement une autorisation pour une durée de trois mois, avec possibilité de retrait définitif si aucune mesure corrective n’est prise. Elle peut également infliger une amende pouvant atteindre 100 millions de francs CFA.
En cas d’urgence ou de violation des droits et libertés, l’Instance peut notamment ordonner l’interruption d’un traitement, le verrouillage de certaines données ou la mise en conformité. Cette dernière mesure peut être assortie d’une astreinte pouvant aller jusqu’à 5 millions de francs CFA par jour, sauf pour les traitements mis en œuvre par l’État.
En cas de non-respect des formalités préalables, des mesures conservatoires, notamment l’apposition de scellés sur les équipements ou locaux concernés, peuvent également être ordonnées.
Sur le plan pénal, certaines violations sont passibles de peines d’emprisonnement et d’amendes. Sont notamment concernés le traitement réalisé sans respecter les formalités requises, la collecte frauduleuse ou illicite de données et le traitement non autorisé de données sensibles. Dans ces situations, les sanctions pénales relèvent de l’autorité judiciaire.
Enfin, sur le plan civil, les responsables de traitement ou leurs sous-traitants peuvent être poursuivis afin d’obtenir réparation du préjudice subi à la suite d’une violation de la réglementation.
Ainsi, les différents mécanismes administratif, pénal et civil peuvent se cumuler pour un même manquement.
Comment saisir ou contacter l’IPDCP ?
L’Instance reçoit les demandes, les formalités préalables, les réclamations et les plaintes liées à la collecte et au traitement des données personnelles.
Les démarches peuvent être effectuées par courrier remis au siège de l’IPDCP, par voie postale ou par transmission électronique.
À travers son intervention, l’IPDCP entend ainsi contribuer à faire de la protection des données personnelles un véritable levier de garantie de la vie privée et des libertés fondamentales au Togo.
