NAISSANCE ET EVOLUTION D’UN METIER

Le métier de DPO n’est pas né par hasard. Il est l’héritier d’une longue réflexion juridique sur la protection de la vie privée, amorcée en Europe dès les années 1970 avec les premières lois sur l’informatique et les libertés. Pendant longtemps, cette mission est restée diffuse, portée de façon informelle par des juristes, des informaticiens ou des responsables qualité, sans statut ni reconnaissance propre.

Le tournant décisif intervient avec le Règlement Général sur la Protection des Données (RGPD), entré en application en 2018 en Europe, qui institutionnalise la fonction et la rend obligatoire pour de nombreuses organisations. Cette dynamique s’est ensuite diffusée bien au-delà du continent européen, inspirant des législations nationales à travers le monde, y compris en Afrique, où plusieurs pays se sont dotés de lois sur la protection des données à caractère personnel assorties, elles aussi, de l’obligation ou de la recommandation de désigner un DPO.

Le métier a ainsi évolué d’une fonction de conformité technique vers un rôle stratégique, à la croisée du droit, de la technologie, de l’organisation et de l’éthique.

LES MISSIONS DU DPO

Le DPO exerce une mission à la fois de conseil, de contrôle et de médiation. Il informe et conseille l’organisation ainsi que ses employés sur leurs obligations en matière de protection des données. Il veille au respect de la réglementation applicable, notamment par la tenue d’un registre des traitements, la réalisation d’analyses d’impact lorsque cela est nécessaire, et le contrôle des mesures de sécurité mises en œuvre.

Il constitue également le point de contact privilégié entre l’organisation, les autorités de protection des données et les personnes concernées, qu’il s’agisse de clients, d’usagers ou de salariés, notamment lorsque ceux-ci souhaitent exercer leurs droits ou lorsqu’un incident affecte leurs données. Sa position particulière, qu’il occupe en toute indépendance vis-à-vis de la direction, garantit l’objectivité de ses avis et la crédibilité de ses recommandations.

UN ROLE TRANSVERSAL, AU SERVICE DES ENTREPRISES COMME DES ADMINISTRATIONS

Le DPO n’est pas un acteur isolé dans son coin, cantonné à une fonction juridique. Il travaille en lien constant avec les directions informatiques, les ressources humaines, le marketing, les services financiers et la direction générale. Dans les entreprises, il accompagne le développement de nouveaux produits ou services numériques en intégrant, dès leur conception, les exigences de protection des données. Dans les administrations publiques, il joue un rôle tout aussi déterminant, à l’heure où la digitalisation des services publics, l’état civil numérique, la fiscalité en ligne ou les plateformes de santé multiplient la collecte et le traitement de données sensibles des citoyens.

Dans les deux cas, le DPO agit comme un facilitateur : il ne freine pas l’innovation, il l’accompagne en s’assurant qu’elle se construit sur des bases juridiquement solides et éthiquement acceptables.

UN PILIER DE LA CONFORMITE ET DE LA GOUVERNANCE DES DONNEES

Au-delà de la simple application des textes, le DPO participe activement à la gouvernance des données de son organisation. Il contribue à cartographier les traitements, à identifier les risques, à sensibiliser les équipes et à instaurer une véritable culture de la protection des données au sein de l’organisation. Cette dimension prend une importance particulière à l’heure où les cybermenaces se multiplient et où les violations de données peuvent avoir des conséquences juridiques, financières et réputationnelles considérables.

Le DPO devient ainsi un maillon essentiel de la gestion des risques numériques, au même titre que le responsable de la sécurité des systèmes d’information, avec lequel il collabore étroitement. Sa présence rassure les partenaires, les investisseurs et les clients, et constitue de plus en plus un critère de sérieux et de fiabilité dans les relations d’affaires.

QUELLES PERSPECTIVES POUR CETTE PROFESSION AU BENIN ET EN AFRIQUE ?

En Afrique, et singulièrement au Bénin, la fonction de DPO est encore jeune, mais son avenir s’annonce prometteur. Le Bénin s’est doté d’un cadre juridique structurant à travers le Code du Numérique, qui consacre la protection des données à caractère personnel et confie à l’Autorité de Protection des Données Personnelles (APDP) un rôle de régulation. De plus en plus d’entreprises, d’institutions publiques et d’organismes de sécurité sociale prennent conscience de la nécessité de désigner un DPO, non plus comme une contrainte administrative, mais comme un véritable atout de gouvernance.

Cette dynamique s’inscrit dans un mouvement continental plus large, porté par l’essor du commerce électronique, des services financiers numériques, de l’intelligence artificielle et par la volonté de plusieurs États africains de renforcer leur souveraineté numérique. À terme, la demande en compétences DPO devrait croître significativement, ouvrant la voie à une véritable filière professionnelle, faite de juristes spécialisés, de consultants indépendants et de formations dédiées.

CONCLUSION

Le DPO n’est plus un simple exécutant technique de la réglementation. Il s’affirme comme un acteur stratégique de la confiance numérique, capable de concilier innovation, conformité et respect des droits fondamentaux. Dans un monde où la donnée est devenue une richesse autant qu’une responsabilité, sa présence, en entreprise comme dans l’administration, n’est plus une option, mais une nécessité durable.

Charlaine DEGBEY

Juriste spécialisée en droit du numérique

Change this description

Cette réalité oblige à revenir sur le régime juridique de la preuve numérique et à distinguer deux questions que l’on confond trop souvent. La première est celle de l’admissibilité : à quelles conditions le juge peut-il recevoir une preuve électronique ? La seconde, distincte, est celle de la fiabilité : une fois cette preuve admise, quel crédit peut-elle raisonnablement emporter ? Une preuve recevable n’est pas nécessairement convaincante et c’est précisément ce qui rend le sujet aussi délicat en pratique.

Le Bénin dispose, sur ce terrain, d’un cadre législatif structuré : la loi n°2017-20 du 20 avril 2018 portant Code du numérique, dont le Livre II est spécifiquement consacré aux écrits et outils électroniques. La doctrine consacrée à l’application concrète de ce texte reste toutefois rare, ce qui justifie de s’y attarder.

LE CADRE JURIDIQUE DE LA PREUVE NUMERIQUE AU BENIN

• Le Code du numérique, texte de référence

Le texte central en la matière est la loi n°2017-20 du 20 avril 2018 portant Code du numérique. Son Livre II, intitulé « Des outils et écrits électroniques », en constitue le socle : il organise la validité de l’écrit électronique, le régime de la preuve électronique, les obligations de conservation des contenus, l’identification électronique, ainsi que la signature électronique et les services de confiance qui l’accompagnent.

• Le principe d’équivalence entre écrit électronique et écrit papier

L’article 266 dispose en ses termes le principe cardinal du dispositif : « Sous réserve de dispositions légales particulières, les actes juridiques sous forme électronique ont la même valeur que les actes juridiques sous forme non-électronique. »

Le texte précise que lorsqu’un écrit est exigé pour la validité d’un acte, il peut être établi et conservé sous forme électronique, à condition que l’auteur puisse être dûment identifié et que l’intégrité de l’acte soit garantie. Il pose également une règle protectrice de neutralité technologique : la validité et la force exécutoire d’un acte ne peuvent être contestées au seul motif qu’il revêt une forme électronique. Personne ne peut être contraint de contracter par voie électronique. Ce principe d’équivalence n’est cependant pas absolu. L’article 267 en exclut certains actes : les actes sous seing privé relatifs aux sûretés personnelles ou réelles à caractère civil, ceux relevant du droit de la famille ou des successions, et plus généralement tout acte pour lequel la loi impose un support autre que l’électronique.

• La consécration de la preuve électronique

L’article 268 constitue, à cet égard, la disposition la plus importante du dispositif : « La preuve sous forme électronique a la même force probante et est admise au même titre que la preuve sous forme non-électronique, sous réserve que puisse être identifiée la personne dont elle émane, et qu’elle soit établie et conservée dans des conditions qui en garantissent l’intégrité et la pérennité. »

En d’autres termes, le droit béninois reconnaît à la preuve électronique la même force probante qu’à la preuve papier, mais à deux conditions cumulatives : que l’on puisse identifier son auteur, et que son intégrité comme sa pérennité soient garanties. Tout l’enjeu pratique du sujet tient, en réalité, dans la démonstration de ces deux conditions.

• L’admissibilité de la preuve numérique

Admettre une preuve, c’est simplement accepter de l’examiner. La question qui se pose au juge est donc préalable à toute appréciation de fond : peut-il, en droit, recevoir cet élément ? La réponse de principe est positive, mais elle reste subordonnée à plusieurs conditions.

D’abord identifier l’auteur. Un élément de preuve électronique doit permettre de rattacher son contenu à une personne déterminée. Un courriel, par exemple, doit permettre de savoir qui l’a envoyé, depuis quelle adresse, dans quelles circonstances. Une capture d’écran anonyme, à l’inverse, offrira une valeur probante nettement plus faible, faute de rattachement certain à son auteur supposé.

Ensuite, garantir l’intégrité. Le document ne doit pas avoir été altéré depuis sa création. Une facture au format PDF retouchée, même légèrement, perd de ce fait toute crédibilité devant le juge. L’intégrité n’admet guère de nuance.

Enfin, assurer une conservation appropriée. L’article 269 impose qu’à chaque fois qu’existe une obligation légale de conservation, que les documents électroniques restent accessibles et consultables dans le temps, qu’ils demeurent dans leur format d’origine ou dans un format garantissant l’exactitude des informations et qu’ils permettent d’identifier leur origine, leur destination, ainsi que les dates et heures de génération, d’envoi, de réception et de conservation. En pratique, cela signifie qu’il vaut mieux conserver le fichier électronique natif, le PDF original, le message tel qu’il a été reçu, plutôt qu’une simple photographie ou capture d’écran, moins à même de satisfaire à ces exigences.

L’article 270 vient compléter ce dispositif en précisant à quelles conditions un contenu électronique peut être regardé comme conservé « sous sa forme originale » : il faut que l’intégrité et l’exactitude des informations soient garanties de manière fiable, et qu’il soit possible d’en reproduire l’intégralité telle qu’elle a été générée. Des ajouts mineurs, liés au seul acheminement ou stockage du fichier, ne remettent pas en cause cette exigence.

Démontrer l’origine du document, enfin. Au-delà des textes, le juge s’appuiera concrètement sur des éléments techniques (métadonnées, horodatage, certificats électroniques, journaux de connexion) pour retracer l’origine et le parcours d’un document.

LA FIABILITE DE LA PREUVE NUMERIQUE : RECEVABILITE N’EST PAS CONVICTION

Une preuve peut parfaitement être recevable en droit sans emporter, pour autant, la conviction du juge. C’est là que se situe la question de la fiabilité : celle de l’appréciation concrète que le juge porte sur la force probante d’un élément.

• Les critères d’appréciation du juge

Le juge s’attache généralement à l’authenticité de la preuve : est-elle bien ce qu’elle prétend être ? ; à son intégrité : le contenu a-t-il été altéré depuis sa création ? à sa traçabilité, c’est-à-dire à la possibilité de reconstituer son cheminement depuis sa création jusqu’à sa production en justice, à la fiabilité de son horodatage, et enfin à sa cohérence avec le reste du dossier.

• Une force probante variable selon le type de preuve

Toutes les preuves numériques ne se valent pas. Les courriels bénéficient généralement d’une bonne force probante, à condition de pouvoir identifier l’expéditeur à partir de son adresse et des en-têtes techniques du message. Les SMS suivent une logique proche, sous réserve d’identifier le numéro et l’opérateur concerné.

Les conversations WhatsApp, extrêmement fréquentes dans le contentieux béninois, posent davantage de difficultés : il faut identifier avec certitude les interlocuteurs, et composer avec le risque que certains messages aient été supprimés. Les captures d’écran, tout aussi répandues, restent d’une force probante fragile : leur falsification est aisée, et leur valeur, prise isolément, demeure limitée.

Les vidéos et les photographies exigent, pour leur part, une démonstration d’authenticité. L’absence de montage pour les premières, un contexte suffisant pour les secondes, qui ne suffisent que rarement à elles seules. Les données de géolocalisation jouent surtout un rôle de corroboration. Les journaux informatiques (logs), quant à eux, sont d’une nature plus technique, mais s’avèrent souvent déterminants en matière de cybercriminalité. La signature électronique, enfin, offre, on le verra, la force probante la plus solide, à condition de répondre aux exigences de qualification prévues par le texte.

• Le régime particulier de la signature électronique

Le Titre III du Livre II organise un régime gradué de la signature électronique, dont la force probante varie sensiblement selon le niveau de garantie retenu et qui mérite, à ce titre, un développement à part.

L’article 284 dispose en ces termes : la signature électronique nécessaire à la validité d’un acte identifie celui qui l’appose et manifeste son consentement aux obligations qui en découlent ; elle est admise dans les transactions électroniques. Le même article introduit une présomption de fiabilité, favorable au plaideur, lorsque le procédé repose sur une signature électronique dite « qualifiée » ; c’est-à-dire créée grâce à un dispositif sécurisé et vérifié au moyen d’un certificat qualifié répondant aux exigences de l’article 287.

L’article 285 précise qu’une telle signature, créée par un dispositif qualifié, gardée sous le contrôle exclusif du signataire et reposant sur un certificat électronique, est admise au même titre qu’une signature manuscrite. Il définit également la signature électronique dite « avancée » et pose une présomption utile en pratique : sauf preuve contraire, un document électronique est présumé avoir été signé par son auteur, et son texte présumé non modifié, dès lors qu’une signature électronique sécurisée y est apposée ou logiquement associée.

L’article 286 énumère, pour sa part, les exigences propres à la signature avancée : un lien univoque avec le signataire, la possibilité de l’identifier, une création à partir de données que le signataire contrôle avec un niveau de confiance élevé, et la détection de toute modification ultérieure des données signées.

Ce dispositif gradué traduit une logique que l’on retrouve dans la plupart des standards internationaux : plus le procédé technique offre de garanties (contrôle exclusif, certificat qualifié, détection d’altération), plus la force probante de la signature est élevée, jusqu’à bénéficier, au sommet de cette échelle, d’une présomption favorable à celui qui s’en prévaut.

• Le régime de la copie électronique

L’article 271 mérite également d’être signalé : il reconnaît à la copie ou à la reproduction d’un acte électronique la même valeur et la même force probante que l’acte original, à condition que l’intégrité de ce dernier ait été préservée, preuve qui peut notamment résulter d’un certificat de conformité délivré par un prestataire de confiance.

LES DIFFICULTES PRATIQUES OBSERVEES DANS LE CONTEXTE BENINOIS

Le cadre légal, aussi clair soit-il, se heurte en pratique à plusieurs difficultés qui méritent d’être signalées.

La première, et sans doute la plus répandue, tient à la place considérable qu’occupent les captures d’écran dans le contentieux numérique. Une grande partie des litiges qu’ils soient portés devant le juge ou simplement évoqués à l’amiable, repose quasi exclusivement sur des captures de conversations WhatsApp ou de publications Facebook. Or ces éléments, faciles à modifier avec des outils d’édition d’image courants, n’offrent par nature qu’une garantie d’intégrité limitée.

Vient ensuite la question des faux profils et de l’usurpation d’identité, qui complique sérieusement l’identification de l’auteur réel d’un message ou d’une publication, condition pourtant première de l’admissibilité posée par l’article 268. À cela s’ajoute la difficulté propre aux comptes piratés : une personne peut soutenir qu’un message ou une transaction ne lui est pas imputable, ce qui impose alors de recourir à des éléments techniques complémentaires (logs de connexion, adresses IP, horodatage) pour lever le doute.

La possibilité de supprimer des messages, y compris pour l’ensemble des destinataires, sur certaines messageries, constitue une autre source de fragilité : des preuves peuvent tout simplement disparaître avant même d’être produites en justice. Plus récemment, l’essor de l’intelligence artificielle générative et notamment des techniques dites de deepfakes, capables de fabriquer une voix, une image ou une vidéo introduit un défi nouveau et croissant pour l’appréciation de l’authenticité des preuves numériques.

Deux difficultés plus structurelles complètent ce tableau. D’une part, la culture de conservation des preuves reste encore peu développée : nombre de justiciables ne sauvegardent pas systématiquement leurs échanges, changent d’appareil sans précaution, ou suppriment par mégarde des courriels et conversations pourtant utiles. D’autre part, le nombre d’experts en informatique judiciaire demeure limité, ce qui peut ralentir l’instruction technique des dossiers les plus complexes.

LES ENJEUX LIES A LA PROTECTION DES DONNEES PERSONNELLES

Obtenir une preuve numérique ne dispense pas de respecter la vie privée et le secret des correspondances, non plus que les règles relatives à la protection des données à caractère personnel, également organisées par le Code du numérique. Une preuve obtenue par un accès illicite, piratage d’un compte ou d’une messagerie, par exemple s’expose à voir sa force probante contestée, et peut même engager la responsabilité de celui qui l’a recueillie dans ces conditions. La fin ne justifie pas, ici non plus, tous les moyens.

EN CONCLUSION

Le Code du numérique promulgué en 2018 confère au Bénin un cadre juridique cohérent, fondé sur le principe d’équivalence entre l’écrit électronique et l’écrit papier, et sur des conditions précises d’identification, d’intégrité et de conservation qui gouvernent tant l’admissibilité que la fiabilité de la preuve numérique. Ce cadre, dont la logique rejoint les standards internationaux les plus établis, doit désormais être mis à l’épreuve d’une pratique judiciaire en pleine évolution marquée par la place prépondérante des réseaux sociaux et des messageries instantanées dans le contentieux, mais aussi par l’émergence de défis technologiques inédits, au premier rang desquels l’intelligence artificielle générative. Le renforcement de l’expertise technique, de la formation des acteurs judiciaires et de la culture de con01servation des preuves auprès des citoyens constitue, à cet égard, un enjeu déterminant pour l’effectivité du droit de la preuve à l’ère numérique.

Par Ornella HODONOU,

Juriste spécialisée en droit du numérique

Change this description

LES FONDEMENTS DE L’ETHIQUE NUMERIQUE

Avant de parler de règles ou de lois, il faut parler de principes. Et ces principes sont finalement assez proches du bon sens : respecter la vie privée des gens, traiter chacun de manière équitable, être capable d’expliquer ce que fait une technologie, et assumer les conséquences de ce qu’on met en circulation.
Le problème, c’est que ces principes sont souvent plus faciles à écrire qu’à appliquer. Une entreprise qui développe un service numérique doit composer avec des impératifs économiques, des délais serrés, une concurrence féroce. L’éthique devient alors un exercice d’équilibre : comment aller vite sans sacrifier ce qui compte vraiment ? La réponse n’est jamais parfaite, mais le simple fait de se poser la question change déjà beaucoup de choses.

LA PROTECTION DES DONNEES PERSONNELLES

Nos données, ce sont un peu nos empreintes numériques : elles racontent qui nous sommes, ce qu’on aime, où l’on va, avec qui on parle. Elles ont une valeur immense, à la fois pour les entreprises qui les exploitent et pour nous-mêmes, puisqu’elles touchent à notre intimité.
L’enjeu n’est pas d’empêcher leur utilisation, les données personnelles permettent aussi d’améliorer des services, de personnaliser une expérience, de faire avancer la recherche médicale. L’enjeu est de trouver le juste équilibre entre exploitation légitime et respect des droits individuels. Cela passe par des choses concrètes : demander un consentement réellement éclairé, limiter la collecte à ce qui est nécessaire, garantir aux personnes un droit de regard et de retrait sur leurs propres informations. Ce n’est pas de la bureaucratie, c’est une forme de respect.

INTELLIGENCE ARTIFICIELLE ET BIAIS

L’intelligence artificielle a cette réputation d’objectivité froide et implacable. En réalité, elle n’est jamais neutre : elle apprend à partir de données produites par des humains, avec toutes leurs imperfections, leurs préjugés, leurs angles morts. Un algorithme de recrutement peut ainsi reproduire des discriminations existantes sans que personne ne l’ait voulu explicitement. Un système de notation de crédit peut pénaliser certaines populations simplement parce que les données historiques reflétaient déjà des inégalités.
Le vrai danger, ce n’est pas seulement le biais en lui-même, c’est son opacité. Quand une décision automatisée nous échappe, difficile de la contester, difficile même de la comprendre. D’où l’importance de mettre en place de véritables garde-fous : auditer régulièrement les algorithmes, diversifier les équipes qui les conçoivent, exiger une explicabilité minimale, et surtout, garder un humain dans la boucle pour les décisions qui comptent vraiment.

LA RESPONSABILITE DES ACTEURS NUMERIQUES

Personne ne peut porter seul le poids de l’éthique numérique. Les entreprises technologiques ont évidemment une responsabilité de premier plan, puisque ce sont elles qui conçoivent les outils et fixent les règles du jeu par défaut. Mais les États ont aussi un rôle essentiel à jouer, celui de fixer un cadre légal qui protège les citoyens sans étouffer l’innovation.
Et les citoyens eux-mêmes ne sont pas de simples spectateurs. Chaque utilisateur, en faisant des choix éclairés, lire les conditions d’utilisation, s’interroger sur les données qu’il partage, exiger de la transparence participe à façonner un numérique plus responsable. La gouvernance numérique est finalement une affaire collective, où chacun a une part de responsabilité, même minime.

DURABILITE ET IMPACT SOCIETAL

On oublie trop souvent que le numérique a un corps bien réel. Derrière chaque recherche en ligne, chaque vidéo regardée, chaque fichier stocké dans le cloud, il y a des data centers qui consomment de l’énergie, chauffent, et laissent une empreinte carbone loin d’être négligeable. Penser l’éthique numérique, c’est aussi penser sa durabilité environnementale : concevoir des infrastructures plus sobres, privilégier des énergies renouvelables, allonger la durée de vie des équipements.
Il y a aussi un enjeu social tout aussi important : la fracture numérique. Pendant qu’une partie de la population profite pleinement des avancées technologiques, une autre reste à l’écart, faute d’accès, de formation ou de moyens. Un numérique éthique ne peut pas se contenter d’innover pour quelques-uns ; il doit chercher à inclure le plus grand nombre.

VERS UNE ETHIQUE NUMERIQUE AU SERVICE DE L’HUMAIN

L’éthique numérique n’est pas un obstacle sur la route de l’innovation, c’est ce qui lui donne sa légitimité et sa pérennité. Une technologie qui bafoue la vie privée, qui discrimine sans le dire, ou qui creuse les inégalités finira toujours par perdre la confiance de ceux qu’elle est censée servir. À l’inverse, un numérique pensé avec responsabilité construit une relation durable entre les entreprises, les institutions et les citoyens.
Au fond, la question n’est jamais de choisir entre progrès et éthique. Il s’agit de faire du progrès un progrès pour tous, un numérique qui reste, en toutes circonstances, au service de l’humain.

Charlaine DEGBEY

Juriste Spécialisée en Droit du Numérique

Change this description

À la lecture des dispositions du Code du numérique, la réponse est plus nuancée qu’il n’y paraît. Si le principe demeure celui de l’accomplissement de formalités préalables pour certains traitements, le législateur a également prévu plusieurs mécanismes permettant d’alléger ces obligations. Pourtant, dans la pratique, de nombreuses entreprises et même certaines institutions publiques continuent de procéder à des déclarations systématiques, parfois pour des traitements qui semblent pourtant bénéficier d’une dispense. Cette situation traduit une difficulté d’interprétation des textes et appelle, à notre sens, une clarification de la part de l’APDP.

Une distinction nécessaire entre exclusion, dispense et exemption

La première difficulté provient de la proximité des notions employées par le Code du numérique. Les articles 382, 408 et 410 évoquent respectivement les exclusions, les exemptions et les dispenses de formalités. Ces notions poursuivent pourtant des objectifs différents.

L’article 382 concerne les traitements qui échappent totalement au champ d’application des règles relatives à la protection des données personnelles. C’est notamment le cas des traitements réalisés par une personne physique dans le cadre exclusif de ses activités personnelles ou domestiques, à condition que les données ne soient pas destinées à être communiquées à des tiers ou diffusées. Dans cette hypothèse, aucune formalité n’est requise puisque le traitement n’entre pas dans le champ d’application du Livre consacré à la protection des données.

Les dispenses prévues directement par la loi

L’article 410 prévoit ensuite plusieurs cas dans lesquels les traitements sont dispensés de formalités préalables. Le Code vise notamment les traitements mis en œuvre pour la tenue de la comptabilité générale, ceux relatifs à la gestion des rémunérations du personnel ainsi que les traitements nécessaires à la gestion des fournisseurs. Sont également concernés les registres destinés à un usage exclusivement privé ainsi que certains traitements réalisés par des associations ou organismes à but non lucratif dans des conditions strictement définies.

Ces dispenses reposent sur une logique simple : certains traitements sont si courants et présentent, en principe, un niveau de risque suffisamment faible qu’il n’apparaît pas nécessaire d’imposer une déclaration préalable auprès de l’APDP.

Il convient toutefois de rappeler que cette dispense de formalités ne signifie nullement une dispense de conformité. Les responsables de traitement demeurent soumis à l’ensemble des obligations prévues par le Code du numérique, notamment celles relatives à la sécurité des données, au respect des principes de licéité, de transparence, de limitation des finalités ou encore aux droits des personnes concernées.

Les exemptions pouvant être accordées par l’APDP

À côté de ces dispenses légales, l’article 408 instaure un mécanisme différent. Il permet à l’APDP d’exempter certaines catégories de traitements de l’obligation de déclaration lorsqu’elles ne présentent manifestement pas de risque pour les droits et libertés des personnes concernées. Le texte prévoit également cette possibilité lorsque le responsable du traitement désigne un délégué à la protection des données chargé d’assurer la conformité des traitements et de tenir le registre prévu par le Code.

Il est important de souligner que cette exemption n’est pas automatique. Contrairement à l’article 410, qui dispense directement certains traitements, l’article 408 confère à l’APDP un pouvoir d’appréciation lui permettant de déterminer quelles catégories de traitements peuvent bénéficier d’un tel allègement.

Le Code apporte néanmoins une limite importante : les traitements mis en œuvre par les autorités publiques ne peuvent pas bénéficier de cette exemption. Les administrations restent donc exclues de ce mécanisme, même lorsqu’elles désignent un délégué à la protection des données.

Une absence de contradiction, mais un manque de lisibilité

À première lecture, les articles 408 et 410 peuvent sembler contradictoires. En réalité, ils organisent deux régimes juridiques distincts. L’article 410 énumère les traitements que le législateur a lui-même choisi de dispenser de formalités préalables. L’article 408, quant à lui, permet à l’APDP de créer des exemptions supplémentaires pour certaines catégories de traitements présentant peu de risques. Les deux dispositions sont donc complémentaires.

La véritable difficulté réside ailleurs. À ce jour, il n’existe pas de communication suffisamment détaillée permettant aux responsables de traitement d’identifier clairement les traitements bénéficiant effectivement des exemptions prévues par l’article 408. Dans le doute, beaucoup préfèrent effectuer une déclaration, même lorsqu’elle n’est peut-être pas nécessaire.

Cette situation entraîne une surcharge administrative inutile pour les organismes concernés et mobilise également les ressources de l’APDP sur des traitements qui ne présentent pas forcément un enjeu majeur en matière de protection des données.

Une clarification attendue de l’APDP

Dans un contexte où les obligations de conformité se multiplient, une clarification de la part de l’APDP serait particulièrement bienvenue. L’Autorité pourrait publier une liste ou un référentiel précisant les catégories de traitements bénéficiant des dispenses prévues à l’article 410, ainsi que celles pouvant faire l’objet d’une exemption sur le fondement de l’article 408. Une telle publication pourrait être accompagnée d’exemples concrets selon les secteurs d’activité (entreprises privées, établissements publics, collectivités territoriales, associations, établissements de santé, établissements d’enseignement, etc.).

L’APDP pourrait également préciser les critères qu’elle retient pour apprécier l’absence de risque pour les droits et libertés des personnes concernées, ainsi que les conditions dans lesquelles la désignation d’un délégué à la protection des données est susceptible de justifier une exemption de déclaration lorsque la loi le permet.

Une telle démarche renforcerait la sécurité juridique des responsables de traitement et favoriserait une application homogène du Code du numérique.

Pour une conformité davantage fondée sur le risque

Le droit de la protection des données évolue progressivement vers une logique de responsabilisation des organismes et d’évaluation des risques. Tous les traitements ne présentent pas le même niveau d’atteinte potentielle aux droits des personnes concernées. Il apparaît donc légitime que les obligations déclaratives soient adaptées à cette réalité.

Une meilleure clarification des dispenses et des exemptions permettrait aux responsables de traitement de concentrer leurs efforts sur les traitements les plus sensibles plutôt que sur des formalités parfois inutiles. Elle contribuerait également à renforcer l’efficacité de l’action de l’APDP, qui pourrait consacrer davantage de ressources aux traitements à fort impact.

À l’heure où de plus en plus d’organisations béninoises s’engagent dans des démarches de conformité, la publication de lignes directrices ou d’une liste officielle des traitements exemptés constituerait un outil précieux. Au-delà d’un simple allègement administratif, il s’agirait d’un véritable instrument de sécurité juridique, au bénéfice des responsables de traitement comme des personnes concernées.

Yazid ALE

Juriste

Change this description

L’article 9 du Code civil français dispose que : « Chacun a droit au respect de sa vie privée. » À première vue, cette disposition semble consacrer un droit dont seules les personnes physiques peuvent bénéficier. En effet, la vie privée renvoie traditionnellement à des éléments intimement liés à la personne humaine : la vie familiale, la santé, les convictions, la correspondance ou encore l’intimité de l’existence. Une personne morale, création juridique dépourvue de sentiments ou de vie personnelle, paraît donc naturellement exclue du champ d’application de ce texte.

Cette conception classique a longtemps guidé la jurisprudence française. Pourtant, face aux mutations économiques et numériques, la question mérite aujourd’hui d’être reposée : une entreprise, une association ou une fondation peut-elle revendiquer une forme de vie privée ?

La réponse est loin d’être unanime.

La position constante de la Cour de cassation : un refus de reconnaître une véritable vie privée aux personnes morales

La Cour de cassation est demeurée fidèle à une interprétation restrictive du droit au respect de la vie privée. Elle considère que ce droit est attaché à la personne physique et refuse, en principe, d’en reconnaître le bénéfice aux personnes morales.

Cela ne signifie toutefois pas que ces dernières soient dépourvues de toute protection juridique. Elles peuvent invoquer d’autres droits tels que la protection de leur réputation, de leur dénomination sociale, de leur domicile professionnel, de leur secret des affaires ou encore de leur patrimoine informationnel. Pour autant, ces protections demeurent distinctes de la reconnaissance d’un véritable droit au respect de la vie privée.

L’ouverture du Conseil d’État : la reconnaissance d’une sphère de confidentialité

Cette position a cependant été nuancée par le Conseil d’État dans une décision remarquée du 7 octobre 2022 (n° 443826).

Dans cette affaire, était en cause la communication des comptes annuels d’une fondation d’entreprise détenus par l’administration. Le Conseil d’État devait déterminer si ces documents pouvaient être librement communiqués à des tiers ou s’ils bénéficiaient d’une protection particulière.

La Haute juridiction administrative a jugé que les informations relatives au fonctionnement interne et à la situation financière d’une personne morale de droit privé relevaient de la protection de la vie privée au sens de l’article L. 311-6 du Code des relations entre le public et l’administration. Dès lors, leur communication à des tiers ne pouvait être autorisée que dans les conditions prévues par la loi.

Par cette décision, le Conseil d’État semble franchir une étape importante. Sans affirmer explicitement que les personnes morales disposent d’une vie privée identique à celle des personnes physiques, il leur reconnaît néanmoins une sphère de confidentialité protégée. Cette protection concerne notamment leur organisation interne, leur stratégie et certaines informations économiques dont la divulgation serait susceptible de porter atteinte à leurs intérêts.

Une divergence de jurisprudence plus apparente que réelle

Cette solution contraste avec la prudence de la Cour de cassation et révèle une divergence d’approche entre les deux ordres de juridiction. Là où le juge judiciaire préfère protéger les personnes morales au moyen de droits spécifiques, le juge administratif admet que certaines informations puissent directement relever de la notion de vie privée.

Cette divergence n’est toutefois pas totalement irréconciliable. En réalité, les deux juridictions poursuivent une finalité commune : préserver les intérêts légitimes des personnes morales. Elles diffèrent davantage sur le fondement juridique mobilisé que sur l’objectif recherché. La Cour de cassation refuse d’étendre la notion classique de vie privée, tandis que le Conseil d’État adopte une conception plus fonctionnelle de celle-ci lorsqu’il s’agit de protéger le fonctionnement interne d’une personne morale.

Une évolution dictée par les enjeux du numérique et de la protection de l’information

Cette évolution s’inscrit dans un contexte où les entreprises détiennent désormais un volume considérable d’informations stratégiques. À l’ère du numérique, les données relatives à la gouvernance, aux processus internes, aux choix organisationnels ou encore aux informations financières constituent de véritables actifs immatériels. Leur divulgation peut affecter la compétitivité d’une entreprise, compromettre sa stratégie ou porter atteinte à sa sécurité économique.

Dans ce contexte, reconnaître une forme de vie privée aux personnes morales apparaît comme une réponse aux nouveaux enjeux liés à la protection de l’information. Cette protection vient compléter d’autres mécanismes, tels que le secret des affaires ou la protection des données, afin d’assurer une meilleure sécurité juridique des organisations.

Une tendance déjà amorcée au niveau européen

Cette évolution s’inscrit d’ailleurs dans une tendance déjà perceptible au niveau européen. La Cour européenne des droits de l’homme admet depuis plusieurs années que certaines garanties prévues par l’article 8 de la Convention européenne des droits de l’homme peuvent bénéficier aux personnes morales, notamment en matière de protection des locaux professionnels ou de certaines informations confidentielles.

Conclusion : vers une redéfinition de la notion de vie privée ?

La décision du Conseil d’État du 7 octobre 2022 ne consacre donc pas une assimilation complète entre la personne physique et la personne morale. Elle témoigne plutôt d’une adaptation progressive de la notion de vie privée aux réalités contemporaines. À l’heure où les données constituent une richesse stratégique, la frontière entre vie privée, secret des affaires et confidentialité organisationnelle devient de plus en plus ténue.

Le débat demeure toutefois ouvert. Faut-il continuer à réserver la vie privée aux seules personnes physiques, conformément à la lettre de l’article 9 du Code civil, ou admettre qu’une personne morale puisse, elle aussi, bénéficier d’une protection de sa sphère privée lorsque sont en jeu son organisation, ses données stratégiques ou son fonctionnement interne ? Les évolutions jurisprudentielles récentes invitent, en tout état de cause, à repenser cette notion à la lumière des défis du numérique

Yazid ALE, Juriste

Change this description

Une architecture réglementaire à deux étages

Comprendre la régulation des fintechs dans la zone franche suppose de distinguer deux niveaux de normes qui s’appliquent simultanément et se complètent plus qu’elles ne se recoupent.

Le premier étage est régional. La BCEAO, banque centrale commune aux huit pays de l’UEMOA, fixe les règles applicables aux activités de paiement, de monnaie électronique et de crédit dans l’ensemble de la zone. C’est elle qui délivre les agréments d’établissement de paiement (EDP) ou d’établissement de monnaie électronique (EME), les deux statuts sous lesquels opèrent la plupart des fintechs.

Le second étage est national. Chaque État, dont le Bénin, dispose de ses propres textes sur le numérique, la protection des données personnelles et les télécommunications, qui encadrent la dimension technologique de l’activité fintech sans se substituer à la supervision financière de la BCEAO.

L’instruction 001-01-2024 : la clé de voûte régionale

Le texte qui bouleverse aujourd’hui l’écosystème est l’instruction n°001-01-2024 du 23 janvier 2024 relative aux services de paiement dans l’UMOA, un texte de 97 articles répartis en six titres qui s’applique aux banques, aux établissements financiers de crédit, aux établissements de paiement, aux institutions de microfinance et aux établissements de monnaie électronique. Son apport majeur tient en une phrase : elle met fin au modèle d’adossement généralisé aux banques, qui permettait à de nombreux opérateurs de fonctionner sans licence propre. Désormais, seule une structure titulaire de son propre agrément peut légalement fournir des services de paiement.

Concrètement, l’instruction définit largement la notion de service de paiement : dépôts et retraits d’espèces, virements, prélèvements, opérations liées à la monnaie électronique, initiation de paiement ou agrégation d’informations sur les comptes en relèvent toutes. Pour obtenir l’agrément correspondant, une fintech doit justifier d’un capital social minimum, dont le montant varie entre 10 et 100 millions de FCFA selon le type de licence, mettre en place une gouvernance adaptée, sécuriser ses systèmes d’information et démontrer sa conformité aux règles de lutte contre le blanchiment de capitaux et le financement du terrorisme.

Cette bascule s’est révélée plus douloureuse que prévu pour l’écosystème. Alors que le Bureau de Connaissance et de Suivi des FinTech de la BCEAO recensait plus de 131 fintechs actives dans le domaine bancaire et financier de l’UEMOA à fin 2022, le nombre d’agréments effectivement délivrés est resté longtemps très faible. La banque centrale a donc dû reporter à quatre reprises l’échéance de mise en conformité, la dernière fois jusqu’au 31 août 2025, un délai supplémentaire justifié par la nécessité de permettre aux prestataires concernés de finaliser les formalités requises pour leur agrément. Entre-temps, la BCEAO a durci le ton : après un premier couperet fixé au 1er mai 2025 puis repoussé une dernière fois, c’est depuis le 1er septembre 2025 que toute structure non agréée conformément aux exigences de l’instruction doit cesser d’offrir des services de paiement dans l’UMOA, sous peine de sanctions dont la nature exacte reste à la discrétion du régulateur.

Ce mouvement a néanmoins produit ses premiers effets tangibles. Début 2025, des acteurs comme Intouch, PayDunya, SycaPay ou la sénégalaise QuickPay ont obtenu leurs premières licences, avec une répartition géographique inégale puisque la Côte d’Ivoire et le Sénégal concentrent la majorité des agréments, quand le Burkina Faso, le Mali et le Niger n’en comptent chacun qu’un seul. Un point de droit mérite d’être souligné, car il est souvent négligé par les acteurs eux-mêmes dans leur communication : l’agrément délivré par la BCEAO est strictement national. Une fintech qui souhaite opérer dans les huit pays de l’Union doit donc solliciter huit autorisations distinctes, une exigence lourde qui interroge sur la cohérence du projet d’intégration financière régionale.

Le Bénin : un cadre national encore composite

Au niveau béninois, il n’existe pas de loi spécifique aux fintechs à proprement parler. Le secteur navigue entre plusieurs textes sectoriels dont aucun n’a été pensé pour lui.

Le texte pivot reste la loi n°2017-20 du 20 avril 2018 portant Code du numérique, qui régit les communications électroniques, l’identification et la signature électroniques, le commerce en ligne et la protection des consommateurs numériques. Elle place sous la tutelle de l’Autorité de Régulation des Communications Électroniques et de la Poste (ARCEP) les aspects technologiques de l’activité, tandis que l’Autorité de Protection des Données à caractère Personnel (APDP) veille au traitement des données des utilisateurs. Mais ce Code du numérique n’a pas vocation à réguler la dimension financière des fintechs : cette compétence revient à la BCEAO, qui exerce sa supervision au niveau régional et non depuis Cotonou.

Cette architecture crée des zones grises que la doctrine juridique locale commence à documenter, en particulier sur les actifs numériques. Le Code du numérique ne mentionne pas explicitement les levées de fonds en cryptomonnaies, qu’il s’agisse d’ICO ou de STO, ce qui crée une insécurité juridique pour les fintechs et les entreprises agritech qui souhaiteraient y recourir. Ni l’ARCEP, compétente pour les télécommunications, ni l’APDP, centrée sur les données personnelles, n’ont vocation à combler ce vide, qui relève en réalité d’une régulation financière que ni le Bénin ni même la BCEAO n’ont pour l’instant clairement tranchée.

Face à cette complexité, les acteurs privés se sont organisés. La création, en septembre 2024, de l’Association des Fintech du Bénin (AFIN BJ), qui réunit des entreprises comme FedaPay ou PayPlus, traduit la volonté du secteur de structurer et renforcer l’écosystème financier numérique et de mieux dialoguer avec les autorités régulatrices que sont la BCEAO et l’ARCEP. C’est aussi le signe que les entrepreneurs béninois, confrontés à une réglementation pensée à l’échelle de huit États, ressentent le besoin d’un canal de représentation dédié pour peser dans les discussions à Dakar, siège de la banque centrale.

Sur le terrain de la conformité elle-même, le Bénin a franchi une première étape symbolique : le 1er septembre 2025, FeexPay est devenue la première fintech béninoise à obtenir son agrément d’Établissement de Paiement délivré par la BCEAO, ouvrant la voie à une mise en conformité progressive des autres acteurs du pays.

Un mouvement continental de formalisation

Le Bénin et l’UEMOA ne sont pas des cas isolés. Partout sur le continent, la tendance est à la sortie des zones grises réglementaires qui avaient permis, dans les années 2010, l’essor rapide du mobile money et des néo-banques.

Au Nigeria, la Banque centrale a multiplié depuis plusieurs années les catégories de licences dédiées aux paiements numériques et resserré ses exigences en matière de fonds propres et de conformité, tout en assouplissant certaines règles pour encourager l’inclusion financière. Au Kenya, pionnier du mobile money avec M-Pesa, le régulateur a développé un bac à sable réglementaire (regulatory sandbox) permettant de tester des innovations sous supervision allégée avant une mise sur le marché complète. L’ARCEP béninoise elle-même évoque désormais la mise en place d’un dispositif comparable pour les services innovants de communications électroniques, preuve que l’idée du sandbox progresse aussi en zone UEMOA.

À l’échelle continentale, l’enjeu dépasse la seule conformité locale. La montée en puissance de systèmes panafricains comme le PAPSS (Pan-African Payment and Settlement System), porté par l’Union africaine et la Banque africaine d’import-export, dessine l’ambition d’une interopérabilité des paiements transfrontaliers qui suppose, en amont, des fintechs nationales solidement régulées et supervisées. Un agrément BCEAO en bonne et due forme devient ainsi, selon les analystes du secteur, un tremplin vers les futurs standards de l’open finance, l’accès à des financements institutionnels et une possible intégration aux systèmes panafricains.

Ce que la régulation change concrètement pour les acteurs

Pour une fintech béninoise ou ouest-africaine, la mise en conformité n’est plus une option mais une condition de survie légale. Elle implique la mise en place d’un dispositif de connaissance du client (KYC), des outils de lutte anti-blanchiment, la publication régulière de rapports financiers auprès du régulateur et des audits de sécurité de ses plateformes. Le non-respect de ces obligations expose à des sanctions graduées : suspension d’activité, amende, voire retrait pur et simple de l’agrément.

Cette exigence a un coût réel pour de jeunes structures : constitution du capital minimum, recrutement de compétences en conformité, refonte de la gouvernance. Mais elle produit aussi un effet de sélection qui rassure les investisseurs internationaux, de plus en plus attentifs au statut réglementaire des cibles africaines dans lesquelles ils placent leurs capitaux. Une fintech agréée gagne en crédibilité auprès des banques partenaires, des bailleurs de fonds et, in fine, des utilisateurs dont l’épargne électronique se trouve mieux protégée.

En guise de conclusion

La régulation des fintechs au Bénin et dans l’UEMOA illustre une tension classique du droit économique : sécuriser un secteur devenu systémique pour l’inclusion financière, sans étouffer par la lourdeur des procédures l’innovation qui a fait le succès du mobile money africain. La BCEAO a choisi la fermeté progressive, quitte à multiplier les délais pour ne pas fragiliser un écosystème encore jeune. Le Bénin, lui, devra clarifier son arsenal juridique national, notamment sur les actifs numériques, pour que ses fintechs jouent pleinement leur rôle dans la bancarisation d’une économie où l’informalité reste la norme plutôt que l’exception.

Charlaine DEGBEY

Juriste Spécialisée en Droit du Numérique

Change this description

Diffusion de photos sans autorisation, publication de vidéos intimes, usurpation d’identité, diffamation, cyberharcèlement, divulgation de conversations privées ou collecte abusive de données personnelles etc. Autant de situations qui posent aujourd’hui de véritables questions juridiques. Le Bénin a répondu à ces enjeux en consacrant la protection des données personnelles et de la vie privée comme un droit fondamental, notamment à travers la Loi n° 2017-20 portant Code du numérique, modifiée en 2021.

RESEAUX SOCIAUX ET VIE PRIVEE : DEUX NOTIONS A CLARIFIER

Les réseaux sociaux sont des plateformes numériques qui permettent à chacun de créer un profil, de publier des contenus et d’interagir avec d’autres utilisateurs. Ils facilitent le partage de photos, de vidéos, d’opinions, d’informations personnelles ou encore de données de localisation.

La vie privée, quant à elle, désigne l’ensemble des informations relatives à une personne qui ne doivent pas être divulguées sans son consentement : identité, adresse, numéro de téléphone, photographies, vidéos, conversations privées, données biométriques, données médicales, localisation, informations bancaires. Le Code du numérique protège l’ensemble de ces données contre toute collecte ou diffusion illicite.

LE CADRE JURIDIQUE : LE CODE DU NUMERIQUE

La Loi n° 2017-20 portant Code du numérique constitue le principal texte de référence. Elle couvre un large spectre de sujets : protection des données personnelles, vie privée, communications électroniques, commerce électronique, cybersécurité et cybercriminalité. Le Livre V de ce texte est spécifiquement consacré à la protection des données personnelles et de la vie privée.

LE ROLE CENTRAL DE L’AUTORITE

L’Autorité de Protection des Données à caractère Personnel (APDP) est une autorité administrative indépendante chargée de veiller à l’application de ces règles. Ses missions principales consistent à protéger les citoyens, contrôler les traitements de données, recevoir les plaintes, sensibiliser le public, sanctionner certains manquements et transmettre au parquet les infractions dont elle a connaissance.

LES PRINCIPAUX LITIGES OBSERVES AU BENIN

La diffusion de photos sans consentement reste l’un des cas les plus fréquents : publication d’une photo sans accord, diffusion d’images d’un événement privé, utilisation d’une photo à des fins commerciales, ou encore création de faux profils. Ces pratiques peuvent entraîner une atteinte à la réputation et des poursuites civiles ou pénales selon les circonstances.

La diffusion de vidéos intimes, communément appelée « sextape », constitue une atteinte grave à la vie privée. Elle peut entraîner des sanctions prévues par le Code du numérique et relever d’autres infractions pénales selon les faits.

La divulgation de conversations privées : capture d’écran d’une discussion WhatsApp, publication de messages privés sur Facebook, diffusion d’enregistrements vocaux, pose également problème. Même lorsqu’une personne est partie à l’échange, la publication du contenu peut porter atteinte aux droits des autres participants.

Le cyberharcèlement prend des formes variées : insultes répétées, menaces, humiliations publiques, campagnes de dénigrement ou publications répétées visant une même personne. Les réseaux sociaux ont tendance à amplifier les conséquences psychologiques et sociales de ces comportements.

La diffamation consiste en des allégations portant atteinte à l’honneur ou à la réputation d’une personne : fausses accusations, rumeurs, publications mensongères. Il est important de rappeler que la liberté d’expression ne protège pas la diffusion de propos diffamatoires.

L’usurpation d’identité se manifeste par la création de faux comptes, l’utilisation des photos d’autrui, ou encore des tentatives d’escroquerie via un faux profil. Le Code du numérique prévoit des infractions spécifiques liées à l’usurpation d’identité numérique.

Enfin, la collecte abusive de données personnelles par certaines applications ou entreprises (numéro de téléphone, carnet d’adresses, localisation, habitudes de navigation) doit impérativement respecter les règles de protection des données personnelles en vigueur au Bénin.

LES DROITS DES CITOYENS BENINOIS

Le Code du numérique garantit à toute personne le droit d’être informée de la collecte de ses données, de donner ou de retirer son consentement lorsque celui-ci est requis, d’accéder à ses données, d’en demander la rectification, d’en demander la suppression dans certains cas, et de s’opposer à certains traitements.

DES RESPONSABILITES PARTAGEES

Les utilisateurs ont un rôle à jouer : respecter la vie privée d’autrui, vérifier les informations avant de les publier, éviter la diffusion de contenus portant atteinte à l’honneur d’une personne, et ne pas partager de données personnelles sans autorisation.

Les plateformes, de leur côté, sont tenues de mettre en place des mécanismes de signalement des contenus illicites, de suppression de certains contenus, de protection des données des utilisateurs et de sécurisation des comptes.

LES DIFFICULTES PERSISTANTES

Plusieurs obstacles limitent encore l’efficacité de la protection de la vie privée au Bénin : une connaissance faible des droits numériques par les citoyens, des difficultés d’identification des auteurs se cachant derrière de faux comptes, le caractère transfrontalier des plateformes, la lenteur ou la complexité de certaines procédures, un manque de sensibilisation, et une évolution technologique rapide qui devance souvent le cadre réglementaire.

VERS DE NOUVEAUX DEFIS

L’essor de l’intelligence artificielle soulève désormais de nouveaux risques : deepfakes, clonage de voix, création de faux profils automatisés, manipulation de photos, ou diffusion virale de contenus mensongers. Ces évolutions technologiques imposent au droit béninois de continuer à s’adapter pour offrir une protection efficace de la vie privée dans un environnement numérique en constante mutation.

EN CONCLUSION

Le Code du numérique du Bénin pose un cadre juridique solide pour encadrer l’usage des réseaux sociaux et protéger la vie privée des citoyens. Mais l’efficacité de ce dispositif dépend largement de la sensibilisation des utilisateurs, du renforcement des moyens d’identification des contrevenants et de l’adaptation continue du droit face aux mutations technologiques, notamment celles portées par l’intelligence artificielle.

Par Ornella HODONOU,

Juriste spécialisée en droit du numérique

Change this description

Cette concentration de données fait des administrations publiques des cibles privilégiées pour les cybercriminels, et expose les citoyens à des risques considérables en cas de fuite. Une telle fuite peut provoquer des atteintes graves à la vie privée, une perte de confiance dans les institutions, des sanctions réglementaires, voire une perturbation durable des services publics.

Dans ce contexte, la gestion efficace des incidents de sécurité et des violations de données est devenue une priorité stratégique pour les administrations, en particulier au Bénin où la digitalisation des services publics s’accélère.

Qu’est-ce qu’une violation de données ?

La Loi n° 2017-20 portant Code du Numérique en République du Bénin donne une définition précise de ce qu’il faut entendre par violation de données à caractère personnel. Il s’agit de toute « violation de la sécurité entraînant de manière accidentelle ou illicite la destruction, la perte, l’altération, la divulgation ou la consultation non autorisées de données à caractère personnel transmises, conservées ou traitées d’une autre manière, ou l’accès non autorisé à de telles données ».

Cette définition large couvre ainsi quatre types de situations : les violations accidentelles, les actes malveillants délibérés, les incidents d’origine interne à l’organisation et ceux provenant de l’extérieur.

Dans un organisme public, les données susceptibles d’être exposées sont particulièrement sensibles : noms, prénoms, numéros d’identification, dossiers fiscaux, dossiers scolaires, données médicales et biométriques, ou encore informations relatives aux agents publics et à leur rémunération.

Les causes fréquentes des fuites de données

Les fuites de données dans les organismes publics résultent généralement de quatre grandes catégories de causes.

L’erreur humaine demeure la première cause identifiée. Elle peut se manifester par l’envoi d’un document au mauvais destinataire, une mauvaise configuration d’une plateforme numérique, ou la publication involontaire d’informations sensibles. Ce type d’incident, bien que non intentionnel, engage néanmoins la responsabilité du responsable du traitement au sens du Code du Numérique.

Les cyberattaques constituent la deuxième cause majeure. Les cybercriminels exploitent les vulnérabilités des systèmes d’information via des attaques de type phishing, ransomware, malware, ou par le vol d’identifiants de connexion. Les administrations publiques, qui disposent d’importantes bases de données citoyennes, sont des cibles particulièrement attractives.

La mauvaise gestion des droits d’accès représente également un risque significatif. Lorsque des comptes inactifs demeurent actifs, que des mots de passe faibles sont tolérés, ou que des agents non autorisés peuvent accéder à certaines données, l’organisme s’expose à des fuites internes difficiles à détecter.

Enfin, les défaillances techniques, bugs logiciels, erreurs de configuration serveur, mauvaises sauvegardes, etc… peuvent conduire à des expositions non intentionnelles de données.

Les conséquences d’une fuite de données

Les conséquences d’une fuite de données dans un organisme public sont multidimensionnelles. Pour les citoyens dont les données ont été compromises, les risques sont directs et graves : usurpation d’identité, fraude financière, atteinte à la vie privée et risques de discrimination.

Pour l’organisme public lui-même, les impacts se déclinent sur quatre plans :

• Sur le plan opérationnel, la fuite entraîne une interruption des services, une mobilisation intensive des équipes et une perte de productivité.
• Sur le plan financier, les coûts d’investigation, de remédiation et les pertes économiques indirectes peuvent être considérables.
• Sur le plan juridique, le non-respect des obligations du Code du Numérique expose l’organisme à des sanctions de l’Autorité de Protection des Données Personnelles (APDP), à des contentieux et à la mise en cause de sa responsabilité administrative.
• Enfin, sur le plan réputationnel, la perte de confiance des citoyens et la dégradation de l’image institutionnelle peuvent durablement fragiliser la légitimité de l’administration concernée.

Cas pratique : fuite de données dans une administration publique

Imaginons qu’une administration publique mette à disposition un portail numérique permettant aux citoyens d’accéder à leurs dossiers administratifs. Suite à une mauvaise configuration du serveur, plusieurs milliers de dossiers deviennent accessibles publiquement pendant plusieurs jours. Les informations exposées comprennent des noms et prénoms, des numéros de téléphone, des adresses et des documents administratifs.

La gestion de cet incident doit suivre un protocole en six étapes.

La première étape est la détection. Dans le cas présent, c’est un citoyen qui constate pouvoir accéder aux données d’autres usagers et le signale à l’équipe informatique. Cette étape souligne l’importance de disposer de canaux de signalement accessibles au public.

Vient ensuite la qualification de l’incident. L’équipe technique doit analyser l’origine du problème, identifier précisément les données concernées, estimer le nombre de personnes affectées et déterminer la durée d’exposition.

La troisième étape est le confinement. Il s’agit de fermer immédiatement l’accès au système vulnérable, de corriger la configuration défaillante, de bloquer les accès suspects et de sécuriser les données.

La quatrième étape, souvent la plus sensible, est la notification. Conformément à l’article 427 du Code du Numérique, le responsable du traitement doit notifier sans délai l’APDP et les personnes concernées. La loi précise que cette notification doit au minimum décrire la nature de la rupture de sécurité, communiquer les coordonnées du délégué à la protection des données, décrire les conséquences probables de l’incident et présenter les mesures prises ou envisagées pour y remédier.

La cinquième étape est l’investigation interne, qui permet de déterminer la cause exacte, les responsabilités impliquées, l’étendue réelle de l’incident et les mesures correctives nécessaires.

Enfin, le retour d’expérience constitue une étape fondamentale trop souvent négligée. Il permet de mettre à jour les procédures internes, de former le personnel, d’améliorer les contrôles et de conduire un audit de sécurité approfondi.

Le cadre juridique : les obligations du Code du Numérique

La Loi n° 2017-20 portant Code du Numérique constitue le socle réglementaire applicable aux organismes publics béninois en matière de protection des données personnelles. Plusieurs de ses dispositions sont directement pertinentes dans le contexte d’une fuite de données.

L’article 424 consacre le principe de protection des données dès la conception (privacy by design). Le responsable du traitement est tenu de mettre en œuvre des mesures techniques et organisationnelles dès la phase de conception des traitements, notamment la pseudonymisation, afin de minimiser les risques d’atteinte à la vie privée dès l’origine. L’article 426 pose les obligations de sécurité. Le responsable du traitement et son sous-traitant doivent mettre en œuvre des mesures appropriées pour protéger les données contre toute forme de destruction, perte, altération, diffusion ou accès non autorisés. La loi cite expressément parmi ces mesures le chiffrement, la pseudonymisation, la garantie de résilience des systèmes et l’évaluation régulière de l’efficacité des dispositifs de sécurité.

L’article 427 institue l’obligation de notification. Toute rupture de sécurité affectant des données personnelles doit être notifiée sans délai à l’APDP et aux personnes concernées, selon les modalités décrites plus haut. Cette obligation, qui s’applique pleinement aux organismes publics, constitue l’un des piliers de la responsabilisation introduite par le Code du Numérique.

L’article 428 rend obligatoire la réalisation d’une analyse d’impact relative à la protection des données (AIPD) pour tout traitement susceptible d’engendrer un risque élevé pour les droits et libertés des personnes. Cette disposition est particulièrement pertinente pour les administrations publiques qui déploient de nouveaux services numériques. Lorsque l’analyse révèle un risque résiduel élevé, l’article 429 impose une consultation préalable de l’APDP avant la mise en œuvre du traitement.

Enfin, l’article 411 rappelle que les traitements de données personnelles opérés pour le compte de l’État, d’un établissement public ou d’une collectivité locale sont soumis à autorisation par décret pris en Conseil des ministres après avis motivé de l’APDP.

Recommandations pour les organismes publics

Pour prévenir les fuites de données et y répondre efficacement, les organismes publics béninois devraient mettre en œuvre les mesures suivantes.

En matière de gouvernance, il convient en priorité de désigner un DPO conformément à l’article 430 du Code du Numérique, de définir une politique de sécurité des systèmes d’information et de mettre en place un comité de gestion des risques numériques.

Sur le plan de la sécurité technique, les mesures à déployer comprennent le chiffrement des données sensibles, l’authentification multifactorielle pour les accès aux systèmes critiques, la segmentation des réseaux et la mise à jour régulière des logiciels et équipements. La gestion des accès doit s’appuyer sur le principe du moindre privilège : chaque agent ne doit accéder qu’aux données strictement nécessaires à ses fonctions. Cela implique une revue périodique des comptes utilisateurs et la suppression systématique des accès inutiles.

La formation des agents est un levier fondamental. Elle doit être continue, inclure des exercices de simulation d’incident et être adaptée aux différents profils d’utilisateurs au sein de l’administration.

Enfin, chaque organisme doit se doter d’un plan de réponse aux incidents documenté, comprenant une cellule de crise identifiée, une procédure de notification conforme à l’article 427, un registre des incidents et des modèles de communication adaptés.

EN CONCLUSION

« La gestion des fuites de données constitue aujourd’hui un enjeu stratégique, juridique et éthique majeur pour les organismes publics béninois. La Loi n° 2017-20 portant Code du Numérique fournit un cadre complet et cohérent : obligations de sécurité dès la conception (art. 424), mesures techniques et organisationnelles (art. 426), notification sans délai des violations (art. 427), analyse d’impact obligatoire (art. 428) et désignation obligatoire d’un DPO (art. 430).

Face à l’accélération de la transformation numérique de l’État béninois, une posture proactive est indispensable. Prévenir, détecter rapidement, répondre de manière structurée et tirer les enseignements de chaque incident sont les quatre piliers d’une gouvernance des données personnelles à la hauteur des attentes des citoyens et des exigences de la loi. »

Par Ornella HODONOU,

Juriste spécialisée en droit du numérique

Change this description

Il y a quelques années encore, parler de “protection des données personnelles” dans une réunion d’entreprise à Cotonou, c’était risquer de vider la salle en cinq minutes. Trop technique, trop abstrait, trop loin des vraies urgences du quotidien. Aujourd’hui, la musique a changé et ce n’est pas uniquement parce que le Bénin s’est doté d’un cadre légal plus exigeant.

C’est aussi parce que les entreprises ont commencé à comprendre, parfois à leurs dépens, que les données de leurs clients ne sont pas de simples fichiers Excel qu’on stocke quelque part sur un vieux disque dur. Ce sont des informations sensibles, souvent intimes, qui méritent d’être traitées avec soin et que la loi, de plus en plus, leur impose de protéger.

POURQUOI LA CONFORMITE EST DEVENUE INCONTOURNABLE

À l’ère du numérique, les données personnelles sont devenues le nouveau « pétrole » de l’économie mondiale. Chaque clic, chaque inscription, chaque transaction génère des informations qui peuvent être exploitées, analysées et parfois détournées. Face à cette réalité, la protection des données personnelles n’est plus une option : c’est une obligation légale et un enjeu de confiance.

Au Bénin, le Code du Numérique et l’Autorité de Protection des Données Personnelles (APDP) fixent le cadre. À l’international, le RGPD européen ou encore les lois américaines et africaines imposent des standards élevés. Mais au-delà des textes, c’est une véritable culture de la conformité qui doit s’installer dans les entreprises, qu’elles soient locales ou multinationales, notamment :

• La confiance des clients : une entreprise qui protège les données inspire crédibilité et fidélité.
• Les obligations légales : au Bénin, toute organisation qui collecte des données doit déclarer ses traitements à l’APDP. En Europe, le RGPD impose des sanctions lourdes en cas de manquement.
• La compétitivité internationale : une société béninoise qui veut collaborer avec des partenaires européens ou américains doit prouver qu’elle respecte les standards mondiaux.

En résumé, la conformité n’est pas seulement une contrainte administrative : c’est un avantage stratégique

CE QUE DIT LA LOI, ET CE QU’ON EN FAIT VRAIMENT

Le Bénin n’est pas en retard sur la question. La loi n° 2017-20 portant code du numérique, ainsi que le cadre de l’APDP (Autorité de Protection des Données Personnelles), définissent des obligations claires : collecter les données avec consentement, les utiliser dans un but précis, les protéger contre les fuites, et permettre aux personnes d’y accéder ou de les supprimer si elles le souhaitent.

“La loi dit ce qu’il faut faire. Le problème, c’est l’espace qui existe entre le texte et la pratique quotidienne.”

Sur le terrain, cet écart se manifeste de plusieurs façons. Le consentement, censé être libre et éclairé, se réduit souvent à une case cochée automatiquement ou à une mention noyée dans des conditions générales que personne ne lit vraiment. La finalité précise du traitement des données, elle aussi prévue par la loi, laisse parfois place à une collecte bien plus large que nécessaire : on demande un numéro de téléphone, une adresse, une pièce d’identité, sans toujours justifier pourquoi ni combien de temps ces informations seront conservées.

Du côté de la sécurité, beaucoup de structures notamment les plus petites n’ont ni les moyens ni le personnel qualifié pour mettre en place une véritable politique de protection des données, même lorsqu’elles en comprennent l’importance. Quant au droit d’accès ou de suppression des données, il reste largement théorique pour la majorité des usagers, qui ignorent souvent son existence, et pour de nombreuses entreprises, qui n’ont tout simplement pas prévu de procédure pour y répondre.

Ce que la loi béninoise impose concrètement

• Obtenir le consentement clair avant de collecter des données
• Informer les personnes sur l’usage qui sera fait de leurs informations
• Ne pas conserver les données plus longtemps que nécessaire
• Sécuriser les bases de données contre les accès non autorisés
• Désigner un responsable de traitement identifiable
• Notifier l’APDP en cas de violation de données

LES PME BENINOISES : DES OBLIGATIONS REELLES, DES MOYENS LIMITES

Pour une petite entreprise de distribution à Akpakpa, ou une startup fintech née il y a dix-huit mois à Cotonou, la conformité aux données personnelles ressemble souvent à un luxe qu’on reporte. Pas par mauvaise volonté, mais parce que les priorités sont ailleurs, les ressources humaines et financières rares, et les textes de loi parfois difficiles à traduire en gestes concrets du quotidien.

Pourtant, même une petite entreprise qui collecte les numéros de téléphone de ses clients via WhatsApp, ou qui stocke des données de paiement mobile, entre dans le champ d’application de la loi. Pas besoin d’être une grande banque pour être concerné. Une simple liste de contacts bien gérée avec un consentement clair et une utilisation transparente suffit à se mettre en conformité sur l’essentiel.

La conformité n’est pas réservée aux grandes entreprises. Elle commence avec un formulaire d’inscription, et la question : est-ce que la personne sait vraiment à quoi elle consent ?

La bonne nouvelle, c’est que la conformité n’est pas toujours synonyme de budget astronomique. Beaucoup de démarches sont accessibles : rédiger une politique de confidentialité lisible, former ses équipes en quelques heures, ou simplement se poser la question avant chaque collecte : “est-ce que j’ai vraiment besoin de cette information ?”

LA CONFIANCE : LE VRAI ENJEU DERRIERE LA CONFORMITE

Au fond, derrière les textes de loi et les obligations administratives, il y a une idée simple : les gens font davantage confiance aux entreprises qui respectent leur vie privée. Et dans une économie numérique où la concurrence est féroce, cette confiance vaut de l’or.

Les multinationales l’ont compris avant tout le monde. C’est pourquoi elles investissent dans des équipes juridiques spécialisées, des audits réguliers, des certifications. Non pas uniquement par peur des amendes même si la menace existe mais parce qu’elles savent qu’une fuite de données peut détruire une réputation construite en vingt ans, en l’espace d’un week-end.

Pour les entreprises béninoises, le chemin est le même, à une échelle différente. Construire une culture de la conformité, ce n’est pas remplir des cases dans un formulaire. C’est décider, à tous les niveaux de l’entreprise, que les données des clients méritent le même respect que l’argent qu’ils dépensent. C’est un choix culturel autant que légal. Et c’est souvent là que tout commence.

RESPONSABILITE DES ENTREPRISES EN CONFORMITE NUMERIQUE

Au-delà des obligations légales, les entreprises qu’elles soient béninoises ou multinationales opérant sur le territoire portent une responsabilité directe dans la mise en œuvre effective de la conformité numérique.

Une responsabilité organisationnelle : Toute entreprise qui collecte, traite ou stocke des données personnelles doit structurer sa gouvernance autour de cette exigence. Cela implique la désignation d’un responsable ou d’un référent en protection des données, capable de superviser les pratiques internes, de répondre aux demandes des personnes concernées et de faire le lien avec l’Autorité de Protection des Données Personnelles (APDP) au Bénin.

Une responsabilité technique : Les entreprises doivent également garantir la sécurité des systèmes qu’elles utilisent : chiffrement des données sensibles, contrôle des accès, sauvegardes régulières, protocoles de réponse en cas de violation de données. Pour les multinationales, cette responsabilité s’étend souvent à l’harmonisation entre les exigences locales et des cadres internationaux plus stricts, comme le RGPD européen, ce qui peut constituer un levier pour élever le niveau général de sécurité sur le marché béninois.

Une responsabilité contractuelle : Lorsqu’une entreprise fait appel à des prestataires externes (hébergeurs, plateformes cloud, sous-traitants informatiques), elle demeure responsable du respect des règles de protection des données tout au long de la chaîne de traitement. Des clauses contractuelles claires doivent ainsi encadrer les relations avec ces tiers.

Une responsabilité pédagogique et éthique : Les entreprises ont un rôle à jouer dans la diffusion d’une véritable culture de la conformité en interne : former leurs employés, sensibiliser leurs clients, et faire de la protection des données un principe de confiance plutôt qu’une simple formalité administrative.

La conformité numérique ne peut reposer uniquement sur le cadre légal : elle exige un engagement actif et continu des entreprises, à la fois dans leur organisation, leurs choix technologiques et leur culture d’entreprise.

LES DEFIS SPECIFIQUES AU BENIN

Le contexte béninois présente des particularités qui méritent une attention particulière lorsqu’on aborde la question de la conformité en matière de protection des données.

D’abord, le pays connaît une numérisation rapide de ses activités : services publics en ligne, mobile money, plateformes éducatives se multiplient et transforment le quotidien des citoyens. Cette dynamique, bien que porteuse de progrès, entraîne une circulation croissante des données personnelles, souvent sans que les garde-fous nécessaires soient pleinement en place.

Force est de constater que de nombreuses petites entreprises restent encore peu sensibilisées à ces enjeux. Beaucoup ignorent tout simplement leurs obligations légales en matière de traitement et de protection des données, faute d’information ou d’accompagnement adapté.

En plus de cela s’ajoute un manque de moyens techniques : certaines structures, notamment les plus petites, ne disposent pas des ressources financières ou humaines nécessaires pour mettre en place des systèmes de sécurité avancés capables de garantir une protection efficace des informations qu’elles collectent.

Enfin, un véritable besoin de formation se fait sentir. La culture de la conformité ne peut s’installer durablement que si elle est inculquée dès l’université et intégrée dans les formations professionnelles, afin de préparer les futurs acteurs économiques à intégrer ces exigences comme un réflexe naturel plutôt que comme une contrainte imposée.

Ces défis montrent, en définitive, que la conformité au Bénin est autant une question de volonté politique et éducative qu’une simple obligation juridique. Elle appelle une mobilisation conjointe des pouvoirs publics, des institutions académiques et des entreprises elles-mêmes.

LES SANCTIONS POSSIBLES EN CAS DE NON-CONFORMITE

Beaucoup d’entreprises pensent encore que « cela ne les concerne pas ». Pourtant, les sanctions liées au non-respect des règles de protection des données sont bien réelles et peuvent avoir des conséquences lourdes.

D’abord, les amendes financières constituent la sanction la plus directe. Au Bénin, l’Autorité de Protection des Données Personnelles (APDP) dispose du pouvoir d’infliger des sanctions pécuniaires aux structures qui ne respectent pas leurs obligations soit une amende de 50 000 000 à 100 000 000 de FCFA ou 5% du chiffre d’affaires d’une entreprise. À titre de comparaison, en Europe, les amendes prévues par le RGPD peuvent atteindre jusqu’à 4 % du chiffre d’affaires mondial d’une entreprise, un montant qui peut représenter des sommes considérables pour les multinationales.

Ensuite, la suspension d’activité représente une autre mesure possible : une entreprise reconnue en infraction peut se voir interdire de traiter certaines catégories de données, ce qui peut paralyser tout ou partie de son activité.

Puis s’ajoutent les poursuites judiciaires. Les personnes dont les données ont été mal protégées ou utilisées de manière abusive disposent d’un droit de recours et peuvent saisir la justice pour faire valoir la violation de leurs droits.

Il ne faut pas sous-estimer l’atteinte à la réputation. Un scandale lié à une fuite ou à une mauvaise utilisation de données personnelles peut ternir durablement l’image d’une marque, entamer la confiance des clients et partenaires, et engendrer des pertes bien plus importantes que le coût d’une mise en conformité.

En clair, ignorer la conformité coûte finalement plus cher que de l’appliquer. Les entreprises, béninoises comme multinationales, ont donc tout intérêt à considérer la protection des données non pas comme une contrainte, mais comme un investissement dans leur pérennité et leur crédibilité.

Vers une véritable gouvernance des données

La gouvernance des données ne se limite pas à respecter la loi. C’est une véritable philosophie d’entreprise, qui doit irriguer l’ensemble des pratiques organisationnelles.

Cela commence par la volonté de mettre la protection des données au cœur de la stratégie, et non de la traiter comme une simple case à cocher en fin de projet. Cela passe également par la formation des employés à la confidentialité, afin que chacun, à son niveau, comprenne l’importance de manipuler les données avec rigueur et discernement. La conformité doit par ailleurs être intégrée dès la conception dans chaque projet numérique, plutôt que d’être ajoutée après coup. Enfin, une gouvernance solide suppose une collaboration étroite avec les autorités compétentes, qu’il s’agisse de l’APDP au niveau national ou des régulateurs internationaux pour les entreprises opérant à l’échelle mondiale.

Loin d’être un frein, une gouvernance des données bien pensée transforme la contrainte en opportunité : elle se traduit par une meilleure image de marque, davantage de partenariats et une clientèle plus confiante.

Par Charlaine DEGBEY

Juriste spécialisée en droit du numérique

Change this description

Une collecte de données souvent excessive et peu transparente

Le premier risque est celui de la collecte disproportionnée. Les systèmes d’IA sont conçus pour absorber le maximum de données afin d’améliorer leurs performances. Mais cette logique entre en tension directe avec le principe de minimisation des données, consacré par le Code du Numérique béninois : seules les données strictement nécessaires à une finalité précise doivent être collectées.

Or, dans la pratique, de nombreuses plateformes numériques : applications mobiles, services en ligne, outils de gestion ; collectent des informations bien au-delà de ce qu’exige leur fonctionnement. Il s’agit entre autres de : données de navigation, habitudes de consommation, localisation en temps réel, interactions sociales.

Le citoyen béninois, souvent mal informé de ses droits, accepte ces conditions sans en mesurer les conséquences. Le Code du Numérique est pourtant clair : tout traitement de données personnelles doit reposer sur le consentement “expresse, non équivoque, libre, spécifique et informée” de la personne concernée. Un consentement que l’on obtient rarement dans les conditions réelles d’utilisation de ces outils.

Les failles de cybersécurité : une menace réelle dans le contexte africain

Les systèmes d’IA reposent sur d’immenses bases de données centralisées. Cette concentration représente une cible de choix pour les cybercriminels. Au Bénin comme partout en Afrique, la montée des cyberattaques est une réalité documentée et préoccupante.

Une fuite de données dans un système d’IA peut avoir des conséquences dramatiques : usurpation d’identité, fraude bancaire, chantage numérique, compromission de données médicales ou biométriques. 

Le Code du Numérique impose aux responsables de traitement de mettre en œuvre “toutes les mesures techniques et organisationnelles appropriées” pour garantir la sécurité des données. Mais entre l’obligation légale et sa mise en œuvre effective, le fossé reste souvent large, notamment pour les petites et moyennes entreprises qui ne disposent pas toujours des ressources humaines et financières nécessaires

Les données biométriques : une sensibilité particulière

L’intelligence artificielle a considérablement facilité les techniques de reconnaissance faciale, d’identification automatique et d’analyse comportementale. Ces fonctionnalités utilisent des données biométriques (empreintes digitales, images faciales, iris) que le Code du Numérique béninois classe parmi les données sensibles, soumises à un régime de protection renforcé.

Or leur utilisation se généralise, parfois sans encadrement suffisant : contrôle d’accès dans les entreprises, identification dans les transports, surveillance dans les espaces publics. Les risques sont doubles : d’un côté, une atteinte directe aux libertés individuelles en cas d’utilisation abusive ; de l’autre, la possibilité d’une surveillance de masse qui, sans garde-fous juridiques solides, peut menacer les fondements mêmes d’une société démocratique.

Les deepfakes et la désinformation algorithmique

L’IA générative des systèmes capables de produire des textes, des images, des vidéos ou des voix artificielles. Cela introduit un risque d’un genre nouveau : celui de la manipulation de masse. Les deepfakes, ces faux contenus audiovisuels générés par intelligence artificielle, permettent de fabriquer de toutes pièces des déclarations attribuées à des personnalités publiques, de créer de fausses preuves, d’usurper des identités avec un réalisme troublant.

Dans le contexte béninois, ces outils peuvent être détournés à des fins de manipulation politique, de diffusion de fausses informations, d’arnaques en ligne ou d’atteinte à la réputation. La loi punit ces comportements, mais les outils technologiques évoluent plus vite que les capacités de détection et de sanction.

La discrimination algorithmique : quand la machine reproduit les biais humains

Un algorithme n’est pas neutre. Il apprend à partir de données historiques qui reflètent souvent des inégalités et des préjugés existants. Si un système d’IA est entraîné sur des données biaisées, ses décisions le seront tout autant. Cela peut s’exprimer par un refus automatisé de crédit pour certains profils, une discrimination à l’embauche ou des erreurs d’identification touchant davantage certaines catégories de la population. Cette réalité est d’autant plus préoccupante que les décisions algorithmiques se présentent souvent avec une apparence d’objectivité qui les rend difficiles à contester. Le Code du Numérique prévoit pourtant un droit d’opposition et un droit de rectification pour les personnes concernées par un traitement automatisé. Encore faut-il que ces personnes soient informées de leurs droits et disposent des moyens de les exercer.

Le défi de la souveraineté numérique

Une grande partie des plateformes d’IA utilisées au Bénin sont développées et hébergées à l’étranger principalement en Europe, aux États-Unis, en Chine. Cela pose un problème structurel de souveraineté numérique : les données des citoyens et entreprises béninoises transitent et sont stockées sur des serveurs étrangers, hors du contrôle direct de l’Autorité de Protection des Données Personnelles (APDP).

Le Code du Numérique encadre les flux transfrontaliers de données et impose des garanties pour les transferts vers des pays tiers. Mais la dépendance technologique vis-à-vis des grandes plateformes numériques mondiales demeure un défi majeur pour la protection effective des données des Béninois.

Le rôle central de l’APDP

Face à ces risques, le Bénin dispose d’une institution dédiée : l’Autorité de Protection des Données Personnelles (APDP). Chargée de contrôler les traitements de données, de sanctionner les violations, d’accompagner les entreprises dans leur mise en conformité et de sensibiliser les citoyens, elle joue un rôle de premier plan dans la régulation de l’IA au Bénin.

Ses missions sont renforcées depuis l’adoption de la loi n° 2020-35 du 06 janvier 2021, qui a étendu et précisé les dispositions du Code du Numérique. L’Autorité organise régulièrement des ateliers de formation, des campagnes de sensibilisation et des missions d’accompagnement auprès des structures publiques et privées.

EN CONCLUSION

« L’intelligence artificielle transforme profondément notre rapport aux données personnelles. Elle crée des opportunités réelles pour le développement économique et social du Bénin mais elle génère aussi des risques sérieux pour la vie privée, la sécurité et les libertés fondamentales des citoyens.

Deux réponses s’imposent, complémentaires et urgentes. La première est juridique : les entreprises et organisations qui collectent et traitent des données doivent se mettre en conformité avec le Code du Numérique, désigner un Délégué à la Protection des Données (DPO), et adopter une culture de la protection des données dès la conception de leurs outils. La seconde est éthique : développer et utiliser l’IA de manière transparente, responsable et respectueuse des droits humains. L’IA peut être une chance pour le Bénin. À condition qu’elle se construise sur des fondations solides, celles du droit, de l’éthique et du respect de la personne humaine. »

Par Ornella HODONOU,

Juriste spécialisée en droit du numérique

Change this description