Blog

La conformité au Code du numérique du Bénin conduit aujourd’hui de nombreux organismes publics et privés à réaliser une cartographie de leurs traitements de données à caractère personnel. Cette démarche s’accompagne presque systématiquement d’une question essentielle : tous les traitements doivent-ils obligatoirement être déclarés auprès de l’Autorité de Protection des Données Personnelles (APDP) ?

À la lecture des dispositions du Code du numérique, la réponse est plus nuancée qu’il n’y paraît. Si le principe demeure celui de l’accomplissement de formalités préalables pour certains traitements, le législateur a également prévu plusieurs mécanismes permettant d’alléger ces obligations. Pourtant, dans la pratique, de nombreuses entreprises et même certaines institutions publiques continuent de procéder à des déclarations systématiques, parfois pour des traitements qui semblent pourtant bénéficier d’une dispense. Cette situation traduit une difficulté d’interprétation des textes et appelle, à notre sens, une clarification de la part de l’APDP.

Une distinction nécessaire entre exclusion, dispense et exemption

La première difficulté provient de la proximité des notions employées par le Code du numérique. Les articles 382, 408 et 410 évoquent respectivement les exclusions, les exemptions et les dispenses de formalités. Ces notions poursuivent pourtant des objectifs différents.

L’article 382 concerne les traitements qui échappent totalement au champ d’application des règles relatives à la protection des données personnelles. C’est notamment le cas des traitements réalisés par une personne physique dans le cadre exclusif de ses activités personnelles ou domestiques, à condition que les données ne soient pas destinées à être communiquées à des tiers ou diffusées. Dans cette hypothèse, aucune formalité n’est requise puisque le traitement n’entre pas dans le champ d’application du Livre consacré à la protection des données.

Les dispenses prévues directement par la loi

L’article 410 prévoit ensuite plusieurs cas dans lesquels les traitements sont dispensés de formalités préalables. Le Code vise notamment les traitements mis en œuvre pour la tenue de la comptabilité générale, ceux relatifs à la gestion des rémunérations du personnel ainsi que les traitements nécessaires à la gestion des fournisseurs. Sont également concernés les registres destinés à un usage exclusivement privé ainsi que certains traitements réalisés par des associations ou organismes à but non lucratif dans des conditions strictement définies.

Ces dispenses reposent sur une logique simple : certains traitements sont si courants et présentent, en principe, un niveau de risque suffisamment faible qu’il n’apparaît pas nécessaire d’imposer une déclaration préalable auprès de l’APDP.

Il convient toutefois de rappeler que cette dispense de formalités ne signifie nullement une dispense de conformité. Les responsables de traitement demeurent soumis à l’ensemble des obligations prévues par le Code du numérique, notamment celles relatives à la sécurité des données, au respect des principes de licéité, de transparence, de limitation des finalités ou encore aux droits des personnes concernées.

Les exemptions pouvant être accordées par l’APDP

À côté de ces dispenses légales, l’article 408 instaure un mécanisme différent. Il permet à l’APDP d’exempter certaines catégories de traitements de l’obligation de déclaration lorsqu’elles ne présentent manifestement pas de risque pour les droits et libertés des personnes concernées. Le texte prévoit également cette possibilité lorsque le responsable du traitement désigne un délégué à la protection des données chargé d’assurer la conformité des traitements et de tenir le registre prévu par le Code.

Il est important de souligner que cette exemption n’est pas automatique. Contrairement à l’article 410, qui dispense directement certains traitements, l’article 408 confère à l’APDP un pouvoir d’appréciation lui permettant de déterminer quelles catégories de traitements peuvent bénéficier d’un tel allègement.

Le Code apporte néanmoins une limite importante : les traitements mis en œuvre par les autorités publiques ne peuvent pas bénéficier de cette exemption. Les administrations restent donc exclues de ce mécanisme, même lorsqu’elles désignent un délégué à la protection des données.

Une absence de contradiction, mais un manque de lisibilité

À première lecture, les articles 408 et 410 peuvent sembler contradictoires. En réalité, ils organisent deux régimes juridiques distincts. L’article 410 énumère les traitements que le législateur a lui-même choisi de dispenser de formalités préalables. L’article 408, quant à lui, permet à l’APDP de créer des exemptions supplémentaires pour certaines catégories de traitements présentant peu de risques. Les deux dispositions sont donc complémentaires.

La véritable difficulté réside ailleurs. À ce jour, il n’existe pas de communication suffisamment détaillée permettant aux responsables de traitement d’identifier clairement les traitements bénéficiant effectivement des exemptions prévues par l’article 408. Dans le doute, beaucoup préfèrent effectuer une déclaration, même lorsqu’elle n’est peut-être pas nécessaire.

Cette situation entraîne une surcharge administrative inutile pour les organismes concernés et mobilise également les ressources de l’APDP sur des traitements qui ne présentent pas forcément un enjeu majeur en matière de protection des données.

Une clarification attendue de l’APDP

Dans un contexte où les obligations de conformité se multiplient, une clarification de la part de l’APDP serait particulièrement bienvenue. L’Autorité pourrait publier une liste ou un référentiel précisant les catégories de traitements bénéficiant des dispenses prévues à l’article 410, ainsi que celles pouvant faire l’objet d’une exemption sur le fondement de l’article 408. Une telle publication pourrait être accompagnée d’exemples concrets selon les secteurs d’activité (entreprises privées, établissements publics, collectivités territoriales, associations, établissements de santé, établissements d’enseignement, etc.).

L’APDP pourrait également préciser les critères qu’elle retient pour apprécier l’absence de risque pour les droits et libertés des personnes concernées, ainsi que les conditions dans lesquelles la désignation d’un délégué à la protection des données est susceptible de justifier une exemption de déclaration lorsque la loi le permet.

Une telle démarche renforcerait la sécurité juridique des responsables de traitement et favoriserait une application homogène du Code du numérique.

Pour une conformité davantage fondée sur le risque

Le droit de la protection des données évolue progressivement vers une logique de responsabilisation des organismes et d’évaluation des risques. Tous les traitements ne présentent pas le même niveau d’atteinte potentielle aux droits des personnes concernées. Il apparaît donc légitime que les obligations déclaratives soient adaptées à cette réalité.

Une meilleure clarification des dispenses et des exemptions permettrait aux responsables de traitement de concentrer leurs efforts sur les traitements les plus sensibles plutôt que sur des formalités parfois inutiles. Elle contribuerait également à renforcer l’efficacité de l’action de l’APDP, qui pourrait consacrer davantage de ressources aux traitements à fort impact.

À l’heure où de plus en plus d’organisations béninoises s’engagent dans des démarches de conformité, la publication de lignes directrices ou d’une liste officielle des traitements exemptés constituerait un outil précieux. Au-delà d’un simple allègement administratif, il s’agirait d’un véritable instrument de sécurité juridique, au bénéfice des responsables de traitement comme des personnes concernées.

Yazid ALE

Juriste