Blog

Au Bénin, la protection des données à caractère personnel est encadrée par le Code du numérique, qui soumet les traitements à différentes formalités préalables auprès de l’Autorité de protection des données à caractère personnel (APDP).

Selon la nature du traitement et les dispositions applicables, ces formalités peuvent prendre la forme d’une déclaration, d’une autorisation préalable ou d’un avis motivé de l’APDP suivi d’une autorisation par décret pris en Conseil des ministres. Certains traitements peuvent également bénéficier d’une dispense.

Cette diversité soulève une question importante : pourquoi certains établissements publics déclarent-ils leurs traitements, tandis que d’autres sollicitent un avis de l’APDP ? Le statut public de l’organisme suffit-il à déterminer le régime applicable ?

La déclaration préalable : le régime de droit commun

L’article 405 du Code du numérique pose le principe de la déclaration préalable des traitements de données à caractère personnel, sous réserve des exceptions prévues par le Code.

Les établissements publics sont concernés par cette obligation lorsqu’ils mettent en œuvre des traitements dans le cadre de leurs missions. Il peut notamment s’agir de la gestion des ressources humaines, du suivi des usagers, du traitement des réclamations ou de la gestion des fournisseurs.

Toutefois, la déclaration ne s’applique pas systématiquement à tous les traitements. Avant d’accomplir cette formalité, l’établissement doit vérifier si le traitement relève d’un régime particulier prévu par le Code du numérique.

L’autorisation préalable de l’APDP

Certains traitements sont soumis à une autorisation préalable en raison de leur nature ou des risques qu’ils présentent pour les droits et libertés des personnes concernées.

L’article 407 du Code du numérique prévoit ce régime pour certaines catégories de traitements, notamment ceux portant sur des données sensibles, des données biométriques ou certains identifiants particuliers, dans les conditions définies par le texte.

Pour les établissements publics, l’analyse ne doit donc pas se limiter à la nature de leurs missions. Elle doit également porter sur les données effectivement traitées, les finalités poursuivies et les caractéristiques des opérations réalisées.

L’autorisation préalable constitue ainsi une formalité spécifique qui s’impose lorsque le traitement entre dans les catégories visées par les dispositions applicables.

Les dispenses de formalités

Le Code du numérique prévoit également des dispenses de formalités pour certains traitements. L’article 410 s’inscrit dans ce dispositif.

Cependant, une dispense de formalité ne signifie pas que le traitement échappe à toute obligation en matière de protection des données personnelles. Elle concerne uniquement les formalités visées par les dispositions applicables.

Les établissements publics doivent donc vérifier que les conditions de la dispense sont effectivement réunies. Le caractère public de l’organisme ou le fait que le traitement soit nécessaire à une mission de service public ne suffit pas, à lui seul, à justifier une exemption.

L’avis motivé de l’APDP : une procédure particulière

L’article 411 du Code du numérique prévoit une procédure spécifique pour certaines catégories de traitements opérés pour le compte de l’État, d’un établissement public, d’une collectivité locale ou d’une personne morale de droit privé gérant un service public.

Les traitements concernés sont autorisés par décret pris en Conseil des ministres après avis motivé de l’APDP. Le texte vise notamment certaines opérations relatives à la sûreté de l’État, à la sécurité publique, à la prévention et à la poursuite des infractions, au recensement de la population, ainsi qu’à certaines données sensibles et opérations administratives ou financières.

Cette procédure se distingue de la simple déclaration et de l’autorisation délivrée directement par l’APDP. Elle associe l’avis de l’Autorité à une décision d’autorisation prise par décret.

Il convient toutefois de souligner que cette procédure ne concerne pas automatiquement tous les traitements des établissements publics. Son application dépend de la nature du traitement et de son appartenance aux catégories prévues par le texte.

Pourquoi les pratiques diffèrent-elles entre établissements publics ?

Les différences de formalités observées entre établissements publics peuvent susciter des interrogations, notamment lorsque ceux-ci exercent des missions comparables.

Pourtant, ces différences peuvent être justifiées par la nature des traitements, les finalités poursuivies, les données utilisées ou les dispositions particulières applicables.

Un traitement administratif ordinaire peut relever de la déclaration, tandis qu’un traitement appartenant à une catégorie soumise à autorisation doit respecter cette exigence. Un traitement entrant dans le champ de l’article 411 peut, quant à lui, relever de la procédure d’avis motivé suivie d’une autorisation par décret.

L’analyse doit donc être menée traitement par traitement, en tenant compte notamment :

• de la finalité du traitement ;
• de la nature des données collectées ;
• des personnes concernées ;
• des dispositions applicables du Code du numérique ;
• des formalités déjà accomplies.

Cette démarche permet d’éviter aussi bien les demandes d’avis injustifiées que le recours à une simple déclaration lorsque le traitement relève d’une procédure particulière.

Tous les établissements publics doivent-ils solliciter un avis ?

Non. L’article 411 ne crée pas une obligation générale de solliciter un avis motivé pour tous les traitements mis en œuvre par les établissements publics.

Le statut de l’organisme constitue un élément d’analyse, mais il ne suffit pas à déterminer la procédure applicable. Il faut examiner chaque traitement au regard de ses caractéristiques et des catégories prévues par la loi.

Les établissements publics ont donc intérêt à disposer d’une cartographie de leurs traitements précisant les finalités, les données utilisées, les personnes concernées et les formalités requises. Cet outil facilite le suivi de la conformité et permet de justifier les choix opérés.

Faut-il réexaminer les formalités déjà accomplies ?

Il peut être utile aux établissements publics de vérifier si les déclarations et autorisations antérieures correspondent toujours aux traitements effectivement mis en œuvre.

Cette vérification est particulièrement pertinente lorsque les finalités, les données collectées ou les modalités de fonctionnement ont évolué.

Toutefois, une incertitude sur le régime applicable ne permet pas de conclure automatiquement à l’invalidité d’une autorisation antérieure. Un réexamen juridique doit permettre d’identifier les éventuelles mises à jour ou régularisations nécessaires, sans remettre indistinctement en cause les formalités déjà accomplies.

Vers une harmonisation des pratiques

La coexistence de plusieurs régimes exige une bonne compréhension du Code du numérique par les établissements publics. Une clarification des pratiques permettrait de mieux distinguer les traitements soumis à déclaration, ceux nécessitant une autorisation préalable et ceux relevant de la procédure particulière prévue à l’article 411.

Cette harmonisation ne signifie pas que tous les traitements doivent suivre la même procédure. Elle vise plutôt à favoriser une application cohérente des textes, en tenant compte des spécificités de chaque traitement.

L’APDP joue un rôle essentiel dans l’accompagnement des responsables de traitement et dans la mise en œuvre du cadre légal. De leur côté, les établissements publics doivent documenter leurs analyses et réexaminer leurs traitements lorsque cela est nécessaire.

En somme , le Code du numérique béninois prévoit plusieurs régimes de formalités préalables : la déclaration de droit commun prévue à l’article 405, l’autorisation préalable applicable à certaines catégories de traitements en vertu de l’article 407, les dispenses prévues notamment à l’article 410 et la procédure particulière d’avis motivé suivie d’une autorisation par décret prévue à l’article 411.

Le choix de la formalité ne dépend donc pas uniquement du statut public de l’organisme, mais également de la nature et des caractéristiques du traitement.

Pour les établissements publics, la maîtrise de ces distinctions constitue un enjeu de conformité et de sécurité juridique. Une analyse rigoureuse de chaque traitement permet de mieux respecter les exigences légales et de renforcer la protection des données personnelles des usagers et des agents.

Yazid ALE

Juriste en droit privé fondamental et droit du numérique