UNE NOUVELLE ETAPE DANS L’ENCADREMENT JURIDIQUE DES CRYPTO-ACTIFS

Le décret n° 2026-420 s’inscrit dans une trajectoire réglementaire amorcée par l’ordonnance n° 2024-936 du 15 octobre 2024 relative aux marchés de crypto-actifs, qui avait introduit l’article L. 226-2 du code monétaire et financier, puis complétée par la loi n° 2025-391 du 30 avril 2025 portant diverses dispositions d’adaptation au droit de l’Union européenne, à l’origine de l’article L. 226-5. Ces deux textes renvoyaient à un décret d’application le soin de fixer les modalités concrètes du transfert de propriété et du nantissement. C’est désormais chose faite.

Le texte poursuit également un objectif de cohérence terminologique : à compter du 1er juillet 2026, l’expression « actifs numériques », historiquement utilisée par le droit français, cède la place à celle de « crypto-actifs », afin de s’aligner sur la terminologie du règlement européen MiCA. Ce choix n’est pas seulement sémantique : il traduit l’ancrage du droit interne dans le cadre harmonisé de l’Union et facilite la lecture croisée des textes nationaux et européens par les praticiens.

Sur le fond, le décret intervient sur deux terrains bien distincts mais complémentaires du droit civil et du droit des sûretés : d’une part, la détermination du moment exact du transfert de propriété d’un crypto-actif ; d’autre part, les modalités de constitution et de réalisation d’un nantissement portant sur ces mêmes biens. Il précise enfin les conditions dans lesquelles un automate exécuteur de clauses plus connu sous le nom de smart contract, peut intervenir dans ces opérations.

LE TRANSFERT DE PROPRIETE DES CRYPTO-ACTIFS

La question paraissait simple mais restait, en pratique, source d’insécurité : à quel moment précis un acquéreur devient-il propriétaire d’un crypto-actif ? À l’émission de l’ordre, à sa validation par le réseau, ou à son inscription sur le compte de l’acheteur ? Le décret tranche en distinguant deux situations, codifiées à l’article R. 226-1 du code monétaire et financier.

Lorsque le crypto-actif est détenu directement par son titulaire sur un registre de type DLT (distributed ledger technology), sans intermédiaire, le transfert de propriété intervient au moment où l’inscription au bénéfice de l’acquéreur devient irréversible, selon le mécanisme de consensus propre à la technologie distribuée concernée. C’est donc la finalité technique de l’opération, et non l’échange de consentements, qui fixe la date du transfert.

Lorsque les crypto-actifs sont conservés par un prestataire de services sur crypto-actifs (PSCA, anciennement PSAN), le transfert de propriété se réalise au moment de l’inscription de la position de l’acquéreur dans le registre de positions tenu par ce prestataire, cette écriture devant intervenir le plus rapidement possible après le dénouement de l’opération. Cette précision présente un intérêt pratique majeur, notamment comptable et fiscal, puisqu’elle détermine la date d’entrée du bien dans le patrimoine de l’acquéreur, y compris pour l’application du règlement comptable ANC n° 2026-01 relatif aux crypto-actifs.

LE NANTISSEMENT DES CRYPTO-ACTIFS

Le second apport majeur du décret concerne le nantissement des crypto-actifs, régime consacré par l’article L. 226-5 du code monétaire et financier. Jusqu’ici, la possibilité de donner des crypto-actifs en garantie existait dans son principe, mais restait dépourvue de mode d’emploi réglementaire, ce qui freinait le développement d’un crédit véritablement adossé à ces actifs.

Le décret fixe désormais le contenu obligatoire de la déclaration de nantissement, qui doit notamment comporter la dénomination expresse « déclaration de nantissement d’actifs numériques », la référence à l’article L. 226-5, l’identité complète du constituant et du créancier nanti, les adresses de registre distribué ou le numéro de compte de crypto-actifs auprès du dépositaire, ainsi que la nature, la quantité des actifs engagés et le montant de la créance garantie.

Le texte organise également les rapports entre le constituant, le créancier nanti et le prestataire chargé de la conservation des actifs nantis. Ce dernier, informé par écrit des conditions dans lesquelles le constituant peut disposer des actifs et des sommes nantis, ne peut exécuter aucune instruction sans l’accord préalable du créancier nanti, une garantie procédurale qui limite le risque de dépossession frauduleuse pendant la durée du nantissement.

S’agissant de la réalisation du nantissement, le décret précise les mentions obligatoires, à peine de nullité, de la mise en demeure préalable, ainsi que la méthode de valorisation des actifs à défaut d’accord exprès entre les parties : celle-ci doit reposer sur une méthode objective reflétant des conditions normales de marché. Ces règles invitent les praticiens à anticiper, dès la rédaction du contrat de nantissement, le délai de mise en demeure, l’ordre de réalisation, le prestataire chargé d’exécuter les instructions, la devise de paiement et les conséquences fiscales de la réalisation.

LES AUTOMATES EXECUTEURS DE CLAUSES

Innovation attendue du texte, le décret encadre le recours à un automate exécuteur de clauses, un smart contract pour signer la déclaration de nantissement ou la mise en demeure préalable à sa réalisation. Le recours à ce type de dispositif n’est pas systématique : il demeure une faculté offerte aux parties, mais son usage est désormais subordonné à des exigences techniques précises.

L’automate doit ainsi présenter des garanties d’intégrité, de traçabilité et d’horodatage des opérations qu’il exécute, disposer d’un plan de continuité d’activité et permettre l’identification certaine du propriétaire des actifs concernés. Ces exigences transposent, au niveau réglementaire, des standards jusqu’alors laissés à l’appréciation des éditeurs de protocoles, et introduisent un socle minimal de fiabilité technique pour tout automate appelé à produire des effets juridiques.

En pratique, cette codification rapproche le smart contract du régime probatoire classique de l’écrit électronique : il ne suffit plus qu’un protocole informatique exécute automatiquement une clause pour que celle-ci produise un effet juridique opposable ; encore faut-il que le dispositif utilisé satisfasse à des exigences de robustesse comparables à celles exigées d’un prestataire de confiance.

PREUVE, TRAÇABILITE ET RESPONSABILITE

Le décret irrigue également le terrain de la preuve civile. En ancrant le transfert de propriété sur l’irréversibilité de l’inscription dans un registre distribué, ou sur l’inscription en position chez un prestataire, il offre un point de repère objectif et daté, qui peut être mobilisé en cas de contentieux relatif à la titularité d’un crypto-actif. La traçabilité inhérente à la technologie des registres distribués devient ainsi, indirectement, un instrument probatoire reconnu par le droit positif.

Du côté des prestataires de services sur crypto-actifs, le décret renforce corrélativement leurs obligations : tenue rigoureuse du registre de positions, inscription des opérations dans les meilleurs délais, respect strict des instructions du créancier nanti lorsqu’un nantissement a été déclaré. Ces obligations dessinent en creux un régime de responsabilité renforcé pour les prestataires, dont la défaillance dans l’inscription ou l’exécution d’instructions pourrait désormais être appréciée à l’aune d’un cadre réglementaire précis, et non plus seulement contractuel.

Cette clarification bénéficie autant aux détenteurs de crypto-actifs, qui disposent désormais d’un fondement juridique stable pour faire valoir leurs droits, qu’aux prestataires eux-mêmes, qui gagnent en prévisibilité quant à l’étendue de leurs obligations et aux conditions d’engagement de leur responsabilité.

ENJEUX POUR LES ACTEURS DU MARCHE

Pour les prestataires de services sur crypto-actifs, le décret impose une mise en conformité technique et organisationnelle : adaptation des registres de positions, procédures d’information écrite en cas de nantissement, contrôle des instructions reçues, et le cas échéant, choix et paramétrage d’automates exécuteurs de clauses répondant aux exigences d’intégrité et de traçabilité désormais posées par le texte.

Pour les établissements de crédit et les créanciers, la sécurisation du régime du nantissement ouvre la voie à un développement plus assuré du crédit adossé aux crypto-actifs, jusqu’ici freiné par l’absence de règles claires sur la constitution et la réalisation de la sûreté. Un cadre stable facilite l’évaluation du risque et la structuration de garanties portant sur ces actifs volatils.

Pour les investisseurs et les entreprises détentrices de crypto-actifs, la clarification du moment du transfert de propriété a des répercussions concrètes bien au-delà du droit civil : elle conditionne la date de comptabilisation des actifs, en cohérence avec le règlement ANC n° 2026-01, applicable aux exercices ouverts à compter du 1er janvier 2027, ainsi que l’appréciation des risques fiscaux et patrimoniaux attachés à la détention de ces biens. 

Enfin, le décret invite à une vigilance renouvelée dans la rédaction des conventions de nantissement, dans le choix des prestataires de conservation et dans l’articulation entre les exigences techniques imposées aux automates exécuteurs de clauses et les garanties procédurales dues aux parties. C’est dans cette articulation entre rigueur technique et sécurité juridique que se joue, désormais, la crédibilité du crypto-actif comme objet de droit civil à part entière.

Charlaine DEGBEY

Juriste en droit du numérique

Change this description

Cette évolution n’est toutefois pas sans conséquence sur la protection des données à caractère personnel et sur le respect de la vie privée des salariés. Lorsque le domicile devient un lieu de travail, les frontières entre la sphère professionnelle et la sphère personnelle deviennent plus difficiles à distinguer. Dès lors, une question se pose : jusqu’où l’employeur peut-il contrôler l’activité d’un salarié qui travaille depuis son domicile ?

Le pouvoir de contrôle de l’employeur demeure

Le recours au télétravail ne remet pas en cause le lien de subordination qui unit le salarié à son employeur. Celui-ci conserve son pouvoir de direction et peut légitimement vérifier que les missions confiées sont exécutées conformément aux objectifs fixés.

À cette fin, les entreprises utilisent de nombreux outils numériques : plateformes collaboratives, logiciels de gestion des tâches, systèmes de pointage à distance, agendas partagés ou encore applications de visioconférence. Ces dispositifs permettent d’assurer le suivi des activités et de maintenir la continuité du service.

Le contrôle de l’activité professionnelle constitue donc un objectif légitime. Toutefois, ce pouvoir n’est pas absolu et doit s’exercer dans le respect des droits fondamentaux du salarié.

Le domicile du salarié demeure un espace de vie privée

Le fait qu’un salarié exerce son activité depuis son domicile ne transforme pas celui-ci en une extension permanente des locaux de l’entreprise. Le domicile reste avant tout un lieu relevant de la vie privée. Or, les nouvelles technologies offrent aujourd’hui aux employeurs des moyens de surveillance particulièrement intrusifs. Certains logiciels permettent d’enregistrer les heures de connexion, de mesurer les périodes d’inactivité, d’effectuer des captures d’écran automatiques, d’enregistrer les frappes au clavier ou encore d’activer la webcam de manière continue.

Une telle surveillance peut rapidement devenir excessive et porter atteinte aux droits et libertés du salarié. Le télétravail ne saurait justifier un contrôle permanent de tous les faits et gestes d’un collaborateur sous prétexte que celui-ci travaille à distance.

Le Code du numérique béninois impose un contrôle proportionné

Le Code du numérique du Bénin ne contient pas de dispositions spécifiques consacrées au télétravail. Pour autant, les principes applicables aux traitements de données à caractère personnel trouvent pleinement à s’appliquer. Tout traitement de données effectué dans le cadre du contrôle de l’activité des salariés doit reposer sur une base légale appropriée, poursuivre une finalité déterminée et légitime, être limité aux données strictement nécessaires et respecter les principes de transparence, de sécurité et de confidentialité.

Autrement dit, un employeur ne peut mettre en œuvre un dispositif de surveillance simplement parce que la technologie le permet. Il doit être en mesure de démontrer que ce dispositif est nécessaire à l’objectif poursuivi et qu’aucune mesure moins intrusive ne permettrait d’obtenir le même résultat. Le principe de proportionnalité constitue ainsi un véritable garde-fou contre les excès de la surveillance numérique.

Une illustration apportée par la CNIL

Bien qu’elle ne soit pas applicable au Bénin, la pratique des autorités étrangères de protection des données offre des enseignements intéressants.

En France, la Commission nationale de l’informatique et des libertés (CNIL), par sa délibération SAN-2024-021 du 19 décembre 2024, rendue publique le 4 février 2025, a prononcé une amende de 40 000 euros à l’encontre d’une entreprise du secteur immobilier pour avoir mis en œuvre une surveillance jugée excessive de ses salariés. L’entreprise utilisait un logiciel capable d’enregistrer les périodes d’inactivité supposée des employés, d’effectuer automatiquement des captures d’écran toutes les trois à quinze minutes, d’analyser leur activité informatique et de les filmer en continu avec captation du son. La CNIL a estimé que ces dispositifs portaient une atteinte disproportionnée aux droits des salariés et méconnaissaient plusieurs principes du Règlement général sur la protection des données (RGPD), notamment ceux relatifs à la minimisation des données, à la licéité des traitements, à la transparence, à la sécurité et à l’obligation de réaliser une analyse d’impact.

Cette décision rappelle une idée essentielle : le contrôle de l’activité professionnelle ne doit jamais conduire à instaurer une surveillance permanente des salariés. Même si cette décision relève du droit français, elle illustre des principes qui se retrouvent également dans le Code du numérique béninois et qui devraient guider les employeurs dans la mise en œuvre des outils numériques de contrôle.

Télétravail et sécurité des données : une responsabilité partagée

Le télétravail soulève également d’importants enjeux de sécurité des données. Les salariés travaillent parfois depuis des réseaux Internet domestiques, utilisent des équipements personnels ou accèdent à des informations sensibles en dehors des locaux de l’entreprise.

Dans ce contexte, l’employeur doit mettre en place des mesures techniques et organisationnelles adaptées afin de garantir la confidentialité, l’intégrité et la disponibilité des données traitées. L’utilisation d’une authentification renforcée, de connexions sécurisées, du chiffrement lorsque cela est nécessaire ou encore la sensibilisation régulière des salariés aux risques cyber constituent autant de bonnes pratiques permettant de limiter les risques. Le salarié, de son côté, est également tenu de respecter les règles internes de sécurité et de confidentialité mises en place par son employeur.

Trouver un équilibre entre confiance et contrôle

Le développement du télétravail invite les organisations à repenser leurs méthodes de management. La performance d’un salarié ne se mesure pas uniquement au temps passé devant un écran ou au nombre de clics enregistrés par un logiciel. Un management fondé sur la confiance, la fixation d’objectifs clairs et l’évaluation des résultats apparaît souvent plus efficace qu’une surveillance permanente susceptible de détériorer le climat social et de porter atteinte à la vie privée.

À mesure que les pratiques professionnelles évoluent, les employeurs béninois devront veiller à ce que les outils numériques de contrôle demeurent compatibles avec les principes consacrés par le Code du numérique. Le développement du télétravail ne doit pas conduire à banaliser une surveillance excessive des salariés. Bien au contraire, il constitue une occasion de réaffirmer qu’à l’ère du numérique, la protection de la vie privée demeure un droit fondamental qui ne s’arrête pas aux portes du domicile.

Yazid ALE

Juriste en droit privé fondamental et droit du numérique

Change this description

NAISSANCE ET EVOLUTION D’UN METIER

Le métier de DPO n’est pas né par hasard. Il est l’héritier d’une longue réflexion juridique sur la protection de la vie privée, amorcée en Europe dès les années 1970 avec les premières lois sur l’informatique et les libertés. Pendant longtemps, cette mission est restée diffuse, portée de façon informelle par des juristes, des informaticiens ou des responsables qualité, sans statut ni reconnaissance propre.

Le tournant décisif intervient avec le Règlement Général sur la Protection des Données (RGPD), entré en application en 2018 en Europe, qui institutionnalise la fonction et la rend obligatoire pour de nombreuses organisations. Cette dynamique s’est ensuite diffusée bien au-delà du continent européen, inspirant des législations nationales à travers le monde, y compris en Afrique, où plusieurs pays se sont dotés de lois sur la protection des données à caractère personnel assorties, elles aussi, de l’obligation ou de la recommandation de désigner un DPO.

Le métier a ainsi évolué d’une fonction de conformité technique vers un rôle stratégique, à la croisée du droit, de la technologie, de l’organisation et de l’éthique.

LES MISSIONS DU DPO

Le DPO exerce une mission à la fois de conseil, de contrôle et de médiation. Il informe et conseille l’organisation ainsi que ses employés sur leurs obligations en matière de protection des données. Il veille au respect de la réglementation applicable, notamment par la tenue d’un registre des traitements, la réalisation d’analyses d’impact lorsque cela est nécessaire, et le contrôle des mesures de sécurité mises en œuvre.

Il constitue également le point de contact privilégié entre l’organisation, les autorités de protection des données et les personnes concernées, qu’il s’agisse de clients, d’usagers ou de salariés, notamment lorsque ceux-ci souhaitent exercer leurs droits ou lorsqu’un incident affecte leurs données. Sa position particulière, qu’il occupe en toute indépendance vis-à-vis de la direction, garantit l’objectivité de ses avis et la crédibilité de ses recommandations.

UN ROLE TRANSVERSAL, AU SERVICE DES ENTREPRISES COMME DES ADMINISTRATIONS

Le DPO n’est pas un acteur isolé dans son coin, cantonné à une fonction juridique. Il travaille en lien constant avec les directions informatiques, les ressources humaines, le marketing, les services financiers et la direction générale. Dans les entreprises, il accompagne le développement de nouveaux produits ou services numériques en intégrant, dès leur conception, les exigences de protection des données. Dans les administrations publiques, il joue un rôle tout aussi déterminant, à l’heure où la digitalisation des services publics, l’état civil numérique, la fiscalité en ligne ou les plateformes de santé multiplient la collecte et le traitement de données sensibles des citoyens.

Dans les deux cas, le DPO agit comme un facilitateur : il ne freine pas l’innovation, il l’accompagne en s’assurant qu’elle se construit sur des bases juridiquement solides et éthiquement acceptables.

UN PILIER DE LA CONFORMITE ET DE LA GOUVERNANCE DES DONNEES

Au-delà de la simple application des textes, le DPO participe activement à la gouvernance des données de son organisation. Il contribue à cartographier les traitements, à identifier les risques, à sensibiliser les équipes et à instaurer une véritable culture de la protection des données au sein de l’organisation. Cette dimension prend une importance particulière à l’heure où les cybermenaces se multiplient et où les violations de données peuvent avoir des conséquences juridiques, financières et réputationnelles considérables.

Le DPO devient ainsi un maillon essentiel de la gestion des risques numériques, au même titre que le responsable de la sécurité des systèmes d’information, avec lequel il collabore étroitement. Sa présence rassure les partenaires, les investisseurs et les clients, et constitue de plus en plus un critère de sérieux et de fiabilité dans les relations d’affaires.

QUELLES PERSPECTIVES POUR CETTE PROFESSION AU BENIN ET EN AFRIQUE ?

En Afrique, et singulièrement au Bénin, la fonction de DPO est encore jeune, mais son avenir s’annonce prometteur. Le Bénin s’est doté d’un cadre juridique structurant à travers le Code du Numérique, qui consacre la protection des données à caractère personnel et confie à l’Autorité de Protection des Données Personnelles (APDP) un rôle de régulation. De plus en plus d’entreprises, d’institutions publiques et d’organismes de sécurité sociale prennent conscience de la nécessité de désigner un DPO, non plus comme une contrainte administrative, mais comme un véritable atout de gouvernance.

Cette dynamique s’inscrit dans un mouvement continental plus large, porté par l’essor du commerce électronique, des services financiers numériques, de l’intelligence artificielle et par la volonté de plusieurs États africains de renforcer leur souveraineté numérique. À terme, la demande en compétences DPO devrait croître significativement, ouvrant la voie à une véritable filière professionnelle, faite de juristes spécialisés, de consultants indépendants et de formations dédiées.

CONCLUSION

Le DPO n’est plus un simple exécutant technique de la réglementation. Il s’affirme comme un acteur stratégique de la confiance numérique, capable de concilier innovation, conformité et respect des droits fondamentaux. Dans un monde où la donnée est devenue une richesse autant qu’une responsabilité, sa présence, en entreprise comme dans l’administration, n’est plus une option, mais une nécessité durable.

Charlaine DEGBEY

Juriste spécialisée en droit du numérique

Change this description

Cette réalité oblige à revenir sur le régime juridique de la preuve numérique et à distinguer deux questions que l’on confond trop souvent. La première est celle de l’admissibilité : à quelles conditions le juge peut-il recevoir une preuve électronique ? La seconde, distincte, est celle de la fiabilité : une fois cette preuve admise, quel crédit peut-elle raisonnablement emporter ? Une preuve recevable n’est pas nécessairement convaincante et c’est précisément ce qui rend le sujet aussi délicat en pratique.

Le Bénin dispose, sur ce terrain, d’un cadre législatif structuré : la loi n°2017-20 du 20 avril 2018 portant Code du numérique, dont le Livre II est spécifiquement consacré aux écrits et outils électroniques. La doctrine consacrée à l’application concrète de ce texte reste toutefois rare, ce qui justifie de s’y attarder.

LE CADRE JURIDIQUE DE LA PREUVE NUMERIQUE AU BENIN

• Le Code du numérique, texte de référence

Le texte central en la matière est la loi n°2017-20 du 20 avril 2018 portant Code du numérique. Son Livre II, intitulé « Des outils et écrits électroniques », en constitue le socle : il organise la validité de l’écrit électronique, le régime de la preuve électronique, les obligations de conservation des contenus, l’identification électronique, ainsi que la signature électronique et les services de confiance qui l’accompagnent.

• Le principe d’équivalence entre écrit électronique et écrit papier

L’article 266 dispose en ses termes le principe cardinal du dispositif : « Sous réserve de dispositions légales particulières, les actes juridiques sous forme électronique ont la même valeur que les actes juridiques sous forme non-électronique. »

Le texte précise que lorsqu’un écrit est exigé pour la validité d’un acte, il peut être établi et conservé sous forme électronique, à condition que l’auteur puisse être dûment identifié et que l’intégrité de l’acte soit garantie. Il pose également une règle protectrice de neutralité technologique : la validité et la force exécutoire d’un acte ne peuvent être contestées au seul motif qu’il revêt une forme électronique. Personne ne peut être contraint de contracter par voie électronique. Ce principe d’équivalence n’est cependant pas absolu. L’article 267 en exclut certains actes : les actes sous seing privé relatifs aux sûretés personnelles ou réelles à caractère civil, ceux relevant du droit de la famille ou des successions, et plus généralement tout acte pour lequel la loi impose un support autre que l’électronique.

• La consécration de la preuve électronique

L’article 268 constitue, à cet égard, la disposition la plus importante du dispositif : « La preuve sous forme électronique a la même force probante et est admise au même titre que la preuve sous forme non-électronique, sous réserve que puisse être identifiée la personne dont elle émane, et qu’elle soit établie et conservée dans des conditions qui en garantissent l’intégrité et la pérennité. »

En d’autres termes, le droit béninois reconnaît à la preuve électronique la même force probante qu’à la preuve papier, mais à deux conditions cumulatives : que l’on puisse identifier son auteur, et que son intégrité comme sa pérennité soient garanties. Tout l’enjeu pratique du sujet tient, en réalité, dans la démonstration de ces deux conditions.

• L’admissibilité de la preuve numérique

Admettre une preuve, c’est simplement accepter de l’examiner. La question qui se pose au juge est donc préalable à toute appréciation de fond : peut-il, en droit, recevoir cet élément ? La réponse de principe est positive, mais elle reste subordonnée à plusieurs conditions.

D’abord identifier l’auteur. Un élément de preuve électronique doit permettre de rattacher son contenu à une personne déterminée. Un courriel, par exemple, doit permettre de savoir qui l’a envoyé, depuis quelle adresse, dans quelles circonstances. Une capture d’écran anonyme, à l’inverse, offrira une valeur probante nettement plus faible, faute de rattachement certain à son auteur supposé.

Ensuite, garantir l’intégrité. Le document ne doit pas avoir été altéré depuis sa création. Une facture au format PDF retouchée, même légèrement, perd de ce fait toute crédibilité devant le juge. L’intégrité n’admet guère de nuance.

Enfin, assurer une conservation appropriée. L’article 269 impose qu’à chaque fois qu’existe une obligation légale de conservation, que les documents électroniques restent accessibles et consultables dans le temps, qu’ils demeurent dans leur format d’origine ou dans un format garantissant l’exactitude des informations et qu’ils permettent d’identifier leur origine, leur destination, ainsi que les dates et heures de génération, d’envoi, de réception et de conservation. En pratique, cela signifie qu’il vaut mieux conserver le fichier électronique natif, le PDF original, le message tel qu’il a été reçu, plutôt qu’une simple photographie ou capture d’écran, moins à même de satisfaire à ces exigences.

L’article 270 vient compléter ce dispositif en précisant à quelles conditions un contenu électronique peut être regardé comme conservé « sous sa forme originale » : il faut que l’intégrité et l’exactitude des informations soient garanties de manière fiable, et qu’il soit possible d’en reproduire l’intégralité telle qu’elle a été générée. Des ajouts mineurs, liés au seul acheminement ou stockage du fichier, ne remettent pas en cause cette exigence.

Démontrer l’origine du document, enfin. Au-delà des textes, le juge s’appuiera concrètement sur des éléments techniques (métadonnées, horodatage, certificats électroniques, journaux de connexion) pour retracer l’origine et le parcours d’un document.

LA FIABILITE DE LA PREUVE NUMERIQUE : RECEVABILITE N’EST PAS CONVICTION

Une preuve peut parfaitement être recevable en droit sans emporter, pour autant, la conviction du juge. C’est là que se situe la question de la fiabilité : celle de l’appréciation concrète que le juge porte sur la force probante d’un élément.

• Les critères d’appréciation du juge

Le juge s’attache généralement à l’authenticité de la preuve : est-elle bien ce qu’elle prétend être ? ; à son intégrité : le contenu a-t-il été altéré depuis sa création ? à sa traçabilité, c’est-à-dire à la possibilité de reconstituer son cheminement depuis sa création jusqu’à sa production en justice, à la fiabilité de son horodatage, et enfin à sa cohérence avec le reste du dossier.

• Une force probante variable selon le type de preuve

Toutes les preuves numériques ne se valent pas. Les courriels bénéficient généralement d’une bonne force probante, à condition de pouvoir identifier l’expéditeur à partir de son adresse et des en-têtes techniques du message. Les SMS suivent une logique proche, sous réserve d’identifier le numéro et l’opérateur concerné.

Les conversations WhatsApp, extrêmement fréquentes dans le contentieux béninois, posent davantage de difficultés : il faut identifier avec certitude les interlocuteurs, et composer avec le risque que certains messages aient été supprimés. Les captures d’écran, tout aussi répandues, restent d’une force probante fragile : leur falsification est aisée, et leur valeur, prise isolément, demeure limitée.

Les vidéos et les photographies exigent, pour leur part, une démonstration d’authenticité. L’absence de montage pour les premières, un contexte suffisant pour les secondes, qui ne suffisent que rarement à elles seules. Les données de géolocalisation jouent surtout un rôle de corroboration. Les journaux informatiques (logs), quant à eux, sont d’une nature plus technique, mais s’avèrent souvent déterminants en matière de cybercriminalité. La signature électronique, enfin, offre, on le verra, la force probante la plus solide, à condition de répondre aux exigences de qualification prévues par le texte.

• Le régime particulier de la signature électronique

Le Titre III du Livre II organise un régime gradué de la signature électronique, dont la force probante varie sensiblement selon le niveau de garantie retenu et qui mérite, à ce titre, un développement à part.

L’article 284 dispose en ces termes : la signature électronique nécessaire à la validité d’un acte identifie celui qui l’appose et manifeste son consentement aux obligations qui en découlent ; elle est admise dans les transactions électroniques. Le même article introduit une présomption de fiabilité, favorable au plaideur, lorsque le procédé repose sur une signature électronique dite « qualifiée » ; c’est-à-dire créée grâce à un dispositif sécurisé et vérifié au moyen d’un certificat qualifié répondant aux exigences de l’article 287.

L’article 285 précise qu’une telle signature, créée par un dispositif qualifié, gardée sous le contrôle exclusif du signataire et reposant sur un certificat électronique, est admise au même titre qu’une signature manuscrite. Il définit également la signature électronique dite « avancée » et pose une présomption utile en pratique : sauf preuve contraire, un document électronique est présumé avoir été signé par son auteur, et son texte présumé non modifié, dès lors qu’une signature électronique sécurisée y est apposée ou logiquement associée.

L’article 286 énumère, pour sa part, les exigences propres à la signature avancée : un lien univoque avec le signataire, la possibilité de l’identifier, une création à partir de données que le signataire contrôle avec un niveau de confiance élevé, et la détection de toute modification ultérieure des données signées.

Ce dispositif gradué traduit une logique que l’on retrouve dans la plupart des standards internationaux : plus le procédé technique offre de garanties (contrôle exclusif, certificat qualifié, détection d’altération), plus la force probante de la signature est élevée, jusqu’à bénéficier, au sommet de cette échelle, d’une présomption favorable à celui qui s’en prévaut.

• Le régime de la copie électronique

L’article 271 mérite également d’être signalé : il reconnaît à la copie ou à la reproduction d’un acte électronique la même valeur et la même force probante que l’acte original, à condition que l’intégrité de ce dernier ait été préservée, preuve qui peut notamment résulter d’un certificat de conformité délivré par un prestataire de confiance.

LES DIFFICULTES PRATIQUES OBSERVEES DANS LE CONTEXTE BENINOIS

Le cadre légal, aussi clair soit-il, se heurte en pratique à plusieurs difficultés qui méritent d’être signalées.

La première, et sans doute la plus répandue, tient à la place considérable qu’occupent les captures d’écran dans le contentieux numérique. Une grande partie des litiges qu’ils soient portés devant le juge ou simplement évoqués à l’amiable, repose quasi exclusivement sur des captures de conversations WhatsApp ou de publications Facebook. Or ces éléments, faciles à modifier avec des outils d’édition d’image courants, n’offrent par nature qu’une garantie d’intégrité limitée.

Vient ensuite la question des faux profils et de l’usurpation d’identité, qui complique sérieusement l’identification de l’auteur réel d’un message ou d’une publication, condition pourtant première de l’admissibilité posée par l’article 268. À cela s’ajoute la difficulté propre aux comptes piratés : une personne peut soutenir qu’un message ou une transaction ne lui est pas imputable, ce qui impose alors de recourir à des éléments techniques complémentaires (logs de connexion, adresses IP, horodatage) pour lever le doute.

La possibilité de supprimer des messages, y compris pour l’ensemble des destinataires, sur certaines messageries, constitue une autre source de fragilité : des preuves peuvent tout simplement disparaître avant même d’être produites en justice. Plus récemment, l’essor de l’intelligence artificielle générative et notamment des techniques dites de deepfakes, capables de fabriquer une voix, une image ou une vidéo introduit un défi nouveau et croissant pour l’appréciation de l’authenticité des preuves numériques.

Deux difficultés plus structurelles complètent ce tableau. D’une part, la culture de conservation des preuves reste encore peu développée : nombre de justiciables ne sauvegardent pas systématiquement leurs échanges, changent d’appareil sans précaution, ou suppriment par mégarde des courriels et conversations pourtant utiles. D’autre part, le nombre d’experts en informatique judiciaire demeure limité, ce qui peut ralentir l’instruction technique des dossiers les plus complexes.

LES ENJEUX LIES A LA PROTECTION DES DONNEES PERSONNELLES

Obtenir une preuve numérique ne dispense pas de respecter la vie privée et le secret des correspondances, non plus que les règles relatives à la protection des données à caractère personnel, également organisées par le Code du numérique. Une preuve obtenue par un accès illicite, piratage d’un compte ou d’une messagerie, par exemple s’expose à voir sa force probante contestée, et peut même engager la responsabilité de celui qui l’a recueillie dans ces conditions. La fin ne justifie pas, ici non plus, tous les moyens.

EN CONCLUSION

Le Code du numérique promulgué en 2018 confère au Bénin un cadre juridique cohérent, fondé sur le principe d’équivalence entre l’écrit électronique et l’écrit papier, et sur des conditions précises d’identification, d’intégrité et de conservation qui gouvernent tant l’admissibilité que la fiabilité de la preuve numérique. Ce cadre, dont la logique rejoint les standards internationaux les plus établis, doit désormais être mis à l’épreuve d’une pratique judiciaire en pleine évolution marquée par la place prépondérante des réseaux sociaux et des messageries instantanées dans le contentieux, mais aussi par l’émergence de défis technologiques inédits, au premier rang desquels l’intelligence artificielle générative. Le renforcement de l’expertise technique, de la formation des acteurs judiciaires et de la culture de con01servation des preuves auprès des citoyens constitue, à cet égard, un enjeu déterminant pour l’effectivité du droit de la preuve à l’ère numérique.

Par Ornella HODONOU,

Juriste spécialisée en droit du numérique

Change this description

LES FONDEMENTS DE L’ETHIQUE NUMERIQUE

Avant de parler de règles ou de lois, il faut parler de principes. Et ces principes sont finalement assez proches du bon sens : respecter la vie privée des gens, traiter chacun de manière équitable, être capable d’expliquer ce que fait une technologie, et assumer les conséquences de ce qu’on met en circulation.
Le problème, c’est que ces principes sont souvent plus faciles à écrire qu’à appliquer. Une entreprise qui développe un service numérique doit composer avec des impératifs économiques, des délais serrés, une concurrence féroce. L’éthique devient alors un exercice d’équilibre : comment aller vite sans sacrifier ce qui compte vraiment ? La réponse n’est jamais parfaite, mais le simple fait de se poser la question change déjà beaucoup de choses.

LA PROTECTION DES DONNEES PERSONNELLES

Nos données, ce sont un peu nos empreintes numériques : elles racontent qui nous sommes, ce qu’on aime, où l’on va, avec qui on parle. Elles ont une valeur immense, à la fois pour les entreprises qui les exploitent et pour nous-mêmes, puisqu’elles touchent à notre intimité.
L’enjeu n’est pas d’empêcher leur utilisation, les données personnelles permettent aussi d’améliorer des services, de personnaliser une expérience, de faire avancer la recherche médicale. L’enjeu est de trouver le juste équilibre entre exploitation légitime et respect des droits individuels. Cela passe par des choses concrètes : demander un consentement réellement éclairé, limiter la collecte à ce qui est nécessaire, garantir aux personnes un droit de regard et de retrait sur leurs propres informations. Ce n’est pas de la bureaucratie, c’est une forme de respect.

INTELLIGENCE ARTIFICIELLE ET BIAIS

L’intelligence artificielle a cette réputation d’objectivité froide et implacable. En réalité, elle n’est jamais neutre : elle apprend à partir de données produites par des humains, avec toutes leurs imperfections, leurs préjugés, leurs angles morts. Un algorithme de recrutement peut ainsi reproduire des discriminations existantes sans que personne ne l’ait voulu explicitement. Un système de notation de crédit peut pénaliser certaines populations simplement parce que les données historiques reflétaient déjà des inégalités.
Le vrai danger, ce n’est pas seulement le biais en lui-même, c’est son opacité. Quand une décision automatisée nous échappe, difficile de la contester, difficile même de la comprendre. D’où l’importance de mettre en place de véritables garde-fous : auditer régulièrement les algorithmes, diversifier les équipes qui les conçoivent, exiger une explicabilité minimale, et surtout, garder un humain dans la boucle pour les décisions qui comptent vraiment.

LA RESPONSABILITE DES ACTEURS NUMERIQUES

Personne ne peut porter seul le poids de l’éthique numérique. Les entreprises technologiques ont évidemment une responsabilité de premier plan, puisque ce sont elles qui conçoivent les outils et fixent les règles du jeu par défaut. Mais les États ont aussi un rôle essentiel à jouer, celui de fixer un cadre légal qui protège les citoyens sans étouffer l’innovation.
Et les citoyens eux-mêmes ne sont pas de simples spectateurs. Chaque utilisateur, en faisant des choix éclairés, lire les conditions d’utilisation, s’interroger sur les données qu’il partage, exiger de la transparence participe à façonner un numérique plus responsable. La gouvernance numérique est finalement une affaire collective, où chacun a une part de responsabilité, même minime.

DURABILITE ET IMPACT SOCIETAL

On oublie trop souvent que le numérique a un corps bien réel. Derrière chaque recherche en ligne, chaque vidéo regardée, chaque fichier stocké dans le cloud, il y a des data centers qui consomment de l’énergie, chauffent, et laissent une empreinte carbone loin d’être négligeable. Penser l’éthique numérique, c’est aussi penser sa durabilité environnementale : concevoir des infrastructures plus sobres, privilégier des énergies renouvelables, allonger la durée de vie des équipements.
Il y a aussi un enjeu social tout aussi important : la fracture numérique. Pendant qu’une partie de la population profite pleinement des avancées technologiques, une autre reste à l’écart, faute d’accès, de formation ou de moyens. Un numérique éthique ne peut pas se contenter d’innover pour quelques-uns ; il doit chercher à inclure le plus grand nombre.

VERS UNE ETHIQUE NUMERIQUE AU SERVICE DE L’HUMAIN

L’éthique numérique n’est pas un obstacle sur la route de l’innovation, c’est ce qui lui donne sa légitimité et sa pérennité. Une technologie qui bafoue la vie privée, qui discrimine sans le dire, ou qui creuse les inégalités finira toujours par perdre la confiance de ceux qu’elle est censée servir. À l’inverse, un numérique pensé avec responsabilité construit une relation durable entre les entreprises, les institutions et les citoyens.
Au fond, la question n’est jamais de choisir entre progrès et éthique. Il s’agit de faire du progrès un progrès pour tous, un numérique qui reste, en toutes circonstances, au service de l’humain.

Charlaine DEGBEY

Juriste Spécialisée en Droit du Numérique

Change this description

À la lecture des dispositions du Code du numérique, la réponse est plus nuancée qu’il n’y paraît. Si le principe demeure celui de l’accomplissement de formalités préalables pour certains traitements, le législateur a également prévu plusieurs mécanismes permettant d’alléger ces obligations. Pourtant, dans la pratique, de nombreuses entreprises et même certaines institutions publiques continuent de procéder à des déclarations systématiques, parfois pour des traitements qui semblent pourtant bénéficier d’une dispense. Cette situation traduit une difficulté d’interprétation des textes et appelle, à notre sens, une clarification de la part de l’APDP.

Une distinction nécessaire entre exclusion, dispense et exemption

La première difficulté provient de la proximité des notions employées par le Code du numérique. Les articles 382, 408 et 410 évoquent respectivement les exclusions, les exemptions et les dispenses de formalités. Ces notions poursuivent pourtant des objectifs différents.

L’article 382 concerne les traitements qui échappent totalement au champ d’application des règles relatives à la protection des données personnelles. C’est notamment le cas des traitements réalisés par une personne physique dans le cadre exclusif de ses activités personnelles ou domestiques, à condition que les données ne soient pas destinées à être communiquées à des tiers ou diffusées. Dans cette hypothèse, aucune formalité n’est requise puisque le traitement n’entre pas dans le champ d’application du Livre consacré à la protection des données.

Les dispenses prévues directement par la loi

L’article 410 prévoit ensuite plusieurs cas dans lesquels les traitements sont dispensés de formalités préalables. Le Code vise notamment les traitements mis en œuvre pour la tenue de la comptabilité générale, ceux relatifs à la gestion des rémunérations du personnel ainsi que les traitements nécessaires à la gestion des fournisseurs. Sont également concernés les registres destinés à un usage exclusivement privé ainsi que certains traitements réalisés par des associations ou organismes à but non lucratif dans des conditions strictement définies.

Ces dispenses reposent sur une logique simple : certains traitements sont si courants et présentent, en principe, un niveau de risque suffisamment faible qu’il n’apparaît pas nécessaire d’imposer une déclaration préalable auprès de l’APDP.

Il convient toutefois de rappeler que cette dispense de formalités ne signifie nullement une dispense de conformité. Les responsables de traitement demeurent soumis à l’ensemble des obligations prévues par le Code du numérique, notamment celles relatives à la sécurité des données, au respect des principes de licéité, de transparence, de limitation des finalités ou encore aux droits des personnes concernées.

Les exemptions pouvant être accordées par l’APDP

À côté de ces dispenses légales, l’article 408 instaure un mécanisme différent. Il permet à l’APDP d’exempter certaines catégories de traitements de l’obligation de déclaration lorsqu’elles ne présentent manifestement pas de risque pour les droits et libertés des personnes concernées. Le texte prévoit également cette possibilité lorsque le responsable du traitement désigne un délégué à la protection des données chargé d’assurer la conformité des traitements et de tenir le registre prévu par le Code.

Il est important de souligner que cette exemption n’est pas automatique. Contrairement à l’article 410, qui dispense directement certains traitements, l’article 408 confère à l’APDP un pouvoir d’appréciation lui permettant de déterminer quelles catégories de traitements peuvent bénéficier d’un tel allègement.

Le Code apporte néanmoins une limite importante : les traitements mis en œuvre par les autorités publiques ne peuvent pas bénéficier de cette exemption. Les administrations restent donc exclues de ce mécanisme, même lorsqu’elles désignent un délégué à la protection des données.

Une absence de contradiction, mais un manque de lisibilité

À première lecture, les articles 408 et 410 peuvent sembler contradictoires. En réalité, ils organisent deux régimes juridiques distincts. L’article 410 énumère les traitements que le législateur a lui-même choisi de dispenser de formalités préalables. L’article 408, quant à lui, permet à l’APDP de créer des exemptions supplémentaires pour certaines catégories de traitements présentant peu de risques. Les deux dispositions sont donc complémentaires.

La véritable difficulté réside ailleurs. À ce jour, il n’existe pas de communication suffisamment détaillée permettant aux responsables de traitement d’identifier clairement les traitements bénéficiant effectivement des exemptions prévues par l’article 408. Dans le doute, beaucoup préfèrent effectuer une déclaration, même lorsqu’elle n’est peut-être pas nécessaire.

Cette situation entraîne une surcharge administrative inutile pour les organismes concernés et mobilise également les ressources de l’APDP sur des traitements qui ne présentent pas forcément un enjeu majeur en matière de protection des données.

Une clarification attendue de l’APDP

Dans un contexte où les obligations de conformité se multiplient, une clarification de la part de l’APDP serait particulièrement bienvenue. L’Autorité pourrait publier une liste ou un référentiel précisant les catégories de traitements bénéficiant des dispenses prévues à l’article 410, ainsi que celles pouvant faire l’objet d’une exemption sur le fondement de l’article 408. Une telle publication pourrait être accompagnée d’exemples concrets selon les secteurs d’activité (entreprises privées, établissements publics, collectivités territoriales, associations, établissements de santé, établissements d’enseignement, etc.).

L’APDP pourrait également préciser les critères qu’elle retient pour apprécier l’absence de risque pour les droits et libertés des personnes concernées, ainsi que les conditions dans lesquelles la désignation d’un délégué à la protection des données est susceptible de justifier une exemption de déclaration lorsque la loi le permet.

Une telle démarche renforcerait la sécurité juridique des responsables de traitement et favoriserait une application homogène du Code du numérique.

Pour une conformité davantage fondée sur le risque

Le droit de la protection des données évolue progressivement vers une logique de responsabilisation des organismes et d’évaluation des risques. Tous les traitements ne présentent pas le même niveau d’atteinte potentielle aux droits des personnes concernées. Il apparaît donc légitime que les obligations déclaratives soient adaptées à cette réalité.

Une meilleure clarification des dispenses et des exemptions permettrait aux responsables de traitement de concentrer leurs efforts sur les traitements les plus sensibles plutôt que sur des formalités parfois inutiles. Elle contribuerait également à renforcer l’efficacité de l’action de l’APDP, qui pourrait consacrer davantage de ressources aux traitements à fort impact.

À l’heure où de plus en plus d’organisations béninoises s’engagent dans des démarches de conformité, la publication de lignes directrices ou d’une liste officielle des traitements exemptés constituerait un outil précieux. Au-delà d’un simple allègement administratif, il s’agirait d’un véritable instrument de sécurité juridique, au bénéfice des responsables de traitement comme des personnes concernées.

Yazid ALE

Juriste

Change this description

Ces objets simplifient le quotidien, améliorent les services et optimisent certains secteurs. Mais derrière cette promesse de confort se cache une réalité moins visible : une collecte de données massives, continue, et souvent mal maîtrisée.

QU’EST-CE QUE L’INTERNET DES OBJETS ?

L’IoT désigne un réseau d’objets physiques équipés de capteurs, de logiciels et de moyens de communication qui leur permettent de collecter, transmettre et parfois traiter des données via Internet. Ces objets communiquent avec un smartphone, un serveur distant (cloud), ou d’autres objets connectés entre eux, dans le but d’automatiser des tâches ou de fournir des services intelligents.

DES OBJETS CONNECTES PARTOUT

À la maison, les objets connectés se multiplient : caméras de surveillance, sonnettes vidéo, téléviseurs intelligents, assistants vocaux, ampoules et prises connectées, ou encore détecteurs de fumée. Dans le domaine de la santé, on retrouve des montres et bracelets d’activité, des balances, tensiomètres et glucomètres connectés. Ces appareils traitent des informations particulièrement sensibles, liées directement à l’état physique des utilisateurs. Dans les transports, les GPS et véhicules connectés, ainsi que les traceurs et boîtiers télématiques, permettent un suivi précis des déplacements. Dans l’agriculture, l’Afrique de l’Ouest voit émerger progressivement une agriculture intelligente, portée par des capteurs d’humidité, des stations météorologiques, des systèmes d’irrigation automatisés et des dispositifs de suivi du bétail. Dans les villes intelligentes, enfin, les objets connectés contribuent à la gestion de l’éclairage public, au traitement des déchets, à la régulation de la circulation, à la vidéosurveillance ainsi qu’au suivi de la qualité de l’air.

QUELLES DONNEES SONT REELLEMENT COLLECTEES ?

Selon leur nature, ces objets peuvent enregistrer l’identité de l’utilisateur, son adresse IP, sa localisation GPS, sa fréquence cardiaque, ses habitudes de sommeil, sa température corporelle, sa consommation d’électricité, ses horaires de présence au domicile, son historique de déplacements, ses données biométriques, ses commandes vocales ou encore ses habitudes de consommation. Mises ensemble, ces informations permettent parfois de dresser un profil extrêmement précis de la vie d’une personne.

POURQUOI L’IOT REPRESENTE-T-IL UN RISQUE POUR LA VIE PRIVEE ?

Une collecte massive et continue : Contrairement à un ordinateur ou un smartphone, la plupart des objets connectés fonctionnent en permanence et enregistrent des données sans intervention active de l’utilisateur.

Une faible transparence : Les utilisateurs ignorent souvent quelles données sont collectées, à quelles fins, pendant combien de temps, et avec quels destinataires elles sont partagées.

Un risque de surveillance : L’agrégation des données permet de connaître les horaires de présence, les habitudes quotidiennes, les lieux fréquentés, l’état de santé ou les préférences de consommation d’une personne. Une surveillance qui peut porter directement atteinte à son droit à la vie privée.

Des failles de sécurité : De nombreux objets connectés présentent des vulnérabilités : mots de passe par défaut, absence de mises à jour, chiffrement insuffisant, interfaces peu sécurisées. Ces failles peuvent être exploitées pour accéder aux données ou prendre le contrôle de l’appareil à distance.

Des transferts internationaux de données : Les informations collectées sont souvent hébergées sur des serveurs situés hors du Bénin, voire hors d’Afrique, ce qui pose des questions de souveraineté numérique, de contrôle des données et d’application effective des lois nationales.

LES REALITES BENINOISES

Au Bénin, l’usage des objets connectés touche déjà plusieurs secteurs concrets : dans la santé, certains établissements et patients utilisent des dispositifs médicaux connectés dont les données, particulièrement sensibles, exigent une protection renforcée ; dans l’agriculture, des projets d’agriculture intelligente s’appuient sur des capteurs pour optimiser les rendements ; dans le transport, des entreprises équipent leurs véhicules de traceurs GPS, ce qui impose aux employeurs de veiller au respect des droits de leurs salariés ; et dans l’administration, les projets de modernisation intègrent progressivement ces technologies, ce qui suppose une gouvernance rigoureuse des données collectées.

Sur le plan juridique, c’est le Code du numérique (Loi n° 2017-20) qui constitue le principal texte de référence en encadrant la protection des données personnelles, les traitements de données, les obligations des responsables de traitement et les droits des personnes concernées ; même si l’IoT n’y est pas toujours nommé expressément, les traitements réalisés par ces objets restent soumis à ses principes dès lors qu’ils impliquent des données à caractère personnel, notamment la licéité, la loyauté, la transparence, la limitation des finalités, la minimisation des données, l’exactitude, la limitation de la conservation, la sécurité et la confidentialité; des exigences proches de celles du RGPD européen.

LES DROITS DES CITOYENS

Selon les situations, les utilisateurs disposent de plusieurs droits : être informés de la collecte de leurs données, y accéder, en demander la rectification ou la suppression lorsque les conditions le permettent, s’opposer à certains traitements, ou encore exercer un recours auprès de l’APDP (Autorité de Protection des Données à caractère Personnel). Mais cette protection ne repose pas uniquement sur les utilisateurs : les fabricants d’objets connectés ont eux aussi une responsabilité à assumer, notamment en intégrant le principe du « privacy by design », c’est-à-dire en concevant leurs produits avec des mécanismes de protection de la vie privée dès leur conception : paramètres protecteurs par défaut, mises à jour de sécurité régulières, chiffrement des données et authentification robuste.

LES DEFIS SPECIFIQUES AU BENIN

Plusieurs obstacles freinent encore une protection efficace au Bénin, parmi lesquels une faible sensibilisation du public, un manque d’expertise technique, une forte dépendance aux fabricants étrangers, l’absence de normes techniques spécifiques à l’IoT, le coût élevé des infrastructures sécurisées, ainsi qu’une coopération encore limitée entre acteurs publics et privés. Ces difficultés risquent d’ailleurs de s’accentuer avec l’évolution de l’IoT combinée à l’intelligence artificielle, qui pourrait entraîner un profilage encore plus poussé des individus, une automatisation des décisions fondées sur les données collectées, une hausse des cyberattaques ciblant les objets connectés, et des atteintes plus importantes à la vie privée si les garanties juridiques ne parviennent pas à suivre ce rythme.

QUELLES PISTES POUR L’AVENIR ?

Pour limiter ces risques, plusieurs actions apparaissent nécessaires : renforcer les contrôles de l’APDP sur les traitements liés à l’IoT, sensibiliser les utilisateurs aux bonnes pratiques de sécurité, imposer des exigences minimales de cybersécurité aux fabricants et importateurs, encourager l’application du principe de privacy by design, développer des compétences nationales en cybersécurité et en protection des données, et promouvoir une coopération régionale sur les normes applicables aux objets connectés.

EN CONCLUSION

L’Internet des objets n’est pas une menace en soi, mais son développement rapide, combiné à une faible transparence et à des failles de sécurité fréquentes, en fait un terrain particulièrement sensible pour la vie privée. Au Bénin, le Code du numérique offre déjà un cadre juridique applicable à ces technologies.

L’enjeu des prochaines années sera de renforcer son application concrète face à des objets toujours plus nombreux, plus connectés, et parfois plus intrusifs.

Par Ornella HODONOU,

Juriste spécialisée en droit du numérique

Change this description

L’article 9 du Code civil français dispose que : « Chacun a droit au respect de sa vie privée. » À première vue, cette disposition semble consacrer un droit dont seules les personnes physiques peuvent bénéficier. En effet, la vie privée renvoie traditionnellement à des éléments intimement liés à la personne humaine : la vie familiale, la santé, les convictions, la correspondance ou encore l’intimité de l’existence. Une personne morale, création juridique dépourvue de sentiments ou de vie personnelle, paraît donc naturellement exclue du champ d’application de ce texte.

Cette conception classique a longtemps guidé la jurisprudence française. Pourtant, face aux mutations économiques et numériques, la question mérite aujourd’hui d’être reposée : une entreprise, une association ou une fondation peut-elle revendiquer une forme de vie privée ?

La réponse est loin d’être unanime.

La position constante de la Cour de cassation : un refus de reconnaître une véritable vie privée aux personnes morales

La Cour de cassation est demeurée fidèle à une interprétation restrictive du droit au respect de la vie privée. Elle considère que ce droit est attaché à la personne physique et refuse, en principe, d’en reconnaître le bénéfice aux personnes morales.

Cela ne signifie toutefois pas que ces dernières soient dépourvues de toute protection juridique. Elles peuvent invoquer d’autres droits tels que la protection de leur réputation, de leur dénomination sociale, de leur domicile professionnel, de leur secret des affaires ou encore de leur patrimoine informationnel. Pour autant, ces protections demeurent distinctes de la reconnaissance d’un véritable droit au respect de la vie privée.

L’ouverture du Conseil d’État : la reconnaissance d’une sphère de confidentialité

Cette position a cependant été nuancée par le Conseil d’État dans une décision remarquée du 7 octobre 2022 (n° 443826).

Dans cette affaire, était en cause la communication des comptes annuels d’une fondation d’entreprise détenus par l’administration. Le Conseil d’État devait déterminer si ces documents pouvaient être librement communiqués à des tiers ou s’ils bénéficiaient d’une protection particulière.

La Haute juridiction administrative a jugé que les informations relatives au fonctionnement interne et à la situation financière d’une personne morale de droit privé relevaient de la protection de la vie privée au sens de l’article L. 311-6 du Code des relations entre le public et l’administration. Dès lors, leur communication à des tiers ne pouvait être autorisée que dans les conditions prévues par la loi.

Par cette décision, le Conseil d’État semble franchir une étape importante. Sans affirmer explicitement que les personnes morales disposent d’une vie privée identique à celle des personnes physiques, il leur reconnaît néanmoins une sphère de confidentialité protégée. Cette protection concerne notamment leur organisation interne, leur stratégie et certaines informations économiques dont la divulgation serait susceptible de porter atteinte à leurs intérêts.

Une divergence de jurisprudence plus apparente que réelle

Cette solution contraste avec la prudence de la Cour de cassation et révèle une divergence d’approche entre les deux ordres de juridiction. Là où le juge judiciaire préfère protéger les personnes morales au moyen de droits spécifiques, le juge administratif admet que certaines informations puissent directement relever de la notion de vie privée.

Cette divergence n’est toutefois pas totalement irréconciliable. En réalité, les deux juridictions poursuivent une finalité commune : préserver les intérêts légitimes des personnes morales. Elles diffèrent davantage sur le fondement juridique mobilisé que sur l’objectif recherché. La Cour de cassation refuse d’étendre la notion classique de vie privée, tandis que le Conseil d’État adopte une conception plus fonctionnelle de celle-ci lorsqu’il s’agit de protéger le fonctionnement interne d’une personne morale.

Une évolution dictée par les enjeux du numérique et de la protection de l’information

Cette évolution s’inscrit dans un contexte où les entreprises détiennent désormais un volume considérable d’informations stratégiques. À l’ère du numérique, les données relatives à la gouvernance, aux processus internes, aux choix organisationnels ou encore aux informations financières constituent de véritables actifs immatériels. Leur divulgation peut affecter la compétitivité d’une entreprise, compromettre sa stratégie ou porter atteinte à sa sécurité économique.

Dans ce contexte, reconnaître une forme de vie privée aux personnes morales apparaît comme une réponse aux nouveaux enjeux liés à la protection de l’information. Cette protection vient compléter d’autres mécanismes, tels que le secret des affaires ou la protection des données, afin d’assurer une meilleure sécurité juridique des organisations.

Une tendance déjà amorcée au niveau européen

Cette évolution s’inscrit d’ailleurs dans une tendance déjà perceptible au niveau européen. La Cour européenne des droits de l’homme admet depuis plusieurs années que certaines garanties prévues par l’article 8 de la Convention européenne des droits de l’homme peuvent bénéficier aux personnes morales, notamment en matière de protection des locaux professionnels ou de certaines informations confidentielles.

Conclusion : vers une redéfinition de la notion de vie privée ?

La décision du Conseil d’État du 7 octobre 2022 ne consacre donc pas une assimilation complète entre la personne physique et la personne morale. Elle témoigne plutôt d’une adaptation progressive de la notion de vie privée aux réalités contemporaines. À l’heure où les données constituent une richesse stratégique, la frontière entre vie privée, secret des affaires et confidentialité organisationnelle devient de plus en plus ténue.

Le débat demeure toutefois ouvert. Faut-il continuer à réserver la vie privée aux seules personnes physiques, conformément à la lettre de l’article 9 du Code civil, ou admettre qu’une personne morale puisse, elle aussi, bénéficier d’une protection de sa sphère privée lorsque sont en jeu son organisation, ses données stratégiques ou son fonctionnement interne ? Les évolutions jurisprudentielles récentes invitent, en tout état de cause, à repenser cette notion à la lumière des défis du numérique

Yazid ALE, Juriste

Change this description

Une architecture réglementaire à deux étages

Comprendre la régulation des fintechs dans la zone franche suppose de distinguer deux niveaux de normes qui s’appliquent simultanément et se complètent plus qu’elles ne se recoupent.

Le premier étage est régional. La BCEAO, banque centrale commune aux huit pays de l’UEMOA, fixe les règles applicables aux activités de paiement, de monnaie électronique et de crédit dans l’ensemble de la zone. C’est elle qui délivre les agréments d’établissement de paiement (EDP) ou d’établissement de monnaie électronique (EME), les deux statuts sous lesquels opèrent la plupart des fintechs.

Le second étage est national. Chaque État, dont le Bénin, dispose de ses propres textes sur le numérique, la protection des données personnelles et les télécommunications, qui encadrent la dimension technologique de l’activité fintech sans se substituer à la supervision financière de la BCEAO.

L’instruction 001-01-2024 : la clé de voûte régionale

Le texte qui bouleverse aujourd’hui l’écosystème est l’instruction n°001-01-2024 du 23 janvier 2024 relative aux services de paiement dans l’UMOA, un texte de 97 articles répartis en six titres qui s’applique aux banques, aux établissements financiers de crédit, aux établissements de paiement, aux institutions de microfinance et aux établissements de monnaie électronique. Son apport majeur tient en une phrase : elle met fin au modèle d’adossement généralisé aux banques, qui permettait à de nombreux opérateurs de fonctionner sans licence propre. Désormais, seule une structure titulaire de son propre agrément peut légalement fournir des services de paiement.

Concrètement, l’instruction définit largement la notion de service de paiement : dépôts et retraits d’espèces, virements, prélèvements, opérations liées à la monnaie électronique, initiation de paiement ou agrégation d’informations sur les comptes en relèvent toutes. Pour obtenir l’agrément correspondant, une fintech doit justifier d’un capital social minimum, dont le montant varie entre 10 et 100 millions de FCFA selon le type de licence, mettre en place une gouvernance adaptée, sécuriser ses systèmes d’information et démontrer sa conformité aux règles de lutte contre le blanchiment de capitaux et le financement du terrorisme.

Cette bascule s’est révélée plus douloureuse que prévu pour l’écosystème. Alors que le Bureau de Connaissance et de Suivi des FinTech de la BCEAO recensait plus de 131 fintechs actives dans le domaine bancaire et financier de l’UEMOA à fin 2022, le nombre d’agréments effectivement délivrés est resté longtemps très faible. La banque centrale a donc dû reporter à quatre reprises l’échéance de mise en conformité, la dernière fois jusqu’au 31 août 2025, un délai supplémentaire justifié par la nécessité de permettre aux prestataires concernés de finaliser les formalités requises pour leur agrément. Entre-temps, la BCEAO a durci le ton : après un premier couperet fixé au 1er mai 2025 puis repoussé une dernière fois, c’est depuis le 1er septembre 2025 que toute structure non agréée conformément aux exigences de l’instruction doit cesser d’offrir des services de paiement dans l’UMOA, sous peine de sanctions dont la nature exacte reste à la discrétion du régulateur.

Ce mouvement a néanmoins produit ses premiers effets tangibles. Début 2025, des acteurs comme Intouch, PayDunya, SycaPay ou la sénégalaise QuickPay ont obtenu leurs premières licences, avec une répartition géographique inégale puisque la Côte d’Ivoire et le Sénégal concentrent la majorité des agréments, quand le Burkina Faso, le Mali et le Niger n’en comptent chacun qu’un seul. Un point de droit mérite d’être souligné, car il est souvent négligé par les acteurs eux-mêmes dans leur communication : l’agrément délivré par la BCEAO est strictement national. Une fintech qui souhaite opérer dans les huit pays de l’Union doit donc solliciter huit autorisations distinctes, une exigence lourde qui interroge sur la cohérence du projet d’intégration financière régionale.

Le Bénin : un cadre national encore composite

Au niveau béninois, il n’existe pas de loi spécifique aux fintechs à proprement parler. Le secteur navigue entre plusieurs textes sectoriels dont aucun n’a été pensé pour lui.

Le texte pivot reste la loi n°2017-20 du 20 avril 2018 portant Code du numérique, qui régit les communications électroniques, l’identification et la signature électroniques, le commerce en ligne et la protection des consommateurs numériques. Elle place sous la tutelle de l’Autorité de Régulation des Communications Électroniques et de la Poste (ARCEP) les aspects technologiques de l’activité, tandis que l’Autorité de Protection des Données à caractère Personnel (APDP) veille au traitement des données des utilisateurs. Mais ce Code du numérique n’a pas vocation à réguler la dimension financière des fintechs : cette compétence revient à la BCEAO, qui exerce sa supervision au niveau régional et non depuis Cotonou.

Cette architecture crée des zones grises que la doctrine juridique locale commence à documenter, en particulier sur les actifs numériques. Le Code du numérique ne mentionne pas explicitement les levées de fonds en cryptomonnaies, qu’il s’agisse d’ICO ou de STO, ce qui crée une insécurité juridique pour les fintechs et les entreprises agritech qui souhaiteraient y recourir. Ni l’ARCEP, compétente pour les télécommunications, ni l’APDP, centrée sur les données personnelles, n’ont vocation à combler ce vide, qui relève en réalité d’une régulation financière que ni le Bénin ni même la BCEAO n’ont pour l’instant clairement tranchée.

Face à cette complexité, les acteurs privés se sont organisés. La création, en septembre 2024, de l’Association des Fintech du Bénin (AFIN BJ), qui réunit des entreprises comme FedaPay ou PayPlus, traduit la volonté du secteur de structurer et renforcer l’écosystème financier numérique et de mieux dialoguer avec les autorités régulatrices que sont la BCEAO et l’ARCEP. C’est aussi le signe que les entrepreneurs béninois, confrontés à une réglementation pensée à l’échelle de huit États, ressentent le besoin d’un canal de représentation dédié pour peser dans les discussions à Dakar, siège de la banque centrale.

Sur le terrain de la conformité elle-même, le Bénin a franchi une première étape symbolique : le 1er septembre 2025, FeexPay est devenue la première fintech béninoise à obtenir son agrément d’Établissement de Paiement délivré par la BCEAO, ouvrant la voie à une mise en conformité progressive des autres acteurs du pays.

Un mouvement continental de formalisation

Le Bénin et l’UEMOA ne sont pas des cas isolés. Partout sur le continent, la tendance est à la sortie des zones grises réglementaires qui avaient permis, dans les années 2010, l’essor rapide du mobile money et des néo-banques.

Au Nigeria, la Banque centrale a multiplié depuis plusieurs années les catégories de licences dédiées aux paiements numériques et resserré ses exigences en matière de fonds propres et de conformité, tout en assouplissant certaines règles pour encourager l’inclusion financière. Au Kenya, pionnier du mobile money avec M-Pesa, le régulateur a développé un bac à sable réglementaire (regulatory sandbox) permettant de tester des innovations sous supervision allégée avant une mise sur le marché complète. L’ARCEP béninoise elle-même évoque désormais la mise en place d’un dispositif comparable pour les services innovants de communications électroniques, preuve que l’idée du sandbox progresse aussi en zone UEMOA.

À l’échelle continentale, l’enjeu dépasse la seule conformité locale. La montée en puissance de systèmes panafricains comme le PAPSS (Pan-African Payment and Settlement System), porté par l’Union africaine et la Banque africaine d’import-export, dessine l’ambition d’une interopérabilité des paiements transfrontaliers qui suppose, en amont, des fintechs nationales solidement régulées et supervisées. Un agrément BCEAO en bonne et due forme devient ainsi, selon les analystes du secteur, un tremplin vers les futurs standards de l’open finance, l’accès à des financements institutionnels et une possible intégration aux systèmes panafricains.

Ce que la régulation change concrètement pour les acteurs

Pour une fintech béninoise ou ouest-africaine, la mise en conformité n’est plus une option mais une condition de survie légale. Elle implique la mise en place d’un dispositif de connaissance du client (KYC), des outils de lutte anti-blanchiment, la publication régulière de rapports financiers auprès du régulateur et des audits de sécurité de ses plateformes. Le non-respect de ces obligations expose à des sanctions graduées : suspension d’activité, amende, voire retrait pur et simple de l’agrément.

Cette exigence a un coût réel pour de jeunes structures : constitution du capital minimum, recrutement de compétences en conformité, refonte de la gouvernance. Mais elle produit aussi un effet de sélection qui rassure les investisseurs internationaux, de plus en plus attentifs au statut réglementaire des cibles africaines dans lesquelles ils placent leurs capitaux. Une fintech agréée gagne en crédibilité auprès des banques partenaires, des bailleurs de fonds et, in fine, des utilisateurs dont l’épargne électronique se trouve mieux protégée.

En guise de conclusion

La régulation des fintechs au Bénin et dans l’UEMOA illustre une tension classique du droit économique : sécuriser un secteur devenu systémique pour l’inclusion financière, sans étouffer par la lourdeur des procédures l’innovation qui a fait le succès du mobile money africain. La BCEAO a choisi la fermeté progressive, quitte à multiplier les délais pour ne pas fragiliser un écosystème encore jeune. Le Bénin, lui, devra clarifier son arsenal juridique national, notamment sur les actifs numériques, pour que ses fintechs jouent pleinement leur rôle dans la bancarisation d’une économie où l’informalité reste la norme plutôt que l’exception.

Charlaine DEGBEY

Juriste Spécialisée en Droit du Numérique

Change this description

Diffusion de photos sans autorisation, publication de vidéos intimes, usurpation d’identité, diffamation, cyberharcèlement, divulgation de conversations privées ou collecte abusive de données personnelles etc. Autant de situations qui posent aujourd’hui de véritables questions juridiques. Le Bénin a répondu à ces enjeux en consacrant la protection des données personnelles et de la vie privée comme un droit fondamental, notamment à travers la Loi n° 2017-20 portant Code du numérique, modifiée en 2021.

RESEAUX SOCIAUX ET VIE PRIVEE : DEUX NOTIONS A CLARIFIER

Les réseaux sociaux sont des plateformes numériques qui permettent à chacun de créer un profil, de publier des contenus et d’interagir avec d’autres utilisateurs. Ils facilitent le partage de photos, de vidéos, d’opinions, d’informations personnelles ou encore de données de localisation.

La vie privée, quant à elle, désigne l’ensemble des informations relatives à une personne qui ne doivent pas être divulguées sans son consentement : identité, adresse, numéro de téléphone, photographies, vidéos, conversations privées, données biométriques, données médicales, localisation, informations bancaires. Le Code du numérique protège l’ensemble de ces données contre toute collecte ou diffusion illicite.

LE CADRE JURIDIQUE : LE CODE DU NUMERIQUE

La Loi n° 2017-20 portant Code du numérique constitue le principal texte de référence. Elle couvre un large spectre de sujets : protection des données personnelles, vie privée, communications électroniques, commerce électronique, cybersécurité et cybercriminalité. Le Livre V de ce texte est spécifiquement consacré à la protection des données personnelles et de la vie privée.

LE ROLE CENTRAL DE L’AUTORITE

L’Autorité de Protection des Données à caractère Personnel (APDP) est une autorité administrative indépendante chargée de veiller à l’application de ces règles. Ses missions principales consistent à protéger les citoyens, contrôler les traitements de données, recevoir les plaintes, sensibiliser le public, sanctionner certains manquements et transmettre au parquet les infractions dont elle a connaissance.

LES PRINCIPAUX LITIGES OBSERVES AU BENIN

La diffusion de photos sans consentement reste l’un des cas les plus fréquents : publication d’une photo sans accord, diffusion d’images d’un événement privé, utilisation d’une photo à des fins commerciales, ou encore création de faux profils. Ces pratiques peuvent entraîner une atteinte à la réputation et des poursuites civiles ou pénales selon les circonstances.

La diffusion de vidéos intimes, communément appelée « sextape », constitue une atteinte grave à la vie privée. Elle peut entraîner des sanctions prévues par le Code du numérique et relever d’autres infractions pénales selon les faits.

La divulgation de conversations privées : capture d’écran d’une discussion WhatsApp, publication de messages privés sur Facebook, diffusion d’enregistrements vocaux, pose également problème. Même lorsqu’une personne est partie à l’échange, la publication du contenu peut porter atteinte aux droits des autres participants.

Le cyberharcèlement prend des formes variées : insultes répétées, menaces, humiliations publiques, campagnes de dénigrement ou publications répétées visant une même personne. Les réseaux sociaux ont tendance à amplifier les conséquences psychologiques et sociales de ces comportements.

La diffamation consiste en des allégations portant atteinte à l’honneur ou à la réputation d’une personne : fausses accusations, rumeurs, publications mensongères. Il est important de rappeler que la liberté d’expression ne protège pas la diffusion de propos diffamatoires.

L’usurpation d’identité se manifeste par la création de faux comptes, l’utilisation des photos d’autrui, ou encore des tentatives d’escroquerie via un faux profil. Le Code du numérique prévoit des infractions spécifiques liées à l’usurpation d’identité numérique.

Enfin, la collecte abusive de données personnelles par certaines applications ou entreprises (numéro de téléphone, carnet d’adresses, localisation, habitudes de navigation) doit impérativement respecter les règles de protection des données personnelles en vigueur au Bénin.

LES DROITS DES CITOYENS BENINOIS

Le Code du numérique garantit à toute personne le droit d’être informée de la collecte de ses données, de donner ou de retirer son consentement lorsque celui-ci est requis, d’accéder à ses données, d’en demander la rectification, d’en demander la suppression dans certains cas, et de s’opposer à certains traitements.

DES RESPONSABILITES PARTAGEES

Les utilisateurs ont un rôle à jouer : respecter la vie privée d’autrui, vérifier les informations avant de les publier, éviter la diffusion de contenus portant atteinte à l’honneur d’une personne, et ne pas partager de données personnelles sans autorisation.

Les plateformes, de leur côté, sont tenues de mettre en place des mécanismes de signalement des contenus illicites, de suppression de certains contenus, de protection des données des utilisateurs et de sécurisation des comptes.

LES DIFFICULTES PERSISTANTES

Plusieurs obstacles limitent encore l’efficacité de la protection de la vie privée au Bénin : une connaissance faible des droits numériques par les citoyens, des difficultés d’identification des auteurs se cachant derrière de faux comptes, le caractère transfrontalier des plateformes, la lenteur ou la complexité de certaines procédures, un manque de sensibilisation, et une évolution technologique rapide qui devance souvent le cadre réglementaire.

VERS DE NOUVEAUX DEFIS

L’essor de l’intelligence artificielle soulève désormais de nouveaux risques : deepfakes, clonage de voix, création de faux profils automatisés, manipulation de photos, ou diffusion virale de contenus mensongers. Ces évolutions technologiques imposent au droit béninois de continuer à s’adapter pour offrir une protection efficace de la vie privée dans un environnement numérique en constante mutation.

EN CONCLUSION

Le Code du numérique du Bénin pose un cadre juridique solide pour encadrer l’usage des réseaux sociaux et protéger la vie privée des citoyens. Mais l’efficacité de ce dispositif dépend largement de la sensibilisation des utilisateurs, du renforcement des moyens d’identification des contrevenants et de l’adaptation continue du droit face aux mutations technologiques, notamment celles portées par l’intelligence artificielle.

Par Ornella HODONOU,

Juriste spécialisée en droit du numérique

Change this description