Le départ du salarié ne signifie pas la suppression immédiate de toutes ses données

La fin du contrat de travail n’entraîne pas nécessairement l’effacement immédiat de l’ensemble des données personnelles de l’ancien salarié. Certaines informations peuvent encore être nécessaires après son départ, notamment pour satisfaire à des obligations légales, justifier l’accomplissement de certaines formalités, assurer la gestion des droits nés pendant la relation de travail ou permettre à l’entreprise de défendre ses intérêts en cas de litige. L’employeur peut donc être légitime à conserver certaines données au-delà de la date de départ du salarié. Cette conservation doit toutefois être justifiée par une finalité précise. Il ne s’agit donc pas de conserver l’intégralité du dossier simplement parce qu’il a existé une relation de travail. La question essentielle devient alors celle de la nécessité de chaque donnée et de la durée pendant laquelle sa conservation demeure justifiée.

Une durée de conservation qui doit être limitée

Le principe de conservation limitée constitue une règle fondamentale de la protection des données personnelles. L’APDP rappelle notamment que les données doivent être conservées pendant une durée déterminée et adaptée à la finalité pour laquelle elles ont été collectées. Ainsi, une entreprise ne peut pas considérer que les données d’un ancien salarié peuvent être conservées indéfiniment au seul motif qu’elles figurent dans son dossier professionnel. La durée de conservation doit être déterminée en fonction de la nature des données, de la finalité poursuivie et, lorsqu’un texte le prévoit, de la durée imposée par la réglementation applicable. Certaines données pourront donc être conservées pendant une période relativement longue lorsqu’une obligation légale le justifie, tandis que d’autres devront être supprimées ou détruites lorsqu’elles ne présentent plus d’utilité. La conservation doit ainsi rester proportionnée au besoin auquel elle répond.

Toutes les données d’un ancien salarié n’ont pas la même durée de conservation

Il serait donc erroné d’appliquer une durée unique à l’ensemble des informations concernant un ancien salarié. Les documents relatifs à la rémunération, à la carrière, aux obligations sociales ou encore à un éventuel contentieux peuvent répondre à des nécessités différentes et être soumis à des règles de conservation distinctes. À l’inverse, certaines informations collectées pendant la relation de travail peuvent ne plus présenter d’utilité une fois le contrat terminé. L’employeur doit alors être en mesure d’identifier, pour chaque catégorie de données, la raison de sa conservation et la durée pendant laquelle elle doit être maintenue. L’APDP prévoit d’ailleurs, dans ses démarches de conformité, l’identification de la durée de conservation des données et, lorsque celle-ci résulte d’un texte, la référence au fondement juridique correspondant.

Conserver les données ne signifie pas les laisser accessibles à tous

La conservation des données d’un ancien salarié doit également s’accompagner d’un contrôle des accès. Le fait qu’une entreprise soit autorisée ou tenue de conserver certaines informations ne signifie pas que tous ses employés doivent pouvoir les consulter. Les données conservées dans les archives physiques ou numériques doivent rester accessibles uniquement aux personnes qui en ont besoin dans l’exercice de leurs fonctions. Cette exigence est particulièrement importante lorsque les informations conservées présentent un caractère confidentiel. L’entreprise doit donc mettre en place des mesures permettant de limiter les accès, de protéger les archives et d’éviter toute divulgation à des personnes non autorisées. La conservation doit ainsi être envisagée non seulement sous l’angle de la durée, mais également sous celui de la sécurité et de la confidentialité.

Que faire lorsque la conservation n’est plus nécessaire ?

Lorsque la période de conservation applicable arrive à son terme et qu’aucune obligation ne justifie le maintien des données, l’entreprise ne devrait pas continuer à les conserver par simple précaution. Les données devenues inutiles doivent faire l’objet des mesures appropriées, notamment leur suppression ou leur destruction, selon leur support et les circonstances. Cette démarche suppose que l’entreprise dispose en amont d’une véritable politique de conservation permettant d’identifier les données concernées, leur durée de conservation et les modalités de leur suppression ou de leur archivage. Une telle organisation permet également d’éviter l’accumulation de dossiers anciens contenant des informations qui ne répondent plus à aucune finalité.

L’ancien salarié conserve des droits sur ses données

La fin de la relation de travail ne fait pas disparaître les droits attachés aux données personnelles de l’ancien salarié. Celui-ci demeure une personne concernée par le traitement de ses données et peut, dans les conditions prévues par le Code du numérique, exercer les droits qui lui sont reconnus. L’APDP rappelle notamment les droits d’accès, de rectification et d’opposition ainsi que les mécanismes permettant, dans les conditions prévues par la réglementation, d’obtenir la mise à jour, le verrouillage ou l’effacement de certaines données. L’ancien salarié peut donc demander des informations sur les données détenues à son sujet et s’interroger sur les raisons pour lesquelles certaines informations continuent d’être conservées.

Une véritable politique de conservation devient nécessaire

Pour éviter une conservation excessive, l’entreprise doit pouvoir déterminer précisément les règles applicables à chaque catégorie de données relatives à ses salariés et anciens salariés. Cela suppose notamment d’identifier les données conservées, de préciser leur finalité, de déterminer leur durée de conservation, de définir les personnes autorisées à y accéder et de prévoir les modalités de leur suppression ou de leur archivage à l’issue de cette période. Cette démarche permet de passer d’une conservation systématique des dossiers à une conservation organisée et justifiée. Elle constitue également un moyen pour l’entreprise de démontrer qu’elle maîtrise effectivement le cycle de vie des données personnelles qu’elle traite.

Conclusion

Le départ d’un salarié ne signifie donc ni que toutes ses données doivent être immédiatement supprimées, ni que l’employeur peut les conserver indéfiniment. Certaines informations peuvent légitimement rester conservées lorsque leur conservation répond à une obligation légale, à une finalité déterminée ou à la nécessité de préserver des droits. En revanche, lorsque la finalité ayant justifié leur conservation disparaît et qu’aucune autre justification ne permet de les maintenir, les données doivent être supprimées ou détruites dans les conditions appropriées.

Yazid ALE

Juriste en droit privé fondamental et droit du numérique

Change this description

LE DPA EN DES TERMES SIMPLES

Le Data Processing Agreement ou accord de sous-traitance, est le contrat qui encadre la relation entre une entreprise qui décide de traiter des données personnelles et le prestataire qui les traite pour son compte. En droit, on parle de responsable du traitement d’un côté, et de sous-traitant de l’autre.

Lorsqu’une entreprise confie des données personnelles à un prestataire, elle doit encadrer strictement les conditions de leur traitement. C’est précisément le rôle du Data Processing Agreement (DPA) : définir ce que le prestataire est autorisé à faire avec les données, dans quel objectif, selon quelles instructions, et avec quelles garanties de sécurité. Le DPA vient ainsi préciser les règles applicables aux données confiées, et permet de clarifier les responsabilités de chaque partie.

En pratique, il répond à une question simple : quand je transmets mes données à un prestataire, quels usages lui sont permis et quels engagements lui interdisent certains comportements ?

RESPONSABLE DU TRAITEMENT ET SOUS-TRAITANT 

Pour comprendre l’utilité du DPA, il faut distinguer deux rôles :

• Le responsable du traitement, c’est l’organisme qui est à l’origine de la collecte et l’utilisation des données. C’est elle qui décide de la finalité et les moyens du traitement.
• Le sous-traitant agit uniquement sur instruction. Il ne décide pas des finalités, il intervient pour le compte du responsable du traitement, par exemple : héberger, sauvegarder, transmettre ou analyser des données. Cette distinction permet de savoir clairement qui est responsable en cas de problème, et c’est ce que le Data Processing Agreement (DPA) met noir sur blanc.

QUAND UNE ENTREPRISE A-T-ELLE BESOIN D’UN DPA ?

La question peut se poser dès lors qu’un prestataire externe est amené à traiter des données personnelles pour le compte d’une entreprise ou d’un organisme. Un DPA devient nécessaire.

Cela peut concerner notamment :

• un prestataire informatique chargé de la maintenance d’un système ;
• un hébergeur ou un fournisseur de services cloud ;
• un logiciel utilisé pour gérer les clients ou les salariés ;
• une agence qui réalise des campagnes de communication ;
• un prestataire chargé de la gestion de la paie ;
• une entreprise qui assure la conservation ou l’archivage numérique de documents.

Dans tous ces cas, l’entreprise reste responsable devant les personnes concernées et devant l’autorité de contrôle, même si c’est le prestataire qui manipule les données au quotidien.

POURQUOI UN CONTRAT DE PRESTATION CLASSIQUE NE SUFFIT PAS

Un contrat commercial classique décrit l’objet de la prestation, le prix, les délais, les garanties. Mais ne permet pas de répondre aux questions propres à la protection des données personnelles : le prestataire peut-il réutiliser les données à d’autres fins ? Les transmettre à un sous-traitant supplémentaire sans en informer personne ? Que devient la base de données à la fin du contrat ? Qui prévient qui en cas de violation de données ? Le DPA permet de traiter précisément ces questions et d’intégrer les exigences relatives à la protection des données dans la relation contractuelle.

CE QU’UN DPA DOIT ENCADRER

Un DPA sérieux ne se limite pas à quelques clauses générales. Il doit couvrir un ensemble de points précis.

• Finalité, nature et catégories de données

Le contrat décrit ce que le prestataire fait des données, stockage, analyse, envoi de messages, calcul de paie, rien de plus. Il précise aussi quelles données sont traitées, noms, e-mails, données de santé ou bancaires, et de qui il s’agit : clients, salariés, usagers.

• Confidentialité et sécurité

Le personnel du prestataire qui accède aux données doit y être tenu par une obligation de confidentialité, avec un accès limité au nécessaire. Le prestataire s’engage aussi sur des mesures concrètes : chiffrement, sauvegardes, contrôle des accès.

• Sous-traitance ultérieure, assistance et violations

Si le prestataire fait lui-même appel à un tiers, cela doit être autorisé et porté à la connaissance de l’entreprise. Il doit aussi l’aider à répondre à ses obligations, demandes d’accès, analyses d’impact, et la prévenir dans un délai précis en cas d’incident, perte ou fuite de données.

• Audits et sort des données en fin de contrat

L’entreprise doit pouvoir vérifier que ces engagements sont respectés. Et à la fin du contrat, les données doivent être restituées ou supprimées selon ce qui a été convenu, non conservées indéfiniment.

QUAND UN SOUS-TRAITANT UTILISE MAL LES DONNÉES

Un prestataire qui perd des données, les réutilise sans autorisation ou subi une cyberattaque ne fait pas qu’un incident technique. Il expose l’entreprise à des conséquences réelles : plainte des personnes concernées, contrôle de l’autorité, sanctions financières, perte de confiance.

Sans DPA, l’entreprise a du mal à démontrer qu’elle avait pris ses précautions. Avec un DPA solide, elle peut prouver ses diligences et engager le prestataire sur ses manquements. Exemple courant : un prestataire de sauvegarde cloud subit une intrusion. Sans clause de notification, l’entreprise peut l’apprendre bien après les personnes concernées, ou pire, par voie de presse.

UN OUTIL DE GESTION DES RISQUES, PAS UNE FORMALITÉ

Le DPA est souvent perçu comme une pièce administrative de plus à signer. C’est une erreur de perspective. Bien rédigé, il devient un véritable outil de maîtrise des risques. Il oblige les deux parties à se poser les bonnes questions avant que les données ne circulent, et non après un incident. Il protège l’entreprise en cas de contrôle, et surtout les personnes dont les données sont traitées, qui n’ont souvent aucune visibilité sur ce qui se passe une fois leurs informations transmises à un prestataire.

QUELQUES RÉFLEXES AVANT DE CONFIER DES DONNÉES À UN PRESTATAIRE

• Identifier si le prestataire agit comme sous-traitant au sens du droit des données personnelles.
• Vérifier qu’un DPA existe, ou l’imposer s’il n’est pas proposé spontanément.
• Lire les clauses de sécurité, de confidentialité et de notification, pas seulement les signer.
• S’assurer que le sort des données en fin de contrat est prévu noir sur blanc.
• Vérifier si le prestataire recourt lui-même à d’autres sous-traitants, et à quelles conditions.

Confier des données à un prestataire n’a rien d’anormal, c’est souvent indispensable. Mais cela suppose de savoir précisément ce qu’il peut en faire, et de l’écrire clairement. C’est tout l’enjeu du DPA : transformer une confiance implicite en engagement contractuel vérifiable.

Charlaine DEGBEY

Juriste spécialisée en droit du numérique

Change this description

Une reconnaissance juridique

La signature électronique peut être utilisée pour manifester le consentement d’une personne à un acte juridique. L’article 284 du Code du numérique du Bénin prévoit que la signature électronique nécessaire à la validité d’un acte juridique permet d’identifier son auteur et de manifester son consentement aux obligations qui en découlent. Le même article précise qu’elle est admise dans les transactions électroniques. La signature électronique ne constitue donc pas simplement un procédé technique permettant d’apposer un nom ou une image sur un document, elle remplit une fonction juridique d’identification et de manifestation du consentement. 

Cette reconnaissance accompagne plus largement celle de l’écrit électronique. Le recours au numérique ne prive donc pas, en lui-même, un document de sa portée juridique. L’enjeu réside surtout dans la capacité du procédé utilisé à établir l’identité du signataire, son consentement et l’intégrité du document signé.

Signature électronique et signature manuscrite une équivalence sous conditions

Le Code du numérique béninois va plus loin en prévoyant, à l’article 285, qu’une signature électronique créée au moyen d’un dispositif qualifié, reposant sur un certificat électronique et placée sous le contrôle exclusif du signataire, est admise au même titre qu’une signature manuscrite. Cette disposition est particulièrement importante pour les entreprises qui souhaitent dématérialiser leurs contrats, conventions, documents administratifs ou autres actes juridiques. 

Cette équivalence n’est toutefois pas automatique pour n’importe quel procédé de signature électronique. Le dispositif utilisé doit répondre aux exigences prévues par le Code. L’objectif est notamment de garantir que la signature est réellement rattachée à son auteur et que le document n’a pas été altéré après sa signature.

La signature électronique avancée apporte quelles garanties ?

Le Code distingue également la signature électronique avancée. Selon l’article 286, celle-ci doit satisfaire à plusieurs exigences : elle doit être liée au signataire de manière univoque, permettre son identification, être créée grâce à des données de création de signature que celui-ci peut utiliser sous son contrôle exclusif et être liée aux données auxquelles elle se rapporte de manière à rendre détectable toute modification ultérieure. 

Ces exigences permettent de comprendre la fonction probatoire de la signature électronique. Il ne suffit pas de démontrer qu’un document comporte une signature ; il faut également pouvoir établir un lien suffisamment fiable entre cette signature, son auteur et le document signé. L’intégrité du document constitue ainsi un élément essentiel de la sécurité juridique de la signature électronique.

Un niveau renforcé de fiabilité

Le Code du numérique prévoit un régime particulièrement exigeant pour la signature électronique qualifiée. L’article 284 dispose que la fiabilité d’un procédé de signature électronique est présumée jusqu’à preuve contraire lorsqu’il met en œuvre une signature électronique qualifiée, établie grâce à un dispositif sécurisé de création de signature électronique et vérifiée au moyen d’un certificat qualifié. 

Le certificat qualifié joue donc un rôle central dans le dispositif. L’article 287 prévoit que les certificats qualifiés de signature électronique doivent respecter les exigences fixées par voie réglementaire. Il précise également qu’un certificat qualifié révoqué après sa première activation perd sa validité à compter de sa révocation. 

Cette organisation permet de renforcer la confiance dans les échanges électroniques, notamment lorsque la signature intervient dans des relations professionnelles ou contractuelles nécessitant un niveau élevé de sécurité.

Quelle valeur probatoire pour un document signé électroniquement ?

La question de la preuve est essentielle lorsqu’un acte signé électroniquement est contesté. À ce titre, l’article 285 du Code du numérique prévoit que, sauf preuve contraire, un document écrit sous forme électronique est présumé avoir été signé par son auteur et que son texte est présumé ne pas avoir été modifié lorsqu’une signature électronique sécurisée y est apposée ou logiquement associée. 

La signature électronique peut ainsi contribuer à établir l’identité du signataire, son consentement et l’intégrité du document. En pratique, la conservation des éléments techniques permettant de vérifier la signature demeure importante : certificat, données de validation, date et heure de signature, ainsi que les informations permettant de retracer le processus de signature peuvent être déterminants en cas de contestation.

Le rôle des prestataires de services de confiance

La sécurité de la signature électronique repose également sur l’intervention de prestataires de services de confiance. Le Code du numérique encadre notamment les certificats qualifiés, les dispositifs de création de signatures électroniques qualifiés ainsi que les services de validation et de conservation des signatures électroniques qualifiées. Par exemple, l’article 291 prévoit que le service de validation qualifié d’une signature électronique qualifiée ne peut être fourni que par un prestataire de services de confiance qualifié répondant aux exigences prévues par le Code. 

Le choix du prestataire et du dispositif de signature constitue donc un véritable enjeu juridique. Une entreprise qui souhaite généraliser la signature électronique doit notamment s’assurer que la solution retenue permet d’identifier correctement les signataires, de garantir l’intégrité des documents et de conserver les éléments nécessaires à la vérification ultérieure des signatures.

La signature électronique, un outil de transformation des pratiques juridiques

Au-delà de sa valeur juridique, la signature électronique répond à des enjeux pratiques importants. Elle permet de réduire le recours au papier, de faciliter la conclusion de contrats à distance et d’accélérer les échanges entre entreprises, clients, partenaires et administrations. Elle peut également contribuer à améliorer la traçabilité des actes et à simplifier leur conservation.

Pour les entreprises, son utilisation doit néanmoins s’inscrire dans une démarche globale de sécurité juridique et numérique. La mise en place d’une solution de signature électronique doit tenir compte de la nature des documents concernés, du niveau de sécurité recherché, de l’identité des signataires et des exigences applicables à la conservation des documents électroniques.

Conclusion

La signature électronique est désormais intégrée au cadre juridique béninois. À travers les articles 284 à 292 du Code du numérique, le législateur a établi un régime destiné à garantir l’identification du signataire, son consentement et l’intégrité des documents électroniques. Lorsqu’elle répond aux conditions prévues par le Code, notamment lorsqu’elle est qualifiée, elle peut être admise au même titre qu’une signature manuscrite et bénéficier d’une présomption de fiabilité.

La véritable question n’est donc plus de savoir si un document électronique peut être signé, mais dans quelles conditions la signature utilisée permet de garantir une sécurité juridique suffisante. Pour les entreprises et les professionnels, le recours à la signature électronique doit ainsi être accompagné d’un choix rigoureux des solutions techniques et des prestataires, afin que la dématérialisation des actes s’effectue dans le respect des exigences du droit numérique béninois.

Yazid ALE

Juriste en droit privé fondamental et droit du numérique

Change this description

Se pose alors une question concrète : comment exercer ce droit lorsque la donnée personnelle a été inscrite sur une blockchain conçue, par construction, pour être difficilement modifiable ou supprimable ? 

• Le droit à l’effacement face au principe d’immutabilité de la blockchain 

Le droit à l’effacement, également désigné « droit à l’oubli », permet à une personne concernée de demander la suppression de ses données dans les cas prévus par l’article 441 du Code du numérique. Notamment lorsque les données sont inexactes, périmées, non pertinentes, ou dont la collecte, l’utilisation ou la conservation est interdite ainsi que des données rendues publiques, dans les conditions posées par l’article 443. 

La blockchain repose cependant sur une logique qui s’accorde mal, à première vue, avec l’exercice de ce droit. Elle se compose d’une succession de blocs contenant les informations relatives aux opérations réalisées sur le réseau, blocs liés entre eux et généralement répliqués sur de nombreux nœuds participant au réseau. Modifier une information déjà enregistrée est donc techniquement complexe, et remettrait en cause l’intégrité de l’ensemble de la chaîne, cette caractéristique étant précisément désignée sous le terme d’immutabilité. 

La difficulté surgit dès qu’une donnée permettant d’identifier, directement ou indirectement, une personne physique se trouve inscrite sur la blockchain : sa suppression classique, comparable à celle qu’autoriserait une base de données centralisée devient alors en pratique impossible. Il en résulte une tension entre deux logiques difficilement conciliables : d’une part, la protection des droits de la personne concernée qui peut exiger l’effacement de ses données conformément aux articles 441 et 443 ; d’autre part, le fonctionnement même de la blockchain, qui repose sur la conservation et l’intégrité de l’historique des informations enregistrées. 

• L’inscription de données personnelles sur la blockchain : une pratique à limiter 

Cette difficulté invite à s’interroger sur l’opportunité même d’inscrire des données personnelles directement sur la blockchain. La réponse doit être négative chaque fois que cette inscription rendrait impossible l’exercice ultérieur des droits reconnus à la personne concernée par le Code du numérique. 

Une architecture dite « off-chain » constitue à cet égard une solution pertinente. Dans ce modèle, les données personnelles sont conservées dans une base de données externe à la blockchain, celle-ci ne comportant qu’une information technique (une référence ou une empreinte cryptographique) permettant de vérifier l’intégrité ou l’existence d’une donnée sans en révéler le contenu. Ainsi, plutôt que d’inscrire directement sur la blockchain une donnée telle qu’un nom associé à une adresse ou à un numéro de téléphone, il est préférable, chaque fois que cela est possible, de conserver ces informations dans un système externe sécurisé, et de ne placer sur la blockchain qu’une référence technique. Si la personne exerce son droit à l’effacement conformément à l’article 441, les données peuvent alors être supprimées du système externe sans qu’il soit nécessaire de modifier la blockchain elle-même. Cette approche permet de concilier les contraintes techniques propres à la blockchain avec les exigences du Code du numérique en matière de protection des données personnelles. 

• Le chiffrement et les solutions techniques : une réponse suffisante ? 

D’autres mécanismes peuvent être envisagés, notamment le chiffrement des données ou le recours à des techniques cryptographiques limitant leur accessibilité. L’article 424 du Code du numérique en rapport à la protection des données dès la conception, cite expressément la pseudonymisation parmi les mesures techniques et organisationnelles susceptibles de mettre en œuvre les principes de protection des données, au premier rang desquels la minimisation. 

Ces techniques ne constituent toutefois pas une réponse définitive au problème du droit à l’effacement. Une donnée chiffrée demeure susceptible de constituer une donnée à caractère personnel dès lors qu’elle peut être associée à une personne identifiable et que des moyens de réidentification existent ; la définition posée par l’article 1er du Code du numérique retenant précisément le critère de la personne « identifiée ou identifiable, directement ou indirectement ». De même, une empreinte cryptographique (« hash ») ne permet pas automatiquement d’écarter toute qualification de donnée personnelle. Selon les circonstances et les possibilités raisonnables de réidentification, un tel élément peut conserver un lien suffisant avec une personne identifiable. La solution doit donc être appréciée au cas par cas, en fonction de la nature des données, de l’architecture de la blockchain concernée, des possibilités de réidentification et des acteurs disposant d’un accès aux différentes informations. 

• La protection des données doit être pensée dès la conception 

Cette difficulté illustre, plus largement, l’importance du principe de protection des données dès la conception, consacré par l’article 424 du Code du numérique. Ce texte impose au responsable de traitement de mettre en œuvre, tant au moment de la détermination des moyens du traitement qu’au moment du traitement lui-même, des mesures techniques et organisationnelles appropriées destinées à garantir, par défaut, que seules les données nécessaires à chaque finalité spécifique sont traitées. 

Une organisation envisageant de recourir à une blockchain impliquant des données personnelles ne devrait donc pas attendre l’exercice d’un droit à l’effacement pour rechercher, dans l’urgence, une solution technique. Elle doit, dès la conception du traitement, s’interroger sur la nécessité réelle de chaque donnée personnelle envisagée, sur l’opportunité de son inscription sur la blockchain plutôt que dans un système externe, sur les modalités concrètes permettant aux personnes concernées d’exercer leurs droits, sur les catégories d’acteurs appelés à y accéder, sur la durée de conservation retenue et sur les mécanismes propres à limiter les risques de réidentification. Cette démarche rejoint le principe de minimisation posé par l’article 383 du Code du numérique, selon lequel les données à caractère personnel doivent être adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées, et ne doivent pas être conservées au-delà de ce qui est strictement nécessaire. 

Conclusion 

Le recours à la blockchain ne fait pas disparaître le droit à l’effacement reconnu par les articles 441 et 443 du Code du numérique. Il en complique néanmoins l’exercice, en raison de la nature distribuée et difficilement modifiable de cette technologie. La réponse la plus pertinente ne consiste donc pas à rechercher, après coup, un moyen de supprimer une donnée déjà inscrite sur la blockchain, mais à concevoir le traitement, dès l’origine, de manière à prévenir cette situation. La conservation des données personnelles hors chaîne, le recours à des mécanismes cryptographiques adaptés, la minimisation des données et la mise en œuvre de la protection dès la conception constituent, à cet égard, autant de leviers permettant de concilier l’innovation technologique portée par la blockchain avec le respect des droits reconnus aux personnes par le Code du numérique. 

À l’heure où les crypto-actifs, la blockchain et les technologies distribués connaissent un développement soutenu, cette question revêt une importance particulière pour les professionnels du droit et de la conformité au Bénin. L’enjeu n’est plus seulement de déterminer si blockchain et protection des données sont compatibles, mais de concevoir des solutions permettant d’assurer une protection effective des personnes concernées.

Par Ornella HODONOU,

Juriste spécialisée en droit du numérique

Change this description

Cette évolution présente de nombreux avantages. L’intelligence artificielle peut permettre à l’entreprise d’améliorer sa productivité, de réduire certaines tâches répétitives, d’accélérer le traitement de l’information et d’aider les travailleurs dans l’accomplissement de leur mission.

L’Organisation Internationale du Travail (OIT) souligne d’ailleurs que l’intelligence artificielle ne conduit pas nécessairement à la disparition massive des emplois : dans de nombreux cas, elle transforme davantage les tâches et les emplois qu’elle ne les supprime.

Cependant, l’utilisation de l’intelligence artificielle dans les relations de travail soulève également d’importantes questions juridiques. Que se passe-t-il lorsqu’un algorithme participe au recrutement d’un salarié ? Un employeur peut-il utiliser l’IA pour surveiller en permanence ses travailleurs ? Peut-il fonder une décision de promotion, de sanction ou de licenciement sur une décision algorithmique ? Comment protéger les données personnelles des salariés ? Comment lutter contre les discriminations susceptibles d’être reproduites ou amplifiées par les algorithmes ?

Ces interrogations montrent que l’intelligence artificielle ne constitue pas seulement une question technologique. Elle devient progressivement une question de droit du travail de protection des données, de libertés individuelles et de droit fondamentaux. Dès lors, il convient de se demander : quelle est la place de l’intelligence artificielle dans le droit du travail et comment le droit peut-il encadrer son utilisation tout en permettant l’innovation.

L’intelligence artificielle intervient désormais à différentes étapes de la relation professionnelle.  Elle transforme aussi bien le recrutement et la gestion quotidienne des salariés et l’organisation du travail.

L’utilisation de l’intelligence artificielle dans le recrutement et la gestion des ressources humaines

L’une des premières manifestations de l’intelligence artificielle dans le droit du travail concerne le recrutement. Certaine entreprise utilise des logiciels capables d’analyser un grand nombre de candidatures en quelques secondes. Ces outils peuvent rechercher certains mots-clés dans les CV, classer les candidats à des critères préalablement définis.

L’IA peut également être utilisé pour organiser certaines réponses des candidats ou faciliter la sélection des profils. Cette utilisation peut présenter un intérêt évident pour l’employeur. Elle permet notamment de gagner du temps et de traiter un nombre important de candidature. Toutefois, elle soulève une question fondamentale : algorithme peut-il garantir une sélection réellement objective ? La réponse peut ne pas être positive. Un système d’intelligence artificielle fonctionne à partir des données et de paramètres déterminer lors de sa conception.

L’intégration de l’IA dans la relation du travail

Si les données utilisées pour l’entrainer sont incomplètes ou reproduisent des discriminations existantes, l’algorithme peut reproduire ces discriminations. Ainsi, une technologie présentée comme neutre peut aboutir à des résultats défavorables à certaines catégories de personnes. L’OIT relève notamment que les systèmes d’IA utilisés dans les ressources humaines peuvent être affectés par des objectif mal défini, programmation insuffisamment transparente. Le droit du travail doit donc continuer à imposer le respect le respect du principe d’égalité et de non-discrimination dans l’accès de l’emploi. L’utilisation d’un algorithme ne serait permise à l’employeur de contourner les règles protectrices applicables au recrutement.

La protection des données et de la vie privée du salarié

L’utilisation de l’intelligence artificielle repose très souvent sur la collectivité et l’analyse d’importantes quantités de données. Dans le cadre professionnel, il peut s’agir du CV du candidat, de ses coordonnées, de ses informations professionnelles, de ses performances, de ses horaires, de ses données de connexions ou encore d’autres information permettant d’évaluer son activité.

Au bénin, la loi n°2017-20 portant code du numérique contient un dispositif relatif à la protection des données personnelles et de la vie privée. Ce dispositif vise à encadrer la collecte, le traitement, la transmission, le stockage et l’utilisation des données à caractères personnels. Cette règlementation revêt une importance particulière dans le contexte de l’intelligence artificiel.

En effet, plus un système dispose de données, plus il peut produit des analyses et des prédictions. Mais cette capacité technologique ne doit pas conduire à une collecte excessive ou injustifiée d’information concernant les travailleurs.

L’intelligence artificielle doit rester au service du travail

L’employeur doit donc veiller à ce que les données utilisées soient traitées conformément aux exigences légales applicables. La protection de la vie privée demeure une exigence même lorsque les données sont utilisées à des fins professionnelles. La surveillance algorithmique constitue, à cet égard, un enjeu majeur. L’utilisation de logiciels permettant de suivre en permanence l’activité d’un salarié peut porter atteinte à sa vie privée et à dignité si elle n’est pas correctement encadrée.

En définitive, l’intelligence artificielle doit rester au service du travail et de l’être humain, et non transformer le travailleur en simple objet d’une décision algorithmique. Le droit du travail du travail est ainsi appelé à jouer un rôle essentiel : accompagner l’innovation tout en garantissant la dignité, l’égalité, la vie privée la sécurité et la protection du salarié. L’avenir du droit du travail ne sera donc probablement pas celui d’un affrontement entre l’homme et la machine, mais celui d’une recherche permanente d’équilibre entre l’intelligence artificielle, la performance économique et la protection de l’humain au travail.

Charnyth SEDAMINOU,

Juriste stagiaire

Change this description

Une notion rigoureusement définie par le Code du numérique

Le législateur béninois a entendu encadrer strictement le recours au consentement. Le Code du numérique le définit en son article premier comme « toute manifestation de volonté expresse, non équivoque, libre, spécifique et informée par laquelle la personne concernée ou son représentant légal, judiciaire ou conventionnel accepte, par une déclaration ou par un acte positif clair, que des données à caractère personnel la concernant fassent l’objet d’un traitement ».

Cette définition n’est pas anodine. Elle signifie que le consentement ne peut être présumé et qu’il ne résulte pas d’une simple inertie de la personne concernée. Il doit traduire une volonté réelle et répondre à plusieurs exigences cumulatives.

Le consentement doit être libre, c’est-à-dire exprimé sans contrainte ni pression. Il doit également être spécifique, chaque finalité du traitement devant faire l’objet d’un accord distinct. Il doit être informé, ce qui suppose que la personne dispose d’une information claire, loyale et compréhensible sur le traitement envisagé. Enfin, il doit être non équivoque, ce qui implique une manifestation positive de volonté excluant toute ambiguïté.

Ces exigences sont renforcées par l’article 390 du Code du numérique, qui impose au responsable du traitement d’être en mesure de démontrer que le consentement a effectivement été recueilli. Le même article précise que la demande de consentement doit être présentée de manière distincte lorsqu’elle figure dans un document comportant d’autres clauses et qu’elle doit être rédigée en des termes simples et accessibles. Il consacre également le droit, pour toute personne concernée, de retirer son consentement à tout moment, sans que ce retrait ne remette en cause la licéité des traitements déjà effectués.

Une liberté de consentir parfois théorique

En droit, le consentement repose sur l’idée selon laquelle chacun demeure libre de décider de l’utilisation de ses données personnelles. Cette liberté constitue l’une des garanties essentielles de la protection des personnes.

Dans la pratique, cette exigence se heurte toutefois à certaines réalités. Le développement des services numériques conduit fréquemment les utilisateurs à accepter, dans un délai très court, des conditions générales d’utilisation ou des politiques de confidentialité dont ils ne prennent pas connaissance. L’accès au service est souvent subordonné à cette acceptation. Le consentement devient alors une étape nécessaire pour utiliser une plateforme numérique, effectuer une démarche en ligne ou installer une application.

Dans ces conditions, la liberté de choix apparaît parfois limitée. L’utilisateur consent moins parce qu’il souhaite autoriser le traitement de ses données que parce qu’il souhaite accéder au service qui lui est proposé. Cette pratique ne remet pas systématiquement en cause la validité du consentement, mais elle invite les responsables de traitement à s’interroger sur les modalités concrètes selon lesquelles celui-ci est recueilli.

Une information encore insuffisamment comprise

Le caractère informé du consentement constitue un autre enjeu majeur. Le Code du numérique exige que la personne concernée soit informée des données collectées, des finalités poursuivies, des destinataires des informations, de leur durée de conservation ainsi que des droits dont elle dispose. Cette obligation d’information participe directement à l’exercice du consentement. Une personne ne peut exprimer une volonté libre que si elle comprend réellement les conséquences de son choix.

Or, dans la pratique, les informations fournies sont parfois longues, techniques ou rédigées dans un langage juridique difficilement accessible au grand public. Les politiques de confidentialité de plusieurs dizaines de pages sont rarement consultées dans leur intégralité. Elles sont le plus souvent acceptées sans lecture préalable. Le consentement risque alors de perdre sa fonction première, qui consiste à permettre à la personne concernée d’exercer un contrôle effectif sur ses données personnelles.

Le consentement n’est pas la seule base légale du traitement

Une autre confusion mérite d’être dissipée. Le consentement est souvent présenté comme la condition indispensable de tout traitement de données personnelles. Pourtant, l’article 389 du Code du numérique prévoit plusieurs fondements juridiques permettant de justifier un traitement.

Ainsi, le consentement n’est pas exigé lorsque le traitement est notamment nécessaire au respect d’une obligation légale, à l’exécution d’un contrat auquel la personne concernée est partie, à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique, ou encore à la sauvegarde des intérêts vitaux de la personne concernée.

Cette précision revêt une importance particulière dans la pratique. Une administration qui traite les données de ses agents pour assurer la gestion de leur rémunération ou une institution de sécurité sociale qui instruit les dossiers de prestations sociales n’ont pas vocation à solliciter systématiquement le consentement des personnes concernées. Ces traitements reposent sur des obligations légales clairement identifiées.

Le recours systématique au consentement peut même être source de confusion. Lorsqu’une personne pense pouvoir retirer un consentement qui n’était pas juridiquement nécessaire, elle peut croire, à tort, que le traitement doit immédiatement cesser alors qu’il demeure imposé par la loi.

Le cas particulier de la relation de travail

Le consentement appelle une vigilance particulière dans les relations de travail. Le salarié est placé dans un lien de subordination à l’égard de son employeur. Cette situation peut limiter sa capacité à exprimer un refus, notamment lorsqu’il craint que celui-ci soit interprété comme un manque de coopération ou d’engagement professionnel.

C’est pourquoi les traitements de données réalisés dans le cadre de la gestion des ressources humaines reposent généralement sur d’autres bases légales que le consentement, telles que l’exécution du contrat de travail ou le respect d’obligations légales. Cette approche permet de préserver à la fois les droits du salarié et la sécurité juridique de l’employeur.

Promouvoir une véritable culture du consentement

La protection des données personnelles ne se résume pas à la collecte de signatures ou à l’affichage d’une fenêtre invitant l’utilisateur à accepter une politique de confidentialité. Le respect du Code du numérique suppose une démarche plus exigeante. Les responsables de traitement doivent veiller à présenter des informations compréhensibles, à recueillir un consentement lorsque celui-ci constitue effectivement la base légale appropriée et, surtout, à ne pas y recourir par automatisme.

Le consentement ne doit pas être perçu comme un simple mécanisme de conformité. Il constitue avant tout un instrument destiné à garantir l’autonomie de la personne concernée dans l’utilisation de ses données personnelles.

À mesure que les services numériques se développent au Bénin, cette exigence gagnera en importance. La confiance des citoyens dans l’économie numérique dépendra en grande partie de la capacité des organismes publics et privés à faire du consentement un choix réel, éclairé et respectueux des exigences posées par le Code du numérique.

Yazid ALE Juriste en droit privé fondamental et droit du numérique

Change this description

La question est d’autant plus importante que l’image permet souvent d’identifier directement une personne. Au Bénin, le Code du numérique définit en effet les données à caractère personnel comme toute information relative à une personne physique identifiée ou identifiable, en précisant que cette notion comprend notamment le son et l’image. Les données biométriques comprennent également les données relatives aux caractéristiques physiques permettant l’identification unique d’une personne, telles que les images faciales. 

L’image d’autrui, une donnée pouvant être protégée

L’utilisation d’une photographie ou d’une représentation permettant d’identifier une personne peut donc relever du régime de protection des données à caractère personnel. Le Livre V du Code du numérique a précisément pour objectif d’établir un cadre de protection de la vie privée et professionnelle lors de la collecte, du traitement, de la transmission, du stockage et de l’utilisation des données personnelles. L’article 379 rappelle également que l’informatique ne doit porter atteinte ni à l’identité humaine, ni aux droits de l’homme, ni à la vie privée, ni aux libertés individuelles ou publiques. 

Cette protection prend une dimension particulière avec l’intelligence artificielle. Une photographie peut aujourd’hui servir de point de départ à la création d’une image entièrement nouvelle représentant la personne dans une situation qu’elle n’a jamais vécue. L’apparence physique n’est donc plus seulement reproduite : elle peut être transformée et réutilisée pour produire une représentation fictive.

Quand l’intelligence artificielle détourne l’image d’une personne

L’un des principaux risques réside dans les contenus générés ou modifiés par intelligence artificielle, notamment les « deepfakes ». Une personne peut être représentée artificiellement dans une situation compromettante, violente, dégradante ou simplement fictive, alors qu’elle n’y a jamais participé.

Une telle utilisation peut porter atteinte à plusieurs intérêts juridiquement protégés : la vie privée, l’identité, la dignité, la réputation ou encore les données personnelles de la personne concernée. La technologie utilisée pour créer le contenu ne fait pas disparaître les droits attachés à la personne représentée.

Le problème est également celui de la diffusion. Une image générée par intelligence artificielle peut être publiée sur les réseaux sociaux et atteindre rapidement un nombre considérable de personnes. Même lorsque son caractère artificiel est ultérieurement démontré, le préjudice causé à la personne peut déjà être important.

Le consentement : une limite à l’utilisation de l’image

L’une des principales garanties repose sur le consentement de la personne lorsque celui-ci constitue la base juridique appropriée du traitement. Le fait qu’une photographie soit accessible sur Internet ne signifie pas pour autant qu’elle peut être librement reprise, modifiée et introduite dans un système d’intelligence artificielle.

Le consentement à une utilisation déterminée ne doit pas non plus être assimilé à une autorisation générale. Une personne peut accepter que son image soit publiée dans le cadre d’un événement sans avoir accepté qu’elle soit utilisée pour générer une publicité, entraîner un système d’intelligence artificielle ou créer une représentation artificielle d’elle.

Cette exigence doit être rapprochée du principe de finalité : les données personnelles doivent être utilisées pour une finalité déterminée et dans des conditions compatibles avec celle-ci. Le Code du numérique encadre ainsi la collecte, le traitement, la transmission, le stockage et l’utilisation des données personnelles. 

La protection contre les usages abusifs

L’utilisation de l’intelligence artificielle sur l’image d’autrui doit également respecter les principes de proportionnalité et de nécessité. Une organisation ne devrait pas collecter ou utiliser davantage de données qu’il n’est nécessaire pour atteindre l’objectif poursuivi.

Cette exigence est particulièrement importante lorsque l’image est associée à d’autres informations permettant d’identifier la personne. Le risque ne porte alors plus uniquement sur la photographie elle-même, mais sur la constitution d’un ensemble de données permettant de dresser un profil particulièrement précis de l’individu.

La situation est encore plus sensible lorsque l’intelligence artificielle utilise des images faciales à des fins d’identification. Le Code du numérique classe les images faciales parmi les données biométriques lorsqu’elles permettent une identification unique de la personne. 

Une responsabilité qui peut concerner plusieurs acteurs

L’utilisation illicite d’une image générée par intelligence artificielle peut impliquer plusieurs acteurs. Il peut s’agir de la personne qui fournit la photographie initiale, de celle qui utilise l’outil d’intelligence artificielle, de celle qui diffuse le contenu ou encore, selon les circonstances, du responsable du traitement.

La détermination de la responsabilité dépendra donc du rôle effectivement joué par chacun. Il ne suffit pas d’invoquer le caractère « artificiel » de l’image pour échapper aux règles applicables aux données personnelles.

L’enjeu pour le droit béninois

Le développement de l’intelligence artificielle montre ainsi que la protection de l’image ne peut plus être pensée uniquement à partir de la photographie traditionnelle. Le droit doit désormais prendre en compte des situations dans lesquelles une personne peut être représentée sans avoir réellement participé à la scène représentée.

Au Bénin, le Code du numérique, notamment son Livre V, constitue déjà un cadre essentiel pour appréhender ces situations puisqu’il protège les données à caractère personnel dans le contexte de leur collecte, traitement, transmission, stockage et utilisation. Le texte a par ailleurs été modifié par la loi n° 2020-35 du 6 janvier 2021, qui modifie la loi n° 2017-20 portant Code du numérique. 

L’enjeu est donc moins de savoir si l’intelligence artificielle peut techniquement reproduire l’image d’une personne que de déterminer dans quelles conditions cette reproduction, cette modification et cette diffusion peuvent juridiquement être admises.

Conclusion

L’intelligence artificielle offre des possibilités considérables de création et de traitement de l’image, mais elle facilite également les atteintes à la vie privée et à l’identité des personnes. La possibilité technique de reproduire ou de modifier l’image d’autrui ne signifie pas que cette image est librement exploitable.

Dans ce nouvel environnement numérique, le consentement, la finalité du traitement, la nécessité de l’utilisation et la protection de la vie privée constituent des garanties essentielles. L’enjeu pour le droit béninois est désormais de faire appliquer efficacement les principes existants aux nouveaux usages de l’intelligence artificielle, tout en répondant aux situations inédites créées par les images générées ou transformées artificiellement.

Yazid ALE

Juriste en droit privé fondamental et droit du numérique

Change this description

La tentation est grande de choisir la facilité : tout garder, « au cas où », ou au contraire tout supprimer dès qu’un dossier semble clos. Ces deux réflexes sont pourtant les deux faces d’un même problème. Une bonne gestion des données ne consiste ni à tout conserver ni à tout effacer, mais à savoir, pour chaque donnée, où elle doit se trouver, combien de temps elle doit y rester, et pour quelle raison.

LA BASE ACTIVE, UN ESPACE QUI DOIT RESTER VIVANT

La base active est celle que les équipes consultent chaque jour : dossiers clients en cours, contrats en vigueur, échanges récents, données de gestion courante. C’est un espace de travail, pas un espace de stockage. Sa valeur tient précisément à sa réactivité : plus une base active est encombrée de données qui ne servent plus, plus elle devient lente à consulter, coûteuse à sécuriser et risquée à exploiter.

Or, dans la pratique, une proportion importante des données conservées en base active n’est plus réellement utilisée. Des dossiers clôturés depuis des années, des comptes inactifs, des pièces jointes obsolètes continuent d’y séjourner, simplement parce que personne n’a pris la décision de les faire sortir. Ces données dorment, sans être supprimées ni véritablement archivées. Cette zone grise pose un vrai problème de conformité : le RGPD, comme la loi béninoise sur la protection des données à caractère personnel, impose que les données ne soient conservées en base active que le temps strictement nécessaire à la finalité pour laquelle elles ont été collectées.

L’ARCHIVAGE INTERMÉDIAIRE, UNE ÉTAPE TROP SOUVENT OUBLIÉE

Entre la donnée active et la donnée supprimée existe une troisième voie : l’archivage. Archiver, ce n’est pas simplement déplacer un fichier dans un dossier plus discret. C’est reconnaître qu’une donnée n’a plus d’utilité opérationnelle immédiate, mais qu’elle doit néanmoins être conservée pour répondre à une obligation légale, administrative ou probatoire.

C’est le cas, par exemple, des données comptables et fiscales, dont la durée de conservation légale s’étend souvent sur plusieurs années après la clôture de l’exercice concerné, ou des données relatives à un contrat, conservées au-delà de son terme pour permettre de prouver son exécution en cas de litige. Ce sont aussi les données liées aux ressources humaines, qui doivent parfois être conservées bien après la fin d’un contrat de travail, notamment pour justifier de droits ou d’obligations sociales.

L’archivage intermédiaire répond ainsi à une logique précise : la donnée n’est plus utile au quotidien, mais elle reste juridiquement nécessaire. Elle doit alors être isolée de la base active, avec un accès restreint, une traçabilité renforcée, et une durée de conservation clairement définie et documentée. Cette étape est souvent négligée par les organisations, qui basculent directement d’une base active surchargée à une suppression tardive et mal maîtrisée, sans transiter par cette phase intermédiaire pourtant essentielle.

DÉFINIR LA BONNE DURÉE DE CONSERVATION

La question de la durée de conservation ne se résout pas par une réponse unique. Elle dépend de la nature de la donnée, de la finalité poursuivie, et des textes applicables. Certaines durées sont fixées par la loi : c’est le cas des documents comptables, des données de facturation, ou de certaines données relatives aux télécommunications. D’autres durées relèvent davantage de l’appréciation du responsable de traitement, qui doit alors justifier, au regard du principe de minimisation, pourquoi telle donnée reste nécessaire pendant telle période.

Dans tous les cas, la durée de conservation ne peut jamais être fixée arbitrairement, ni de manière indéfinie. « Le temps nécessaire » n’est pas une formule vague à laquelle on renonce à donner un contenu : c’est une obligation de résultat qui suppose une politique de conservation documentée, propre à chaque catégorie de données, et régulièrement réexaminée. Une organisation sérieuse doit pouvoir justifier, pour chaque type de donnée qu’elle détient, la durée retenue et le fondement qui la motive.

LE PASSAGE DE L’ACTIF A L’ARCHIVE 

Le basculement d’une donnée de la base active vers l’archive ne devrait jamais être laissé au hasard ou à l’oubli. Il doit reposer sur des critères précis et anticipés : la fin d’une relation contractuelle, la clôture d’un dossier, l’expiration d’une finalité, ou encore une période d’inactivité prolongée du compte ou du dossier concerné.

Ces critères gagnent à être intégrés dès la conception des systèmes d’information, sous forme de règles de purge ou d’archivage automatisées. C’est tout l’enjeu d’une politique de gestion du cycle de vie de la donnée : anticiper, dès la collecte, ce qui adviendra de chaque catégorie de données une fois sa finalité immédiate épuisée. Une organisation qui n’a pas réfléchi à ce cycle de vie se retrouve, des années plus tard, avec des bases surchargées de données qu’elle ne sait plus justifier, ni utiliser, ni supprimer sereinement.

LA SUPPRESSION, UN ABOUTISSEMENT PLUS QU’UN RENONCEMENT

Vient enfin le moment où une donnée n’a plus aucune raison de subsister, ni sur le plan opérationnel, ni sur le plan légal. Ce moment devrait être vécu comme l’aboutissement naturel du cycle de vie de la donnée, et non comme une prise de risque. Beaucoup d’organisations hésitent à supprimer, par crainte de se priver d’une information qui pourrait, un jour, s’avérer utile. Cette prudence, compréhensible, se retourne pourtant souvent contre elles : conserver une donnée sans base légale ni finalité actuelle constitue en soi un manquement, et transforme une simple négligence organisationnelle en risque juridique.

La suppression doit être effective, et pas seulement apparente. Elle doit conduire à ce que la donnée ne puisse plus être reconstituée ni exploitée, ce qui suppose des procédures techniques adaptées, notamment lorsque la donnée existe en plusieurs copies, sur plusieurs supports ou chez des sous-traitants. Une politique de suppression bien conçue prévoit également la traçabilité de l’opération elle-même : pouvoir démontrer qu’une donnée a bien été supprimée, à quelle date et selon quel motif, fait partie intégrante d’une gestion responsable.

UNE QUESTION DE MÉTHODE, PLUS QUE DE VOLUME

Au fond, la question de l’archivage et de la suppression des données n’est pas une question de quantité, mais de méthode. Il ne s’agit pas de savoir combien de données une organisation peut se permettre de garder, mais de savoir, pour chacune d’entre elles, à quel stade de son cycle de vie elle se trouve, et ce que ce stade implique.

Une donnée bien gérée est une donnée dont on connaît l’origine, la finalité, l’emplacement et l’échéance. C’est cette rigueur, plus que la seule volonté de se conformer à un texte, qui permet de transformer la gestion des données d’une contrainte subie en une pratique maîtrisée, au bénéfice de l’organisation elle-même autant que des personnes dont les données sont traitées.

Charlaine DEGBEY

Juriste spécialisée en droit du numérique

Change this description

Face à un tel incident, une question mérite d’être posée : informer les personnes concernées relève-t-il d’une simple obligation imposée au responsable du traitement ou faut-il y voir un véritable droit de la personne dont les données ont été compromises ? 

UNE OBLIGATION QUI PESE D’ABORD SUR LE RESPONSABLE DU TRAITEMENT 

La protection des données personnelles repose sur un principe simple : toute entreprise qui collecte et utilise des données doit en assurer la sécurité et la confidentialité. Le Code du numérique en fait une obligation précise. Son article 427 impose au responsable du traitement de notifier, sans délai, toute rupture de sécurité ayant affecté des données personnelles, non seulement à l’Autorité de protection des données, mais également à la personne concernée elle-même. Le sous-traitant, de son côté, doit avertir sans délai le responsable du traitement de toute rupture affectant les données qu’il traite pour son compte. 

Cette obligation ne se limite pas à une simple annonce : la loi en précise le contenu minimal. La notification doit décrire la nature de la rupture de sécurité, y compris, si possible, les catégories et le nombre approximatif de personnes et d’enregistrements concernés, communiquer les coordonnées d’un point de contact auprès duquel obtenir des informations complémentaires, exposer les conséquences probables de l’incident et détailler les mesures prises ou envisagées pour y remédier ou en limiter les effets. 

Il ne s’agit donc pas d’une simple formalité administrative destinée à couvrir le responsable du traitement. Cette obligation participe directement à la protection des personnes dont les données ont été compromises. 

INFORMER POUR PERMETTRE A LA PERSONNE D’AGIR 

L’information prend toute sa portée lorsque la violation est susceptible de porter atteinte aux droits et libertés de la personne concernée. Imaginons qu’une base de données contenant des noms, numéros de téléphone ou adresses électroniques soit piratée. Si l’entreprise garde le silence, les personnes concernées continueront d’utiliser leurs comptes, alors même que ceux-ci se trouvent potentiellement entre des mains malveillantes. À l’inverse, une information rapide leur permet de surveiller leurs comptes, de faire opposition à certaines opérations ou de se prémunir contre des tentatives d’escroquerie. 

Ainsi, l’information devient le moyen, pour la personne concernée, d’avoir un contrôle sur ses données et d’en limiter les conséquences. Le Code du numérique n’impose d’ailleurs pas cette notification en toutes circonstances : l’article 427 en dispense le responsable de traitement lorsque des mesures de protection appropriées (le chiffrement notamment) rendaient déjà les données inaccessibles pour un tiers non autorisé, lorsque des mesures ultérieures ont neutralisé le risque, ou lorsque la notification individuelle exigerait des efforts disproportionnés, auquel cas une communication publique équivalente doit alors être organisée. 

DE L’OBLIGATION DU RESPONSABLE AU DROIT DE LA PERSONNE 

La nuance juridique mérite d’être posée clairement. Du point de vue de l’entreprise, informer constitue une obligation : elle doit analyser la violation, en mesurer les risques et accomplir les diligences que la loi lui impose. Du point de vue de la personne concernée, cette même information s’apparente à un droit : celui d’être informée lorsqu’un incident affecte ses données et présente un risque pour ses droits et libertés. 

Cette distinction permet de dépasser une lecture purement administrative de la notification. L’objectif n’est pas seulement de permettre à la société de démontrer qu’elle a respecté ses obligations légales ; il est avant tout de permettre à la personne concernée de comprendre ce qui s’est produit et d’agir en conséquence. Le Code du numérique s’inscrit dans cette logique à travers le droit d’accès, le droit de rectification et le droit d’opposition. Il place la personne concernée en position d’acteur, et non de simple sujet passif du traitement. 

ENCORE FAUT-IL QUE L’INFORMATION SOIT REELLEMENT UTILE 

Informer ne consiste pas à envoyer un message vague se limitant à indiquer qu’une cyberattaque a été subie. Une notification efficace doit être claire, compréhensible et suffisamment précise pour permettre à son destinataire d’évaluer concrètement la situation. C’est ce que l’article 427 traduit en exigeant la description de la nature de l’incident, de ses conséquences probables et des mesures prises pour y remédier. Selon les cas, l’information doit également comporter des recommandations pratiques : modifier un mot de passe, surveiller un compte, faire opposition sur une carte bancaire ou rester attentif à d’éventuelles tentatives de phishing. Une notification purement formelle, incompréhensible ou délibérément minimisée viderait, en définitive, ce droit à l’information de sa substance. 

UNE INFORMATION QUI RENFORCE LA CONFIANCE 

Au-delà de l’exigence légale, la gestion transparente d’une fuite de donnée constitue également un enjeu de confiance. Une entreprise peut subir une cyberattaque malgré des mesures de sécurité pourtant appropriées. L’article 426 du Code du numérique n’exige d’ailleurs qu’un niveau de sécurité adapté à l’état de l’art et aux risques encourus, non une garantie absolue. Ce qui importe, en revanche, c’est sa capacité à démontrer qu’elle sait détecter l’incident, le documenter, le gérer et le communiquer lorsqu’il survient. 

Taire une violation aggrave généralement ses conséquences. A l’inverse, reconnaître rapidement le problème et donner aux personnes concernées les moyens de se protéger contribue à préserver la confiance qui les lie à l’entreprise. Une confiance dont la reconstruction, une fois perdue, s’avère toujours plus coûteuse que sa préservation. 

CONCLUSION 

Informer les personnes concernées en cas de fuite de données est à la fois une obligation pour le responsable du traitement et l’expression d’un droit pour la personne concernée : l’obligation en constitue le mécanisme juridique, le droit à l’information en est la finalité. Le Code du numérique, à travers son article 427, ne se contente pas d’exiger qu’une notification soit envoyée : il en définit le contenu, pour qu’elle serve réellement son objectif : permettre à la personne de comprendre le risque et d’agir. La véritable question n’est donc plus seulement de savoir si l’entreprise doit informer, mais comment le faire suffisamment tôt, clairement et honnêtement pour protéger réellement les personnes concernées.

Par Ornella HODONOU,

Juriste spécialisée en droit du numérique 

Change this description

L’enfant, un titulaire de droits sur ses données personnelles

L’enfant ne doit pas être considéré comme un simple objet de protection. Il est avant tout une personne dont les données personnelles doivent être protégées. Son nom, son prénom, son image, son adresse, son numéro de téléphone, ses résultats scolaires, ses données de santé, sa localisation, ses identifiants numériques ou encore ses données biométriques peuvent permettre de l’identifier directement ou indirectement. Ces informations méritent donc une protection particulière lorsqu’elles font l’objet d’un traitement.

La vulnérabilité des enfants dans l’environnement numérique tient notamment à leur âge et à leur capacité encore limitée à apprécier les conséquences de certaines pratiques. Un enfant peut accepter de communiquer une information sans comprendre qu’elle pourra être conservée pendant plusieurs années, partagée avec des tiers ou utilisée à d’autres fins. Cette vulnérabilité impose aux responsables de traitement de faire preuve d’une vigilance particulière. La collecte des données d’un enfant ne devrait pas être guidée uniquement par les possibilités offertes par la technologie, mais par la nécessité réelle du traitement.

Pourquoi les données des enfants sont-elles particulièrement sensibles ?

Les données relatives aux enfants peuvent révéler une quantité importante d’informations sur leur vie personnelle. Une simple photographie peut permettre d’identifier un enfant, son entourage, son établissement scolaire ou le lieu où il se trouve. Lorsqu’elles sont combinées, différentes informations peuvent également permettre de dresser un profil relativement précis de l’enfant : habitudes, centres d’intérêt, activités, déplacements, relations sociales ou comportement en ligne.

Le risque est encore plus important lorsque les données concernent la santé, la situation familiale ou les résultats scolaires. L’exploitation de ces informations peut exposer l’enfant à différents risques : atteinte à la vie privée, usurpation d’identité, cyberharcèlement, discrimination, profilage ou utilisation commerciale de ses informations. La protection des enfants suppose donc de limiter la collecte aux données réellement nécessaires et de contrôler strictement les personnes qui peuvent y accéder.

Le rôle des parents dans la protection des données de leurs enfants

Les parents jouent naturellement un rôle essentiel dans la protection des données personnelles de leurs enfants. En raison de leur responsabilité à l’égard du mineur, ils peuvent être amenés à intervenir dans certaines décisions relatives à la collecte et à l’utilisation de ses données. Mais cette responsabilité ne signifie pas que les parents disposent d’un droit absolu sur toutes les informations concernant leur enfant.

Le parent doit agir dans l’intérêt de l’enfant. Avant d’autoriser ou de réaliser un traitement, il devrait notamment s’interroger sur la finalité poursuivie, les personnes susceptibles d’accéder aux informations, la durée de conservation et les conséquences éventuelles pour l’enfant. Cette question devient particulièrement importante avec les réseaux sociaux.

Le « sharenting » : quand les parents exposent la vie numérique de leurs enfants

Le développement des réseaux sociaux a donné naissance au phénomène du « sharenting », qui désigne le fait pour les parents de partager régulièrement des informations, photographies ou vidéos relatives à leurs enfants sur Internet. Une naissance, un anniversaire, une rentrée scolaire, une sortie familiale, une réussite scolaire ou une activité sportive peuvent ainsi être publiés auprès d’un cercle plus ou moins large de personnes.

Si ces publications peuvent sembler anodines, leur accumulation peut progressivement constituer une véritable identité numérique de l’enfant. Le problème est que l’enfant n’a pas nécessairement participé à cette décision et ne mesure pas toujours les conséquences de cette exposition. Une photographie publiée à l’âge de cinq ans peut encore circuler plusieurs années plus tard. Une vidéo peut être téléchargée, copiée ou rediffusée sans que le parent soit en mesure d’en contrôler la diffusion.

Les parents devraient donc adopter une approche prudente : le fait d’être le représentant légal d’un enfant ne signifie pas que toutes les informations le concernant peuvent être librement exposées sur Internet.

Les établissements scolaires face aux données personnelles des enfants

L’école constitue également un environnement dans lequel de nombreuses données personnelles sont collectées. Les établissements scolaires traitent notamment les données d’identité des élèves, leurs coordonnées, leurs résultats, leurs absences, leurs informations relatives à la santé ou encore des photographies. La transformation numérique de l’éducation ajoute de nouveaux traitements : plateformes d’apprentissage, applications scolaires, systèmes de gestion des élèves, groupes de communication ou outils de visioconférence.

Ces traitements doivent être encadrés. La photographie d’un élève publiée sur le site Internet d’un établissement ou sur ses réseaux sociaux, par exemple, ne devrait pas être considérée comme une simple opération de communication sans conséquence sur la vie privée. L’établissement doit déterminer pourquoi cette photographie est utilisée, à qui elle sera accessible et pendant combien de temps elle sera conservée.

La même vigilance doit s’appliquer aux groupes de communication utilisés par les écoles, notamment lorsque des informations personnelles ou scolaires concernant les élèves y sont diffusées.

Les plateformes numériques : un autre espace d’exposition

Les enfants utilisent aujourd’hui des jeux en ligne, des réseaux sociaux, des applications éducatives et de nombreux autres services numériques. Ces plateformes peuvent collecter des données relatives à leurs habitudes de navigation, leurs interactions, leurs préférences, leur localisation ou leurs comportements.

Certaines données peuvent ensuite être utilisées pour établir des profils ou personnaliser les contenus proposés. La question de la protection des enfants devient alors particulièrement importante : un enfant peut-il réellement mesurer les conséquences de la communication de ses données à une plateforme numérique ?

La responsabilité ne peut pas reposer exclusivement sur les parents. Les plateformes doivent également mettre en œuvre des mécanismes permettant de protéger les mineurs, notamment en limitant la collecte des données, en assurant une information compréhensible et en mettant en place des mesures de sécurité adaptées.

Le principe de minimisation : collecter moins pour mieux protéger

La protection des données des enfants passe également par une application rigoureuse du principe de minimisation. Autrement dit, une organisation devrait se demander : cette donnée est-elle réellement nécessaire ?

Une école a-t-elle besoin de publier le nom complet d’un enfant avec sa photographie pour présenter une activité scolaire ? Une application éducative doit-elle collecter sa localisation permanente ? Un formulaire doit-il demander autant d’informations pour fournir un service donné ?

Plus les données collectées sont nombreuses, plus les risques liés à leur conservation, leur accès ou leur divulgation augmentent. La minimisation constitue donc une mesure de protection particulièrement importante lorsqu’il s’agit de mineurs.

Les données de santé des enfants nécessitent une protection renforcée

La question devient encore plus sensible lorsqu’il s’agit de données relatives à la santé. Les établissements scolaires, structures médicales, organismes sociaux ou associations peuvent être amenés à traiter des informations concernant l’état de santé d’un enfant.

Ces données ne devraient être accessibles qu’aux personnes qui en ont effectivement besoin dans le cadre de leurs missions. Le principe du besoin d’en connaître doit être particulièrement strict : un agent administratif, un stagiaire ou un intervenant ne devrait pas pouvoir consulter un dossier médical simplement parce qu’il travaille au sein de la même structure.

La protection passe donc par des habilitations précises, la limitation des accès, la sécurisation des dossiers et la traçabilité des consultations lorsque cela est possible.

L’enfant doit progressivement être associé aux décisions concernant ses données

La protection des données des enfants ne peut pas être pensée uniquement à travers la relation entre l’enfant et ses représentants légaux. À mesure qu’il grandit, l’enfant développe une capacité croissante à comprendre les enjeux liés à ses données personnelles.

Il devient alors important de l’informer et de l’associer progressivement aux décisions qui le concernent. Cette approche permet également de développer une véritable éducation à la protection des données. Apprendre à un enfant à ne pas communiquer son adresse, à protéger ses mots de passe, à réfléchir avant de publier une photographie ou à identifier les risques liés aux réseaux sociaux constitue déjà une forme de protection.

Quelle protection dans le contexte béninois ?

Au Bénin, la protection des données personnelles s’inscrit notamment dans le cadre du Code du numérique, qui encadre les traitements de données à caractère personnel et impose le respect de plusieurs principes destinés à protéger les personnes concernées.

Ces principes prennent une importance particulière lorsqu’il s’agit de données relatives aux enfants, compte tenu de leur vulnérabilité et des conséquences potentielles d’une utilisation abusive de leurs informations. L’intervention de l’Autorité de protection des données à caractère personnel (APDP) s’inscrit également dans cet environnement de protection et de contrôle des traitements de données personnelles.

L’enjeu pour les organisations béninoises sera notamment de veiller à ce que la transformation numérique des services destinés aux enfants ne conduise pas à une collecte excessive ou à une utilisation insuffisamment encadrée de leurs données.

Protéger aujourd’hui les données de l’enfant, c’est protéger l’adulte de demain

Les données personnelles des enfants présentent une particularité essentielle : elles peuvent les accompagner pendant une très longue période. Une photographie, une vidéo, une information scolaire ou une publication diffusée aujourd’hui peut réapparaître plusieurs années plus tard.

L’enfant d’aujourd’hui deviendra demain un étudiant, un salarié, un entrepreneur, un professionnel ou une personnalité publique. Les traces numériques constituées pendant son enfance peuvent alors avoir des conséquences qu’il n’était pas en mesure d’anticiper.

La protection des données des enfants ne doit donc pas être considérée comme une simple question technique. Elle constitue une véritable question de société et de droits fondamentaux. Parents, écoles, plateformes numériques, entreprises et pouvoirs publics doivent chacun prendre leur part de responsabilité.

Car protéger les données personnelles d’un enfant, ce n’est pas seulement empêcher qu’une information soit divulguée aujourd’hui. C’est aussi lui permettre de construire demain son identité numérique avec davantage de liberté, de contrôle et de dignité.

Yazid ALE

Juriste en droit privé fondamental et droit du numérique

Change this description