Formulaire de contact, inscription à une newsletter, compte client, prise de rendez-vous : dès que votre site ou votre application collecte des informations sur des personnes, vous traitez des données à caractère personnel. En Côte d'Ivoire, ce traitement est encadré par une loi précise, contrôlée par l'ARTCI. Voici ce qu'elle impose concrètement, et comment vous mettre en règle.
Cet article est un guide pratique, pas un avis juridique. Pour un cas particulier, rapprochez-vous de l'Autorité de protection ou d'un juriste.
Le cadre : la loi n° 2013-450 du 19 juin 2013
La protection des données personnelles en Côte d'Ivoire repose sur la loi n° 2013-450 du 19 juin 2013 relative à la protection des données à caractère personnel. Elle transpose l'acte additionnel de la CEDEAO du 16 février 2010 sur le même sujet. Elle s'applique à toute personne physique ou morale qui traite des données personnelles, y compris l'État.
Le contrôle est assuré par l'ARTCI (Autorité de Régulation des Télécommunications/TIC de Côte d'Ivoire), qui joue le rôle d'Autorité de protection. Ses démarches et documents sont regroupés sur un site dédié : autoritedeprotection.ci.
Deux autres textes complètent ce dispositif pour le numérique : la loi n° 2013-451 sur la lutte contre la cybercriminalité et la loi n° 2013-546 sur les transactions électroniques.
Qu'est-ce qu'une donnée personnelle ?
Toute information qui permet d'identifier une personne, directement ou indirectement : nom, numéro de téléphone, e-mail, adresse, photo, numéro de pièce d'identité, localisation, adresse IP, historique d'achats… Votre fichier clients, votre liste WhatsApp et les comptes de votre application sont donc concernés.
Trois régimes de formalités
Avant de mettre en œuvre un traitement, vous devez accomplir une formalité auprès de l'Autorité de protection. Il en existe trois :
| Régime | Concerne notamment |
|---|---|
| Déclaration | Les traitements courants : fichier clients, formulaire de contact, newsletter, gestion commerciale. L'Autorité délivre un récépissé. |
| Autorisation préalable | Les données sensibles, les données de santé, les données génétiques, les infractions et condamnations, la recherche en santé, le numéro national d'identification, et les transferts de données hors de l'espace CEDEAO. |
| Avis | Les traitements de l'État liés à ses missions régaliennes (défense, sécurité publique, recensement, impôts, etc.). |
Point d'attention pour les sites et applications : si vos données sont hébergées sur des serveurs situés hors de la CEDEAO (en Europe ou aux États-Unis, ce qui est fréquent), vous êtes dans le cas d'un transfert qui relève du régime de l'autorisation.
Les principes à respecter
- Légitimité : le traitement doit reposer sur une base légitime, souvent le consentement de la personne.
- Finalité : collecter pour un objectif précis et ne pas réutiliser les données pour autre chose.
- Proportionnalité : ne demander que les données nécessaires. Un formulaire de devis n'a pas besoin de la date de naissance.
- Conservation limitée : fixer une durée de conservation, puis supprimer ou anonymiser.
- Exactitude : tenir les données à jour.
- Transparence : informer clairement les personnes.
- Sécurité et confidentialité : protéger les données contre les fuites et les accès non autorisés.
Les droits de vos clients et utilisateurs
Toute personne dont vous traitez les données dispose de plusieurs droits : droit à l'information, droit d'accès et d'interrogation, droit de rectification, droit d'opposition et droit à l'oubli. Concrètement, vous devez pouvoir répondre à quelqu'un qui demande « quelles données avez-vous sur moi ? » ou « supprimez mon compte ».
Les sanctions
L'Autorité de protection peut prononcer un avertissement, interrompre ou interdire un traitement, retirer une autorisation et infliger une sanction pécuniaire. D'après l'ARTCI, celle-ci ne peut excéder 10 millions de F CFA ; en cas de récidive, elle peut atteindre 100 millions de F CFA pour une personne physique et 500 millions de F CFA pour une personne morale. Ces sanctions s'appliquent sans préjudice des sanctions pénales : par exemple, traiter des données sensibles sans autorisation préalable est passible de prison et d'une amende de 20 à 40 millions de F CFA.
La check-list pour votre site ou votre application
- Faites l'inventaire de ce que vous collectez : formulaires, comptes, cookies, outils d'analyse, CRM, listes WhatsApp.
- Supprimez les champs inutiles dans vos formulaires.
- Rédigez une politique de confidentialité claire : quelles données, pourquoi, combien de temps, qui y accède, comment exercer ses droits.
- Recueillez le consentement : case à cocher non pré-cochée pour la newsletter, bandeau pour les cookies non essentiels.
- Vérifiez où sont hébergées vos données et si un transfert hors CEDEAO a lieu.
- Accomplissez la formalité adaptée (déclaration ou demande d'autorisation) auprès de l'Autorité de protection.
- Sécurisez : HTTPS, mots de passe solides, accès limités, sauvegardes. Voir sécuriser son site web.
- Prévoyez une adresse de contact pour les demandes d'accès et de suppression, et répondez-y.
Si vous travaillez aussi avec des clients européens, le RGPD peut s'appliquer en plus : voir RGPD et données personnelles.
Questions fréquentes
Une petite entreprise est-elle concernée ?
Oui. La loi s'applique quelle que soit la taille de l'entreprise, dès qu'elle traite des données personnelles, ne serait-ce qu'un fichier clients.
Un simple formulaire de contact nécessite-t-il une formalité ?
Un formulaire de contact constitue un traitement de données personnelles. En règle générale, il relève du régime de la déclaration. Vérifiez auprès de l'Autorité de protection la formalité exacte applicable à votre situation.
Mon site est hébergé en France : est-ce un problème ?
Ce n'est pas interdit, mais c'est un transfert hors de l'espace CEDEAO, soumis à l'autorisation préalable de l'Autorité de protection et à des garanties particulières.
Où faire les démarches ?
Auprès de l'ARTCI, en sa qualité d'Autorité de protection. Les informations et formulaires sont disponibles sur autoritedeprotection.ci.
Être accompagné
NEWTIV conçoit des sites et applications qui intègrent ces exigences dès le départ : formulaires minimaux, politique de confidentialité, consentement, hébergement maîtrisé et sécurité. Demandez un devis, nous vous répondons sous 48 heures ouvrées.
Réagissez
Commentaires