Un RGPD africain est-il possible ?

Publié le jeudi 31 mai 2018 | RFI

© aLome.com par Parfait et Edem Gadegbeku
Women Techmakers (IWD) 2016 dans la capitale togolaise
Lomé, le 19 mars 2016. Hôtel Merlot. Dans le cadre de la commémoration de la Journée internationale de la femme, édition 2016, le Groupe des Développeurs Google (GDG) a organisé le Women Techmakers (IWD) à Lomé, placé sous le thème «Our time to Lead».

Depuis l'entrée en vigueur le 25 mai du Règlement général sur la protection des données personnelles (RGPD), les citoyens européens sont mieux protégés contre un éventuel scandale semblable à l'affaire Cambridge Analytica. La situation est bien différente dans le reste du monde, et notamment en Afrique, où la majorité des pays n'ont même pas de loi en la matière. Dr. Mouhamadou Lô, auteur d'un ouvrage sur la question, détaille pourquoi un RGPD africain permettrait aux Africains d'arrêter d'être « de simples consommateurs de technologies créées par d'autres ».

RFI - Que va changer la mise en application du RGPD en Europe pour les pays africains ?

Dr. Mouhamadou Lô - Beaucoup de choses ! Pour l'instant, très peu de pays se préoccupent de ça, mais dans le futur, cela risque de créer des problèmes pour le tissu économique de nombreux pays en Afrique.

Ce règlement de l'Union européenne a une application extra-territoriale, il s'impose à nos pays. Une société européenne qui veut travailler avec une société sénégalaise, kényane, malienne ou sud-africaine et qui lui transfère des données de ressortissants des pays européens, a l'obligation de s'assurer que cette dernière respecte certaines dispositions de sécurité. La société africaine doit donc être soumise à des audits permanents. Quelles sociétés africaines sont aujourd'hui capables de répondre à ces exigences ? Très peu.

La société européenne ne prendra pas le risque de subir une sanction très lourde – jusqu'à 20 millions d'euros ou 4 % de son chiffre d'affaires mondial global – pour commercialiser ou sous-traiter à une société africaine. Nos sociétés africaines qui travaillent avec des données de citoyens de l'UE doivent se préoccuper de ça aujourd'hui.

Comment s'assure-t-on de faire appliquer ces lois nationales ?

La tendance mondiale est de créer une autorité administrative indépendante qui gère uniquement la régulation des données personnelles. Mais il n'y a pas une solution miracle, ça dépend du pays concerné et de ses moyens financiers.

La Côte d'Ivoire est un cas d'école. Elle n'a pas créé une autorité administrative indépendante mais, au contraire, un service au sein de l'Autorité de régulation des télécommunications, l'ARTCI. C'est une décision politique : dans nos commissions, il y a toujours des problèmes de budget. Le fait de l'installer au sein d'une autorité où la problématique financière ne se pose pas peut être une bonne approche pour aller très vite.

Pourquoi avoir lancé en 2016, alors que vous étiez président de la Commission de protection des données personnelles (équivalent sénégalais de la CNIL, ndlr) le Forum africain sur la protection des données personnelles ?

Au départ, il s'agissait simplement de disposer de réseaux de pays africains permettant de pouvoir apporter une réponse commune à certaines préoccupations relatives à la protection des données personnelles. On avait constaté qu'il y avait des zones de non droit au sein de notre pays : il y a des entreprises installées au Sénégal qui sont obligées de procéder aux déclarations exigées par la loi mais qui, dans d'autres pays, refusaient de se soumettre à leurs lois – pour elles ou pour leurs filiales. Nous nous sommes donc dit que, pour pouvoir harmoniser tout ça, il fallait mettre en place le Réseau africain des autorités de protection des données personnelles (RAPDP).

Comment expliquez-vous que les pays les plus en avance sur la protection des données personnelles sont majoritairement francophones et situés en Afrique de l'Ouest ?

Cela s'explique par la mise en place d'une association, l'Association francophone des autorités de protection des données personnelles (AFAPDP), créée en 2007 et qui, très tôt, s'est attelée à sensibiliser les pays francophones sur la question. Dans ce cercle de réflexion et d'appui mutuel, les pays francophones sont privilégiés par rapport aux pays anglophones.

La seconde explication, c'est le désir d'attirer les investisseurs dans nos pays. les données personnelles présentent un enjeu économique pour nos pays, notamment avec la délocalisation possible de centres d'appels.

Pourtant, le RGPD est parfois vu comme une contrainte plutôt que comme une opportunité...

Nous sommes confrontés à des enjeux, le plus souvent internes : comment protéger l'individu contre l'Etat, comment protéger le consommateur contre les professionnels – les Africains sont des férus de technologies, notamment de l'internet et des réseaux sociaux – mais aussi comment protéger un salarié contre les agissements de son employeurs. Voilà les enjeux qui nous ont poussés à mettre en place des textes.

Egalement, nos pays africains sont confrontés à des défis sécuritaires. Nous subissons beaucoup d'attaques sur nos systèmes d’informations. Il faut savoir comment se prémunir contre ces attaques, comment éviter la divulgation de données sensibles (secrets d'Etat, etc.) sur les réseaux sociaux.

Il y a aussi des défis technologiques : jusqu'à récemment en Afrique, nous étions de simples consommateurs de technologies créées par d'autres. Nous sommes les premiers à nous jeter sur ces technologies sans pourtant les maîtriser. Nous ne savons pas ce qu'il y a dedans (porte dérobée...). Sommes-nous constamment surveillés ou non ? Nos informations ne sont-elles pas interceptées ?

Il y a pour les pays africains une véritable perte de souveraineté sur nos données. Le plus souvent, nos données sont hébergées à l'étranger parce que nous ne disposons pas de ressources permettant de les héberger sur le continent. Ainsi, aujourd'hui, nous n'avons aucune emprise sur ces données, que ce soit l'Etat ou l'individu. La loi sur les données personnelles est là pour apporter des solutions à ces trois défis.

Les pays clés en matière de technologies, comme le Kenya, le Rwanda ou encore le Nigeria sont-ils en retard sur cette question ?

En tout cas, c'est la constatation que nous faisons tous. On connait le dynamisme de ces pays en matière de technologie mais on ne voit pas de texte sur les données personnelles. Je ne sais pas s'ils ont trouvé une solution miracle pour pouvoir prendre en compte les enjeux et les défis que pose cette problématique mais je ne m'explique pas ce constat. ... suite de l'article sur RFI

Commentaires