Qui est concerné par la protection des données personnelles au Burkina Faso ?
Le Burkina Faso dispose d'une loi sur la protection des données à caractère personnel et d'une autorité indépendante, la Commission de l'informatique et des libertés (CIL). Dès qu'une organisation collecte, stocke ou utilise des informations permettant d'identifier une personne (nom, téléphone, numéro CNIB, adresse e-mail, photo, données de paie, historique d'achats), elle effectue un traitement de données personnelles et entre dans le champ de la loi.
Cela inclut les PME, les écoles, les cliniques, les ONG, les commerçants qui tiennent un fichier client et les sites web qui proposent un formulaire de contact. La taille de la structure ne crée pas d'exemption.
Cet article est un guide de méthode, pas un avis juridique. Pour votre situation précise, rapprochez-vous de la CIL ou d'un conseil juridique.
Étape 1 : cartographier les traitements
Impossible de protéger ce que l'on ne connaît pas. Commencez par un registre des traitements qui liste, pour chaque usage de données :
- la finalité (paie, prospection, gestion des élèves, vidéosurveillance…) ;
- les catégories de personnes concernées et de données ;
- les destinataires internes et externes ;
- la durée de conservation ;
- le lieu d'hébergement (serveur local, cloud, prestataire étranger) ;
- les mesures de sécurité en place.
Un tableur suffit pour démarrer. L'important est que le registre reflète la réalité, y compris les fichiers Excel sur les postes individuels et les groupes WhatsApp professionnels.
Étape 2 : vérifier la base légale et la finalité
Chaque traitement doit reposer sur une base légitime : exécution d'un contrat, obligation légale, intérêt légitime ou consentement. Le consentement doit être libre, éclairé et prouvable : une case pré-cochée ou un consentement implicite ne suffit pas. Les données doivent rester proportionnées à la finalité : un formulaire d'inscription à une newsletter n'a pas besoin de la date de naissance.
Les données sensibles (santé, origine ethnique, opinions religieuses ou politiques, données biométriques) bénéficient d'un régime renforcé et nécessitent une vigilance particulière.
Étape 3 : accomplir les formalités auprès de la CIL
Selon la nature du traitement, la loi prévoit des formalités préalables : déclaration ou demande d'autorisation auprès de la CIL. Les traitements courants font généralement l'objet d'une déclaration ; les traitements à risque (données sensibles, biométrie, transfert à l'étranger, interconnexion de fichiers) peuvent relever d'une autorisation. Consultez les formulaires et procédures publiés par la CIL pour déterminer le régime applicable à chacun de vos traitements, et conservez les récépissés.
Étape 4 : informer les personnes et respecter leurs droits
Les personnes doivent savoir qui collecte leurs données, pourquoi, pour combien de temps et comment exercer leurs droits. Concrètement :
- une politique de confidentialité lisible sur votre site et dans vos formulaires papier ;
- une mention d'information sur les contrats de travail et les fiches d'inscription ;
- une procédure interne pour répondre aux demandes d'accès, de rectification, d'opposition et de suppression dans un délai raisonnable ;
- un point de contact identifié (adresse e-mail dédiée, responsable désigné).
Étape 5 : sécuriser les données
La loi impose de prendre les mesures techniques et organisationnelles appropriées. Une checklist minimale pour une PME :
- Comptes nominatifs et mots de passe robustes, idéalement avec double authentification.
- Accès limités au besoin de chaque rôle (le commercial ne voit pas la paie).
- Chiffrement des disques des ordinateurs portables et des sauvegardes.
- Sauvegardes régulières, testées, dont une copie hors site.
- Mises à jour de sécurité appliquées sur les serveurs et les postes.
- Site web en HTTPS et formulaires protégés contre le spam et l'injection.
- Procédure écrite en cas de violation de données (qui prévenir, dans quel délai, comment documenter).
- Sensibilisation du personnel au phishing et aux bonnes pratiques.
Étape 6 : encadrer les sous-traitants et les transferts
Hébergeur, éditeur de logiciel de paie, agence web, prestataire de SMS : tous manipulent vos données. Un contrat ou une clause écrite doit préciser les instructions, la confidentialité, la sécurité et le sort des données à la fin de la prestation. Lorsque les données sont hébergées hors du Burkina Faso, vérifiez les conditions de transfert prévues par la loi et les formalités associées auprès de la CIL.
Comment maintenir la conformité dans le temps ?
La conformité n'est pas un dossier que l'on clôt. Mettez à jour le registre à chaque nouveau projet (nouveau logiciel, nouvelle campagne, nouvelle caméra), revoyez les durées de conservation une fois par an et purgez les données devenues inutiles. Désigner un référent interne, même à temps partiel, fait la différence.
Digital Station aide les entreprises et institutions du Burkina Faso à cartographier leurs traitements, sécuriser leurs systèmes et préparer leurs dossiers de conformité. Parlons de votre situation.
Questions fréquentes
- Une petite entreprise doit-elle vraiment se déclarer à la CIL ?
- La loi s'applique aux traitements de données personnelles, pas à la taille de l'entreprise. Si vous tenez un fichier clients, gérez une paie ou collectez des données via un site web, vérifiez auprès de la CIL quelles formalités s'appliquent à chacun de vos traitements.
- Les données hébergées sur un cloud étranger sont-elles autorisées ?
- Le transfert de données hors du Burkina Faso est encadré par la loi et peut nécessiter des garanties et des formalités spécifiques. Documentez le pays d'hébergement, les garanties du prestataire et consultez la CIL avant de déployer.
- Que faire en cas de fuite de données ?
- Contenez l'incident, documentez ce qui s'est passé (données concernées, personnes touchées, cause), informez l'autorité et, si nécessaire, les personnes concernées, puis corrigez la faille. Une procédure écrite préparée à l'avance fait gagner un temps précieux.