Cartographier les obligations supplémentaires par rapport aux lois locales
Tableau comparatif des obligations RGPD (UE) et des spécificités locales dans chaque pays de l’UEMOA, par domaine clé :
| Domaine d’obligation | UE (RGPD) | Bénin | Burkina Faso | Côte d’Ivoire | Guinée-Bissau | Mali | Niger | Sénégal | Togo |
| Autorité de protection | Autorités nationales (ex : CNIL en France). | CDPB (Commission de Protection des Données Personnelles du Bénin) créée par la Loi n°2017-20. | CIL
(Commission de l’Informatique et des Libertés) sous la Loi n°001-2021/AN. |
ARCEP (Autorité de Régulation des Communications Électroniques et des Postes) via Loi n°2013-450. | Aucune autorité dédiée. Régulation sectorielle (ex : télécoms). | APDP (Autorité de Protection des Données Personnelles) sous la Loi n°2019-056. | HAPDP (Haute Autorité de Protection des Données) sous la Loi n°2019-33. | CDP (Commission des Données Personnelles) sous la Loi n°2008-12. | IDP (Institut des Données Personnelles) sous la Loi n°2019-014. |
| Consentement | Explicite, libre, spécifique et univoque. | Explicite et écrit pour les données sensibles (santé, orientation religieuse, etc.). | Consentement renforcé pour les données de santé (procédure spécifique). | Consentement écrit obligatoire pour les données biométriques. | Aucune règle spécifique en dehors des secteurs régulés (ex : télécoms). | Consentement explicite, mais flexibilité pour les données non sensibles. | Validation par l’HAPDP pour le consentement des mineurs. | Consentement explicite, avec traçabilité obligatoire (preuve écrite ou électronique). | Double consentement (oral + écrit) pour les données sensibles. |
| Localisation des données | Transferts hors UE autorisés sous conditions (adéquation, clauses types, etc.). | Stockage local obligatoire pour les données des entités publiques. | Aucune obligation générale, sauf pour les données stratégiques (défense, sécurité). | Aucune obligation, sauf pour les données biométriques (stockage local). | Stockage local imposé dans le secteur des télécoms. | Représentant local obligatoire si le responsable de traitement est hors UEMOA. | Stockage local recommandé pour les données des opérateurs télécoms. | Stockage local obligatoire pour les secteurs santé et finance (décret 2021-830). | Aucune obligation, mais préférence pour les hébergeurs locaux dans les appels d’offres publics. |
| Normes sectorielles | Règles spécifiques (ex : santé, banque). | Secteur public : déclaration préalable à la CDPB pour tout traitement. | Santé : anonymisation obligatoire des données utilisées pour la recherche. | Biométrie : autorisation préalable de l’ARCEP. | Télécoms : conservation des données limitée à 12 mois (règlement sectoriel). | Administration : chiffrement obligatoire des données nominatives. | Télécoms : conservation des données limitée à 6 mois (Loi n°2019-33). | Banque : partage de données client soumis à l’accord de la CDP. | Éducation : interdiction de collecter des données religieuses ou ethniques dans les écoles. |
| Sanctions | Jusqu’à 4% du CA mondial ou 20 M€. | Jusqu’à 5% du CA annuel + suspension des traitements. | Amendes fixes (jusqu’à 10 millions XOF) + responsabilité pénale des dirigeants. | Jusqu’à 100 millions XOF (Loi n°2013-450). | Sanctions sectorielles (ex : télécoms : jusqu’à 5 millions XOF). | Jusqu’à 50 millions XOF (Loi n°2019-056). | Jusqu’à 5% du CA pour les entreprises privées. | Jusqu’à 1 milliard XOF (Loi n°2008-12 révisée). | Jusqu’à 200 millions XOF (Loi n°2019-014). |
| Transferts internationaux | Autorisés avec garanties (BCR, clauses types, etc.). | Interdiction de transferts hors UEMOA sans accord de la CDPB. | Autorisation préalable de la CIL pour les transferts hors UEMOA. | Accord de l’ARCEP nécessaire pour les transferts sensibles. | Aucune règle générale (sauf télécoms : données stockées localement). | Notification à l’APDP pour tout transfert hors UEMOA. | Interdiction de transférer des données télécoms hors UEMOA. | Autorisation de la CDP pour les transferts hors UEMOA (sauf pays jugés « sûrs »). | Évaluation de risque obligatoire avant transfert. |
| Droits des personnes | Droit d’accès, rectification, opposition, etc. (délai de réponse : 1 mois). | Droit à l’oubli renforcé pour les données sensibles. | Droit d’opposition étendu aux traitements publics et privés. | Droit à la portabilité limité aux données non sensibles. | Aucun droit formel en dehors des secteurs régulés. | Délai de réponse réduit à 15 jours pour les demandes d’accès. | Droit d’accès gratuit uniquement pour les données de base. | Notification des violations sous 72 heures (obligatoire depuis 2021). | Droit à la transparence : informations obligatoires en langues locales. |
Quiz de la leçon