Depuis l’entrée en vigueur le 25 mai du Règlement général sur la protection des données personnelles (RGPD), les citoyens européens sont mieux protégés contre un éventuel scandale semblable à l’affaire Cambridge Analytica. La situation est bien différente dans le reste du monde, et notamment en Afrique, où la majorité des pays n’ont même pas de loi en la matière. Dr. Mouhamadou Lô, auteur d’un ouvrage sur la question, détaille pourquoi un RGPD africain permettrait aux Africains d’arrêter d’être « de simples consommateurs de technologies créées par d’autres ».

RFI - Que va changer la mise en application du RGPD en Europe pour les pays africains ?

Dr. Mouhamadou Lô - Beaucoup de choses ! Pour l’instant, très peu de pays se préoccupent de ça, mais dans le futur, cela risque de créer des problèmes pour le tissu économique de nombreux pays en Afrique.

Ce règlement de l’Union européenne a une application extra-territoriale, il s’impose à nos pays. Une société européenne qui veut travailler avec une société sénégalaise, kényane, malienne ou sud-africaine et qui lui transfère des données de ressortissants des pays européens, a l’obligation de s’assurer que cette dernière respecte certaines dispositions de sécurité. La société africaine doit donc être soumise à des audits permanents. Quelles sociétés africaines sont aujourd’hui capables de répondre à ces exigences ? Très peu.

La société européenne ne prendra pas le risque de subir une sanction très lourde – jusqu’à 20 millions d’euros ou 4 % de son chiffre d’affaires mondial global – pour commercialiser ou sous-traiter à une société africaine. Nos sociétés africaines qui travaillent avec des données de citoyens de l’UE doivent se préoccuper de ça aujourd’hui.

Comment s’assure-t-on de faire appliquer ces lois nationales ?

La tendance mondiale est de créer une autorité administrative indépendante qui gère uniquement la régulation des données personnelles. Mais il n’y a pas une solution miracle, ça dépend du pays concerné et de ses moyens financiers.

La Côte d’Ivoire est un cas d’école. Elle n’a pas créé une autorité administrative indépendante mais, au contraire, un service au sein de l’Autorité de régulation des télécommunications, l’ARTCI. C’est une décision politique : dans nos commissions, il y a toujours des problèmes de budget. Le fait de l’installer au sein d’une autorité où la problématique financière ne se pose pas peut être une bonne approche pour aller très vite.

Pourquoi avoir lancé en 2016, alors que vous étiez président de la Commission de protection des données personnelles (équivalent sénégalais de la CNIL, ndlr) le Forum africain sur la protection des données personnelles ?

Au départ, il s’agissait simplement de disposer de réseaux de pays africains permettant de pouvoir apporter une réponse commune à certaines préoccupations relatives à la protection des données personnelles. On avait constaté qu’il y avait des zones de non droit au sein de notre pays : il y a des entreprises installées au Sénégal qui sont obligées de procéder aux déclarations exigées par la loi mais qui, dans d’autres pays, refusaient de se soumettre à leurs lois – pour elles ou pour leurs filiales. Nous nous sommes donc dit que, pour pouvoir harmoniser tout ça, il fallait mettre en place le Réseau africain des autorités de protection des données personnelles (RAPDP).

Comment expliquez-vous que les pays les plus en avance sur la protection des données personnelles sont majoritairement francophones et situés en Afrique de l’Ouest ?

Cela s’explique par la mise en place d’une association, l’Association francophone des autorités de protection des données personnelles (AFAPDP), créée en 2007 et qui, très tôt, s’est attelée à sensibiliser les pays francophones sur la question. Dans ce cercle de réflexion et d’appui mutuel, les pays francophones sont privilégiés par rapport aux pays anglophones.

La seconde explication, c’est le désir d’attirer les investisseurs dans nos pays. les données personnelles présentent un enjeu économique pour nos pays, notamment avec la délocalisation possible de centres d’appels.

Pourtant, le RGPD est parfois vu comme une contrainte plutôt que comme une opportunité...

Nous sommes confrontés à des enjeux, le plus souvent internes : comment protéger l’individu contre l’Etat, comment protéger le consommateur contre les professionnels – les Africains sont des férus de technologies, notamment de l’internet et des réseaux sociaux – mais aussi comment protéger un salarié contre les agissements de son employeurs. Voilà les enjeux qui nous ont poussés à mettre en place des textes.

Egalement, nos pays africains sont confrontés à des défis sécuritaires. Nous subissons beaucoup d’attaques sur nos systèmes d’informations. Il faut savoir comment se prémunir contre ces attaques, comment éviter la divulgation de données sensibles (secrets d’Etat, etc.) sur les réseaux sociaux.

Il y a aussi des défis technologiques : jusqu’à récemment en Afrique, nous étions de simples consommateurs de technologies créées par d’autres. Nous sommes les premiers à nous jeter sur ces technologies sans pourtant les maîtriser. Nous ne savons pas ce qu’il y a dedans (porte dérobée...). Sommes-nous constamment surveillés ou non ? Nos informations ne sont-elles pas interceptées ?

Il y a pour les pays africains une véritable perte de souveraineté sur nos données. Le plus souvent, nos données sont hébergées à l’étranger parce que nous ne disposons pas de ressources permettant de les héberger sur le continent. Ainsi, aujourd’hui, nous n’avons aucune emprise sur ces données, que ce soit l’Etat ou l’individu. La loi sur les données personnelles est là pour apporter des solutions à ces trois défis.

Les pays clés en matière de technologies, comme le Kenya, le Rwanda ou encore le Nigeria sont-ils en retard sur cette question ?

En tout cas, c’est la constatation que nous faisons tous. On connait le dynamisme de ces pays en matière de technologie mais on ne voit pas de texte sur les données personnelles. Je ne sais pas s’ils ont trouvé une solution miracle pour pouvoir prendre en compte les enjeux et les défis que pose cette problématique mais je ne m’explique pas ce constat.

Qu’en est-il du rôle des institutions inter-étatiques en Afrique ?

Il y a très peu d’action de la part de l’Uemoa, mais pour la Cédéao et l’Union africaine, c’est un enjeu important. Très tôt, en 2010, la Cédéao a mis en place un acte additionnel sur la protection des données à caractère personnel. En 2014, l’Union africaine a publié une convention africaine sur la cybersécurité et la protection des données personnelles.

Un RGPD africain est-il possible ?

Oui ! L’idée d’actualiser l’acte additionnel de la Cédéao a d’ailleurs été émise. Le moment venu, ce sera l’occasion d’intégrer de nouvelles dispositions pour prendre en compte l’évolution technologique. Le règlement européen, d’actualité depuis le 25 mai, va très vite être dépassé ! L’intelligence artificielle, qui arrive, va tout révolutionner et les législateurs, en Afrique comme en Europe, seront obligés de se remettre autour d’une table pour rédéfinir les règles. C’est l’évolution technologique qui définit le rythme de la législation.

Que pensez-vous de la publication d’un nouveau référentiel rédigé par l’Internet Society avec l’Union africaine, annoncé à Dakar lors du Sommet africain de l’internet ?

C’est une belle initiative. En dehors des textes, il nous manque un référentiel, un équivalent des normes ISO. Cela peut être un bon début pour sensibiliser et un bon document de travail pour se conformer aux règles les plus strictes en matière de protection des données personnelles.

Kevin Poireault

(Source : RFI, 31 mai 2018)