IA et données personnelles en Côte d'Ivoire : ce que la loi et l'ARTCI exigent

Le cadre : la loi de 2013 et l'ARTCI

Le texte de référence est la loi n° 2013-450 du 19 juin 2013 relative à la protection des données à caractère personnel, publiée au Journal officiel du 8 août 2013. Elle s'applique à toute collecte, tout traitement, toute transmission, tout stockage et toute utilisation de données personnelles, par une personne physique, l'État, les collectivités ou une entreprise (article 3).

L'autorité de protection est l'ARTCI, autorité de régulation des télécommunications et des TIC (article 46). Elle reçoit les déclarations, délivre les autorisations, contrôle et sanctionne.

Le texte ne parle pas d'intelligence artificielle. Ses règles s'appliquent pourtant dès qu'un outil d'IA traite des données personnelles.

Ce qu'est une donnée personnelle

La loi vise toute information relative à une personne physique identifiée ou identifiable, directement ou indirectement, quel que soit son support, y compris le son et l'image (article 1). En pratique : un nom, un numéro de téléphone, une adresse e-mail, un matricule, un salaire, une photo, un enregistrement vocal. Un compte rendu de réunion qui cite un client par son nom en contient.

Certaines données sont sensibles : origine, opinions politiques ou religieuses, appartenance syndicale, vie sexuelle, santé. Leur collecte et leur traitement sont interdits, sauf exceptions prévues par la loi, et sanctionnés pénalement (article 21).

Déclaration ou autorisation préalable

Le principe : tout traitement de données personnelles fait l'objet d'une déclaration préalable auprès de l'autorité de protection (article 5). Une entreprise qui a désigné un correspondant à la protection des données est dispensée de cette déclaration, sauf si elle envisage un transfert vers un pays tiers (article 6).

Certains traitements demandent une autorisation préalable avant toute mise en œuvre (article 7). Parmi eux :

• les données génétiques et médicales ;
• les données relatives aux infractions, condamnations ou mesures de sûreté ;
• les traitements portant sur un numéro national d'identification ou un identifiant de même nature, la loi citant les numéros de téléphone ;
• les données biométriques ;
• le transfert de données personnelles vers un pays tiers.

L'ARTCI se prononce dans un délai d'un mois, prorogeable d'un mois par décision motivée. Son silence à l'issue du délai vaut rejet (article 11). Les formulaires sont en ligne sur le site de l'autorité de protection.

Les outils d'IA et le transfert hors CEDEAO

Pour la loi, un « pays tiers » est tout État non membre de la CEDEAO (article 1). Un transfert vers un pays tiers n'est possible que si cet État assure un niveau de protection supérieur ou équivalent. Avant tout transfert effectif, l'entreprise doit obtenir l'autorisation de l'ARTCI (article 26).

La notice de l'ARTCI sur les transferts, publiée en 2015, donne des exemples de flux transfrontaliers. On y trouve la centralisation des ressources humaines d'un groupe international et l'hébergement technique de services et de données à l'étranger.

Les grands outils d'IA grand public sont édités par des sociétés établies hors de la CEDEAO, pour la plupart aux États-Unis. Y coller des données personnelles revient en pratique à les envoyer hors de la zone. Selon l'outil et sa configuration, cela peut constituer un transfert au sens de la loi : à examiner avec votre DSI et, si besoin, un avocat.

L'entreprise doit aussi informer les personnes, dès la collecte, d'un éventuel transfert vers un pays tiers (article 28), et choisir un sous-traitant offrant des garanties suffisantes de sécurité (article 40).

Les données des salariés et la biométrie

Les données des salariés sont des données personnelles comme les autres : paie, évaluations, arrêts maladie, sanctions disciplinaires. Celles qui touchent à la santé sont sensibles.

Une règle compte beaucoup pour l'IA en ressources humaines : aucune décision administrative ou privée portant sur le comportement d'une personne ne peut avoir pour seul fondement un traitement automatisé qui définit son profil ou sa personnalité (article 25). Un outil peut aider à trier des CV ; la décision revient à une personne.

Pour le pointage, la loi soumet le traitement de données biométriques à autorisation préalable (article 7). Une pointeuse à empreinte digitale ou à reconnaissance faciale entre dans ce cas. Le formulaire de l'ARTCI dédié aux dispositifs biométriques demande de justifier pourquoi la biométrie plutôt qu'un autre moyen. Un badge ou un code personnel évite la biométrie, et le traitement reste soumis aux règles générales.

Les règles pratiques pour vos équipes

Ce qu'on ne colle jamais dans un outil d'IA public

• les noms, numéros de téléphone et adresses e-mail de clients ou de salariés ;
• les bulletins de paie, contrats de travail, évaluations et dossiers médicaux ;
• les numéros de pièce d'identité et les coordonnées bancaires ;
• toute donnée sensible au sens de la loi.

Remplacez les éléments identifiants : « Client A », « Salarié B », un montant arrondi. L'outil travaille aussi bien sur un texte anonymisé.

Choisir les outils

Privilégiez des comptes entreprise, choisis avec la DSI. Vérifiez les conditions d'utilisation des données et le lieu d'hébergement. Si des données personnelles doivent passer par l'outil, voyez si une autorisation de transfert est nécessaire.

Écrire une charte

La loi définit le code de conduite comme une charte d'utilisation des ressources informatiques, d'Internet et des communications électroniques, établie par le responsable du traitement et homologuée par l'autorité de protection (article 1). Votre charte d'usage de l'IA peut s'y intégrer. Désignez aussi un correspondant à la protection des données (article 12). L'ARTCI a mis en place un fichier national des correspondants.

Enfin, formez les équipes : une charte que personne ne connaît ne protège rien. Voir notre article sur la formation des équipes à l'IA. Nos formations IA à Abidjan comprennent un module sur ces règles, et un financement par le FDFP peut être étudié.

Les sanctions prévues

L'ARTCI peut prononcer un avertissement ou une mise en demeure (article 49). En cas de violation des droits et libertés, elle peut interrompre un traitement, verrouiller certaines données ou interdire le traitement, temporairement ou définitivement (article 50).

Si la mise en demeure reste sans effet, elle peut retirer une autorisation et prononcer une sanction pécuniaire plafonnée à 10 millions de francs CFA. En cas de manquement réitéré dans les cinq ans, le plafond passe à 100 millions de francs CFA. Pour une entreprise, il peut atteindre 5 % du chiffre d'affaires hors taxes du dernier exercice clos, dans la limite de 500 millions de francs CFA (article 51). Ces sanctions s'appliquent sans préjudice des sanctions pénales.

Questions fréquentes