Journal Officiel
La Commission Nationale pour la Protection des Données à Caractère Personnel (CNPDCP), en sa séance plénière du 15 juin 2021, composée de Joël Dominique LEDAGA, Président, Euloge NZAMBI, Questeur, Albert BOUSSOUGOU IBOUILY, Rapporteur, Steve SINGAULT NDINGA, François MEYE ME NDONG, Jean Raymond ZASSI MIKALA, Mesmin Théotime MONDJO EPENIT, Samuel MOUSSOUNDA IKAMOU et Philomène MBOUI épse BIYOGO. Tous, Commissaires Permanents ;
Vu la Constitution ;
Vu la directive n°07/08-UEAC-133-CM-18 du 19 décembre 2008 fixant le cadre juridique de la protection des droits des utilisateurs de réseaux et de services de communications électroniques au sein de la CEMAC ;
Vu la loi n°14/2005 du 08 août 2005 portant Code de Déontologie de la Fonction Publique ;
Vu la loi n°20/2005 du 03 janvier 2006 fixant les règles de création, d'organisation et de gestion des services de l'Etat, ensemble les textes modificatifs subséquents ;
Vu la loi n°19/2016 du 09 août 2016 portant Code de la Communication Audiovisuelle Cinématographique et Ecrite en République Gabonaise, ensemble les textes modificatifs subséquents ;
Vu la loi n°001/2011 du 25 septembre 2011 relative à la protection des données à caractère personnel ;
Vu la loi n°006/2020 du 30 juin 2020 portant Code Pénal de la République Gabonaise ;
Vu la délibération n°001/2018 du 16 juillet 2018 portant règlement intérieur de la Commission Nationale pour la Protection des Données à Caractère Personnel déclarée conforme à la Constitution par décision n°255bis/CC du 13 décembre 2018 ;
Vu le décret n°000163/PR/MISDDL du 20 juin 2018 portant nomination des membres de la Commission Nationale pour la Protection des Données à Caractère Personnel ;
Vu le décret n°00028/PR/MRICAAI du 18 mars 2020 portant réorganisation du Secrétariat Général de la Commission Nationale pour la Protection des Données à Caractère Personnel ;
Vu la délibération n°010/CNPDCP du 09 avril 2019 portant norme simplifiée n°002/2019 relative à l'exploitation des systèmes de vidéosurveillance et de télévidéosurveillance ;
Vu la déclaration de la société Airtel Gabon S.A du 29 avril 2021, portant traitements des données personnelles relatifs à la gestion des fichiers du personnel et des abonnés, à l'exploitation du système de télévidéosurveillance et à la communication par transmission des données des abonnés au cabinet Archives Afrique Consulting, reconnue sous la marque commerciale AGS archivage ;
Aux fins d'instruction, le Président de la Commission a désigné le Commissaire responsable sur le fondement de l'article 32 du règlement intérieur de la Commission et ses règles de procédures relatives aux formalités préalables et à la saisine ;
Après avoir entendu le Commissaire responsable en son rapport circonstancié, la Commission examine les points suivants :
I- L'IDENTIFICATION DE L'AUTEUR DE LA DEMANDE OU RESPONSABLE DU TRAITEMENT
-Dénomination sociale : AIRTEL GABON S.A.
-Adresse : LBS sis à la rue Pecqueur, Centre-ville, boîte postale : 9259, Libreville (Gabon) ;
-Domaine d'activité : Télécommunications.
II- L'OBJET DE LA DECLARATION
Afin de se conformer à la loi n°001/2011 du 25 septembre 2011 relative à la protection des données à caractère personnel, la société Airtel Gabon S.A a saisi la Commission, le 29 avril 2021, aux fins de délivrance d'un récépissé de déclaration relatif à la gestion des fichiers du personnel et des abonnés, à l'exploitation du système de télévidéosurveillance et à la communication par transmission des données des abonnés au cabinet Archives Afrique Consulting.
III- LES ELEMENTS CONSTITUTIFS DE LA DECLARATION
Au soutien de sa déclaration, le responsable du traitement a fourni un dossier comportant les éléments justificatifs suivants :
1- Les éléments relatifs à la gestion du fichier des employés et des abonnés :
-le document schématisant le circuit des données via Single view ;
-le document Guide de Référence Contacts et Clients Single view ;
-le formulaire de déclaration dûment rempli.
2- Les éléments relatifs à l'exploitation du système de télévidéosurveillance
-les documents décrivant le type de caméras utilisés ;
-le plan schématisé d'installation de la télévidéosurveillance dûment rempli.
3- Les éléments relatifs à la transmission du fichier des contrats du personnel et des abonnés à Archives Afrique Consulting
-le contrat de conservation et de gestion d'archives entre Airtel Gabon S.A et Archives Afrique Consulting travaillant sous la marque commerciale AGS ACHIVAGE ;
-le contrat de sous-traitance entre Airtel Gabon S.A et AGS Archivage.
IV- LES CONDITIONS PREALABLES DE MISE EN ŒUVRE ET D'EXPLOITATION DES TRAITEMENTS DES DONNEES PERSONNELLES AINSI QUE LES PRINCIPES ESSENTIELS DE LA PROTECTION DES DONNEES A CARACTERE PERSONNEL
Les dispositions des articles 7 et suivants de la loi n°001/2011 du 25 septembre 2011, relative à la protection des données à caractère personnel précisent les conditions préalables de la gestion des fichiers du personnel et des abonnés, de l'exploitation du système de télévidéosurveillance et de la communication par transmission des données puis, énoncent les principes essentiels de la protection des données à caractère personnel.
A- DES CONDITIONS PREALABLES DE LA GESTION DES FICHIERS DU PERSONNEL ET DES ABONNES, DE L'EXPLOITATION DU SYSTEME DE TELEVIDEOSURVEILIANCE ET DE LA COMMUNICATION PAR TRANSMISSION DES DONNEES
Les dispositions du chapitre IV à la section II, particulièrement les articles 51 et 52 de la loi n°001/2011 du 25 septembre 2011, encadrent les traitements automatisés ou non des données à caractère personnel.
-L'article 51, alinéa 1 de la loi n°001/2011 susvisée dispose que : « A l'exception de ceux qui relèvent des dispositions prévues aux articles 54, 55 et 56 ou qui sont visés à l'article 65 de la présente loi, les traitements automatisés des données à caractère personnel font l'objet d'une déclaration auprès de la Commission Nationale pour la Protection des Données à Caractère Personnel ».
-L'article 52, alinéa 3 de la même loi ordonne que : « La Commission délivre sans délai un récépissé, le cas échéant, par voie électronique. Le demandeur peut mettre en œuvre le traitement dès réception de ce récépissé ; il n'est exonéré d'aucune de ses responsabilités ».
B- DU RAPPEL DES PRINCIPES ESSENTIELS EN MATIERE DE COLLECTE ET DE TRAITEMENT DES DONNEES A CARACTERE PERSONNEL
Il s'agit d'une transposition des garanties des droits et libertés, basés sur les principes essentiels suivants :
|
N° |
Des principes essentiels au regard de la loi n°001/2011 du 25 septembre 2011 |
|
1
|
La loyauté et la licéité du traitement (Art 45) -les données doivent être collectées de manière loyale et leur traitement licite ; -le processus de traitement des données doit être opéré de manière transparente, en particulier vis-à-vis des personnes concernées ; -le responsable de traitement doit informer les personnes concernées avant le traitement de leurs données, sur la finalité du traitement, l'identité et l'adresse du responsable de traitement. |
|
2
|
La finalité (Art 45) -les données doivent être collectées pour des finalités déterminées, explicites, légitimes et non inhumaines, correspondant aux missions de l'organisation ou du responsable de traitement ; -leur traitement ne doit se faire ultérieurement et de manière incompatible avec les finalités poursuivies par l'opération envisagée. |
|
3
|
La proportionnalité (Art 45) -les catégories des données collectées pour le traitement doivent être nécessaires pour atteindre l'objectif général déclaré de l'opération envisagée ; -le responsable de traitement doit limiter la collecte des données aux informations pertinentes pour la finalité spécifique poursuivie par l'opération envisagée. |
|
4
|
La pertinence, l'exactitude et la qualité des données collectées (Art 45) -seules les données adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et traitées ultérieurement peuvent faire l'objet d'un traitement ; -les données doivent par ailleurs, être exactes et, si nécessaire, mises à jour ; -les données inexactes ou incomplètes doivent être effacées ou rectifiées. |
|
5
|
La temporalité ou la durée limitée de conservation des données (Art 68, 69 et 70) -la durée de conservation des données collectées doit être précisée ; -le principe de la conservation pendant une durée limitée impose de supprimer ou d'archiver les données sur support distinct protégé, dès qu'elles ne sont plus nécessaires aux finalités pour lesquelles elles ont été collectées ; -les exceptions aux principes de la conservation pendant une durée limitée doivent être définies par la législation et requièrent des garanties spéciales pour la protection des données concernées. |
|
6
|
La sécurisation et la confidentialité des données (Art 64 et 66) Le responsable de traitement est astreint à une obligation de sécurisation et de confidentialité des données traitées.
Aussi doit-il :
-mettre en œuvre les mesures techniques et d'organisations appropriées pour protéger les données personnelles collectées contre la destruction accidentelle ou illicite, la perte accidentelle, l'altération, la diffusion ou l'accès non autorisé ; -veiller à préserver et à garantir la confidentialité desdites données et éviter leur divulgation. |
|
7
|
La transparence et le consentement des personnes concernées (Art 13 et 14, 46 et 59) Avant la mise en œuvre de tout traitement des données à caractère personnel, le responsable de traitement doit :
-obtenir le consentement préalable des personnes concernées ; -informer, avant la collecte, les personnes concernées des caractéristiques essentielles du traitement (finalité du traitement, caractère obligatoire ou facultatif du recueil, destinataires des données collectées et droits consacrés à ces derniers au titre de la loi n°001/2011 du 25 septembre 2011) avant que les données ne soient communiquées pour la première fois à des tiers ou utilisées pour le compte de tiers à des fins de prospection ; -doit enfin, permettre le droit d'accès des personnes concernées. |
|
8
|
Le respect des droits des personnes concernées (Art 7) -toute personne a le droit d'obtenir du responsable de traitement la confirmation que celui-ci traite ou non ses données ; -les personnes concernées ont le droit :
-d'avoir accès à leurs données auprès du responsable du traitement ; -de faire rectifier ou supprimer (ou verrouiller, le cas échéant) leurs données par le responsable de traitement en cas de traitement illégal ; -de s'opposer au traitement de leurs données, en cas de non-conformité de celui-ci aux dispositions de la loi. |
|
9
|
Les droits des usagers et du personnel en matière de télévidéosurveillance (Art 7 de la norme simplifiée n°002/2019)
a) Informer les usagers -le responsable des systèmes de vidéosurveillance et de télévidéosurveillance est tenu d'informer le public, qu'il se trouve dans un lieu sous vidéosurveillance ou télévidéosurveillance. Il s'engage à mettre en place un dispositif de signalisation dans chaque zone équipée de caméras implantée de façon à être vue par le public ; -le public qui le souhaite doit être informé du nom du responsable du traitement, du nom du destinataire des images et des modalités d'exercice du droit des personnes notamment, le droit d'accès aux images et le droit de suppression.
b) Informer le personnel de l'entreprise -l'installation des caméras sur les lieux de travail n'est légale que si elle est justifiée par des impératifs de sécurité et non pour surveiller l'activité des salariés ; -par ailleurs, les salariés doivent être prévenus de la mise en place d'une vidéosurveillance et/ou télévidéosurveillance ; -les représentants du personnel sont préalablement informés et consultés sur les moyens techniques permettant un contrôle de l'activité des salariés. |
V- LES CARACTERISTIQUES DES DIFFERENTES COLLECTES ET TRAITEMENTS
Aux termes des dispositions de la loi n°001/2011 du 25 septembre 2011 suscitée, la gestion des fichiers du personnel et des abonnés, l'exploitation du système de télévidéosurveillance et la communication par transmission des données reposent sur les caractéristiques suivantes :
1) Les caractéristiques de la gestion des fichiers du personnel et des abonnés
Au sens de l'article 4 de la loi n°001/2011 du 25 septembre 2011, est considéré comme traitement des données à caractère personnel, toute opération ou ensemble d'opérations, effectuées à l'aide des procédés automatisés ou non et appliquées à des données, telles que la collecte, l'exploitation, l'enregistrement, l'organisation, la conservation, l'adaptation, la modification, l'extraction, la sauvegarde, la copie, la consultation, l'utilisation, la communication par transmission, la diffusion ou tout autre mise à disposition, le rapprochement ou l'interconnexion, ainsi que le verrouillage, le cryptage, l'effacement ou la destruction des données à caractère personnel, ainsi que l'interconnexion des réseaux.
Aux termes des conditions de licéité du traitement des données à caractère personnel, énoncées à l'article 45 et suivants de la loi n°001/2011 du 25 septembre 2011 suscitée, AIRTEL GABON S.A les décline ainsi qu'il suit :
-Sur la dénomination du traitement : « traitement des données personnelles ».
-Sur la finalité du traitement :
-la paie du personnel ;
-la gestion des abonnés.
-Sur les catégories des personnes concernées : il s'agit du personnel et des abonnés.
-Sur les catégories des données à caractère personnel collectées : Airtel Gabon S.A collecte et traite les données suivantes :
-Données du personnel
-noms, prénoms et situation familiale ;
-adresse et coordonnées ;
-date et lieu de naissance ;
-adresse électronique ;
-numéro de téléphone ;
-photo ;
-curriculum vitae ;
-informations bancaires ;
-numéro de la pièce d'identité.
-Données des abonnés
-noms, prénoms et situation familiale ;
-adresse et coordonnées ;
-date et lieu de naissance ;
-adresse électronique ;
-numéro de téléphone ;
-photo.
-Sur la durée de conservation des données : les données personnelles des salariés sont conservées pour la durée du contrat de travail et celles des abonnés pendant cinq ans.
-Sur l'information et le consentement des personnes concernées : la société Airtel Gabon S.A indique que les employés sont informés de l'enregistrement et du traitement de leurs données personnelles, par courrier électronique. Ils ont consenti lors de la signature du contrat de travail. Quant aux abonnés, ils sont informés de l'enregistrement, du traitement de leurs données personnelles et ont consenti lors de la signature du contrat d'abonnement.
-Sur l'exercice des droits d'accès, d'opposition, de rectification et de suppression : ils s'exercent auprès du Directeur Service client et du Directeur des Ressources Humaines.
2) Les caractéristiques du traitement relatives à l'exploitation du système de télévidéosurveillance
La télévidéosurveillance est considérée comme un système technique structuré en réseau permettant de surveiller à distance les lieux (publics ou privés), les machines (voir supervision et monitoring) ou les individus.
Le traitement relatif à l'exploitation du système de télévidéosurveillance repose sur les exigences légales et techniques. Ces exigences concernent l'analyse des aspects techniques et juridiques du Système.
a) L'analyse des aspects techniques du système de télévidéosurveillance
Airtel Gabon S.A à travers le sous-formulaire relatif à télévidéosurveillance renseigne sur :
-La localisation du système
-lieu d'installation du système de télévidéosurveillance : Entrepôt Oloumi ;
-nature de l'environnement sous télévidéosurveillance : Hangar d'entreposage des stocks techniques et commerciaux ;
-emplacement des caméras : intérieur et extérieur du hangar ;
-espaces visualisés :
-extérieur de l'entrepôt : cour/parking ;
-intérieur de l'entrepôt :
-centre de contrôle télévidéosurveillé (salle énergie, salle switch et guérite) ;
-caméras intérieures (porte d'entrée de l'entrepôt, porte du hall, porte de la salle énergie, porte de la salle switch).
-Les Caractéristiques et fonctionnalités du système
-caractéristiques de l'espace : non ouvert au public ;
-nombre de caméras :
-douze caméras intérieures ;
-six caméras extérieures.
-visualisation des images : en temps réel sans prise de son ;
-mode d'enregistrement des images : analogique avec possibilité de déterminer la caméra ayant filmé une scène. Un journal manuel garde la trace des opérations effectuées sur les flux vidéo.
-système de retransmission des images : retransmission des images en temps réel ;
-installateur du système de télévidéosurveillance : UTECH, numéro d'agrément 001-16474GV1 du 12 décembre 2008 ;
-superficie du bâtiment : LTC+LBS+9 étages.
-Sur la sécurité du traitement
-identité des personnes habilitées à accéder aux images : le Directeur informatique, le Responsable du Centre des Opérations et le Responsable du Centre des données ;
-mesures prises pour contrôler l'accès au poste central de surveillance : mot de passe, porte blindée, local surveillé, local fermé à clé ;
-mesures de sécurité prises pour la sauvegarde et la protection des enregistrements : sauvegarde et protection régulière sur disque dur ;
-mesures prises pour la suppression des enregistrements : suppression systématique des images après quinze jours;
b) L'analyse des aspects juridiques du système de télévidéosurveillance
-Sur la dénomination du traitement : « télévidéosurveillance ».
-Sur la finalité du traitement :
-la sécurité des personnes ;
-la surveillance des équipements techniques sensibles.
-Sur la catégorie des données collectées : exclusivement les images sans prise de son.
-Sur la durée de conservation des images : les images sont conservées pendant quinze jours.
-Sur l'information des personnes concernées : la société Airtel Gabon S.A indique que les personnes concernées sont informées du système de télévidéosurveillance, par la présence des panneaux d'affichage indiquant que les hangars d'entreposages des stocks techniques et commerciaux sont placés sous télévidéosurveillance.
-Sur le droit d'accès : il s'exerce auprès du Responsable du Centre des Opérations.
3) Les caractéristiques du traitement des données personnelles portant communication par transmission des données des abonnés au Cabinet Archives Afrique Consulting
La communication par transmission des données désigne la communication des données personnelles, quel que soit le type d'information, d'un endroit à un autre, par un moyen physique (ex : les messageries électroniques, le transfert des fichiers, le serveur médiateur sur internet, le circuit de transmission).
Aux termes des conditions de licéité du traitement des données à caractère personnel, énoncées à l'article 45 et suivants de la loi n°001/2011 du 25 septembre 2011 suscitée, Airtel Gabon S.A les décline ainsi qu'il suit :
-Sur la dénomination du traitement : « communication par transmission des données ».
-Sur la finalité du traitement : la gestion et le stockage des contrats GSM et Airtel Money des abonnés.
-Sur la catégorie des personnes concernées : il s'agit uniquement des abonnés.
-Sur la catégorie des données transmises : Airtel Gabon S.A collecte, communique et transmet les données suivantes :
-noms et prénoms ;
-date et lieu de naissance ;
-photo ;
-numéro de téléphone ;
-numéro SIM.
-Sur le destinataire des données transmises : les données personnelles des abonnés sont transmises au cabinet Archives Afrique Consulting BP : 25245, Libreville-Gabon.
-Sur la durée de conservation des données transmises : la durée de conservation des données personnelles transmises est de cinq ans.
-Sur l'information et le consentement des personnes concernées : la société Airtel Gabon S.A indique que les abonnés sont informés de l'enregistrement et du traitement de leurs données personnelles, par mention sur le document de collecte. Ils ont consenti lors de la signature du contrat d'abonnement.
-Sur les catégories des personnes habilitées à avoir accès aux informations, à procéder à leur consultation, modification ou mise à jour : le Responsable Service clients.
-Sur l'exercice des droits d'accès, d'opposition, de rectification et de suppression : ils s'exercent auprès du Directeur Service Clients.
VI- OBSERVATIONS
La société Airtel Gabon S.A collecte et traite les données à caractère personnel dans le cadre de son activité professionnelle. Par la présente déclaration, elle sollicite la mise en œuvre des traitements des données personnelles relatifs à la gestion des fichiers du personnel et des abonnés, à l'exploitation du système de télévidéosurveillance et à la communication par transmission des données des abonnés au cabinet Archives Afrique Consulting.
Toutefois, pour que cette collecte soit conforme à la loi n°001/2011 du 25 septembre 2011 susvisée et à la délibération n°010/CNPDCP du 09 avril 2019 relative à l'exploitation des systèmes de vidéosurveillance et de télévidéosurveillance, Airtel Gabon S.A doit remplir certaines obligations spécifiques.
La Commission note que les employés et les abonnés ont respectivement consenti de manière libre, claire et sans équivoque à la décision de collecte et de traitement de leurs données personnelles, lors de la signature du contrat de travail et du contrat d'abonnement.
Concernant le traitement relatif à la télévidéosurveillance, la Commission rappelle que l'installation des caméras sur les lieux de travail n'est légale que si elle est justifiée par des impératifs de sécurité, et non pour surveiller l'activité des salariés. En outre, les images des employés sont collectées de manière loyale et licite, avec pour finalités : la sécurité des personnes et la surveillance des équipements techniques sensibles. Elle note par ailleurs que dans la limite de leurs attributions respectives, les personnes habilitées à accédées aux images sont : le Directeur informatique, le Responsable du Centre des Opérations et le Responsable du Centre des données.
S'agissant du traitement relatif à la communication par transmission des données, la société Airtel Gabon S.A transmet à Archives Afrique Consulting, les contrats GSM et Airtel Money des abonnés, aux fins de gestion et de stockage. Ce Cabinet devient par conséquent un sous-traitant, puisqu'il gère et stocke les données pour le compte d'Airtel Gabon S.A.
Ainsi, conformément aux dispositions de l'article 65 de la loi n°001/2011 précitée, ARCHIVES AFRIQUE CONSULTING a les mêmes obligations qu'AIRTEL GABON S.A en matière de sécurité et de confidentialité des données.
A cet effet, la Commission rappelle qu'en application de l'alinéa 3 de l'article 65 cité ci-dessus, un contrat liant le sous-traitant au responsable du traitement doit être établi. Ce contrat doit comporter les indications incombant au sous-traitant en matière de protection, de sécurité et de confidentialité des données et prévoir que le sous-traitant ne peut agir que sur instruction du responsable du traitement.
Au regard des dispositions des articles 7 et suivants de la loi n°001/2011, les employés et les abonnés ont le droit d'accéder à leurs données, de les faire rectifier, supprimer et de s'opposer auprès du responsable du traitement notamment, des Directeurs des Ressources Humaines (DRH) et du Service Clients.
Par ailleurs, la Commission estime que la durée de conservation des données relatives à la gestion du fichier du personnel correspond à la durée du contrat de travail ; celle relative à la gestion du fichier des abonnés est de cinq an. La Commission juge raisonnable ces délais de conservation déterminés par le responsable du traitement et les considère comme justifiés, au vu des finalités poursuivies par les traitements. Les images enregistrées sans prise de son par le système de télévidéosurveillance doivent être conservées pendant quinze jours.
Toutefois, elle rappelle que les données à caractère personnel doivent être conservées pendant une durée qui n'excède pas la période nécessaire aux finalités pour lesquelles elles ont été collectées ou traitées.
Au surplus, elle se satisfait du respect des conditions de licéité du traitement et d'exploitation des données personnelles, ainsi que des obligations de transparence, de confidentialité, de sécurité, de conservation et de pérennité remplies par le responsable de traitement.
En conséquence, la Commission conclut que les traitements des données personnelles relatifs à la gestion des fichiers du personnel et des abonnés, à l'exploitation du système de télévidéosurveillance et à la communication par transmission des données des abonnés au cabinet Archives Afrique Consulting, mis en œuvre par la société Airtel Gabon S.A, sont conformes à la loi n°001/2011 du 25 septembre 2011 relative à la protection des données à caractère personnel et à la norme y relative.
Au vu de ce qui précède et après en avoir délibéré ;
D E C I D E :
Article 1er : Un récépissé de déclaration est délivré pour une durée de un an à Airtel Gabon S.A, pour ses traitements des données personnelles relatifs, à la gestion des fichiers du personnel et des abonnés, à l'exploitation du système de télévidéosurveillance puis, à la communication par transmission des données des abonnés au Cabinet Archives Afrique Consulting.
La norme simplifiée n°002/2019 relative à l'exploitation des systèmes de vidéosurveillance et de télévidéosurveillance est annexée au présent récépissé de déclaration.
Article 2 : La présente délibération est susceptible de recours devant le Conseil d'Etat dans un délai de deux mois à compter de sa notification.
Article 3 : La présente délibération sera publiée au Journal Officiel de la République Gabonaise.
Fait à Libreville, le 15 juin 2021
Pour le Président
Le Questeur
Euloge NZAMBI