Journal Officiel
La Commission Nationale pour la Protection des Données à Caractère Personnel (CNPDCP), en sa séance plénière du 09 février 2022, composée de Joël Dominique LEDAGA, Président, Euloge NZAMBI, Questeur, Albert BOUSSOUGOU IBOUILY,
Rapporteur, Steve SINGAULT NDINGA, François MEYE ME NDONG, Jean Raymond ZASSI MIKALA, Mesmin MONDJO EPENIT, Samuel MOUSSOUNDA IKAMOU et Philomène MBOUI épse BIYOGO. Tous, Commissaires Permanents ;
Vu la Constitution ;
Vu la Directive n°07/08-UEAC-133-CM-18 du 19 décembre 2008 fixant le cadre juridique de la protection des droits des utilisateurs de réseaux et de services de communications électroniques au sein de la CEMAC ;
Vu la loi n°14/2005 du 08 août 2005 portant Code de Déontologie de la Fonction Publique ;
Vu la loi n°20/2005 du 03 janvier 2006 fixant les règles de création, d'organisation et de gestion des services de l’Etat, ensemble les textes modificatifs subséquents ;
Vu la loi n°001/2011 du 25 septembre 2011 relative à la protection des données à caractère personnel ;
Vu la loi n°19/2016 du 09 août 2016 portant Code de la Communication Audiovisuelle-Cinématographique et Ecrite en République Gabonaise, ensemble les textes modificatifs subséquents ;
Vu le décret n°000163/PR/MISDDL du 20 juin 2018 portant nomination des membres de la Commission Nationale pour la Protection des Données à Caractère Personnel ;
Vu le décret n°00028/PR/MRICAAI du 18 mars 2020 portant réorganisation du Secrétariat Général de la Commission Nationale pour la Protection des Données à Caractère Personnel ;
Vu la loi n°006/2020 du 30 juin 2020 portant Code Pénal de la République Gabonaise ;
Vu la délibération n°001/2018 du 16 juillet 2018 portant règlement intérieur de la Commission Nationale pour la Protection des Données à Caractère Personnel, déclarée conforme à la Constitution par décision n°255bis/CC du 13 décembre 2018 ;
Vu les demandes de Citibank Gabon S.A du 16 novembre 2021 et du 07 janvier 2022, aux fins de délivrance d’une autorisation de transfert des données personnelles des employés vers l’Irlande et le Japon ;
Aux fins d’instruction, le Président de la Commission a désigné le Commissaire rapporteur sur le fondement de l’article 32 du règlement intérieur de la Commission et ses règles de procédures relatives aux formalités préalables et à la saisine ;
Après l’avoir entendu en son rapport circonstancié, la Commission examine les points suivants :
I-L’IDENTIFICATION DE L’AUTEUR DE LA DEMANDE OU RESPONSABLE DU TRAITEMENT
-Dénomination sociale : CITIBANK GABON S.A ;
-Adresse : 810 Boulevard Quaben Rue Kringer, boîte postale : 3940, Libreville (Gabon) ;
-Domaine d’activité : Banque.
II-L’OBJET DE LA DEMANDE
Afin de se conformer à la loi n°001/2011 du 25 septembre 2011 relative à la protection des données à caractère personnel, Citibank Gabon S.A a saisi la Commission, le 16 novembre 2021 et le 07 janvier 2022 aux fins de délivrance d’une autorisation de transfert des données personnelles de ses employés vers l’Irlande et le Japon.
III-LES ELEMENTS CONSTITUTIFS DE LA DEMANDE
Au soutien de sa demande, le responsable du traitement a fourni un dossier comportant les éléments justificatifs suivants :
-un document présentant les détails de l’initiative/projet ;
-un document relatif au transfert des données ;
-deux sous-formulaires relatifs au transfert des données vers un pays tiers qui mentionnent comme pays destinataires du transfert l’Irlande et le Japon, dûment remplis.
IV-LES CONDITIONS PREALABLES DE MISE EN ŒUVRE DES TRAITEMENTS DES DONNEES PERSONNELLES ET LES PRINCIPES ESSENTIELS DE LA PROTECTION DES DONNEES A CARACTERE PERSONNEL
Au sens de la loi n°001/2011 du 25 septembre 2011, relative à la protection des données à caractère personnel, Citibank Gabon S.A sollicite un traitement des données à caractère personnel dont la mise en œuvre obéit à des conditions préalables auxquelles sont attachés des principes essentiels en matière de protection des données personnelles.
Les dispositions des articles 94 et 95 de la section II du chapitre IV de la présente loi, encadrent les opérations de transfert des données du Gabon vers un pays tiers, en énonçant que :
-Article 94 : « Le responsable du traitement ne peut transférer des données à caractère personnel vers un autre Etat que si cet Etat assure un niveau de protection suffisant de la vie privée, des libertés et droits fondamentaux des personnes à l’égard du traitement dont ces données font l’objet ou peuvent faire l’objet.
Le caractère suffisant du niveau de protection assuré par un Etat s’apprécie en fonction notamment des dispositions en vigueur dans cet Etat, des mesures de sécurité qui y sont appliquées, des caractéristiques propres du traitement, telles que ses fins et sa durée, ainsi que de la nature, de l’origine et de la destination des données traitées.
La Commission Nationale pour la Protection des Données à Caractère Personnel s’assure et publie la liste des Etats qui garantissent un niveau de protection suffisant à l’égard de tout transfert des données à caractère personnel ».
-Article 95 : « Toutefois, le responsable d’un traitement peut transférer des données à caractère personnel vers un Etat ne répondant pas aux conditions prévues si la personne à laquelle se rapportent les données a consenti expressément à leur transfert ou si le transfert est nécessaire à l’une des conditions suivantes :
-à la sauvegarde de la vie de cette personne ;
-à la sauvegarde de l’intérêt public ;
-au respect d’obligations permettant d’assurer la consultation, l’exercice ou la défense d’un droit en justice ;
-à la consultation, dans des conditions régulières, d’un registre public qui, en vertu des dispositions législatives ou réglementaires, est destiné à l’information du public et est ouvert à la consultation de celui-ci ou de toute autre personne justifiant d’un intérêt légitime ;
-à l’exécution d’un contrat entre le responsable du traitement et l’intéressé, ou des mesures précontractuelles prises à la demande de celui-ci ; -à la conclusion ou à l’exécution d’un contrat conclu ou à conclure, dans l’intérêt de la personne concernée, entre le responsable de traitement et un tiers.
Il peut être également fait exception à l’interdiction prévue à l’article 94 ci-dessus, par décision de la Commission Nationale pour la Protection des Données à Caractère Personnel ou, s’il s’agit d’un traitement mentionné à l’article 56 ci- dessus, par décret pris après avis motivé et publié de la Commission, lorsque le traitement garantit un niveau de protection suffisant de la vie privée ainsi que des libertés et droits fondamentaux des personnes, notamment, en raison des clauses contractuelles ou règles internes dont il fait l’objet.
La Commission porte à la connaissance des autres Etats, les décisions d’autorisations de transfert des données à caractère personnel qu’elle prend au titre de l’alinéa précédent ».
B-DES PRINCIPES ESSENTIELS EN MATIERE DE COLLECTE ET DE TRAITEMENT DES DONNEES A CARACTERE PERSONNEL
Il s’agit d’une transposition des garanties des droits et libertés, basés sur les principes essentiels suivants :
V-LES CARACTERISTIQUES DU TRANSFERT DES DONNEES PERSONNELLES
Aux termes de la loi n°001/2011 du 25 septembre 2011 susvisée, est considéré comme transfert des données personnelles, toute communication, copie ou déplacement des données personnelles ayant vocation à être traité dans un pays tiers.
Aux termes des conditions énoncées à l’article 94 de la loi n°001/2011 du 25 septembre 2011, les caractéristiques des transferts des données se déclinent ainsi qu’il suit :
-Sur la dénomination du traitement : « transfert des données personnelles ».
-Sur la finalité du traitement : la gestion du personnel.
-Sur la durée de conservation : six (6) ans pour l’Irlande et cinq (05) ans pour le Japon au terme du contrat de travail.
-Sur la nature des données : Citibank Gabon S.A collecte et traite les données suivantes :
-Données du personnel transférées vers l’Irlande :
-noms et prénoms ;
-date et lieu de naissance ;
-adresse mail ;
-pièce d’identité ;
-photo ;
-vidéo enregistrée de l’employé ;
-enregistrement vocal de l’employé.
-Données du personnel transférées vers le Japon :
-noms et prénoms ;
-adresse et coordonnées ;
-date et lieu de naissance ;
-numéro de téléphone.
-Sur l’origine des données traitées : il s’agit des données des employés.
-Sur les destinataires des données : les données sont transférées vers l’Irlande et le Japon, respectivement à Citibank Europe Plc Irlande, 1 North Wall Quay et à Citigroup Services Japon GK, 1-1-1 Otemachi Park Building.
-Sur l’existence des autorités de protection : l’Irlande et le Japon sont dotés d’autorités de protection des données personnelles, respectivement dénommées : « Data Protection Commissioner » et « The Personal Information Protection Commission (PPC) ».
VI-OBSERVATIONS
CITIBANK GABON S.A collecte et traite les données à caractère personnel dans le cadre de son activité bancaire. Elle sollicite le transfert quotidien par voie électronique, des données personnelles de ses employés vers l’Irlande et le Japon.
La Commission note que :
-Le transfert des données personnelles vers l’Irlande et le Japon, respectivement à Citibank Europe Plc Irlande et Citigroup Services Japon GK, des fichiers ‘‘GLOBAL HR CITI GRATITUDE’’ et ‘‘GLOBAL CTI-TCP WAVE NATWORK MANAGEMENT ’’, a respectivement pour but le stockage via l’application Globoforce des données médias (photos, vidéos et enregistrement) et la gestion du personnel en vue de développer la connectivité et consolider la gestion des adresses IP.
-Les employés sont informés de l’enregistrement et du traitement de leurs données personnelles et y ont consenti, lors de la signature du contrat de travail et lors du renseignement et de la signature du formulaire de consentement.
-Les employés disposent d’un droit d’accès, de rectification, de suppression et d’opposition à leurs données personnelles auprès du Directeur Conformité. -Par ailleurs, les durées de conservation des données des employés transférées vers l’Irlande et le Japon sont de six (6) et de cinq (05) ans au terme du contrat de travail.
Toutefois, la Commission rappelle que les données à caractère personnel doivent être conservées pendant une durée qui n’excède pas la période nécessaire aux finalités pour lesquelles elles ont été collectées ou traitées.
-Conformément à la loi n°001/2011, le responsable de traitement respecte les conditions de licéité ainsi que les obligations de transparence, de confidentialité, de sécurité, de conservation et de pérennité.
En conséquence, la Commission conclut que le traitement des données personnelles relatif au transfert des données des employés vers l’Irlande et le Japon, mis en œuvre par Citibank Gabon S.A, est conforme à la loi n°001/2011 du 25 septembre 2011 relative à la protection des données à caractère personnel.
Au vu de ce qui précède et après en avoir délibéré ;
DECIDE :
Article 1er : Une autorisation de transfert des données personnelles des employés vers l’Irlande et le Japon est délivrée à Citibank Gabon S.A, pour une durée d’un (1) an.
Article 2 : La présente délibération est susceptible de recours devant le Conseil d’Etat dans un délai de deux (2) mois à compter de sa notification.
Article 3 : La présente délibération sera publiée au Journal Officiel de la République Gabonaise.
Fait à Libreville, le 10 février 2022
Le Président
Joël Dominique LEDAGA