Journal Officiel
La Commission Nationale pour la Protection des Données à Caractère Personnel (CNPDCP), en sa séance plénière du 23 mars 2023, composée de Joël Dominique LEDAGA, Président, Euloge NZAMBI, Questeur, Albert BOUSSOUGOU IBOUILY, Rapporteur, Steve SINGAULT NDINGA, François MEYE ME NDONG, Jean Raymond ZASSI MIKALA, Mesmin MONDJO EPENIT, Samuel MOUSSOUNDA IKAMOU et Philomène MBOUI épse BIYOGO. Tous, Commissaires Permanents.
Vu la Constitution ;
Vu l’Avis n°26/CC du 13 août 2013 relatif à la demande du Premier Ministre sur les formalités préalables à la mise en œuvre d’un traitement des données à caractère personnel, dans le cadre du recensement général de la population et des logements 2013 ;
Vu l’Avis n°34/CC du 17 octobre 2013 relatif à la requête du Premier Ministre portant sur le contrôle de constitutionnalité de l’arrêté n°578/MEEDD du 02 octobre 2013, autorisant la création d’un traitement des données à caractère personnel relatif au recensement général de la population et des logements en République Gabonaise ;
Vu la Directive n°07/08-UEAC-133-CM-18 du 19 décembre 2008 fixant le cadre juridique de la protection des droits des utilisateurs de réseaux et de services de communications électroniques au sein de la CEMAC ;
Vu la loi n°14/2005 du 08 août 2005 portant code de déontologie de la Fonction Publique ;
Vu la loi n°20/2005 du 03 janvier 2006 fixant les règles de création, d'organisation et de gestion des services de l’Etat ensemble les textes modificatifs subséquents ;
Vu la loi n°001/2011 du 25 septembre 2011 relative à la protection des données à caractère personnel ;
Vu la loi n°19/2016 du 09 août 2016 portant code de la communication audiovisuelle-cinématographique et écrite en République Gabonaise, ensemble les textes modificatifs subséquents ;
Vu la loi n°006/2020 du 30 juin 2020 portant code pénal de la République Gabonaise ;
Vu le décret n°000163/PR/MISDDL du 20 juin 2018 portant nomination des membres de la Commission Nationale pour la Protection des Données à Caractère Personnel ;
Vu le décret n°00029/PR/MRICAAI du 18 mars 2020 portant réorganisation du Secrétariat Général de la Commission Nationale pour la Protection des Données à Caractère Personnel ;
Vu la délibération n°001/2018 du 16 juillet 2018 portant règlement intérieur de la Commission Nationale pour la Protection des Données à Caractère Personnel, déclarée conforme à la Constitution par décision n°255bis/CC du 13 décembre 2018 ;
Vu la lettre n°00635/MEN/SG/CE-MMRF du 28 février 2023 du Ministère de l’Economie Numérique, aux fins de délivrance d’un d’avis motivé relatif au projet de loi portant réglementation de la cybersécurité et de la lutte contre la cybercriminalité en République Gabonaise ;
Aux fins d’instruction, le Président de la Commission a désigné le Commissaire Rapporteur sur le fondement de l’article 32 du règlement intérieur de la Commission et ses règles de procédures relatives aux formalités préalables et à la saisine.
Après l’avoir entendu en son rapport circonstancié, la Commission examine et se prononce sur les points suivants :
I- IDENTIFICATION DE L’AUTEUR DE LA SAISINE
Le Ministère de l’Economie Numérique
-Adresse : 5ème étage Immeuble « Les 4 perles », Batterie IV. BP : 2256, Libreville Gabon.
-Domaine d’activité : Economie Numérique.
II- L’OBJET DE LA SAISINE
Le Ministère de l’Economie Numérique a saisi la Commission, le 28 février 2023, aux fins de délivrance d’un avis motivé relatif au projet de loi portant réglementation de la cybersécurité et de la lutte contre la cybercriminalité en République Gabonaise pour se conformer à la loi n°001/2011 du 25 septembre 2011 relative à la protection des données à caractère personnel.
III- LES ELEMENTS CONSTITUTIFS DE LA DEMANDE
Au soutien de sa demande d’avis motivé, le Ministère en charge de l’Economie Numérique a fourni un dossier comportant les éléments justificatifs suivants :
-une lettre adressée à la Commission ;
-un projet de loi portant réglementation de la cybersécurité et de la lutte contre la cybercriminalité en République Gabonaise.
IV- DU FONDEMENT LEGAL DE LA DEMANDE
La saisine de la Commission Nationale pour la Protection des Données à Caractère Personnel (CNPDCP) par le Ministère de l’Economie Numérique, est fondée sur la loi n°001/2011 du 25 septembre 2011 relative à la Protection des Données à Caractère Personnel.
En effet, l’article 33-4 de la loi n°001/2011 du 25 septembre 2011 susvisée dispose que : « La Commission se tient informée de l’évolution des technologies de l’information et rend publique le cas échéant, son appréciation des conséquences qui en résultent pour l’exercice des droits et libertés mentionnés à l’article 1er ».
De même, l’article 33-4.a de la loi n°001/2011 précitée, précise que : « La Commission est consultée sur tout projet de loi ou décret relatif à la protection des personnes à l’égard des traitements automatisés ».
La procédure de saisine pour avis motivé de la Commission a été confortée par la jurisprudence de la Cour Constitutionnelle qui, dans son avis n°26/CC du 13 août 2013 relatif à la demande du Premier Ministre sur les formalités préalables à la mise en œuvre d’un traitement des données à caractère personnel, dans le cadre du recensement général de la population et des logements 2013, affirme que : « Un acte réglementaire qui donne lieu à un traitement des Données à Caractère Personnel, qu’il s’agit de la collecte des données informatives sur les individus, leur environnement de vie et leur situation socioéconomique et démographique sont autorisés par arrêté pris après avis motivé et publié de la Commission. Ainsi, le Ministre initiateur doit soumettre préalablement le projet d’arrêté portant création du traitement à l’avis motivé et publié de la Commission ».
Dans un autre avis n°34/CC du 17 octobre 2013 relatif à la requête du Premier Ministre portant sur le contrôle de constitutionnalité de l’arrêté n°578/MEEDD du 02 Octobre 2013, autorisant la création d’un traitement des données à caractère personnel relatif au recensement général de la population et des logements en République Gabonaise, le juge constitutionnel rappelle que : « la procédure d’élaboration de l’arrêté autorisant un traitement automatisé des données personnelles est déclarée régulière qu’après avoir obtenu l’avis motivé de la Commission Nationale pour la Protection des Données à Caractère Personnel ».
La saisine de la Commission est une exigence légale et par conséquent obligatoire.
Aux termes de l’article 83 alinéa 1 de la loi n°001/2011 du 25 septembre 2011, la Commission Nationale pour la Protection des Données à Caractère Personnel dispose, à compter de sa saisine par le demandeur, d'un délai de deux mois, renouvelable une seule fois, pour se prononcer. A défaut de décision dans ce délai, ce silence vaut décision d'acceptation.
Au regard de la matière du présent projet de loi dont l’objectif est de fixer le cadre juridique de la mise en œuvre de la cybersécurité et de la lutte contre la cybercriminalité en République Gabonaise, il y a lieu de faire application des dispositions de l’article 33-4.a de la loi n°001/2011 précitée, qui précise que : « La Commission est consultée sur tout projet de loi ou décret relatif à la protection des personnes à l’égard des traitements automatisés ».
Cependant, il paraît opportun d’apprécier l’opportunité d’un tel projet de loi en République Gabonaise, en rappelant au préalable les principes essentiels en matière de protection des données à caractère personnel.
|
N° |
Des principes essentiels au regard de la loi n°1/2011 du 25 septembre 2011 |
|
1 |
La loyauté et la licéité du traitement (Art 45) -Les données doivent être collectées de manière loyale et leur traitement licite ; -le processus de traitement des données doit être opéré de manière transparente, en particulier vis-à-vis des personnes concernées ; -le responsable de traitement doit informer les personnes concernées avant le traitement de leurs données, sur la finalité du traitement, l’identité et l’adresse du responsable de traitement. |
|
2 |
La finalité (Art 45) -Les données doivent être collectées pour les finalités déterminées, explicites, légitimes et non inhumaines, correspondant aux missions de l’organisation ou du responsable de traitement ; -leur traitement ne doit se faire ultérieurement et de manière incompatible avec les finalités poursuivies par l’opération envisagée. |
|
3 |
La proportionnalité (Art 45) Les catégories des données collectées pour le traitement doivent être nécessaire pour atteindre l’objectif général déclaré de l’opération envisagée ; -le responsable de traitement doit limiter la collecte des données aux informations pertinentes pour la finalité spécifique poursuivie par l’opération envisagée. |
|
4 |
La pertinence, l’exactitude et la qualité des données collectées (Art 45) -Seules les données adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et traitées ultérieurement peuvent faire l’objet d’un traitement ; -les données doivent par ailleurs, être exactes et, si nécessaire, mises à jour ; -les données inexactes ou incomplètes doivent être effacées ou rectifiées. |
|
5 |
La temporalité ou la durée limitée de conservation des données (Art 68, 69 et 70) La durée de conservation des données collectées doit être précisée ; -le principe de la conservation pendant une durée limitée impose de supprimer ou d’archiver les données sur support distinct protégé, dès qu’elles ne sont plus nécessaires aux finalités pour lesquelles elles ont été collectées ; -les exceptions aux principes de la conservation pendant une durée limitée doivent être définies par la législation et requièrent des garanties spéciales pour la protection des données concernées. |
|
6 |
La sécurisation et la confidentialité des données (Art 64 et 66) Le responsable de traitement est astreint à une obligation de sécurisation et de confidentialité des données traités. Aussi doit-il : -mettre en œuvre les mesures techniques et d’organisations appropriées pour protéger les données personnelles collectées contre la destruction accidentelle ou illicite, la perte accidentelle, l’altération, la diffusion ou l’accès non autorisé ; -veiller à préserver et à garantir la confidentialité desdites données et éviter leur divulgation. |
|
7 |
La transparence et le consentement des personnes concernées (Art 46 et 59) Avant la mise en œuvre de tout traitement des données à caractère personnel, le responsable de traitement doit : -obtenir le consentement préalable des personnes concernées ; -informer, avant la collecte, les personnes concernées des caractéristiques essentielles du traitement (finalité du traitement, caractère obligatoire ou facultatif du recueil, destinataires des données collectées et droits consacrés à ces derniers au titre de la loi n°001/2011 du 25 septembre 2011) avant que les données ne soient communiquées pour la première fois à des tiers ou utilisées pour le compte des tiers à des fins de prospection ; -doit enfin, permettre le droit d’accès des personnes concernées. |
|
8 |
Le respect des droits des personnes concernées (Art 7, 13 et 14) -Toute personne a le droit d’obtenir du responsable de traitement la confirmation que celui-ci traite ou non ses données ; -les personnes concernées ont le droit : -d’avoir accès à leurs données auprès du responsable de traitement ; -de faire rectifier ou supprimer (ou verrouiller, le cas échéant) leurs données par le responsable de traitement en cas de traitement illégal ; -de s’opposer au traitement de leurs données, en cas de non-conformité de celui-ci aux dispositions de la loi. |
V-DE L’OPPORTUNITE D’UNE LOI REGLEMENTANT LA CYBERSECURITE ET LA LUTTE CONTRE LA CYBERCRIMINALITE EN REPUBLIQUE GABONAISE
Considérant que de façon générale, la cybersécurité fait référence à la protection des systèmes connectés à internet contre les menaces présentes dans le cyberespace. Cette approche implique la protection des logiciels, des données et des équipements informatiques ; elle contribue à empêcher les cybercriminels d’accéder aux appareils et aux réseaux.
Considérant que sur le plan sous régional, la législation CEMAC pose le cadre juridique commun de la protection des utilisateurs de réseaux et de service de communications électroniques, à travers la Directive n°07/08-UEAC-133-CM-18 du 19 décembre 2008 fixant le cadre juridique de la protection des droits des utilisateurs de réseaux et de services de communications électroniques au sein de la CEMAC ;
Que cette Directive vise à garantir aux utilisateurs un certain nombre de droits en termes de respect de la vie privée, de qualité et de permanence des services, d’information, de traitement de données à caractère personnel et de protection à l’égard de la Cybercriminalité ;
Que l’article 18 de la présente Directive dispose que : « Les Etats membres s’engagent à mettre en place une politique et des mesures techniques et administratives visant à garantir la sécurité des communications électroniques. Ils s’engagent également à mettre en place une politique pénale commune en vue de protéger leur population contre les infractions commises à travers l’utilisation des communications électroniques, notamment par l’adoption de législations nationales appropriées et par l’amélioration de la coopération régionale et internationale.
Les Etats Membres pourront s’inspirer des principes dégagés dans la Convention de Budapest sur la cybercriminalité du 23 novembre 2001 pour définir les infractions à poursuivre : infractions contre la confidentialité, l’intégrité et la disponibilité des données et systèmes informatiques (accès illégal, interception illégale, atteinte à l’intégrité des données, atteinte à l’intégrité du système, abus de dispositifs), falsifications et fraudes informatiques, infractions se rapportant au contenu (pornographie infantile, propos racistes), infractions liées aux atteintes à la propriété intellectuelle».
Considérant que l’institutionnalisation d’une loi réglementant la cybersécurité et la lutte contre la cybercriminalité en République Gabonaise puise donc son inspiration de la Directive CEMAC visée ci-dessus.
Que de ce fait, la Commission relève que le présent projet de loi constitue une avancée significative pour notre Etat, dans la mesure où il fixe le cadre juridique de sécurité des systèmes d’information aux fins de prévenir les dangers de la société de l’information.
Que toute évolution technologique majeure résultant de l’essor informatique et de l’internet court des nombreux risques, notamment : l’accès illégal, l’interception illégale, l’atteinte à l’intégrité des données et à l’intégrité du système, l’abus de dispositifs, les falsifications et fraudes informatiques, les infractions se rapportant au contenu (pornographie infantile, propos racistes etc.).
Qu’à cet effet, la Commission souligne que les nouvelles technologies de l’information attirent les cybercriminels dans le cyberespace. A travers ce projet de loi, un ensemble de mesure de prévention, de protection et de dissuasion d’ordre technique, organisationnel, juridique, financier, humain, procédural et autres actions permettant d’atteindre les objectifs de sécurité fixés à travers les réseaux de communications électroniques, des systèmes d’information et pour la protection de la vie privée des personnes est mis en place.
Considérant que le numérique génère un risque très élevé en terme de sécurité et de confidentialité des données. Il est en effet très simple de « hacker » les données à partir d’un réseau wifi public, de se connecter à distance à la messagerie, voire d’écoutes téléphoniques, lorsqu’il s’agit des transactions financières ou de tractations commerciales stratégiques. C’est pourquoi l’article 1 de la Directive n°9/08-UEAC-133-CM-18 harmonisant les régimes des activités de communications électroniques dans les Etats membres de la CEMAC définit la protection des données personnelles comme une exigence essentielle.
Que l’adoption de ce projet de loi permettra donc à notre Etat de s’arrimer non seulement aux standards internationaux mais également de faire face aux défis de l’ère du numérique, en garantissant la gestion des incidents de cybersécurité c’est-à-dire, le processus de détection, de signalement et d’évaluation des incidents de cybersécurité, ainsi que les mesures d’intervention et de traitement y afférents tout en réprimandant les cybercriminels.
VI- DES OBSERVATIONS DE LA COMMISSION SUR LE PROJET DE LOI PORTANT REGLEMENTATION DE LA CYBERSECURITE ET DE LA LUTTE CONTRE LA CYBERCRIMINALITE EN REPUBLIQUE GABONAISE
Après avoir examiné le présent projet de loi portant réglementation de la cybersécurité et de la lutte contre la cybercriminalité en République Gabonaise, la Commission Nationale pour la Protection des Données à Caractère Personnel (CNPDCP) recommande la réécriture des dispositions suivantes en application des dispositions de l’article 33-4a de la loi n°001/2011 du 25 septembre 2011 relative à la protection des données à caractère personnel :
TITRE Ier : DES DISPOSITIONS GENERALES
Chapitre II : Des définitions
La Commission Nationale pour la Protection des Données à Caractère Personnel (CNPDCP) estime que certaines définitions doivent être complétées ainsi qu’il suit :
Article 5 :
-démembrement de l’Etat : entité étatique décentralisée ;
-données confidentielles : informations qui ne doivent être communiquées ou rendues accessibles qu'aux personnes et aux entités autorisées.
TITRE II : DU CADRE INSTITUTIONNEL DE LA CYBERSECURITE ET DE LA LUTTE CONTRE LA CYBERCRIMINALITE
La Commission estime nécessaire de préciser et de compléter le cadre institutionnel :
Article 7 : Le cadre institutionnel comprend notamment :
-le Ministère en charge de l'Economie Numérique ;
-le Ministère en charge de la Justice ;
-le Ministère en charge de la Défense Nationale ;
-le Ministère en charge de la Sécurité Intérieure ;
-le Ministère en charge de l’économie ;
-les démembrements de l’Etat ;
-les institutions et organismes de support ou d’appui.
Les attributions détaillées des institutions et organismes visés ci-dessus sont fixées par les dispositions des textes réglementaires.
TITRE III : DE LA CYBERSECURITE
Chapitre Ier : De la protection des infrastructures et services critiques
La Commission propose des corrections sur la forme :
Article 12 al 3 : Dans ce cas, l’opérateur d’infrastructure critique est tenu de modifier sa liste conformément à ces observations et transmet la liste modifiée à l'autorité administrative compétente, dans un délai fixé par un texte réglementaire.
Chapitre II : De la protection des réseaux de communications électroniques
La Commission pense que l’article 22 actuel du projet de loi n’est pas compréhensible et propose la réécriture suivante en application des dispositions de l’article 33-4a de la loi n°001/2011 du 25 septembre 2011 relative à la protection des données à caractère personnel :
Article 22 : Les opérateurs de réseaux de communications électroniques installés sur le territoire national sont tenus de disposer d'un centre de gestion opérationnelle de leurs données.
Chapitre III : De la protection des systèmes d’information
Section 1 : Dispositions spécifiques à l’Etat et ses démembrements
La Commission rappelle que la définition ‘‘données sensibles’’ mentionnée à l’article 27 du présent projet de loi est consacrée car, notre Constitution énumère en son article 1er des droits inviolables et imprescriptibles dont certains sont contenus dans l’article 47 de la loi n°001/2011 du 25 septembre 2011 citée ci-dessus, parmi lesquels, les origines raciales ou ethniques, les opinions politiques, philosophiques, les convictions religieuses ou l'appartenance syndicale des personnes, les données biométriques et génétiques, ainsi que les données relatives à la santé, à la vie sexuelle ou à l'orientation sexuelle, interdites de collecte et de traitement.
Par ailleurs, il en est de même pour la Convention de l’Union Africaine sur la cybersécurité et la protection des données à caractère personnel, de la Convention 108+ du Conseil de l’Europe, instrument de référence juridique mondiale en matière de protection des données personnelles et de la vie privée.
C’est pourquoi, en lieu et place des ‘‘données sensibles’’, la Commission recommande l’expression ‘‘données confidentielles’’ définie dans le titre premier, chapitre 2 : Des définitions.
Article 27 : Les données jugées confidentielles au sens de l’article 22 de la présente loi, doivent être exclusivement hébergées sur le territoire national, sauf dérogation écrite de l’autorité administrative compétente.
Section 2 : Des dispositions communes
La Commission propose la réécriture de l’alinéa 3 de l’article 32 de la manière suivante :
Article 32 alinéa 3 : Les dispositions du présent article sont sans préjudice du respect des textes en vigueur notamment, la loi relative à la protection des données à caractère personnel.
Chapitre IV : De la protection des contenues
La Commission estime qu’il faut compléter certaines dispositions en proposant les formulations suivantes :
Article 38 alinéa 1 : Il est interdit à toute personne physique ou morale d’écouter, d’intercepter, de stocker les communications et les données relatives au trafic y afférent, ou de les soumettre à tout autre moyen d’interception ou de surveillance, sans le consentement des utilisateurs concernés, sauf lorsque cette personne y est légalement autorisée par les autorités administratives habilitées et ou, en matière des données personnelles, par l’autorité compétente.
Article 44 : L’utilisation des réseaux de communications électroniques et des systèmes d’information en vue de stocker ou d’y accéder à des informations dans un équipement terminal d’une personne physique ou morale, ne peut se faire qu’avec le consentement préalable de la personne concernée.
TITRE IV : DE LA CYBERCRIMINALITE
Chapitre II : De la procédure
La Commission estime que le serment des Officiers de Police Judiciaire spécialisés doit également prendre en compte la vie privée, en plus de la protection des données personnelles. Elle propose la réécriture suivante :
Article 80 :
‘‘ Je jure d’accomplir ma mission dans le strict respect des textes en vigueurs notamment d’observer les exigences attachés à la présomption d’innocence, à la protection des données personnelles et à la vie privée. Je le jure’’.
VII-DE LA CONFORMITE DU PROJET DE LOI AUX DISPOSITIONS DE LA LOI N°001/2011 DU 25 SEPTEMBRE 2011 RELATIVE A LA PROTECTION DES DONNEES A CARACTERE PERSONNEL
Considérant que les technologies de l’information et de la communication ne peuvent trouver un développement harmonieux que si elles s’opèrent dans un cadre cybersécurisé et dans le respect des textes en vigueur.
Considérant que les missions de la Commission consignées dans la loi n°001/2011 du 25 septembre 2011 relative à la protection des données à caractère personnel, qui sont entre autres, de veiller à ce que les technologies de l’information et de la communication soient au service de chaque citoyen ; Que leur développement s’opère dans le cadre de la coopération internationale, dans la limite des accords en vigueur ; Que ces technologies ne portent atteinte ni à l’identité humaine, ni aux droits de l’homme, ni à la vie privée, ni aux libertés individuelles ou publiques ;
Que la Commission a donc pour rôle de protéger les personnes physiques à l’égard des traitements automatisés ou non susceptibles d'être engendrées par la collecte, le traitement, la transmission, le stockage et l'usage des données personnelles des citoyens.
La Commission constate :
Que dans l’ensemble, certaines dispositions contenues dans le projet de loi soumis à l’examen de la Commission qui touchent le domaine de la protection des données personnelles et de la vie privée, font référence à la loi n°001/2011 du 25 septembre 2011 relative à la protection des données à caractère personnel ;
Que le projet de loi suscité, prend en compte les principes essentiels en matière de protection de données personnelles ; il s’agit entre autre, de la confidentialité des données, de la sécurité, de la durée de conservation des données et du consentement de la personne concernée ;
Que par ailleurs, la Commission se réjouit de ce que les infractions contenues dans le projet de loi s’inspirent notamment de celles prévues dans la Convention de Budapest sur la cybercriminalité du 23 novembre 2001 et des autres instruments juridiques communautaires.
En conséquence, la Commission approuve l’ensemble des dispositions du projet de loi.
Au vu de ce qui précède et après en avoir délibéré :
La Commission émet un avis favorable au projet de loi portant réglementation de la cybersécurité et de la lutte contre la cybercriminalité en République Gabonaise.
La présente délibération est susceptible de recours devant le Conseil d’Etat dans un délai de deux (2) mois à compter de sa publication.
La présente délibération portant avis motivé sera publiée au Journal Officiel de la République Gabonaise.
Fait à Libreville, le 23 mars 2023
Le Président
Joël Dominique LEDAGA