Journal Officiel
La Commission Nationale pour la Protection des Données à Caractère Personnel (CNPDCP), en sa séance plénière du 12 avril 2023, composée de Joël Dominique LEDAGA, Président, Euloge NZAMBI, Questeur, Albert BOUSSOUGOU IBOUILY, Rapporteur, Steve SINGAULT NDINGA, François MEYE ME NDONG, Jean Raymond ZASSI MIKALA, Mesmin MONDJO EPENIT, Samuel MOUSSOUNDA IKAMOU et Philomène MBOUI épse BIYOGO. Tous, Commissaires Permanents.
Vu la Constitution ;
Vu la Directive n°07/08-UEAC-133-CM-18 du 19 décembre 2008 fixant le cadre juridique de la protection des droits des utilisateurs de réseaux et de services de communications électroniques au sein de la CEMAC ;
Vu la loi n°14/2005 du 08 août 2005 portant Code de Déontologie de la Fonction Publique ;
Vu la loi n°20/2005 du 03 janvier 2006 fixant les règles de création, d'organisation et de gestion des services de l’Etat, ensemble les textes modificatifs subséquents ;
Vu la loi n°001/2011 du 25 septembre 2011 relative à la protection des données à caractère personnel ;
Vu la loi n°19/2016 du 09 août 2016 portant Code de la Communication Audiovisuelle, Cinématographique et Ecrite en République Gabonaise, ensemble les textes modificatifs subséquents ;
Vu la loi n°006/2020 du 30 juin 2020 portant Code Pénal de la République Gabonaise ;
Vu la loi n°025/2021 du 28 décembre 2021 portant réglementation des transactions électroniques en République Gabonaise ;
Vu le décret n°000163/PR/MISDDL du 20 juin 2018 portant nomination des membres de la Commission Nationale pour la Protection des Données à Caractère Personnel ;
Vu le décret n°00029/PR/MRICAAI du 18 mars 2020 portant réorganisation du Secrétariat Général de la Commission Nationale pour la Protection des Données à Caractère Personnel ;
Vu la délibération n°001/2018 du 16 juillet 2018 portant règlement intérieur de la Commission Nationale pour la Protection des Données à Caractère Personnel déclarée conforme à la Constitution par décision n°255bis/CC du 13 décembre 2018 ;
Vu la délibération n°010/CNPDCP du 09 avril 2019 portant norme simplifiée n°002 relative à l’exploitation des systèmes de vidéosurveillance et de télévidéosurveillance ;
Vu la délibération n°016/CNPDCP du 23 mai 2019 portant Norme Simplifiée n°003 relative à l’exploitation de la géolocalisation des véhicules ;
Vu la déclaration de la société NOUVELLE GABON MINING S.A du 10 mars 2023, portant traitements des données personnelles relatifs à la gestion du fichier du personnel, à l’exploitation d’un système de la vidéosurveillance, à la géolocalisation des véhicules et à la communication par transmission des données des employés et des ayants droit à SANLAM ASSURANCE et OGAR VIE ;
Aux fins d’instruction, le Président de la Commission a désigné le Commissaire Rapporteur sur le fondement de l’article 32 du règlement intérieur de la Commission et ses règles de procédures relatives aux formalités préalables et à la saisine.
Après l’avoir entendu en son rapport circonstancié, la Commission examine les points suivants :
I- L’IDENTIFICATION DE L’AUTEUR DE LA DEMANDE OU RESPONSABLE DU TRAITEMENT
-Dénomination sociale : NOUVELLE GABON MINING S.A (NOGA)
-Adresse : Boîte postale : 20066, Tahiti (derrière l’immeuble du CES), Libreville (Gabon)
-Domaine d’activité : Prospection, Recherche et Exploitation de substances générales utiles.
II- L’OBJET DE LA DEMCLARATION
La société NOUVELLE GABON MINING S.A a saisi la Commission, le 10 mars 2023, aux fins de délivrance d’un récépissé de déclaration relatif à la gestion du fichier du personnel, à l’exploitation d’un système de la vidéosurveillance, à la géolocalisation des véhicules et à la communication par transmission des données des employés et leurs ayants droit à SANLAM ASSURANCE et OGAR VIE pour se conformer à la loi n°001/2011 du 25 septembre 2011 relative à la Protection des Données à Caractère Personnel.
III- LES ELEMENTS CONSTITUTIFS DE LA DECLARATION
Au soutien de sa déclaration, le responsable du traitement a fourni un dossier comportant les éléments justificatifs suivants :
1- Les éléments relatifs à la gestion du fichier du personnel
-une fiche technique Sage X3 people ;
-un formulaire dûment rempli de déclaration.
2- Les éléments relatifs à l’exploitation d’un système de la vidéosurveillance
-un listing du plan d’installation de la vidéosurveillance ;
-un fichier MAIN OFFICE ;
-un fichier DS-2DE5425IW ;
-un sous-formulaire dûment rempli portant déclaration du système de la vidéosurveillance.
3- Les éléments relatifs à l’exploitation d’un système de la géolocalisation des véhicules
-un sous-formulaire dûment rempli relatif à l’installation du système de la géolocalisation.
4- Les éléments relatifs à la communication par transmission des données de 555 employés et ayants droit à SANLAM et 250 employés à OGAR VIE
-un contrat de sous-traitance entre NOUVELLE GABON MINING S.A et SANLAM ASSURANCE;
-un contrat de sous-traitance entre NOUVELLE GABON MINING S.A et OGAR VIE ;
-un sous-formulaire dûment rempli relatif à la transmission des données.
IV- LES FORMALITES PREALABLES A LA MISE EN ŒUVRE DES TRAITEMENTS ET LES PRINCIPES ESSENTIELS DE LA PROTECTION DES DONNEES A CARACTERE PERSONNEL
Sur le fondement de la loi n°001/2011 du 25 septembre 2011, relative à la protection des données à caractère personnel, la société NOUVELLE GABON MINING S.A sollicite la mise en œuvre de quatre traitements des données à caractère personnel qui obéissent à des conditions préalables auxquelles sont attachés des principes essentiels en matière de protection des données personnelles.
A- DES CONDITIONS PREALABLES AUX DIFFERENTS TRAITEMENTS
Les dispositions des articles 51, 52 et 54 de la section II du chapitre IV de la présente loi, encadrent les opérations de traitement des données personnelles relatifs à la gestion du fichier des employés, à l’exploitation d’un système de la vidéosurveillance, à la géolocalisation des véhicules et à la communication par transmission des données des employés et des ayants droit et énoncent que :
Article 51 alinéa 1 : « A l’exception de ceux qui relèvent des dispositions prévues aux articles 54, 55 et 56 ou qui sont visés à l’article 65 de la présente loi, les traitements automatisés des données à caractère personnel font l’objet d’une déclaration auprès de la Commission Nationale pour la Protection des Données à Caractère Personnel ».
Article 52 alinéa 1, 2 et 3 : « La déclaration comporte l’engagement que le traitement satisfait aux exigences de la loi.
Elle est adressée à la Commission Nationale pour la Protection des Données à Caractère Personnel par des voies traditionnelles ou par voie électronique.
La Commission délivre sans délai un récépissé, le cas échéant, par voie électronique. Le demandeur peut mettre en œuvre le traitement dès réception de ce récépissé ; il n’est exonéré d’aucune de ses responsabilités ».
-L’article 54 alinéa 3 : « La Commission se prononce dans un délai de deux mois à compter de la réception de la demande. Toutefois, ce délai peut être renouvelé une fois sur décision motivée de son Président. Lorsque la Commission ne s'est pas prononcée dans ces délais, la demande d'autorisation est réputée rejetée ».
B- DU RAPPEL DES PRINCIPES ESSENTIELS EN MATIERE DE COLLECTE ET DE TRAITEMENT DES DONNEES A CARACTERE PERSONNEL
Il s’agit d’une transposition des garanties des droits et libertés basés sur les principes essentiels suivants :
|
N° |
Des principes essentiels au regard de la loi n°1/2011 du 25 septembre 2011 |
|
1 |
L’utilisation des technologies de l’information et de la communication (Art 3) Les technologies de l’information et de la communication doivent être au service de chaque citoyen. Leur développement doit s'opérer dans le cadre de la coopération internationale, dans la limite des accords en vigueur. Elles ne doivent porter atteinte, ni à l'identité humaine, ni aux droits de l'homme, ni à la vie privée, ni aux libertés individuelles ou publiques. |
|
2 |
La loyauté et la licéité du traitement (Art 45) -Les données doivent être collectées de manière loyale et leur traitement licite ; -le processus de traitement des données doit être opéré de manière transparente, en particulier vis-à-vis des personnes concernées ; -le responsable de traitement doit informer les personnes concernées avant le traitement de leurs données, sur la finalité du traitement, l’identité et l’adresse du responsable de traitement. |
|
3 |
La finalité (Art 45) -Les données doivent être collectées pour les finalités déterminées, explicites, légitimes et non inhumaines, correspondant aux missions de l’organisation ou du responsable de traitement ; -leur traitement ne doit se faire ultérieurement et de manière incompatible avec les finalités poursuivies par l’opération envisagée. |
|
4 |
La proportionnalité (Art 45) Les catégories des données collectées pour le traitement doivent être nécessaire pour atteindre l’objectif général déclaré de l’opération envisagée ; -le responsable de traitement doit limiter la collecte des données aux informations pertinentes pour la finalité spécifique poursuivie par l’opération envisagée. |
|
5 |
La pertinence, l’exactitude et la qualité des données collectées (Art 45) -Seules les données adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et traitées ultérieurement peuvent faire l’objet d’un traitement ; -les données doivent par ailleurs, être exactes et, si nécessaire, mises à jour ; -les données inexactes ou incomplètes doivent être effacées ou rectifiées. |
|
6 |
La temporalité ou la durée limitée de conservation des données (Art 68, 69 et 70) La durée de conservation des données collectées doit être précisée ; -le principe de la conservation pendant une durée limitée impose de supprimer ou d’archiver les données sur support distinct protégé, dès qu’elles ne sont plus nécessaires aux finalités pour lesquelles elles ont été collectées ; -les exceptions aux principes de la conservation pendant une durée limitée doivent être définies par la législation et requièrent des garanties spéciales pour la protection des données concernées. |
|
7 |
La sécurisation et la confidentialité des données (Art 64 et 66) Le responsable de traitement est astreint à une obligation de sécurisation et de confidentialité des données traités. Aussi doit-il : -mettre en œuvre les mesures techniques et d’organisations appropriées pour protéger les données personnelles collectées contre la destruction accidentelle ou illicite, la perte accidentelle, l’altération, la diffusion ou l’accès non autorisé ; -veiller à préserver et à garantir la confidentialité desdites données et éviter leur divulgation. |
|
8 |
La transparence et le consentement des personnes concernées (Art 46 et 59) Avant la mise en œuvre de tout traitement des données à caractère personnel, le responsable de traitement doit : -obtenir le consentement préalable des personnes concernées ; -informer, avant la collecte, les personnes concernées des caractéristiques essentielles du traitement (finalité du traitement, caractère obligatoire ou facultatif du recueil, destinataires des données collectées et droits consacrés à ces derniers au titre de la loi n°001/2011 du 25 septembre 2011) avant que les données ne soient communiquées pour la première fois à des tiers ou utilisées pour le compte des tiers à des fins de prospection ; -doit enfin, permettre le droit d’accès des personnes concernées. |
|
9 |
Le respect des droits des personnes concernées (Art 7, 13 et 14) -Toute personne a le droit d’obtenir du responsable de traitement la confirmation que celui-ci traite ou non ses données ; -les personnes concernées ont le droit : -d’avoir accès à leurs données auprès du responsable de traitement ; -de faire rectifier ou supprimer (ou verrouiller, le cas échéant) leurs données par le responsable de traitement en cas de traitement illégal ; -de s’opposer au traitement de leurs données, en cas de non-conformité de celui-ci aux dispositions de la loi. |
|
10 |
Les obligations spécifiques en matière de vidéosurveillance et de télévidéosurveillance (Art 7 de la Norme Simplifiée n°002)
a) Informer les usagers
-Le responsable des systèmes de vidéosurveillance et de télévidéosurveillance est tenu d’informer le public, qu’il se trouve dans un lieu sous vidéosurveillance ou télévidéosurveillance. Il s’engage à mettre en place un dispositif de signalisation dans chaque zone équipée de caméras implantées de façon à être vue par le public ; -Le public qui le souhaite doit être informé du nom du responsable du traitement, du nom du destinataire des images et des modalités d’exercice du droit des personnes notamment, le droit d’accès aux images et le droit de suppression.
b) Informer le personnel de l’entreprise
-L’installation des caméras sur les lieux de travail n’est légale que si elle est justifiée par des impératifs de sécurité et non pour surveiller l’activité des salariés ; -Par ailleurs, les salariés doivent être prévenus de la mise en place d’une vidéosurveillance et/ou télévidéosurveillance ;
-Les représentants du personnel sont préalablement informés et consultés sur les moyens techniques permettant un contrôle de l’activité des salariés. |
|
11 |
Les obligations spécifiques en matière de géolocalisation (Art 7 et 9 de la Norme Simplifiée n°003)
a) Des obligations du responsable du traitement (art 7) -Le responsable du système de géolocalisation est tenu d’informer les employés préalablement à la mise en œuvre du traitement, sur : l’identité du responsable du traitement ou de son représentant ; -La finalité poursuivie par le traitement ; -Les destinataires ou catégories des destinataires des données. -Le responsable du traitement est tenu d’informer également les instances représentatives du personnel avant la mise en œuvre du dispositif de géolocalisation.
b) Des droits de la personne (art 9) -du droit d’accès ; -du droit d’opposition ; -du droit de rectification et de suppression. |
|
12 |
La communication ou la transmission des données de santé (Art 73 et 81) -Pour communiquer ou transmettre les données de santé, lorsque ces données permettent l’identification des personnes (patients) : -elles doivent être codées avant leur transmission lorsque le traitement des données est associé à des études de pharmacovigilance ou à des protocoles de recherche réalisés dans le cadre d’études coopératives nationales ou internationales ; -elles doivent être communiquées sous la forme des statistiques agrégées ou de données par patient constituées de telle sorte que les personnes concernées ne puissent être identifiées, lorsqu’il s’agit des données communiquées à des fins d’évaluation, ou d’analyse des pratiques ou activés de soins et de prévention. |
V- LES CARACTERISTIQUES DES DIFFERENTS TRAITEMENTS
Aux termes de la loi n°001/2011 du 25 septembre 2011, les traitements des données personnelles relatifs à la gestion du fichier du personnel, à l’exploitation d’un système de la vidéosurveillance, à la géolocalisation des véhicules et à la communication par transmission des données des employés et des ayants droit, reposent sur des caractéristiques précises.
1) Le traitement des données personnelles relatif à la gestion du fichier du personnel
Au sens de l’article 4 de la loi n°001/2011 du 25 septembre 2011, est considéré comme traitement des données à caractère personnel, toute opération ou ensemble d’opérations, effectuées à l’aide des procédés automatisés ou non et appliquées à des données, telles que la collecte, l’exploitation, l’enregistrement, l’organisation, la conservation, l’adaptation, la modification, l’extraction, la sauvegarde, la copie, la consultation, l’utilisation, la communication par transmission, la diffusion ou toute autre mise à disposition, le rapprochement ou l’interconnexion, ainsi que le verrouillage, le cryptage, l’effacement ou la destruction des données à caractère personnel, ainsi que l’interconnexion des réseaux.
Aux termes des conditions de licéité du traitement des données à caractère personnel, énoncées aux articles 45 et suivants de la loi n°001/2011 du 25 septembre 2011 susmentionnée, les caractéristiques du traitement des données personnelles relatif à la gestion du fichier du personnel se déclinent ainsi qu’il suit :
-Sur la dénomination du traitement : traitement des données personnelles des employés.
-Sur la finalité du traitement : traitement de la paie et établissement des bulletins de salaire.
-Sur les catégories des personnes concernées : il s’agit uniquement des employés.
-Sur la nature des données : NOUVELLE GABON MINING S.A collecte et traite les données suivantes :
-nom, prénom, date et lieu de naissance et situation familiale ;
-adresse ;
-adresse électronique ;
-numéro de téléphone ;
-photo ;
-informations bancaires ;
-curriculum vitae.
-Sur la durée de conservation des données : dix (10) ans.
-Sur l’information et le consentement des personnes concernées : lors de la signature du contrat de travail.
-Sur les droits d’accès, d’opposition, de rectification et de suppression : ils s’exercent auprès du Directeur des Ressources Humaines.
2) Le traitement des données personnelles relatif à l’exploitation d’un système de la vidéosurveillance
La vidéosurveillance et la télévidéosurveillance sont considérées comme des systèmes techniques structurés en réseaux permettant de surveiller et/ou d’enregistrer les individus à distance dans les lieux publics ou privés.
Le traitement relatif à l’exploitation du système de la vidéosurveillance repose sur des exigences techniques et juridiques.
La société NOUVELLE GABON MINING S.A à travers le sous-formulaire relatif à la déclaration du système de la vidéosurveillance renseigne sur :
-La localisation du système :
-lieu d’installation du système de la vidéosurveillance : Tahiti, bureau de Libreville, Binioni zone d’exploitation.
-nature de l’environnement sous surveillance : bureaux et usines.
-emplacement des caméras : intérieur et extérieur des bâtiments.
-caractéristiques des espaces : ouverts et non ouverts au public.
-nombre de caméras : deux-cent dix (210) caméras installées.
-espaces visualisés :
-BINIOMI (Mine) : bâtiment administratif, quatorze (14) caméras ; entrée usine 1, trente (30) caméras ; entrée usine 2, trente (30) caméras ;
entrée usine 3, trente-quatre (34) caméras ; laboratoire, quinze (15) caméras ; magasin, vingt (20) caméras ; entrée principal et ponts bascule, onze (11) caméras.
-BENGUIA : terminal FCV, vingt (20) caméras.
-OKONDJA : policlinique, sept (07) caméras.
-LIBREVILLE (bureau) : bureau d’attente, une (01) caméra ; couloir rez de chaussée, une (01) caméra ; bureau du responsable, une (01) caméra ; bureau du responsable centre d’affaire, une (01) caméra ; bureau de la comptabilité, une (01) caméra.
-FRANCEVILLE (habitation) : couverture extérieur, quatre (04) caméras ; hall rez de chaussée, deux (2) caméras ; escalier 1er étage, une (01) caméra ; 2ème étage, une (01) caméra ; 3ème étage, une (01) caméra ; 4ème étage, une (01) caméra ; 5ème étage, une (01) caméra.
-Réserve : douze (12) caméras.
-Les caractéristiques et fonctionnalités du système :
-visualisation des images : en temps réel sans prise de son.
-enregistrement : selon une plage horaire : 24/24h.
-nature des enregistreurs : numérique.
-La sécurité du traitement :
-identité des personnes habilitées à accéder aux images : le Directeur Général.
-mesures prises pour contrôler l’accès au poste central de surveillance : code d’accès, local fermé à clé.
-mesures de sécurité prises pour la sauvegarde et la protection des enregistrements : sauvegarde automatique du système.
-mesures prises pour la suppression des enregistrements : suppression séquentielle automatique après quinze (15) jours en entrées et sorties.
-Sur la dénomination du traitement : vidéosurveillance.
-Sur la finalité du traitement : la sécurité des personnes et des biens.
-Sur la catégorie des données collectées : exclusivement les images sans prise de son.
-Sur la durée de conservation des images : un (01) mois.
-Sur l’information des personnes concernées : au cours d’une réunion et par la présence à l’entrée des zones d’accès des panneaux d’information indiquant que ‘‘les bâtiments sont placés sous vidéosurveillance’’.
-Sur le droit d’accès : il s’exerce auprès du Directeur Informatique et des Moyens Généraux.
3) Le traitement des données personnelles relatif à l’exploitation d’un système de la géolocalisation des véhicules
La géolocalisation est un système permettant de déterminer, en temps réel, la position géographique d’un objet. C’est un système qui permet pour ce qui est des véhicules, de déterminer la vitesse, la date, l’heure de circulation, le trajet effectué et partant, la surveillance des déplacements dans le temps et dans l’espace.
Aux termes des articles 45 et suivants de la loi n°001/2011 du 25 septembre 2011, NOUVELLE GABON MINING S.A décline les conditions de licéité du traitement des données à caractère personnel, ainsi qu’il suit :
-Sur la dénomination du traitement : géolocalisation des véhicules.
-Sur la finalité du traitement :
-la sécurité du conducteur ;
-la sécurité des marchandises ;
-la sécurité du véhicule.
-Sur les catégories des données collectées : le système de la géolocalisation des véhicules collecte les données suivantes :
-nom et prénom ;
-matricule interne ;
-numéro de plaque d’immatriculation du véhicule ;
-données de localisation ;
-historique des déplacements effectués ;
-vitesse de circulation ;
-nombre de kilomètre parcourus ;
-durée d’utilisation du véhicule ;
-temps de conduite ;
-nombre d’arrêts ;
-date et heure d’activation et de désactivation du dispositif.
-Sur la durée de conservation des données : cinq (05) ans.
-Sur l’information des personnes concernées : par le délégué du personnel.
-Sur le droit d’accès : il s’exerce auprès du Directeur des Ressources Humaines.
-Sur la désactivation de la localisation géographique : le conducteur ne peut désactiver la localisation géographique.
4) Le traitement des données personnelles relatif à la communication par transmission des données de 555 employés et ayants droit à SANLAM ASSURANCE et de 250 employés à OGAR VIE
La communication par transmission des données désigne la communication des données personnelles, quel que soit le type d’information, d’un endroit à un autre, par tout support.
Aux termes des conditions de licéité du traitement des données à caractère personnel, énoncées aux articles 45 et suivants de la loi n°001/2011 du 25 septembre 2011 suscitée, les caractéristiques du traitement des données personnelles relatif à la communication par transmission des données de 555 employés et ayants droit et de 250 employés se déclinent ainsi qu’il suit :
-Sur la dénomination du traitement : communication par transmission des données.
-Sur la finalité du traitement :
-assurance santé pour le personnel et leurs ayants droit (SANLAM ASSURANCE);
-assurance vie pour le personnel (OGAR VIE).
-Sur les catégories des personnes concernées : il s’agit des employés et leurs ayants droit.
-Sur les catégories des données transmises : NOUVELLE GABON MINING S.A collecte, communique et transmet les données suivantes :
-Données transmises à SANLAM ASSURANCE
-noms, prénoms, date de naissance et sexe ;
-Données transmises à OGAR VIE
-noms, prénoms, date de naissance, sexe, date de mariage et de décès.
-Sur le destinataire des données transmises : les données personnelles de 555 employés et ayants droit et 250 employés sont respectivement transmises à SANLAM ASSURANCE, BP : 6239, 170 Rue Bretonnet, immeuble SANLAM, Libreville/Gabon et à OGAR VIE, BP : 201, Boulevard de l’indépendance, Libreville/Gabon.
-Sur la durée de conservation des données transmises : un (01) an.
-Sur l’information et le consentement des personnes concernées : lors de la signature du formulaire de souscription SANLAM et OGAR VIE.
VI- OBSERVATIONS
La société NOUVELLE GABON MINING S.A collecte et traite les données à caractère personnel dans le cadre de son activité notamment, la prospection, la recherche et l’exploitation des substances générales utiles. Elle sollicite la mise en œuvre des traitements des données personnelles relatifs à la gestion du fichier du personnel, à l’exploitation d’un système de la vidéosurveillance, à la géolocalisation des véhicules et à la communication par transmission des données des employés et leurs ayants droit à SANLAM ASSURANCE et OGAR VIE.
La Commission note que :
-Sur le traitement relatif à la gestion du fichier du personnel, les données personnelles des employés sont collectées et traitées pour le traitement de la paie et l’établissement des bulletins de salaire.
-Les employés sont informés de la collecte, du traitement de leurs données personnelles et y ont consenti, lors de la signature du contrat de travail.
-Les employés disposent d’un droit d’accès, de rectification, d’opposition et de suppression à leurs données personnelles, qui s’exerce auprès du Directeur des Ressources Humaines.
-S’agissant du traitement relatif à l’exploitation d’un système de la vidéosurveillance, les employés sont informés de l’existence du système de la vidéosurveillance au cours d’une réunion. Les usagers quant à eux sont informés de l’existence dudit système par la présence aux entrées des bureaux, usines et ateliers des panneaux d’information indiquant que la structure est placée sous vidéosurveillance.
-Par ailleurs, dans la limite de ses attributions, seul le Directeur Général à accès aux images enregistrées.
-La Commission rappelle que l’installation des caméras sur les lieux de travail est justifiée par des impératifs de sécurité et non pour surveiller l’activité des salariés.
-Pour le traitement relatif à l’exploitation de la géolocalisation des véhicules, le délégué du personnel informe les conducteurs de l’existence du système de la géolocalisation dans leurs véhicules de services et des finalités du traitement notamment, la sécurité du véhicule, du conducteur et des marchandises. Le conducteur ne peut désactiver la localisation géographique en dehors du temps du travail.
-La Commission rappelle qu’il est interdit de collecter ou de traiter les données de la géolocalisation en dehors du temps de travail, ce, conformément à l’article 4 alinéa 3 de la délibération n°016/CNPDCP du 23 mai 2019 portant Norme Simplifiée n°003 relative à l’exploitation de la géolocalisation des véhicules.
-S’agissant du traitement relatif à la communication par transmission des données des employés et des ayants droit, NOUVELLE GABON MINING S.A communique et transmet mensuellement et par mail, les fichiers dénommés ‘‘liste du personnel et leurs ayants droit’’ à SANLAM ASSURANCE et ‘‘liste du personnel ’’ à OGAR VIE, aux fins de souscription à l’assurance santé et à l’assurance vie.
-Ainsi, SANLAM ASSURANCE et OGAR VIE deviennent par conséquent des sous-traitants car, ils traitent les données pour le compte de NOUVELLE GABON MINING S.A. Conformément aux dispositions de l’article 65 de la loi n°001/2011 précitée, SANLAM ASSURANCE et OGAR VIE ont les mêmes obligations que NOUVELLE GABON MINING S.A en matière de sécurité et de confidentialité des données. La Commission constate qu’en application de l’alinéa 3 de l’article 65 cité ci-dessus, deux contrats liant les sous-traitants au responsable du traitement ont bien été versés aux dossiers. Ces contrats comportent les indications incombant aux sous-traitants en matière de protection, de sécurité et de confidentialité des données et prévoient que les sous-traitants ne peuvent agir que sur instruction du responsable de traitement.
-Les employés et les ayants droit sont informés de l’enregistrement, du traitement de leurs données personnelles et y ont consenti, lors de la signature des formulaires de souscription.
-Par ailleurs, la durée de conservation des données relative à la gestion du fichier du personnel est de dix (10) ans au terme de la relation contractuelle ; celle enregistrée par le système de la géolocalisation des véhicules est de cinq (05) ans.
-Les données relatives à la communication par transmission des données des employés et des ayants droit sont conservées pendant un (1) an. Les images enregistrées par le système de la vidéosurveillance sont conservées pendant un (01) mois.
-Toutefois, aux termes des dispositions de l’article 68 de la loi n°001/2011 citée ci-dessus, la Commission rappelle que les données à caractère personnel doivent être conservées pendant une durée qui n’excède pas la période nécessaire aux finalités pour lesquelles elles ont été collectées ou traitées.
-Aussi, conformément à la loi n°001/2011, le responsable de traitement remplit-il les conditions de licéité des différents traitements envisagés ainsi que les obligations de transparence, de confidentialité, de sécurité, de conservation et de pérennité.
En conséquence, la Commission conclut que les traitements des données personnelles portant gestion du fichier des employés, exploitation d’un système de la vidéosurveillance, géolocalisation des véhicules et communication par transmission des données des employés et des ayants droits, mis en œuvre par la société NOUVELLE GABON MINING S.A, sont conformes à la loi n°001/2011 du 25 septembre 2011 relative à la Protection des Données à Caractère Personnel et aux Normes y relatives.
Au vu de ce qui précède et après en avoir délibéré ;
DECIDE :
Article 1er : Pour chaque traitement sollicité, un récépissé de déclaration est délivré à la société NOUVELLE GABON MINING S.A pour une durée d’un an.
Article 2 : La délibération n°010/CNPDCP du 09 avril 2019 portant Norme Simplifiée n°002 relative à l’exploitation des systèmes de vidéosurveillance et de télévidéosurveillance ainsi que la délibération n°016/CNPDCP du 23 mai 2019 portant Norme Simplifiée n°003 relative à l’exploitation de la géolocalisation des véhicules sont annexées à la présente déclaration.
Article 3 : La présente délibération est susceptible de recours devant le Conseil d’Etat dans un délai de deux mois à compter de sa notification.
Article 4 : La présente délibération sera publiée au Journal Officiel de la République Gabonaise.
Fait à Libreville, le 13 avril 2023
Le Président
Joël Dominique LEDAGA