Politique de protection et de gestion responsable des données

Émise par : Direction Générale d'AFEX-TD — Contact protection des données : Operation Manager, aabilla@afex-td.com — Version : 1.0 — Date d'entrée en vigueur : 3 avril 2023

1. Préambule et objet

Afrique Expertise – Transformation & Développement (AFEX-TD) est un cabinet de droit tchadien spécialisé dans l'évaluation de projets, la recherche et les études. Dans l'exercice de ses missions, AFEX-TD collecte, analyse, traite et transfère des données relatives à des personnes physiques : clients, bailleurs de fonds, partenaires, enquêtés, bénéficiaires de projets et membres de son équipe. Cette activité engage la responsabilité juridique et éthique du cabinet.

La présente politique établit les principes et règles applicables à une gestion transparente, sûre, éthique et responsable des données, tout au long de leur cycle de vie, de la collecte à la suppression, au sein d'AFEX-TD. Elle s'inscrit dans un cadre appelé à évoluer avec les changements technologiques, réglementaires et contractuels, et sera revue périodiquement à cet effet.

1.1 Engagements clés de la politique

Pour être pleinement effective, la présente politique :

• a été formellement validée par la Direction Générale d'AFEX-TD (voir chapitre 18) ;

• est communiquée et rendue accessible à l'ensemble des collaborateurs et intervenants concernés (voir chapitre 15) ;

• explique comment les données et les systèmes informatiques d'AFEX-TD doivent être protégés (voir chapitres 6 et 11, annexes C et E) ;

• précise les rôles et responsabilités des personnes chargées de sa mise en œuvre (voir chapitre 14) ;

• prévoit des règles concernant les accès, les mots de passe, les sauvegardes et les échanges de données (voir chapitre 6.3, annexes C et E) ;

• explique comment signaler et gérer un incident ou une violation de données (voir chapitre 13) ;

• prévoit la conservation et la suppression sécurisée des informations (voir chapitre 6.5) ;

• respecte les lois nationales et les normes internationales applicables (voir chapitre 3) ;

• précise les obligations du personnel et des consultants déployés sur des projets commandités par des clients ou bailleurs de fonds (voir chapitre 9).

2. Champ d'application

La présente politique s'applique :

• à AFEX-TD dans son ensemble, ainsi qu'à toute entité qui lui serait affiliée ;

• aux associés, dirigeants, collaborateurs salariés, stagiaires, enquêteurs et consultants indépendants intervenant pour le compte d'AFEX-TD, quel que soit le projet sur lequel ils sont déployés (ci-après les « Membres de l'Équipe ») ;

• aux clients, bailleurs de fonds commanditaires de projets, partenaires de recherche, sous-traitants et toute autre organisation agissant au nom ou pour le compte d'AFEX-TD (ci-après les « Clients » ou les « Partenaires ») ;

• à toute personne enquêtée, répondante, bénéficiaire ou informatrice rencontrée dans le cadre des missions d'évaluation, de recherche ou d'étude d'AFEX-TD (ci-après les « Personnes Concernées ») ;

• à toute donnée traitée par AFEX-TD, sous forme numérique ou papier, quel que soit son support ou son lieu de conservation.

3. Cadre juridique de référence

3.1 Droit national

AFEX-TD exerce ses activités en conformité avec la loi n°007/PR/2015 du 10 février 2015 relative à la protection des données à caractère personnel et son décret d'application, le décret n°075/PR/2019 du 21 janvier 2019, portant application de la loi n°007/PR/2015. La supervision du dispositif national de protection des données relève de l'Agence Nationale de Sécurité Informatique et de Certification Électronique (ANSICE).

3.2 Référence internationale

À titre de référentiel complémentaire de bonnes pratiques, notamment pour les missions financées par des bailleurs internationaux, AFEX-TD s'inspire du Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (Règlement général sur la protection des données — RGPD).

En cas de divergence, la législation tchadienne s'applique de plein droit sur le territoire national. Le RGPD est appliqué à titre de bonne pratique renforcée lorsque les exigences contractuelles d'un bailleur ou d'un partenaire l'imposent, ou lorsque les données de personnes relevant du champ d'application du RGPD sont traitées.

4. Définitions

Donnée : toute information composée de lettres, chiffres, symboles, images ou de toute combinaison de ceux-ci, sous forme numérique ou physique.

Donnée personnelle : toute information permettant d'identifier, directement ou indirectement, une personne physique (« Personne Concernée ») ou un groupe démographique distinct. Exemples courants : nom, adresse, numéro de téléphone, date de naissance, numéro d'identification nationale.

Donnée sensible : sous-catégorie de données personnelles pouvant servir à cibler ou discriminer une personne ou un groupe, notamment l'origine ethnique, les opinions politiques ou religieuses, l'orientation sexuelle, la santé, les données biométriques ou génétiques (voir annexe A).

Information personnellement identifiable (IPI) : information relative à une personne physique identifiée ou identifiable, directement ou indirectement, notamment par référence à un identifiant ou à un ou plusieurs éléments propres à son identité physique, physiologique, économique, culturelle ou sociale.

Information démographiquement identifiable (IDI) : information permettant d'identifier une communauté ou un groupe distinct, géographique, ethnique, religieux, économique ou politique.

Personne concernée : toute personne physique identifiable, directement ou indirectement, par référence à des données personnelles la concernant.

Responsable du traitement : la personne physique ou morale qui détermine les finalités et les moyens de la collecte, du stockage, du traitement ou de la diffusion des données personnelles. Pour les missions d'AFEX-TD, il s'agit en principe d'AFEX-TD elle-même, sauf disposition contraire du contrat de mission.

Sous-traitant (traitant) : la personne physique ou morale qui traite des données personnelles pour le compte et sur instruction du responsable du traitement.

Consentement éclairé : toute indication libre, spécifique et informée par laquelle une Personne Concernée accepte la collecte et le traitement de ses données, recueillie par écrit, oralement ou par une action positive claire, au moment de la collecte ou dès que possible après celle-ci.

Minimisation des données : principe consistant à ne collecter que les données adéquates, pertinentes et limitées à ce qui est strictement nécessaire à la finalité poursuivie.

Intérêt légitime : base légale du traitement supposant une finalité valable et nécessaire ; il peut être supplanté si la Personne Concernée exerce son droit à la confidentialité de ses données.

Désidentification : toute méthode de traitement visant à empêcher l'identification d'une Personne Concernée. Elle comprend notamment l'anonymisation et la pseudonymisation (voir annexe D).

Anonymisation : processus irréversible par lequel des données personnelles sont rendues anonymes, de sorte que la personne concernée n'est plus identifiable.

Pseudonymisation : traitement rendant des données personnelles non attribuables à une personne concernée sans le recours à des informations supplémentaires (un « code clé »), conservées séparément et protégées.

Accord de partage de données (APD) : accord entre AFEX-TD et un tiers énonçant les conditions d'utilisation des données personnelles partagées : données concernées, mode de transfert, usages autorisés, mesures de sécurité, etc.

Évaluation d'impact sur la vie privée (EIVP) : processus d'identification et de gestion des risques pour la vie privée liés à un nouveau projet, outil ou partenariat impliquant des données personnelles ou sensibles (voir annexe B).

Violation de données : tout incident de sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation ou l'accès non autorisé à des données personnelles.

5. Principes de traitement des données

Lorsqu'AFEX-TD collecte des données personnelles, elle s'engage à faire un effort raisonnable pour qu'elles soient :

• traitées de façon légale, loyale et transparente ;

• recueillies à des fins précises, explicites et légitimes ;

• adéquates, pertinentes et limitées à ce qui est nécessaire (minimisation) ;

• exactes et, si besoin, tenues à jour ;

• conservées uniquement le temps nécessaire, puis supprimées conformément aux règles de conservation applicables au contrat ou à la mission, le cas échéant au bout de 90 jours ;

• traitées et conservées de manière à garantir la confidentialité, la sécurité et une redevabilité appropriée.

6. Cycle de vie de la donnée

L'activité d'AFEX-TD couvre l'ensemble du cycle de vie de la donnée, notamment la collecte, l'analyse, le traitement et le transfert. Chaque étape appelle des mesures spécifiques, détaillées dans les annexes de la présente politique.

6.1 Collecte

• recueillir le consentement éclairé des personnes enquêtées et les informer de la finalité de la collecte ;

• appliquer le principe de minimisation dès la conception des outils de collecte (questionnaires, guides d'entretien, etc.) ;

• porter une attention particulière à la collecte de données sensibles (voir annexe A).

6.2 Analyse et traitement

• restreindre l'accès aux données brutes aux seuls membres de l'équipe qui en ont besoin ;

• privilégier, lorsque c'est possible, l'analyse sur des données désidentifiées (voir annexe D) ;

• sécuriser les postes de travail et supports utilisés pour le traitement.

6.3 Stockage et sécurité

• chiffrer les fichiers contenant des données personnelles ou sensibles (voir annexe E) ;

• utiliser des plateformes de stockage approuvées par AFEX-TD, avec contrôle d'accès, pour toute donnée de mission ;

• protéger chaque compte et équipement (ordinateur, messagerie, outil de collecte) par un mot de passe fort et personnel, jamais partagé ni réutilisé d'un compte à l'autre ;

• effectuer des sauvegardes régulières des données de mission sur un support ou un espace distinct du poste de collecte, lui-même protégé et à accès restreint ;

• revoir périodiquement les droits d'accès aux dossiers et bases de données, et les retirer sans délai en cas de changement de rôle ou de départ d'un collaborateur.

6.4 Partage et transfert

• encadrer tout partage externe de données par un accord de partage de données (APD) précisant finalité, contenu, mesures de sécurité et durée ;

• ne partager que le strict nécessaire, en anonymisant lorsque cela est possible (voir annexe C) ;

• porter une vigilance particulière aux transferts vers des clients, bailleurs ou partenaires situés hors du Tchad.

6.5 Conservation et suppression

• définir, pour chaque mission, une durée de conservation proportionnée à sa finalité, précisée dans le contrat ou le protocole d'étude ;

• procéder à une suppression sécurisée des données à l'échéance de cette durée, sauf obligation légale ou contractuelle de conservation plus longue.

7. Droits des personnes concernées

Toute Personne Concernée peut demander à consulter, corriger ou faire supprimer les données personnelles la concernant, ou concernant toute personne dont elle est légalement responsable. Cette demande est adressée au point de contact pour la protection des données d'AFEX-TD à l'adresse suivante : aabilla@afex-td.com. Toute demande peut être limitée pour des motifs légaux, éthiques, contractuels ou opérationnels légitimes empêchant AFEX-TD d'y répondre pleinement.

8. Communication de données à des tiers

AFEX-TD met en œuvre une diligence raisonnable pour éviter tout partage involontaire de données personnelles avec des tiers non visés par le partage. Toute communication à un tiers (client, autorité, partenaire) pour des raisons légales, contractuelles ou de redevabilité tient compte des éléments suivants :

• la raison pour laquelle le tiers demande l'information et la nécessité de la lui communiquer ;

• l'existence d'un consentement éclairé de la Personne Concernée ;

• les attentes raisonnables de la Personne Concernée quant à la communication de ses données ;

• le risque de préjudice direct ou indirect pour la Personne Concernée.

Dans la mesure du possible, les informations partagées avec des tiers sont anonymisées. Toute exception est validée par la Direction Générale.

9. Projets commandités par des clients et bailleurs de fonds

La quasi-totalité des données collectées par AFEX-TD le sont dans le cadre de missions commanditées par un client qui peut être une organisation internationale, un bailleur de fonds ou une entité gouvernementale tierce. Le présent chapitre précise les obligations spécifiques du personnel, des consultants et des enquêteurs déployés sur ces projets, en complément des règles générales de la présente politique.

9.1 Engagement du personnel déployé sur un projet

Tout Membre de l'Équipe (personnel, consultant ou enquêteur) déployé sur un projet prend connaissance et signe, avant son déploiement, toute politique de confidentialité, code de conduite ou autre document relatif à la protection des données exigé par le client commanditaire de ce projet. Cet engagement s'ajoute à l'adhésion à la présente politique, laquelle demeure le socle minimal applicable à l'ensemble des activités d'AFEX-TD.

9.2 Conformité aux exigences du client

• pour chaque projet, le personnel, les consultants et les enquêteurs déployés se conforment pleinement à la politique et aux normes de protection des données du client concerné, telles que définies dans le contrat, le protocole d'étude ou l'accord de partage de données (APD) applicable au projet ;

• lorsque les exigences du client sont plus strictes que celles de la présente politique, elles priment pour la durée et le périmètre du projet concerné ; la présente politique s'applique à titre supplétif pour tout ce que le contrat du client ne couvre pas ;

• le chef de mission identifie, dès le lancement du projet, les exigences spécifiques du client en matière de protection des données et les intègre à l'évaluation d'impact sur la vie privée du projet (chapitre 10, annexe B).

9.3 Transfert des données entre AFEX-TD et le client

Les données collectées pour le compte d'un client ne sont transférées à ce dernier, ou à tout tiers qu'il désigne, que dans les conditions et limites prévues par la politique de protection des données du client et par l'accord de partage de données régissant le projet. Aucun transfert de données au-delà de ce périmètre, vers un autre client, un autre projet ou un pays tiers, n'est effectué sans l'autorisation expresse du client et, le cas échéant, sans le consentement de la Personne Concernée.

9.4 Conservation et destruction des données en fin de projet

Les modalités de conservation et de destruction des données collectées pour un client sont fixées par le contrat ou la politique de protection des données de ce client. À défaut de stipulation contraire, les règles générales de conservation d'AFEX-TD (chapitre 6.5) s'appliquent à titre supplétif. À l'issue du projet, AFEX-TD conserve, restitue ou détruit les données conformément aux instructions du client, et conserve une trace documentée de cette opération.

10. Évaluation d'impact sur la vie privée (EIVP)

Une évaluation d'impact sur la vie privée est requise avant le lancement de tout nouveau projet, mission d'évaluation ou étude impliquant la collecte de données personnelles ou sensibles, avant l'adoption d'un nouvel outil ou d'une nouvelle technologie de collecte, et avant l'engagement d'un nouveau partenaire ou sous-traitant traitant des données pour le compte d'AFEX-TD. La démarche à suivre est détaillée à l'annexe B.

11. Sécurité de l'information et des systèmes

La sécurité des données et des systèmes informatiques d'AFEX-TD (ordinateurs, comptes de messagerie, outils de collecte, espaces de stockage) repose sur des mesures techniques et organisationnelles combinées :

• mesures techniques : chiffrement des données sensibles (annexe E), mots de passe forts et personnels, contrôle des accès aux comptes et aux dossiers, sauvegardes régulières ;

• mesures organisationnelles : bonnes pratiques de partage de fichiers (annexe C), sensibilisation et formation de l'équipe (chapitre 15), procédure de signalement des incidents (chapitre 13).

Tout équipement utilisé pour collecter, analyser ou stocker des données de mission (ordinateur portable, tablette, téléphone) doit être protégé par un mot de passe ou un code d'accès, et sécurisé physiquement lorsqu'il n'est pas utilisé, en particulier sur le terrain.

12. Mécanisme de redevabilité et gestion des retours d'information

AFEX-TD met en place, pour ses missions impliquant des communautés ou des bénéficiaires, un mécanisme permettant de recueillir et de traiter les retours d'information, préoccupations ou plaintes, dans le respect de la confidentialité des informateurs. Les règles de gestion des données propres à ce mécanisme sont détaillées à l'annexe F.

13. Violation de données

Tout Membre de l'Équipe qui a connaissance ou suspecte une violation de données (perte, vol, accès non autorisé, divulgation accidentelle) en informe sans délai le point de contact protection des données, à l'adresse suivante : aabilla@afex-td.com. AFEX-TD évalue la gravité de l'incident, prend les mesures correctives nécessaires et, lorsque la loi tchadienne l'exige, notifie l'ANSICE ainsi que les personnes concernées.

14. Gouvernance et responsabilités

• La Direction Générale d'AFEX-TD approuve la présente politique, en contrôle l'application et la révise périodiquement.

• L'Operation Manager est le point focal de la protection des données d'AFEX-TD : elle supervise la conformité à la présente politique, répond aux demandes des personnes concernées et peut être contactée à l'adresse aabilla@afex-td.com.

• Les chefs de mission ou de projet sont responsables, sur le terrain, du respect de la présente politique et de la réalisation des évaluations d'impact sur la vie privée requises.

• Chaque Membre de l'Équipe est tenu de respecter la présente politique et de signaler tout incident ou risque relatif aux données.

15. Communication, accessibilité et formation

La présente politique et ses annexes sont communiquées à l'ensemble des Membres de l'Équipe et tenues à leur disposition en permanence. Elles sont remises à tout nouveau collaborateur, stagiaire ou consultant dès son intégration, et rappelées aux Partenaires concernés par une mission. Une version destinée au public est publiée sur le site internet d'AFEX-TD.

Tout Membre de l'Équipe reçoit, dès son intégration, une information sur le contenu de la présente politique et de ses annexes. Des rappels périodiques sont organisés, notamment avant le lancement de missions impliquant la collecte de données sensibles.

16. Sanctions et conformité

Tout manquement à la présente politique peut donner lieu à des mesures disciplinaires à l'égard des Membres de l'Équipe, ou à la résiliation des accords conclus avec les Partenaires, sans préjudice des sanctions prévues par la loi n°007/PR/2015 et son décret d'application.

17. Annexes

La présente politique est complétée par les guides pratiques suivants, qui en précisent l'application opérationnelle :

• Annexe A — Guide sur les données sensibles

• Annexe B — Guide d'évaluation d'impact sur la vie privée (PIA)

• Annexe C — Guide de partage des fichiers et des données

• Annexe D — Guide de désidentification des données (anonymisation et pseudonymisation)

• Annexe E — Guide de chiffrement et de sécurisation des fichiers

• Annexe F — Guide de redevabilité et de gestion des retours d'information

18. Approbation et révision

La présente politique a été formellement validée par la Direction Générale d'AFEX-TD, qui en porte la responsabilité et en contrôle l'application. Elle fait l'objet d'une révision au moins tous les 5 ans, ou plus tôt en cas d'évolution significative du cadre légal tchadien, des standards internationaux, des systèmes d'information ou de l'activité du cabinet. Toute modification est approuvée par la Direction Générale et communiquée selon les modalités du chapitre 15.