Au Cameroun, les obligations relatives aux données personnelles découlent de la législation sur la cybersécurité et les communications électroniques, de règles sectorielles dans la banque, les télécommunications et la santé, et de plus en plus des contrats qu’imposent les clients et partenaires étrangers. Quelle qu’en soit la source, le point de départ pratique est le même.
Étape 1 : savoir ce que vous détenez
Presque aucune organisation ne peut dire, sur demande, quelles données personnelles elle détient, où elles sont stockées, qui y a accès et pourquoi. Établissez un registre simple : catégorie de données, source, finalité, lieu de stockage, durée de conservation, destinataires. Ce seul document guide toutes les autres étapes, et c’est la première chose que demandera un régulateur ou un grand compte.
Étape 2 : indiquer votre fondement et votre finalité
Les données doivent être collectées pour une finalité déterminée et utilisées pour cette finalité. Lorsque le consentement est votre fondement, il doit être éclairé, spécifique et pouvoir être retiré — une case pré-cochée ou une clause noyée dans des conditions générales n’est pas un consentement. Lorsque vous vous fondez sur la nécessité contractuelle ou une obligation légale, dites-le.
Étape 3 : publier une notice réellement lisible
Une politique de confidentialité écrite pour être comprise est plus défendable qu’une politique écrite pour être exhaustive. Elle doit dire qui vous êtes, ce que vous collectez, pourquoi, avec qui vous le partagez, combien de temps vous le conservez, si les données quittent le pays, et comment exercer ses droits.
Étape 4 : corriger les contrats
Chaque prestataire qui traite des données personnelles pour votre compte — gestionnaire de paie, hébergeur cloud, agence marketing, centre d’appels — doit être lié par un contrat de sous-traitance écrit couvrant la limitation des finalités, la confidentialité, la sécurité, la sous-traitance ultérieure, la notification des violations et la suppression en fin de contrat. C’est la lacune que nous rencontrons le plus souvent lors des audits.
Étape 5 : les transferts transfrontaliers
La plupart des entreprises camerounaises utilisent désormais des services cloud hébergés à l’étranger. Les transferts ne sont pas interdits, mais ils doivent être identifiés, documentés et encadrés par des garanties contractuelles. Découvrir lors d’un appel d’offres que vos systèmes principaux exportent des données sans fondement documenté est un problème évitable.
Étape 6 : se préparer à l’incident
Décidez dès maintenant qui est appelé, et dans quel ordre, lorsqu’une violation est détectée. Un plan de réponse de deux pages que les équipes ont réellement lu vaut mieux qu’une politique de quarante pages que personne n’a ouverte. Consignez les décisions au moment de l’incident : ce registre sera ensuite la preuve d’un comportement raisonnable.
Pourquoi c’est commercialement urgent
La protection des données est passée du statut de sujet de conformité à celui de condition d’achat. Les clients multinationaux, les institutions de financement du développement et les plateformes étrangères n’intègrent pas un fournisseur incapable de répondre à leur questionnaire sur les données. Les organisations qui ont fait ce travail tôt remportent des contrats grâce à lui.
- #Protection des données
- #Vie privée
- #Cybersécurité
- #Conformité
Partager cet article