Droits africains - La protection des données à caractère personnel en Afrique francophone - 1re - 219

RECUEIL DE JURISPRUDENCE DES AUTORITÉS DE CONTRÔLE 219

- Sur le manquement à l'obligation de conserver les données pour une
durée définie :
La CBAO Attijarïwafa BANK collecte les données de ses salariés à des fins
d'identiﬁcation lors d'un traitement administratif.
Il ressort du procès-verba1 de la mission de contrôle que « la CBAO reçoit
de façon spontanée des demandes de stages ou d'emploi par mail ou de
façon physique. Un classement est fait par profil, par métier.
Les dossiers des candidats non-présélectionnés sont conservés pendant 3
mois, puis archivés ;
Si un dossier de candidature aboutit à un entretien, davantage de documents sont demandés aux candidats, et ces données sont conservées, quel
que soit l'issu de l'entretien.
La CBAO reçoit plus de 60 demandes par jour, et il n'existe pas de procédures formelles de traitement des données personnelles des demandeurs
d'emploi ».
En application des dispositions de l'article 35-3 de la loi nº 2008-12 précitée,
« les données doivent être conservées pendant une durée qui n'excède pas
la période nécessaire aux finalités pour lesquelles elles ont été collectées ou
traitées ».
Au regard du procès-verbal de contrôle, il apparaît que la durée de conservation des données des demandeurs d'emploi sélectionnés à un entretien
n'est pas définie. Cela constitue un manquement à l'obligation de définir
une durée de conservation des données.
LE TRAITEMENT RELATIF À LA GESTION DE LA CLIENTÈLE
- Sur le manquement à l'obligation de sécurité et de confidentialité :
a) L'accès aux données par des personnes non habilitées
Conformément à l'article 71-1 de la loi nº 2008-12 précitée « le responsable
de traitement doit prendre, en particulier, toute mesure visant à garantir
que, pour l'utilisation d'un système de traitement automatisé de données,
les personnes autorisées ne puissent accéder qu'aux données à caractère
personnel relevant de leur compétence ».
Il ressort du procès-verbal de la mission de contrôle que la CBAO a adopté
une politique de sécurité globale. Chaque utilisateur (salarié ou stagiaire)
doit, en principe, disposer d'un compte Windows qui lui permet d'accéder
au système d'information de la banque. La communication des identifiants
(login, mot de passe) est formellement interdite aux agents.
Toutefois, avons constaté au jour du contrôle qu'une stagiaire utilise les
identifiants d'un agent permissionnaire depuis un mois. Avons aussi constaté, qu'avec le voisinage réseau, il est possible d'accéder à un certain nombre de fichiers des postes de travail du même 50 réseaux. Les manipulations

Droits africains - La protection des données à caractère personnel en Afrique francophone - 1re

Table des matières de la publication Droits africains - La protection des données à caractère personnel en Afrique francophone - 1re