Conformité au Data Protection Act ghanéen

Qu'est-ce que le Data Protection Act ghanéen ?

Le Data Protection Act, 2012 (Act 843) établit le cadre juridique de la protection des données à caractère personnel au Ghana. Il encadre la collecte, l'utilisation, la divulgation, la conservation, la sécurité et la destruction des données à caractère personnel et traite notamment de :

• Traitement licite
• Minimisation des données
• Limitation des finalités
• Transparence
• Qualité des données
• Sécurité
• Participation de la personne concernée
• Enregistrement
• Supervision des traitements
• Traitements internationaux
• Données à caractère personnel spéciales
• Application par le régulateur

La Data Protection Commission est le régulateur institué par la loi. Elle tient le registre des responsables du traitement, contrôle la conformité, instruit les plaintes, engage des actions d'application et promeut la protection des données au Ghana.

Le consentement est important, mais le DPA ghanéen n'est pas une loi fondée sur le seul consentement. L'article 20 prévoit le consentement et des justifications alternatives déterminées : chaque traitement devrait donc reposer sur la justification qui lui correspond réellement.

Responsables du traitement et sous-traitants

Un responsable du traitement détermine les finalités et les modalités du traitement des données à caractère personnel. Les responsables assument la responsabilité première de la conformité, y compris l'enregistrement auprès de la DPC. Par exemple :

• Entreprises de commerce en ligne
• Banques et établissements financiers
• Compagnies d'assurance
• Employeurs
• Établissements de santé
• Universités et écoles
• Entreprises de télécommunications
• Entreprises SaaS
• Agences de marketing
• Institutions publiques
• Plateformes en ligne

Un sous-traitant traite des données à caractère personnel pour le compte d'un responsable, en suivant ses instructions. Par exemple :

• Fournisseurs de cloud
• Prestataires de paie
• Plateformes CRM
• Hébergeurs
• Fournisseurs d'analytique
• Plateformes marketing
• Prestataires de support client

Champ d'application territorial

L'Act 843 s'applique aux responsables du traitement établis au Ghana qui traitent des données à caractère personnel au Ghana. Il peut également s'appliquer aux responsables non établis au Ghana qui utilisent des équipements situés au Ghana, ou un sous-traitant exerçant son activité au Ghana, pour traiter des données à caractère personnel, sauf aux seules fins de transit par le Ghana.

L'article 18 traite en outre des personnes concernées étrangères. Lorsque des données à caractère personnel provenant d'un ordre juridique étranger sont envoyées au Ghana pour y être traitées, le responsable du traitement doit s'assurer que les données sont traitées conformément à la législation sur la protection des données de cet ordre juridique.

Les organisations internationales devraient donc évaluer les exigences ghanéennes en même temps que les autres lois sur la vie privée applicables à leurs personnes concernées, à leurs systèmes et à leurs prestataires.

Que sont les données à caractère personnel au sens de l'Act 843 ?

Au sens de l'Act 843, les données à caractère personnel sont des données relatives à une personne qui peut être identifiée à partir de ces données, ou de ces données combinées à d'autres informations que le responsable du traitement détient ou est susceptible d'obtenir. Par exemple :

• Noms
• Adresses e-mail
• Numéros de téléphone
• Numéros d'identification
• Informations de compte
• Informations professionnelles
• Informations de localisation
• Identifiants en ligne
• Informations financières
• Informations de santé
• Informations biométriques ou génétiques

Le fait qu'un identifiant technique, tel qu'un identifiant de cookie ou de terminal, soit une donnée à caractère personnel dépend de la possibilité de le relier, dans son contexte, à une personne identifiable.

Bases légales du traitement

L'article 20 prévoit que les données à caractère personnel ne devraient pas être traitées sans le consentement préalable de la personne concernée, à moins qu'une autre justification déterminée ne s'applique. Le consentement n'est pas la seule justification. Un traitement peut aussi reposer sur :

• La nécessité contractuelle – un traitement nécessaire à un contrat auquel la personne concernée est partie
• Une autorisation ou une obligation légale – un traitement autorisé ou imposé par la loi
• La protection d'un intérêt légitime de la personne concernée – un traitement destiné à protéger un intérêt légitime de la personne concernée
• L'exécution d'une mission légale – un traitement nécessaire à la bonne exécution d'une mission légale
• Les intérêts légitimes – un traitement nécessaire à la poursuite de l'intérêt légitime du responsable du traitement ou d'un tiers auquel les données sont communiquées

Les organisations devraient documenter la justification retenue pour chaque traitement. Une justification documentée montre pourquoi le traitement est permis, détermine si le consentement doit être recueilli et consigné, et oriente la gestion des oppositions et des demandes d'exercice des droits.

Gestion du consentement

Lorsque le consentement est la justification applicable, il devrait être :

• Éclairé – fondé sur une information claire quant à l'objet de l'accord
• Volontaire – donné librement
• Exempt de contrainte – obtenu sans pression ni sanction
• Spécifique – rattaché à des finalités définies
• Compréhensible – expliqué en termes simples
• Clairement consigné – enregistré au moment où il est donné
• Démontrable – étayé par des preuves pouvant être produites ultérieurement

Une interface de consentement numérique devrait indiquer :

• L'identité de l'organisation
• La finalité de la collecte
• Les catégories de données à caractère personnel concernées
• Tout partage avec des tiers
• Les finalités de marketing et de suivi
• Comment les utilisateurs peuvent gérer leurs préférences

Retrait du consentement et oppositions

L'Act 843 confère aux personnes concernées le droit de s'opposer au traitement de leurs données à caractère personnel, selon le cas, et le traitement devrait cesser lorsque l'opposition est fondée. Lorsque le traitement repose sur le consentement, les personnes devraient aussi pouvoir le retirer.

Ces droits ne fonctionnent que si les processus opérationnels les prennent en charge. Les organisations devraient tenir à jour :

• Des registres de consentement
• Des registres d'oppositions
• Des mécanismes de retrait lorsque le consentement est la base du traitement
• La mise à jour des préférences
• Des listes de suppression pour la prospection directe
• La propagation des changements de préférences vers chaque système qui utilise les données

Données à caractère personnel spéciales

L'Act 843 accorde une protection renforcée aux données à caractère personnel spéciales, qui comprennent les informations relatives à :

• La race
• La couleur
• L'origine ethnique ou tribale
• Les opinions politiques
• Les convictions religieuses ou analogues
• La santé physique
• Les informations médicales
• La santé ou l'état mental
• L'ADN
• L'orientation sexuelle
• La commission, réelle ou alléguée, d'une infraction
• Les procédures relatives à une infraction
• Les procédures pénales ou les informations relatives à la peine

Avant de traiter des données à caractère personnel spéciales, les organisations devraient évaluer :

• La justification juridique
• Les exigences de consentement
• La sécurité
• Les restrictions d'accès
• La conservation
• Le partage des données
• Les transferts internationaux
• Les exigences d'AIPD
• L'incidence possible sur les personnes

Informations sur la vie privée et transparence

La transparence est l'un des principes de la loi. Une notice d'information devrait expliquer :

• L'identité du responsable du traitement
• Les coordonnées de contact
• La finalité de la collecte
• Les catégories de données à caractère personnel collectées
• L'utilisation qui sera faite des informations
• Les destinataires des données
• Les droits des personnes concernées
• La prospection directe
• Les transferts internationaux
• La conservation
• Les voies de réclamation, y compris le droit de saisir la DPC

Droits des personnes concernées

L'Act 843 confère aux personnes des droits sur leurs données à caractère personnel. Chaque droit s'applique selon le cas et sous réserve des conditions légales.

• Droit à l'information – les personnes devraient être informées de la collecte de leurs données à caractère personnel, de la finalité de la collecte et des autres éléments qui rendent le traitement transparent.
• Droit d'accès – les personnes peuvent demander à un responsable du traitement de confirmer s'il détient leurs données à caractère personnel et d'en fournir une description, sous réserve de la vérification d'identité et des conditions prévues par la loi.
• Droit de rectification – les personnes peuvent demander la rectification de données à caractère personnel inexactes, non pertinentes, excessives, périmées, incomplètes ou trompeuses.
• Droit au blocage, à l'effacement ou à la destruction – selon le cas, les personnes peuvent demander le blocage, l'effacement ou la destruction de données à caractère personnel, y compris celles que le responsable n'est plus autorisé à conserver ou celles qui sont inexactes.
• Droit d'opposition – les personnes peuvent s'opposer au traitement de leurs données à caractère personnel, ainsi qu'à un traitement susceptible de leur causer un préjudice ou une détresse injustifiés, sous réserve des conditions légales.
• Droit relatif à la prospection directe – les personnes peuvent exiger d'un responsable du traitement qu'il cesse, ou ne commence pas, de traiter leurs données à caractère personnel à des fins de prospection directe.
• Droit à réparation – une personne qui subit un préjudice ou une détresse du fait d'une violation de la loi peut avoir droit à réparation, sous réserve des conditions légales.

Demandes d'accès des personnes concernées

Un processus pratique pour traiter les demandes d'accès et les autres demandes d'exercice des droits :

• Réception de la demande – recevoir les demandes par des canaux définis et consigner chacune d'elles.
• Vérification d'identité – confirmer que le demandeur est la personne concernée ou un représentant autorisé.
• Qualification de la demande – déterminer quel droit est exercé.
• Recherche des données – localiser les données à caractère personnel concernées dans les systèmes et chez les prestataires.
• Examen des exceptions et des informations de tiers – vérifier les exceptions légales et protéger les données d'autres personnes.
• Préparation de la réponse – rédiger une réponse claire et exacte.
• Transmission sécurisée – transmettre la réponse par un canal sécurisé.
• Archivage – conserver une trace de la demande, de la décision et de la réponse.

ConsentX peut soutenir les processus de demandes relatives à la vie privée en organisant la réception, en suivant l'état d'avancement et en conservant les traces. Le logiciel ne détermine pas les conclusions juridiques ; les décisions sur les exceptions et les réponses restent celles de l'organisation.

Prospection directe

L'Act 843 permet aux personnes d'exiger d'un responsable du traitement qu'il cesse, ou ne commence pas, de traiter leurs données à caractère personnel à des fins de prospection directe. Cela concerne :

• Le marketing par e-mail
• Le marketing par SMS
• La publicité
• Les autres canaux de marketing
• Les préférences marketing
• Les registres de consentements et de refus
• Les listes de suppression pour la prospection directe

La gestion des préférences de ConsentX aide les organisations à recueillir les choix marketing, à conserver la trace des consentements et des refus, et à transmettre les préférences mises à jour aux systèmes connectés afin que les contacts supprimés ne soient pas sollicités.

Décisions automatisées

Les traitements automatisés, y compris le profilage, soulèvent des questions spécifiques en matière de vie privée :

• Transparence
• Finalité
• Qualité des données
• Équité
• Sécurité
• Intervention humaine lorsqu'elle est appropriée
• Incidence possible sur les personnes
• Traitements à haut risque

Le profilage et les décisions automatisées peuvent justifier une AIPD, selon le traitement et les exigences applicables.

Analyses d'impact relatives à la protection des données

Une analyse d'impact relative à la protection des données (AIPD) est une évaluation proactive des risques pour la vie privée. Elle identifie les effets possibles d'un traitement sur les personnes et les mesures qui réduisent ces risques avant le début du traitement.

Une AIPD peut être pertinente pour :

• De nouveaux traitements
• De nouvelles technologies
• Des modifications importantes de traitements existants
• Des données à caractère personnel spéciales
• Le profilage
• Les décisions automatisées
• Les traitements présentant des risques importants pour les personnes

Data Protection Supervisor

L'article 58 prévoit qu'un responsable du traitement désigne une personne certifiée et qualifiée comme Data Protection Supervisor, chargée de contrôler le respect de la loi par le responsable.

Un Data Protection Supervisor efficace devrait disposer :

• D'une certification et des qualifications requises pour la fonction
• De la responsabilité du contrôle de la conformité
• D'une formation appropriée
• D'une autorité suffisante au sein de l'organisation
• Des connaissances et des ressources nécessaires à l'exercice de la fonction

Sécurité des données

Les responsables du traitement devraient prendre des mesures techniques et organisationnelles appropriées et raisonnables afin de protéger les données à caractère personnel contre :

• L'accès non autorisé
• La divulgation non autorisée
• La perte accidentelle
• La destruction
• L'altération
• L'usage abusif
• Le traitement illicite

Les mesures pratiques comprennent :

• Le chiffrement
• Les contrôles d'accès
• L'authentification
• L'authentification multifacteur
• La sécurité du réseau
• Des sauvegardes sécurisées
• La journalisation et la surveillance
• La prévention des fuites de données
• La formation du personnel
• Le contrôle des prestataires
• La réponse aux incidents

Gestion des violations de données

Un processus pratique de réponse aux violations :

• Détection de l'incident
• Confinement
• Évaluation du risque
• Identification des données touchées
• Évaluation des personnes touchées
• Notification au régulateur lorsqu'elle est requise
• Information des personnes lorsqu'elle est requise
• Remédiation
• Documentation
• Retour d'expérience après incident

L'Act 843 ne fixe pas de délai universel de 72 heures pour la notification des violations. Les organisations devraient évaluer si une notification à la DPC et une information des personnes touchées sont requises au titre de la loi en vigueur.

Les délais de notification figurant dans le projet de Data Protection Bill, 2025 ne sont que des propositions. Ils ne devraient pas être traités comme des obligations en vigueur tant qu'une législation de remplacement n'est pas formellement entrée en vigueur.

Enregistrement auprès de la DPC

Les responsables du traitement doivent généralement s'enregistrer auprès de la Data Protection Commission avant de traiter des données à caractère personnel. Une demande d'enregistrement peut comporter :

• La dénomination sociale et l'adresse
• Les informations relatives au représentant
• Une description des données à caractère personnel traitées
• Les catégories de personnes
• Les données à caractère personnel spéciales
• Les finalités du traitement
• Les destinataires envisagés
• Les pays vers lesquels les données peuvent être transférées
• Les catégories de personnes dont les données sont détenues
• Une description générale des mesures de sécurité

Au titre de l'Act 843, traiter des données à caractère personnel sans s'être enregistré comme responsable du traitement est une infraction, punie sur déclaration sommaire de culpabilité d'une amende, d'un emprisonnement ou des deux, selon les termes de la loi. Les organisations devraient confirmer la sanction applicable avec leurs conseils juridiques.

Traitements soumis à évaluation

L'Act 843 comporte un cadre de traitements soumis à évaluation. Un traitement susceptible de causer un préjudice ou une détresse importants à une personne concernée, ou de porter une atteinte significative à ses droits à la vie privée, peut faire l'objet d'un examen supplémentaire par la DPC.

Les organisations qui prévoient un traitement à haut risque devraient déterminer si ce cadre s'applique avant le début du traitement.

Transferts internationaux de données

Avant de transférer des données à caractère personnel hors du Ghana, les organisations devraient évaluer les exigences applicables, notamment :

• Les pays de destination
• Les destinataires à l'étranger
• Les catégories de données
• Les finalités du transfert
• Les garanties de sécurité
• Les protections contractuelles
• Les lois étrangères applicables en matière de vie privée

Les informations d'enregistrement auprès de la DPC comprennent les pays vers lesquels un responsable du traitement entend transférer des données à caractère personnel : les accords de transfert et les mentions d'enregistrement devraient donc rester cohérents.

Conservation et suppression des données

La conservation devrait être liée à la finalité pour laquelle les données à caractère personnel ont été collectées et aux exigences légales applicables. Un programme de conservation devrait couvrir :

• Les durées de conservation
• Les procédures de suppression
• L'archivage
• Les obligations de conservation liées aux contentieux
• La suppression automatisée lorsqu'elle est appropriée
• La destruction sécurisée
• Les revues périodiques de conservation

Sous-traitants et prestataires

Les responsables du traitement restent responsables des données à caractère personnel traitées pour leur compte par des tiers. Les contrats avec les prestataires devraient traiter :

• Les instructions de traitement
• La limitation des finalités
• La confidentialité
• La sécurité
• Les sous-traitants ultérieurs
• La conservation
• La suppression
• La gestion des incidents
• Les demandes des personnes concernées
• Les transferts internationaux
• L'assistance à la conformité

Protection de la vie privée dès la conception

La protection de la vie privée est plus facile à atteindre lorsqu'elle est intégrée aux produits et aux processus dès le départ. Les pratiques utiles comprennent :

• La minimisation des données
• La limitation des finalités
• Des réglages par défaut respectueux de la vie privée
• Les contrôles d'accès
• Le chiffrement
• Des limites de conservation
• Les contrôles du consentement
• Les journaux d'audit
• La suppression sécurisée

Cookies et suivi en ligne

L'Act 843 encadre le traitement des données à caractère personnel. Il ne crée pas de règle universelle et uniforme sur les cookies. Les sites et applications utilisent couramment :

• Des cookies essentiels
• Des cookies de mesure d'audience
• Des cookies publicitaires
• Des pixels de réseaux sociaux
• Des technologies de reciblage
• La personnalisation
• Des identifiants de terminal
• Des scripts tiers

Les organisations devraient déterminer si chaque technologie de suivi traite des données à caractère personnel et, lorsque c'est le cas, identifier la justification appropriée au titre de la loi.

Consentement aux cookies et blocage préalable des scripts

Lorsque le consentement est la base légale applicable au suivi, les contrôles suivants contribuent à en faire un consentement effectif :

• Des notices de consentement claires
• Des choix par finalité
• Des catégories facultatives non précochées
• Le blocage préalable des traceurs concernés
• Le retrait du consentement
• La gestion des préférences
• Les registres de consentement
• Le suivi des versions de la politique

ConsentX prend en charge l'application technique de ces choix. Le blocage préalable des scripts empêche les traceurs concernés de s'exécuter avant que le visiteur ait consenti, et la gestion des préférences permet aux visiteurs de modifier leurs choix à tout moment.

Suivi de la conformité et audits

Les organisations devraient être en mesure de produire des preuves de conformité, notamment :

• L'enregistrement auprès de la DPC
• Les notices d'information
• Les registres de consentement
• Les cartographies de données
• Les inventaires de traitements
• Les AIPD
• Les évaluations de sécurité
• Les contrats avec les prestataires
• Les registres de violations
• Les demandes des personnes concernées
• Les préférences marketing
• Les calendriers de conservation
• Les registres de formation
• Les documents relatifs au Data Protection Supervisor

Action de la DPC

La Data Protection Commission du Ghana est chargée de :

• La supervision réglementaire
• L'enregistrement des responsables du traitement
• Les enquêtes
• Les plaintes
• Le suivi de la conformité
• L'application de la loi
• Les lignes directrices
• La formation
• La sensibilisation

La Commission peut instruire des plaintes, mener des inspections et émettre des injonctions obligeant les organisations à prendre des mesures pour se conformer à la loi.

Infractions et sanctions au titre de l'Act 843

L'Act 843 comporte des infractions spécifiques assorties de leurs propres sanctions. Aucun maximum unique ne s'applique à toutes les infractions. La loi distingue :

• Le défaut d'enregistrement – traiter des données à caractère personnel sans s'être enregistré comme responsable du traitement est assorti de sa propre sanction dans la loi
• Le non-respect de certaines injonctions – le non-respect d'injonctions déterminées émises par la Commission est assorti de sa propre sanction
• Les autres infractions légales – les autres infractions prévues par la loi sont assorties des sanctions qui leur sont propres
• La sanction générale de l'article 95 – lorsqu'aucune sanction spécifique n'est prévue, l'auteur de l'infraction encourt, sur déclaration sommaire de culpabilité, une amende ne dépassant pas cinq mille unités de pénalité, un emprisonnement ne dépassant pas dix ans, ou les deux

Les organisations devraient vérifier la sanction attachée à chaque disposition plutôt que de présumer que le maximum de l'article 95 s'applique.

Le Data Protection Bill 2025 du Ghana

Le Data Protection Bill, 2025 est un projet destiné à remplacer l'Act 843.

• Le projet est une proposition et ne doit pas être traité comme le droit en vigueur.
• L'Act 843 reste le cadre de protection des données en vigueur au Ghana.
• Les organisations devraient suivre l'évolution législative.
• Les revues de conformité devraient être mises à jour si une législation de remplacement entre formellement en vigueur.

Pourquoi la gestion du consentement compte au Ghana

La gestion du consentement n'est qu'un volet du cadre ghanéen de protection de la vie privée, aux côtés de l'enregistrement, de la sécurité, des droits des personnes concernées et de la gouvernance. Lorsque le consentement est invoqué, les organisations devraient pouvoir démontrer :

• Ce qui a été dit à l'utilisateur
• La finalité acceptée par l'utilisateur
• La date à laquelle le consentement a été donné
• Les catégories qui ont été sélectionnées
• La notice d'information qui a été présentée
• Si le consentement a été retiré par la suite
• Comment les préférences ont été appliquées

ConsentX relie ces questions à des contrôles techniques : le blocage préalable des scripts applique les choix, les registres et les reçus de consentement en conservent la preuve, et le suivi des versions de la politique rattache chaque décision à la notice que l'utilisateur a vue.

Liste de contrôle de conformité au DPA ghanéen

Utilisez cette liste de contrôle comme point de départ de votre programme de conformité :

• Déterminer si l'Act 843 s'applique
• Identifier les rôles de responsable du traitement et de sous-traitant
• Cartographier les traitements de données à caractère personnel
• Identifier les justifications licites
• Revoir les mécanismes de consentement
• Fournir des notices d'information
• Identifier les données à caractère personnel spéciales
• Évaluer les traitements de données d'enfants
• S'enregistrer comme responsable du traitement lorsque c'est requis
• Examiner les exigences relatives au Data Protection Supervisor
• Mettre en œuvre des mesures de sécurité
• Mettre en place la réponse aux incidents
• Examiner les exigences d'AIPD
• Évaluer les transferts internationaux
• Définir des règles de conservation et de suppression
• Mettre en place des procédures pour les demandes des personnes concernées
• Tenir à jour les préférences de prospection directe
• Revoir les décisions automatisées
• Tenir à jour les contrats avec les prestataires
• Conserver les preuves de conformité
• Suivre le projet de loi de 2025