LA PROTECTION DES

DONNÉES À CARACTÈRE
PERSONNEL EN CÔTE
D'IVOIRE

Loi n°2013-450 du 19 juin

2013
 INTRODUCTION
La révolution numérique a profondément transformé nos sociétés, faisant
des données personnelles une ressource stratégique majeure. Chaque
jour, des milliards d'informations personnelles sont collectées, échangées
et exploitées à travers le monde. Les scandales récents comme
Cambridge Analytica (2018), la condamnation de Meta à 1,2 milliard
d'euros d'amende en Europe (2023), ou encore les violations massives
de données chez Twitter et LinkedIn ont mis en lumière l'urgence de
protéger les citoyens contre l'exploitation abusive de leurs informations
personnelles.

Au niveau mondial, cette prise de conscience a conduit à l'adoption de

législations majeures. En Europe, le RGPD (2018) est devenu la
référence mondiale en matière de protection des données. Aux États-Unis,
le CCPA protège les données des citoyens californiens. En Afrique, des
pays comme le Sénégal, le Maroc et la Tunisie ont également légiféré
dans ce sens, montrant que la protection des données est devenue un
enjeu universel de souveraineté numérique et de droits fondamentaux.

En Côte d'Ivoire, la situation est particulièrement préoccupante. On

observe quotidiennement des phénomènes alarmants : les numéros de
téléphone des citoyens sont vendus pour du démarchage commercial
abusif, des bases de données de clients sont revendues entre entreprises
sans consentement, des informations bancaires et médicales circulent
sans contrôle, et les applications mobiles collectent massivement les
données des utilisateurs ivoiriens. Ces données sont ensuite utilisées à
des fins commerciales non autorisées, détournées pour des arnaques en
ligne, exploitées par des entreprises étrangères sans cadre légal clair, et
parfois même utilisées à des fins politiques ou discriminatoires.

Face à cette situation alarmante, le législateur ivoirien a voulu concilier

deux impératifs : permettre le développement du numérique en Côte
d'Ivoire tout en protégeant les droits fondamentaux des citoyens. Il
considère que les données personnelles ne sont pas de simples
informations mais une extension de la personnalité humaine qui
mérite protection. En prévoyant des sanctions sévères allant jusqu'à 20
ans de prison et 100 millions FCFA d'amende, le législateur envoie
un message clair : l'exploitation abusive des données personnelles est un
crime grave. Il souhaite également aligner la Côte d'Ivoire sur les
standards internationaux pour favoriser la confiance numérique et
protéger la souveraineté des données nationales. C'est dans ce contexte
que la Côte d'Ivoire a adopté la Loi n°2013-450 du 19 juin 2013
relative à la protection des données à caractère personnel, signée par le
Président Alassane Ouattara.

Dès lors, il convient de se demander : Dans quelle mesure la loi

n°2013-450 garantit-elle efficacement la protection des données
personnelles des citoyens ivoiriens ?

Pour répondre à cette question, nous analyserons dans une première

partie le cadre juridique et institutionnel mis en place par la loi
(Chapitres 1 à 4), avant d'examiner dans une deuxième partie la
protection concrète des personnes et les sanctions prévues
(Chapitres 5 à 8).

PARTIE 1: Le Cadre Juridique et

Institutionnel

CHAPITRE 1 : Les Définitions

Retranscription
Données à caractère personnel : toute information de quelque nature
qu'elle soit relative à une personne physique identifiée ou identifiable.

Responsable du traitement : celui qui décide de collecter et traiter les

données et en détermine les finalités.

Sous-traitant : celui qui traite les données pour le compte du

responsable du traitement.

Consentement : manifestation de volonté libre, spécifique et informée

par laquelle la personne accepte que ses données soient traitées.

Données sensibles : données relatives à la santé, la religion, la race, la

vie sexuelle, les opinions politiques.
Traitement : toute opération effectuée sur des données (collecte,
stockage, modification, destruction...).

Surveillance : toute activité électronique visant à observer ou enregistrer

une personne.

Explication
Ces définitions posent le vocabulaire de base indispensable à la
compréhension de la loi. Elles identifient clairement les acteurs, leurs
rôles et les limites de leurs actions. Sans ces définitions, la loi serait floue
et inapplicable. Elles servent de boussole juridique pour tous les acteurs
concernés.

🇨🇮 Exemple National
La SGBCI collecte vos données bancaires → elle est responsable du
traitement, son prestataire informatique est le sous-traitant. Quand vous
signez votre contrat bancaire, vous donnez votre consentement.

🌍 Exemple International
Facebook/Meta utilise vos données pour cibler des publicités → Meta est
responsable, les agences publicitaires sont sous-traitants. Vos données de
localisation et comportements constituent des données à caractère
personnel.

CHAPITRE 2 — Objet et Champ d'Application

Retranscription
Art. 2 — La présente loi a pour objet de régir la protection des données à
caractère personnel.

Art. 3 — Sont soumis aux dispositions de la présente loi : toute collecte,

tout traitement, toute transmission, tout stockage et toute utilisation des
données à caractère personnel par une personne physique, l'État, les
collectivités locales, les personnes morales de droit public ou de droit
privé, sur le territoire national.
Art. 4 — Sont exclus du champ d'application : les traitements mis en
œuvre par une personne physique dans le cadre exclusif de ses activités
personnelles ou domestiques, et les copies temporaires faites dans le
cadre des activités techniques de transmission de données.

Explication
Ces articles délimitent qui est concerné par la loi. L'Art. 2 fixe l'objectif
principal : protéger les citoyens. L'Art. 3 étend cette protection à toutes
les formes de traitement sans exception sur le territoire ivoirien. L'Art.
4 évite d'alourdir inutilement la loi en excluant les situations où il n'y a
aucun risque réel pour la vie privée des personnes.

🇨🇮 Exemple National
La CNPS est soumise à la loi car elle traite les données de millions de
travailleurs ivoiriens. En revanche, un citoyen qui garde les contacts de
ses amis dans son téléphone pour usage personnel est exempté.

🌍 Exemple International
Amazon livrant en Côte d'Ivoire est soumis à la loi ivoirienne même étant
américain. De même, le RGPD européen s'applique à toute entreprise
mondiale traitant des données de citoyens européens.

️CHAPITRE 3 — Formalités Nécessaires au

Traitement

Retranscription
Art. 5 — Le traitement des données est soumis à une déclaration
préalable auprès de l'Autorité de protection. L'Autorité délivre un
récépissé en réponse.

Art. 6 — Sont dispensés de déclaration préalable : les traitements à

usage personnel, familial ou domestique, et les traitements pour lesquels
un correspondant à la protection a été désigné.

Art. 7 — Sont soumis à autorisation préalable : les traitements portant

sur des données génétiques, médicales, biométriques, et les transferts
vers des pays tiers.
Art. 11 — L'Autorité dispose d'1 mois pour répondre. Sans réponse =
rejet automatique.

Art. 12 — Le correspondant à la protection est un agent qualifié,

protégé contre toute sanction de son employeur, chargé de veiller au
respect de la loi en interne.

Art. 13 — Les traitements de l'État nécessitent un décret après avis

motivé de l'Autorité. Ils portent sur la sûreté de l'État, la défense
nationale, le recensement et les impôts.

Explication
Ces articles organisent le système de contrôle de la loi. L'Autorité joue
le rôle de gardien en vérifiant que les traitements sont légaux avant qu'ils
commencent. La distinction entre déclaration (simple formalité) et
autorisation (contrôle strict) montre que plus les données sont sensibles,
plus le contrôle est rigoureux. L'Art. 12 garantit qu'il existe toujours
quelqu'un en interne pour veiller au respect de la loi sans craindre de
représailles.

🇨🇮 Exemple National
Une clinique privée d'Abidjan doit déclarer sa base de données patients.
L'Hôpital de Cocody qui veut traiter des données génétiques doit
obtenir une autorisation préalable. Orange CI doit désigner un
correspondant interne à la protection.

🌍 Exemple International
En France, la CNIL joue ce même rôle de contrôle. 23andMe, entreprise
américaine collectant l'ADN de ses clients, doit obtenir des autorisations
spéciales dans chaque pays où elle opère.

CHAPITRE 4 — Principes Directeurs du

Traitement

Retranscription
Art. 14 — Le traitement est légitime si la personne donne
expressément son consentement préalable. Des exceptions existent
pour les obligations légales et les missions d'intérêt public.

Art. 15 — La collecte et le traitement des données doivent se faire de

manière licite et loyale.

Art. 16 — Les données doivent être collectées pour des finalités

déterminées et légitimes, être proportionnées au besoin, et
supprimées quand elles ne sont plus utiles.

Art. 17 — Les données collectées doivent être exactes et mises à jour.

Toute donnée inexacte doit être effacée ou rectifiée.

Art. 21 — Est interdit et puni de 10 à 20 ans d'emprisonnement et 20

à 40 millions FCFA d'amende la collecte de données révélant l'origine
raciale, les opinions politiques, la religion, la vie sexuelle ou l'état de
santé.

Explication

Ces articles sont le cœur de la loi. L'Art. 14 place la personne au centre :

sans son accord, rien n'est possible. L'Art. 15 interdit toute tromperie dans
la collecte. L'Art. 16 impose une discipline stricte : on ne collecte que ce
dont on a besoin, pour l'usage annoncé, et on supprime quand c'est
terminé. L'Art. 17 impose une obligation de qualité des données. L'Art.
21 protège les données les plus sensibles avec les sanctions les plus
lourdes.

🇨🇮 Exemple National
Une app de livraison à Abidjan ne peut pas utiliser votre GPS pour de la
publicité ciblée. Une entreprise qui collecte la religion de ses employés
s'expose à 20 ans de prison et 40 millions FCFA d'amende.

🌍 Exemple International
Cambridge Analytica a violé ces principes en utilisant les données
Facebook à des fins politiques sans consentement → scandale mondial en
2018. TikTok a été condamné en Europe pour avoir conservé les données
au-delà de la durée nécessaire.
PARTIE 2 : La Protection
Concrète des Personnes et
les Sanctions
(Chapitres 5 à 8)

CHAPITRE 5 — Droits des Personnes

Concernées

Retranscription
Art. 28 — Toute personne a le droit d'être informée que ses données
font l'objet d'un traitement, de connaître la finalité, les catégories de
données et les destinataires.

Art. 29 — Toute personne peut demander au responsable du traitement

l'accès à ses données et contester leur utilisation.

Art. 30 — Toute personne a le droit de s'opposer au traitement de ses

données, notamment à des fins de prospection commerciale.

Art. 31 — Toute personne peut exiger la rectification, la mise à jour ou la

suppression de ses données inexactes ou incomplètes.

Art. 33 — Toute personne a le droit d'obtenir l'effacement de ses

données lorsqu'elles ne sont plus nécessaires ou que le consentement a
été retiré.

Explication
Ces articles consacrent les droits fondamentaux des citoyens face aux
organisations qui traitent leurs données. Chaque personne devient acteur
de la protection de ses propres données. Le droit d'accès permet de
savoir, le droit d'opposition permet de refuser, le droit de rectification
permet de corriger, et le droit à l'effacement permet d'effacer. Ces droits
transforment le citoyen de simple objet de données en sujet de droits
actif.
🇨🇮 Exemple National
Un abonné MTN Côte d'Ivoire peut exiger de savoir quelles données
l'opérateur détient sur lui et demander leur suppression s'il résilie son
contrat. Un patient peut demander à sa clinique de rectifier ses
informations médicales incorrectes.

🌍 Exemple International
En Europe, le droit à l'oubli consacré par le RGPD a permis à des milliers
de citoyens de demander à Google de supprimer certains liens les
concernant. En 2014, la Cour de Justice européenne a obligé Google à
respecter ce droit.

CHAPITRE 6 — Obligations des

Responsables et de leurs Subordonnés

Retranscription
Art. 39 — Le traitement des données est confidentiel. Il est effectué
exclusivement par des personnes autorisées sur instruction du
responsable.

Art. 40 — Le responsable doit prendre toutes les précautions nécessaires

pour empêcher que les données soient déformées, endommagées ou
accessibles à des tiers non autorisés.

Art. 41 — Le responsable est tenu d'empêcher tout accès non autorisé,

toute modification ou destruction illicite des données, et de garantir leur
sécurité technique.

Art. 42 — Le responsable doit établir un rapport annuel pour le compte

de l'Autorité de protection sur le respect des dispositions de sécurité.

Explication
Ces articles imposent aux entreprises une véritable obligation de sécurité.
Il ne suffit pas de déclarer le traitement — il faut aussi le sécuriser
techniquement et organisationnellement. La confidentialité, l'intégrité et
la disponibilité des données sont des obligations légales et non de simples
bonnes pratiques. L'Art. 42 impose une transparence régulière envers
l'Autorité, renforçant ainsi le contrôle continu.

🇨🇮 Exemple National
Une banque ivoirienne comme la BICICI doit chiffrer les données bancaires
de ses clients, empêcher tout accès non autorisé à ses serveurs, et
remettre chaque année un rapport de sécurité à l'Autorité de protection.

🌍 Exemple International
Yahoo a été condamné aux États-Unis pour n'avoir pas sécurisé les
données de ses 3 milliards d'utilisateurs lors d'un piratage en 2016, avec
une amende de 35 millions de dollars.

CHAPITRE 7 — L'Autorité de Protection

des Données

Retranscription
Art. 46 — Les missions de l'Autorité de protection sont confiées à l'ARTCI.
Elle veille à ce que les traitements soient conformes à la loi.

Art. 47 — L'Autorité s'assure que l'usage des TIC ne porte pas atteinte
aux libertés et à la vie privée des utilisateurs sur le territoire national.

Art. 49 — L'Autorité peut prononcer : un avertissement et une mise en

demeure de faire cesser les manquements.

Art. 50 — En cas de violation, l'Autorité peut décider de l'interruption du

traitement, du verrouillage de certaines données, ou de l'interdiction
temporaire ou définitive d'un traitement.

Art. 51 — En cas de non-conformité persistante : retrait d'autorisation et

sanction pécuniaire jusqu'à 10 millions FCFA, pouvant atteindre 100
millions FCFA en cas de récidive.

Explication
Ce chapitre consacre l'indépendance et la puissance de l'Autorité de
protection. Elle n'est pas un simple organe consultatif — elle a de vrais
pouvoirs de sanction. La gradation des sanctions (avertissement →
mise en demeure → retrait d'autorisation → amende) montre une
approche progressive mais ferme. L'Autorité est à la fois conseiller,
contrôleur et sanctionneur.

🇨🇮 Exemple National

L'ARTCI peut ordonner à une entreprise ivoirienne de télémarketing

d'arrêter immédiatement l'envoi de SMS non sollicités et lui infliger une
amende de 10 millions FCFA.

🌍 Exemple International

La CNIL française a infligé une amende de 150 millions d'euros à

Google en 2022 pour non-respect des règles sur les cookies. L'ICO
britannique a sanctionné British Airways de 20 millions de livres pour
une faille de sécurité ayant exposé les données de 400 000 clients.

CHAPITRE 8 — Dispositions Transitoires

et Finales

Retranscription
Art. 53 — Les responsables de traitement disposent d'un délai de 6 mois
à compter de l'entrée en vigueur de la loi pour se mettre en conformité
avec ses dispositions.

Art. 54 — La présente loi sera publiée au Journal Officiel de la

République de Côte d'Ivoire et exécutée comme loi de l'État. Fait à
Abidjan, le 19 juin 2013. Alassane OUATTARA.

Explication
Ces deux articles clôturent la loi. L'Art. 53 est une disposition transitoire
pragmatique : le législateur reconnaît que la mise en conformité prend du
temps et accorde 6 mois aux organisations pour s'adapter. L'Art. 54
donne à la loi sa force exécutoire officielle : en la publiant au Journal
Officiel et en la signant, le Président lui confère un caractère obligatoire et
opposable à tous sur le territoire ivoirien.
🇨🇮 Exemple National
Dès la publication de la loi en août 2013, toutes les entreprises ivoiriennes
comme Orange CI, MTN, les banques et les hôpitaux ont eu 6 mois
pour adapter leurs systèmes et se déclarer auprès de l'Autorité de
protection.

🌍 Exemple International
Le RGPD européen adopté en 2016 a accordé un délai de 2 ans aux
entreprises pour se mettre en conformité avant son application effective
en mai 2018, montrant qu'un délai d'adaptation est une pratique
universelle.