Protection des données personnelles : que vous garantit la loi n° 151 de 2020 ?

Chaque fois qu’un citoyen commande un repas sur une application, ouvre un compte bancaire ou achète une carte SIM, des informations personnelles quittent ses mains pour rejoindre des acteurs qu’il ne voit jamais : le nom, le numéro de téléphone, l’adresse, et parfois bien davantage. Pendant des décennies, ce flux de données est resté sans encadrement juridique d’ensemble, jusqu’à la promulgation, à l’été 2020, de la loi n° 151 de 2020 relative à la protection des données à caractère personnel, premier texte égyptien complet à définir comment les entreprises et les institutions peuvent collecter, conserver, traiter et utiliser les données des individus.

La loi a des racines constitutionnelles nettes : l’article 57 de la Constitution de 2014 dispose que la vie privée est inviolable et que la correspondance et les communications de toute nature bénéficient d’une protection à laquelle il ne peut être porté atteinte que sur ordonnance judiciaire motivée. Le texte traduit ce principe constitutionnel en obligations concrètes pour quiconque manipule les données des citoyens. Il s’inscrit aussi dans la vague législative mondiale qui a suivi le règlement général européen sur la protection des données, le « RGPD » (GDPR en anglais), lequel a inspiré des lois similaires dans des dizaines de pays.

Qu’est-ce donc qu’une « donnée à caractère personnel » aux yeux de la loi ? La définition est volontairement large : toute donnée se rapportant à une personne physique identifiée ou identifiable, directement ou indirectement, du nom et du numéro national d’identité aux données de localisation et aux identifiants électroniques. La loi isole ensuite une catégorie plus strictement protégée, celle des « données personnelles sensibles », qui couvre la santé physique et mentale, les données biométriques, les données financières, les convictions religieuses, les opinions politiques et le casier judiciaire, ainsi que les données des enfants, lesquelles exigent le consentement du tuteur légal.

Le principe qui fonde tout l’édifice est le consentement : en règle générale, aucune donnée personnelle ne peut être collectée, traitée ou divulguée sans l’accord explicite de la personne concernée, sauf dans les cas que la loi autorise elle-même. Les données doivent être recueillies pour des finalités légitimes, déterminées et portées à la connaissance de l’intéressé ; elles doivent être exactes et tenues à jour ; et elles ne peuvent être conservées plus longtemps que ne l’exige la finalité de leur collecte.

La loi confère à la personne concernée un faisceau de droits directement mobilisables : le droit de savoir quelles données un organisme détient sur vous, le droit d’y accéder et de les consulter, le droit de faire rectifier ou modifier ce qui est erroné, le droit à l’effacement lorsque la finalité a disparu, le droit de vous opposer au traitement et le droit de revenir sur un consentement déjà donné. Elle consacre également le droit d’être informé de toute violation ou fuite touchant vos données.

Pour que ces droits ne restent pas lettre morte, la loi a créé une autorité de contrôle spécialisée : le Centre de protection des données à caractère personnel, rattaché au ministère des Communications et des Technologies de l’information. Le Centre délivre licences et autorisations aux organismes qui traitent des données, reçoit les plaintes des citoyens, inspecte les entités soumises à la loi, publie des règles d’orientation et prononce des sanctions administratives contre les contrevenants.

En contrepartie, la loi impose aux entreprises et aux institutions des obligations précises : désigner un délégué à la protection des données là où elles y sont tenues, tenir un registre des traitements, adopter des mesures techniques et organisationnelles de sécurisation des données et notifier au Centre, dans un délai de soixante-douze heures, toute violation qui les affecte. Le texte encadre aussi la prospection électronique directe : il exige le consentement préalable du destinataire, la divulgation de l’identité de l’expéditeur et la possibilité effective, à tout moment, de mettre fin à l’envoi des messages.

Le transfert de données personnelles hors du pays n’est licite qu’avec une licence ou une autorisation du Centre, et à condition que le niveau de protection juridique offert par le pays destinataire ne soit pas inférieur à celui que prévoit la loi égyptienne. La condition pèse lourd à l’ère de l’informatique en nuage, où les données des Égyptiens peuvent être hébergées sur des serveurs situés à des milliers de kilomètres du Caire.

La loi n’est pas dépourvue de dents : les infractions exposent leurs auteurs à des amendes qui partent de plusieurs centaines de milliers de livres égyptiennes et peuvent atteindre, pour certains délits, des millions, sans compter des peines privatives de liberté dans des cas déterminés, comme la divulgation illicite de données sensibles. Son application pleine et entière est toutefois restée suspendue à la publication de son règlement d’exécution, dont la parution a tardé pendant des années après l’entrée en vigueur du texte, un retard que les spécialistes ont documenté comme l’écart le plus visible entre la lettre de la loi et la réalité.

Reste que la loi n’englobe ni tout le monde ni tout : elle prévoit des exemptions précises, parmi lesquelles les données traitées par des particuliers à des fins strictement personnelles, celles qui relèvent de cadres réglementaires spécifiques, comme le champ de compétence de la Banque centrale, ainsi que les considérations de sécurité nationale, régies par d’autres lois. Comprendre les limites du texte fait partie de la compréhension des droits qu’il vous ouvre.

Que doit faire, concrètement, le citoyen ordinaire ? Lisez les politiques de confidentialité avant de les accepter, ne serait-ce qu’en diagonale ; n’accordez pas aux applications des autorisations dont leur fonctionnement n’a pas besoin ; interrogez les organismes avec lesquels vous traitez sur le sort réservé à vos données ; conservez les traces de vos démarches. La loi a donné aux citoyens des outils qui n’existaient tout simplement pas auparavant, mais leur valeur réelle dépendra de la conscience qu’en auront leurs titulaires et de l’achèvement, dans les années à venir, de l’architecture chargée de les faire respecter.