Protection des données personnelles au Niger : la checklist

La loi nigérienne n° 2017-28 impose des obligations concrètes à toute organisation qui traite des données personnelles — clients, patients, élèves, employés, bénéficiaires d'un projet. Voici ce qu'un contrôle vérifie, dans l'ordre où il le vérifie.

1. Savoir ce que vous traitez

Le registre des traitements est le premier document demandé. Il tient sur un tableur et liste, pour chaque fichier : la finalité, les catégories de personnes, les données collectées, qui y accède, la durée de conservation, et les mesures de sécurité. Sans registre, aucune des étapes suivantes n'est démontrable.

Commencez par l'inventaire réel, pas théorique : le fichier Excel des clients sur le poste du commercial, le groupe WhatsApp où circulent des numéros de téléphone, le cahier d'accueil, la boîte mail partagée. Ce sont eux qui posent problème, pas le logiciel métier.

2. Déclarer auprès de la HAPDP

La déclaration se dépose auprès de la Haute Autorité de Protection des Données à caractère Personnel. Les traitements sensibles — santé, biométrie, infractions — relèvent d'une autorisation préalable, plus exigeante qu'une simple déclaration. Anticipez : la demande arrive rarement au moment où l'on en a besoin.

3. Informer les personnes

Chaque formulaire, papier ou en ligne, doit dire qui collecte, pourquoi, pour combien de temps, et comment exercer ses droits. Une mention de trois lignes sous le formulaire suffit, à condition qu'elle soit exacte. Une politique de confidentialité publiée sur le site complète le dispositif.

4. Limiter les accès

Les comptes partagés sont la faille la plus courante et la plus facile à corriger. Un compte nominatif par personne, des droits alignés sur la fonction réelle, et la suppression des accès le jour du départ : trois règles qui règlent la majorité des incidents constatés.

5. Sécuriser pour de vrai

• HTTPS sur tout site qui collecte quoi que ce soit.
• Sauvegardes chiffrées, testées au moins une fois — une sauvegarde jamais restaurée n'est pas une sauvegarde.
• Double authentification sur les accès d'administration.
• Journalisation des consultations de données sensibles.
• Effacement à l'échéance : conserver « au cas où » est un manquement.

6. Encadrer les sous-traitants

Hébergeur, prestataire de développement, société de collecte de données, cabinet d'enquête : chacun doit être lié par un contrat qui précise ce qu'il peut faire des données, et ce qu'il doit en faire à la fin de la mission. Un partenaire qui refuse cet engagement écrit est un risque, pas une économie.

7. Préparer l'incident

Décidez à l'avance qui alerter, sous quel délai, et avec quel message. En situation réelle, personne n'improvise correctement. Une page de procédure et deux numéros de téléphone suffisent à faire la différence.

Par où commencer demain matin

Si vous ne faites qu'une chose : ouvrez un tableur, listez vos fichiers de données personnelles, et notez pour chacun qui y a accès. La suite découle de cet inventaire, et l'exercice prend rarement plus d'une demi-journée.