Protection des données d'utilisateurs à caractère personnel sur les programmes d'ordinateurs au burkina faso

2.Le champ d'application de la LPDP

La notion de données à caractère personnel ayant été déjà définie, il reste à déterminer le champ d'application territoriale de la loi.

Il en va ainsi de l'article 8 relatif au champ d'application de la loi. Selon cet article la présente loi s'applique aux traitements automatisés ou non de données à caractère personnel contenues ou appelées à figurer dans les fichiers. Cela voudrait dire par exemple que la loi n'a vocation à s'appliquer aux traitements automatisés que s'il y a constitution d'un fichier. Pourtant, cela est en déphasage total avec l'ensemble des législations de protection des données qui se sont toujours appliquées aux traitements automatisés de données à caractère personnel en principe. Les traitements non automatisés n'étant concernés que s'il y a constitution de fichiers. Depuis toujours, ce sont les traitements automatisés de données qui ont été perçus comme porteurs de risques pour les personnes. Ainsi, ne soumettre ces traitements à la loi que s'il y a constitution de fichiers revient à mettre en marge la loi de nombreux traitements potentiellement dangereux. Certaines contradictions peuvent aussi être relevées concernant par exemple l'article 11 qui prévoit que la loi ne s'applique pas aux traitements de données ayant pour fin le suivi thérapeutique ou médical des patients alors que par l'application de nombres de dispositions de la loi (articles 17, 20, 21, 23), ces traitements se trouvent cernés par la loi. Enfin certaines formulations s'avèrent maladroites entraînant une incertitude sur le contenu de la loi. A la lecture de l'article 14, par exemple, on peut se poser la question de savoir si la réutilisation des données est-elle admise ou non. En effet, si l'alinéa premier prévoit que les données ne peuvent être utilisées qu'en vue des finalités pour lesquelles elles ont été collectées, ce qui exclut à priori toute réutilisation. L'alinéa 2 semble admettre cette réutilisation en prévoyant la proportionnalité des données «au regard des finalités pour lesquelles elles sont traitées ultérieurement ».

Le même article 8 de la LPDP précise que celle-ci s'applique aux traitements automatisés ou non de données à caractère personnel des responsables de traitement établi sur le territoire du Burkina Faso, ou, sans y être établi, recourt à des moyens de traitement situés sur le territoire du Burkina Faso, à l'exclusion des données qui ne sont utilisées qu'à des fins de transit. Il relève de cette disposition que LPDP s'applique aux traitements de données automatisées telles que les fichiers informatisés de données ou non automatisés tels que les fichiers de données sur support papier réalisé par des responsables établis au Burkina Faso ou qui, sans y être disposent au Burkina Faso des moyens de traitement des données personnelles. Cette discussion suscite des interrogations^97(*). En effet, si la première hypothèse ne pose pas de difficultés, il en va tout autrement de la seconde. Que faut-il entendre par recours aux moyens de traitements situés au Burkina Faso ? Il peut s'agir d'une entreprise établie à l'étranger mais qui dispose au Burkina Faso des moyens de collecte des données à caractère personnel^98(*).

Après l'élaboration du cadre juridique, il nous est judicieux d'évoquer les conditions de traitement des données dans la section II.

* ⁹⁷ D. W. KABRE, Droit des technologies de l'information et de la communication, Burkina Faso, op., cit., P.11.

* ⁹⁸ C'est le cas des GAFAM.