Conformité IPDCP : 5 étapes pour mettre votre organisation en règle
La loi togolaise n°2019-014 encadre le traitement des données personnelles sous le contrôle de l’IPDCP. Voici une démarche pragmatique en cinq étapes, adaptée aux TPME comme aux institutions.
Pourquoi s’en préoccuper maintenant ?
La loi n°2019-014 du 29 octobre 2019 relative à la protection des données à caractère personnel s’applique à toute organisation qui collecte ou utilise des données sur des personnes au Togo : clients, patients, usagers, salariés, candidats. Elle a institué l’Instance de Protection des Données à Caractère Personnel (IPDCP), chargée de veiller à son application.
Au-delà du risque de sanction, la conformité devient un critère de sélection : les banques, les grands donneurs d’ordre et les partenaires européens la demandent de plus en plus souvent.
Étape 1 : cartographier vos traitements
Listez tout ce que vous faites avec des données personnelles : gestion des clients, paie, recrutement, vidéosurveillance, dossiers patients, application mobile… Pour chaque traitement, notez la finalité, les catégories de données, les personnes concernées, les destinataires et la durée de conservation. Ce registre des traitements est la base de tout le reste.
Étape 2 : vérifier la légitimité et minimiser
Chaque traitement doit reposer sur une base légitime (consentement, contrat, obligation légale…) et ne collecter que les données nécessaires. C’est souvent l’occasion de supprimer des champs inutiles dans vos formulaires et de fixer des durées de conservation réalistes.
Étape 3 : accomplir les formalités auprès de l’IPDCP
Selon leur nature, les traitements relèvent d’une déclaration ou d’une demande d’autorisation préalable. Les traitements de données sensibles (santé, biométrie, données relatives aux infractions…) et certains transferts de données hors du pays font l’objet d’un encadrement renforcé. Identifiez les formalités applicables à chacun de vos traitements avant leur mise en œuvre.
Étape 4 : sécuriser et encadrer vos prestataires
Mettez en place des mesures proportionnées : gestion des accès, mots de passe robustes, sauvegardes, chiffrement des données sensibles, journalisation. Vos prestataires informatiques (hébergeur, éditeur de logiciel, centre d’appels) doivent être liés par des clauses contractuelles précisant leurs obligations en matière de sécurité et de confidentialité.
Étape 5 : organiser les droits des personnes et la gouvernance
Informez clairement les personnes (mentions sur les formulaires, politique de confidentialité) et prévoyez une procédure pour répondre aux demandes d’accès, de rectification, d’opposition ou de suppression. Désignez un référent interne, formez les équipes et définissez la conduite à tenir en cas de violation de données.
En résumé
La conformité n’est pas un projet ponctuel mais une démarche continue. Un diagnostic de quelques jours suffit généralement pour établir le registre, identifier les écarts prioritaires et bâtir un plan d’actions réaliste.
Cet article est une introduction générale et ne constitue pas un avis juridique. Pour les formalités applicables à votre situation, référez-vous aux textes en vigueur et aux publications de l’IPDCP.